Modul 5 · 5.3
WLAN, Homeoffice und unterwegs
Modul 5: Geräte, Software und Netzwerk · Lesezeit: 11 Minuten
Lernziel: Nach dieser Lektion können Sie WLAN im Büro und zu Hause sicher einrichten, smarte Geräte und Gäste von Ihrem Arbeitsnetz trennen und unterwegs sicher arbeiten, inklusive dem, was ein VPN für Sie leistet und was nicht.
Kernbegriffe: Router, Administratorpasswort, WPA2, WPA3, SAE, Übergangsmodus, WPS, UPnP, Gastnetzwerk, öffentliches WLAN, gefälschter Hotspot, https, VPN, Hotspot Ihres Telefons
Der Router ist Ihre Haustür
Alles, was Ihr Büro oder Ihren Homeoffice-Arbeitsplatz mit dem Internet verbindet, läuft über den Router (oft in einem Gerät zusammen mit dem Modem Ihres Anbieters). Er erledigt drei Dinge: Er verbindet Ihr Netzwerk mit dem Internet, er hält unerwünschten Datenverkehr von aussen ab (die Firewall), und meistens strahlt er auch das WLAN-Netzwerk aus.
Ein Router wird selten noch einmal angeschaut, nachdem der Techniker gegangen ist. Deshalb sind oft noch Werkseinstellungen aktiv. Vier Dinge, die Sie sofort regeln sollten:
- Ändern Sie das Administratorpasswort. Das ist das Passwort für die Einstellungsseite des Routers, nicht das WLAN-Passwort. Standardpasswörter sind oft je Marke oder Serie bekannt. Verwenden Sie ein langes, einzigartiges Passwort aus Ihrem Passwort-Manager.
- Deaktivieren Sie die Verwaltung von aussen, es sei denn, Ihr Anbieter benötigt sie wirklich. Dann ist die Einstellungsseite nur aus Ihrem eigenen Netzwerk erreichbar.
- Deaktivieren Sie UPnP, wenn Sie es nicht brauchen. Mit UPnP kann jedes Gerät in Ihrem Netzwerk selbst einen Port in der Firewall öffnen, auch eine Kamera mit einer Sicherheitslücke. Das niederländische NCSC rät dazu, es zu deaktivieren.
- Aktualisieren Sie die Firmware oder prüfen Sie, ob der Anbieter das automatisch erledigt (Lektion 5.1). Erhält Ihr Router keine Updates mehr, ersetzen Sie ihn.
WPA2 und WPA3: wie Ihr WLAN verschlüsselt ist
WLAN überträgt über die Luft. Jeder in der Nähe kann die Signale auffangen. Deshalb wird es verschlüsselt. Der Standard dafür wird von der Wi-Fi Alliance verwaltet.
| Stand | Bewertung | Erklärung |
|---|---|---|
| Offen (kein Passwort) | Nicht für Ihr Unternehmen | Jeder kann mitmachen und, ohne https, mitlesen. |
| WEP, WPA (die erste Version), TKIP | Unsicher | Veraltet und geknackt. Sehen Sie dies, ersetzen Sie den Router oder ändern Sie die Einstellung. |
| WPA2-Personal (AES) | Ausreichend, mit einem langen Passwort | Wer die Verbindung eines Geräts abfängt, kann danach zu Hause, ohne in der Nähe zu bleiben, endlos Passwörter ausprobieren. Ein kurzes oder vorhersehbares WLAN-Passwort fällt dann schnell. |
| WPA3-Personal | Beste Wahl | Verwendet SAE anstelle des alten Systems mit gemeinsamem Schlüssel. Laut der Wi-Fi Alliance kann ein Angreifer dann nicht mehr offline Passwörter ausprobieren: Jeder Versuch erfordert eine neue Anfrage beim Router selbst. Und selbst wenn jemand später das Passwort kennt, kann er zuvor aufgezeichneten Datenverkehr nicht entschlüsseln (forward secrecy). |
| WPA2/WPA3 Übergangsmodus | Gut als Zwischenschritt | Neue Geräte verbinden sich mit WPA3, ältere mit WPA2. Praktisch, solange Sie noch alte Geräte haben; sie erhalten dann allerdings nur den Schutz von WPA2. |
WPA3 ist laut der Wi-Fi Alliance Pflicht für Geräte mit dem Zertifikat Wi-Fi CERTIFIED, sodass fast jeder neue Router und jedes neue Telefon es unterstützt. Wählen Sie WPA3, wenn alle Ihre Geräte es unterstützen, andernfalls den Übergangsmodus.
