Router vom Anbieter: Patchen darfst du nicht selbst

TP-Link führt fünf Lücken in Anbieter-Routern auf. Ein Modell aus der Liste wird auch in Deutschland vermietet.

Am 10. August hat TP-Link fünf Schwachstellen in Routern gemeldet, die Internetanbieter an ihre Kunden ausgeben. Auf der Liste steht auch ein Modell, das in Deutschland vermietet wird. Die schwerste Lücke geht am Router-Passwort vorbei. Reparieren kannst du das nicht selbst, eine Firmware zum Herunterladen gibt es nicht. Und ob ausgerechnet deine Variante betroffen ist, sagt der Hersteller ausdrücklich nicht.

Steffen Zahn, Veröffentlicht am 28.08.2026 🇺🇸 🇪🇸 ...

Im Flur steht ein Kasten, den du nie gekauft hast. Er gehört deinem Internetanbieter, du zahlst ein paar Euro im Monat dafür, und seit der Installation hast du ihn vermutlich nicht mehr angesehen.

Am 10. August hat TP-Link eine Liste veröffentlicht, auf der dieser Kasten stehen könnte.

Die Sicherheitsmitteilung trägt den Titel „Multiple Vulnerabilities in ISP-Managed TP-Link Networking Products“ und beschreibt fünf Schwachstellen in Geräten, die Internetanbieter an ihre Kunden ausgeben. Die Tabelle darin listet 65 Modelle. Eine davon lautet VX800v(DE), und hinter diesem Modell steht in allen fünf Spalten ein Kreuz.

Genau dieses Gerät vermietet M-net an Privatkunden in München, Augsburg und im Allgäu. Vier Euro im Monat, All-in-One-Router für DSL und Glasfaser.

Was die Lücke wirklich erlaubt

Die schwerste der fünf trägt die Kennung CVE-2025-30237, eine eindeutige Nummer, unter der Sicherheitslücken weltweit geführt werden. TP-Link beschreibt sie als fehlerhafte Zugriffskontrolle in der Weboberfläche des Routers. Bestimmte Aufrufe prüfen nicht, ob derjenige, der sie schickt, angemeldet ist.

Wer eine passend gebaute Anfrage stellt, erreicht damit Funktionen, die eigentlich dem Administrator vorbehalten sind. Ohne gültige Zugangsdaten. Das Passwort, das du beim Einrichten vergeben hast, spielt dabei keine Rolle, es wird an dieser Stelle gar nicht erst abgefragt.

Und jetzt die Einschränkung, ohne die der Rest Panikmache wäre. Der Angreifer muss ins selbe Netz. Das ist kein Angriff, der aus dem Internet auf jeden Anschluss läuft. Es trifft, wer Gäste ins Haupt-WLAN lässt, wer in einer WG oder einem Haus mit geteiltem Netz wohnt, oder wer bereits ein befallenes Gerät im eigenen Netz hat. Ein öffentlicher Angriffscode ist bislang nicht bekannt, dokumentierte Angriffe gibt es nicht.

Das macht die Sache nicht harmlos. Es verschiebt nur die Frage. Sie lautet nicht, ob dich morgen jemand angreift. Sie lautet, wer die Lücke schließt.

Tabelle mit vier Gerätearten, den zugehörigen Serienkürzeln und Beispielmodellen — Der VX800v(DE) ist von allen fünf Lücken betroffen. Repariert wird das mit der Firmware 800.0.16.

Reparieren darfst du sie nicht

Bei einem Router aus dem Elektromarkt wäre die Geschichte hier zu Ende. Firmware herunterladen, einspielen, fertig.

Bei einem Gerät vom Anbieter nicht. TP-Link schreibt in derselben Mitteilung:

„For affected devices running ISP-managed firmware, remediation efforts will be coordinated through the respective Internet Service Providers.“

Und wenige Zeilen weiter:

„Firmware images for affected ISP-specific variants may not be publicly available for direct download.“

Im Klartext: Es gibt keine Datei, die du herunterladen könntest. Der Anbieter entscheidet, wann das Update kommt, und er entscheidet es für alle seine Kunden auf einmal. Du merkst es, wenn es passiert ist. Oder du merkst es gar nicht.

Das ist der eigentliche Punkt an diesem Fall. Nicht die Lücke, sondern die Zuständigkeit. Das Gerät steht in deiner Wohnung, es hängt an deinem Anschluss, jedes Handy und jeder Fernseher im Haushalt läuft darüber. Und der Einzige, der etwas daran ändern kann, sitzt woanders.

Für den VX800v nennt TP-Link die reparierte Fassung 800.0.16. Ob sie bei dir schon drauf ist, steht in der Weboberfläche deines Routers.

