Ein Besucher fragt nach dem WLAN-Passwort, ein externer Dienstleister muss kurz online arbeiten oder Bewerber warten im Besprechungsraum auf ihr Gespräch. Solche Situationen gehören zum Arbeitsalltag. Einen WLAN-Gastzugang sicher einrichten bedeutet dabei mehr, als ein zweites Funknetz mit einem anderen Kennwort anzulegen. Entscheidend ist, dass Gäste zuverlässig ins Internet kommen, aber niemals Zugang zu internen Systemen, Geräten oder Daten erhalten.
Für kleine und mittelständische Unternehmen ist ein sauber konfiguriertes Gastnetz eine überschaubare, aber wirksame Sicherheitsmaßnahme. Es reduziert Risiken, entlastet Mitarbeitende und sorgt für einen professionellen Eindruck. Voraussetzung ist, dass die Trennung technisch tatsächlich durchgesetzt wird – nicht nur über den Namen des WLANs.
Warum ein separates Gäste-WLAN notwendig ist
Im internen WLAN befinden sich meist weit mehr Systeme als Laptops und Smartphones: Drucker, NAS-Systeme, Server, IP-Telefone, Präsentationstechnik, Zeiterfassung, Gebäudeautomation oder Geräte aus der Produktion. Viele dieser Systeme sind nicht dafür vorgesehen, von beliebigen Geräten im Netzwerk angesprochen zu werden.
Ist ein Gast mit dem gleichen Netzwerk verbunden wie Mitarbeitende, kann sein Gerät interne Adressen finden und Dienste erreichen. Das gilt auch dann, wenn das WLAN-Kennwort nur an vertrauenswürdige Besucher weitergegeben wird. Ein kompromittiertes Smartphone, ein unsicher konfigurierter Laptop oder Schadsoftware auf einem Gerät reichen aus, um unnötige Angriffsflächen zu schaffen.
Ein separates WLAN schützt außerdem den laufenden Betrieb. Gäste, private Smartphones und externe Partner können Bandbreite beanspruchen oder Probleme verursachen, ohne das Arbeitsnetz direkt zu beeinflussen. Besonders bei Besprechungen mit vielen Teilnehmern, Schulungen oder Wartebereichen macht sich diese Trennung schnell bemerkbar.
WLAN-Gastzugang sicher einrichten: Die technische Basis
Ein zweites WLAN mit einer eigenen SSID, etwa „Firma-Gast“, ist der sichtbare Teil der Lösung. Die eigentliche Sicherheit entsteht im Netzwerk dahinter. Das Gäste-WLAN muss einem eigenen Netzwerksegment zugeordnet sein, üblicherweise einem separaten VLAN. Dieses Segment erhält einen eigenen IP-Adressbereich und eigene Regeln auf Firewall und Netzwerkkomponenten.
Die zentrale Regel lautet: Gäste dürfen ins Internet, aber nicht in interne Netzwerke. Die Firewall muss Verbindungen vom Gastnetz zu Servern, Arbeitsplatzrechnern, Druckern, Telefonen, Verwaltungsoberflächen und anderen VLANs ausdrücklich blockieren. Erlaubt wird nur der notwendige Datenverkehr nach außen, insbesondere DNS-Anfragen und Internetzugriff.
Ein VLAN allein ist noch keine Sicherheitsgrenze. Sind auf der Firewall oder dem Router zu weit gefasste Regeln hinterlegt, kann ein Gerät aus dem Gastnetz trotz separater IP-Adresse interne Ressourcen erreichen. Deshalb sollte die Konfiguration immer anhand eines einfachen Tests geprüft werden: Kann ein Gastgerät eine interne IP-Adresse, einen Netzwerkdrucker oder die Weboberfläche eines Switches erreichen? Die Antwort muss Nein sein.
Verwaltungszugänge konsequent sperren
Besonders häufig wird vergessen, die Management-Oberflächen von Router, Firewall, Access Points, Switches oder NAS-Systemen abzuschotten. Diese Systeme dürfen nicht aus dem Gäste-WLAN erreichbar sein. Auch lokale Dienste wie Dateifreigaben, Remote-Desktop, SMB, Druckerports oder die Telefonanlage gehören auf die Sperrliste.
