BSSID: Wie dein WLAN-Router verrät, wo du wohnst

Erik Rye wollte wissen, wie viel Apple preisgibt. Der Doktorand an der University of Maryland schickte Anfragen an den Dienst, mit dem iPhones ihren Standort aus umliegenden WLAN-Netzen bestimmen. Darin standen BSSIDs, die festen Hardware-Kennungen von Funknetzen, ausgedacht und zufällig gewählt. Einen Monat lang ging das so, über eine Milliarde Versuche. Knapp drei Millionen der erfundenen Kennungen kannte Apple tatsächlich. Und zu jedem Treffer lieferte der Dienst ungefragt die Positionen von bis zu 400 Nachbarnetzen mit. Am Ende hatten Rye und sein Professor Dave Levin 488 Millionen zusätzliche Standorte auf dem Tisch, ohne danach gefragt zu haben.

Binnen eines Jahres waren es über zwei Milliarden. Auf der Weltkarte der beiden Forscher fehlten fast nur China, die großen Wüsten Australiens und Afrikas und die tiefen Regenwälder Südamerikas. Wer einen WLAN-Router zu Hause stehen hat, konnte gut dabei sein, ob er ein Apple-Gerät besitzt oder nicht.

Dieser Text erklärt, wie solche Karten entstehen und was Rye und Levin damit zeigen konnten. Er führt zurück in eine Zeit, in der dieselbe Kennung bei manchen Routern nicht nur den Ort, sondern gleich den WLAN-Schlüssel verriet. Am Ende steht, was du heute an deinem eigenen Router umstellen kannst, und wo diese Handgriffe aufhören zu wirken.

Was eine BSSID ist

Jedes WLAN hat zwei Namen. Den einen siehst du, wenn du am Handy nach Netzen suchst: „FRITZ!Box 7590 XY“, „Vodafone-1A2B“ oder was auch immer du daraus gemacht hast. Das ist die SSID, und die darfst du jederzeit ändern. Der andere Name ist die BSSID. Meist ist es die MAC-Adresse des Funkmoduls, sechs Paare aus Ziffern und Buchstaben, die der Hersteller beim Bau vergibt. Mit Apples Mac hat das nichts zu tun: MAC steht für Media Access Control, und eine solche Adresse hat jedes Gerät, das sich mit einem Netz verbindet, vom Handy bis zum Fernseher. Die ersten drei Paare verraten den Hersteller, denn die Blöcke werden zentral vom Ingenieursverband IEEE zugeteilt und sind öffentlich einsehbar. Was die MAC-Adresse deines eigenen Handys verrät und wie die private WLAN-Adresse dagegen hilft, steht im Artikel über die MAC-Adresse.

Dein Router funkt diese Kennung ununterbrochen in die Umgebung, mehrmals pro Sekunde, damit Geräte das Netz finden. Dafür muss sich niemand verbinden. Ein Handy, das auf dem Bürgersteig vorbeigeht, empfängt sie genauso wie der Laptop im Wohnzimmer. Das Passwort schützt den Inhalt deiner Verbindung, die Kennung des Senders bleibt davon unberührt.

Für die Technik ist das sinnvoll. Für die Privatsphäre hat es einen Haken: Die BSSID eines Heimrouters ändert sich bei den meisten Modellen ein Geräteleben lang nicht. In der Stichprobe aus Maryland bewegten sich von zehn Millionen Zugangspunkten innerhalb eines Monats nur 0,06 Prozent um mehr als einen Kilometer. Ein Router bleibt stehen, und damit wird seine Kennung zu einem ziemlich verlässlichen Wegweiser zu einer Adresse.