Nicht einmal die Frage, ob es dich trifft

In den Fußnoten der Tabelle stehen zwei Sätze, die den Fall noch unangenehmer machen.

„Detailed SKU-level applicability varies per ISP deployment and is not publicly enumerated.“

„Applicability is based on generic model analysis as ISP-specific variants may differ.“

Was TP-Link auflistet, sind die allgemeinen Marktversionen. Welche Fassung ein bestimmter Anbieter tatsächlich ausliefert, wie sie angepasst wurde und ob sie dieselben Schwächen hat, steht nirgends öffentlich. Und zwar nicht aus Versehen, sondern erklärtermaßen.

Damit lässt sich von zu Hause aus nicht einmal die einfachste Frage klären. Du liest dein Modell vom Aufkleber ab, du findest es in der Liste, und du weißt trotzdem nicht, ob deine Variante dazugehört. Auskunft geben kann nur der, der auch das Update in der Hand hält.

Was du trotzdem tun kannst

Der Aufkleber auf der Unterseite verrät das Modell. Steht dort eine Bezeichnung, die mit HB, HX, HC, EB, EC, EX, XC, XX oder VX beginnt, lohnt der Blick in die Liste.

Die Firmware-Version findest du in der Weboberfläche des Routers, meist unter Systemwerkzeuge oder Geräteinformationen. Ist sie älter als die genannte Fix-Version, frag beim Anbieter nach, wann das Update kommt. Diese Frage ist der einzige Hebel, den du hast, und sie wirkt besser, wenn viele sie stellen.

Bis dahin zwei Handgriffe, die sofort helfen. Schalte Fernzugriff und Fernwartung ab, soweit die Oberfläche das zulässt. Und richte für Besuch ein Gastnetz ein. Wer Gäste ins Haupt-WLAN lässt, hebelt genau die Bedingung aus, die den Angriff bislang schwierig macht.

Der Hersteller hat eine Vorgeschichte

Dass ausgerechnet TP-Link diese Liste veröffentlicht, ist kein Zufallsfund. Der Hersteller steht seit Monaten unter Beobachtung.

Die US-Sicherheitsbehörde CISA führt mehrere TP-Link-Lücken in ihrem Katalog der nachweislich ausgenutzten Schwachstellen, die älteste davon stammt aus dem Jahr 2015. Im Februar 2026 hat der Generalstaatsanwalt von Texas den Hersteller verklagt, mit dem Vorwurf, die Router seien als sicher beworben worden, obwohl bekannte Firmware-Lücken offen blieben. Im März hat die Telekommunikationsbehörde FCC den Verkauf neuer Router untersagt, die außerhalb der USA gefertigt werden.

Zum eigenen Gerät kommt noch etwas dazu. Der VX800v taucht 2026 nicht zum ersten Mal in einer Sicherheitsmitteilung auf. Im Februar gab es bereits eine eigene, mit anderen Nummern und anderer Firmware-Zählung. Das Modell fällt also wiederholt auf.

Einordnen lässt sich das in zwei Richtungen, und ehrlicherweise stimmen beide. Ein Hersteller, der viele Lücken meldet, ist entweder besonders schlampig oder besonders transparent. Was in dieser Woche zählt, ist die dritte Beobachtung: Selbst wenn er sauber meldet und sauber repariert, kommt die Reparatur bei dir nur an, wenn dein Anbieter sie weiterreicht.

Nummerierte Liste mit fünf Prüfschritten vom Aufkleber bis zum Gastnetz — Fünf Schritte, die dir bleiben, wenn der Router dem Anbieter gehört und nicht dir.

Was bleibt

In Deutschland gilt seit 2016 die Routerfreiheit. Niemand muss das Gerät des Anbieters nehmen, jeder darf ein eigenes anschließen. Wer das getan hat, ist von diesem Fall nicht betroffen und bekommt seine Updates direkt vom Hersteller.

Wer das Mietgerät behalten hat, und das sind die meisten, hat den Komfort gewählt. Es kommt vorkonfiguriert, es funktioniert sofort, und bei Störungen ist jemand zuständig. Der Preis dafür steht in dieser Sicherheitsmitteilung: Zuständig ist derselbe jemand auch dann, wenn es um eine offene Lücke geht, und man erfährt weder, ob man betroffen ist, noch wann sie geschlossen wird.

Praktisch heißt das: Sieh einmal nach, welches Gerät bei dir steht und welche Firmware darauf läuft. Zwei Minuten, einmal im Jahr. Und wenn die Version zu alt ist, frag nach. Nicht weil morgen jemand in dein Netz kommt, sondern weil Nachfragen der einzige Hebel ist, den dir dieses Modell noch lässt.