Router, Drucker, Kamera: Standardpasswörter ändern und Gerätezugänge ablegen

Standardpasswort ändern: so geht es bei jedem Gerät

Router, Drucker, NAS, Kameras und Telefonanlage haben eine Verwaltungsoberfläche. Bei manchen Geräten ist sie ab Werk nur mit einem Standardpasswort oder gar nicht geschützt. Ändern Sie es bei jedem Gerät: Oberfläche im Browser über die Adresse vom Typenschild oder aus dem Handbuch öffnen, unter Einstellungen den Punkt für das Geräte- oder Administratorkennwort suchen, ein neues Passwort setzen. Nehmen Sie für jedes Gerät ein eigenes, vom Passwortgenerator erzeugtes Passwort und legen Sie es sofort mit Adresse und Seriennummer des Geräts ab.

Das BSI schreibt in seinen Tipps zu Router und WLAN, dass immer noch Router mit Standardpasswörtern wie „admin“ oder „1234“ ausgeliefert werden. Für Drucker und Multifunktionsgeräte hält das BSI im IT-Grundschutz fest, dass sie bei Auslieferung in der Regel kein oder nur ein Standardpasswort haben. Manche neueren Router kommen dagegen mit einem individuellen Passwort, im Handbuch steht es dann als „individuell“ oder gar nicht. So ein Passwort muss nicht weg. Es gehört aber trotzdem in die Ablage der Firma und nicht nur auf den Aufkleber am Gerät.

Welche Geräte im Büro ein eigenes Kennwort haben

Die Windows-Rechner selbst gehören nicht in diese Liste. Ihre lokalen Administratorkennwörter behandelt die Seite Lokales Administratorkennwort, die Wiederherstellungsschlüssel der Laptops die Seite BitLocker-Wiederherstellungsschlüssel. Wo die Liste aller Geräte samt Verträgen geführt wird, steht unter IT-Dokumentation für kleine Firmen.

Router: Gerätekennwort, WLAN und die Daten vom Anbieter

Am Router hängen drei verschiedene Zugänge. Das Gerätekennwort schützt die Oberfläche, über die jemand Freigaben, Weiterleitungen und den Fernzugang einstellt. Der WLAN-Schlüssel öffnet nur das Funknetz. Laut BSI darf das WLAN-Passwort nicht dasselbe sein wie das Gerätekennwort, und es sollte aus mindestens 20 zusammenhanglosen Zeichen bestehen. Für Besucher und für Geräte, denen Sie weniger trauen, rät das BSI zu einem eigenen Gast-Netz. Den Fernzugang des Routers sollten Sie nach dem BSI abschalten, wenn niemand ihn braucht.

Der dritte Zugang kommt vom Internetanbieter. Nach § 73 Absatz 3 TKG muss er die nötigen Zugangsdaten für den Anschluss eigener Geräte und für die Nutzung seiner Dienste bei Vertragsschluss in Textform, unaufgefordert und kostenfrei zur Verfügung stellen. Diesen Brief oder diese E-Mail brauchen Sie wieder, sobald jemand den Router tauscht oder neu einrichtet. Scannen Sie ihn und hängen Sie ihn an den Eintrag des Routers. Dieser Text ist keine Rechtsberatung.

Drucker und Multifunktionsgeräte

Im IT-Grundschutz-Baustein SYS.4.1 (Edition 2023) verlangt das BSI, dass Drucker, Kopierer und Multifunktionsgeräte mit Gerätepasswörtern versehen sind, damit niemand ohne Berechtigung Webserver und Bedienfeld verwaltet. Zwei Beobachtungen aus dem Baustein treffen kleine Büros direkt. Laut BSI nutzen viele Institutionen ein einheitliches Passwort für alle Drucker, das selten geändert wird und deshalb vielen internen und externen Personen bekannt ist. Und wer ein Gerät über das Bootmenü auf die Werkseinstellungen zurücksetzt, entfernt damit oft auch das Gerätepasswort.

