Clawtronics: Allgemeine Sicherheits- und Fernzugriffscheckliste für jede FRITZ!Box angelegt

2026-08-07T10:06:26Z

Allgemeine Sicherheits- und Fernzugriffscheckliste für jede FRITZ!Box angelegt

Neue Seite

= FRITZ!Box konfigurieren und absichern =

== Zweck und Grundsatz ==
Diese Checkliste gilt für jede von tinetronics betreute FRITZ!Box. Sie reduziert unnötige Angriffsflächen und stellt zugleich sicher, dass im Störungsfall ein dokumentierter Fernzugang vorhanden ist.

Der normale administrative Fernzugriff erfolgt über ein VPN, vorzugsweise WireGuard. MyFRITZ! oder ein eigener DynDNS-Name stellt lediglich die Erreichbarkeit unter einem festen Namen her und ist für sich allein noch kein sicherer Administrationsweg.

Ein direkter HTTPS-Zugriff auf die FRITZ!Box darf als unabhängiger Notzugang bestehen bleiben, wenn das Projekt dies erfordert. Er ist öffentlich erreichbar und muss deshalb ausdrücklich dokumentiert und zusätzlich abgesichert werden.

== Verbindliche Basiseinstellungen ==
{| class="wikitable"
! Bereich !! Einstellung oder Maßnahme !! Vorgabe
|-
| FRITZ!OS || Update-Einstellung || Automatische Updates aktivieren und verfügbare Sicherheitsupdates zeitnah installieren.
|-
| Administration || Benutzerkonten || Für jede administrierende Person ein eigenes Konto verwenden; keine gemeinsam genutzten Standardkonten.
|-
| Kennwörter || Konten und WLAN || Jeweils lange, einzigartige Kennwörter aus dem Passwortmanager verwenden. Kennwörter nicht in Projektseiten, E-Mails oder unverschlüsselten Dateien ablegen.
|-
| Berechtigungen || Minimale Rechte || Nur tatsächlich benötigte Rechte vergeben. Insbesondere NAS-, Smart-Home- und Telefonie-Rechte nicht vorsorglich aktivieren.
|-
| Fernzugriff || Normalweg || VPN, vorzugsweise WireGuard, einrichten und von einem externen Anschluss testen.
|-
| Internetfreigaben || Portfreigaben || Nur projektspezifisch benötigte Ports freigeben. Keine DMZ-/Exposed-Host-Freigabe und keine selbstständigen Portfreigaben über UPnP zulassen, sofern nicht ausdrücklich begründet.
|-
| WLAN || Verschlüsselung || WPA3 beziehungsweise WPA2/WPA3 verwenden; WEP und unverschlüsseltes WLAN nicht verwenden. Gastnetz vom internen Netz trennen.
|-
| Überwachung || Ereignisse und Push Service || Ereignisprotokoll regelmäßig kontrollieren. Push Service für wichtige Systemereignisse und Änderungen einrichten, sofern ein geeignetes Funktionspostfach verfügbar ist.
|-
| Sicherung || Konfiguration || Nach wesentlichen Änderungen eine verschlüsselte Sicherungsdatei erzeugen und geschützt ablegen.
|}

== VPN als Standardzugang ==
# Unter Internet → Freigaben → VPN (WireGuard) einen separaten Zugang für das zuständige Administrationsgerät oder die zuständige Person einrichten.
# VPN-Konfiguration und privaten Schlüssel ausschließlich geschützt übertragen und speichern.
# Zugriff von einem Anschluss außerhalb des Zielnetzes testen.
# Prüfen, ob die FRITZ!Box-Oberfläche und die benötigten internen Systeme über das VPN erreichbar sind.
# Nicht mehr verwendete VPN-Verbindungen löschen.

VPN-Zugänge sollen nach Möglichkeit nicht zwischen mehreren Personen oder Geräten geteilt werden. So kann ein verlorenes Gerät gezielt gesperrt werden.

== Optionaler HTTPS-Notzugang ==
Die Einstellungen „Internetzugriff auf die FRITZ!Box über HTTPS aktiviert“ und „Zugang aus dem Internet erlaubt“ werden grundsätzlich nicht für den Normalbetrieb benötigt. Wenn ein vom VPN unabhängiger Notzugang betrieblich sinnvoll ist, dürfen sie bewusst aktiviert bleiben.

