[Frage] Fritzbox Fernzugang aktivieren oder nicht

[miro0815]

Hallo zusammen,

ich hatte eigentlich seit Gedenken, bei meinen Routern immer den Fernzugang aktiviert. Seit einigen Wochen liest man immer wieder,
das da von gewissen Gruppen gezielt nach Fritzboxen und anderen Routern gesucht wird, die den Fernzugang aktiviert haben, und versuchen dann diese zu kompromittieren.

BSI warnt

Ich habe meinen jetzt seit einiger Zeit deaktiviert, finde das aber mittlerweile als sehr störend da ich halt von auswärts nicht mehr auf die Box komme.

WIe habt ihr das gehandelt?

Fernzugang aktivieren ja oder lieber im Moment nicht ?

 

[KunterBunter]

Ich benutze ein VPN dafür.

 

[miro0815]

Also Wireguard zum Beispiel und dann erst connecten ?

 

[Peter_Lehmann]

Hallo @miro0815,

Zuerst einmal: Jede Öffnung eines Gerätes "nach außen" ist grundsätzlich eine potentielle Schwachstelle. Du solltest also immer gründlich überlegen, ob du diesen Zugriff wirklich benötigst - oder nicht auch ohne diesen Zugang auskommst.

Wenn du der Meinung bist, dass du ohne diesen Zugang wirklich nicht auskommst, geht es um die Wahl des Mittels, um diesen Zugang zu realisieren. Ich sehe da verschiedene Lösungen:

1. Das Öffnen des https-Ports auf der Fritz-Box. Das ist IMHO die allerschlechteste Lösung und setzt vor allem ein Passwort voraus, welches auch wirklich den Namen "Passwort" zurecht trägt. Denn dies ist dann die einzige Hürde für ungewollte Gäste.

2. Den bekannten Fernzugang von AVM oder jetzt FRITZ.com, was ja in erster Linie nichts anderes als ein mehr oder weniger gut konfiguriertes IPsec-VPN ist.

3. Die Nutzung des jetzt bei wohl (fast?) allen Fritz-Boxen mögliches WireGuard-VPN.

4. Und für sehr sicherheitsaffine Menschen wie bspw. mich, die Nutzung eines externen "Kryptogateways". Was ich dafür nutze steht in meinem Impressum.

vy 73 de Peter

 

[PeterPawn]

Denn dies ist dann die einzige Hürde für ungewollte Gäste.

Das stimmt aber nicht so ganz - bei Zugriffen von der WAN-Seite muß parallel dazu auch noch ein Benutzername "erraten" werden, denn seit langem verwendet das FRITZ!OS bei einem solchen Login schon keine "select box" mehr, in der die vorhandenen Konten vorbelegt sind.

Seit einigen Versionen wird auch anstelle eines älteren Mechanismus, bei dem ein fester, "versteckter" Benutzername verwendet wurde, wenn die "Anmeldung mit Benutzernamen und Kennwort" nicht aktiviert war, ein Benutzername generiert (fritzXXXX mit 0 <= XXXX <= 9999), so daß auch dabei nur eine Chance von 1:10.000 auf einen Treffer besteht.

Ist dann noch die Zweifaktor-Authentifizierung aktiviert (was bei neu eingerichteten Boxen jetzt der Standard ist, sofern es vom Besitzer nicht - vorsätzlich - deaktiviert wurde), mit der die Änderung relevanter(!) Einstellungen zusätzlich gesichert wird, dann ist der Zugang über HTTPS (abseits von möglichen Sicherheitslücken, aber die können ebenso in der Implementierung des VPN stecken, denn da kocht FRITZ! ja auch sein eigenes Süppchen) auch nicht wirklich gefährlicher als der über eine VPN-Verbindung.

Mal ganz abgesehen davon, daß für so manchen Einsatzfall (Filesharing über die NAS-Funktionen, (eingeschränkte) Anrufliste für gesonderte Benutzerkonten, etc. - um nur mal zwei Beispiele zu nennen) eine VPN-Verbindung genau die falsche Lösung wäre (bzw. sein könnte) … denn ein VPN-Client kann sich frei im LAN bewegen und wenn man dann nicht in seinem LAN auch konsequent eine passende Sicherheit erzwingt, kann so ein "Gast" erst richtig unangenehm werden.

