[Frage] Unbekannte User in Nutzerliste - FritzBox

[Stefaljor]

Hallo Gemeinschaft,

ich hätte mal eine Frage zu den Listen der User, die man zu sehen bekommt, wenn man sich in die FritzBox einloggt. Da stehen bei mir die bekannten User und dann seit Neusten auch ein paar, die alle mit PC-... anfangen. Weiß einer von euch was es damit auf sich haben kann? Und kann ich die einfach löschen, bzw. deren Zugang sperren? Oder ist es gar angebracht ein neues 16-stelliges Paßwort zu setzen?

Gruß, Stefan

 

[steve0564]

Willkommen im Forum!

Bitte etwas genauer!

Welcher Menüpunkt der Box ist das genau?
Um welche Fritzbox handelt es sich genau?
Welche Firmware ist auf der Box?

LG
Steve

 

[HabNeFritzbox]

Wenn da nur PC-xx-xx-xx-xx steht also MAC Adresse, haben Geräte keine IP und WLAN ist wohl gescheitert.

Auf Grund der Fragen würde ich Pauschal sagen Standard SSID (WLAN Namen) ändern und auch eigenen Schlüssel (Passwort) verwenden.

 

[Stefaljor]

Hey Steve,
das ist eine FritzBox 7170. Zur Zeit habe ich die neuste FW drauf. Werde aber heute Abend mal downgraden auf die 80er, da das angeblich meine Probleme mit dem Cisco VPN löst (lässt meine Box immer abschmieren). Leider muss ich Cisco VPN nehmen, da es ein Zugang ins Firmennetz ist. Das alte Juniper VPN war erheblich besser, aber wohl teurer . Die Anzeige ist im Menü WLAN. Da sehe ich ja, wer gerade eingeloggt ist, bzw. wer jemals versucht hat sich einzuloggen.

Hallo HabNeFritzbox,
das macht Sinn. Dann sind das umliegende Wohnungen, die aus Spaß wohl mal versucht haben, ob sie auf meine Box Zugriff bekommen. Aber wenn das gescheitert ist, dann denke ich ist meine Verschlüsselung noch nicht geknackt.

Gruß, Stefan

 

[SF1975]

Hallo,

...Werde aber heute Abend mal downgraden auf die 80er, da das angeblich meine Probleme mit dem Cisco VPN löst ...

... und bringt Dir Probleme mit der dort vorhandenen Sicherheitslücke :lach:

 

[ciesla]

...Da stehen bei mir die bekannten User und dann seit Neusten auch ein paar, die alle mit PC-... anfangen. ...

Das kommt davon, wenn man die Box nicht gewissenhaft und komplett einrichtet.
Nach einer Neueinrichtung (selbstverständlich immer mit der neuesten Firmware!, wobei die Verwendung von sicherheitsrelevanter Hardware, die - auch wenn sie wohl noch technisch funktioniert - weit über 10 Jahre alt ist, doch nicht nur "Fahrlässigkeit" darstellt, sondern "groben Vorsatz") gehört es sich ganz einfach so, daß durch manuelle (und nicht automatische) Festlegung alle in Frage kommenden Netzwerk-/WLAN-Klienten über ihre MAC eine dauerhaft gültige feste IP-Adresse verpaßt bekommen und der Datenverkehr in Folge nur zwischen diesen Klienten erlaubt wird und dazu die Anmeldung neuer WLAN-Klienten generell unterbunden wird.
Dann kommen auch solche "komischen" Einträge nicht mehr vor. Ganz nebenbei sind dadurch auch regelmäßige Fehlerquellen ausgeschlossen, die dadurch entstehen, daß sich Geräte wie von Geisterhand in periodischen Abständen neue und vor allem abweichende IP-Adressen schnappen.

 

[Stefaljor]

Hey SF1975,
das ist bekannt. Obwohl noch keiner sagen konnte was das für eine Sicherheitslücke ist.

Hallo ciesla,
danke für die klug gesch.. Antwort. Ist halt nicht jeder der Held was die Bedienung von IT Sachen angeht. Meine Stärken liegen wo anders. Was den wahnsinnig witzigen Kommentar angeht mit dem groben Vorsatz lass dir gesagt sein, dass immer die neuste Hardware zu kaufen nicht Jedermanns Sache ist und ich will auch den Elektronikschrott nicht noch größer werden lassen, als er eh schon ist.
Ach ja, und wenn die Antworten weiter so ausfallen, dann schreib bitte nicht mehr. Ich bin offen für vernünftige hilfreiche Antworten, aber nicht für polemische selbstdarstellerische.

