FRITZ!Box absichern – Schritt für Schritt

Schritt‑für‑Schritt

1. Konfiguration sichern: Öffne System > Sicherung und speichere eine kennwortgeschützte Sicherungsdatei an einem sicheren Ort. Notiere das Sicherungskennwort getrennt. So kannst du die Ausgangslage wiederherstellen, falls eine Änderung Probleme verursacht.
2. FRITZ!OS aktualisieren: Öffne System > Update, suche nach einem neuen FRITZ!OS und installiere verfügbare Aktualisierungen. Aktiviere unter Auto-Update die automatische Installation sicherheitsrelevanter Updates, sofern dein Modell diese Auswahl anbietet.
3. Kennwort der FRITZ!Box ändern: Öffne System > FRITZ!Box-Benutzer und bearbeite den Benutzer für die Anmeldung. Vergib ein langes, einzigartiges Kennwort, das du nirgendwo sonst verwendest. Lege für verschiedene Personen eigene Benutzer an und erteile nur die tatsächlich benötigten Rechte.
4. WLAN-Kennwort ändern: Öffne WLAN > Sicherheit. Verwende WPA2 oder den WPA2/WPA3-Übergangsmodus und ein eigenes langes WLAN-Kennwort. Das WLAN-Kennwort muss sich vom Kennwort der FRITZ!Box unterscheiden. Nach dem Speichern müssen alle WLAN-Geräte mit dem neuen Kennwort verbunden werden.
5. Quad9 als DNS-Server eintragen: Öffne Internet > Zugangsdaten > DNS-Server und aktiviere Andere DNSv4-Server verwenden. Trage 9.9.9.9 als bevorzugten und 149.112.112.112 als alternativen DNSv4-Server ein. Für IPv6 verwendest du 2620:fe::fe und 2620:fe::9. Falls DNS over TLS angeboten wird, kannst du dns.quad9.net als aufzulösenden Servernamen eintragen. Quad9 blockiert bekannte schädliche Domains, kann aber nicht jede Bedrohung erkennen.
6. Unnötige Dienste deaktivieren: Prüfe unter Heimnetz > Mediaserver, ob der FRITZ!Box-Mediaserver wirklich genutzt wird, und deaktiviere ihn andernfalls. Kontrolliere außerdem ungenutzte NAS-/USB-Freigaben, Gastzugänge, MyFRITZ!- beziehungsweise Internetzugriffe und Benutzerrechte. Deaktiviere nur Funktionen, deren Zweck du kennst und die kein Gerät benötigt.
7. Optional: Netzwerkanwendung für hohe TCP-Ports anlegen: Führe diesen experimentellen Schritt nur aus, wenn du die möglichen Funktionsstörungen akzeptierst. Öffne Internet > Filter > Listen > Netzwerkanwendungen und füge eine Anwendung mit dem Namen Hohe Zielports sperren hinzu. Lege für TCP den Quellport als beliebig und den Zielportbereich 30000 bis 65535 fest.
8. UDP-Ports 30000 bis 65535 ergänzen: Ergänze in derselben Netzwerkanwendung eine zweite Regel für UDP: Quellport beliebig, Zielport 30000 bis 65535. Gemeint sind die Zielports der ausgehenden Verbindung – nicht die dynamischen Quellports des eigenen Geräts.
9. Portsperre einem Zugangsprofil zuweisen: Öffne Internet > Filter > Zugangsprofile und erstelle zunächst ein eigenes Profil, zum Beispiel Gehärtet. Wähle unter gesperrte Netzwerkanwendungen die zuvor angelegte Regel aus. Weise dieses Profil anschließend unter Kindersicherung den gewünschten Geräten zu. Nur zugewiesene Geräte werden von der Regel erfasst.
10. Wichtige Funktionen testen: Teste Internetseiten, E-Mail, Messenger, Streaming, Telefonie, VPN, Spiele, Kameras und beruflich benötigte Programme. Prüfe außerdem unter System > Ereignisse, ob Fehler auffallen. Wenn eine Anwendung nicht mehr funktioniert, entferne die Portsperre testweise aus dem Zugangsprofil und grenze die benötigten Zielports gezielt ein.

Warum Quad9 sinnvoll sein kann

Quad9 ist ein öffentlicher DNS-Dienst der Schweizer Quad9 Foundation. Die empfohlenen Adressen 9.9.9.9 und 149.112.112.112 verwenden DNSSEC-Prüfung und blockieren anhand verschiedener Bedrohungsquellen bekannte schädliche Domains.

Der Schutz greift nur bei DNS-Anfragen, die tatsächlich über Quad9 laufen. Geräte oder Browser mit eigenem DNS-over-HTTPS, direkte Verbindungen zu IP-Adressen und noch unbekannte schädliche Domains können die Filterwirkung umgehen. Quad9 ist daher eine zusätzliche Schutzschicht und kein Ersatz für Updates, Virenschutz oder vorsichtiges Verhalten.