Wie Apple, Google und WiGLE Karten aus Funknetzen bauen

GPS ist genau, aber es kostet Akku und braucht freie Sicht zum Himmel. Darum orientieren sich Smartphones zusätzlich an den WLAN-Netzen in ihrer Nähe. Apple beschreibt das Verfahren auf seiner Support-Seite zu Ortungsdiensten offen: Ist die Ortung eingeschaltet, schickt das Gerät regelmäßig die Positionen umliegender WLAN-Zugangspunkte und Mobilfunkmasten an Apple, mit GPS-Koordinaten verknüpft. Daraus entsteht eine Crowdsourcing-Datenbank. Steht ein anderes iPhone später an derselben Stelle ohne GPS-Empfang, reicht ein Blick auf die sichtbaren Netze, und es weiß ungefähr, wo es ist.

Google betreibt ein eigenes System, das genauso gespeist wird, über Android-Geräte. In seiner Hilfe schreibt Google, es nutze „öffentlich übertragene Daten von Wifi-Zugangspunkten“ zusammen mit GPS-, Mobilfunk- und Sensordaten. Früher fuhren dafür auch die Street-View-Autos die Straßen ab. Das brachte Google in Deutschland ein Bußgeld ein: Die Fahrzeuge hatten zwischen 2008 und 2010 nicht nur Netzkennungen notiert, sondern auch Inhalte aus unverschlüsselten WLANs mitgeschnitten, darunter E-Mails, Passwörter und Fotos. Der Hamburgische Datenschutzbeauftragte verhängte dafür im April 2013 ein Bußgeld von 145.000 Euro gegen Google und nannte den Fall einen der schwersten Datenschutzverstöße, die bis dahin bekannt geworden waren.

Die dritte große Sammlung gehört keinem Konzern. WiGLE ist ein Freiwilligenprojekt, das seit 2001 Funknetze kartiert, die Mitglieder beim Herumfahren oder Spazierengehen mit dem Handy aufzeichnen. Laut der öffentlichen Statistik der Seite stehen dort derzeit gut zwei Milliarden WLAN-Netze, eingesammelt von rund 744.000 registrierten Nutzern. Wer eine BSSID kennt, kann sie mit einem kostenlosen Konto auf wigle.net nachschlagen und bekommt, wenn sie erfasst ist, einen Punkt auf der Karte.

Der Unterschied zwischen Apple und Google liegt im Detail, und genau dort setzten Rye und Levin an. Googles Schnittstelle will mindestens zwei BSSIDs sehen, rechnet daraus eine Position und gibt nur diese zurück. Sie verlangt einen API-Schlüssel, über den abgerechnet wird. Zum Zeitpunkt der Studie kosteten 1.000 Abfragen fünf Dollar. Apple dagegen nahm 2023 eine einzelne BSSID an, ohne Konto und ohne Schlüssel, und schickte die Standorte von bis zu 400 Nachbarnetzen gleich mit, damit das Gerät seine Position selbst errechnen kann.

Zwei Milliarden BSSIDs in einem Jahr

Wer eine Weltkarte aller WLANs bauen will, muss nicht wissen, welche Router es gibt. Es reicht zu wissen, welche Kennungen überhaupt vergeben sind, und das verrät die öffentliche Herstellerliste der IEEE. Damit konnten die Forscher ihre Zufallsanfragen auf die Bereiche lenken, in denen tatsächlich Geräte existieren. Jede Antwort mit bis zu 400 Nachbarn brachte neue Kennungen, die sie im nächsten Schritt wieder abfragen konnten.

Zwischen November 2022 und November 2023 kamen so mehr als zwei Milliarden Zugangspunkte mit Position zusammen. Die Studie mit dem Titel „Surveilling the Masses with Wi-Fi-Based Positioning Systems“ wurde im Mai 2024 auf dem IEEE-Symposium für Sicherheit und Privatsphäre vorgestellt. Der Sicherheitsjournalist Brian Krebs berichtete am 21. Mai 2024 darüber, unter der Überschrift, der WLAN-Router funktioniere wie ein Apple AirTag.

