Gäste-WLAN im Betrieb: Warum Besucher nicht in Ihr Firmennetz gehören

Ein Kunde sitzt im Besprechungsraum und fragt nach dem WLAN. Jemand liest das Passwort vom Zettel am Router ab, dasselbe, mit dem auch die Buchhaltung, der Server und der Drucker verbunden sind. Das ist in vielen Betrieben Alltag, und es ist freundlich gemeint. Technisch bedeutet es: Das Smartphone des Besuchers ist jetzt ein Gerät in Ihrem Firmennetz, mit denselben Möglichkeiten wie der Rechner am Empfang. Es sieht den Server, die Freigaben, den Drucker, die Telefonanlage. Ob der Besucher davon Gebrauch macht, spielt keine Rolle. Ob die App auf seinem Handy es tut, wissen weder er noch Sie.

Was ein fremdes Gerät in Ihrem Netz anrichten kann

Der Besucher selbst ist selten das Problem. Das Problem ist, was er mitbringt. Ein Smartphone mit einer unsauberen App, ein Notebook mit veraltetem System, ein Gerät, das zu Hause schon befallen wurde. Schadsoftware sucht im Netz, in dem sie sich befindet, automatisch nach anderen Geräten: Freigaben ohne Passwort, alte Drucker, Server mit offenen Lücken, Kameras mit Standardkennwort. Und sie findet in gewachsenen Netzen fast immer etwas. Dazu kommt das WLAN-Passwort selbst: Einmal weitergegeben, ist es auf dem Gerät gespeichert, wird mit dem nächsten Handy synchronisiert und steht im Zweifel in einem Jahr noch dort. Sie wissen nicht mehr, wer es hat.

Was ein Gäste-WLAN ist, und was es nicht ist

Ein Gäste-WLAN ist ein zweites Funknetz mit eigenem Namen und eigenem Passwort, das nur eines kann: ins Internet. Geräte darin sehen weder Ihren Server noch Ihre Arbeitsplätze, und in der Regel nicht einmal einander. Ihr Besucher merkt davon nichts, er surft wie überall. Für Sie ist der Unterschied grundlegend: Die Tür zum Firmennetz ist zu. Dazu lässt sich das Gäste-Netz getrennt regeln, etwa mit einer Begrenzung der Geschwindigkeit, damit ein Video-Download im Wartebereich Ihre Videokonferenz nicht ausbremst, oder mit einem täglich wechselnden Passwort, das am Empfang ausgedruckt liegt.

Was ein Gäste-WLAN nicht ist: ein zweiter Router neben dem ersten. Diese Lösung sieht man oft, und sie funktioniert nur scheinbar, weil beide Geräte am Ende meist im selben Netz hängen. Die Trennung muss im Netzwerk selbst stattfinden, nicht durch ein zweites Gerät.

Dasselbe Prinzip für Server, Telefone und den Smart-TV

Die Trennung, die Besucher aus dem Firmennetz hält, lohnt sich auch innerhalb des Betriebs. Ein Netz für die Arbeitsplätze, eines für Server, eines für Telefone, eines für alles, was sonst noch am Netz hängt und selten Updates bekommt: Kameras, Zutrittssysteme, der Fernseher im Besprechungsraum, Maschinen mit Netzwerkanschluss. Diese getrennten Netze heißen VLANs, und sie laufen über dieselben Kabel und dieselben Access Points wie heute. Es muss nichts neu verlegt werden.

Der Nutzen zeigt sich im Ernstfall. Wird ein Arbeitsplatz von Erpressungssoftware befallen, bleibt sie im Netz der Arbeitsplätze und kommt nicht direkt an den Server oder an die Datensicherung heran. Fällt ein alter Netzwerkdrucker mit einer Sicherheitslücke auf, ist er in seinem Netz isoliert, statt ein Einfallstor für alles andere zu sein. Und die Telefone haben ein eigenes Netz mit Vorrang, damit Gespräche nicht stocken, wenn jemand eine große Datei herunterlädt.

Was Sie vorher klären sollten

Drei Fragen entscheiden über den Aufwand. Erstens: Was hängt heute alles im Netz? Die Liste ist fast immer länger als gedacht, und genau die Geräte, an die niemand denkt, sind die, die ein eigenes Netz brauchen. Zweitens: Kann Ihre heutige Technik das? Ein Router vom Internetanbieter kann meist ein Gäste-WLAN, aber keine echte Trennung im Haus; dafür braucht es Switches und Access Points, die VLANs beherrschen. Für kleine und mittlere Büros setzen wir auf UniFi, bei mehreren Standorten oder höheren Anforderungen auf Cisco Meraki. Drittens: Wer muss von wo auf was zugreifen? Der Drucker muss aus dem Arbeitsplatznetz erreichbar sein, der Server auch, der Fernseher nicht. Diese Regeln legen wir vorher mit Ihnen fest, damit am ersten Tag nichts fehlt, was vorher ging.

Wie wir vorgehen

Im kostenlosen Erstgespräch sehen wir uns Ihr Netz an, auf Wunsch vor Ort mit Blick auf Router, Switches und Access Points. Sie bekommen eine Liste, was heute im Netz hängt und wie eine sinnvolle Trennung aussieht, meist drei bis fünf Netze, nicht fünfzehn. Die Umstellung planen wir außerhalb Ihrer Arbeitszeit und dokumentieren danach jedes Netz und jedes Gerät. Über DCOSO Remote Guard halten wir die Firmware der Netzwerkgeräte aktuell und sehen, wenn ein neues Gerät im falschen Netz auftaucht. Was sonst zu einem sauberen Netz gehört, von der Ausleuchtung bis zur Standortvernetzung, steht auf unserer Seite zu Netzwerk und WLAN.

Eine Frage zum Schluss: Welches Passwort bekommt ein Besucher bei Ihnen, wenn er nach dem WLAN fragt? Wenn es dasselbe ist wie das Ihrer Mitarbeiter, ist ein Gäste-Netz der nächste Schritt.

Illustration: mit KI erstellt.