Ein WLAN für Besucher wirkt auf den ersten Blick wie eine Komfortfunktion. In einem Kleinbetrieb erfüllt es jedoch auch eine wichtige Sicherheitsaufgabe. Gäste, externe Dienstleister oder private Geräte von Beschäftigten benötigen in der Regel keinen Zugriff auf interne Rechner, Drucker, Netzlaufwerke, Server oder Verwaltungsoberflächen. Werden alle Geräte im selben drahtlosen Netz betrieben, können Fehlkonfigurationen und Sicherheitslücken weitreichendere Folgen haben.
Ein separates Gästenetz trennt den Internetzugang für Besucher vom internen Firmennetz. Diese Trennung wird meist über unterschiedliche Netzwerke, sogenannte VLANs, und Regeln auf dem Router oder der Firewall umgesetzt. Der Name des WLANs allein schafft noch keine ausreichende Isolation. Entscheidend ist, dass der Netzwerkverkehr zwischen Gäste- und Unternehmensnetz technisch begrenzt wird.
Für die Absicherung sind mehrere Ebenen relevant:
Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, empfiehlt für drahtlose Netzwerke unter anderem aktuelle Verschlüsselungsverfahren, sichere Passwörter und zeitnahe Sicherheitsupdates. Diese Empfehlungen sind auch in kleinen Büros relevant, weil ein begrenztes IT-Budget keine geringere Schutzwirkung von Zugangsdaten oder Geschäftsdaten erlaubt.
Vor der Konfiguration sollte bekannt sein, welche Komponente welche Aufgabe übernimmt. In kleinen Betrieben werden Router, Firewall, Switch und WLAN-Zugangspunkte teilweise in einem Gerät kombiniert. In anderen Umgebungen stammen diese Komponenten von unterschiedlichen Herstellern. Die Menünamen unterscheiden sich, die Sicherheitsprinzipien bleiben jedoch vergleichbar.
Erstellen Sie zunächst eine Bestandsaufnahme:
Ein Blick auf die Verkabelung verhindert spätere Fehlersuche. Der Access Point muss das interne WLAN und das Gästenetz getrennt übertragen können. Bei einer VLAN-Lösung muss der Switch die entsprechenden VLANs ebenfalls unterstützen. Ein nicht verwaltbarer Switch kann in einer solchen Struktur zum technischen Engpass werden.
Auch die Verwaltung sollte geklärt werden. Werden alle Access Points zentral verwaltet, lässt sich eine einheitliche Sicherheitsrichtlinie eher durchsetzen. Bei einzeln konfigurierten Geräten besteht dagegen das Risiko, dass ein Zugangspunkt noch ein altes Passwort oder eine abweichende Verschlüsselung verwendet.
Für das interne WLAN sollte ein aktuelles Sicherheitsverfahren ausgewählt werden. Wenn alle Endgeräte es unterstützen, ist WPA3 eine geeignete Wahl. In gemischten Umgebungen kann ein vom Hersteller vorgesehenes Übergangsverfahren erforderlich sein. Veraltete Verfahren wie WEP gelten als nicht mehr ausreichend. Auch ältere WPA-Varianten mit schwachen Algorithmen sollten nicht als dauerhafte Lösung eingesetzt werden.
Wählen Sie für das interne WLAN einen aussagekräftigen, aber nicht öffentlich bekannten Namen. Der Netzwerkname, die SSID, muss keine vertraulichen Informationen enthalten. Angaben wie Firmenname, Standort oder Abteilung können Außenstehenden jedoch Hinweise auf die Organisation geben. Für besonders schützenswerte Bereiche kann eine nicht öffentlich beworbene SSID sinnvoll sein, sie ersetzt aber keine Zugangskontrolle.
Das WLAN-Passwort sollte nicht aus einem kurzen Begriff, einer Telefonnummer oder einem leicht ableitbaren Firmennamen bestehen. Besser ist eine lange, zufällig erzeugte Passphrase. Sie muss in einem sicheren Passwortmanager gespeichert und nur an berechtigte Personen weitergegeben werden. Dasselbe Passwort sollte nicht für die Router-Administration, E-Mail-Konten oder andere Dienste verwendet werden.
Prüfen Sie in der Konfiguration außerdem folgende Punkte:
Nach der Umstellung sollten mehrere Tests erfolgen. Prüfen Sie die Anmeldung mit einem aktuellen Rechner und einem Smartphone. Kontrollieren Sie außerdem, ob interne Dienste wie Drucker, Dateifreigaben und Telefonie weiterhin erreichbar sind. Ein Test außerhalb der Geschäftszeiten reduziert das Risiko einer Unterbrechung.
