Wie werden Smart-Home-Geräte gehackt? Ein Schutzplan, der am Router beginnt

Kurz gesagt: Smart-Home-Geräte werden meist auf vier Wegen übernommen: nie geänderte Werkspasswörter, nie aktualisierte Software, günstige Geräte, die schon verseucht ausgeliefert werden, und Ports, die ins Internet offen stehen. Ein gekapertes Gerät muss fast immer mit einem Server außerhalb der Wohnung sprechen, um seine Arbeit zu tun, und dieses Gespräch beginnt meist mit einer DNS-Anfrage. Ein DNS-Filter am Router unterbricht diese Anfragen an bekannte schädliche Adressen für alle Geräte im Haushalt an einer Stelle. Hacking beendet er nicht allein; zusammen mit Passwörtern, Updates und Netztrennung ist er aber die Ebene mit der größten Reichweite.

Den Computer zu Hause zu schützen, haben die meisten von uns gelernt. Für Fernseher, Saugroboter, Kamera, smarte Steckdose oder die TV-Box im Kinderzimmer gibt es diese Gewohnheit noch nicht. Die meisten dieser Geräte haben keinen Bildschirm, keinen Virenschutz und keine Meldung, die Ihnen sagt, dass ein Update wartet.

Dieser Leitfaden zeigt anhand echter Fälle, wie diese Geräte übernommen werden. Dann steht klar da, welches Glied dieser Kette ein DNS-Filter am Router durchtrennt und welches nicht. Am Ende folgt ein Plan, den Sie an einem Abend umsetzen können.

Warum Smart-Home-Geräte ein leichtes Ziel sind

Was ein Smart-Home-Gerät von einem Computer unterscheidet: Niemand schaut es an.

• Es läuft jahrelang. Router, Kamera und TV-Box sind Tag und Nacht online, und niemand startet sie neu.
• Updates bleiben Ihnen überlassen oder kommen nie. Viele Geräte bekommen nach einigen Jahren keine Updates mehr, funktionieren aber weiter.
• Dieselbe Software läuft auf Tausenden Geräten. Wird eine Lücke gefunden, ist jedes Exemplar dieses Modells gleichzeitig betroffen.
• Sie sehen keine Symptome. Ein Gerät ohne Bildschirm sagt Ihnen nicht, dass es langsamer geworden ist oder mit jemand anderem spricht.

Zusammen machen diese Eigenschaften Smart-Home-Geräte zu einem billigen, leisen Ziel.

Vier Wege, auf denen Geräte gehackt werden

1. Nie geänderte Werkspasswörter

Der älteste Weg und immer noch einer der wirksamsten. Ende 2016 durchsuchte die Schadsoftware Mirai das Internet nach Kameras und Videorekordern und probierte bei jedem eine kurze Liste von Werkspasswörtern aus. Laut der 2017 auf der USENIX Security veröffentlichten Untersuchung infizierte Mirai in den ersten 20 Stunden 64.500 Geräte und erreichte auf seinem Höhepunkt rund 600.000. Gemeinsam führten diese Geräte einige der größten Überlastungsangriffe ihrer Zeit aus.

Möglich wurde Mirai nicht durch eine raffinierte Technik, sondern durch ein Passwort, das niemand geändert hatte.

2. Nie aktualisierte Software

Ein neues Passwort reicht womöglich nicht: Hat die Software eines Geräts eine bekannte Lücke, kommt ein Angreifer hinein, ohne überhaupt nach einem Passwort gefragt zu werden. Im September 2024 gaben FBI und Partnerbehörden eine gerichtlich genehmigte Aktion gegen ein Netz aus mehr als 260.000 Geräten bekannt, das US-Behörden einer staatlich unterstützten Gruppe zuordneten. Betroffen waren Router für Zuhause und kleine Büros, IP-Kameras, Videorekorder und Netzwerkspeicher. Die Behörden rieten den Besitzern, Updates einzuspielen.