Denn auch bei der Nutzung einer VPN-Verbindung bestehen ja - neben dem Risiko von Fehlern in der Implementierung - zusätzliche Risiken … die wenigsten werden ja bei jedem Aufbau einer VPN-Verbindung die Daten für diese Verbindung jedesmal von Hand eingeben. Sind diese Zugangsdaten aber irgendwo gespeichert (meinetwegen auf dem Android-Handy als Schlüssel für eine WireGuard®-Verbindung), können auch sie "verlorengehen" (ohne daß der Benutzer es bemerkt natürlich und damit auch ohne umgehende Änderungsmöglichkeit) und dann wird es unangenehm.

Ich würde also so eine Wahl nicht pauschal anhand irgendwelcher Beschreibungen in "Nachrichtenquellen" treffen wollen - zumal das ja am Ende auch nicht wirklich die Quintessenz des oben verlinkten Artikels war. Denn dort wird zwar dazu geraten, den Fernzugang zu "deaktivieren", aber gleichzeitig auch betont, daß nicht mal das BSI generell(!) von dessen Nutzung abrät.

Dann kommt noch hinzu, daß dieser Zugang (afaik) per se gar nicht aktiviert ist (ich mußte den jedenfalls letztens sogar nach der Einrichtung des MyFRITZ-Accounts noch explizit(!) freigeben) und iirc auch explizit darauf hingewiesen wird, wenn der von einer der FRITZ!-Apps aktiviert wird. Deren Nutzung ist (nebenbei bemerkt) ein weiterer, denkbarer Grund, den HTTPS-Zugang (über den auch TR-064 verfügbar gemacht wird) zu aktivieren …

Die anderen Hinweise in #4 kann man unterstreichen … aber auch die Hinweise am Ende des oben verlinkten Artikels sollte man - selbst wenn es einem wie Binsenweisheiten erscheinen mag - berücksichtigen. Denn mit einem sicher konfigurierten Zugang für das (jedes!) Benutzerkonto hält sich das Risiko in überschaubaren Grenzen, auch wenn man auf den "Komfort" nicht verzichten will. Und eine VPN-Verbindung ist - wie erwähnt und versucht zu erklären - auch nicht immer das Gelbe vom Ei bzw. das beste Mittel der Wahl. Natürlich immer unter der Annahme, daß die Implementierung (egal ob VPN oder GUI) korrekt ist - und DESHALB gibt man nur die benötigten Dienste für den Zugriff frei (was man im LAN besser auch so handhabt).

 

[Deleted member 273463]

Ich halte HTTPS nicht für weniger sicher, als ein VPN. Trotzdem bevorzugt meine, zugegeben naive und mit Wunschdenken ausgestattete, Sichtweise ein VPN. Nicht nur beim Fernzugriff auf Fritz!Boxen oder andere Router, sondern grundsätzlich.

Eine VPN Software (z.B. WireGuard) konzentriert sich auf nur eine Sache: das zur Verfügung stellen eines VPN. Das lässt sich recht übersichtlich in vergleichsweise wenig Code lösen. Thematisch voll daneben, aber ich sitze nun einmal davor: bei einem esp8266 Mikrocontroller vergrößert sich die Firmware durch WireGuard um 33KB.

Wenig Code = übersichtlich = gut auditierbar.

Dieser Vorteil trifft zunächst auch auf einen Webserver zu (+17KB, s.o.). Dieser muss sich auch nur auf die Auslieferung von Webseiten konzentrieren, was ebenfalls mit wenig Code und übersichtlich lösbar ist.

Der Webserver hat aber den entscheidenden Nachteil, dass er eine Webanwendung ausliefern muss, die möglicherweise nicht nur aus reinem HTML besteht. Hier reihen sich Skriptsprachen an oder hinter Frameworks die Lücken haben können. Weiterhin kann die Webanwendung selbst fehlerbehaftet sein. Dort gibt es dann Dinge wie Cross Site Scripting, SQL Injection, Insecure Direct Object Reference oder Session Hijacking.

Wenn du weißt was du tust und denkst du kannst es handeln, dann mach HTTPS, sonst VPN oder lass es ganz.

 

[PeterPawn]

Weiterhin kann die Webanwendung selbst fehlerbehaftet sein. Dort gibt es dann Dinge wie Cross Site Scripting, SQL Injection, Insecure Direct Object Reference oder Session Hijacking.