Bei professionellen Firewalls lässt sich dies sauber über Regeln zwischen Netzwerksegmenten abbilden. Bei einfachen Routern gibt es oft nur die Option „Gäste dürfen auf lokale Geräte zugreifen“. Diese muss deaktiviert sein. Reicht die vorhandene Hardware für eine verlässliche Trennung nicht aus, ist ein zusätzlicher Access Point keine nachhaltige Lösung. Dann sollte die Netzwerkarchitektur angepasst werden.
Geräte im Gastnetz voneinander isolieren
Neben der Trennung vom Firmennetz sollte auch die Kommunikation der Gäste untereinander eingeschränkt werden. Die Funktion heißt je nach Hersteller Client Isolation, AP Isolation oder WLAN-Client-Isolierung. Sie verhindert, dass zwei Geräte im gleichen Gastnetz direkt miteinander kommunizieren können.
Das ist sinnvoll, weil sich Besucher in der Regel nicht kennen. Ohne Isolierung könnte ein Gast theoretisch versuchen, ein anderes Gerät im Gäste-WLAN anzusprechen. Für normale Internetnutzung ist die Funktion unproblematisch. Eine Ausnahme können bewusst gemeinsam genutzte Geräte sein, etwa ein drahtloser Präsentationsadapter im Konferenzraum. Solche Systeme sollten besser in einem eigenen, kontrollierten Netzwerksegment betrieben werden, statt die Isolation für alle Gäste aufzuheben.
Verschlüsselung und Zugang passend wählen
Auch ein Gastnetz braucht eine aktuelle Verschlüsselung. WPA3-Personal ist die beste Wahl, wenn alle erwarteten Geräte damit zurechtkommen. WPA2-AES bleibt in vielen Unternehmen aus Kompatibilitätsgründen notwendig, etwa wenn ältere Geräte oder bestimmte Besuchersysteme genutzt werden. Veraltet und unsicher sind WEP sowie WPA mit TKIP – diese Verfahren sollten nicht mehr eingesetzt werden.
Ein gemeinsames, ausreichend langes Kennwort ist für viele Büros praktikabel. Es sollte nicht identisch mit dem internen WLAN-Kennwort sein und bei Bedarf geändert werden können, ohne den Betrieb zu stören. Das Kennwort gehört nicht auf einen frei zugänglichen Zettel am Empfang, wenn jeder Passant es fotografieren kann. Ein QR-Code im Besprechungsraum kann sinnvoll sein, sofern sich dort nur registrierte Besucher aufhalten.
In größeren Büros, Praxen, Veranstaltungsbereichen oder Einrichtungen mit häufig wechselnden Gästen bietet sich ein Captive Portal an. Gäste erhalten dann zeitlich begrenzte Zugangsdaten oder bestätigen Nutzungsbedingungen, bevor sie online gehen. Das schafft mehr Kontrolle, verursacht aber auch Verwaltungsaufwand. Für ein Unternehmen mit wenigen externen Besuchern pro Woche ist ein sicher getrenntes WLAN mit regelmäßig wechselndem Passwort oft die einfachere und wirtschaftlichere Lösung.
Bandbreite steuern, ohne Gäste auszubremsen
Ein Gastnetz soll nutzbar sein, aber keine geschäftskritischen Anwendungen beeinträchtigen. Deshalb empfiehlt sich eine Bandbreitenbegrenzung pro Gerät oder für das gesamte Gäste-WLAN. Videokonferenzen, Cloud-Dateien und normale Webnutzung funktionieren damit weiterhin, während einzelne Downloads oder private Streaming-Nutzung die Internetleitung nicht vollständig auslasten.
