Smart-TVs sind keine harmlosen Displays: Sobald sie in einem flachen Heimnetz hängen, fahren sie einen kompletten Discovery-Stack hoch und können im schlimmsten Fall das gesamte Netzwerk kartieren. So sperrst du einen LG-webOS-Fernseher (oder Samsung Tizen, Google TV, Roku & Co.) mit UniFi sauber ein – VLAN, Layer-2-Isolation, Firewall-Zonen und optionale DNS-Filterung.
Auslöser war ein vielbeachtetes Video, das zeigt, wie aggressiv aktuelle LG-Fernseher das lokale Netz scannen. Der folgende Ansatz ist bewusst einfach gehalten und lässt sich mit einer zonenbasierten UniFi-Konfiguration in wenigen Schritten umsetzen.
Warum Smart-TVs ein Netzwerkrisiko sind
Ein moderner Fernseher verhält sich im Netzwerk nicht passiv. Er verschickt ARP-Sweeps, mDNS-, SSDP- und DLNA-Anfragen, Broadcast-Probes sowie Fallback- und teils verschlüsselte DNS-Anfragen. Damit kann er andere Geräte entdecken, Dienste erkennen und ein Profil deines Heimnetzes erstellen. Das betrifft nicht nur LG webOS, sondern praktisch alle Plattformen – Samsung Tizen, Google TV, Amazon Fire TV und Roku eingeschlossen.
1. Der Fernseher kommt in ein eigenes IoT-VLAN
Grundlage ist ein dediziertes VLAN für nicht vertrauenswürdige Geräte – Fernseher, Kameras, smarte Haushaltsgeräte. Wichtig: In diesem VLAN leben keine vertrauenswürdigen Geräte (PCs, NAS, Smartphones). So bleibt der Schaden begrenzt, selbst wenn ein Gerät kompromittiert wird.
2. WLAN-AP: Layer-2-Isolation als stärkster Hebel
Der Großteil der Probing-Aktivität läuft auf Layer 2 ab – der Access Point ist damit der wirkungsvollste Choke-Point. UniFi bietet je nach AP-Generation leicht unterschiedliche Regler. Prüfe daher, ob dein AP aus der WiFi-5- oder der WiFi-6/7-Reihe stammt.
WiFi-5-APs (UAP-AC-Serie)
Strikte, vorhersehbare Isolation – ideal für ein IoT-SSID. Empfohlene Einstellungen:
- Client Device Isolation → AN
- Block LAN to WLAN Multicast/Broadcast → AN
- Multicast Enhancement → AUS
- Proxy ARP → AN
WiFi-6/7-APs (U6/U7-Serie)
Etwas „intelligenteres“ Verhalten, isoliert mit der richtigen Abstimmung aber ebenso zuverlässig. Empfohlene Einstellungen:
- Client Device Isolation → AN
- Multicast Enhancement → AN
- Block LAN to WLAN Multicast/Broadcast → AN
- Proxy ARP → AN
Der Effekt
- LG kann keinen ARP-Scan mehr fahren
- LG sieht keine anderen IoT-Geräte
- LG sieht keine vertrauenswürdigen Geräte
- LG empfängt kein mDNS/SSDP/DLNA
- LG kann dein LAN nicht mehr fingerprinten
Der Fernseher „sieht“ am Ende nur noch den Access Point – sonst nichts.
3. Firewall: IoT → alle internen Zonen blockieren (Layer 3)
Während die AP-Isolation Layer 2 abdeckt, sperrt die zonenbasierte Firewall die Layer-3-Protokolle. In einem Zone-based-Setup gilt „block by default“ – du musst nur die VLANs den richtigen Zonen zuordnen. Das IoT-VLAN darf dann nicht mehr erreichen:
- vertrauenswürdige Netze
- Management-/Verwaltungsnetze
- das Admin-Interface des Routers
- Gastnetze
- die DMZ
- VPN-Netze
- andere IoT-Geräte (bereits durch die AP-Isolation abgedeckt)
Damit ist der Fernseher von allem abgeschnitten – außer vom Internet.