Nur sind solche Lücken eben genauso vorhanden und angreifbar, wenn jemand über eine VPN-Verbindung bereits im LAN ist (wo man auf eine FRITZ!Box auch wieder unverschlüsselt zugreifen kann) - die entscheidende Frage an dieser Stelle ist es halt, WAS GENAU das Ziel(!) der jeweiligen "Dienstangebote" ist, die man bereitstellen möchte/muss.

Jemandem - wie schon einmal als Beispiel erwähnt - fürs Filesharing (und zwar eine Form, wo die Daten eben NICHT per se irgendwo bei einem Anbieter oder in einer Cloud-Umgebung herumschwirren) würde ich eben niemals eine VPN-Verbindung einrichten und wer solche Dienste z.B. auf einem anderen Gerät in seinem LAN bereithält und freigibt, verlagert letztlich das Problem nur an eine andere Stelle und dann kann man auch gleich die - wie erläutert inzwischen ziemlich gut gesicherten - Dienste der (ohnehin laufenden) FRITZ!Box nehmen … für den Durchschnittsbenutzer/-besitzer einer FRITZ!Box sollte das ausreichend sein und es kommt - auch ein nicht zu unterschätzender Faktor bei nur "gelegentlicher Benutzung" - ohne zusätzlich zu installierende (und dann auch zu wartende) Software-Pakete aus und ist genauso schnell wieder deaktiviert (im Router), wie man es aktivieren kann. Auch das wird beim "Verlust" von Zugangsdaten für eine VPN-Verbindung (wenn man den überhaupt bemerkt) aufwändiger …

Ich kann die andere "gefühlte Sicherheit" einer VPN-Verbindung zwar nachvollziehen und kenne auch die meisten Argumente, die dafür sprechen (ja, ich gehe häufig sogar soweit, selbst VPN-Verbindungen einzurichten und zu benutzen ;-)), aber es sollte immer das Motto des "best tool for the job" gelten und wenn es in irgendeinem (intern angebotenen, wo das Thema Sicherheit meist eher vernachlässigt wird - auch wenn AVM/FRITZ! da unbestritten gewaltige Fortschritte gemacht hat in den letzten 10 Jahren) Dienst eine Lücke gibt (nehmen wir mal spaßeshalber den DNS-Server an, weil auch der beim FRITZ!OS nicht auf einer der postulierten "gut auditierten" (bzw. als "gut auditierbar", weil nicht sehr groß und komplex, angenommenen) OpenSource-Versionen beruht - da schmeißt AVM eben alles zusammen, was irgendwie mit "service announcement" und "name resolution" zu tun hat, man braucht sich nur mal anzuschauen, wieviele Ports dafür(!) im LAN offen stehen), dann willst Du keinen, nicht ZWINGEND ERFORDERLICHEN, VPN-Client in deinem lokalen Netz haben.

Zumal für die "hostbasierten" VPN-Verbindungen bei AVM (die mit ARP-Proxies arbeiten) alles das, was andere OS an Firewalls implementieren, dahingehend unterlaufen wird, daß sich solche Clients als Teilnehmer des LOKALEN Netzes ausgeben können, wofür die am häufigsten verwendeten Regelsätze eben entsprechende Ausnahmen erlauben und somit JEDER dieser VPN-Clients Zugriff erhält, wenn man nicht weitere Maßnahmen ergreift.

Man sollte also vorher immer genau überlegen, was man erreichen will - eine VPN-Verbindung ist nicht IMMER das richtige Mittel der Wahl und ehe sich ein eher ungeübter Benutzer mit einer VPN-Konfiguration und/oder zusätzlicher Hardware für freizugebende Dienste in seinem LAN ins eigene Knie schießt, darf man (sofern man nicht besonderen Kriterien für die IT-Sicherheit unterliegt) auch schon mal auf die Dienste seiner FRITZ!Box zurückgreifen … so jedenfalls meine (hoffentlich ausreichend begründete) Meinung.

