WLAN absichern – was sinnvoll ist und was nicht
Das Wireless LAN ist mittlerweile aus dem Internet-Alltag nicht mehr wegzudenken. Viele Anwender sind längst von den langsamen Analog- oder ISDN-Verbindungen zu DSL gewechselt und surfen kabellos im Netz. Aktuellen Schätzungen nach sind aber nur etwa 20-40% der WLAN-Verbindungen mit ausreichenden Schutzmaßnahmen abgesichert – trotz einer beträchtlichen Anzahl von Anleitungen zu diesem Thema. Dabei ist es wirklich einfach, sein WLAN gegen unbefugten Zugriff abzusichern - Diese Anleitung zeigt, wie es geht.
Vier Tipps für mehr Sicherheit- Der beste Schutz gegen Attacken gegen ein WLAN ist, es zu deaktivieren. Das klingt banal, doch viele Anwender lassen das standardmäßig eingeschaltete WLAN einfach aktiviert, obwohl sie es gar nicht verwenden. Falls möglich, solltest Du also den Rechner über ein Netzwerkkabel mit dem DSL-Router verbinden und WLAN abschalten. Das ist nicht nur sicherer, sondern auch meist schneller. Oft findet sich am Gerät dafür ein Schalter, ansonsten lässt sich das WLAN in der Regel über das Konfigurationsmenü abschalten. Bei Bedarf kannst Du es auf gleichem Weg wieder zuschalten.
- Verwende ein sicheres Passwort, um die Konfiguration des DSL-Routers gegen unbefugten Zugriff zu schützen. Ein zu schwach gewähltes oder das voreingestellte Passwort stellen keinen ausreichenden Schutz dar:
- Deaktiviere wenn möglich Universal Plug and Play und den Ad-Hoc-Modus in Deinem DSL-Router. Mit UPnP könnte ein Angreifer Deinen Router trotz Zugangspasswort umkonfigurieren. Auch der aktivierte Ad-Hoc-Modus bringt ein Sicherheitsproblem mit sich. In diesem Modus kommunizieren Rechner in einem Netz direkt miteinander - der Router reicht dabei das Signal sozusagen nur durch. Sollte ein Rechner des Netzwerks mit Malware infiziert und die Firewalls der übrigen Netzwerkrechner deaktiviert worden sein, kann sich der Schädling spielend leicht von einem zum anderen Rechner weiterverbreiten.
- Verwende ein sicheres Verschlüsselungsverfahren wie WPA oder WPA2 jeweils mit PSK. Falls Du wählen kannst, solltest Du als Verschlüsselungsalgorithmus AES statt TKIP wählen. Microsoft hat einen Patch bereitgestellt, mit dem Du das bessere Verschlüsselungsverfahren WPA2 für Windows XP verfügbar machen kannst [Link] (mit Einspielen des Service Packs 3 für Windows XP wird dieser Patch übrigens automatisch eingespielt). Wichtig: Das Passwort für den Pre-shared Key muss aus mindestens 12 alpha-nummerischen Zeichen bestehen (Bsp: b3gHj5kL67Iz) und darf keinesfalls ein Wort aus dem Wörterbuch oder eine Variation davon sein.
Das bringt wenig bis kein Plus an Sicherheit- Die WEP-Verschlüsselung hat sich als unzuverlässig herausgestellt und kann mittlerweile binnen einer Minute geknackt werden. Letztlich ist das WEP-Verfahren zwar immer noch besser, als gar keine Verschlüsselung, aber eine echte Hürde ist es nicht.
- Das Filtern von MAC-Adressen ist nicht sinnvoll, es stellt sogar die einfachste Möglichkeit dar, unbefugt in ein WLAN einzudringen. So genannte Sniffer können MAC-Adressen leicht ermitteln. Der Angreifer braucht dann nichts weiter zu tun, als die erspähten MAC-Adresse zu fälschen, um in das WLAN einzudringen. Beispiel für einen Sniffer:
- In manchen Anleitungen wird empfohlen, DHCP zu deaktivieren und eine statische IP-Adresse zu verwenden. Ein Angreifer kann aber problemlos den Adressraum des Funknetzes scannen und so die statische IP-Adresse binnen von Sekunden ermitteln. Auch dieser Tipp wird damit nahezu wirkungslos.