4. IoT → Internet erlauben
Der ausgehende Internetzugang bleibt offen. Ich schränke hier bewusst weder Ports noch Cloud-Endpunkte ein – das hält das Setup wartungsarm. Wer strenger vorgehen möchte, kann zusätzlich einzelne Ziele sperren, braucht dafür aber mehr Pflege.
5. Optional: DNS-Filterung
Als Feinschliff leite ich den DNS-Verkehr des IoT-VLANs auf einen kontrollierten Resolver – etwa Pi-hole, AdGuard Home oder Unbound. Das erlaubt dir, die Domain-Anfragen des Fernsehers zu protokollieren, offensichtliche Telemetrie-Domains zu blockieren und Werbe-Endpunkte per Sinkhole ins Leere laufen zu lassen.
Passende, kuratierte Blocklisten für genau diesen Zweck findest du in unserer Übersicht: DNS-Blocklisten auf netguide.io/de/lists. Trag die Listen in Pi-hole oder AdGuard ein, und der Resolver sinkholet Tracking- und Telemetrie-Domänen automatisch.
Ehrlich bleibt: DNS-Blocking ist ein Katz-und-Maus-Spiel, weil sich Domains ändern und manche Geräte auf fest kodierte Resolver oder DoH ausweichen. Als zusätzliche Kontroll- und Transparenzschicht ist es trotzdem wertvoll – besonders in Kombination mit der oben erzwungenen Umleitung des DNS-Verkehrs.
Das Ergebnis
- Der TV kann das LAN nicht scannen
- Der TV erreicht keine internen Zonen
- Der TV erreicht den Router nicht
- Der TV sieht keine anderen Geräte
- Der TV kann nur ins Internet
- DNS-Filterung liefert optionale Extra-Kontrolle
Apple TV als „sicheres“ Streaming-Gerät
Als eigentliche Streaming-Quelle nutze ich ein Apple TV: deutlich weniger neugierig, kein Always-on-Mikrofon und ein vorhersehbares Verhalten. Das LG-Panel ist damit im Grunde nur noch ein Display – genau so, wie ich es haben möchte.
TL;DR
Smart-TVs proben dein Netzwerk. Ich isoliere meinen so:
- ab in ein eigenes IoT-VLAN
- Layer-2-Isolation am AP aktivieren (WiFi-5- bzw. WiFi-6/7-Regler oben)
- IoT → alle internen Zonen per Firewall blockieren (Layer 3)
- nur IoT → Internet erlauben
- optional DNS filtern (Blocklisten)
- Apple TV als „sichere“ Streaming-Plattform nutzen
FAQ
Warum scannt mein Fernseher überhaupt das Netzwerk?
Smart-TVs suchen nach Medienservern (DLNA), Casting-Zielen und anderen Geräten, um Funktionen wie Screen-Sharing oder Multiroom anzubieten – und sammeln dabei oft mehr Informationen, als für die reine Wiedergabe nötig wäre.
Reicht nicht einfach ein Gäste-WLAN?
Ein Gäste-WLAN isoliert Clients zwar häufig untereinander, ist aber für Portale/Captive-Setups gedacht und bietet dir keine saubere Zonen- und Firewall-Kontrolle. Ein dediziertes IoT-VLAN mit Zone-based Firewall ist die robustere Lösung.
Brauche ich zwingend UniFi?
Nein. Das Prinzip – VLAN, Client-Isolation am AP, Layer-3-Firewallregeln, kontrollierter DNS – lässt sich mit OPNsense/pfSense, MikroTik oder OpenWrt genauso umsetzen. UniFi macht es nur besonders übersichtlich.
Blockiert DNS-Filterung das Tracking vollständig?
Nein. DNS-Filterung reduziert Telemetrie und Werbung spürbar, ist aber kein Allheilmittel: Geräte können auf hartkodierte IPs oder verschlüsseltes DNS ausweichen. Deshalb ist die Netz-Isolation (VLAN + Firewall) die eigentliche Grundlage, DNS die Kür.
Hinweis: Ich bin kein Netzwerk-Guru – das ist einfach ein Setup, das bei mir gut funktioniert. Deine Umgebung, Geräte und Anforderungen können abweichen, passe die Schritte also bei Bedarf an. Vorschläge und Verbesserungen sind willkommen.