Für diesen Fall gelten zusätzlich folgende Maßnahmen:

# Ein eigenes FRITZ!Box-Benutzerkonto nur für den Notzugang anlegen.
# Ein langes, einzigartiges Kennwort verwenden; keine Wiederverwendung eines WLAN-, MyFRITZ!- oder Projektkennworts.
# Nur die zur Administration benötigte Berechtigung vergeben. NAS- und weitere Zusatzrechte deaktiviert lassen.
# Eine von FRITZ!OS angebotene zusätzliche Bestätigung beziehungsweise Zwei-Faktor-Funktion aktivieren, soweit sie für den betreffenden Zugriff unterstützt wird.
# MyFRITZ!- oder DynDNS-Adresse nicht öffentlich dokumentieren. Adresse und Zugangsdaten getrennt und nur im Passwortmanager ablegen.
# Erfolgreiche und fehlgeschlagene Anmeldungen unter System → Ereignisse kontrollieren; Auffälligkeiten sofort untersuchen.
# Nicht mehr benötigte Benutzer sowie alte Geräte- und VPN-Zugänge zeitnah entfernen.
# Den Notzugang mindestens einmal jährlich und nach jedem Routerwechsel von extern testen.

Falls kein unabhängiger Notzugang benötigt wird, sind sowohl der HTTPS-Internetzugriff als auch „Zugang aus dem Internet erlaubt“ zu deaktivieren.

== MyFRITZ! und DynDNS ==
MyFRITZ! und DynDNS lösen einen wechselnden Internetanschluss auf einen festen Namen auf. Sie öffnen nicht automatisch die FRITZ!Box-Oberfläche. Das Risiko entsteht durch einen tatsächlich aus dem Internet erreichbaren Dienst, beispielsweise den aktivierten HTTPS-Fernzugriff oder eine Portfreigabe.

Für MegBes gelten ergänzend die Hinweise unter [[DynDNS und Router]]. Geheime DynDNS-Update-URLs gehören ausschließlich in den Passwortmanager.

== Portfreigaben für Projekt-Dienste ==
# Zielgerät erhält eine feste lokale IP-Adresse beziehungsweise eine feste DHCP-Zuordnung.
# Nur Protokoll und Port freigeben, die der konkrete Dienst benötigt.
# Automatische Freigaben deaktiviert lassen.
# Dienst selbst mit Authentisierung und Transportverschlüsselung absichern; eine Portfreigabe ersetzt keine Anwendungssicherheit.
# Erreichbarkeit und Zertifikat von einem externen Anschluss prüfen.
# Nach Projektende nicht mehr benötigte Freigaben löschen.

== Abnahme und regelmäßige Kontrolle ==
Nach Einrichtung oder Änderung sind mindestens folgende Punkte zu prüfen:

* FRITZ!OS ist aktuell und automatische Updates sind aktiviert.
* VPN funktioniert von außerhalb des Standortnetzes.
* Der HTTPS-Notzugang ist entweder nachweislich deaktiviert oder als bewusste Ausnahme dokumentiert und getestet.
* Es existieren keine unbekannten Benutzer, VPN-Zugänge oder automatischen Portfreigaben.
* Jede Portfreigabe besitzt einen nachvollziehbaren Projektzweck und zeigt auf das richtige Zielgerät.
* Push Service beziehungsweise Ereignisprotokoll ist funktionsfähig und enthält keine unerklärten Anmeldungen.
* Eine aktuelle, verschlüsselte Konfigurationssicherung ist vorhanden.

== Projektdokumentation ==
Auf der jeweiligen Projektseite beziehungsweise im dafür vorgesehenen geschützten System festhalten:

* FRITZ!Box-Modell, Standort und FRITZ!OS-Version
* Zuständigkeit und Datum der letzten Prüfung
* verwendeter DynDNS-/MyFRITZ!-Dienst, jedoch keine geheimen Update-URLs
* eingerichtete VPN-Zugänge beziehungsweise verantwortliche Geräte
* Entscheidung, ob der HTTPS-Notzugang aktiviert ist, einschließlich Begründung
* alle Portfreigaben mit Zweck, Protokoll, externem Port, Ziel-IP und internem Port
* Ablageort der verschlüsselten Konfigurationssicherung

Kennwörter, private VPN-Schlüssel, Wiederherstellungscodes und geheime Update-URLs dürfen nicht im Wiki stehen.

== Weiterführende Hinweise ==
* [https://avm.de/service/ AVM-Service und modellspezifische Wissensdatenbank]
* [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Wegweiser_Checklisten_Flyer/Brosch_A6_Internet_der_Dinge.pdf?__blob=publicationFile BSI: Das Internet der Dinge sicher nutzen]

[[Kategorie:MegBes]]
[[Kategorie:Netzwerk]]
[[Kategorie:Sicherheit]]

FRITZ!Box konfigurieren und absichern - Versionsgeschichte

Clawtronics: Allgemeine Sicherheits- und Fernzugriffscheckliste für jede FRITZ!Box angelegt