- Manche Anleitungen empfehlen, 'Hide SSID' im Router zu aktivieren. Dabei soll vermieden werden, dass der Router die SSID aussendet. Ein Sicherheitsgewinn entsteht damit aber nicht, denn ein Angreifer kann die SSID leicht über den Datenaustausch zwischen Router und Rechner herausfinden. Meist führt dieser Rat nur dazu, dass ständig die Funkverbindung zwischen Router und Rechner zusammenbricht. Womöglich handelt es sich hierbei um ein Missverständnis, den Client-seitig kann es durchaus sinnvoll sein, das Versenden der SSID zu unterdrücken – siehe unten.
Mein Router hat eine Firewall - bedeutet das, dass ich die Windows eigene Firewall deaktivieren kann?
Nein, häufig verfügen DSL-Router zwar über eine NAT-Funktion, ein ausreichender Schutz wird damit aber nicht erreicht. Außerdem ist Windows so eingestellt, dass der Client von sich aus ständig die SSID des Funknetzes aussendet, wenn diese nicht vom Router empfangen wird. Bildlich gesprochen 'ruft' der Rechner nach seinem Netz. Ein Angreifer kann die SSID fälschen und so dem Rechner das entsprechende Netz 'vorgaukeln'. Nach Herstellen einer Verbindung ist es ihm dann bei deaktivierter Windows-Firewall möglich, auf Deinen Rechner zugreifen. Ähnliches gilt auch für den Ad-hoc-Modus (siehe oben). Lösung: Schalte die Netzwerkkarte hardwareseitig aus, wenn Du sie gerade nicht verwendest (meist findet sich ein Schalter dafür am Notebook), lass die Windows-Firewall aktiviert und wähle eine sichere Verschlüsselung (mindestens WPA-PSK mit einem ausreichend sicheren Passwort) für Dein Heimnetzwerk. Wer WPA2 verwendet, kann außerdem einen Patch von Microsoft einspielen, der das Client-seitige Versenden der SSID unterbindet [Link]. Verbindungsprobleme wie beim oben beschriebenen 'SSID-Hiding' im DSL-Router sind dabei normalerweise nicht zu erwarten.
Mein DSL-Router/ Meine WLAN-Karte unterstützen aber nicht das Verschlüsselungsverfahren, was kann ich tun?
Häufig lässt sich das Problem mit einem Treiber- oder Firmware-Update beheben. Achtung: Firmware-Updates sind nicht ungefährlich. Sollte das Update fehlschlagen, zum Beispiel weil die Netzwerkverbindung zum Router oder die Stromzufuhr unterbrochen wurde, kann das dazu führen, dass die Hardware nicht mehr verwendet werden kann. Du solltest Dich also vorab gründlich auf der Seite des Herstellers nach Informationen zu diesem Thema umsehen.
Weitere Informationen zum Thema
Automatische Systembereinigung
Tag für Tag werden auf dem Rechner Gebrauchsspuren in Form von Dateien gespeichert und nicht wieder gelöscht, sei es beim Surfen im Internet oder bei der Verwendung von Programmen. Das ist nicht nur ärgerlich, weil es unnötig Speicherplatz bindet, sondern gefährdet auch die Stabilität des Rechners. Glücklicherweise können einige Programme auch ganz ohne Dein zutun aufräumen. Manche hat Windows schon bei Installation an Board, andere können kostenlos heruntergeladen und verwendet werden. Die folgenden Schritte erklären, wie es geht und müssen alle in einem Konto mit administritativen Rechten ausgeführt werden (vergleiche dazu Schritt 3 dieser Anleitung).