3. Geräte, die verseucht ankommen

Dieser Weg ist am wenigsten bekannt, weil die Besitzer nichts falsch gemacht haben. In Deutschland hat das BSI im Dezember 2024 darauf hingewiesen, dass auf in Deutschland verkauften digitalen Bilderrahmen, Mediaplayern und Streaming-Geräten die Schadsoftware BADBOX vorinstalliert war. Die Geräte liefen mit veralteten Android-Versionen. Das BSI leitete die Kommunikation von rund 30.000 dieser Geräte mit den Kontrollservern der Täter auf einen eigenen Server um, ein sogenanntes Sinkholing nach § 7c BSI-Gesetz. Umgesetzt wurde die Umleitung von den Internetanbietern mit mehr als 100.000 Kunden.

Das FBI warnte am 5. Juni 2025 vor der Weiterentwicklung desselben Netzes, das Millionen Geräte umfasst: TV-Boxen, digitale Projektoren, nachgerüstete Infotainment-Systeme für Autos und digitale Bilderrahmen. Die Geräte waren entweder schon vor dem Kauf mit Schadsoftware bespielt oder infizierten sich bei der Einrichtung über Apps mit Hintertür. Google verklagte im Juli 2025 die Gruppen hinter diesem Netz und gab an, dass es mehr als 10 Millionen nicht zertifizierte Geräte betrifft.

Die Warnzeichen, die das FBI nennt, sollte jeder kennen, der eine TV-Box kauft:

• Eine Marke, die Sie nicht kennen
• Werbung mit „alle Sender kostenlos“ oder „entsperrt“
• Die Aufforderung, bei der Einrichtung den Sicherheitsschutz des Geräts abzuschalten
• Apps aus einem inoffiziellen App-Store
• Internetverkehr, den Sie sich nicht erklären können

4. Offene Ports ins Internet

Ein Port, der am Router geöffnet wurde, um die Kamera von unterwegs anzusehen, oder UPnP, mit dem der Router selbst Ports öffnet, macht das Gerät direkt aus dem Internet sichtbar. Das Gerät stellt sich dann Scannern wie Mirai selbst in den Weg. Ein verwandtes Risiko: ein Herstellerkonto in der Cloud, das mit einem Passwort geschützt ist, das Sie auch anderswo nutzen. Gelangt dieses Passwort an die Öffentlichkeit, kommt der Angreifer über die App herein, nicht über den Router.

Was ein gekapertes Gerät bei Ihnen zu Hause tut

Den Angreifer interessiert meist nicht das Gerät selbst, sondern Ihr Internetanschluss:

• Es beteiligt sich an Angriffen. Tausende Geräte schicken gleichzeitig Verkehr an ein Ziel.
• Es vermietet Ihren Anschluss an andere. Das Netz aus der FBI-Warnung von 2025 verkaufte gekaperte Heimnetze als Zwischenstation für kriminelle Aktivitäten. Nach außen sieht dieser Verkehr aus, als käme er von Ihrem Anschluss.
• Es betreibt im Hintergrund Werbebetrug. Es klickt Anzeigen, die Sie nie sehen, und verbraucht Ihre Bandbreite und Ihr Datenvolumen.
• Es verschafft Zugriff auf Kamera oder Mikrofon. Das hängt davon ab, was das Gerät kann.
• Es wird zum Sprungbrett. Handys und Rechner im selben Netz können das nächste Ziel sein.

Das schwache Glied der Kette: Das Gerät muss nach außen sprechen

Die vier Wege oben haben eines gemeinsam. Ein gekapertes Gerät ist allein nutzlos. Es muss Befehle empfangen, weitere Software laden und Ergebnisse melden. Dafür verbindet es sich mit einem Server außerhalb, und dessen Adresse ist meist ein Domainname. Vor der Verbindung fragt das Gerät per DNS nach der Nummer zu diesem Namen.

Die Mirai-Forschenden haben die Größe des Botnetzes genau an diesen Anfragen gemessen: Bei einem großen US-Internetanbieter zählten sie die DNS-Anfragen nach den Domainnamen der Mirai-Kontrollserver. Die gekaperten Geräte fragten also regelmäßig nach diesen Adressen, ohne ihren Besitzern etwas zu zeigen. Und auch die BSI-Aktion gegen BADBOX setzte an dieser Stelle an: an der Verbindung zum Kontrollserver.

