MAC-Filter im Router: Bringt das wirklich mehr Sicherheit?

Ein MAC-Filter im Router soll verhindern, dass sich unbekannte Geräte mit deinem WLAN verbinden. Dafür legst du fest, welche Geräte zugelassen sind. Alle anderen werden vom Router abgewiesen. Das klingt zunächst nach einer einfachen Möglichkeit, das eigene Heimnetzwerk besser abzusichern.

Viele WLAN-Router bieten eine solche Funktion an. Je nach Hersteller heißt sie MAC-Adressfilter, WLAN-Zugangsbeschränkung oder Zugriffskontrolle. Besonders interessant erscheint die Einstellung, wenn du nur wenige Geräte zu Hause verwendest und genau weißt, welche davon Zugang zum WLAN benötigen.

Allerdings hat diese Schutzmaßnahme einen entscheidenden Schwachpunkt: Eine MAC-Adresse lässt sich verändern oder nachahmen. Deshalb ist ein MAC-Filter längst nicht so sicher, wie seine Funktionsweise zunächst vermuten lässt.

Ich erkläre dir, wie die Filterung funktioniert, wie du sie bei Bedarf einrichtest und warum ich für ein normales Heimnetzwerk andere Sicherheitsmaßnahmen für sinnvoller halte.

Was ist ein MAC-Filter im Router?

Jedes Netzwerkgerät besitzt mindestens eine sogenannte MAC-Adresse. Die Abkürzung steht für Media Access Control. Dabei handelt es sich um eine Kennung, mit der eine Netzwerkschnittstelle innerhalb eines lokalen Netzwerks identifiziert werden kann.

Eine solche Adresse besteht normalerweise aus sechs Gruppen mit jeweils zwei Zeichen. Sie kann beispielsweise so aussehen:

A4:5E:60:12:34:56

Die Zeichen werden häufig durch Doppelpunkte oder Bindestriche getrennt. Welche Schreibweise angezeigt wird, hängt vom Gerät und Betriebssystem ab.

Ein Laptop mit WLAN und LAN besitzt normalerweise unterschiedliche MAC-Adressen für beide Netzwerkadapter. Auch Smartphones, Tablets, Smart-TVs und andere WLAN-Geräte verwenden solche Kennungen.

Der MAC-Filter nutzt diese Adressen, um Geräte beim Verbindungsaufbau zu unterscheiden.

So funktioniert die Zugangskontrolle

Aktivierst du einen MAC-Filter, prüft der Router die MAC-Adresse eines Geräts, das sich mit seinem WLAN verbinden möchte.

Dabei gibt es grundsätzlich zwei Varianten:

• Positivliste (Whitelist): Nur Geräte mit ausdrücklich eingetragenen MAC-Adressen dürfen sich verbinden.
• Negativliste (Blacklist): Bestimmte MAC-Adressen werden gesperrt, während andere Geräte weiterhin zugelassen sind.

Für die Zugangsbeschränkung wird meistens die Positivliste verwendet. Du trägst beispielsweise deinen Laptop, dein Smartphone und deinen Fernseher ein. Andere Geräte werden vom Router abgewiesen.

Die Filterung erfolgt dabei zusätzlich zur normalen WLAN-Anmeldung. Ein zugelassenes Gerät benötigt weiterhin das richtige WLAN-Passwort, sofern dein Netzwerk entsprechend geschützt ist.

Wichtig ist allerdings: Der Router überprüft dabei lediglich die angegebene MAC-Adresse. Er kann daraus nicht zuverlässig erkennen, ob es sich tatsächlich um dein Gerät handelt.

Warum ein MAC-Filter nur begrenzt Sicherheit bietet

Der größte Schwachpunkt eines MAC-Filters liegt darin, dass MAC-Adressen keine geheimen Informationen sind.

Bei einer WLAN-Verbindung werden MAC-Adressen für die Kommunikation zwischen den Geräten benötigt. Deshalb können sie unter bestimmten Bedingungen auch von anderen Personen in Funkreichweite beobachtet werden.

Ein Angreifer muss also nicht unbedingt Zugriff auf deinen Router haben, um die Adresse eines zugelassenen Geräts herauszufinden.