Spannend wurde es, als die beiden dieselben Kennungen über Monate immer wieder abfragten. Verschwindet ein Router aus der Datenbank, ist er vermutlich aus. Taucht er woanders auf, ist er umgezogen. Auf Maui, wo im August 2023 ein Feuer große Teile des Ortes Lahaina zerstörte, verschwanden viele Kennungen wenige Tage nach dem Brand aus Apples Bestand. Die Karte der verschwundenen Router deckte sich weitgehend mit veröffentlichten Schadenskarten. Im Gazastreifen sank die Zahl der auffindbaren Kennungen nach dem 7. Oktober 2023 stetig. Ende des Monats waren nur noch 28 Prozent der ursprünglichen Zugangspunkte in Apples Datenbank zu finden.

In der Ukraine fanden die Forscher mindestens 3.722 Starlink-Terminals. Jedes Terminal hat einen eigenen WLAN-Zugangspunkt, und iPhones mit aktiver Ortung in der Nähe melden ihn an Apple. Auch woher Geräte in umkämpften Gebieten kamen, ließ sich ablesen. Levin sagte Krebs, man habe so auch Wohnadressen auf der ganzen Welt sehen können, und vermutlich Menschen identifizieren, die sich der Fremdenlegion der Ukraine angeschlossen hatten.

Umzug, Reiserouter, Starlink: wenn der Router mitwandert

Für den einzelnen Menschen ist ein anderer Satz aus der Studie wichtiger. Viele Heimrouter ziehen mit um. Wer die BSSID eines Routers kennt, kann also in regelmäßigen Abständen nachsehen, ob er noch am alten Ort steht oder plötzlich in einer anderen Stadt. Die Forscher schreiben ausdrücklich, dass das für Menschen gefährlich ist, die vor einem gewalttätigen Partner oder einem Stalker geflohen sind: Ihr Router müsse nur online sein, um die neue Adresse zu verraten. Details zu den verfolgten Personen ließen sie deshalb weg.

Besonders deutlich wurde das bei kleinen Reiseroutern des Herstellers GL.iNet, die man im Wohnmobil, auf dem Boot oder im Hotel einsteckt. Die Forscher verorteten über eine halbe Million solcher Geräte. Von denen, die sich bewegten, legte die Hälfte in einem Monat mehr als 97 Kilometer zurück. Bei gewöhnlichen Routern, die überhaupt umzogen, lag dieser Wert bei 4 Kilometern. Man sah sie zwischen Campingplätzen und Häfen pendeln und mit Soldaten von deren Wohnort in ein Kriegsgebiet reisen.

Starlink war schon dabei. Seit Anfang 2023 verteilt die Firma Updates, die die BSSID ihrer Router zufällig vergeben, und schrieb den Forschern, die Funktion werde Region für Region ausgerollt. In den Daten der Forscher sank die Zahl der auffindbaren Starlink-Geräte daraufhin deutlich. GL.iNet teilte mit, man plane keine solche Änderung. Smartphones sind hier weiter: Neuere iPhones und Android-Handys wählen laut den Forschern für jeden Hotspot eine zufällige BSSID.

Apple hat nach der Meldung der Forscher nachgebessert. Seit März 2024 steht auf der Support-Seite zu Ortungsdiensten, dass Besitzer ihren Zugangspunkt mit dem Zusatz „_nomap“ im Namen von der Erfassung ausnehmen können. Gegenüber Krebs erklärte Apple, man respektiere diese Markierung schon länger, habe sie aber erst Anfang 2024 dokumentiert. Google und WiGLE beachten den Zusatz laut der Studie seit mindestens 2016. Rye kommentierte trocken, vorher habe es schlicht keine Möglichkeit gegeben, sich aus Apples Datenbank herauszuhalten.

Als die Kennung auch den Schlüssel verriet

Bis hierhin ging es um den Ort. Bei manchen Routern war die Funkkennung aber noch geschwätziger. Um Geräte ab Werk mit einem individuellen WLAN-Schlüssel auszuliefern, ohne für jedes Exemplar eine Liste führen zu müssen, griffen einige Hersteller zu einer Abkürzung: Sie errechneten den Schlüssel aus Angaben, die im Gerät ohnehin vorhanden sind. Seriennummer, MAC-Adresse, Werks-SSID. Das Ergebnis stand auf dem Aufkleber und sah zufällig aus. Wer das Rechenverfahren kannte, brauchte den Aufkleber nicht.

