Je krijgt een melding dat er een onbekend apparaat op je wifi-netwerk zit. Je herkent de naam niet, maar je weet ook niet zeker of het gewoon de nieuwe tablet van je kind is of iets wat er niet hoort. Dat kleine moment van twijfel is precies waarom je thuisrouter meer aandacht verdient dan hij gemiddeld krijgt. Wij van Tech1.nl zien dit soort situaties regelmatig terugkomen in vragen van lezers: de router staat al jaren op de standaardinstellingen, het wachtwoord is nooit aangepast en updates zijn er nooit ingesteld. Ondertussen loopt al het verkeer van je laptop, telefoon, slimme deurbel en thuiswerkverbinding door dat ene kastje in de hoek. Dit artikel legt uit wat je concreet kunt controleren en aanpassen om dat risico te beperken.
Waarom je router het eerste doelwit is
Je laptop heeft een virusscanner. Je telefoon krijgt beveiligingsupdates. Maar je router? Die staat dag en nacht aan, praat met internet, en stuurt het verkeer van élk apparaat in huis door. Aanvallers hoeven geen wachtwoord van jouw e-mail te raden als ze via de router kunnen meekijken of omleiden. Een gekraakte router is een stil rampje: je merkt er niets van terwijl al jouw internetverkeer door een kwaadaardige omweg gaat.
Stap 1: Inloggen op je routerbeheerinterface
Voordat je iets kunt controleren, moet je eerst op de beheeromgeving van je router komen. Dat doe je via een browser op je eigen netwerk. Typ een van de volgende adressen in de adresbalk:
- TP-Link Archer: 192.168.0.1 of tplinkwifi.net
- ASUS: 192.168.1.1 of router.asus.com
- Netgear Nighthawk: 192.168.1.1 of routerlogin.net
- Fritzbox: fritz.box of 192.168.178.1
- Ziggo/KPN-huisrouter: 192.168.178.1 of 192.168.2.1
Weet je het niet zeker? Op Windows open je de opdrachtprompt en typ je ipconfig. Kijk bij ‘Standaardgateway’. Op een Mac ga je naar Systeeminstellingen, dan Netwerk, en kijk je bij de actieve verbinding. Op een iPhone vind je het onder Instellingen, Wi-Fi, en dan de (i) naast je netwerknaam.
Controle 1: Firmware
Verouderde firmware is de meest voorkomende open deur. Log in op de beheerinterface en zoek naar een sectie als ‘Geavanceerd’, ‘Beheer’ of ‘Administratie’. Daar vind je doorgaans een knop om te controleren op updates.
Fritzbox doet dit netjes via fritz.box onder ‘Systeem’ en ‘Firmware-update’. ASUS-routers hebben een knop op de hoofdpagina. TP-Link Archer-modellen vind je de optie onder ‘Geavanceerd’ en dan ‘Systeem’. Netgear Nighthawk werkt via de Nighthawk-app of via routerlogin.net onder ‘Geavanceerd’ en ‘Beheer’.
Staat automatisch updaten beschikbaar? Zet het aan. Brengt je merk al meer dan twee jaar geen updates meer uit? Dan is het tijd voor een nieuw apparaat. Een router zonder beveiligingsupdates is vergelijkbaar met een voordeur zonder slot.
Controle 2: Beheerderwachtwoord
Het standaardwachtwoord van je router, vaak zoiets als ‘admin’ of ‘1234’, staat gewoon online. Iedereen die op je netwerk zit en dat adres weet, kan inloggen. Verander het direct. Je vindt de optie onder ‘Beheer’, ‘Administratie’ of ‘Systeeminstellingen’, afhankelijk van het merk.
Een sterk routerwachtwoord verschilt van een e-mailwachtwoord: je hoeft het zelden in te typen, dus maak het lang en willekeurig. Twintig tekens met letters, cijfers en leestekens. Schrijf het op een papiertje en bewaar dat bij het apparaat. Digitaal bewaren mag ook, maar dan in een wachtwoordmanager.
Controle 3: Extern beheer uitschakelen
Remote management of WAN-toegang stelt iemand buiten je netwerk in staat om in te loggen op je router. Dit staat soms standaard aan, en de meeste mensen hebben er geen idee van. Zoek onder ‘Geavanceerd’ of ‘Beveiliging’ naar opties als ‘Remote Management’, ‘Remote Access’ of ‘WAN Access’. Zet het uit. Er is vrijwel geen situatie voor een thuisgebruiker waarbij dit aan moet staan.
