WLAN-Router sind das zentrale Einfallstor in das digitale Privat- und Berufsleben. Sicherheitslücken können sensible Daten, Home-Office-Verbindungen und sogar staatliche Spionage- oder Botnetz-Kampagnen gefährden. Ein besonders eindrückliches Beispiel dafür lieferte die im April 2026 entdeckte Angriffswelle der russischen Cyberspionagegruppe APT28, die tausende SOHO-Router - vor allem ältere TP-Link-Modelle über die Schwachstelle CVE-2023-50224 - kompromittierte und DNS-Hijacking für Spionagezwecke nutzte. Die Ereignisse verdeutlichen, warum die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) empfohlenen Härtungsmaßnahmen heute unverzichtbar sind.

Hintergrund: Russische Router-Kampagne APT28 im April 2026

Ein internationales Behördenbündnis aus FBI, BND, Verfassungsschutz und weiteren Partnern deckte im April 2026 eine groß angelegte Infiltration von SOHO-Routern auf. Die dem russischen Militärgeheimdienst GRU zugeordnete Gruppe APT28 nutzte Standardpasswörter und ungepatchte Firmware-Lücken, insbesondere die CVE-2023-50224, um die DHCP- und DNS-Einstellungen tausender Router weltweit zu manipulieren. Durch DNS-Hijacking konnten Datenströme unbemerkt über Angreifer-Server umgeleitet werden, um Zugangsdaten und unverschlüsselte Informationen zu erbeuten. Mehr als 15 Staaten, darunter die USA, Deutschland und weitere europäische Länder, waren an der Gegenmaßnahme beteiligt.

BSI-Empfehlungen im Überblick: Vier zentrale Router-Einstellungen

Das BSI hat vier Kernmaßnahmen definiert, die jede:r Router-Besitzer:in umsetzen sollte, um das Heimnetzwerk wirksam zu schützen.

  • Router- und WLAN-Passwörter nach BSI-Empfehlung absichern
  • Router-Firmware und Sicherheitsupdates aktuell halten
  • Fernzugriff, UPnP und WPS am Router sicher konfigurieren
  • Gastnetzwerk für Besucher und IoT-Geräte sicher einrichten

Router- und WLAN-Passwörter nach BSI-Empfehlung absichern

Für den Zugriff auf das Router-Web-Interface empfiehlt das BSI ein Passwort mit mindestens acht Zeichen, das Groß- und Kleinbuchstaben, Ziffern sowie Sonderzeichen kombiniert. Für das WLAN-Netzwerk sollte das Passwort mindestens 20 Zeichen umfassen und keinerlei erkennbaren Zusammenhang besitzen. Viele Hersteller liefern Geräte bereits mit individuellen, zufälligen Passwörtern aus, dennoch verwenden einige Modelle weiterhin Standardpasswörter wie "admin" oder "1234", die leicht zu erraten sind.

Router-Firmware und Sicherheitsupdates aktuell halten

Router-Hersteller stellen regelmäßig Firmware-Updates und Sicherheitspatches bereit. Diese sollten entweder automatisch installiert oder manuell über das Interface des Routers eingespielt werden. Ohne aktuelle Patches können Angreifer bekannte Schwachstellen ausnutzen - ein Szenario, das bei der APT28-Kampagne entscheidend war.

Fernzugriff, UPnP und WPS am Router sicher konfigurieren

Funktionen, die im Alltag selten benötigt werden, sollten deaktiviert werden. Dazu zählen:

  • Fernzugriff über offene HTTPS-Verwaltungsports
  • Universal Plug and Play (UPnP)
  • Wi-Fi-Protected-Setup (WPS)

Das BSI warnt, dass aktivierte Fernzugriffs-Features Angreifern einen Einstiegspunkt bieten, selbst wenn sie nicht in der Nähe des Routers sind. Stattdessen empfiehlt das BSI, den Fernzugriff ausschließlich über einen gesicherten VPN-Tunnel (z. B. WireGuard oder IPsec) und mit verpflichtender Zwei-Faktor-Authentifizierung (2FA) zu realisieren. Diese Maßnahme verhindert automatisierte Brute-Force- und Credential-Stuffing-Angriffe auf das Router-Web-Interface.

Gastnetzwerk für Besucher und IoT-Geräte sicher einrichten

Ein separates Gastnetzwerk isoliert Besucher- und IoT-Geräte vom Hauptnetzwerk. Dadurch bleibt das Kernnetzwerk geschützt, selbst wenn ein Gastgerät kompromittiert ist. Viele Router ermöglichen zudem, den Zugriff auf bestimmte Dienste oder Zeitfenster zu beschränken.