Einer der frühen öffentlichen Fälle betraf die Thomson-SpeedTouch-Router und den BT Home Hub, damals der verbreitetste DSL-Router Großbritanniens. Im April 2008 veröffentlichte die Forschergruppe GNUCITIZEN die Analyse des Sicherheitsforschers Kevin Devine. Werks-Netzname und Werksschlüssel stammten aus derselben Quelle, und wer den Namen sah, konnte die Zahl der möglichen Schlüssel auf zwei bis rund 80 eingrenzen.

In Deutschland traf es 2011 die Standard-Router von Telekom und Vodafone. Die Studenten Stefan Viehböck und Manuel Müller zerlegten die Firmware von Telekom-Speedports, gebaut vom Hersteller Arcadyan, und fanden heraus, dass der Werksschlüssel zum großen Teil aus der sichtbaren Kennung abgeleitet war. Übrig blieben rund hundert Möglichkeiten. An einem Speedport W700V konnten sie sich nach eigener Aussage nach weniger als vier Minuten anmelden. Betroffen waren laut heise zahlreiche weitere Speedport-Modelle. Bei Vodafones EasyBox-Routern, ebenfalls von Arcadyan, sei der Schlüssel sogar vollständig aus der MAC-Adresse hergeleitet worden.

Wie viele Geräte das betraf, prüften die beiden gleich mit. Bei knapp 14.000 Zugangspunkten in Stuttgart, München, Coburg und Berlin funkten zwischen 17 und 25 Prozent noch mit einem Speedport- oder EasyBox-Standardnamen. Das ließ vermuten, dass dort auch der Werksschlüssel noch aktiv war. Die Telekom hatte im Handbuch eines betroffenen Modells sogar empfohlen, die Voreinstellungen zu behalten. Im März 2012 zeigte der Sicherheitsforscher Sebastian Petters, dass sich das EasyBox-Verfahren in einem Patent des Herstellers nachlesen ließ.

AVM, der Hersteller der Fritzbox, erklärte heise damals, die eigenen Schlüssel seien „gewürfelt“, also echt zufällig. Das ist der entscheidende Unterschied. Ein Werksschlüssel ist dann sicher, wenn er bei der Herstellung zufällig erzeugt und nirgendwo sonst abgeleitet werden kann. Er wird unsicher, sobald er aus Daten entsteht, die der Router selbst in die Welt hinausfunkt.

Die Rechenverfahren selbst stellen wir hier bewusst nicht dar, und Werkzeuge nennen wir auch keine. Entscheidend ist ohnehin der Gerätetyp, nicht das Alter allein. Öffentlich belegt sind die Modelle in der Tabelle weiter unten: Thomson SpeedTouch und BT Home Hub, Telekom-Speedports aus der Fertigung von Arcadyan wie der W700V und Vodafones EasyBoxen. Läuft eines dieser Geräte noch mit dem Schlüssel vom Aufkleber, war ein fremder Zugriff zumindest theoretisch möglich. Für eine Fritzbox aus derselben Zeit gilt das nach Aussage von AVM nicht. Welches Modell du hast, steht auf dem Typenschild an der Unterseite.

Die WPS-PIN: acht Ziffern, 11.000 Versuche

Die zweite Hintertür der Werkseinstellung heißt WPS, Wi-Fi Protected Setup. Die Funktion sollte das Koppeln neuer Geräte erleichtern: Knopf drücken oder eine achtstellige PIN eingeben, statt den langen Schlüssel abzutippen.