Verwenden Sie in jedem Fall ein langes WLAN-Passwort, zum Beispiel eine Passphrase aus vier oder fünf einzelnen Wörtern (Lektion 2.1). Es ist ohnehin in Ihren Geräten gespeichert; Sie müssen es selten eintippen.
WPS (Wi-Fi Protected Setup) ist eine Taste oder PIN-Code, um Geräte einfach zu koppeln. Die PIN-Variante hat einen bekannten Konstruktionsfehler: Durch die Art, wie der Router antwortet, muss ein Angreifer nicht hundert Millionen, sondern nur etwa elftausend Kombinationen ausprobieren, und findet danach das WLAN-Passwort (CERT/CC, 2011). Deaktivieren Sie WPS, wenn Ihr Router das zulässt.
Gastnetzwerk: trennen, was nicht zusammengehört
Ein kleines Büro hat schnell Geräte sehr unterschiedlicher Vertrauenswürdigkeit im selben Netzwerk: die Laptops mit der Buchhaltung, das NAS mit Kundendaten, aber auch die Telefone von Besuchern, einen smarten Fernseher im Wartebereich, ein Thermostat und ein paar Kameras. Sind diese alle im selben Netzwerk, kann eine gehackte Kamera direkt mit dem NAS kommunizieren.
Deshalb richten Sie ein Gastnetzwerk ein: ein zweites WLAN-Netzwerk mit eigenem Namen und Passwort, das zwar Internet bereitstellt, aber keinen Zugriff auf die Geräte in Ihrem Hauptnetzwerk. Fast jeder Router kann das. Setzen Sie darauf:
- Besucher und deren Telefone;
- smarte Geräte: Fernseher, Thermostat, Türklingel, Lautsprecher, und wo möglich Kameras. Das niederländische NCSC empfiehlt dies ausdrücklich;
- private Geräte von Mitarbeitenden, sofern diese keinen Zugriff auf Unternehmensdaten benötigen.
Prüfen Sie nach der Einrichtung, ob es funktioniert: Von einem Telefon im Gastnetzwerk aus sollten Sie den Drucker oder das NAS nicht finden können.
Homeoffice
Zu Hause arbeiten Sie in einem Netzwerk, das Sie nicht als Unternehmen verwalten, oft gemeinsam mit Familienmitgliedern, einer Spielkonsole und dem smarten Lautsprecher der Nachbarn in der Netzwerkliste. Vereinbaren Sie mit Ihrem Team:
- der Heimrouter erhält dieselbe Grundbehandlung: eigenes Administratorpasswort, WPA2 oder WPA3 mit langem Passwort, aktualisierte Firmware;
- der Arbeitslaptop ist für die Arbeit: nicht von Kindern oder Mitbewohnern benutzen lassen, und sperren, wenn Sie weggehen (Lektion 5.2);
- Updates laufen auch zu Hause weiter. Ein Laptop, der wochenlang nicht ins Büro kommt, verpasst manchmal Updates, die zentral verwaltet werden. Prüfen Sie das;
- der Zugriff auf Unternehmenssysteme erfolgt über eine sichere Verbindung: einen Clouddienst mit https und Zwei-Faktor-Authentifizierung, oder ein VPN zum Büro. Öffnen Sie niemals einfach so einen Port, um „mal eben" von zu Hause aus auf das NAS zugreifen zu können.
