Wenn die Website ins Wohnzimmer schaut

Ein Berechtigungsdialog wie der von Brave sichtbar gewordene gehört seit Ende 2025 zum Alltag in Chromium-Browsern und markiert eine stille, aber tiefgreifende Verschiebung der Browser-Sicherheitsarchitektur. Bisher konnte jede beliebige Website unbemerkt Anfragen an Router, Drucker oder Smart-Home-Geräte im lokalen Netz schicken - diese Lücke wird nun geschlossen. Für Nutzer hinter einer Fritzbox, bei denen meist alle Geräte in einem einzigen, flachen Netz hängen, ist genau diese Änderung besonders relevant.

Was hinter der Berechtigungsanfrage technisch steckt

Der Dialog stammt aus einer Funktion namens Local Network Access (LNA), die seit Chrome 142 (Ende Oktober 2025) standardmäßig aktiv ist und mittlerweile alle Chromium-basierten Browser betrifft, also Chrome, Edge, Brave und Opera. Die Funktion blockiert Anfragen von öffentlichen Websites an Geräte im lokalen Netzwerk, sofern diese nicht ausdrücklich vom Nutzer erlaubt wurden. Als "lokales Netzwerk" gelten dabei nicht nur klassische private IPv4-Bereiche, sondern laut der offiziellen Chrome-Spezifikation auch Link-Local-Adressen nach RFC3927, IPv6-Unique-Local-Adressen nach RFC4193 sowie IPv4-in-IPv6-gemappte Adressen - also praktisch jede Adresse, die typischerweise hinter einem Heimrouter vergeben wird.

Wichtig für das Verständnis der Berechtigung ist, was sie nicht automatisch erlaubt. Sie öffnet keinen beliebigen Zugriff auf Dateien, umgeht keine Firewalls und ermöglicht keine automatische Anmeldung an fremden Login-Oberflächen. Sie hebt lediglich eine technische Schranke auf, die zuvor verhinderte, dass der Browser überhaupt eine Verbindung zu einer lokalen Adresse aufbaut. Was mit dieser Verbindung dann passiert, hängt weiterhin von der Sicherheit des Zielgeräts ab.

Warum diese Schranke früher gar nicht existierte

Die eigentliche Überraschung liegt weniger in der Berechtigung selbst als darin, dass sie so lange gefehlt hat. Ich habe das schon länger genutzt, damit meine Leser prüfen können, was ihr Browser über sie preisgibt, oder wie dieser Mechanismus für Fritzbox-Exploits ausgenutzt wurde. Dazu hatte ich einen inline-frame eingebaut, der eine Sicherheitslücke der eigenen Fritzbox überprüft und dem User anzeigt.

Browser folgen normalerweise der Same-Origin-Policy, die verhindert, dass eine Website Antworten von einer anderen Domain auslesen kann. Diese Policy schützt aber nicht zuverlässig vor DNS-Rebinding - einer seit Jahren bekannten Technik, bei der eine bösartige Seite zunächst über einen öffentlichen Server ausgeliefert wird und anschließend die DNS-Antwort auf eine private IP-Adresse im Netzwerk des Opfers umbiegt. Der Browser hält die Verbindung weiterhin für denselben Origin und lässt das nachgeladene JavaScript ungehindert mit dem internen Gerät kommunizieren. Auf diese Weise verwandelt sich der Browser eines Opfers in eine Art Proxy, über den ein entfernter Angreifer praktisch jedes Gerät im geschützten Heimnetz erreichen kann.

Wie real dieses Problem ist, zeigen ältere Untersuchungen zu Consumer-Geräten. Eine vielzitierte Analyse fand heraus, dass rund 165 Millionen Drucker verschiedener Hersteller und etwa 160 Millionen IP-Kameras für DNS-Rebinding anfällig waren, weil ihre Weboberflächen Anfragen nicht anhand des Host-Headers oder einer echten Authentifizierung, sondern schlicht anhand ihrer Erreichbarkeit im lokalen Netz beantworteten. Google hat diesen Hintergrund bei der Ankündigung der neuen Berechtigung selbst genannt: Ziel sei es, CSRF-Angriffe auf Router und andere Geräte im privaten Netzwerk zu verhindern und die Möglichkeiten zur Fingerabdruck-Erstellung des lokalen Netzwerks einzuschränken.