Ein geschütztes WLAN verliert seinen Sicherheitswert, wenn die Administrationsoberfläche des Routers mit einem Standardkonto erreichbar bleibt. Ändern Sie daher den voreingestellten Benutzernamen oder verwenden Sie, sofern vorgesehen, ein individuelles Administratorkonto. Das Administrationspasswort sollte sich vom WLAN-Passwort unterscheiden und in einem Passwortmanager liegen.
Die Geräteverwaltung sollte möglichst nur aus dem internen Administrationsnetz möglich sein. Eine Konfiguration aus dem Gästenetz darf nicht zugelassen werden. Auch die Verwaltung über das Internet sollte nur aktiviert werden, wenn ein konkreter betrieblicher Bedarf besteht und eine sichere Anmeldung, etwa mit Mehrfaktor-Authentisierung, verfügbar ist.
Dokumentieren Sie, wer administrative Rechte besitzt. In kleinen Betrieben werden Router und Access Points häufig nebenbei verwaltet. Eine schriftliche Zuordnung verhindert, dass Zugangsdaten unbekannt bleiben, wenn Zuständigkeiten wechseln. Bei der Übergabe sollte das Passwort geändert und die Liste der berechtigten Konten überprüft werden.
Aktivieren Sie Protokollierung, sofern das Gerät diese Funktion anbietet und die Aufzeichnungen datenschutzkonform betrieben werden können. Besonders relevant sind Änderungen an WLAN-Namen, Passwörtern, Firewall-Regeln, Firmware und Benutzerkonten. Die Protokolle müssen nicht dauerhaft ohne Zweck gespeichert werden. Maßgeblich sind ein nachvollziehbarer Zweck, eine angemessene Aufbewahrung und ein begrenzter Zugriff.
Ein Gästenetz kann je nach Infrastruktur auf unterschiedliche Weise umgesetzt werden. Bei vielen Routern gibt es eine Funktion mit der Bezeichnung „Gastzugang“ oder „Gästenetz“. In professionelleren Umgebungen werden ein eigenes VLAN, ein eigener IP-Adressbereich und passende Firewall-Regeln eingerichtet. Beide Varianten können geeignet sein, wenn die Trennung tatsächlich wirksam ist.
Für eine VLAN-basierte Konfiguration sind typischerweise diese Bausteine erforderlich:
Die Firewall-Regeln sollten nach dem Prinzip der geringsten Berechtigung erstellt werden. Das Gästenetz darf zum Internet gelangen, sollte aber keine Verbindungen zu privaten Adressbereichen, internen DNS-Diensten, Managementschnittstellen oder lokalen Dateifreigaben aufbauen können. Je nach Infrastruktur müssen auch Zugriffe auf Broadcasts, Multicast-Dienste und automatische Geräteerkennung eingeschränkt werden.
Eine Option wie „Gäste dürfen untereinander kommunizieren“ sollte nur aktiviert werden, wenn dafür ein klarer Zweck besteht. In vielen Fällen ist es besser, die Kommunikation zwischen den Gastgeräten zu blockieren. Dadurch kann ein infiziertes oder kompromittiertes Gerät weniger leicht andere Geräte im selben Gästenetz ansprechen.
Die Bezeichnung „Internetzugang“ sollte nicht mit vollständiger Isolation verwechselt werden. Manche Router erlauben Gästen trotz aktivem Gastmodus den Zugriff auf lokale Geräte, etwa für Druckfunktionen. Diese Option muss bewusst geprüft werden. Für ein Unternehmensnetz ist die vollständige Sperre des Zugriffs auf interne Geräte meistens die sicherere Ausgangslage.
Ein gemeinsames Gäste-Passwort ist organisatorisch bequem, verteilt sich aber schnell über den vorgesehenen Nutzerkreis hinaus. Für einen zeitlich begrenzten Zugang können regelmäßig neue Passphrasen vergeben werden. Wenn der Router oder das WLAN-System individuelle Konten, Voucher oder ein Captive Portal unterstützt, lässt sich der Zugriff gezielter steuern.
Bei einem Portal wird nach der Verbindung mit dem WLAN zunächst eine Anmeldeseite angezeigt. Dort kann beispielsweise eine Nutzungsbedingung bestätigt oder ein zeitlich begrenzter Zugangscode eingegeben werden. Ein Portal ersetzt keine Verschlüsselung und keine Netzwerksegmentierung. Es regelt vor allem die Anmeldung und Verwaltung der Nutzer.
Für die Praxis sollte festgelegt werden:
Ein Gäste-WLAN darf nicht als Ersatz für einen sicheren Fernzugang dienen. Externe Personen, die auf interne Anwendungen zugreifen müssen, benötigen eine dafür vorgesehene VPN- oder Zugriffslösung mit individuellen Konten und begrenzten Berechtigungen. Das Gästenetz sollte nicht durch weitreichende Freigaben zum internen Arbeitsnetz erweitert werden.
