Kaffee läuft. Wir auch. Noch bis 18:00 Uhr erreichbar.

Smart Home im selben WLAN? Warum getrennte Netze oft die bessere Idee sind

·

Blogger Bernhard

Saugroboter, Fernseher, Steckdosen, Kameras und andere Smart-Home-Geräte sind kleine Computer mit Netzwerkzugang. Praktisch ist das. Aus Sicht der IT-Sicherheit ist es aber nicht automatisch sinnvoll, jedes dieser Geräte im gleichen Netz wie Notebook, NAS oder Arbeitsrechner zu betreiben.

Für mehr Trennung braucht es zu Hause nicht zwingend eine komplizierte Firmen-Netzwerkarchitektur. Schon ein separates Gast- oder IoT-Netz kann die Angriffsfläche sinnvoll begrenzen. Entscheidend ist allerdings, zu verstehen, was diese Trennung leisten kann – und was nicht.

Warum überhaupt trennen?

Viele IoT-Geräte besitzen ein Betriebssystem, Netzwerkdienste und häufig eine Verbindung zu Cloud-Diensten. Damit gelten grundlegende Regeln wie bei anderen Netzwerkgeräten: verfügbare Sicherheitsupdates installieren, sichere Zugangsdaten verwenden und unnötige Zugriffe vermeiden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt, IoT-Geräte in einem separaten Netz zu betreiben, das nicht mit sensiblen Daten oder Geräten wie dem Computer verbunden ist (S2). Ein NIST-Papier zur Telemedizin im Smart Home nennt Netzwerksegmentierung unter seinen Maßnahmen und weist darauf hin, dass IoT-Geräte als Einstiegspunkt in andere Systeme dienen können (S4). Segmentierung macht ein unsicheres Gerät nicht plötzlich sicher. Sie kann aber begrenzen, welche anderen Systeme ein kompromittiertes Gerät direkt erreichen kann.

Was bedeutet Netzwerksegmentierung?

Im einfachsten Fall gibt es nicht mehr nur ein einziges Netz für alles. Geräte werden nach Zweck getrennt, zum Beispiel:

  • Hauptnetz: PCs, Notebooks, Smartphones und vertrauenswürdige Geräte
  • IoT-Netz: Smart-TV, Steckdosen, Saugroboter, Kameras oder andere vernetzte Geräte
  • Gastnetz: Geräte von Besuchern, die hauptsächlich Internetzugang benötigen

Bei größeren oder professionelleren Netzen lässt sich das mit VLANs und Firewall-Regeln feiner umsetzen. Für viele Privathaushalte wäre das jedoch unnötig kompliziert. Wenn der vorhandene Router bereits ein sauber getrenntes Gastnetz anbietet, ist das oft der sinnvollere erste Schritt.

Was bringt ein Gastnetz wirklich?

Das BSI beschreibt ein Gäste-WLAN als zusätzliches, vom bestehenden Heimnetz getrenntes Netz und nennt smarte Geräte wie Saugroboter, Rollladensteuerungen oder intelligente Türklingeln als geeigneten Anwendungsfall (S1). Bietet der Router keine Netzsegmentierung, kann laut BSI stattdessen ein Gäste-WLAN dienen. Es sollte dann nur für IoT-Geräte genutzt werden, und die Zugangsdaten sollten Sie an niemanden weitergeben (S2). AVM schreibt zum FRITZ!Box-Gastzugang: „Die Nutzer dieses Zugangs erhalten ausschließlich den Zugang zum Internet.“ (S3)

Für einen Saugroboter, der im Wesentlichen nur seinen Online-Dienst erreichen muss, kann das ausreichen. Ein Gerät, das keinen Zugriff auf Ihr NAS oder Ihren Arbeitsrechner benötigt, muss diesen Zugriff nicht vorsorglich bekommen.

Der Haken: Nicht jedes Smart Home funktioniert isoliert

Hier wäre die pauschale Empfehlung „alles ins Gastnetz“ falsch. Manche Smart-Home-Systeme benötigen lokale Kommunikation zwischen Smartphone, Zentrale, Lautsprecher, Fernseher oder anderen Geräten. Das BSI weist selbst darauf hin, dass es nicht sinnvoll ist, Geräte in ein getrenntes Netz zu verschieben, die auf Daten im Heimnetz zugreifen müssen, etwa einen Smart-TV, der Mediendateien aus dem Netz abspielen soll (S2).