MAC-Adressen lassen sich fälschen

Viele Netzwerkadapter ermöglichen es, ihre verwendete MAC-Adresse per Software zu verändern. Dieser Vorgang wird als MAC-Spoofing bezeichnet.

Ein Angreifer könnte beispielsweise die MAC-Adresse eines zugelassenen Geräts ermitteln und anschließend seinen eigenen WLAN-Adapter mit derselben Adresse betreiben.

Für den MAC-Filter sieht die Verbindung dann so aus, als würde sich ein bekanntes Gerät anmelden.

Das bedeutet allerdings nicht, dass der Angreifer automatisch Zugriff auf dein WLAN erhält. Ist dein Netzwerk mit WPA2 oder WPA3 geschützt, benötigt er weiterhin die entsprechenden Zugangsdaten beziehungsweise muss die WLAN-Authentifizierung erfolgreich durchlaufen.

Ein MAC-Filter ersetzt deshalb niemals eine sichere WLAN-Verschlüsselung.

Er stellt lediglich eine zusätzliche Zugangsbeschränkung dar, die sich vergleichsweise leicht umgehen lässt.

Auch versteckte WLAN-Namen helfen dabei nicht

Manche Router bieten zusätzlich die Möglichkeit, den WLAN-Namen (SSID) nicht öffentlich anzuzeigen.

Die Kombination aus versteckter SSID und MAC-Filter wird gelegentlich als besonders sichere Konfiguration angesehen.

Tatsächlich bringt das aber kaum zusätzliche Sicherheit. Der Netzwerkname kann unter bestimmten Bedingungen trotzdem ermittelt werden. Auch die MAC-Adressen der beteiligten Geräte bleiben nicht grundsätzlich verborgen.

Für ein privates Heimnetzwerk lohnt es sich deshalb nicht, diese beiden Funktionen als zentrale Schutzmaßnahmen einzusetzen.

MAC-Filter im Router einrichten: So gehst du vor

Wenn du einen MAC-Filter ausprobieren möchtest, ist die Einrichtung normalerweise nicht besonders kompliziert. Allerdings unterscheiden sich die Menüs der verschiedenen Router-Hersteller teilweise erheblich.

Bei einer FRITZ!Box findest du andere Einstellungen als bei einem Speedport, einem TP-Link-Router oder einem Gerät deines Internetanbieters.

Die folgenden Schritte beschreiben deshalb den allgemeinen Ablauf.

Schritt 1: MAC-Adressen deiner Geräte ermitteln

Zunächst benötigst du die MAC-Adressen aller Geräte, die später auf dein WLAN zugreifen dürfen.

Unter Windows 11 kannst du die Adresse beispielsweise über die Eingabeaufforderung herausfinden.

1. Öffne das Startmenü.
2. Gib cmd in die Suche ein.
3. Starte die Eingabeaufforderung.
4. Gib den folgenden Befehl ein:

ipconfig /all

5. Suche in der Ausgabe nach deinem WLAN-Adapter.
6. Notiere die angezeigte physische Adresse.

Die physische Adresse ist die MAC-Adresse des jeweiligen Netzwerkadapters.

Alternativ findest du die MAC-Adresse unter Windows 11 auch in den Einstellungen. Öffne dazu Einstellungen → Netzwerk und Internet → WLAN und wähle dein verbundenes WLAN-Netzwerk aus. Unter WLAN-Eigenschaften findest du den Eintrag Physische Adresse (MAC).

Bei Smartphones und Tablets steht die verwendete WLAN-MAC-Adresse ebenfalls in den Netzwerkeinstellungen. Die genaue Position hängt vom Betriebssystem ab.

Achte darauf, tatsächlich die Adresse zu übernehmen, die dein Gerät für dein Heimnetzwerk verwendet.

Schritt 2: Router-Oberfläche öffnen

Öffne anschließend die Benutzeroberfläche deines Routers im Browser.

Die dafür benötigte Adresse hängt vom jeweiligen Modell ab. Häufig erreichst du die Oberfläche über einen vom Hersteller vorgesehenen Gerätenamen oder die lokale IP-Adresse des Routers.

Melde dich mit den Zugangsdaten für die Router-Verwaltung an.

