Es steht meistens im Flur. Oder im Keller. Ein flaches, warm laufendes Gerät mit blinkenden LEDs, das der Provider bei Vertragsabschluss mitgebracht hat. Man steckt es an, verbindet das WLAN, vergisst es. Jahre später läuft es noch — gleiche Firmware, gleiches Passwort, gleiche Lücken wie am ersten Tag.

Niemand im Haushalt weiß, was darin passiert. Niemand kann es herausfinden. Das Gerät, das den Übergang bewacht zwischen dem öffentlichen Internet und allem, was einem wichtig ist — Bankverkehr, Familiengeräte, Kameras, die VPN-Verbindung ins Homeoffice —, ist eine Blackbox. Und die Bilanz dieser Blackboxen ist, ehrlich gesagt, katastrophal.

Eine Chronik des Versagens

Man muss nicht lange graben, um Haarsträubendes zu finden. Die Geschichte der Kundengeräte — der sogenannten CPE, Customer Premises Equipment — ist eine Folge von Skandalen, die jeweils kurz Aufsehen erregten und dann in der nächsten Gerätegeneration vergessen wurden.

2016 übernahm der Mirai-Wurm hunderttausende Geräte, schlicht dadurch, dass er Werkstatt-Logins und Standardpasswörter ausprobierte, die nie geändert worden waren. Router gehörten dazu. Dieselben Geräte wurden dann als Heer gegen kritische Infrastruktur eingesetzt — der Angriff auf den DNS-Dienstleister Dyn legte Twitter, Reddit, Netflix und GitHub gleichzeitig lahm.

2018 fiel VPNFilter auf. Kein Script-Kiddie-Zufall, sondern ein professioneller, staatlich zugeschriebener Angreifer. Betroffen waren SOHO-Router von Linksys, MikroTik, Netgear, TP-Link und QNAP. Schätzungen sprachen von über einer halben Million infizierter Geräte in 54 Ländern. Die Malware überlebte Neustarts, konnte Firmware zerstören, Verkehr abgreifen, Zugangsdaten sammeln und die Geräte als anonyme Relais für weitere Angriffe nutzen. Das FBI konfiszierte eine Kontroll-Domain. Die Botschaft war unüberhörbar: Wer ein Consumer-Router betreibt, betreibt potenziell einen Soldaten in fremdem Auftrag.

Davor und danach: Misfortune Cookie (2014), eine Lücke in der RomPager-Software, die in unzähligen ISP-Gateway-Geräten steckte und über zwölf Millionen Geräte remotely-rootbar machte. TheMoon-Wurm gegen Linksys. TR-069/CWMP-Schnittstellen, die Provider fernwartbar machen — und deren Öffnung gleichzeitig jedem offensteht, der die Schnittstelle findet. UPnP, das automatisch Ports nach außen öffnete und Millionen Netzwerke angreifbar machte. FTC-Verfahren gegen ASUS (2016, zwanzigjährige Audit-Auflage) und D-Link (Klage 2017), weil Marketing »Advanced Security« versprach, während die Geräte elementare Schutzfunktionen vermissen ließen.

Und das ist nur die versehentliche Seite.

Versehentliche Lücken — und beabsichtigte Hintertüren

Hier wird es ungemütlich. Nicht jede Schwachstelle ist ein Versehen.

2013 fand ein Forscher einen versteckten Dienst auf TCP-Port 32764 in Dutzenden Router-Modellen des Herstellers Sercomm — Geräte, die unter den Marken Linksys, Netgear, Cisco, Diamond und weiteren verkauft wurden, schätzungsweise zwei Millionen Stück. Der Dienst akzeptierte Klartext-Befehle mit Root-Rechten. Keine Authentifizierung. Eingebaute Fernsteuerung, schlicht vergessen, abzuschalten. Später folgten Berichte über hartcodierte Accounts in diversen Consumer- und Kleinbusiness-Geräten, über Debug-Schnittstellen, die im Produktionsimage verblieben, über Update-Kanäle, die zwar signiert, aber intransparent waren.