Spoiler: Nebenbei bemerkt …

BTW: Ich bin einigermaßen dankbar für diese Diskussion - endlich mal wieder etwas, was nicht nur aus dem Vermelden von neuen Firmware-Versionen, der Lösungssuche für eigene Probleme (-chen war ich versucht zu schreiben) und der Frage, welche Software-Versionen da gerade installiert sind, besteht … für mich wird (wurde) dieses Board jedenfalls immer uninteressanter und ich spiele ernsthaft mit dem Gedanken, mich zum 20-jährigen Jubiläum meiner Anmeldung hier endgültig auszuklinken.

 

[antonvm]

@PeterPawn Das wäre aber schade. :-(

genau mein Thema hier

>> https://www.ip-phone-forum.de/threa...ster-fritz-box-7590-mit-fritz-os-8-25.320367/

>> https://www.ip-phone-forum.de/threa...ritz-box-7590-7690-fritz-os-8-25-8-20.325051/

 

[Deleted member 273463]

die entscheidende Frage an dieser Stelle ist es halt, WAS GENAU das Ziel(!) der jeweiligen "Dienstangebote" ist, die man bereitstellen möchte/muss.

Genau das ist der Punkt. Ich habe den ersten Beitrag so interpretiert, dass nur eine Konfiguration der Box gewünscht ist. Es könnte aber auch das Fritz!Nas bzw. Filesharing gemeint sein.

Sofern nur der Wunsch nach Konfiguration gemeint war, bleibe ich bei "VPN vor HTTPS". Auch wenn hier immer mal wieder Themen aufgemacht werden, dass es nicht funktioniert, ist die Einrichtung eines (WireGuard) VPN in der Fritz!Box recht einsteigerfreundlich geworden. Ein paar mal klicken, einen QR Code abscannen, fertig. Sofern es einen Verlust dieser (VPN) Zugangsdaten gegeben hat, ist der VPN Zugang ähnlich schnell wieder gelöscht. Dass bei einem kompromittierten VPN die "Beute" weitaus größer sein kann, als bei einem Fritz!Nas Zugang mit zwei freigegebenen Rezepten für Bratkartoffeln, sollte einem dabei allerdings bewusst sein.

(Diesen Absatz schreibe ich, nachdem ich meinen Beitrag vor dem Absenden noch einmal korrekturgelesen habe. Mir kommen gerade Zweifel, ob ich "VPN vor HTTPS" so stehen lassen soll. Ich setze damit einen sehr sorgsamen Umgang mit (VPN) Zugangsdaten voraus. Diese Annahme könnte falsch sein. Je nach dem wie häufig der sorglose Umgang ist, würde man mit einer Lösung ohne VPN besser fahren, da es dann "hinter" der Fritz!Box nicht weitergeht.)

Im Fall von Filesharing würde ich zwischen dem Durchschnittsbenutzer und einem erfahrenen Benutzer unterscheiden. Insofern, dass für den Durchschnittsbenutzer das Fritz!Nas wegen seiner recht simplen Handhabung besser ist. Auch und gerade weil es sich recht einfach wieder abschalten lässt (mir ist bewusst, dass das auch auf Konfiguration per HTTPS zutrifft. Ich vermute aber, dass die Realität anders aussieht und es eben nicht abgeschaltet wird. Dass du dort dringend etwas von außen machen möchtest und es dann nicht kannst, passiert dir genau ein Mal. Danach ist der Dienst dauerhaft an. Damit sind wir dann wieder bei meiner (tatsächlich) gefühlten Sicherheit des VPN und ebefalls gefühlten "Unsicherheit" (weil umfangreicher) der Webanwendung). Die Einrichtung eines VPN nur um "mal eben" und nicht "dauerhaft und regelmäßig" Dateien zu tauschen, fände ich an der Stelle auch reichlich übertrieben.

Für mich - ich zähle mich jetzt einfach mal zu den erfahrenen Benutzern - käme das nicht in Frage, da ich fremde Zugriffe von außen einfach nicht möchte. Das schließt auch einen VPN Zugang für Dritte mit ein. Sofern die zu übermittelnde Datei aufgrund ihrer Größe oder anderer Gründe nicht per Mail verschickt werden kann (oder sollte), weiche ich auf einen extern gehosteten Dienst aus. Wenn dort etwas kompromittiert wird, dann sind halt irgendwelche nichtssagenden Vorlagen, Formulare oder Tools verloren, die einfach wiederbeschafft werden können.