Technische Standards: BSI-Richtlinie TR-03148 und ETSI TS 103 848

Die BSI-Empfehlungen basieren nicht nur auf allgemeinen Ratschlägen, sondern sind in der technischen Richtlinie TR-03148 ("Secure Broadband Router") sowie im europäischen Standard ETSI TS 103 848 verankert. Diese Dokumente definieren verbindliche Prüf- und Zertifizierungskriterien für das IT-Sicherheitskennzeichen von Consumer- und SOHO-Broadband-Routern. Sie untersagen unter anderem unsichere WPS-PIN-Modi und offene WAN-Konfigurationsports, was die Basis für die im Artikel genannten BSI-Tipps bildet.

Sicherer Fernzugriff über VPN und Zwei-Faktor-Authentifizierung

Das reine Abschalten des Fernzugriffs kann nützliche Funktionen wie Smart-Home-Steuerungen oder den Zugriff auf NAS-Speicher einschränken. Das BSI rät daher, Fernzugriffe nicht über offene Web-Ports zu ermöglichen, sondern ausschließlich über einen gesicherten VPN-Tunnel zu realisieren. Zusätzlich sollte die Verwaltungsoberfläche mit einer Zwei-Faktor-Authentifizierung (2FA) geschützt werden. Diese Kombination verhindert, dass ein erbeutetes Passwort allein ausreicht, um unbefugten Zugriff zu erhalten.

Risiken veralteter Geräte und End-of-Life (EoL)

Ein häufig übersehener Risikofaktor ist das End-of-Life (EoL) von Router-Hardware. Nach 3-5 Jahren stellen viele Hersteller den Support ein, wodurch automatische Firmware-Updates deaktiviert werden. Ohne weitere Sicherheitsupdates bleibt das Gerät dauerhaft anfällig für neue Schwachstellen. In einem solchen Fall ist ein Austausch des Routers die einzige verlässliche Schutzmaßnahme.

Die APT28-Attacke von April 2026 zeigte, dass veraltete Geräte mit ungepatchten Lücken gezielt ausgenutzt werden können. Nutzer sollten prüfen, ob ihr Modell noch vom Hersteller unterstützt wird. Sobald keine Updates mehr bereitgestellt werden, sollte das Gerät ausgetauscht werden.

FAQ - Häufig gestellte Fragen

Was passierte bei dem russischen Hackerangriff im April 2026 genau?Die Gruppe APT28 infizierte ältere SOHO-Router mit bekannten Lücken und manipulierte deren DNS-Einstellungen. Der Datenverkehr wurde unbemerkt über Angreifer-Server umgeleitet, um Zugangsdaten und unverschlüsselte Daten abzufangen.Warum genügt für das Router-Interface ein kürzeres Passwort als für das WLAN?Der WLAN-Schlüssel muss Offline-Wörterbuch- und Brute-Force-Angriffen auf Funkpakete standhalten. Die Weboberfläche ist idealerweise nur aus dem lokalen Netz erreichbar und sperrt Anmeldeversuche nach mehreren Fehlversuchen zeitweise.Wann sollte ein Router zwingend ausgetauscht werden?Sobald der Hersteller keine Sicherheitsupdates mehr bereitstellt (End-of-Support). Veraltete Geräte mit ungepatchten Schwachstellen bleiben eine permanente Schwachstelle im Netz.

Fazit

Die russische APT28-Kampagne von April 2026 hat eindrucksvoll gezeigt, wie gefährlich vernachlässigte Router-Sicherheitsmaßnahmen sein können. Das BSI bietet mit klar definierten Empfehlungen und verbindlichen Standards wie TR-03148 und ETSI TS 103 848 einen praxisnahen Leitfaden, um Heimnetzwerke zu härten. Durch starke Passwörter, regelmäßige Firmware-Updates, das Deaktivieren unnötiger Dienste, den Einsatz von VPN + 2FA für Fernzugriffe und das Anlegen eines isolierten Gastnetzwerks können Nutzer das Risiko erheblich reduzieren. Wer ein Gerät nutzt, das keinen Support mehr erhält, sollte es umgehend ersetzen - sonst bleibt selbst die beste Konfiguration wirkungslos. So bleibt das heimische Netzwerk robust gegen aktuelle und zukünftige Bedrohungen.