Optionale Portsperre: Nutzen und Grenzen

Eine Sperre der Zielports 30000 bis 65535 verhindert, dass ausgewählte Heimnetzgeräte ausgehende TCP- oder UDP-Verbindungen zu Diensten in diesem Bereich aufbauen. Sie kann einzelne unerwünschte Verbindungen stören, bietet aber nur einen begrenzten und leicht umgehbaren Zusatzschutz.

Die Maßnahme gehört nicht zur notwendigen Grundabsicherung: Schadsoftware kann weiterhin häufig erlaubte Zielports wie 80, 443 oder 53 verwenden. Gleichzeitig nutzen viele legitime Spiele und Anwendungen hohe Zielports. Verwende die Regel daher höchstens experimentell in einem eigenen Zugangsprofil auf wenigen Geräten und entferne sie bei Problemen wieder.

Reicht die FRITZ!Box als Firewall für zu Hause?

Die FRITZ!Box ersetzt keine professionelle Firewall mit zentraler Protokollauswertung, fein abgestuften Regeln, Angriffserkennung und verwalteten Sicherheitsrichtlinien. Solche Systeme sind vor allem in Unternehmen und besonders schutzbedürftigen Netzen erforderlich.

Für ein übliches Heimnetz ist die integrierte Firewall der FRITZ!Box in der Regel vollkommen ausreichend, wenn FRITZ!OS aktuell bleibt, keine unnötigen Freigaben oder Fernzugriffe aktiv sind, starke unterschiedliche Kennwörter verwendet werden und die angeschlossenen Geräte ebenfalls gepflegt und aktualisiert sind.

Wenn es nicht klappt

• Nach der DNS-Änderung laden Seiten nicht: Prüfe alle vier eingetragenen Adressen auf Tippfehler. Deaktiviere testweise DNS over TLS oder stelle vorübergehend die automatische DNS-Zuweisung des Internetanbieters wieder her. Funktioniert es dann, liegt die Ursache in der DNS-Konfiguration oder Erreichbarkeit.
• Ein WLAN-Gerät verbindet sich nicht mehr: Lösche auf diesem Gerät das gespeicherte WLAN und verbinde es mit dem neuen Kennwort erneut. Bei sehr alten Geräten kann der WPA2/WPA3-Übergangsmodus nötig sein.
• Spiel, VPN oder Kamera funktioniert nicht mehr: Entferne die Regel Hohe Zielports sperren testweise aus dem zugewiesenen Zugangsprofil. Funktioniert der Dienst danach wieder, benötigt er wahrscheinlich einen hohen Zielport. Suche im Internet bevorzugt auf der offiziellen Supportseite des Spiels oder der Anwendung nach den benötigten TCP- und UDP-Zielports. Passe anschließend den gesperrten Bereich gezielt an oder nimm nur das betroffene Gerät aus dem gehärteten Profil. Öffne nicht pauschal alle Ports.
• Die Menüpunkte sehen anders aus: Aktiviere gegebenenfalls die erweiterte Ansicht und prüfe die installierte FRITZ!OS-Version. Bei älteren oder vom Anbieter angepassten Modellen können Bezeichnungen und verfügbare Funktionen abweichen.

Häufige Fragen

• Sind FRITZ!Box-Kennwort und WLAN-Kennwort dasselbe?
  Nein. Das FRITZ!Box-Kennwort schützt die Bedienoberfläche, das WLAN-Kennwort den Zugang zum Funknetz. Beide sollten unterschiedlich und einzigartig sein.
• Schützt Quad9 vollständig vor Schadsoftware?
  Nein. Quad9 kann bekannte schädliche Domains bei der Namensauflösung blockieren. Direkte IP-Verbindungen, eigene DNS-Einstellungen einzelner Apps oder Geräte und neue Bedrohungen werden dadurch nicht zuverlässig verhindert.
• Muss die Portsperre auf alle Geräte angewendet werden?
  Nein. Sie sollte zunächst in einem eigenen Zugangsprofil getestet werden. Geräte mit Spielen, VPN, Kameras, Telefonie oder Spezialsoftware können hohe Zielports benötigen.
• Ersetzt die Portsperre eine Firewall?
  Nein. Sie ist eine zusätzliche ausgehende Filterregel für ausgewählte Geräte. Updates, sichere Kennwörter, eingeschränkte Benutzerrechte und Schutz auf den Endgeräten bleiben notwendig.

Wenn du bei der Umsetzung Hilfe brauchst

Wir helfen je nach Problem per Fernhilfe, telefonisch, in der Werkstatt oder nach Absprache vor Ort. Ein Foto oder Screenshot der Fehlermeldung hilft bei der ersten Einordnung.

Kontakt aufnehmen WhatsApp