Inhaltlich liegen wir, so glaube ich, gar nicht weit auseinander. Zwei Dingen möchte ich besonders zustimmen: "best tool for the job" und

Man sollte also vorher immer genau überlegen

Mit einer besonderen Betonung auf "vorher".

Spoiler: Nebenbei bemerkt ...

Ich kenne das Gefühl und habe ähnliche Gedankenspiele. In dem dafür eingerichteten Thread existiert bereits ein entsprechender Entwurf, den ich bei Bedarf nur noch absenden muss.

 

[antonvm]

mal auf die Dienste seiner FRITZ!Box zurückgreifen

Welche Dienste meinst Du damit konkret?

DynDNS von Fritz, oder welche weiteren Dienste?

>> https://fritz.com/apps/knowledge-base/FRITZ-Box-7580/30_Dynamic-DNS-in-FRITZ-Box-einrichten
>> https://help.avm.de/fritzbox.php?hardware=139&language=de&set=004&topic=hilfe_dyndns

 

[PeterPawn]

DynDNS von Fritz

Auch - ich habe aber auch schon Installationen konfiguriert, wo Telefonist:innen im Home-Office in einer Firma auf der Box hinterlassene Nachrichten abhören und Anrufer zurückrufen konnten (das boomte richtig während der Corona-Pandemie mit ihren Beschränkungen), OHNE daß sie dafür eine VPN-Verbindung brauchten … mithin auch keine Gefahr von deren jeweiligen lokalen Netzen und Geräten ausging.

Und dabei habe ich auch schon vieles gesehen, was da an Malware auf den Geräten so herumturnt und administrativ (abseits von einem generellen Ausschluß aller nicht zur Umsetzung der Lösung erforderlichen Geräte aus dem (W)LAN) auch nicht in den Griff zu bekommen ist, solange man nicht all diese Geräte unter seiner Kontrolle hat - was für ein (fremdes) LAN mit gelegentlicher Home-Office-Nutzung weder gewünscht, noch realisierbar wäre.

Das (eingeschränkte) myfritz-Interface, das ebenso wie das NAS-Interface und die GUI zu Konfiguration über die (gemeinsame) Freigabe realisiert wird (ebenso auch TR-064-Funktionen), ist u.a. auch genau für diesen Zweck recht nützlich, je nach "Geschmack" auch mit den FRITZ!Apps oder eigenen Applikationen … wenn man solche Funktionalität halt braucht. Ansonsten gibt man das Interface (bzw. "die", denn es ist am Ende mehr als eines) eben nicht frei …

 

[Ldwg2002]

Seit einigen Wochen liest man immer wieder,
das da von gewissen Gruppen gezielt nach Fritzboxen und anderen Routern gesucht wird, die den Fernzugang aktiviert haben, und versuchen dann diese zu kompromittieren.

BSI warnt

M.E. Panikmache im BSI, weil sie Bot-Netzwerke fürchten und ihnen diese Arbeit machen (März 2026). Meine Meinung: Eine sichere FB macht da nicht mit. Mit dieser Sicherheit wirbt der Hersteller FRITZ. das BSI rät nicht grundsätzlich davon ab, den Fernzugriff zu verwenden.

• Deaktivieren Sie den Fernzugang Ihres Routers.
  Viele Router ermöglichen es, sie auch von außerhalb des Heimnetzwerks zu konfigurieren. Prüfen Sie, ob bei Ihrem Router diese Funktion vorhanden und gegebenenfalls aktiviert ist und deaktivieren Sie diese, falls Sie sie nicht benötigen.

Sicherheitstipps im privaten und öffentlichen WLAN @ bsi.bund.de

Bei einem FB-Router ist der Fernzugang deaktiviert (default), es gibt (default) kein VPN. Das eigentliche Risiko liegt in den Geräten dahinter, die haben meist auch mehr Leistung.

Jede Öffnung eines Gerätes "nach außen" ist grundsätzlich eine potentielle Schwachstelle.

Man sollte also vorher immer genau überlegen, was man erreichen will - eine VPN-Verbindung ist nicht IMMER das richtige Mittel der Wahl und ehe sich ein eher ungeübter Benutzer mit einer VPN-Konfiguration und/oder zusätzlicher Hardware für freizugebende Dienste in seinem LAN ins eigene Knie schießt, darf man (sofern man nicht besonderen Kriterien für die IT-Sicherheit unterliegt) auch schon mal auf die Dienste seiner FRITZ!Box zurückgreifen … so jedenfalls meine (hoffentlich ausreichend begründete) Meinung.