Unterwegs: öffentliches WLAN
In einem Hotel, Zug oder Café wissen Sie nicht, wer das Netzwerk verwaltet. Das grösste Risiko ist ein gefälschter Hotspot: Ein Angreifer richtet ein Netzwerk mit demselben Namen wie das echte ein, zum Beispiel „Hotel-Gäste". Ihr Telefon verbindet sich automatisch, und Ihr gesamter Datenverkehr läuft über sein Gerät.
Zum Glück läuft der meiste Datenverkehr heutzutage über https (Lektion 4.2) und E-Mail über verschlüsselte Verbindungen. Der Angreifer sieht dann zwar, welche Seiten Sie besuchen, aber nicht, was Sie eingeben. Dennoch bleiben Risiken: eine Anmeldeseite, die Sie auf eine gefälschte Website umleitet, eine Meldung „Installieren Sie dieses Zertifikat", oder alte Apps, die nicht verschlüsseln.
Das niederländische NCSC rät:
- verwenden Sie lieber mobile Daten oder den Hotspot Ihres eigenen Telefons anstelle von öffentlichem WLAN;
- lassen Sie Ihr Gerät nicht automatisch mit WLAN-Netzwerken verbinden;
- erledigen Sie keine Bankgeschäfte oder vertrauliche Arbeit über öffentliches WLAN, und laden oder installieren Sie dort nichts;
- deaktivieren Sie die Dateifreigabe und melden Sie sich ab, wenn Sie fertig sind.
Erhalten Sie in einem öffentlichen WLAN eine Zertifikatswarnung bei einer Website, die Sie gut kennen, fahren Sie nicht fort. Das ist genau das Signal, dass jemand mitliest.
Was ein VPN leistet und was nicht
Das Wort VPN wird für zwei unterschiedliche Dinge verwendet. Ein betriebliches VPN verbindet Ihren Laptop verschlüsselt mit dem Netzwerk Ihres Büros, sodass Sie von ausserhalb auf das NAS oder das Buchhaltungsprogramm zugreifen können. Ein kommerzieller VPN-Dienst sendet Ihren gesamten Internetverkehr verschlüsselt an den Server eines Anbieters, der ihn anschliessend ins Internet weiterleitet.
| Ein VPN leistet | Ein VPN leistet nicht |
|---|---|
| Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server verschlüsseln, sodass das lokale (WLAN-)Netzwerk nicht mitlesen kann | Sie vor Phishing schützen: eine gefälschte Website ist über ein VPN genauso gefälscht |
| Ihnen sicheren Zugriff auf das Büronetzwerk geben (betriebliches VPN) | Malware aufhalten oder einen infizierten Laptop bereinigen |
| Ihre IP-Adresse vor den Websites verbergen, die Sie besuchen | Sie anonym machen: Die Anmeldung bei einem Dienst verrät weiterhin, wer Sie sind |
| Das Vertrauen aufheben: Der VPN-Anbieter kann nun sehen, was das Hotelnetzwerk zuvor sehen konnte |
Ein VPN verschiebt also den Punkt, an dem Sie Vertrauen haben müssen. In einem unbekannten Netzwerk kann das sinnvoll sein. In Ihrem eigenen Heimnetzwerk mit https-Websites bringt ein kommerzielles VPN für die Sicherheit wenig zusätzlichen Nutzen.
Und achten Sie darauf: Ein VPN-Server in Ihrem Büro ist selbst ein Randgerät, das vom Internet aus erreichbar ist. Veraltete VPN-Server sind ein bekannter Einstiegspunkt für Ransomware (Lektion 1.3). Aktualisieren, Zwei-Faktor-Authentifizierung aktivieren und deaktivieren, wenn Sie ihn nicht verwenden.
In der Praxis: so sieht es aus
Auch Ihre E-Mail läuft unterwegs über das Netzwerk. Richten Sie Ihr E-Mail-Programm deshalb mit verschlüsselten Verbindungen ein. Bei WebOké sind das zum Beispiel IMAP auf Port 993 mit SSL/TLS und SMTP auf Port 587 mit STARTTLS (oder 465 mit SSL/TLS); bei anderen Anbietern sind die Ports meist gleich. Steht in Ihrem E-Mail-Programm „keine Sicherheit" oder Port 143 oder 25 ohne Verschlüsselung, passen Sie das an.