Hat der Servicetechniker das Gerät zurückgesetzt, prüfen Sie nach seinem Besuch, ob das Passwort noch gilt. Ist am Gerät der Versand von Scans per E-Mail eingerichtet, steht im Gerät zusätzlich das Passwort eines Postfachs. Dieses Postfach gehört in denselben Eintrag, und ändert jemand sein Passwort, müssen Sie es am Drucker nachtragen.

Kameras, NAS und andere vernetzte Geräte

Für vernetzte Kameras rät das BSI, das Standardpasswort des Geräts zu ändern, ein Passwort zu wählen, das Sie nirgends sonst nutzen, und eine Zwei-Faktor-Anmeldung einzuschalten, wo es sie gibt. Braucht niemand den Zugriff von unterwegs, verbinden Sie die Kamera nur mit dem lokalen Netz. Läuft die Kamera über eine App des Herstellers, ist das Konto in der App der eigentliche Zugang. Es sollte auf eine Adresse der Firma laufen, nicht auf die private eines Mitarbeiters.

Für vernetzte Geräte allgemein nennt das BSI im Baustein SYS.4.4 (Edition 2023) schon beim Kauf zwei Kriterien: Das Gerät muss Updates bekommen, und es darf keine fest eingebauten oder herleitbaren Zugangsdaten enthalten. Im Betrieb sollen solche Geräte in einem eigenen Netzbereich laufen, und an allen Routern muss die Funktion UPnP abgeschaltet sein. Beim NAS liegt der wichtigste Zugang beim Administratorkonto, denn wer es hat, kommt an alle Freigaben. Die Mitarbeiter bekommen dort eigene Konten statt eines gemeinsamen Benutzers.

Telefonanlage und SIP-Zugangsdaten

Eine Telefonanlage ist ein Ziel für Gebührenbetrug. Das BSI beschreibt im Baustein NET.4.1 (Edition 2023), wie Angreifer etwa aus der Ferne umprogrammierbare Rufumleitungen nutzen, damit Anrufe auf Kosten des Betreibers weiterlaufen. Die Geräte zur Wartung und Konfiguration der Anlage sollen laut BSI mit Passwörtern oder PINs abgesichert sein. Fragen Sie den Errichter der Anlage, welche Wartungs-PIN er gesetzt hat, und lassen Sie sich die Zugänge übergeben.

Bei Anschlüssen über das Internet meldet sich jedes Telefon oder die Anlage mit SIP-Zugangsdaten beim Anbieter an: Registrar, Benutzername und Passwort je Rufnummer. Wer diese Daten hat, kann über Ihren Anschluss telefonieren. Legen Sie sie je Rufnummer ab, zusammen mit dem Zugang zum Kundenportal des Anbieters, in dem Sie die SIP-Passwörter neu setzen können.

Neue Geräte: was die EU von Herstellern verlangt

Seit dem 1. August 2025 müssen Funkanlagen, die selbst über das Internet kommunizieren, etwa WLAN-Router oder Kameras mit WLAN, zusätzliche Anforderungen der Funkanlagenrichtlinie erfüllen, wenn sie neu in der EU in Verkehr gebracht werden: Schutz des Netzes, Schutz personenbezogener Daten und Schutz vor Betrug. Das regelt die delegierte Verordnung (EU) 2022/30, deren Geltungsbeginn die Verordnung (EU) 2023/2444 vom 1. August 2024 auf diesen Tag verschoben hat. Als Beispiel für das Risiko nennt sie in ihren Erwägungsgründen den Zugriff auf erweiterte Einstellungen eines Geräts über ein Standardpasswort.

