Um zu sehen, wer in deinem WLAN ist, öffnest du die Admin-Seite deines Routers und schaust dir die Liste der verbundenen Geräte an — oder du lässt einen Netzwerk-Scanner laufen, der jede Adresse in deinem Subnetz anpingt. Jeder Eintrag zeigt eine IP, eine MAC-Adresse und oft einen Hostnamen. Von da aus ordnest du jedes Gerät etwas zu, das du tatsächlich besitzt, und was übrig bleibt, verdient einen genaueren Blick. Stellt sich einer davon als echt heraus, trennst du mit einem neuen WLAN-Passwort alle auf einen Schlag.
Fang mit der Geräteliste deines Routers an
Tippe die Adresse deines Routers in einen Browser (oft 192.168.1.1 oder 192.168.0.1, aufgedruckt auf einem Aufkleber am Gerät). Melde dich an und suche dann einen Bereich namens „Angeschlossene Geräte", „DHCP-Clients" oder „Verbundene Geräte". Du bekommst eine Tabelle mit allem, dem der Router eine Adresse zugeteilt hat: IP, MAC und manchmal einen Namen.
Das ist die schnellste kostenlose Prüfung, aber Router-Listen haben ihre Grenzen. Oft übersehen sie Geräte in einem Gastnetz oder an einem zweiten Access Point, sie räumen veraltete Einträge nur langsam weg, und die Namen sind häufig leer oder kryptisch.
Lies die MAC-Adresse und den Hersteller (OUI)
Jedes Netzwerkgerät hat eine MAC-Adresse, sechs Hex-Paare wie a4:83:e7:2b:19:0c. Die ersten drei Paare sind die OUI (Organizationally Unique Identifier), die dem Hersteller zugewiesen ist. a4:83:e7 zeigt zum Beispiel auf Apple. Schlag das Präfix in einer beliebigen OUI-Datenbank nach, und aus einer anonymen Zeile wird „irgendein Apple-Gerät".
Der Hersteller allein reicht selten aus. Ein Haus voller Apple-Technik wird zu einer Wand aus „Apple, Apple, Apple", und du musst immer noch herausfinden, welcher Eintrag das iPhone ist und welcher das Apple TV.
Echte Namen über Hostnamen und mDNS bekommen
Hostnamen schließen einen Teil dieser Lücke. Viele Geräte geben einen Namen über DHCP oder mDNS/Bonjour bekannt, etwa Christofs-MacBook oder living-room-tv. NetBIOS macht dasselbe in älteren Windows-Netzwerken. Ein Scanner, der alle drei abfragt, löst deutlich mehr Namen auf, als der Router von sich aus zeigt.
Warum zufällige MAC-Adressen die Sache verwirren
Seit iOS 14, Android 10 und aktuellen Windows-Versionen verwenden Handys standardmäßig eine zufällige MAC pro Netzwerk, und manche wechseln sie im Lauf der Zeit. Der Vorteil ist der Datenschutz. Der Nachteil für dich: Ein Handy kann unter einem Hersteller-Präfix auftauchen, das nicht mehr auf seinen Hersteller zeigt, und ein Gerät, dem du bereits vertraust, sieht nach einem Wechsel brandneu aus.
Das ist auch die Eigenheit, die am ehesten einen Eindringling vortäuscht. Bevor du vom Schlimmsten ausgehst, teste es direkt: Schalte an einem verdächtigen Handy das WLAN aus und beobachte, ob der mysteriöse Eintrag verschwindet. Sieh dir auch den Hersteller an. Eine zufällige MAC liest sich oft als „locally administered" oder unbekannter Hersteller statt als sauberer Apple- oder Samsung-Block. Und wenn ein Eintrag nur auftaucht, wenn ein bestimmtes Familienmitglied zu Hause ist, gehört er ihm.
Grundsätzlich hilft es, nach Hostname und Verhalten statt nur nach MAC zuzuordnen und Geräte in einem Werkzeug zu benennen, das sie über Scans hinweg behält — so setzt eine gewechselte Adresse nicht dein ganzes Inventar zurück. Wenn dich die Zufalls-MAC selbst beschäftigt: Warum dein Handy eine zufällige MAC-Adresse zeigt behandelt das ausführlich.
Alles in einem Durchgang mit einem Scanner benennen
Das alles von Hand zu machen, ist langsam. Ein Scanner durchkämmt das ganze Subnetz, sammelt MAC/OUI-Hersteller, Hostname, eine Betriebssystem-Vermutung und offene Ports und übergibt dir ein einziges beschriftetes Inventar. nmap macht das über die Kommandozeile (nmap -sn 192.168.1.0/24 für einen schnellen Host-Sweep). GUI-Werkzeuge machen dasselbe mit weniger Tipparbeit.