Disk Cleaner beim Anmeldevorgang ausführen
Das kostenlose Tool Disk Cleaner aus Schritt 2 löscht viele überflüssige Gebrauchsspuren und kann für alle Benutzer automatisch beim Anmeldevorgang ausgeführt werden. Öffne das Programm und aktiviere alle Häkchen. Wähle unten rechts 'C', klicke im aufgehenden Fenster auf den Reiter 'Auto Start' und danach auf 'Install'. Bestätige mit Ok --> Ok und beende das Programm mit 'Exit'. Klicke anschließend auf 'Start' --> 'Alle Programme' --> 'Autostart', klicke mit der rechten Maustaste auf 'Disk Cleaner' und wähle 'Ausschneiden'. Klicke dann mit der rechten Maustaste auf 'Autostart' --> 'Öffnen - Alle Benutzer'. Klicke mit der rechten Maustaste ins weiße Feld des sich öffnenden Fensters und wähle 'Einfügen'.
Datenträgerbereinigung Cleanmgr automatisch ausführen
Die in Windows integrierte Datenträgerbereinigung kann automatisch ausgeführt werden [Link]. Wähle dazu 'Start' --> 'Ausführen' und schreibe cleanmgr /sageset:11 . Aktiviere alle Häkchen und wähle 'OK'. Klicke anschließend auf 'Start' --> 'Systemsteuerung' --> 'Geplante Tasks'. Wähle hier 'geplanten Task hinzufügen' --> 'Weiter' --> 'Durchsuchen'. Schreibe im Feld 'Dateiname' C:\WINDOWS\system32\cleanmgr.exe und klicke auf 'Öffnen', wähle den Intervall und Zeitpunkt des Tasks (z.B. Monatlich, 14:00h, am 1. Tag), gib Dein Anmeldepasswort ein und bestätige es. Setze das Häkchen, dass die erweiterten Eigenschaften angezeigt werden sollen und klicke auf 'Fertigstellen'. Im sich nun öffnenden Fenster muss der Eintrag 'Ausführen' angepasst werden: C:\WINDOWS\system32\cleanmgr.exe /sagerun:11 . Dies muss erneut mit zweimaliger Eingabe der Anmeldepassworts bestätigt werden. Kontrolliere nochmal alle Einstellungen und passe sie Deinen Wünschen an. Fertig!
Gelöschte Dateien mit Cipher überschreiben (optional für Windows XP Pro)
Wird eine Datei gelöscht, wird sie nicht wirklich von der Festplatte entfernt. Bei dem Löschen einer Datei markiert Windows den Bereich auf der Festplatte, den die Datei belegt, einfach als frei. Die Daten liegen also zunächst noch unverändert auf Deiner Festplatte. Windows erstellt dabei eine Hierarchie, welche Daten zuerst überschrieben werden können. Die Folge ist, dass trotz Defragmentierung das System weit verstreut auf der Festplatte liegt. Cipher überschreibt den gesamten freien Speicherplatz auf der Festplatte [Link] und ist bei Windows XP Pro bereits installiert, nicht aber in der Home Edition (Lösung für Windows XP Home Edition). Die Planung des Tasks erfolgt wie die der Datenträgerbereinigung: 'Geplanten Task hinzufügen' --> 'Weiter' --> 'Durchsuchen' --> C:\WINDOWS\system32\cipher.exe --> Intervall, Datum und Uhrzeit planen, Passwort eingeben und fertigstellen. Eintrag 'Ausführen' anpassen: C:\WINDOWS\system32\cipher.exe /w:C:\ , alle Einstellungen kontrollieren.
Festplatte mit Defrag automatisch defragmentieren
Auch die Festplatte kann automatisch defragmentiert werden, Windows bringt das Programm dafür mit [Link]. 'Geplanten Task hinzufügen' --> 'Weiter' --> 'Durchsuchen' --> C:\WINDOWS\system32\defrag.exe --> Intervall, Datum und Uhrzeit planen, Passwort eingeben und fertigstellen. In den erweiterten Eigenschaften muss auch hier der Eintrag 'Ausführen' angepasst werden: C:\WINDOWS\system32\defrag.exe C: /f . Kontrolliere erneut alle Einstellungen.