Suche anschließend nach einer Einstellung für die WLAN-Zugangskontrolle. Je nach Hersteller kann sie beispielsweise unter folgenden Bezeichnungen zu finden sein:

• MAC-Adressfilter
• WLAN-Zugangsbeschränkung
• Zugriffskontrolle
• Access Control

Nicht jeder Router bietet diese Funktion an. Gerade bei Geräten von Internetanbietern können bestimmte Einstellungen fehlen oder eingeschränkt sein.

Schritt 3: Erlaubte Geräte eintragen

Falls dein Router eine Positivliste unterstützt, trägst du dort die MAC-Adressen deiner gewünschten WLAN-Geräte ein.

Einige Router zeigen bereits verbundene Geräte in einer Übersicht an. Dort kannst du die entsprechenden Geräte möglicherweise direkt auswählen.

Bei anderen Modellen musst du die Adressen manuell eingeben.

Kontrolliere die Einträge sorgfältig. Schon ein falsch übernommenes Zeichen kann dazu führen, dass ein Gerät später keine Verbindung mehr herstellen darf.

Mein Tipp: Trage zuerst sämtliche benötigten Geräte ein und aktiviere die Beschränkung erst danach.

Schritt 4: MAC-Filter aktivieren und testen

Sobald alle Geräte eingetragen sind, kannst du die Zugangsbeschränkung einschalten.

Prüfe anschließend, ob sich dein Laptop und die anderen zugelassenen Geräte weiterhin problemlos mit dem WLAN verbinden können.

Wenn möglich, solltest du auch testen, ob ein nicht eingetragenes Gerät tatsächlich abgewiesen wird.

Lass die Router-Oberfläche während der Einrichtung geöffnet. Am besten verwendest du dafür einen Computer, der per LAN-Kabel angeschlossen ist.

So kannst du die Einstellung wieder deaktivieren, falls du versehentlich dein eigenes WLAN-Gerät aussperrst.

Probleme mit dem MAC-Filter: Wenn eigene Geräte nicht mehr ins WLAN kommen

Ein aktivierter MAC-Filter kann im Alltag unerwartete Schwierigkeiten verursachen. Besonders häufig passiert das, wenn ein Gerät eine andere MAC-Adresse verwendet als diejenige, die im Router eingetragen wurde.

Das muss nicht bedeuten, dass jemand die Adresse manipuliert hat.

Private WLAN-Adressen bei Smartphones und Windows

Moderne Betriebssysteme bieten Datenschutzfunktionen, bei denen statt der fest zugewiesenen Hardwareadresse eine andere MAC-Adresse verwendet wird.

Bei Apple-Geräten heißt diese Funktion beispielsweise Private WLAN-Adresse. Android-Geräte verwenden häufig die Bezeichnung zufällige MAC-Adresse. Unter Windows 11 gibt es die Funktion Zufällige Hardwareadressen.

Damit soll verhindert werden, dass ein Gerät anhand seiner MAC-Adresse über verschiedene WLAN-Netzwerke hinweg leicht wiedererkannt werden kann.

Unter Windows 11 findest du die Einstellung unter Einstellungen → Netzwerk und Internet → WLAN → Zufällige Hardwareadressen.

Für einen MAC-Filter kann das problematisch werden.

Wenn sich die verwendete Adresse ändert, stimmt sie möglicherweise nicht mehr mit dem Eintrag im Router überein. Das Gerät wird dann abgewiesen, obwohl es eigentlich zugelassen sein sollte.

Du hast grundsätzlich zwei Möglichkeiten:

• Du übernimmst die aktuell für dein Heimnetzwerk verwendete MAC-Adresse in die Freigabeliste.
• Du passt die Datenschutzfunktion für dieses WLAN an, sofern dein Gerät das unterstützt.

Ich würde zunächst die tatsächlich verwendete Adresse im Router eintragen. Die zufällige MAC-Adresse pauschal für sämtliche WLAN-Netzwerke abzuschalten, halte ich nicht für sinnvoll.

Beachte außerdem, dass sich die verwendete Adresse je nach Betriebssystem und Einstellung später erneut ändern kann.

Neue Geräte müssen erst freigegeben werden

Ein weiterer Nachteil zeigt sich, sobald du ein neues Gerät anschaffst.

Ein neuer Laptop, ein WLAN-Drucker oder ein Smart-Home-Gerät kann sich bei aktivierter Positivliste nicht ohne Weiteres verbinden.