Hier kommt ein DNS-Filter ins Spiel:

Gekapertes Gerät
   |  "Wo ist server.example?"
   v
DNS-Filter am Router
   |
Bekannte schädliche Adresse?
   |
   +-- JA   -> leere Antwort,
   |           keine Verbindung
   |
   +-- NEIN -> echte Adresse,
               Verbindung steht

Kennt der Filter die Adresse, erreicht das Gerät den Server nicht: Es kommen keine Befehle, es wird keine weitere Software geladen, und Ihr Anschluss kann nicht vermietet werden. Am Router erledigt, gilt das für jedes Gerät im Haushalt gleichzeitig, ohne auf einem davon etwas zu installieren.

Zwei Bedingungen gibt es. Die Adresse muss auf einer Sperrliste stehen; eine brandneue Domain kann durchrutschen, bis sie gelistet ist. Und die Schadsoftware muss ihren Server über einen Namen ansteuern; Software, die direkt eine IP-Adresse anwählt, fragt DNS gar nicht erst.

Was Guardino am Router stoppt und was nicht

Diese Grenze möchte ich klar ziehen, denn der Gedanke „Ich habe einen DNS-Filter am Router, das Zuhause ist sicher“ führt dazu, einem Schutz zu vertrauen, den es so nicht gibt.

Was Guardino stoppt:

• Anfragen an bekannte Schadsoftware- und Phishing-Domains, für jedes Gerät im Haushalt.
• Werbe- und Tracker-Domains, sodass Geräte im Hintergrund seltener mit diesen Servern sprechen.
• Die Namen bekannter öffentlicher Resolver sowie von VPN- und Proxy-Diensten, mit denen sich der Filter umgehen lässt. Dieser Schutz ist für alle Kundinnen und Kunden aktiv; was er abdeckt, erklärt der Leitfaden zur VPN-Umgehung.
• Jedes neue Gerät, das dazukommt, ohne Einrichtung.

Was Guardino nicht stoppt:

• Es ändert keine Werkspasswörter und aktualisiert keine Gerätesoftware.
• Es schließt keinen Port, den Sie am Router offen gelassen haben, und sieht keine Verbindungen, die von außen zu einem Gerät kommen.
• Es sieht keine Angriffe von einem Gerät auf ein anderes innerhalb des Heimnetzes.
• Es kann Software nicht stoppen, die ihren Server per IP-Adresse anwählt, und keine Geräte, in deren Software eine DNS-Adresse fest eingetragen ist.
• Es erkennt keine neue schädliche Adresse, die noch nicht auf den Listen steht.

Ein DNS-Filter ist also Teil des Plans, nicht der ganze Plan. Aber er ist der Teil mit der größten Reichweite: Keine andere Maßnahme erfasst jedes Gerät im Haushalt mit einer einzigen Einstellung, ohne eines davon anzufassen.

Einrichtung am Router: die FRITZ!Box und andere

Auch hier möchte ich offen sein. Guardino unterscheidet Profile über verschlüsseltes DNS: Jedes Profil hat eine eigene DoH-Adresse und einen eigenen DoT-Namen. Unverschlüsseltes klassisches DNS bieten wir nicht an. Um Guardino am Router einzurichten, muss der Router daher verschlüsseltes DNS unterstützen.

In vielen deutschen Haushalten steht eine FRITZ!Box, und die unterstützt DNS over TLS:

1. Öffnen Sie in der Oberfläche der FRITZ!Box Internet > Zugangsdaten > DNS-Server.
2. Aktivieren Sie Verschlüsselte Namensauflösung im Internet (DNS over TLS) und die Zertifikatsprüfung für verschlüsselte Namensauflösung im Internet.
3. Tragen Sie bei Auflösungsnamen der DoT-Server den DoT-Namen Ihres Profils von der Einrichtungsseite ein. Die FRITZ!Box verlangt hier einen Namen, keine IP-Adresse; die Adresse dieses Namens ermittelt sie selbst.
4. Lassen Sie Fallback auf unverschlüsselte Namensauflösung im Internet zulassen ausgeschaltet. Sonst weicht die Box bei einem Problem still auf den ungefilterten DNS-Server Ihres Anbieters aus. Die Kehrseite: Ist Guardino nicht erreichbar, können die Geräte zu Hause keine Namen auflösen, bis Sie die Einstellung ändern.