Wie streng die Begrenzung ausfällt, hängt von Anschluss und Nutzung ab. In einem Besprechungsraum mit regelmäßig hybriden Terminen wäre eine zu niedrige Grenze kontraproduktiv. In einem Wartebereich oder bei öffentlichem Gästezugang ist eine klare Begrenzung dagegen sinnvoll. Priorität sollten immer geschäftliche Dienste wie Telefonie, Microsoft 365, Cloud-Anwendungen und VPN-Verbindungen der Mitarbeitenden erhalten.
Datenschutz und Protokollierung mit Augenmaß
Bei Gäste-WLANs entstehen häufig Fragen zu Nutzungsbedingungen, Protokollierung und Datenschutz. Technisch lassen sich Verbindungsdaten umfangreich erfassen. Ob und wie lange dies zulässig, notwendig und verhältnismäßig ist, muss jedoch zum jeweiligen Unternehmen und Einsatzzweck passen.
Für die meisten kleinen Unternehmen gilt: Nur Daten erfassen, die für Betrieb, Sicherheit und Fehlersuche tatsächlich benötigt werden. Zugriffe auf Protokolle sollten begrenzt sein, Aufbewahrungsfristen dokumentiert werden. Werden E-Mail-Adressen, Namen oder Zugangscodes über ein Portal verarbeitet, gehören ein passender Datenschutzhinweis und ein abgestimmtes Verfahren dazu. Die technische Einrichtung ersetzt keine datenschutzrechtliche Prüfung bei besonderen Anforderungen.
Typische Fehler bei der Einrichtung
In der Praxis scheitert ein Gastnetz selten an der Idee, sondern an Details in der Umsetzung. Besonders kritisch sind diese Konstellationen:
- Das Gäste-WLAN nutzt zwar einen anderen Namen, landet aber im gleichen internen Netzwerk wie die Arbeitsplätze.
- Das Standardpasswort des Routers oder der Access Points wurde nie geändert und die Verwaltungsoberfläche ist aus dem Gastnetz erreichbar.
- Firewall-Regeln erlauben pauschal Verkehr zu allen internen Netzen, weil eine temporäre Ausnahme nicht wieder entfernt wurde.
- Alte Access Points erhalten keine Sicherheitsupdates mehr oder verwenden veraltete Verschlüsselungsverfahren.
- Das Gastnetz wird einmal eingerichtet, aber nach Umbauten, neuen VLANs oder einem Firewall-Wechsel nicht erneut getestet.
Auch IoT-Geräte verdienen Aufmerksamkeit. Smarte Displays, Kameras, Türsysteme oder Konferenztechnik gehören weder ins Mitarbeiter- noch ins Gastnetz, wenn sie eigenständig betrieben und verwaltet werden müssen. Ein separates Gerätesegment begrenzt mögliche Auswirkungen deutlich besser.
Einrichtung testen und dauerhaft betreiben
Nach der Konfiguration sollte ein Test mit einem echten Gastgerät erfolgen, nicht nur ein Blick in die Oberfläche. Das Gerät muss eine Internetseite aufrufen können. Gleichzeitig darf es keine internen Drucker finden, keine Dateifreigaben erreichen und keine Verwaltungsseiten öffnen. Auch ein Test nach einem Neustart des Access Points oder nach einer Firewall-Änderung ist sinnvoll.
Dokumentieren Sie SSID, VLAN-Zuordnung, IP-Bereich, Firewall-Regeln, Verantwortlichkeiten und das Verfahren für Passwortwechsel. Diese Unterlagen helfen, wenn Mitarbeitende wechseln, ein weiterer Standort hinzukommt oder bei einer Störung schnell gehandelt werden muss. Bei professionell betreuten Netzwerken gehört die regelmäßige Prüfung solcher Regeln in die laufende IT-Betreuung – nicht erst in den nächsten Sicherheitsvorfall.
Ein gutes Gäste-WLAN fällt im Alltag kaum auf: Besucher sind ohne Rückfragen online, Mitarbeitende müssen keine internen Kennwörter weitergeben und das Firmennetz bleibt geschützt. Genau diese unaufgeregte Verlässlichkeit sollte das Ziel sein.
