WLAN mit WPA3 absichern: Gastnetz und Router härten

Ein Heimnetz ist mit vier Handgriffen solide geschützt: Verschlüsselung auf WPA3 oder den Mischmodus WPA2/WPA3 stellen, ein eigenes Gastnetz für Besucher und Smart-Home-Geräte anlegen, die Firmware aktualisieren und die Router-Verwaltung dichtmachen – eigenes Admin-Passwort, WPS aus, keine Fernwartung aus dem Internet. Wer sein WLAN mit WPA3 absichern will, braucht dafür keine neue Hardware, sondern rund zehn Minuten in der Router-Oberfläche.

Was WPA3 gegenüber WPA2 wirklich ändert

WPA3 ist seit 2018 zertifiziert und seit Juli 2020 Pflicht für jedes Gerät, das das Logo „Wi-Fi CERTIFIED“ tragen darf. Der entscheidende Unterschied steckt in der Anmeldung: Statt des Pre-Shared-Key-Verfahrens von WPA2 nutzt WPA3-Personal den SAE-Handshake (Simultaneous Authentication of Equals, auch „Dragonfly“ genannt). Router und Endgerät tauschen dabei kryptografische Werte aus, ohne dass das Passwort in einer knackbaren Form über die Luft geht.

Der praktische Gewinn: Ein mitgeschnittener Anmeldevorgang lässt sich nicht mehr in Ruhe offline durchprobieren. Bei WPA2 war das der Standardweg – ein schwaches Passwort fiel früher oder später. Unter WPA3 muss jeder Rateversuch live gegen den Router laufen, und der bremst. Dazu sind Protected Management Frames (PMF, Standard 802.11w) verpflichtend. Sie schützen die Verwaltungspakete des Funknetzes, sodass niemand deine Geräte mit gefälschten Abmelde-Paketen aus dem WLAN werfen kann.

Druck kommt inzwischen auch von der Hardware-Seite: Im 6-GHz-Band, das Wi-Fi 6E und Wi-Fi 7 nutzen, ist WPA2 überhaupt nicht mehr zugelassen – dort schreibt die Wi-Fi Alliance WPA3 plus PMF vor, einen Mischmodus gibt es dort nicht. Wer heute einen aktuellen Router kauft, hat WPA3 also an Bord. Die eigentliche Frage ist, ob es auch eingeschaltet ist: Viele Provider-Geräte laufen nach Jahren noch mit der Einstellung, die bei der Erstinstallation aktiv war.

Erst prüfen: Läuft dein WLAN schon auf WPA3?

Bevor du etwas umstellst, klär den Ist-Zustand. Das spart hinterher die Suche nach einem Problem, das gar keins war.

• Windows: Eingabeaufforderung öffnen und netsh wlan show interfaces eingeben. In der Zeile „Authentifizierung“ steht, womit die aktuelle Verbindung läuft – etwa WPA2-Personal oder WPA3-Personal. Ob der Adapter WPA3 überhaupt beherrscht, zeigt netsh wlan show drivers bei den unterstützten Authentifizierungsverfahren.
• Android: Einstellungen → WLAN → auf das verbundene Netz tippen. In den Details steht unter „Sicherheit“ das verwendete Verfahren.
• macOS: Alt-/Optionstaste gedrückt halten und auf das WLAN-Symbol in der Menüleiste klicken – die eingeblendeten Verbindungsdetails nennen den Sicherheitstyp.
• Router: In den WLAN-Sicherheitseinstellungen steht der aktive Modus im Klartext. Taucht dort noch „WPA2 (CCMP)“ ohne WPA3-Option auf, fehlt meist nur ein Firmware-Update.

WLAN mit WPA3 absichern – Schritt für Schritt

Bei vielen Routern kam WPA3 erst per Firmware nach, bei AVM zum Beispiel mit FRITZ!OS 7.20 im Sommer 2020. Deshalb steht das Update an erster Stelle – sonst fehlt die Option schlicht im Menü.

1. Router-Oberfläche im Browser öffnen – je nach Modell über fritz.box, 192.168.1.1 oder die Adresse auf dem Geräteaufkleber.
2. Firmware-Update suchen und einspielen, meist unter „System“ → „Update“. Der Router startet dabei neu; danach musst du dich frisch anmelden.
3. In den WLAN-Bereich wechseln und die Sicherheits- beziehungsweise Verschlüsselungseinstellungen öffnen. In der FRITZ!Box liegt das unter WLAN → Sicherheit.
4. Verschlüsselung auf WPA3 stellen. Sind noch ältere Geräte im Haus, wähle den Mischmodus WPA2 + WPA3.
5. WLAN-Passwort prüfen: Das BSI empfiehlt für den WLAN-Schlüssel mindestens 20 zufällige Zeichen. Er darf nicht mit dem Admin-Passwort des Routers identisch sein.
6. Speichern. Das Funknetz startet kurz neu, danach verbinden sich die Geräte in der Regel von selbst wieder.