Du musst zunächst seine MAC-Adresse herausfinden und im Router eintragen.

Das kann besonders bei Geräten ohne Bildschirm umständlich werden. Manche Geräte zeigen ihre MAC-Adresse auf einem Aufkleber, in einer App oder während der Ersteinrichtung an.

Auch Gäste können sich nicht einfach mit deinem WLAN verbinden, selbst wenn sie das richtige Passwort kennen.

Bei wenigen Geräten ist dieser Verwaltungsaufwand überschaubar. In einem Haushalt mit vielen Smartphones, Tablets und Smart-Home-Geräten wird die Pflege der Liste dagegen schnell lästig.

MAC-Filter oder WPA2 und WPA3: Was schützt dein WLAN besser?

Für die Sicherheit deines WLANs ist die verwendete Verschlüsselung wesentlich wichtiger als ein MAC-Filter.

Welche Unterschiede es zwischen WPA2 und WPA3 gibt und welcher Sicherheitsstandard für dein Heimnetzwerk sinnvoll ist, habe ich ausführlich erklärt.

WPA2 und WPA3 sind Sicherheitsstandards, die WLAN-Verbindungen schützen. Sie sorgen unter anderem dafür, dass Geräte sich authentifizieren müssen und die übertragenen Daten verschlüsselt werden.

Ein MAC-Filter bietet diese Eigenschaften nicht.

Die Unterschiede lassen sich gut gegenüberstellen:

Eigenschaft	MAC-Filter	WPA2/WPA3
Kontrolliert den WLAN-Zugang	Anhand der MAC-Adresse	Durch WLAN-Authentifizierung
Verschlüsselt Daten	Nein	Ja
Schutz gegen MAC-Spoofing	Nein	MAC-Fälschung allein reicht nicht für den Zugang
Zusätzlicher Verwaltungsaufwand	Bei neuen Geräten	Meist nur Zugangsdaten erforderlich
Als zentrale Schutzmaßnahme geeignet	Nein	Ja, bei sicherer Konfiguration

Für ein normales Heimnetzwerk würde ich WPA3-Personal verwenden, wenn Router und Endgeräte diesen Standard unterstützen.

Falls ältere Geräte damit nicht zurechtkommen, ist WPA2-Personal mit AES-Verschlüsselung weiterhin eine sinnvolle Möglichkeit. Wichtig ist ein ausreichend langes, individuelles WLAN-Passwort.

Ein Mischbetrieb aus WPA2 und WPA3 kann ebenfalls sinnvoll sein, wenn dein Router diese Betriebsart unterstützt und du Geräte unterschiedlicher Generationen verwendest.

Der MAC-Filter bringt gegenüber einer ordentlich eingerichteten WLAN-Verschlüsselung nur einen geringen zusätzlichen Nutzen.

Wann kann ein MAC-Filter trotzdem sinnvoll sein?

Trotz seiner Schwächen ist ein MAC-Filter nicht grundsätzlich nutzlos.

Es gibt Situationen, in denen du damit den Zugang zu deinem WLAN etwas stärker einschränken kannst.

Ein Beispiel wäre ein kleines Netzwerk mit wenigen Geräten, deren MAC-Adressen sich nicht regelmäßig ändern.

Du könntest dort festlegen, dass ausschließlich bestimmte Geräte eine Verbindung zum WLAN aufbauen dürfen.

Das verhindert beispielsweise, dass ein weiteres Gerät allein mit Kenntnis des WLAN-Passworts sofort zugelassen wird, solange es keine erlaubte MAC-Adresse verwendet.

Gegen jemanden, der sich gezielt mit deinem Netzwerk beschäftigt und eine zugelassene MAC-Adresse nachahmt, bietet diese Beschränkung allerdings keinen zuverlässigen Schutz.

Auch als einfache organisatorische Maßnahme kann eine solche Liste hilfreich sein. Du behältst damit die Kontrolle darüber, welche Adressen zugelassen sind.

Dabei solltest du aber zwischen einer Zugangsliste und einer echten Sicherheitsfunktion unterscheiden.

Für Haushalte mit häufig wechselnden Geräten, Besuchern oder vielen Smart-Home-Komponenten würde ich auf den zusätzlichen Aufwand eher verzichten.