Die Trennung des Gästenetzes kann bestehende Gerätefunktionen beeinflussen. Netzwerkdrucker werden beispielsweise häufig automatisch über Multicast oder lokale Suchprotokolle gefunden. Wenn Gastgeräte keinen Zugriff auf das interne Netz haben, können sie diese Drucker nicht ohne zusätzliche Freigabe erkennen. Das ist aus Sicherheitsgründen meist erwünscht.
Falls Gäste drucken müssen, sind kontrollierte Alternativen möglich. Ein Drucker kann in einem dafür vorgesehenen Bereich stehen und über einen separaten Dienst erreichbar sein. Eine weitere Möglichkeit ist, Dateien über einen kontrollierten Übergabepunkt anzunehmen. Eine pauschale Freigabe des internen Druckernetzes für alle Gäste schafft dagegen unnötige Angriffsflächen.
IP-Telefonie, Zugangskontrollen, Kameras, Gebäudetechnik und andere vernetzte Geräte sollten nicht unüberlegt im Gäste- oder Büro-WLAN betrieben werden. Diese Systeme benötigen häufig eigene Regeln und teilweise ein separates VLAN. Besonders bei Geräten mit veralteter Firmware oder begrenzten Update-Möglichkeiten ist eine zusätzliche Netztrennung sinnvoll.
Erstellen Sie für jedes Gerät eine kurze Übersicht mit Zweck, Standort, Netzwerk, Administrationszugang und Updatezustand. Dadurch wird sichtbar, welche Systeme besonders geschützt werden müssen und welche Geräte nicht in ein frei zugängliches Netz gehören.
Router, Firewalls, Switches und Access Points sind Netzwerkcomputer. Ihre Firmware sollte nach den Sicherheitsinformationen des Herstellers aktuell gehalten werden. Vor einem Update ist eine Konfigurationssicherung sinnvoll. Bei geschäftskritischen Geräten sollte außerdem bekannt sein, wie die vorherige Konfiguration wiederhergestellt werden kann.
Automatische Updates können die Wartung unterstützen, müssen aber zur betrieblichen Umgebung passen. Nach einem Update sollten WLAN-Anmeldung, VLAN-Zuordnung, Firewall-Regeln, Internetzugang und wichtige interne Dienste getestet werden. Eine Änderung an der Funkkonfiguration kann auch dann Folgen haben, wenn die Firmware selbst korrekt installiert wurde.
Eine gute Funkabdeckung gehört ebenfalls zur Absicherung. Bei schlechtem Signal versuchen Nutzer häufig, auf private Hotspots oder unkontrollierte Repeater auszuweichen. Access Points sollten so positioniert und eingestellt werden, dass Arbeitsbereiche zuverlässig versorgt werden. Außenbereiche wie Parkplätze oder Wartezonen verdienen besondere Aufmerksamkeit, weil dort ein Gästezugang erwartet werden kann.
Die Sendeleistung sollte nicht pauschal auf den höchsten Wert gesetzt werden. Entscheidend ist eine ausreichende Versorgung innerhalb der vorgesehenen Flächen und eine möglichst begrenzte Ausbreitung außerhalb des Standorts. Eine Funkmessung oder die Auswertung der Access-Point-Verwaltung kann bei der Planung helfen.
Die wichtigste Prüfung besteht nicht darin, ob zwei WLAN-Namen sichtbar sind, sondern ob die Netzgrenzen eingehalten werden. Verwenden Sie für den Test ein Gerät im Gästenetz und prüfen Sie, welche Ziele erreichbar sind. Interne Router-Adressen, Drucker, Dateifreigaben, Verwaltungsoberflächen und andere interne Systeme sollten nicht zugänglich sein. Der Internetzugang muss weiterhin funktionieren.
Ein sinnvoller Testablauf umfasst folgende Schritte:
Die Testergebnisse sollten dokumentiert werden. Dazu gehören Datum, getestete Netze, verwendete Geräte und erkannte Abweichungen. Für die Prüfung können die Netzwerkdiagnosefunktionen der Betriebssysteme verwendet werden. Bei komplexen Regeln ist eine Auswertung der Firewall-Protokolle hilfreich.
Auch IPv6 darf nicht übersehen werden. Eine Firewall-Regel, die nur IPv4 berücksichtigt, kann eine unerwartete Verbindung über IPv6 zulassen. Die Gästeisolierung muss deshalb für alle im Netzwerk aktiv verwendeten Protokolle gelten.