Gruß, Stefan

 

[SF1975]

Hallo,

Hey SF1975,
das ist bekannt. Obwohl noch keiner sagen konnte was das für eine Sicherheitslücke ist.

Details gibt es nicht, da noch genug User veraltete FW einsetzen....

Offenbar kann man Deine Daten aus der Box auslesen, mit und ohne aktivierte Fernwartung, oder über eine manipulierte Seite im Internet...:-Ö

 

[steve0564]

Die eigentliche "user"-liste findet sich im Untermenü "System" und bezeichnet die User, die sich auf welche Art auch immer mit der FB direkt verbinden dürfen (WebUi, FTP, VPN). Daher war ich bei deiner Usprungsbeschreibung etwas verwirrt.
Und ja, auch bei mir stimmt weder die Wlanuserliste, geschweige denn die Heimnetzliste mit der tatsächlichen Realität überein. Da werden Gerätschaften auf die ich gerade via IP-Adresse aktiv zugreife, als deaktiv bezeichnet, andere angeblich aktive, sind nicht anzupingen....
M. E. scheint das ein Bug, der mich persönlich schon seit Jahren so verfolgt, der FBen zu sein....

 

[Stefaljor]

Hey SF1075 und Steve,

ich bin jetzt ein bisschen verwirrt. Was würdet ihr mir raten hinsichtlich der Geschicht mit den nicht bekannten Usern? Weil wenn da jemand meine Sachen aus der Box oder gar von meinen Rechner auslesen kann, dann wäre das sehr unschön (milde ausgedrückt).
Auf meinen Rechnern läuft Avira als Virenscanner oder Symantec. Die haben bislang keine Viren oder ähnliches gemeldet. Aber das muss nicht zwingend so sein, dass obiges nicht passieren kann, oder?
Könntet ihr mir bitte detailiert oder mit Link beschreiben, wie ich meine Box und mein WLAN zu Hause wieder sicher machen kann? Ich habe zwar ein gewisses Grundverständnis, bin aber weit entfernt von einem Profi, daher bitte auf dem meinigen Verständnisniveau beschreiben.

Danke euch schon mal ganz herzlich, Stefan

 

[ciesla]

... Ich bin offen für vernünftige hilfreiche Antworten, aber nicht für polemische selbstdarstellerische.

Typisch deutsche Reaktion wieder!
Ich hatte gehofft, es mal nicht so direkt zu schreiben ("wenn Du es selbst nicht kannst,dann solltest Du jemand engagieren, der das kann"), sondern Dir durch die Blume diesen Tip zu geben. Aber in diesem Land hier scheint ja inzwischen jeder noch so kleine und verblümte Hinweis darauf, daß eine bestimmte Person vielleicht irgendetwas nicht so gut könnte, grundgesetzlich verboten zu sein. Jeder kann alles und bei Mißerfolg sind immer nur alle Anderen schuld ...
Also nimm es als gut gemeinten "Anstoß" und mache die Arbeit, die Du gut kannst und dafür bezahlt wirst, und lasse das hier jemanden machen, der Spezialist ist. Im Zweifel kostet es Geld - ja! Oder auch 2 Flaschen Bier. Und wenn Du Lust und Verlangen hast, guckst Du dabei zu und kannst es (vielleicht/hoffentlich) beim nächsten Male selbst. Aber um hier jetzt jeden Schritt genau zu beschreiben und zu hoffen, daß Du dabei auch keinen Fehler machst (denn leider geht das ganz schnell), ist weder Zeit noch Platz. Zumal Du ja leider eben nicht die neueste (und sogar anerkannt insgesamt bessere) Hardware hast oder haben willst (habe kein Geld dafür wäre dann die ehrliche Antwort gewesen, die auch jeder versteht!, aber die verwendete "Umschreibung" war mal wieder vielsagend).
Also Verzeihung für das zu Nahetreten (obwohl ich das gar nicht so sehe), nur aus 25 Jahren Arbeit in der TK weiß ich, daß eben genau Dein "Fall" hierzulande leider traurige und gefährliche Normalität ist. Und da kann die Bundesregierung noch so lange über IT-Sicherheit rumfaseln ...

 

[Stefaljor]

Tse, Tse, Tse ciesla,
Hatte ich nicht gebeten nicht mehr zu schreiben in dem Falle. Und wer sagt, dass ich deutsch reagiere? Lass es gut sein. Ich mag die Art nicht. Und sei dir sicher ich schaffe es ohne das.