Ende 2011 meldete Stefan Viehböck, derselbe Student wie oben, einen Konstruktionsfehler im Standard. Die US-Koordinierungsstelle CERT/CC veröffentlichte ihn am 27. Dezember 2011 als Schwachstelle VU#723755. Der Kern: Der Router verrät bei einer falschen Eingabe, ob die erste Hälfte der PIN stimmt. Die letzte Ziffer ist eine Prüfziffer. Statt 100 Millionen Möglichkeiten bleiben damit rund 11.000 Versuche. Viele Router bremsten Fehlversuche nicht. Wer die PIN erraten hat, bekommt laut CERT/CC das WLAN-Passwort und kann die Einstellungen ändern. Die Stelle kannte keine echte Lösung und riet schlicht, die PIN-Funktion abzuschalten.

Bei der EasyBox kam beides zusammen. Im August 2013 zeigte Viehböck, inzwischen bei der Firma SEC Consult, dass sich bei den Modellen EasyBox 802 und älteren 803 auch die WPS-PIN aus der BSSID berechnen ließ. Das war ernster als der alte Fall. Wer sein WLAN-Passwort längst geändert hatte, war trotzdem offen, solange WPS lief. Das BSI stufte die Lücke als kritisch ein und riet, die PIN zu ändern, WPS abzuschalten und das WLAN-Passwort neu zu setzen.

Krefeld 2013: als die Werkseinstellung Geld kostete

Was die EasyBox-Schwächen praktisch bedeuteten, berichtete heise zwei Wochen später vom Niederrhein. Im Raum Krefeld war die Hotline eines IT-Dienstleisters stundenlang blockiert, weil ununterbrochen Anrufe eingingen. Der Geschäftsführer rief einige der Nummern zurück. Die Anschlussinhaber wussten von nichts. Alle waren Vodafone-Kunden mit einer EasyBox. Einer berichtete von einem größeren Schaden durch Auslandsgespräche über seinen Anschluss. Vodafone bestätigte heise, dass verwundbare Router für die Massenanrufe missbraucht worden waren.

Gut ein Jahr später sah heise Security in einem Wohnviertel nach und fand weiterhin viele angreifbare Geräte. Vodafone hatte per Update die MAC-Adressen der Router verändert, sodass die Rechnung zunächst nicht mehr aufging. Ein Teil der alten Kennung stand aber weiter im sichtbaren Werks-Netznamen, und zunächst blieben pro Router etwa zwanzig mögliche Schlüssel übrig. Ein Update, das Kunden zu einem eigenen Passwort zwingen sollte, erreichte laut heise nur die 802er-Reihe.

Die dritte Variante der Werkseinstellung ist das Kennwort der Router-Oberfläche. Bei vielen älteren Geräten war es für alle Exemplare gleich und stand im Handbuch. Was passiert, wenn solche Zugänge aus dem Netz erreichbar sind, haben wir am Beispiel des Mirai-Botnetzes im Artikel über öffentliche Webcams beschrieben. Dort steht auch, wie du Portfreigaben und UPnP im Router prüfst.

Ist dein Router heute noch betroffen?

Vermutlich nicht in dieser Form, aber sicher wissen kannst du es nur für dein Modell. Hersteller wie AVM vergeben ihre Werksschlüssel nach eigener Aussage zufällig. Der Bundesgerichtshof hat 2016 entschieden (Az. I ZR 220/15), dass ein Anschlussinhaber nicht als Störer haftet, wenn ein werkseitig individuell vergebener 16-stelliger WPA2-Schlüssel geknackt wird. Ein Verstoß komme nur in Betracht, wenn derselbe Schlüssel auf mehreren Geräten voreingestellt sei. Großbritannien verbietet universelle Werkspasswörter für vernetzte Verbrauchergeräte seit dem 29. April 2024.

Die Lage ist trotzdem nicht ganz so ordentlich. In vielen Kellern und Ferienwohnungen hängen Router, die seit zehn Jahren laufen, nie ein Update gesehen haben und vom Hersteller längst nicht mehr gepflegt werden. Wer damals den Aufkleber übernommen und WPS nie angefasst hat, betreibt heute ein Gerät, dessen Schwächen in Fachartikeln von 2011 beschrieben sind.