Ab dem 11. Dezember 2027 gilt die Cyberresilienzverordnung (EU) 2024/2847, auch für vernetzte Geräte ohne Funk wie Drucker oder NAS. Hersteller müssen ihre Produkte dann unter anderem mit einer sicheren Standardkonfiguration ausliefern und durch Authentifizierung vor unbefugtem Zugriff schützen (Anhang I). Router und Modems für die Internetanbindung zählt die Verordnung zu den wichtigen Produkten der Klasse I. Am selben Tag endet die Verordnung 2022/30, so hat es die Kommission mit der delegierten Verordnung (EU) 2026/339 festgelegt. Schon seit dem 11. September 2026 müssen Hersteller ausgenutzte Schwachstellen ihrer Produkte melden.

Beide Verordnungen verpflichten Hersteller, Einführer und Händler, nicht den Betrieb, der das Gerät nutzt. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen nach Artikel 69 nur dann unter die Cyberresilienzverordnung, wenn sie danach wesentlich geändert werden. Der Drucker von 2019 bleibt also, wie er ist. Das Kennwort am vorhandenen Router ändern Sie also weiterhin selbst. Dieser Text ist keine Rechtsberatung.

Ein Eintrag pro Gerät

Benennen Sie den Eintrag nach Gerät und Standort, etwa „Multifunktionsgerät 2. OG“, und füllen Sie diese Felder aus:

• Adresse der Oberfläche, bei Bedarf mehrere (intern per IP-Adresse, extern über die App),
• Benutzername und Passwort des Verwaltungszugangs,
• Hersteller, Modell und Seriennummer,
• als Notiz: wer das Gerät eingerichtet hat, die Telefonnummer der Wartungsfirma und das Datum der letzten Änderung,
• als Anhang: der Zugangsdatenbrief des Anbieters oder das Datenblatt mit den Werkseinstellungen.

Gewechselt werden diese Passwörter, wenn jemand sie kannte, der sie nicht behalten soll: der frühere IT-Dienstleister, ein Techniker nach dem Termin, ein Mitarbeiter, der geht. Ein fester Wechselrhythmus ist nicht nötig, siehe Passwörter regelmäßig ändern. Was beim Wechsel des Dienstleisters zu übernehmen ist, steht unter IT-Dienstleister wechseln, was beim Austritt eines Mitarbeiters dazukommt, in der Checkliste Mitarbeiter verlässt die Firma.

Ein Beispiel aus einem kleinen Hotel

Ein erfundenes Hotel garni mit 18 Zimmern und fünf Angestellten hat einen Router vom Anbieter, ein Gast-WLAN, eine Telefonanlage mit Zimmertelefonen, zwei Kameras am Eingang und ein Multifunktionsgerät an der Rezeption. Die Zugänge kannte nur der Elektriker, der die Anlage vor acht Jahren eingebaut hat, und das Gerätekennwort des Druckers stand auf einem Zettel unter der Tastatur. Nach einem Besuch des Kopierer-Service war es wieder auf Werkseinstellung.

Die Inhaberin hat die Zugänge an einem Vormittag mit dem Elektriker aufgenommen, alle Passwörter neu gesetzt und eine Sammlung „Haustechnik“ angelegt, die nur sie und ihr Stellvertreter sehen. Das Passwort des Gast-WLAN liegt in einer zweiten Sammlung für das ganze Team, damit der Nachtportier es Gästen sagen kann. Was ein Hotel sonst an Zugängen hat, zeigt die Seite für Hotels.

Gerätezugänge bei Passwortheld

Im Tresor von Passwortheld bekommt ein externer IT-Dienstleister oder der Errichter der Telefonanlage auf Wunsch ein eigenes Konto, das nur die Sammlung mit den Geräten sieht, ohne Aufpreis, weil es keine Nutzergrenze gibt. Braucht ein Techniker einmalig ein Kennwort, schicken Sie es ihm als befristeten, verschlüsselten Link statt per E-Mail. Wie das Teilen im Team sonst läuft, beschreibt Passwörter im Team teilen.

Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt., nur für Unternehmer. Eine Sicherung gibt es mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt., ohne das Paket sichern wir den Tresor nicht. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Wie die Zugänge aus einer alten Excel-Liste umziehen, steht unter Passwörter in Excel. Fragen klären wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.