Welche Sicherheitsprobleme hat WPS?

**Das Hauptproblem bei WPS ist nicht dein WLAN-Passwort, sondern das WPS-Verfahren selbst: Vor allem WPS per PIN lässt sich konstruktionsbedingt deutlich leichter angreifen und sollte im Router deaktiviert werden.** ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) ## Die eigentlichen Sicherheitsprobleme Bei **WPS-PIN** liegt ein Designfehler vor: Die 8-stellige PIN wird nicht als ein einziger Block geprüft. Angreifer können erkennen, ob die erste Hälfte schon richtig ist, und die letzte Ziffer ist nur eine Prüfsumme. Dadurch sinkt der Aufwand von 100 Millionen Möglichkeiten auf ungefähr **11.000 Versuche**. ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) Das wird praktisch gefährlich, wenn der Router **keine harte Sperre nach Fehlversuchen** einbaut. Dann kann jemand in Funkreichweite die PIN automatisiert durchprobieren und im Erfolgsfall den WLAN-Zugang oder sogar Router-Einstellungen übernehmen. CERT nennt genau diese Folgen: Zugriff auf das WLAN, Konfigurationsänderungen und teils auch Denial-of-Service. ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) Ein oft übersehener Punkt: **„WPS aktiviert, aber ich nutze es ja nicht“ ist trotzdem unnötige Angriffsfläche.** Entscheidend ist nicht, ob du den Knopf drückst, sondern ob der Router den PIN-Modus überhaupt anbietet. Das BSI verlangt in aktuellen Prüfvorgaben deshalb ausdrücklich, dass PIN-basiertes WPS im Ausgangszustand deaktiviert sein soll. ([bsi.bund.de](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03148/TR03148-P_Testspezifikation.pdf?__blob=publicationFile&v=4)) ## WPS-PIN ist deutlich kritischer als WPS-Taste Hier liegt der wichtigste Unterschied, den viele Erklärungen auslassen: - **WPS-PIN:** dauerhaft oder länger aktivierbar, deshalb das eigentliche Kernrisiko. ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) - **WPS-Push-Button:** deutlich weniger problematisch, weil die Kopplung nur in einem kurzen Zeitfenster nach Tastendruck möglich ist. Das ist nicht automatisch „unsicher“, aber immer noch unnötig, wenn du Geräte auch normal mit WPA2/WPA3 und Passwort verbinden kannst. Die BSI-Terminologie führt Push Button zwar weiter als Verfahren, die strengen Anforderungen betreffen aber gerade den PIN-Modus. ([bsi.bund.de](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03148/TR03148.pdf?__blob=publicationFile&v=4)) Der praktische Unterschied ist klar: **Ein schwaches WLAN-Passwort kannst du ändern; ein unsicher implementiertes WPS-PIN-Verfahren bleibt ein strukturelles Problem des Geräts.** ## Was das konkret für dich bedeutet Wenn dein Router **WPS-PIN** aktiviert hat, ist das in der Praxis oft die **schwächere Stelle als ein ordentliches WPA2- oder WPA3-Passwort**. Genau deshalb empfiehlt CERT als Workaround, WPS zu deaktivieren. ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) Besonders relevant ist das bei älteren Routern, Repeatern, Druckern und IoT-Geräten. Dort ist WPS oft aus Bequemlichkeit aktiv, obwohl es für den Alltag kaum nötig ist. Das ist der typische Unterschied zwischen „einfach einzurichten“ und „dauerhaft sicher“: WPS spart Minuten bei der Einrichtung, schafft aber im schlechtesten Fall eine dauerhaft offene Nebentür. ## Klare Empfehlung - **WPS komplett deaktivieren**, vor allem **PIN-WPS**. ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) - **WPA3** nutzen, sonst **WPA2** mit langem, starkem WLAN-Passwort. Das empfiehlt das BSI für Heimnetze. ([bsi.bund.de](https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/cyber-sicherheitsempfehlungen.html)) - Router-Firmware aktuell halten, weil Hersteller Schutzmechanismen wie Sperrzeiten oder Deaktivierungen nachgerüstet haben können. Diese Maßnahme ersetzt das Abschalten von WPS aber nicht vollständig; sie mindert nur das Risiko. Das ist eine fachliche Schlussfolgerung aus der bekannten PIN-Schwäche und den BSI-Anforderungen. ([kb.cert.org](https://www.kb.cert.org/vuls/id/723755/)) **Kurz gesagt: Das Sicherheitsproblem bei WPS ist fast immer WPS-PIN. Wenn du es nicht zwingend brauchst, abschalten.**