Ratschläge zur Netzwerksicherheit im Internet tendieren zu zwei Extremen: vage ("starke Passwörter verwenden!") oder überwältigend (ein 40-Seiten-Enterprise-Framework). Dies ist keins von beidem — die geordnete Liste konkreter Schritte, die in einem typischen Windows-Heim- oder Kleinbüronetzwerk tatsächlich etwas bewirken, ungefähr in Reihenfolge ihrer Wichtigkeit.
1. Wissen, was im Netzwerk ist
Sie können nicht absichern, was Sie nicht kennen. Bevor irgendetwas anderes passiert: Verschaffen Sie sich eine vollständige, aktuelle Liste jedes verbundenen Geräts — PCs, Handys, Drucker, Smart-Home-Gadgets, IoT-Sensoren, Gastgeräte. Ein Netzwerkscanner erledigt das in unter einer Minute und liefert deutlich mehr Details als die Client-Liste des Routers (MAC-Hersteller, offene Ports, erkannter Gerätetyp). Wir behandeln das ausführlich in unserem Ratgeber zum Finden unbekannter Geräte.
Beschriften Sie alles, was Sie erkennen. Ein unbeschriftetes, unerklärtes Gerät ist in einer langen Liste unsichtbar — ein beschriftetes Netzwerk lässt alles Neue beim nächsten Scan sofort auffallen.
2. Den Router selbst absichern
- Standard-Admin-Passwort ändern. Standard-Zugangsdaten von Routern sind öffentlich bekannt und werden als Erstes ausprobiert.
- Router-Firmware aktualisieren. Die meisten Router prüfen in der Admin-Oberfläche auf Updates; manche aktualisieren automatisch — prüfen, ob das wirklich aktiviert ist.
- Fernverwaltung deaktivieren, sofern nicht explizit benötigt — sie macht die Admin-Oberfläche des Routers aus dem Internet erreichbar.
- UPnP deaktivieren, falls nicht für Gaming oder bestimmte Apps benötigt — es erlaubt jedem Gerät im LAN, ohne Nachfrage Portweiterleitungen zu öffnen.
3. WLAN absichern
- WPA3 nutzen, mindestens WPA2. Nie WEP, nie ein offenes Netzwerk — beide sind trivial zu knacken.
- Ein wirklich starkes WLAN-Passwort verwenden — lang und zufällig, kein Wörterbuchwort mit angehängter Zahl.
- Ein separates Gastnetzwerk einrichten für Besucher und nicht vertrauenswürdige IoT-Geräte, isoliert vom Haupt-LAN, damit ein kompromittiertes Smart-Plug nicht auf Ihren PC zugreifen kann.
- WPS deaktivieren — die PIN-basierte Kopplungsfunktion hat bekannte Schwachstellen, die das WLAN-Passwort offenlegen können.
4. Offene Ports und Weiterleitungen prüfen
Scannen Sie Ihr Netzwerk von innen (LAN) und prüfen Sie, was Ihr Router nach außen weiterleitet (WAN) — diese beantworten unterschiedliche Fragen, und beide sind wichtig. Schließen oder firewallen Sie alles, was nicht aktiv genutzt wird, und löschen Sie veraltete Portweiterleitungsregeln für Dienste, die Sie nicht mehr betreiben. Unser Ratgeber zu offenen Ports zeigt genau wie, inklusive der Ports, die zuerst geprüft werden sollten.
5. Alles gepatcht halten
- Automatische Windows-Updates aktivieren auf jedem PC — verzögertes Patchen zählt zu den größten Einzelfaktoren realer Sicherheitsvorfälle.
- Nicht-Windows-Geräte nicht vergessen — Router-Firmware, NAS-Software, Kamera-Firmware, Drucker-Firmware liefern ebenfalls Sicherheitspatches, werden aber standardmäßig deutlich seltener aktualisiert.