BSSID aus den Karten nehmen: _nomap

Jetzt zum eigenen Router. Den Standort deines Netzes nimmst du aus den Datenbanken von Google und Apple, indem du den Netznamen änderst. Er muss auf „_nomap“ enden. Aus „Zuhause“ wird „Zuhause_nomap“. So beschreiben es Google in seiner Maps-Hilfe und Apple auf der Support-Seite zu Ortungsdiensten übereinstimmend. Geräte in der Nähe sehen den Zusatz und schicken den Zugangspunkt nicht mehr an die Datenbank.

Den Namen änderst du in der Oberfläche deines Routers. Bei den meisten Geräten erreichst du sie über eine Adresse im Browser, die auf dem Gerät oder im Handbuch steht. Der Punkt heißt meist WLAN, Funknetz oder Wireless, darin das Feld für den Namen (SSID). Die genauen Menüs unterscheiden sich je nach Hersteller und Firmware. Google rät, sich im Zweifel an den Provider zu wenden, von dem der Router stammt.

Ein paar Dinge solltest du vorher wissen:

• Alle Geräte verlieren kurz die Verbindung. Handy, Fernseher, Drucker und Steckdosen suchen nach dem alten Namen. Du musst sie mit dem neuen Namen und dem Passwort neu verbinden. Plane dafür eine halbe Stunde ein.
• Versteckte Netze helfen nicht. Apple schreibt ausdrücklich, dass der Ausschluss bei versteckten Netzen nicht funktioniert, weil fremde Geräte den Namen dann gar nicht sehen.
• Jedes Netz zählt einzeln. Strahlt dein Router mehrere Netze mit eigenem Namen aus, etwa ein Gastnetz oder ein getrenntes 5-GHz-Netz, braucht jeder dieser Namen den Zusatz.
• WiGLE ist ein eigener Fall. Laut der Maryland-Studie beachtet WiGLE neben „_nomap“ auch „_optout“. Bereits erfasste Einträge nimmt das Projekt nach eigenen Angaben heraus, wenn du eine E-Mail mit der BSSID schickst.

Google weist selbst darauf hin, dass die Anbieter unabhängig voneinander arbeiten. Die Markierung ist eine Bitte, die Google und Apple zugesagt haben zu beachten. Ob kleinere Dienste und Datenhändler es genauso halten, weiß man nicht.

Die Werkseinstellungen hinter dir lassen

Der zweite Teil betrifft die Sicherheit des Netzes selbst, und hier hilft eine kurze Reihenfolge.

1. Kennwort der Router-Oberfläche ändern. Das ist das Passwort, mit dem du dich in die Einstellungen einloggst, nicht das WLAN-Passwort. Steht es noch auf dem Aufkleber oder im Handbuch, ersetze es durch ein langes, einzigartiges Passwort aus dem Passwortmanager.

2. Eigenen WLAN-Schlüssel setzen. Bei einem aktuellen Gerät eines großen Herstellers ist der Aufkleber-Schlüssel meist zufällig und lang genug. Bei älteren Provider-Routern weißt du das nicht. Ein eigener Schlüssel von 20 Zeichen oder mehr kostet dich einmal Tippen. Als Verschlüsselung wählst du WPA3, wenn alle deine Geräte es können, sonst WPA2.

3. WPS-PIN abschalten. Das ist die Empfehlung von CERT/CC seit 2011 und die des BSI aus dem EasyBox-Fall. Ob dein Router den Tastendruck getrennt von der PIN anbietet, steht in seinem Handbuch. Wenn du WPS nie benutzt, schalte die Funktion ganz ab.

4. Firmware prüfen. Sieh nach, wann das letzte Update kam und ob der Hersteller dein Modell noch pflegt. Viele Hersteller führen Listen der Geräte, die keine Updates mehr bekommen. Stehst du darauf, ist ein neuer Router die ehrlichste Lösung. Bei gemieteten Geräten lohnt die Nachfrage beim Provider.