So sicherst du dein WLAN sinnvoller ab

Wenn du verhindern möchtest, dass Unbefugte dein Heimnetzwerk verwenden, gibt es wirksamere Maßnahmen als einen MAC-Filter.

Die wichtigste Grundlage ist eine aktuelle und korrekt eingerichtete WLAN-Verschlüsselung.

Ein sicheres WLAN-Passwort verwenden

Verwende ein langes Passwort, das du nicht bereits für andere Dienste einsetzt.

Für dein WLAN würde ich ein zufällig erzeugtes Passwort mit mindestens 20 Zeichen verwenden. Damit orientierst du dich an den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Vermeide leicht zu erratende Kombinationen wie Namen, Geburtsdaten oder einfache Zahlenfolgen.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für private WLAN-Netzwerke eine aktuelle WPA2- oder WPA3-Verschlüsselung und ein ausreichend langes Passwort.

WPS bei Nichtgebrauch deaktivieren

Mit WPS (Wi-Fi Protected Setup) lassen sich manche Geräte einfacher mit dem WLAN verbinden.

Je nach Router erfolgt die Anmeldung beispielsweise über eine Taste oder eine PIN.

Besonders PIN-basierte WPS-Verfahren können problematisch sein. Wenn du WPS nicht benötigst, kannst du die Funktion deaktivieren.

Ob und wie das möglich ist, hängt von deinem Router ab.

Router-Firmware aktuell halten

Sicherheitslücken in der Router-Software können ein deutlich größeres Problem darstellen als unbekannte MAC-Adressen.

Deshalb solltest du darauf achten, dass dein Router aktuelle Sicherheitsupdates erhält.

Viele Geräte installieren Aktualisierungen automatisch. Bei manchen Routern musst du sie selbst anstoßen. Provider-Router werden häufig direkt vom Internetanbieter aktualisiert. Wie du die Router-Firmware aktualisieren kannst und welche Besonderheiten bei Provider-Geräten gelten, erkläre ich in einer separaten Anleitung.

Gäste und Smart-Home-Geräte getrennt verbinden

Ein Gastnetzwerk ist für viele Haushalte praktischer als eine umfangreiche MAC-Filterliste.

Besucher erhalten damit einen eigenen WLAN-Zugang, ohne dass du ihnen das Passwort deines eigentlichen Heimnetzwerks geben musst.

Bei entsprechender Router-Konfiguration bleiben Geräte im Gastnetz außerdem von deinem privaten Netzwerk getrennt.

Auch für bestimmte Smart-Home-Geräte kann eine solche Trennung sinnvoll sein, sofern sie die benötigten Funktionen nicht beeinträchtigt.

Damit erreichst du im Alltag häufig mehr als durch das manuelle Freigeben einzelner MAC-Adressen.

Fazit: Ein MAC-Filter ist kein zuverlässiger WLAN-Schutz

Ein MAC-Filter im Router kann den Zugang zu deinem WLAN auf bestimmte Geräte beschränken. Als ernsthafte Sicherheitsmaßnahme eignet er sich allerdings nur sehr eingeschränkt, weil sich MAC-Adressen vergleichsweise leicht nachahmen lassen.

Hinzu kommt der Verwaltungsaufwand. Neue Geräte müssen eingetragen werden, und private WLAN-Adressen können zusätzliche Verbindungsprobleme verursachen.

Für ein normales Heimnetzwerk würde ich deshalb auf einen MAC-Filter verzichten. Ein sicher konfiguriertes WPA2- oder WPA3-WLAN mit einem starken Passwort ist wesentlich wichtiger.

Wenn du darüber hinaus dein gesamtes Heimnetzwerk absichern möchtest, findest du in meiner Checkliste weitere sinnvolle Einstellungen für Router und angeschlossene Geräte.

Wer zusätzliche Kontrolle benötigt, kann die Filterfunktion ergänzend verwenden. Man sollte sich dabei aber bewusst sein, dass sie keinen zuverlässigen Schutz vor gezielten Angriffen bietet.

Hast du den MAC-Filter an deinem Router aktiviert oder verwendest du ausschließlich WPA2 beziehungsweise WPA3, um dein WLAN abzusichern?