Zusammenfassung
- Geben Sie Ihrem Router ein eigenes Administratorpasswort, deaktivieren Sie die Verwaltung von aussen, UPnP und WPS, und aktualisieren Sie die Firmware.
- Wählen Sie WPA3, oder den Übergangsmodus WPA2/WPA3, mit einem langen WLAN-Passwort. Niemals WEP, WPA oder TKIP.
- Setzen Sie Besucher und smarte Geräte auf ein Gastnetzwerk, getrennt von Ihren Arbeitsgeräten.
- Unterwegs: lieber mobile Daten oder Ihr eigener Hotspot, nicht automatisch verbinden, und bei einer Zertifikatswarnung abbrechen.
- Ein VPN verschlüsselt die Strecke bis zum VPN-Server, schützt aber nicht vor Phishing oder Malware und macht Sie nicht anonym.
Quiz
Aufgabe
Aufgabe D5.3: Ihren Router und Ihr WLAN überprüfen. Melden Sie sich bei der Einstellungsseite Ihres Routers an (zu Hause oder im Büro). Prüfen Sie das Administratorpasswort, die Verschlüsselung, WPS, UPnP, die Verwaltung von aussen, die Firmware und das Gastnetzwerk. Haken Sie die Checkliste ab, testen Sie das Gastnetzwerk und beantworten Sie die Reflexionsfragen.
Aufgabe D5.3: Ihren Router und Ihr WLAN überprüfen
So gehen Sie vor: (1) Melden Sie sich bei der Einstellungsseite Ihres Routers an (Adresse und erstes Passwort stehen in der Anleitung oder auf dem Aufkleber) oder in der App Ihres Anbieters. Handelt es sich um einen Router Ihres Anbieters, prüfen Sie, welche Einstellungen Sie selbst ändern dürfen. (2) Ändern Sie das Administratorpasswort in ein langes, einzigartiges Passwort aus Ihrem Passwort-Manager. (3) Prüfen Sie die WLAN-Verschlüsselung: WPA3, oder WPA2/WPA3-Übergangsmodus, wenn Sie ältere Geräte haben; niemals WEP, WPA oder TKIP. Verwenden Sie ein langes WLAN-Passwort (Passphrase). (4) Deaktivieren Sie WPS, UPnP und die Fernverwaltung, wenn Sie sie nicht benötigen. (5) Prüfen Sie, ob die Firmware aktuell ist und automatisch aktualisiert wird. (6) Richten Sie ein Gastnetzwerk ein und verbinden Sie Besucher und smarte Geräte (Fernseher, Thermostat, Lautsprecher, Kameras wo möglich) damit. (7) Testen Sie das Gastnetzwerk: Verbinden Sie ein Telefon mit dem Gastnetzwerk und versuchen Sie, den Drucker, das NAS oder einen freigegebenen Ordner zu finden. Das sollte nicht gelingen. (8) Prüfen Sie die Liste der verbundenen Geräte in Ihrem Router. Kennen Sie ein Gerät nicht, finden Sie heraus, was es ist. (9) Prüfen Sie Ihr Mailprogramm auf Laptop und Telefon: eingehend und ausgehend mit SSL/TLS oder STARTTLS (zum Beispiel IMAP 993, SMTP 587 oder 465).
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- DirectAdmin Anleitung 8.1: Alle Einstellungen im Überblick: Server, Ports und Sicherheit
- Das niederländische NCSC, WLAN-Hotspots: https://www.ncsc.nl/mobiele-apparatuur/wifi-hotspots
- Das niederländische NCSC, grundlegende Sicherheitsmassnahmen für smarte Geräte: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Das niederländische NCSC, 6 Punkte für sicheres Homeoffice: https://www.ncsc.nl/nieuws/6-aandachtspunten-voor-thuiswerken
- Wi-Fi Alliance, Sicherheit von WLAN (Englisch): https://www.wi-fi.org/discover-wi-fi/security
- CERT/CC, die Schwachstelle in WPS (Englisch): https://www.kb.cert.org/vuls/id/723755