Die genauen Bezeichnungen können je nach FRITZ!OS-Version abweichen. Hat Ihr Router keine Einstellung für verschlüsseltes DNS, gibt es zwei weitere Wege: Sie schließen hinter dem Router Ihres Anbieters einen eigenen Router an, der verschlüsseltes DNS beherrscht, und verlegen die Smart-Home-Geräte in dessen Netz. Oder ein kleines, dauerhaft laufendes Gerät im Netz leitet die Anfragen per verschlüsseltem DNS an Guardino weiter, und der Router verteilt dieses Gerät als DNS-Server. Das erfordert etwas technisches Wissen, funktioniert aber ohne neuen Router.

Egal, welchen Weg Sie wählen: Richten Sie zusätzlich auf Handys und Rechnern ein Profil ein, auf dem iPhone ein Konfigurationsprofil, unter Android den eigenen Namen für privates DNS des Profils. So bleibt der Schutz auch unterwegs erhalten.

Noch eine Folge der Einrichtung am Router: Das Dashboard sieht alle Anfragen, die über den Router kommen, als einen einzigen Client. Wollen Sie wissen, welches Gerät gefragt hat, richten Sie das Profil zusätzlich auf diesem Gerät ein.

Ein Sicherheitsplan für einen Abend

Arbeiten Sie diese Liste von oben nach unten ab. Jeder Schritt schließt eine Lücke, die der vorherige offen lässt.

1. Ändern Sie das Administratorpasswort des Routers. Schalten Sie den Fernzugriff ab, wenn es ihn gibt.
2. Ändern Sie das Werkspasswort jedes Geräts. Aktivieren Sie im Cloud-Konto des Herstellers die Zwei-Faktor-Anmeldung und nutzen Sie dieses Passwort nirgendwo sonst.
3. Schalten Sie automatische Updates ein. Bekommt eine alte Kamera oder Box keine Updates mehr, sollten Sie sie ausmustern.
4. Schalten Sie UPnP am Router ab und entfernen Sie Portfreigaben für Kameras. Sehen Sie Kameras über die App des Herstellers von unterwegs an. Braucht ein Gerät wie eine Spielkonsole wirklich eine Freigabe, richten Sie sie nur für dieses Gerät ein.
5. Verlegen Sie Smart-Home-Geräte ins Gästenetz. Handys und Rechner bleiben im Hauptnetz. Prüfen Sie, dass die Trennung aktiv ist, die Geräte im Gästenetz voneinander abschirmt.
6. Richten Sie Guardino am Router oder an Ihrem eigenen Router ein und installieren Sie Profile auf den Handys. Wählen Sie den Weg, der zu Ihnen passt.
7. Achten Sie beim Kauf von TV-Box und Kamera auf die Marke. Meiden Sie Geräte ohne offiziellen App-Store, mit dem Versprechen „alles kostenlos“ oder mit der Aufforderung, bei der Einrichtung den Sicherheitsschutz abzuschalten.
8. Nehmen Sie Geräte vom Netz, die Sie nicht nutzen. Die alte Kamera in der Schublade kennt vielleicht noch Ihr WLAN-Passwort.
9. Sehen Sie einmal im Monat die Liste der verbundenen Geräte im Router an. Entdecken Sie ein unbekanntes Gerät, ändern Sie das WLAN-Passwort.

Nach der Einrichtung können Sie mit dem Leak-Test prüfen, ob Guardino auf einem Gerät wirklich aktiv ist und ob Tracker-Endpunkte noch erreichbar sind. Der Test läuft im Browser; öffnen Sie ihn also auf einem Handy oder Rechner hinter dem Router.