5. Fernzugriff und Portfreigaben ansehen. Was von außen erreichbar ist, sollte ein bewusster Entschluss sein. Wie du das prüfst, steht im Artikel über öffentliche Webcams.

Was _nomap nicht kann

Die Markierung wirkt nach vorn. Sie verhindert, dass dein Netz neu gemeldet wird. Wie schnell ein bestehender Eintrag aus Apples oder Googles Datenbank verschwindet, sagen beide Anbieter nicht. Die Forscher aus Maryland beobachteten nach dem Brand auf Maui, dass Apple zerstörte Router nach einigen Tagen vergaß. Eine vergleichbare Messung für umbenannte Router ist uns nicht bekannt.

Die BSSID selbst bleibt gleich. Wer sie schon kennt, etwa weil er früher in deiner Wohnung war, sie in einem alten Datensatz findet oder einmal vor deinem Haus stand, hat sie weiterhin. Der Zusatz im Namen ist außerdem für alle Nachbarn sichtbar. Das stört die meisten nicht, sollte man aber wissen.

Auch dein Handy verrät seinen Standort auf anderen Wegen. Fotos mit Ortsangabe, Apps mit Standortrecht und deine IP-Adresse spielen ihre eigene Rolle. Wie viel davon bei Google zusammenläuft, steht im Artikel Was Google über dich weiß. Wie genau eine IP-Adresse wirklich ist, haben wir in IP-Adresse orten gemessen. Und welche Apps deinen Standort an andere Menschen weitergeben, steht im Artikel über Standort teilen.

Die wirksamste Lösung liegt bei den Herstellern. Rye und Levin empfehlen, dass Router ihre BSSID bei jedem Neustart oder Umzug zufällig neu wählen, so wie Handys im Hotspot-Modus und inzwischen Starlink. Bei gewöhnlichen Heimroutern war das zur Zeit der Studie die Ausnahme. Bis sich das ändert, bleibt der kleine Zusatz im Namen das Werkzeug, das du selbst in der Hand hast.

Was bleibt

Dein Router steht still und funkt seine Kennung in die Straße, Tag und Nacht. Jedes Handy, das vorbeikommt, kann sie aufschreiben, und die großen Plattformen haben das milliardenfach getan, ohne dich zu fragen. Bei einigen Provider-Routern um 2011 reichte dieselbe Kennung, um das Funknetz gleich mit aufzuschließen.

Die Lücken von damals sind weitgehend geschlossen, die Datenbanken sind geblieben. Mit „_nomap“ im Namen, einem eigenen Passwort, abgeschaltetem WPS und aktueller Firmware hast du an einem Abend das meiste erledigt, was ein Mensch ohne Netzwerkstudium an seinem Router tun kann. Was danach noch fehlt, müssen die Hersteller liefern.

---

Quellen: Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems (englisch, PDF), IEEE Symposium on Security and Privacy 2024 · Krebs on Security, Why Your Wi-Fi Router Doubles as an Apple AirTag (englisch), 21.05.2024 · Apple Support, Datenschutz und Ortungsdienste in iOS, iPadOS und watchOS · Google Maps-Hilfe, Zugangspunkte und Standortdienste von Google · WiGLE, Statistik und Kontakt · Der Hamburgische Beauftragte für Datenschutz, Fine imposed upon Google (englisch, PDF), 22.04.2013 · GNUCITIZEN, Default Key Algorithm in Thomson and BT Home Hub Routers (englisch), 14.04.2008 · heise online, Vorkonfigurierte WPA-Schlüssel bei T-Online und Vodafone leicht erratbar, 20.08.2011 · heise online, Voreingestellte WPA-Passphrase bei EasyBox-Routern berechenbar, 16.03.2012 · CERT/CC, VU#723755: WiFi Protected Setup (WPS) PIN brute force vulnerability (englisch), 27.12.2011 · heise online, BSI warnt vor WPS-Schwachstelle in Vodafone-Routern, 06.08.2013 · heise online, Router-Schwachstelle für Telefonterror missbraucht, 21.08.2013 · heise online, Immer Ärger mit der EasyBox, 06.12.2014 · LTO, BGH: WLAN-Verschlüsselung nach Werkseinstellung genügt, 24.11.2016 · GOV.UK, The UK Product Security and Telecommunications Infrastructure (Product Security) regime (englisch)

Häufige Fragen

Was ist eine BSSID?