- Nach echtem Risiko priorisieren, nicht nur nach Schweregrad. Siehe unseren Ratgeber zu CVE, CVSS, EPSS und KEV, um zu erkennen, welche Schwachstellen wirklich dringend sind.
6. Konten und Berechtigungen prüfen
- Nicht mehr genutzte Konten entfernen — der Windows-Login eines ehemaligen Mitarbeiters, ein altes geteiltes Admin-Konto.
- Mehrfaktor-Authentifizierung aktivieren, wo immer angeboten, besonders bei allem mit Fernzugriff.
- Kein Administrator-Konto für die tägliche Arbeit nutzen — ein Standard-Benutzerkonto begrenzt, was Schadsoftware anrichten kann, falls doch etwas durchkommt.
7. Backups vor dem Ernstfall
Ransomware bleibt eines der häufigsten realen Ergebnisse einer Netzwerkkompromittierung, und ein getestetes, offline (oder unveränderliches Cloud-) Backup ist der zuverlässigste Weg, daraus etwas Wiederherstellbares statt einer Katastrophe zu machen. Ein Backup, das nie wiederhergestellt wurde, ist kein verifiziertes Backup — testen Sie es.
Die 3-2-1-Regel gilt weiterhin: 3 Kopien Ihrer Daten, auf 2 verschiedenen Speichermedien, davon 1 Kopie extern oder offline gelagert.
8. Laufendes Monitoring einrichten
Eine Checkliste, die Sie einmal durchgehen, ist eine Momentaufnahme; ein Netzwerk verändert sich ständig. Die wirkungsvollste Gewohnheit ist, aus einem einmaligen Audit etwas zu machen, das dauerhaft beobachtet und Sie bei Änderungen informiert:
- Geplante Scans, die Geräteinventar, offene Ports und Schwachstellen automatisch neu prüfen.
- Änderungsalarme sofort, wenn ein neues Gerät beitritt, ein neuer Port öffnet oder ein Gerät verschwindet — per E-Mail, Slack oder Telegram, statt darauf angewiesen zu sein, selbst ans Prüfen zu denken.
- Historische Aufzeichnungen, damit Sie "wann hat das angefangen" statt nur "wie sieht es gerade aus" beantworten können.
Der Hintergrund-Windows-Dienst von LANsentry übernimmt genau diese Art von laufendem Monitoring — er scannt nach Zeitplan, auch während die App selbst geschlossen ist, und zeigt die Ergebnisse, sobald Sie sie wieder öffnen.
Machen Sie aus dieser Checkliste eine automatisierte Gewohnheit
LANsentry inventarisiert jedes Gerät, scannt auf offene Ports und Schwachstellen und alarmiert Sie, sobald sich Ihr Netzwerk ändert — alles lokal auf Windows.
Häufige Fragen
Was ist der erste Schritt, um ein kleines Windows-Netzwerk abzusichern?
Herausfinden, welche Geräte überhaupt verbunden sind. Jeder weitere Schritt — Router härten, patchen, Ports schließen — setzt ein vollständiges, aktuelles Geräteinventar voraus, denn ein unbekanntes Gerät lässt sich nicht absichern. Ein Netzwerkscan liefert diese Liste in etwa einer Minute.
Ist WPA2 für das WLAN noch sicher genug?
WPA2 mit einem langen, zufälligen Passwort ist noch vertretbar, aber WPA3 ist der aktuelle Standard und sollte genutzt werden, wo Router und Geräte es unterstützen. Niemals WEP oder ein offenes Netz verwenden und WPS abschalten, dessen PIN-Verfahren bekannte Schwächen hat.
Wie oft sollte ich mein Netzwerk auf Schwachstellen prüfen?
Nach jeder Änderung — neues Gerät, Router-Firmware-Update, neue Portweiterleitung — und sonst nach festem Rhythmus, etwa wöchentlich oder monatlich. Geplante Scans mit Änderungsalarm erkennen neue Geräte und neu geöffnete Ports, ohne dass jemand daran denken muss.