Die sinnvolle Reihenfolge lautet deshalb nicht „alles trennen und schauen, was kaputtgeht“, sondern: zuerst prüfen, welche Geräte tatsächlich miteinander sprechen müssen. Ein einfaches Gastnetz eignet sich gut für Geräte, die im Wesentlichen nur Internet benötigen. Sobald gezielte Verbindungen zwischen verschiedenen Netzbereichen erforderlich sind, braucht es eine Lösung, die solche Ausnahmen kontrolliert zulässt.

Gastnetz oder VLAN?

Ein VLAN ist nicht automatisch sicher, nur weil der Begriff professioneller klingt. Die tatsächliche Trennung hängt auch von den Regeln zwischen den Netzen ab. Werden verschiedene Netzbereiche anschließend ohne Einschränkung miteinander verbunden, ist der Sicherheitsgewinn entsprechend klein.

Für ein typisches Zuhause ist ein Router-Gastnetz deshalb häufig die vernünftigere Lösung: weniger Verwaltungsaufwand, weniger Fehlerquellen und trotzdem eine Trennung vom Hauptnetz. VLANs werden interessant, wenn mehrere Gerätegruppen unterschiedliche Zugriffsrechte benötigen – beispielsweise wenn einzelne Steuerzentralen aus dem Hauptnetz erreichbar sein sollen, andere Verbindungen aber blockiert bleiben.

Vier praktische Regeln für IoT-Geräte

1. Nur so viel Netzwerkzugriff wie nötig

Wenn ein Gerät nur Internet benötigt, gibt es normalerweise keinen Grund, ihm gleichzeitig Zugriff auf PCs, NAS-Systeme oder andere sensible Geräte zu geben.

2. Updates nicht vergessen

Netztrennung ersetzt keine Sicherheitsupdates. Das BSI rät, schon vor dem Kauf zu prüfen, ob der Hersteller Updates für die gesamte Lebensdauer liefert, und automatische Updates zu aktivieren, wo möglich. Geräte ohne Updates bleiben angreifbar; erhalten sie keine Sicherheitsupdates mehr, sollten Sie sie ersetzen (S2).

3. Voreingestellte Zugangsdaten ersetzen

Wo ein Gerät eigene Zugangsdaten verwendet und deren Änderung vorsieht, sollten voreingestellte oder schwache Kennwörter ersetzt werden. Das BSI warnt, dass Geräte ohne Passwortschutz oder mit voreingestellten Standardpasswörtern leicht mit Schadsoftware infiziert werden und etwa Teil eines Botnetzes werden können (S2).

4. Erst prüfen, dann komplizierter werden

Ein Heimnetz muss nicht aussehen wie das Rechenzentrum eines Großunternehmens. Wenn Gastnetz, aktuelle Firmware und vernünftige Zugangsdaten den Bedarf abdecken, ist das oft die bessere Lösung als eine komplexe Konfiguration, die später niemand mehr versteht oder wartet.

Und bei der FRITZ!Box?

Wer eine FRITZ!Box einsetzt, kann den vorhandenen Gastzugang als einfache Trennlinie nutzen, sofern die benötigten Geräte mit dessen Einschränkungen funktionieren. AVM dokumentiert für den Gastzugang, dass dessen Nutzer ausschließlich Zugang zum Internet erhalten (S3). Die genaue Verfügbarkeit und Bezeichnung einzelner Optionen hängt vom Modell und FRITZ!OS-Stand ab.

Eine allgemeine Einführung zu sinnvollen Grundeinstellungen finden Sie in unserem Beitrag Die wichtigsten Ersteinstellungen für Ihre FRITZ!Box.

Geht es dagegen hauptsächlich um Funklöcher und WLAN-Abdeckung, ist Netztrennung nicht die Lösung. Dafür lohnt sich unser Vergleich Mesh-System oder Repeater – was hilft wirklich gegen Funklöcher?.

Fazit

Nicht jedes vernetzte Gerät gehört automatisch ins gleiche Netz. Gerade Smart-Home- und IoT-Geräte lassen sich häufig sinnvoll vom Hauptnetz trennen. Das beseitigt nicht jede Schwachstelle, kann aber die möglichen Auswirkungen eines kompromittierten Geräts begrenzen.

Für viele Haushalte reicht dafür bereits ein vorhandenes Gastnetz. Erst wenn Geräte gezielt über Netzgrenzen hinweg miteinander kommunizieren müssen oder mehrere Sicherheitszonen benötigt werden, lohnt sich der Schritt zu VLANs und individuelleren Firewall-Regeln. Technik sollte ein Problem lösen – nicht aus einem einfachen Heimnetz ein neues Hobbyprojekt machen, wenn dafür gar kein Bedarf besteht.

Quellen & weiterführende Informationen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert