Firmen-WLAN sinnvoll trennen: Gäste, Mitarbeitende und Geräte

Mit Nutzern, Geräten und Anwendungen beginnen

Erfassen Sie zuerst, wer das WLAN nutzt: verwaltete Notebooks und Telefone, private Geräte, Gäste sowie Drucker, Scanner, Gebäudetechnik oder andere Spezialgeräte. Notieren Sie außerdem, welche internen Anwendungen, Cloud-Dienste und Internetziele jede Gruppe tatsächlich benötigt.

Aus diesem Inventar entsteht ein Sollbild. Ein Gast benötigt meist Internetzugang, aber keinen Zugriff auf interne Dateidienste. Ein Drucker muss vielleicht von einem bestimmten Mitarbeiternetz erreichbar sein, benötigt jedoch keinen freien Zugang zu anderen Endgeräten. Solche konkreten Beziehungen sind hilfreicher als eine pauschale Einteilung in vertrauenswürdig und nicht vertrauenswürdig.

Netze nach Zweck statt nur nach SSID trennen

Eigene WLAN-Namen für Mitarbeitende, Gäste und Geräte schaffen zunächst Ordnung. Die eigentliche Trennung entsteht jedoch erst im Netz dahinter: Die SSIDs werden geeigneten Netzsegmenten zugeordnet, und Router oder Firewall erzwingen die erlaubten Übergänge. Eine zusätzliche SSID ohne getrennte Weiterleitung und Filterregeln ist noch keine belastbare Sicherheitszone.

Formulieren Sie für jedes Segment wenige verständliche Regeln. Das Gästenetz darf beispielsweise nur die notwendigen Basisdienste und das Internet erreichen. Ein Gerätenetz erhält nur die Verbindungen, die für Verwaltung, Updates oder den vorgesehenen Dienst erforderlich sind. Zugriffe zwischen Segmenten werden bewusst freigegeben und dokumentiert, nicht beiläufig durch eine zu breite Regel ermöglicht.

Verschlüsselung und Anmeldung zum Gerätebestand passend wählen

Das BSI schließt im IT-Grundschutz Verfahren aus, die schwächer als WPA2 sind. WPA3 kann dort eingesetzt werden, wo Access Points und Endgeräte es zuverlässig unterstützen. Prüfen Sie vor einer Umstellung insbesondere ältere oder spezialisierte Geräte und planen Sie für unvermeidbare Altgeräte ein eng begrenztes Übergangssegment statt eines allgemeinen Rückfalls auf schwache Einstellungen.

Für ein kleines Gästenetz kann ein getrenntes, regelmäßig erneuertes Kennwort praktikabel sein. Im Mitarbeiternetz erleichtern individuelle Zugänge über 802.1X und einen abgesicherten Authentisierungsdienst das Einrichten und Sperren einzelner Personen oder Geräte. Entscheidend ist nicht das Schlagwort Enterprise, sondern ein vollständig geplanter Ablauf für Aufnahme, Zertifikate oder Anmeldedaten, Gerätewechsel und Austritt.

Access Points, Verwaltung und Uplink mit einbeziehen

Die Funkverschlüsselung schützt die Luftschnittstelle, nicht automatisch die Administration oder die kabelgebundene Anbindung eines Access Points. Ändern Sie deshalb voreingestellte Zugänge, administrieren Sie Komponenten über geschützte Verbindungen und begrenzen Sie den Zugriff auf Controller und Managementschnittstellen. Öffentlich erreichbare Access Points benötigen zusätzlich einen angemessenen physischen Schutz.

Halten Sie fest, wer Firmware, Konfiguration, Zertifikate, Netzregeln und Störungen betreut. Eine zentrale Managementlösung kann bei mehreren Access Points helfen, ersetzt aber keine geprüfte Basiskonfiguration. Konfigurationsänderungen sollten nachvollziehbar sein und eine Wiederherstellung der letzten funktionierenden Einstellungen ermöglichen.

Die Trennung aus Sicht echter Geräte prüfen

Prüfen Sie die Regeln mit repräsentativen Geräten aus jedem Segment. Ein Gast sollte das Internet nutzen können, aber weder interne Server noch Drucker erreichen. Ein spezialisiertes Gerät sollte seine vorgesehenen Dienste erreichen, jedoch keine unnötigen Ziele. Im Mitarbeiternetz müssen die benötigten Anwendungen funktionieren, ohne dass dafür pauschal alle internen Verbindungen geöffnet werden.

Kontrollieren Sie neben Erreichbarkeit auch DNS, Zeitabgleich, Updates, Roaming und die Anmeldung nach einem Gerätewechsel. Messen Sie Abdeckung und Leistung an typischen Arbeitsplätzen. Dokumentieren Sie Abweichungen zwischen Soll und Ist; ein erfolgreicher Verbindungstest an einem einzigen Standort belegt weder vollständige Trennung noch ausreichende Funkabdeckung.

Zugänge und Regeln dauerhaft pflegen

Ein WLAN-Konzept altert mit jedem neuen Gerät und jeder geänderten Anwendung. Planen Sie deshalb regelmäßige Prüfungen der Komponenten, Firmwarestände, Netzzuordnungen und Firewallregeln. Suchen Sie außerdem nach unbekannten oder nicht freigegebenen Access Points und gleichen Sie die Ergebnisse mit dem dokumentierten Sollbestand ab.

Definieren Sie einen einfachen Ablauf für Sicherheitsvorfälle: Wer kann eine einzelne SSID oder einen Access Point sperren, wer bewertet betroffene Geräte und wie werden Zugänge erneuert? Ein geübter Ablauf hilft mehr als ein umfangreiches Dokument, das im Störungsfall niemand findet.

Checkliste für die WLAN-Trennung

• Nutzergruppen, Gerätetypen, Anwendungen und notwendige Ziele erfassen.
• Mitarbeitende, Gäste und Spezialgeräte geeigneten Segmenten zuordnen.
• Übergänge mit nachvollziehbaren Router- oder Firewallregeln begrenzen.
• Verschlüsselung und Anmeldung mit allen relevanten Endgeräten testen.
• Managementzugänge, Firmware, Konfigurationssicherung und Zuständigkeit festlegen.
• Erreichbarkeit, Abdeckung und Trennung regelmäßig aus jedem Segment prüfen.