Dazu kommen politische Warnungen, die man nicht vom Tisch wischen darf. Die USA, Australien und mehrere europäische Staaten haben Ausrüstung bestimmter Hersteller aus kritischer Infrastruktur verbannt — mit der Begründung möglicher staatlicher Einflussnahme. Bewiesen im strengen forensischen Sinne ist das nicht immer. Aber die Frage, ob ein Gerät hinten eine Tür hat, deren Schlüssel nur der Hersteller — und vielleicht ein Staat — besitzt, lässt sich bei geschlossener Firmware schlicht nicht beantworten. Und genau das ist das Problem.

Bei offengelegtem Code kann man suchen. Bei geschlossener Firmware kann man nur hoffen. Hoffen, dass kein zweiter Port 32764 existiert. Hoffen, dass das Update-Image wirklich nur das enthält, was das Changelog nennt. Hoffen, dass niemand einen Notfallzugang hinterlassen hat, den niemand dokumentiert hat. Sicherheit auf Hope zu gründen, ist keine Strategie. Es ist ein Glücksspiel.

Warum »das ist doch nur der Router« tödlich ist

Immer wieder höre ich: »Aber an dem Router hängen doch nur private Geräte.«

Genau da sitzt der Denkfehler. Der Router ist nicht irgendein Gerät am Rand. Er ist die Tür, durch die alles geht. Jede E-Mail, jede Banking-Sitzung, jedes Video-Telefongespräch mit dem Steuerberater, jeder Login ins Unternehmensnetzwerk aus dem Homeoffice — alles passiert an diesem Gerät vorbei. Wer den Router kontrolliert, kontrolliert den gesamten Datenstrom. Er kann DNS-Auflösungen umbiegen und Bankseiten auf gefälschte Server umleiten. Er kann Zertifikate injizieren und Verschlüsselung stillschweigend aufbrechen. Er kann laterale Bewegung ins interne Netz starten — zu NAS, zu Kameras, zu ungeschützten Smart-Home-Geräten, zu Arbeitsrechnern mit Unternehmenszugang. Und er kann das Ganze als Brückenkopf für Angriffe nutzen, die nichts mit dem Besitzer zu tun haben, sondern damit, dass das Gerät als Relay für Botnetze dient.

Im Unternehmenskontext ist der CPE der Rand der ganzen Organisation. Eine kleine Zweigstelle mit einem schlecht gewarteten Provider-Router ist kein isoliertes Risiko — sie ist der Weg hinein.

Neue Feinde, alte Geräte

Die Lage verschärft sich. Zwei Entwicklungen machen den Zustand dringlicher.

Erstens: Edge-Geräte sind zum bevorzugten Zielpunkt staatlicher Angreifer geworden. SOHO-Router stehen unter niedriger Aufsicht, werden selten aktualisiert und bieten lange Verweildauer. Genau das sucht, wer persistenzorientiert arbeitet. Die großen Kampagnen der letzten Jahre zielten nicht auf Rechenzentren, sondern auf die unbemannten Kisten am Netzwerkrand.

Zweitens: Die Werkzeuge, mit denen Schwachstellen gefunden und ausgenutzt werden, werden massenhaft verfügbar. Automatisierte Scanner, KI-gestützte Exploit-Generierung, autonome offensive Systeme — die Barriere sinkt. Wer früher Monate brauchte, um eine Firmware zu analysieren, bekommt heute in Stunden Hinweise auf Anomalien. Die Verteidigung hingegen wartet weiter auf den Hersteller-Patch, der oft nie kommt. Viele Modelle erhalten nach zwei, drei Jahren schlicht keine Updates mehr — formal Supportende, faktisch Sterbeurkunde.

Dieses Ungleichgewicht ist strukturell. Der Angreifer muss einmal gewinnen. Der Verteidiger muss jedes Mal gewinnen — mit einer Blackbox, die er weder lesen noch patchen kann.

Die vernünftigen Alternativen

Es gibt sie. Und sie sind nicht exotisch. Vier Familien von Systemen bilden die einzig rationale Antwort, wenn man die Kontrolle über den Netzübergang ernst nimmt.