DeviceShelf ist so ein Scanner. Er entdeckt jedes Gerät in deinem LAN oder WLAN, identifiziert jedes nach Hersteller, Hostname und Typ und lässt dich die erkannten umbenennen und anpinnen, damit die Liste beim nächsten Mal aussagekräftig bleibt. Er läuft lokal, ohne Account und ohne dass Daten deinen Rechner verlassen — deshalb landen Leute, die eine private Alternative zu Fing suchen, oft bei ihm. Wenn du Werkzeuge abwägst, zeigt unser Vergleich von Netzwerk-Scannern, wo jedes hinpasst.
Jedes Gerät mit deiner eigenen Hardware abgleichen
Jetzt der mühsame, aber entscheidende Teil. Geh durch die Wohnung und zähl: Handys, Laptops, Tablets, den Fernseher, einen Streaming-Stick, die Konsole, den Drucker, den Saugroboter, Smart Plugs, das Thermostat, die Türklingel, Lautsprecher, den Router selbst und alle Repeater. Schreib sie auf und streiche dann jedes einzelne aus dem Scan.
Der MAC-Hersteller ist hier dein bester Anhaltspunkt. Ein Präfix, das zu Amazon führt, ist wahrscheinlich ein Echo oder Fire TV. Espressif oder Tuya bedeutet meist ein billiges Smart-Home-Gerät. Apple, Samsung und Google decken die meisten Handys und Laptops ab. Ordne Hostnamen zu, wo es geht. Smart-Home-Technik ist am schwersten festzunageln, dafür gibt es eine eigene Anleitung zum Finden von IoT-Geräten im Netzwerk.
Sobald jeder Eintrag benannt ist, stechen die Unbekannten heraus. Geh sie einzeln durch: Schalte ein verdächtiges Gerät aus und schau, welche Zeile verschwindet, oder gleiche den Hersteller mit dem ab, was du besitzt. Ein Kamera-Hersteller, den du nicht kennst, ein offener Telnet-Port oder ein Host, der nur zu ungewöhnlichen Zeiten auftaucht — alle verdienen einen zweiten Blick. Offene Ports solltest du einordnen können, bevor du sie bewertest; unser Beitrag dazu, was ein offener Port wirklich bedeutet, zeigt, welche zählen.
Was tun, wenn wirklich jemand in deinem WLAN ist
Übersteht ein Gerät all das und du bist sicher, dass es nicht deins ist, ist die schnellste Lösung, alle auszusperren und deine eigene Technik wieder hereinzulassen.
- Ändere das WLAN-Passwort. Das wirft sofort jedes Gerät raus, den Eindringling eingeschlossen, und er kann ohne den neuen Schlüssel nicht wieder rein. Verbinde danach deine eigene Hardware neu.
- Wechsle auf WPA3, mindestens aber WPA2-AES. Betreibe niemals WEP oder ein offenes Netzwerk. WPA3 erschwert das Offline-Raten von Passwörtern erheblich.
- Deaktiviere WPS. Seine 8-stellige PIN lässt sich per Brute Force knacken und ist ein bekannter Einstiegspunkt.
- Verschiebe IoT-Geräte in ein Gastnetzwerk. Eine billige Kamera mit schwacher Firmware hat nichts in einem Subnetz mit deinem Laptop verloren.
Das Passwort zu ändern ist der Schritt, der jemanden tatsächlich trennt. Der Rest hält ihn davon ab, zurückzukommen. Für den vollständigen Durchgang durch deine Router-Einstellungen arbeite die Checkliste für ein sicheres Heimnetz durch.
Warum eine einmalige Prüfung nicht reicht
Ein manueller Durchlauf erfasst nur, wer in dem Moment verbunden ist, in dem du nachschaust. Über letzte Nacht oder nächste Woche sagt er nichts aus. Jemand, der um 2 Uhr nachts dazukommt und bis zum Morgen wieder weg ist, taucht in einer Prüfung um die Mittagszeit nie auf.
Kontinuierliches Monitoring schließt diese Lücke. Das Netzwerk wird rund um die Uhr überwacht, du bestätigst deine eigenen Geräte einmal, und ein Alarm wird nur ausgelöst, wenn ein wirklich neues auftaucht. DeviceShelf macht das auf dem Desktop, solange dein Rechner läuft, oder mit der Server-Edition rund um die Uhr auf einem Raspberry Pi oder NAS. Diese Dauerüberwachung ist einer der Hauptunterschiede zu einer Handy-App, bei der man zum Aktualisieren ziehen muss.
Jeden Schritt hier kannst du mit kostenlosen Werkzeugen und etwas Geduld erledigen. Wenn du die beschriftete Liste und die Warnungen lieber in einem Durchgang hättest, hat DeviceShelf eine kostenlose 7-Tage-Testphase, ohne Account.