Ein Gäste-WLAN verarbeitet technische Informationen, etwa IP-Adressen, Gerätekennungen oder Zeitpunkte von Verbindungen. Welche Daten anfallen und wie lange sie gespeichert werden, hängt von der eingesetzten Technik und den betrieblichen Abläufen ab. Protokollierung sollte daher nicht umfangreicher sein als für Sicherheit, Fehleranalyse oder Abrechnung erforderlich.
Vor der Aktivierung eines Captive Portals oder einer detaillierten Nutzerprotokollierung sollte geprüft werden, welche datenschutzrechtlichen Pflichten gelten. Zuständige Datenschutzverantwortliche oder fachkundige Beratung können klären, welche Hinweise, Speicherfristen und Zugriffsregeln notwendig sind. Eine pauschale Speicherung aller Verbindungsdaten ist kein Ersatz für eine abgestimmte Sicherheitskonzeption.
Technische Logs sollten gegen unberechtigte Einsicht geschützt werden. Nur Personen mit einer konkreten Aufgabe sollten darauf zugreifen können. Werden Protokolle an einen zentralen Dienst übertragen, muss auch dieser Dienst in die Sicherheits- und Datenschutzprüfung einbezogen werden.
In der Praxis entstehen Risiken häufig durch Einstellungen, die zunächst komfortabel wirken. Dazu gehören ein gemeinsames WLAN für alle Nutzergruppen, ein unverändertes Standardpasswort und eine dauerhaft aktivierte Fernverwaltung. Auch ein Gäste-WLAN, das zwar anders heißt, aber im selben lokalen Netz liegt, bietet keine ausreichende Trennung.
Weitere häufige Fehler sind:
Eine klare interne Regel hilft gegen Schatten-IT: Private Router, Repeater und Hotspots dürfen nicht ohne Prüfung an das Firmennetz angeschlossen werden. Sie können DHCP-Dienste, Funknetze oder Sicherheitsregeln beeinflussen und die Dokumentation unbrauchbar machen.
Die Einrichtung ist kein einmaliger Vorgang. Netzwerke verändern sich, Geräte werden ersetzt und Sicherheitslücken werden veröffentlicht. Ein überschaubarer Wartungsplan hält die Konfiguration nachvollziehbar.
Die Dokumentation sollte mindestens einen Netzplan, die Zuordnung von VLANs und IP-Bereichen, die Standortdaten der Access Points, die Zuständigkeiten und den Ablauf für Wiederherstellung enthalten. Geheimnisse wie Passwörter gehören nicht in eine ungeschützte Datei oder in einen offen zugänglichen Netzplan.
Werden externe IT-Dienstleister eingesetzt, sollten ihre Zugänge individuell, zeitlich begrenzt und nachvollziehbar sein. Gemeinsame Administratorkonten erschweren die Auswertung von Änderungen und sollten vermieden werden, sofern die Infrastruktur individuelle Konten unterstützt.
Nein. Ein anderer Netzwerkname trennt den Datenverkehr nicht automatisch. Entscheidend sind ein eigener Netzwerkbereich und Firewall-Regeln, die den Zugriff vom Gästenetz auf interne Systeme unterbinden. Bei vielen Routern übernimmt eine korrekt konfigurierte Gastfunktion diese Aufgaben. Die Wirkung sollte dennoch getestet werden.
Das hängt von der Sicherheitskonzeption ab. Private Geräte ohne Zugriff auf interne Dienste können dort betrieben werden. Dienstliche Geräte sollten das dafür vorgesehene interne WLAN verwenden, damit notwendige Anwendungen, Drucker oder Verwaltungsfunktionen erreichbar bleiben. Eine Vermischung erschwert außerdem die Fehlersuche.
Nein. Eine ausgeblendete SSID verhindert keine zielgerichtete Erkennung des Funknetzes und ersetzt weder Verschlüsselung noch Zugriffskontrolle. Sie kann aus organisatorischen Gründen verwendet werden, sollte aber nicht als zentrale Sicherheitsmaßnahme gelten.
Eine feste allgemeine Frist passt nicht zu jedem Betrieb. Maßgeblich sind das Risiko, der Nutzerkreis und die technische Möglichkeit, individuelle oder zeitlich begrenzte Zugänge einzurichten. Nach einer unkontrollierten Weitergabe, einem Personalwechsel oder einem Sicherheitsvorfall sollte der Zugang unverzüglich überprüft und bei Bedarf geändert werden.
Technisch ist eine gezielte Freigabe möglich, sicherheitlich sollte sie gut begründet werden. In vielen Fällen ist ein separater Druckdienst oder ein kontrollierter Übergabeprozess geeigneter. Eine pauschale Erreichbarkeit interner Drucker und Dateifreigaben widerspricht dem Ziel einer Netztrennung.