OpenWrt. Entstanden aus genau jenem Moment, als 2003 der Linksys WRT54G samt Linux-Firmware unter GPL freigegeben werden musste — eine Geschichte, die zeigt, was durchgesetztes Copyleft bewirken kann. OpenWrt ersetzt die Firmware unterstützter Consumer-Router durch ein offenes Linux-System. Konfiguration lesbar, Paketmanager inklusive, regelmäßige Updates, Web-Oberfläche LuCI. Wer ohnehin passende Hardware hat, rettet damit die Investition und gewinnt ein Gerät, das er versteht.

OPNsense. FreeBSD-basiert, 2014 als Abspaltung von pfSense entstanden, mit modernerer Oberfläche, harter Default-Konfiguration und aktiver Release-Politik. Bringt IDS/IPS via Suricata, WireGuard und IPsec, Zertifikatsverwaltung und Logging an Bord. Läuft auf x86-Miniappliances oder virtuellen Maschinen. Für viele der vernünftigste Einstieg in ein »echtes« Firewallsystem.

pfSense. Ebenfalls FreeBSD, der ältere, sehr verbreitete Verwandte. Ausgereift, in zahlreichen KMU-Umgebungen produktiv, mit High-Availability, Multi-WAN und umfangreicher Dokumentation. Wer ein stabiles, erprobtes System sucht, findet es hier.

Manuelle Firewall auf Linux oder BSD. Für alle, die volle Kontrolle wollen: nftables auf dem Linux-Kernel (Nachfolger von iptables, Teil von netfilter) oder pf auf OpenBSD — konfiguriert auf einem gehärteten Host, der zugleich als Router fungiert. Regelwerk als Code versioniert, auditierbar, reproduzierbar. Maximale Transparenz, maximale Verantwortung. Wer diesen Weg geht, versteht jedes Paket, das passiert.

Diese Systeme sind die vernünftige Alternative, weil sie offen sind. Weil man das Regelwerk lesen kann. Weil Updates kommen, weil eine Community dahintersteht. Weil man nicht hoffen muss, sondern wissen kann.

Es ist einfacher, als die meisten denken

Das Gegenargument lautet: »Das ist was für Profis. Für mich als Normalnutzer zu kompliziert.«

Stimmt nicht. Die Einstiegshürde ist niedriger als ihr Ruf.

Eine ausgemusterte Mini-PC, ein Thin Client aus dem Bürorestposten, ein kleiner x86-Appliance für hundert Euro — allesamt werden zu ernstzunehmenden Firewalls, sobald OPNsense oder pfSense darauf läuft. Ein Raspberry Pi reicht für kleine Heimnetze. Wer bereits einen kompatiblen Consumer-Router hat, flasht OpenWrt in zehn Minuten und behält die Hardware. Ein günstiger managed Switch mit VLAN-Funktion gliedert das Netz in Gäste-, IoT- und Arbeitsbereich — kein Hexenwerk.

Und man muss nicht tippen. LuCI, die OPNsense- und pfSense-Weboberflächen führen durch Setup, Regeln, VPN-Tunnel. Kommandozeile ist optional — wer sie will, gewinnt Präzision; wer sie nicht will, kommt dennoch ans Ziel. Ein Wochenende Lernaufwand, eine gute Dokumentation, eine hilfsbereite Community. Danach betreibt man ein System, das man versteht — jahre-, oft jahrzehntelang.

Warum die breite Masse es ernsthaft überlegen sollte

Sicherheit darf kein Luxus für Experten bleiben. Die Werkseinstellungen, die Provider ausliefern, sind nicht auf Verteidigung optimiert, sondern auf möglichst wenige Supportanrufe. Das ist kein böser Wille — es ist ein wirtschaftlicher Anreiz, der strukturell gegen den Nutzer arbeitet.