Die BSSID ist die Hardware-Kennung, mit der sich ein WLAN-Funknetz ausweist, in der Regel die MAC-Adresse des Funkmoduls im Router. Sie besteht aus sechs Paaren von Zeichen, etwa im Format 00:11:22:AA:BB:CC. Anders als der Netzname (SSID), den du jederzeit ändern kannst, bleibt die BSSID bei den meisten Heimroutern ein Geräteleben lang gleich. Jedes Gerät in Funkreichweite kann sie empfangen, ohne mit dem Netz verbunden zu sein.

Kann man über die BSSID meinen Standort herausfinden?

Wenn die BSSID deines Routers in einer Ortungsdatenbank steht, ja. Apple und Google sammeln die Positionen von WLAN-Zugangspunkten über die Smartphones ihrer Nutzer. Forscher der University of Maryland zeigten 2024, dass sich Apples Datenbank von außen abfragen ließ und so die Position von über zwei Milliarden Zugangspunkten weltweit zu ermitteln war. Dafür braucht es allerdings die BSSID, die ein Fremder in der Regel nur aus Funkreichweite oder aus anderen Quellen kennt.

Was bedeutet _nomap im WLAN-Namen?

Endet der Name deines WLANs auf „_nomap“, nehmen Google und Apple deinen Zugangspunkt nach eigenen Angaben nicht mehr in ihre Ortungsdatenbanken auf. Aus „Zuhause“ wird also „Zuhause_nomap“. Bei Apple funktioniert das laut Support-Seite nicht für versteckte Netze, weil andere Geräte den Namen dann nicht sehen. Die Datenbank WiGLE beachtet zusätzlich „_optout“ und nimmt Einträge auf Anfrage per E-Mail heraus.

Ändert sich die BSSID, wenn ich den WLAN-Namen ändere?

Nein. Der Name ist eine Einstellung, die BSSID hängt an der Hardware. Darum wirkt _nomap über den Namen: Die Sammelgeräte sehen den Zusatz und lassen den Zugangspunkt aus. Einige Hersteller sind dazu übergegangen, die BSSID zufällig zu vergeben, etwa Starlink seit 2023. Viele Handys machen das im Hotspot-Modus schon länger. Bei klassischen Heimroutern war das zur Zeit der Maryland-Studie noch die Ausnahme.

Ist mein WLAN mit dem Passwort vom Aufkleber sicher?

Bei aktuellen Geräten großer Hersteller in der Regel ja, wenn der Schlüssel zufällig erzeugt wurde und lang genug ist. Der Bundesgerichtshof hielt 2016 einen werkseitig vergebenen, individuellen 16-stelligen WPA2-Schlüssel für ausreichend. Probleme gab es bei älteren Routern, deren Werksschlüssel sich aus der sichtbaren Kennung berechnen ließ, darunter Speedport- und EasyBox-Modelle um 2011. Ein eigenes, langes Passwort schadet nie.

Sollte ich WPS am Router ausschalten?

Die PIN-Variante von WPS auf jeden Fall, wenn du sie nicht brauchst. Die US-Stelle CERT/CC beschrieb 2011 einen Konstruktionsfehler, der die Zahl der nötigen Rateversuche auf rund 11.000 senkt, und empfahl als Abhilfe, die Funktion abzuschalten. Ob die Tastenvariante (Knopf drücken, Gerät koppeln) bei deinem Modell getrennt schaltbar ist, steht im Handbuch des Herstellers.