Was sich gerade ändert

Werkspasswörter sind inzwischen auch Sache des Gesetzgebers. In Großbritannien dürfen seit dem 29. April 2024 vernetzte Geräte für Verbraucher nicht mehr mit einheitlichen oder leicht zu erratenden Standardpasswörtern verkauft werden, und die Hersteller müssen vor dem Kauf angeben, wie lange das Gerät Sicherheitsupdates erhält.

In der Europäischen Union gilt die Pflicht der Hersteller nach dem Cyber Resilience Act, aktiv ausgenutzte Schwachstellen zu melden, seit dem 11. September 2026; die wesentlichen Sicherheitsanforderungen gelten ab dem 11. Dezember 2027. In Deutschland können Hersteller vernetzter Verbrauchergeräte wie Kameras, Smart-TVs und Saugroboter seit Mai 2022 beim BSI das freiwillige IT-Sicherheitskennzeichen beantragen; für Breitbandrouter wurde es bereits vorher eingeführt.

Diese Regeln machen neue Geräte ab Werk sicherer. An den Geräten, die schon bei Ihnen laufen, ändern sie nichts; deren Sicherheit hängt weiter am Plan oben.

Was Guardino hier auszeichnet

• Eine Tür, das ganze Zuhause. Eine einzige Einstellung am Router erfasst Smart-TV, Kamera, Konsole und das Handy von Gästen gleichzeitig. Ein neues Gerät ist schon beim Verbinden geschützt.
• Es wirkt auch unterwegs. Ein Profil auf dem Handy trägt den Schutz ins Mobilfunknetz und in andere WLANs.
• Der Sicherheits-Grundschutz ist in jedem Tarif aktiv. Die Listen gegen Schadsoftware und Phishing wirken auch im kostenlosen Tarif. Details auf der Preisseite.
• Es sieht Domainnamen, keine Inhalte. Die Protokollierung von Anfragen ist aus, bis Sie sie einschalten, und Ihre Daten werden nicht an Werbetreibende verkauft. Was wir sehen und was nicht, steht auf der Transparenzseite.
• Es sagt, was es nicht kann. Dafür steht die Liste „Was Guardino nicht stoppt“ oben.

Eine Einführung in die Einrichtung auf allen Geräten gibt die Guardino-AI-Anleitung.

Wie es weitergeht

Smart-Home-Sicherheit löst man nicht, indem man ein Produkt kauft. Schwer ist sie aber auch nicht. Nehmen Sie sich einen Abend: Passwörter ändern, Updates einschalten, unnötige Ports schließen, Smart-Home-Geräte ins Gästenetz verlegen und an die Tür Ihres Routers nach draußen einen Filter setzen. Danach sinkt die Wahrscheinlichkeit deutlich, dass die Geräte in Ihrer Wohnung heimlich für jemand anderen arbeiten.

Zum Ausprobieren brauchen Sie keine Karte. Richten Sie Guardino über die Einrichtungsseite zuerst auf Ihrem Handy ein, um zu sehen, wie es funktioniert, und übertragen Sie es dann auf Ihren Router.

Quellen

• BSI, BSI weist auf vorinstallierte Schadsoftware auf IoT-Geräten hin, Pressemitteilung, 12. Dezember 2024
• Antonakakis et al., Understanding the Mirai Botnet, USENIX Security Symposium, 2017
• FBI, Home Internet Connected Devices Facilitate Criminal Activity, öffentliche Warnung, 5. Juni 2025
• US-Justizministerium, Court-authorized operation disrupts worldwide botnet, 18. September 2024; gemeinsame Warnung: FBI, NSA und Partner
• SecurityWeek, Google Sues Operators of 10-Million-Device Badbox 2.0 Botnet, Juli 2025
• BSI, IT-Sicherheitskennzeichen jetzt für alle „Smarten Verbrauchergeräte“, Pressemitteilung, 2022; heise, BSI: IT-Sicherheitskennzeichen fürs Smart Home startet
• The Hacker News, New U.K. Law Bans Default Passwords on Smart Devices Starting April 2024
• Europäische Kommission, Cyber Resilience Act: reporting obligations und Zusammenfassung des Gesetzes
• bitreporter, Verschlüsseltes DNS (DoT) mit der FritzBox nutzen