Welche Angriffsszenarien dadurch eingedämmt werden

Mit aktivierter LNA-Sperre wird die oben dargestellte Kette deutlich schwerer durchzuführen. Ohne Zustimmung des Nutzers kann eine Website keine stille Netzwerk-Aufklärung mehr betreiben, also nicht mehr systematisch prüfen, welche Geräte im Adressbereich 192.168.x.x überhaupt antworten. Damit entfällt auch die Vorstufe für gezielte Angriffe gegen bekannte Schwachstellen einzelner Gerätetypen, weil der Angreifer die vorhandene Hardware gar nicht erst identifizieren kann.

Besonders wirksam ist die Sperre gegen die von XSS-Angriffen ausgehende Gefahr: Selbst wenn eine an sich vertrauenswürdige Website durch eine Schwachstelle kompromittiert wird, kann der eingeschleuste Schadcode dank LNA nicht automatisch ins lokale Netz vordringen, weil auch eine erfolgreiche XSS-Injektion auf einer öffentlichen Seite ohne explizite Zustimmung des Nutzers nicht länger auf private Netzwerkressourcen zugreifen kann. Das begrenzt den Schaden eines einzelnen kompromittierten Tabs erheblich, denn XSS bleibt weiterhin eine der häufigsten Web-Schwachstellen überhaupt.

Was die Sperre dagegen nicht verhindert, ist ein Angriff nach erteilter Zustimmung. Klickt jemand unüberlegt auf "Zulassen", weil der Dialog wie eine technische Formalität wirkt, bleiben alle im begleitenden Text beschriebenen Szenarien - Fingerprinting, Ausnutzung schwacher Webinterfaces, Information Disclosure - grundsätzlich möglich. Die Berechtigung verschiebt die Entscheidung lediglich vom Browser-Hersteller zum einzelnen Nutzer, sie beseitigt die zugrunde liegende Schwäche der Zielgeräte nicht.

Die Krux mit der Fritzbox als Alleskönner-Netz

Genau hier setzt das eigentliche Problem für die überwiegende Mehrheit der Heimanwender an. Die Fritzbox ist Schätzungen zufolge in etwa jedem dritten deutschen Haushalt im Einsatz und wird in der Standardkonfiguration als einziges, flaches Netz betrieben. Laptop, Smartphone, NAS, Drucker, smarte Steckdosen und Saugroboter landen dort alle im selben Adressbereich und können sich gegenseitig uneingeschränkt erreichen. Genehmigt ein Nutzer in dieser Konstellation einer Website versehentlich den lokalen Netzwerkzugriff, liegt potenziell das komplette Haushaltsnetz offen - inklusive des NAS mit privaten Dateien und der Kamera im Kinderzimmer.

Das Grundproblem liegt dabei weniger im Browser als in der fehlenden Trennung dahinter. Ein durch DNS-Rebinding oder eine erteilte LNA-Berechtigung erreichbares Gerät ist nur dann tatsächlich gefährdet, wenn es selbst unzureichend abgesichert ist - etwa durch Standardpasswörter, veraltete Firmware oder eine ungeschützte HTTP-Weboberfläche. Genau diese Eigenschaften treffen auf einen erheblichen Teil der aktuell verkauften IoT-Geräte zu.

Segmentierung als wirksamster Schutz

Die verlässlichste Gegenmaßnahme liegt nicht im Browser, sondern in der Netzwerkstruktur selbst. Wenn IoT-Geräte grundsätzlich keine Route zum Hauptnetz haben, läuft auch ein erfolgreicher Zugriff über LNA oder DNS-Rebinding ins Leere. Die Fritzbox bringt dafür bereits ohne Zusatzhardware ein brauchbares Werkzeug mit, das Gastnetzwerk. Es erhält einen eigenen IP-Adressbereich und wird über interne Firewall-Regeln vom Hauptnetz getrennt, ähnlich einem separaten Raum im gleichen Haus mit verschlossener Verbindungstür.