Genau aus diesen beiden Überlegungen gibt es überhaupt nur genau ein Gerät das nach Außen geöffnet wird und dann wird ausschließlich auf die Dienste einer FRITZ!Box zurückgegriffen ohne jegliche Modifikation der Firmware FritzOS, z.B. FreetzOS. So wird die klare Produktverantwortung des Herstellers FRITZ nicht verwässert.
Bei neuesten Modellen mit FritzOS 08 musste auch mal eine BETA-Firmware ggfs. Labor eingesetzt werden, weil aus 07 bekannte Features nicht ohne Komplikationen funktionierten.

Und dabei habe ich auch schon vieles gesehen, was da an Malware auf den Geräten so herumturnt und administrativ (...) auch nicht in den Griff zu bekommen ist, solange man nicht all diese Geräte unter seiner Kontrolle hat - was für ein (fremdes) LAN mit gelegentlicher Home-Office-Nutzung weder gewünscht, noch realisierbar wäre.

Genau das ist immer die Situation in einem von mehreren erwachsenen und minderjährigen Verbrauchern gemeinschaftlich genutztem privaten LAN/WLAN, z.B. eine Familie,Wohngemeinschaft, Haus-. Ich habe hier noch nichts gesehen, weil ich es nicht sehen kann (und [noch] nicht sehen können will und es gesetzlich bestimmt fragwürdig wäre).

Was will man erreichen?

Dienste der FRITZ!Box werden nicht [eher selten] benötigt. In einem Verbraucher-LAN geht es dem Verbraucher-Admin [nur] um einen Zugang zum Router von Außen, um Änderungen der Konfiguration jederzeit von überall erledigen zu können, z.B. Neueinträge in der DHCP-Liste (Geräte-MAC~~~IPv4), weil der LAN/WLAN-Zugang kontrolliert und restriktiv behandelt wird (=administriert, z.B. #6).

Wie erreicht man/(ich) das?

Ganz einfach mit beidem: Es gibt ein eingerichtes VPN und einen dauerhaft offenen Fernzugang zum FB-Router und ein eingerichtes PortForwarding (DeAktiviert) zum Fernzugang aller FB-AccessPoints dahinter.

Jede Anmeldung am FB-Router aus dem Internet (Fernzugang) meldet der FB-Router per Mail, weil ein Push-Service (|_X_| Aktuelle IP-Adresse) wegen der immer noch aktiven Abmahnanwälte eingerichtet ist. Die demnächst erweiterte Vorratsspeicherung dient den Behörden, nicht der Abwehr von privatrechtlichen Forderungen. (anlasslos für drei Monate und wird nun als "vorsorgliche IP-Adressenspeicherung" euphemisiert und anlassbezogen die Sicherungsanordnung von Verkehrsdaten, wer wann mit wem)

Das VPN wird bei Bedarf aufgebaut, das PortForwarding zu den FB-AccessPoints kann auf dem FB-Router aktiviert werden und dient als fallback, falls das VPN wegen Konfigurationsänderungen temporär nicht aufgebaut werden kann. (in #6 grob beschrieben oder in der Signatur).

Natürlich ist auf jeder FRITZ!Box die zusätzliche Bestätigung 2FA AUSgeschaltet ("twofactor=1" bzw. "two_factor_auth_enabled = no;"). Das sehe ich hier als das geringste Sicherheitsrisiko an. Der FRITZ urteilt (default) anders, weil es ab 08 nur noch mit Krücken abzustellen geht.

Meine Fragen, als Verbraucher-Admin, an die hier aktiven Experten:

Wer hat Kenntnis davon, dass eine FRITZ!Box als Router (nicht im IP-Client-Modus), auch eine inzwischen unsupported oder mit älterer Firmware, von einem botnet gekapert wurde? Wer war der Admin? Ein (ahnungsloser) Verbraucher, ein Hobby-ITler (Halbwissen als Pseudofachkraft) oder eine IT-Fachkraft (Systemintegration, Anwendungsentwicklung, Studium)? War die zusätzliche Bestätigung Ein/AUS?