Die Kosten eines Einbruchs — Identitätsdiebstahl, geleerte Konten, kompromittierte Kameras, Kinderdaten in fremden Händen, ein Unternehmen, das über das Homeoffice angegangen wird — stehen in keinem Verhältnis zu einem Wochenende Aufwand. Und kollektiv gesehen: Solange Millionen Router als Botnetzsoldaten missbrauchbar bleiben, sind wir alle betroffen, auch wer selbst gut abgesichert ist. Digitale Hygiene ist keine Privatangelegenheit. Wer seinen Router härtet, schützt nicht nur sich selbst — er entfernt einen potenziellen Soldaten aus einem Heer, das gegen andere gerichtet wird.

Wenn es größer wird: zentrale Verwaltbarkeit

Im kleinen Rahmen reicht ein einzelnes Gerät. Wer mehrere Standorte betreibt — ein mittelständisches Unternehmen, eine Organisation mit Außenstellen, ein Wohncenter mit mehreren Segmenten —, braucht mehr: eine Flotte von Firewalls, die gemeinsam geführt wird.

Genau hier spielen OpenWrt, OPNsense und pfSense ihre zweite Stärke aus. Konfiguration als Code, ausgerollt per Ansible oder Puppet. Zentrales Logging in Graylog oder Wazuh. Monitoring über Prometheus, Grafana oder LibreNMS. Meshed VPNs über WireGuard oder IPsec, die Standorte verbinden. Zero-Touch-Provisioning, das ein neues Gerät am entfernten Standort beim ersten Start in die bestehende Struktur einordnet. Koordinierte Incident Response über alle Knoten hinweg. Das ist keine Schwarzmagie — es ist etablierte Praxis. Versucht das mal mit einer Sammlung unterschiedlicher Provider-Boxen.

Was das für libcom.de bedeutet

Hier wird es konkret. Firewallsysteme und Netzwerksicherheit sind ein Spezialgebiet von libcom.de. Seit über zwei Jahrzehnten plane, baue und betreibe ich — Jochen Demmer — offene Firewall- und Routinglösungen, vom gehärteten Einzelgerät bis zur zentral administrierten Fleet über mehrere Standorte.

Wichtig: Das sind keine Lösungen von der Stange. Jede Umgebung hat eigene Anforderungen — eigene Topologie, eigene Bedrohungslage, eigene Compliance-Vorgaben, eigene Wachstumsrichtung. Eine Lösung, die pauschalisiert, schützt genauso wenig wie der Provider-Router, den sie ersetzen soll. Deshalb beginnt die Arbeit nicht mit einem Produktkatalog, sondern mit einer Bestandsaufnahme: Was läuft, was schützt es, was nicht, und wohin soll es sich entwickeln?

Für kleinere Umgebungen heißt das oft: ein gehärtetes OpenWrt- oder OPNsense-Gerät, sauber segmentiert, dokumentiert, übergeben. Für größere: ein verteiltes Firewallsystem mit zentraler Verwaltung, Config-as-Code, Monitoring, Alarmierung und klarem Migrationspfad. Wir planen, implementieren, dokumentieren und schulen — und bleiben nicht der Flaschenhals. Wer uns verlässt, kann das System weiterbetreiben, weil es verständlich, standardisiert und nachvollziehbar ist.

Wenn Sie sich fragen, ob Ihr aktueller Netzübergang noch zeitgemäß ist, oder wenn Sie eine Lösung suchen, die über die nächste Provider-Box hinausgeht: Schreiben Sie an contact@libcom.de. Wir machen eine ehrliche Bestandsaufnahme. Ohne Verkaufsdruck. Mit dem Blick auf das, was langfristig Bestand hat.

Der Router am Rand Ihres Netzes ist kein neutrales Gerät. Er ist die Stelle, an der alles vorbeikommt — und an der am wenigsten hingeschaut wird. Es ist an der Zeit, das zu ändern.

Offene Firewallsysteme sind keine Maßnahme für Spezialisten. Sie sind die vernünftige Antwort auf eine Blackbox, die zu lange unbeanstandet blieb.

Hinweis: Dieser Artikel bietet allgemeine Orientierung und ersetzt keine individuelle Sicherheitsprüfung. Aussagen zu konkreten Produkten oder Herstellern beruhen auf öffentlich bekannten Vorfällen; alle Angaben erfolgen ohne Gewähr.