Der Smart-TV, die Sicherheitskamera, das Thermostat: Keines von ihnen kann eine VPN-App installieren. Diese Lücke wird mit jedem neuen Gerät im Haushalt größer, nicht kleiner, denn die Zahl der vernetzten Geräte pro Haushalt steigt Jahr für Jahr, während die Sicherheitsstandards der günstigeren Modelle kaum mithalten. Ein einzelner Haushalt kommt heute leicht auf ein Dutzend oder mehr solcher Geräte, von der Türklingel bis zur Waschmaschine. Das ist keine fehlende Option im Einstellungsmenü, sie wurden schlicht nie dafür gebaut. Das ist keine Kleinigkeit: Smart-Home-Geräte sind durchgehend der schwächste Punkt eines Heimnetzwerks, und der einzige echte Weg, sie mit einem VPN abzudecken, ist die VPN-Verbindung auf den Router selbst zu verlegen.
Warum Smart-Home-Geräte einen anderen Ansatz brauchen
Ein Smartphone oder Laptop kann eine VPN-App direkt ausführen und den eigenen Datenverkehr verschlüsseln, bevor er das Gerät verlässt. Smart-Home-Geräte bieten diese Option so gut wie nie. Ihre Firmware ist abgespeckt, geschlossen, und erhält nach Einstellung einer Produktlinie kaum noch relevante Sicherheitsupdates, genau deshalb finden Sicherheitsforscher immer wieder neue Wege, sie zu kompromittieren.
Aktuelle Berichterstattung von Security Affairs über Angreifer, die Hotel-WLAN-Gateways kapern, um Opfer auf gefälschte Login-Seiten umzuleiten, zeigt, wie viel Schaden ein kompromittiertes Netzwerkgerät anrichten kann, bevor es jemandem auffällt. Dieselbe Logik gilt fürs Heimnetzwerk: Eine Smart-Kamera oder ein Lautsprecher mit ungepatchter Firmware, im selben Netz wie Laptop und Smartphone, ist ein Einstiegspunkt, den ein Angreifer nur ein einziges Mal braucht.
Ein VPN behebt keine anfällige Firmware, das muss vorab klar sein, um spätere Enttäuschung zu vermeiden. Es verschlüsselt den Datenverkehr, der das Netzwerk verlässt, und verschleiert die IP-Adresse, mit der Smart-Home-Geräte kommunizieren, was mehr zählt, als viele annehmen, denn zahlreiche IoT-Geräte funken deutlich häufiger und mit deutlich weniger Transparenz nach Hause zu Herstellerservern, als den meisten Nutzern bewusst ist.
Die zwei Wege, IoT-Geräte abzudecken
VPN auf Router-Ebene. Ein VPN-Client wird direkt auf dem Router konfiguriert (oder auf einem zweiten, dafür vorgesehenen Router), und jedes verbundene Gerät, Smartphones, Laptops, Smart Speaker, Kameras, alles, läuft automatisch über das VPN. Das ist die einzige Option, die Geräte ohne eigene VPN-App tatsächlich erreicht.
Ein eigenes, VPN-geroutetes Netzwerksegment für IoT-Geräte. Manche Router erlauben, ein separates WLAN speziell für Smart-Home-Geräte einzurichten, über ein VPN geroutet, während die Hauptgeräte eine direkte Verbindung oder eine eigene VPN-App nutzen. Das fügt zusätzlich zur Verschlüsselung eine Netzwerkisolationsebene hinzu, sodass selbst ein kompromittiertes Smart-Gerät nicht ohne Weiteres Laptop oder Smartphone im anderen Netz erreichen kann.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Welche VPNs sich dafür am besten eignen
Die Einrichtung auf Router-Ebene hängt stärker von der Firmware des Routers ab als von der VPN-Marke, da meist eine Standard-OpenVPN- oder WireGuard-Verbindung manuell konfiguriert wird statt eine ausgefeilte App zu nutzen. Trotzdem machen VPNs mit guten Werten bei Protokollunterstützung und Serverzuverlässigkeit in unserer Tabelle die Einrichtung selbst reibungsloser:
| VPN | Protokoll-Wertung | Eigene Server | Am besten für |
|---|---|---|---|
| NordVPN | 5/5 | 6.274 Server, 104 Länder | Größtes Netz, einfachste WireGuard-Konfiguration |
| Surfshark | 4/5 | 3.200+ Server, 65 Länder | Unbegrenzte Geräte, gut für größere Smart-Home-Setups |
| Mullvad | 5/5 | 769 Server, 37 Länder | Einfachste WireGuard-Konfiguration, stärkster Datenschutz |
Das große Servernetz und die volle WireGuard-Unterstützung von NordVPN machen es zu einer zuverlässigen Wahl für einen Router, der dauerhaft verbunden bleiben muss. Surfsharks Richtlinie für unbegrenzte Geräte lohnt sich zu bedenken, wenn zusätzlich zur Router-Verbindung für IoT-Geräte auch auf jedem Smartphone und Laptop im Haushalt eine VPN-App läuft, da manche Router-Konfigurationen je nach Zählweise des Anbieters trotzdem auf ein Gerätelimit angerechnet werden. Mullvads WireGuard-Konfiguration kommt einer Plug-and-Play-Lösung so nahe, wie eine manuelle Router-Einrichtung nur sein kann, was zählt, wenn es das erste Mal ist, dass ein VPN-Client von Hand auf einem Router eingerichtet wird.