Den WLAN-Namen (SSID) musst du nicht anfassen. Ein neues WLAN-Passwort dagegen zwingt jedes Gerät im Haushalt zur Neuanmeldung – vom Drucker bis zum Saugroboter. Diesen Wechsel legt man besser nicht auf die zehn Minuten vor der nächsten Videokonferenz.

Mischmodus oder reines WPA3?

Reines WPA3 ist die stärkere Variante. Im Mischbetrieb bleibt ein Downgrade-Szenario möglich: Ein Gerät lässt sich dazu bringen, statt WPA3 wieder das schwächere WPA2 zu sprechen – und damit hängt die Sicherheit erneut an der Qualität des Passworts. Wenn du dein WLAN mit WPA3 absichern willst und alle Geräte mitspielen, schalte den Mischmodus deshalb ab.

Bei aktuellen Tri-Band-Routern betrifft diese Entscheidung ohnehin nur die Bänder 2,4 und 5 GHz. Das 6-GHz-Band von Wi-Fi 6E und Wi-Fi 7 funkt grundsätzlich nur mit WPA3 – ein WPA2-Altgerät landet dort gar nicht erst, sondern bleibt automatisch auf den älteren Bändern.

Wenn Geräte nach der Umstellung nicht mehr verbinden

WPA3 setzt halbwegs aktuelle Betriebssysteme voraus: Windows 10 ab Version 1903, Android 10, iOS 13 und macOS 10.15 (Catalina) aufwärts. Verweigert ein Gerät nach dem Wechsel den Dienst, hilft meist einer dieser drei Schritte:

• WLAN-Profil löschen und neu verbinden. Das Gerät hängt oft an gespeicherten Verschlüsselungsdaten. Netz „vergessen“, Passwort frisch eingeben.
• WLAN-Treiber aktualisieren. Bei Notebooks bringt der Treiber vom Chipsatz-Hersteller (Intel, Realtek, Qualcomm) oft WPA3-Unterstützung, die das generische Windows-Update nicht liefert.
• Auf Mischmodus zurück. Lässt sich ein wichtiges Altgerät nicht überreden, ist WPA2 + WPA3 immer noch deutlich besser als reines WPA2 für alle.

Ein Sonderfall sind alte Notebooks: Seit dem Support-Ende von Windows 10 am 14. Oktober 2025 gibt es dort ohne das ESU-Programm keine Sicherheitsupdates mehr. Ein solches Gerät wird nicht dadurch vertrauenswürdig, dass es WPA3 spricht. Und hält ein günstiges IoT-Gerät partout an WPA2 fest, gehört es ins Gastnetz – dann zwingt es nicht dem ganzen Haushalt die schwächere Verschlüsselung auf.

Gastnetz einrichten: der zweite Hebel

Ein Gastnetz ist ein zweites, vom Hauptnetz abgeschottetes WLAN mit eigenem Namen und eigenem Passwort. Geräte darin kommen ins Internet, aber nicht an deine PCs, NAS-Speicher oder Drucker. Praktisch jeder aktuelle Router bringt die Funktion mit; in der FRITZ!Box steht sie unter WLAN → Gastzugang. Auch das BSI führt das Gäste-WLAN als Standardmaßnahme für Heimnetze.

Zwei Gruppen gehören dort hinein:

• Besucher. Du gibst niemandem mehr dein Haupt-Passwort – und musst es nach dem Besuch auch nicht zurückholen.
• Smart-Home- und IoT-Geräte. Funksteckdosen, Kameras, Sprachassistenten und Saugroboter bekommen selten Updates und sind ein beliebtes Einfallstor. Im Gastnetz kann ein gekapertes Billiggerät nicht auf den Rechner mit den wichtigen Daten überspringen.

Zwei Details entscheiden über die Wirkung. Erstens: den privaten Gastzugang mit eigenem Passwort wählen, nicht den öffentlichen Hotspot-Modus. Der funkt ohne Zugangsdaten und ist nur dann verschlüsselt, wenn Router und Gerät Enhanced Open (OWE) unterstützen – für zu Hause die falsche Wahl. Zweitens: die Geräteisolation aktivieren, oft beschrieben als „Gäste dürfen untereinander nicht kommunizieren“. Dann ist auch die Kamera vom Tablet des Besuchs getrennt.

Den Router härten: sieben Einstellungen, die zählen

Der Router ist ein kleiner Server, der rund um die Uhr am Internet hängt. Wer ihn übernimmt, kann DNS-Anfragen umbiegen, Portfreigaben öffnen und den gesamten Datenverkehr mitlesen – ganz ohne Funkreichweite. Diese sieben Punkte schließen die häufigsten Lücken:

1. Eigenes Admin-Passwort. Das Kennwort vom Aufkleber ersetzen, durch eine lange Passphrase aus mehreren Wörtern und anders als das WLAN-Passwort.
2. WPS abschalten. Die Kopplung per Knopfdruck oder PIN gilt seit Jahren als Schwachstelle. Zum Verbinden reichen Passwort oder QR-Code.
3. Fernwartung deaktivieren. Zugriff auf die Router-Oberfläche aus dem Internet abschalten, außer du brauchst ihn zwingend. Jede offene Management-Schnittstelle ist Angriffsfläche.
4. UPnP prüfen. Universal Plug and Play lässt Geräte selbstständig Ports nach außen öffnen. Wenn du es nicht aktiv brauchst: aus. Sonst regelmäßig kontrollieren, welche Freigaben eingetragen sind.
5. Automatische Firmware-Updates aktivieren. Auch WPA3 selbst hatte Kinderkrankheiten – die 2019 veröffentlichten „Dragonblood“-Schwächen wurden per Update geschlossen. Ein Router ohne Patches nutzt die beste Verschlüsselung nichts.
6. Firewall an, TKIP raus. Die Router-Firewall blockiert eingehende Verbindungen standardmäßig – so lassen. Taucht in den WLAN-Optionen noch „TKIP“ auf, ist das ein veraltetes Verfahren; aktiv sein muss AES (CCMP).
7. Support-Ende im Blick behalten. Seit dem 1. August 2025 gelten in der EU die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED, Delegierte Verordnung 2022/30): Neu verkaufte Geräte mit Funkschnittstelle müssen unter anderem einen Update-Mechanismus mitbringen und dürfen nicht mit trivialen Standard-Passwörtern ausgeliefert werden. Für dein sieben Jahre altes Modell gilt das nicht – bekommt es keine Firmware mehr, ist Ersetzen die einzige saubere Lösung.

Vor größeren Eingriffen wie einem Firmware-Wechsel oder dem Zurücksetzen auf Werkseinstellungen die Router-Konfiguration exportieren. Die meisten Modelle bieten dafür eine Sicherungsdatei an – ohne sie richtest du Portfreigaben, Telefonie und Kindersicherung anschließend von Hand neu ein.

Hintergrund: Warum ein flaches Heimnetz gefährlich ist

Die drei Maßnahmen zielen auf die Stellen, die in der Praxis tatsächlich ausgenutzt werden. Schwache Verschlüsselung erlaubt Angriffe auf den Funkverkehr. Ein gemeinsames Netz für alles bedeutet: Ein einziges unsicheres Gerät – die alte Kamera, der smarte Stecker – öffnet den Weg zu allen anderen. Und ein Router mit Standard-Passwort oder offener Fernwartung ist aus dem Internet erreichbar, ohne dass jemals jemand in Funkreichweite sein muss.

Wer das WLAN mit WPA3 absichern, Gäste und IoT trennen und die Verwaltung des Routers schließen will, baut damit drei unabhängige Schichten: Die Verschlüsselung schützt die Funkstrecke, das Gastnetz begrenzt den Schaden eines gekaperten Geräts, der gehärtete Router verschließt die Verwaltungstür. Fällt eine Schicht aus, halten die anderen. Dieses Prinzip mehrerer gestaffelter Schutzebenen ist auch ein Klassiker, wenn man für die Fachinformatiker-Prüfung die Schutzziele der IT-Sicherheit lernt – Vertraulichkeit, Integrität und Verfügbarkeit stehen im Heimnetz auf genau diesen drei Beinen.

Quellen und Weiterlesen: BSI: Router und WLAN sicher einrichten · Wi-Fi Alliance: WPA3 und Wi-Fi Security · BSI zur RED-Cybersicherheit ab 1. August 2025

Häufige Fragen

Ist WPA3 wirklich sicherer als WPA2?

Ja. WPA3-Personal nutzt den SAE-Handshake, bei dem das Passwort nicht in knackbarer Form über die Luft geht. Offline-Wörterbuchangriffe auf mitgeschnittene Anmeldungen laufen damit ins Leere, und geschützte Verwaltungspakete (PMF) sind Pflicht.

Wie erkenne ich, ob mein WLAN schon mit WPA3 läuft?

Unter Windows zeigt der Befehl netsh wlan show interfaces in der Zeile „Authentifizierung“ das aktive Verfahren. Auf Android steht es in den Details des verbundenen Netzes unter „Sicherheit“, ansonsten in den WLAN-Sicherheitseinstellungen des Routers.

Was tun, wenn ältere Geräte WPA3 nicht unterstützen?

Den Router auf den Mischmodus WPA2 + WPA3 stellen: Moderne Geräte nutzen dann WPA3, ältere weiter WPA2. Besser noch: das WPA2-Altgerät ins Gastnetz verschieben, damit das Hauptnetz auf reinem WPA3 bleiben kann.

Brauche ich ein Gastnetz, wenn ich nie Besuch habe?

Ja – der Hauptnutzen sind Smart-Home- und IoT-Geräte. Kameras, Funksteckdosen und Sprachassistenten bekommen selten Updates. Im abgetrennten Gastnetz kann ein gekapertes Gerät nicht auf PCs, NAS und Drucker im Hauptnetz zugreifen.

Warum soll ich WPS am Router abschalten?

WPS koppelt Geräte per Knopfdruck oder PIN, gilt aber seit Jahren als Schwachstelle und vergrößert die Angriffsfläche ohne echten Gewinn. Zum Verbinden reichen das WLAN-Passwort oder ein QR-Code – WPS kann dauerhaft aus bleiben.