Entscheidend ist dabei eine oft übersehene Einstellung: Standardmäßig sind Geräte im Gastnetz zwar vom Hauptnetz isoliert, können aber über die Option "WLAN-Geräte dürfen untereinander kommunizieren" auch untereinander sichtbar gemacht werden - für IoT-Geräte, die nur eine reine Internetverbindung benötigen, sollte diese Option deaktiviert bleiben, damit auch eine kompromittierte Steckdose keine Nachbargeräte im selben Gastnetz erreicht. Ebenso wichtig ist der sogenannte Heimnetz-Zugriff, der pro Gastnetzwerk-Sitzung einzeln aktivierbar ist: Bleibt er deaktiviert, bekommen Geräte im Gastnetz eine eigene IP-Adresse und können weder die Fritzbox-Oberfläche noch NAS, Drucker oder andere Geräte im Hauptnetz erreichen. Wird er dagegen versehentlich aktiviert, entfällt die gesamte Schutzwirkung - laut Praxisberichten der häufigste Konfigurationsfehler überhaupt.

Echte Gäste können so ebenfalls das Gastnetz benutzen, da sie mit der aufgezeigten Konfiguration keine anderen Geräte im lokalen Netz erreichen können - auch keine IoT-Geräte.

Wer über das reine WLAN-Gastnetz hinaus auch kabelgebundene Geräte trennen möchte, kann zusätzlich einen der LAN-Ports der Fritzbox fest dem Gastnetz zuweisen, sodass daran angeschlossene Geräte automatisch im isolierten Bereich landen. Wer noch granularer steuern möchte, welches Gerät mit welchem sprechen darf, stößt an die Grenzen der Fritzbox-Firmware. Für echte, regelbasierte Trennung mit mehreren VLANs sind separate Komponenten mit vollwertiger VLAN-Unterstützung nötig, etwa ein Managed Switch und VLAN-fähige Access Points, wie sie in Kombination mit einer dahintergeschalteten Firewall wie OPNsense eine deutlich feinere Kontrolle erlauben als das Gastnetz allein.

Praktische Checkliste für den eigenen Haushalt

Bevor irgendein Website-Dialog zur Netzwerkberechtigung bestätigt wird, lohnt sich ein kurzer Blick auf die eigene Netzstruktur. Die folgenden Punkte lassen sich ohne Zusatzhardware in wenigen Minuten in der Fritzbox-Oberfläche unter http://fritz.box umsetzen:

• Gastnetzwerk aktivieren und alle Smart-Home-Geräte, Kameras und Steckdosen dort statt im Hauptnetz anmelden.
• Heimnetz-Zugriff für das Gastnetz deaktiviert lassen, damit keine Verbindung zurück ins Hauptnetz besteht.
• Kommunikation der Geräte untereinander im Gastnetz deaktivieren, sofern die Geräte nur eine Internetverbindung benötigen.
• Firmware der Fritzbox sowie aller IoT-Geräte aktuell halten, da viele bekannte Schwachstellen ausschließlich veraltete Versionen betreffen.
• Standardpasswörter aller Geräte-Weboberflächen ändern, um einen erfolgreichen Zugriff nicht durch triviale Zugangsdaten zusätzlich zu erleichtern.
• Lokale Netzwerkberechtigungen im Browser nur gezielt erteilen und im Zweifel ablehnen, insbesondere bei Websites ohne erkennbaren technischen Bedarf für einen solchen Zugriff.

Fazit

Die neue Browser-Berechtigung schließt eine seit Jahren bekannte Lücke und macht stille Zugriffe auf lokale Netzwerkgeräte erstmals von einer bewussten Nutzerentscheidung abhängig. Wirksamen Schutz bietet sie aber nur in Kombination mit einer sauberen Netzwerktrennung, da eine erteilte Berechtigung allein noch keine Kompromittierung verhindert. Für die meisten Fritzbox-Haushalte ist das konsequent genutzte Gastnetzwerk der einfachste Hebel, um genau diese Lücke zusätzlich zu schließen.