So wird das konkret eingerichtet
Die genauen Schritte hängen stark von der Firmware des Routers ab. Unterstützt der Router OpenWrt oder DD-WRT, oder besteht die Bereitschaft, einen Router damit zu flashen, deckt unsere Schritt-für-Schritt-Anleitung zum Einrichten eines VPN auf einem OpenWrt-Router die komplette WireGuard-Client-Konfiguration ab.
Wer die Firmware des Hauptrouters lieber unangetastet lässt, kann stattdessen einen dedizierten Reiserouter als VPN-Gateway zwischen Hauptrouter und Smart-Home-Geräten schalten, was genauso gut funktioniert und den Rest des Netzwerks unberührt lässt. Unsere Anleitung zu VPN-Reiseroutern mit GL.iNet-Hardware beschreibt genau dieses Setup, und es eignet sich ebenso gut für eine dauerhafte Installation zuhause wie fürs Reisen.
Für alle, die neben dem Smart-Home-Setup bereits einen Heimserver oder ein NAS betreiben, lohnt es sich außerdem, das IoT-Netzwerksegment über ein selbst gehostetes VPN-Gateway zu routen, falls die Hardware bereits vorhanden ist. Unsere Anleitungen zum Einrichten eines VPN-Servers auf einem Synology-NAS und auf einem QNAP-NAS decken diesen Weg ab.
Typische Fehler bei diesem Setup
Annehmen, das Router-VPN decke Geräte ab, die es nicht abdeckt. Wird nur das IoT-Netzwerksegment über das VPN geroutet und die Hauptgeräte auf einer direkten Verbindung belassen, ist das oft die richtige Entscheidung für die Leistung, bedeutet aber, dass Laptop und Smartphone weiterhin eine eigene VPN-App brauchen, wenn auch sie abgedeckt sein sollen. Router-VPN und geräteseitiges VPN decken nicht automatisch dasselbe ab.
Einen Router wählen, der den Durchsatz nicht schafft. Ältere oder günstige Router können Schwierigkeiten haben, die volle Geschwindigkeit zu halten, sobald VPN-Verschlüsselung für den Datenverkehr jedes Geräts hinzukommt, Smart-Home-Geräte eingeschlossen. Fühlt sich das Internet nach dieser Einrichtung langsamer an, sollte zuerst geprüft werden, ob der Prozessor des Routers der Flaschenhals ist, bevor der VPN-Anbieter dafür verantwortlich gemacht wird.
Vergessen, dass manche Smart-Geräte direkten lokalen Netzwerkzugriff brauchen, um zu funktionieren. Bestimmte Smart-Home-Hubs und Streaming-Geräte, Chromecast ist ein gängiges Beispiel, verlassen sich darauf, andere Geräte im selben lokalen Netzwerksegment zu finden. Werden sie über ein isoliertes, reines VPN-Segment geleitet, kann dieser Erkennungsprozess brechen. Die spezifischen Anforderungen der eigenen Geräte prüfen, bevor angenommen wird, dass ein strikt VPN-only-Segment für alles Besitzte passt.
Typische Anzeichen, dass es Zeit für dieses Setup ist
Wer beim Blick in die Router-Oberfläche mehr als ein Dutzend verbundener Geräte findet, von denen die Hälfte kein eigenes VPN unterstützt, hat bereits den typischen Fall vor sich, für den dieses Setup gedacht ist. Dasselbe gilt, wenn im Haushalt smarte Lautsprecher, Kameras oder Steckdosen von mehreren verschiedenen Herstellern gemischt laufen, denn genau diese Vielfalt macht es unmöglich, jedes Gerät einzeln über eine herstellereigene App abzusichern.
Was ein VPN nicht behebt
Hier lohnt sich Klarheit über die Grenzen. Ein VPN auf Router-Ebene verschlüsselt Datenverkehr während der Übertragung und verschleiert die eigene Heim-IP gegenüber den Diensten, mit denen Geräte kommunizieren. Es repariert kein anfälliges Gerät, ersetzt kein starkes WLAN-Passwort und verhindert nicht, dass ein bereits kompromittiertes Gerät innerhalb des eigenen Netzwerks Schaden anrichtet. IoT-Geräte in ein eigenes Netzwerk zu segmentieren (VPN-geroutet oder nicht) und die Firmware aktuell zu halten, wo Updates noch angeboten werden, zählt genauso viel wie die VPN-Ebene selbst.
Der einzige Weg, Smart-Home-Geräte wirklich mit einem VPN abzudecken, führt über den Router. NordVPNs Servernetz und volle Protokollunterstützung machen es zur vielseitigsten Wahl dafür, Mullvad lässt sich am einfachsten manuell konfigurieren, wenn ein kleineres, datenschutzorientiertes Netz akzeptabel ist, und ein dedizierter Reiserouter lohnt sich, wenn die Firmware keines Hauptrouters angefasst werden soll. Egal welche Wahl, das VPN sollte als eine Schutzebene unter mehreren behandelt werden, nicht als Ersatz für Netzwerksegmentierung und aktuelle Firmware.
Weiterlesen: VPN auf dem Router einrichten, Schritt für Schritt und VPN auf einem Raspberry Pi