Controle 4: Welke apparaten zitten er op je netwerk?
In vrijwel elke beheerinterface vind je een apparatenlijst, soms onder ‘DHCP’, ‘Verbonden apparaten’ of ‘Netwerk’. Je ziet hier apparaatnamen en MAC-adressen. Herken je een apparaat niet? Vergelijk het MAC-adres met de stickers op je eigen spullen, of zoek de eerste zes tekens op via een MAC-adres-lookup tool. Staat er iets bij wat je echt niet herkent? Verander dan je wifi-wachtwoord en controleer of extern beheer uitstaat.
Controle 5: Poorten en port forwarding
Port forwarding is handig voor gamers of mensen met een NAS, maar vergeten regels zijn gevaarlijk. Zoek in de beheerinterface naar ‘Port Forwarding’, ‘Virtuele servers’ of ‘NAT’. Zie je regels staan voor apparaten die je niet meer hebt, of diensten die je niet herkent? Verwijder ze. Bekende risicovolle poorten die soms onbedoeld openstaan: 23 (Telnet), 8080 (alternatieve webinterface) en 5900 (VNC). Twijfel je over een regel? Verwijder hem. Als iets stopt met werken, weet je wat je moet terugzetten.
Controle 6: Gastnetwerk
Een gastnetwerk is geen overbodige luxe. Zet er alle slimme apparaten op die je niet dagelijks bedient: je slimme tv, je robotstofzuiger, je slimme verlichting. Zorg dat ‘netwerk-isolatie’ of ‘AP-isolatie’ aanstaat, zodat apparaten op het gastnetwerk niet bij jouw hoofdnetwerk kunnen. Gebruik een apart wachtwoord, en niet hetzelfde als je hoofdnetwerk. Op de Fritzbox regel je dit onder ‘Wi-Fi’ en dan ‘Gastnetwerk’. Bij TP-Link Archer ga je naar ‘Geavanceerd’ en dan ‘Gastnetz’.
Controle 7: Wifi-encryptie
WEP is al jaren gekraakt en WPA is niet veel beter. Controleer onder ‘Draadloos’ of ‘Wi-Fi’ welke encryptie je gebruikt. WPA2 is het minimum, WPA3 is beter en beschikbaar op nieuwere routers. Een ‘verborgen SSID’ klinkt slim, maar biedt nauwelijks extra bescherming: aanvallen detecteren een verborgen netwerk makkelijk. Zet je netwerknaam gewoon zichtbaar op WPA2 of WPA3 met een sterk wachtwoord.
De drie meest misbruikte zwakheden op dit moment
Wij van Tech1.nl zien in beveiligingsrapporten steeds dezelfde drie problemen terugkomen bij thuisrouters:
- Botnetopname via standaardwachtwoorden: Geautomatiseerde scripts proberen continu op bekende IP-adressen in te loggen met standaardcombinaties. Controle 2 (beheerderwachtwoord wijzigen) sluit dit grotendeels af.
- DNS-kaping: Aanvallers wijzigen de DNS-instellingen van je router zodat je naar nep-websites wordt gestuurd, ook als je het goede adres intypt. Dit gebeurt via externe toegang of ongepatchte firmware. Controles 1 en 3 pakken dit aan.
- Afluisteren via open poorten: Via vergeten port forwarding-regels of open beheerpoorten kunnen aanvallers meekijken of meesturen. Controle 5 dekt dit.
Na de inspectie: bijhouden wat je hebt gedaan
Maak nu een kwartaalherinnering aan in je agenda, of stel een terugkerende taak in op je telefoon. Elke drie maanden even checken of er een firmware-update beschikbaar is, is genoeg voor het grootste deel van je routeronderhoud.
Noteer ergens (op papier of in een beveiligde notitie) welk model router je hebt, het IP-adres van de beheerinterface, en welke port forwarding-regels je bewust hebt aangemaakt. Bij een verhuizing of een nieuw apparaat ben je dan binnen tien minuten ingesteld in plaats van alles opnieuw uit te zoeken.
De meeste kwetsbaarheden die wij tegenkomen bij thuisrouters zijn geen geavanceerde aanvallen, maar gewoon standaardinstellingen die nooit zijn aangepast. Een sterk wachtwoord, een bijgewerkte firmware en een apart gastnetwerk voor slimme apparaten lossen al een groot deel van het probleem op. Plan er een halfuur voor in, doe de controles één voor één en noteer ergens wanneer je voor het laatst de firmware hebt bijgewerkt. Dat is alles wat je nodig hebt om de basis op orde te hebben.