 

[HabNeFritzbox]

das macht Sinn. Dann sind das umliegende Wohnungen, die aus Spaß wohl mal versucht haben, ob sie auf meine Box Zugriff bekommen.

Die Wohnungen werden sich wohl nicht ins WLAN einloggen, eher die darin wohnen oder zu Gast sind.

Wenn man Standardnamen verwendet, muss man bei solch einem Massenprodukt rechnen, dass andere Geräte sich versuchen einzuloggen. Wenn ein Gerät die SSID kennt, versucht der sich automatisch einzuloggen. Daher eigenen Namen verwenden.

 

[Theo Tintensich]

..., daß durch manuelle (und nicht automatische) Festlegung alle in Frage kommenden Netzwerk-/WLAN-Klienten über ihre MAC eine dauerhaft gültige feste IP-Adresse verpaßt bekommen und der Datenverkehr in Folge nur zwischen diesen Klienten erlaubt wird und dazu die Anmeldung neuer WLAN-Klienten generell unterbunden wird.

Komisch, dass in dem professionell gemanagten Netz meines Arbeitgebers alle Clients nur noch IP-Adressen per DHCP bekommen.
Und dass der Datenverkehr nicht extra für jede Benutzerverbidnung freigeschaltet wird, sondern dieses über globale Gruppen passiert.
Für den normalen Datenverkehr.

Da ich aber glaube, dass in einem normalen Netz bei einem Benutzer zu hause nicht mehrere zig tausend Rechner befinden, sind deine Vorschläge etwas für Paranoiker, die eigentlich auf die Nutzung von Computern verzichten sollten.

Dann kommen auch solche "komischen" Einträge nicht mehr vor. Ganz nebenbei sind dadurch auch regelmäßige Fehlerquellen ausgeschlossen, die dadurch entstehen, daß sich Geräte wie von Geisterhand in periodischen Abständen neue und vor allem abweichende IP-Adressen schnappen.

Bei einem normalen DHCP-Server passiert es nicht, dass sich Rechner "wie von Geisterhand" neue IP-Adressen besorgen.
Da ist nicht nur der DHCP-Server sondern auch noch der jeweilige DHCP-Client vor.

Außer natürlich, dass man keine Ahnung hat und sein Netz verkonfiguriert.

Einträge nur mit der MAC- aber ohne IP-Adresse sind, wie schon genannt, Systeme, die nicht den richtigen WPA2-Key kennen.
Was im übrigen auch schon deshalb passieren kann, weil man einen falschen bei seinem WLAN-Gerät eingetragen hat.

=======================================

Hat man die Standard-SSID des Access-Points belassen, versuchen sich die Rechner der lieben Nachbarn, die das gleiche Gerät haben, dort anzumelden.
Lösung:
Ändern der SSID. Das Verbieten des Anmelden von neuen Geräten ist keine, und war auch nie, eine Sicherheitsmaßnahme (so wenig wie das verstecken der SSID).
Auch würde man solche Geräte im Log dort weder sehen.
Denn um das gerät ablehnen zu können, muss es erst einmal einen Anmeldeversuch starten.
Das Ergebnis bei falschem WPA2-Key und 'anmelden unbekannter Geräte nicht erlaubt' ist genau das gleiche.

 

[Stefaljor]

Gute Nachricht. Vorerst kann ich das Thema schließen.

Ich habe (da der Cisco VPN ja nicht lief) die 80er Version aufgespielt. Damit verbunden war natürlich ein kompletter Reset und ein frisches Einrichten des gesamten Systems, samt Zugang zum Provider.
Anschließend lief der Zugang über Cisco VPN auch dann, wenn ich große Mengen an Daten transferiert habe.
Da aber das Risiko der 80er zu groß ist (habe `nen Link bekommen mit den Beschreibungen der Probleme) habe ich die 88er wieder drauf gebügelt. Und dann den Nachtmodus wieder eingestellt.
Witzigerweise funktioniert nun auch mit der 88er der Zugang, obwohl exakt die gleiche Konfiguration wieder am Start ist - hmmm.
Die zusätzlichen Einträge der User war ich in dem Zuge natürlich auch los. Und nun habe ich die 4 PCs im Haus als maximale Liste eingestellt. Damit hoffe ich mal, dass keine weiteren drauf zugreifen können.
Den SSID Namen habe ich nicht geändert, da ich in anderen Beschreibungen lesen konnte, dass das nur sehr wenig bringt, da die Snifferprogramme einen leichten Zugriff darauf zulassen.
Ich werde nun auf jeden Fall mal häufiger in die Fritzbox rein schauen, um zu sehen, ob sich da komische Sachen tun.

