Gäste-WLAN für Unternehmen: So sichern Sie Ihr internes Netzwerk ab

Gäste-WLAN für Unternehmen ist nicht nur ein Service für Besucher – in einer unsachgemäß eingerichteten Form stellt es eine der größten Sicherheitslücken in KMU-Umgebungen dar. Dieser Artikel zeigt Ihnen, wie Sie ein gastfreundliches und dennoch sicheres Netzwerk in Ihrem Büro einrichten, das Besuchern Internetzugang gewährt, interne Systeme jedoch sicher verschlossen hält.

Die häufigsten Fehler in der Praxis

• Dasselbe WLAN für Mitarbeiter und Gäste (»MeinUnternehmen-WiFi« mit einem Passwort, das jeder kennt).
• Separate SSID, aber im selben VLAN wie die Benutzer – Gäste können Drucker, NAS und Teile des Active Directory sehen.
• Kein Captive Portal und keine Zeit- oder Bandbreitenbeschränkung.
• Das Passwort wird monate- oder jahrelang nicht geändert, selbst nachdem der Besucher das Haus längst verlassen hat.

Die richtige Architektur: VLAN-Segmentierung

Die Grundlage bildet eine strikte Trennung des Datenverkehrs auf der Firewall mittels VLAN-Segmentierung. Empfohlenes minimales Setup:

Auf der Firewall (pfSense, OPNsense, FortiGate, Sophos) setzen wir Regeln: Aus dem Guest VLAN ist nur Datenverkehr zum Internet erlaubt, alles andere wird abgelehnt.

Captive Portal: Anmeldung, Benachrichtigung und Protokollierung

Ein Captive Portal ist eine Seite, die der Besucher vor dem Internetzugriff sieht. Zweck:

• Zustimmung zu den Nutzungsbedingungen (rechtliche Absicherung des Unternehmens).
• Eingabe von Name und E-Mail (optional für Marketingzwecke).
• Zeitliche Begrenzung der Sitzung (z. B. 8 Stunden).
• Protokollierung des Zugangs für eventuelle rechtliche Verfahren.

Ein Captive Portal ist in UniFi, pfSense, Aruba Instant On und Meraki integriert – eine separate Lizenz ist meist nicht erforderlich.

Empfohlene Richtlinien

1. Bandbreite: Begrenzung auf 5–10 Mbit/s pro Gerät, damit Gäste nicht die gesamte Leitung beanspruchen.
2. Rate Limiting: Maximal 30 gleichzeitige Geräte (für kleinere Büros).
3. Blockierung von P2P und Torrent-Verkehr.
4. DNS-Filter (z. B. Cloudflare Family, Quad9): Blockiert Malware und unangemessene Inhalte.
5. Passwort-Rotation automatisch jeden Monat oder WPA3 mit SAE (sicherer als ein geteiltes Passwort).

WPA3 und individuelle Passwörter: Das Ende der Ära des »gemeinsamen Passworts«

Neue Access Points (UniFi U6, Aruba, Cisco) unterstützen WPA3-SAE Personal, das jedem Client einen einzigartigen Verschlüsselungsschlüssel zuweist, selbst bei identischem Passwort. Das bedeutet: Selbst wenn ein Angreifer das Passwort kennt, kann er den Datenverkehr anderer Geräte nicht abhören.

Wir richten sicheres Business-WLAN einWir planen Ihre VLANs, installieren Access Points und Captive Portals und sorgen für die Einhaltung rechtlicher Standards.

Was ist mit der DSGVO beim Captive Portal?

Wenn Sie im Captive Portal E-Mail-Adressen oder Namen erfassen, handelt es sich um eine Verarbeitung personenbezogener Daten. Sie benötigen: (1) eine klare Rechtsgrundlage (Einwilligung), (2) einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten, (3) eine Aufbewahrungsfrist (wir empfehlen 30–90 Tage für Logs, E-Mails nur bei entsprechendem Verwendungszweck).

Benötige ich einen separaten Access Point für Gäste?

Nein. Moderne APs (UniFi, Aruba, Meraki) ermöglichen mehrere SSIDs auf einem Gerät, wobei jede SSID an ein eigenes VLAN gebunden werden kann. Ein AP kann somit problemlos Mitarbeiter und Gäste getrennt bedienen.

Können sich Gäste gegenseitig im Netzwerk sehen?

Wenn Sie 'Client Isolation' auf der SSID aktivieren, nein. Dies ist die empfohlene Einstellung für Gäste-Netzwerke.

Welche Geschwindigkeit sollte ich Gästen bieten?

Wir empfehlen 5–10 Mbit/s pro Gerät – ausreichend für Videoanrufe und Surfen, aber zu wenig für HD-Streaming durch eine große Menschenmenge. Passen Sie dies an die Geschwindigkeit Ihrer Internetleitung an.

Benötige ich eine spezielle Lizenz für das Captive Portal?

In Open-Source-Lösungen (pfSense, OPNsense) und UniFi ist es standardmäßig enthalten. Meraki und einige Cisco-Produkte erfordern eine Lizenz.

Wie viel kostet die Einrichtung für ein kleines Büro?

Wenn Sie einen Managed Switch und einen modernen AP haben, beträgt der Aufwand für die Einrichtung von VLANs und Captive Portal etwa 8–12 Beratungsstunden. Bei veralteter Infrastruktur kommen die Hardwarekosten hinzu.