Automatische Defragmentierung mit Contig (optional)
Das in Windows integrierte Defragmentierungstool kann noch Fragmente einer Datei hinterlassen, z. B. wenn diese während des Defragmentierungsprozesses gerade verwendet wurde. Contig untersucht einzelne Dateien und defragmentiert diese falls nötig [Link]. Lade die unten verlinkte Datei zunächtst herunter und entpacke sie an einen Ort Deiner Wahl, zum Beispiel C:\Contig\ . Nun muss wieder ein Task angelegt werden: 'Geplanten Task hinzufügen' --> 'Weiter' --> 'Durchsuchen' --> C:\Contig\Contig.exe --> Intervall, Datum und Uhrzeit planen (Da das Programm nur einzelne Dateien defragmentiert und nicht die ganze Festplatte, kannst Du Contig öfter als Defrag auszuführen), Passwort eingeben und fertigstellen. Eintrag 'Ausführen' anpassen: C:\Contig\Contig.exe -s C:\* /accepteula , alle Einstellungen kontrollieren. Beim ersten Ausführen musst Du die EULA manuell bestätigen, danach startet das Programm auch ohne Bestätigung.
Auslagerungsdatei und Registry mit PageDefrag automatisch defragmentieren (optional)
Einige Dateien können im laufenden Betrieb von Windows weder mit Defrag noch Contig defragmentiert werden - die Auslagerungsdatei und die Dateien der Registry. Dafür kannst Du PageDefrag verwenden [Link]. Lade die unten verlinkte Datei herunter und entpacke sie an einen Ort Deiner Wahl, zum Beispiel C:\PageDefrag\ . Der Task wird dann so geplant: 'Geplanten Task hinzufügen' --> 'Weiter' --> 'Durchsuchen' --> C:\PageDefrag\pagedfrg.exe --> Intervall, Datum und Uhrzeit planen, Passwort eingeben und fertigstellen. Eintrag 'Ausführen' anpassen: C:\PageDefrag\pagedfrg.exe -o -t 3 , alle Einstellungen kontrollieren. Auch bei PageDefrag musst Du die EULA beim ersten Ausführen manuell bestätigen. Das Programm wird dann beim nächsten Systemstart ausgeführt. Hinweis: PageDefrag bereinigt die Registry nicht, sondern defragmentiert sie lediglich. Zur Bereinigung fehlerhafter Einträge, wie sie häufig nach der Deinstallation von Programmen vorkommen, empfehle ich Dir RegSeeker aus Schritt 2 dieser Anleitung.
Allgemeine Hinweise zum Planen von Tasks- Der Dienst 'Taskplaner' muss aktiviert sein. Manche Tools zum Abschalten von Systemdiensten (zum Beispiel von dingens.org) deaktivieren auch diesen Dienst. So aktivierst Du den Systemdienst wieder: 'Systemsteuerung' --> 'Verwaltung' --> 'Dienste' --> 'Taskplaner' --> Dienst starten und unter Eigenschaften (rechte Maustaste) auf 'Automatisch' setzen.
- Zum Ausführen eines Tasks muss das verwendete Konto administrative Rechte haben und mit einem Passwort versehen sein. Vergleiche dazu Schritt 3.
- Es ist sinnvoll die Tasks so zu planen, dass sie sich nicht überschneiden können. Falls Deine Tasks z.B. für maximal 72 Stunden aktiv bleiben, sollte der nächste Task erst nach 3 Tagen plus einer Stunde beginnen. Beispiel: Cleanmgr - monatlich, 2. Tag, 18 h; Cipher - monatlich, 5. Tag, 19 h; Contig - monatlich, 8. Tag, 20 h; Defrag - monatlich, 11. Tag, 21 h; Pagedfrg - monatlich, 14. Tag, 22 h.