Danke liebe Gemeinde für die Hilfe.

 

[KunterBunter]

Den SSID Namen habe ich nicht geändert, da ich in anderen Beschreibungen lesen konnte, dass das nur sehr wenig bringt, da die Snifferprogramme einen leichten Zugriff darauf zulassen.

Das hast du falsch gelesen. Da ging es um das Verstecken der SSID. Das hast du ja hoffentlich nicht gemacht.

 

[JohnDoe42]

Bei einem normalen DHCP-Server passiert es nicht, dass sich Rechner "wie von Geisterhand" neue IP-Adressen besorgen.
Da ist nicht nur der DHCP-Server sondern auch noch der jeweilige DHCP-Client vor.

Vielleicht zu spät und ein wenig OT, aber das ist so trotzdem nicht ganz richtig, s.a. hier.
Und ich kann aus meinen Boxen betätigen, daß, wenn man nahezu allen LAN/WLAN-Clients feste IPs zuordnet, diese nicht immer online sind und sich ab und zu neue Clients im WLAN der Box regsitrieren/anmelden, es durchaus zum IP-Karussel kommt. Dieses zieht sich dann leider durch das gesamte Netz, also LAN- und WLAN-IPs.

Grüße,

JD.

 

[sven@mainz]

Und es geht darum, einen eindeutigen (einmaligen) Namen (SSID) zu haben,. damit sich andere Geräte nicht versehentlich versuchen dort einzuloggen, weil diese im heimischen Netzwerk auch nur den Standard-SSID aus den Grundeinstellungen der Box haben.

 

[JohnDoe42]

Ich glaube, das es um IP-Adressen-"Konflikte" von bereits an der Box angemeldete (WLAN-)Clients geht (sofern ich den Eingangspost richtig deute):

Da stehen bei mir die bekannten User und dann seit Neusten auch ein paar, die alle mit PC-... anfangen.

Hieraus schließe ich, daß, wie das Präfix "PC" vermuten läßt, sich einige Clients immer mal wieder mit verschiedenen IPs neu anzumelden versuchen und dies kraft PW auch schaffen.
Das hat IMHO nichts mit der Problematik einer "Standard-SSID" zu tun. Auch wenn zehn SSIDs "FritzBox FOn WLAN 7270" o.Ä. heißen, benötige ich trotzdem ein PW, um in dieser Liste zu stehen. Ansonsten stehen die Clients ausschließlich in der Ereignisanzeige mit "Anmeldung gescheitert".
Diese Symptomatik kenne ich aktuell ähnlich aus Repeatern 310E.

Allerdings könnten zumindest ein paar Screenshots Licht ins Dunkel bringen.

 

[Theo Tintensich]

Hieraus schließe ich, daß, wie das Präfix "PC" vermuten läßt, sich einige Clients immer mal wieder mit verschiedenen IPs neu anzumelden versuchen und dies kraft PW auch schaffen.
Das hat IMHO nichts mit der Problematik einer "Standard-SSID" zu tun. Auch wenn zehn SSIDs "FritzBox FOn WLAN 7270" o.Ä. heißen, benötige ich trotzdem ein PW, um in dieser Liste zu stehen. Ansonsten stehen die Clients ausschließlich in der Ereignisanzeige mit "Anmeldung gescheitert".

Doch.
Beim normalen Rechner steht in der Konfiguration "[x] mit bekannten Netzen automatisch Verbinden"
Wenn nun 10 Netze mit der gleichen SSID aber unterschiedlichen WPA2-Key zu finden sind, wird sich der Client (nacheinander, von der höchsten zur jeweils niedrigeren Empfangsfeldstärke) mit jedem Netz verbinden, bis er 'sein' Zielnetz gefunden hat.
Und bei jeder FB, an die er sich nicht verbinden konnte, ist er nur mit seiner MAC-Adresse bekannt, da er, wegen des falschen Passwortes, ja keine IP bekommen hatte.
Etwas anderes als die MAC kennt die FB bis zu dem Zeitpunkt, zu dem der Rechner eine IP vom DHCP-Server bezieht ja nicht.

(Ich hatte mal einen neu aufgesetzten Win8.1-Rechner, der per WLAN vom DHCP-Server keine IP bekommen hatte, der stand in der FB mit einer IP aus dem Bereich 169.254.0.0./16 drin, da derWPA2-Key richtig war.
Dem habe ich dann eine feste gegeben, die ich ihm einen Tag später wieder weggenommen hatte. Und, schwupp-di-wupp, bekam er eine per DHCP)