Gäste-WLAN im Betrieb: Gastfreundlich, ohne die Tür zum Firmennetz zu öffnen
Das WLAN-Passwort für Kunden, Handwerker und Bewerber – und alle landen im selben Netz wie Kasse und Buchhaltung? Ich zeige, wie ein sauber getrenntes Gäste-WLAN aussieht, was die FritzBox kann und wo sie aussteigt.
»Habt ihr WLAN?« Die Frage stellt der Kunde im Wartebereich, der Monteur im Keller, die Bewerberin vor dem Gespräch. Und in erstaunlich vielen Betrieben lautet die Antwort: das eine, echte WLAN-Passwort. Vom Zettel an der Pinnwand.
Dasselbe Netz, in dem die Kasse hängt. Die Buchhaltung. Der Rechner mit den Kundendaten.
Ihr Gast sitzt damit nicht im Wartebereich. Er sitzt in Ihrem Netzwerk.
Muss das so sein? Nein. Ein getrenntes Gäste-WLAN ist keine Raketentechnik. Aber es gibt ein paar Stellen, an denen zwischen gastfreundlich und fahrlässig nur ein Haken liegt.
Das eigentliche Risiko: jedes Gastgerät sieht Ihr Firmennetz
Niemand muss Sie gezielt angreifen. Es reicht ein einziges verseuchtes Handy.
Ein Szenario, wie es in jedem Betrieb passieren kann: Ein Malerbetrieb gibt einem Lieferanten das WLAN-Passwort. Auf dessen Privathandy läuft seit Wochen Schadsoftware, von der er selbst nichts weiß. Solche Programme tun, wofür sie gebaut sind: Sie schauen sich automatisch um, sobald sie in einem neuen Netz landen. Welche Geräte sind erreichbar? Gibt es Netzwerkfreigaben mit Dokumenten? Ein NAS, also den Netzwerkspeicher mit allen Firmendaten? Ein Kassensystem?
Im ungetrennten Netz lautet die Antwort auf all diese Fragen: ja, hier entlang. Das Gastgerät steht auf derselben Ebene wie Ihr Bürorechner. Es sieht jede Freigabe, jeden Drucker, jede alte Netzwerkfestplatte, deren Passwort noch »admin« lautet.
Und selbst ohne Schadsoftware gilt: Wer Ihr WLAN-Passwort einmal hat, hat es für immer. Der Praktikant von vor zwei Jahren. Der Ex-Mitarbeiter. Jeder, der den Zettel fotografiert hat.
VLAN, übersetzt: Trennwände im selben Kabel
Die Lösung trägt einen sperrigen Namen: VLAN, kurz für »virtuelles LAN«. Auf Deutsch: virtuelle Trennwände in Ihrem Netzwerk.
Stellen Sie sich Ihr Netzwerk als Gebäude vor. Bisher ist es eine einzige große Halle. Jeder, der hereinkommt, kann an jeden Schreibtisch. Mit VLANs ziehen Sie Wände ein: ein Raum für Gäste, ein Raum fürs Büro, ein Raum für die Kasse. Die Kabel bleiben dieselben, die Trennung passiert in der Konfiguration. Und die Türen zwischen den Räumen kontrolliert die Firewall. Gäste kommen ins Internet und sonst nirgendwohin.
Was die FritzBox kann und wo sie aussteigt
Die gute Nachricht: Für den einfachen Fall brauchen Sie keine neue Hardware. Fast jede FritzBox hat einen eingebauten Gastzugang. Ein Haken in den Einstellungen, und es entsteht ein zweites WLAN mit eigenem Namen und eigenem Passwort, sauber vom Rest getrennt. Gastgeräte kommen ins Internet, sehen aber weder Ihre Rechner noch Ihre Freigaben.
Für ein kleines Büro mit gelegentlichem Besuch ist das völlig in Ordnung. Mehr braucht es dort oft nicht.
Die Grenzen kommen, sobald der Betrieb wächst. Die FritzBox kennt genau zwei Welten: intern und Gast. Wer mehr Zonen braucht, etwa die Kasse getrennt vom Büro und die Kameras getrennt von beidem, stößt an die Decke. Feinere Firewall-Regeln, mehrere getrennte WLANs, Übersicht darüber, welches Gerät mit wem redet: Dafür ist das Gerät nicht gebaut. Woran das liegt und womit ich in solchen Fällen stattdessen arbeite, zeige ich Ihnen in OPNsense statt FritzBox.
So sieht eine saubere Trennung aus
Wenn ich ein Firmennetz aufräume, lande ich meistens bei drei bis vier Zonen. Nicht mehr. Komplexität, die niemand versteht, ist keine Sicherheit. Sie ist nur Komplexität.
| Zone | Was hängt drin | Darf zugreifen auf |
|---|---|---|
| Gäste | Handys von Kunden, Besuchern, Lieferanten | Nur das Internet |
| Büro | Arbeitsplätze, Drucker, Netzwerkspeicher | Internet und interne Server |
| Kasse & Zahlung | Kassensystem, EC-Terminal | Nur den Zahlungsdienstleister |
| Geräte | Kameras, smarte Technik | So wenig wie möglich |
Und so gehe ich vor, Schritt für Schritt:
- Bestandsaufnahme. Welche Geräte hängen überhaupt im Netz? Die Liste ist fast immer länger, als der Chef denkt.
- Zonen festlegen. Gemeinsam entscheiden wir, was zusammengehört und was getrennt werden muss. Siehe Tabelle.
- VLANs einrichten. Pro Zone ein eigenes Netz, bei Bedarf mit eigenem WLAN und eigenem Passwort.
- Firewall-Regeln setzen. Der wichtigste Schritt. Gäste kommen ins Internet und sonst nirgendwohin. Keine Ausnahme »nur mal kurz für den Drucker«.
- Gastzugang alltagstauglich machen. QR-Code an die Theke, fertig. Das Gäste-Passwort wechseln Sie jederzeit, ohne dass im Büro irgendetwas stehen bleibt.
- Gegenprobe. Ich verbinde mich mit dem Gästenetz und versuche, interne Geräte zu erreichen. Das Ergebnis muss langweilig sein: nichts zu sehen.
Danach läuft das Netz ohne tägliche Pflege. Wer möchte, dass ich es dauerhaft im Blick behalte, bekommt das als laufende IT-Betreuung ab 149 Euro im Monat, inklusive Updates für Router und Firewall.
Störerhaftung: entspannt bleiben
Viele Betriebe scheuen das Gäste-WLAN aus einem alten Reflex: der Angst vor Abmahnungen, wenn ein Gast über den eigenen Anschluss Unsinn macht. Diese Angst stammt aus einer anderen Zeit. Die sogenannte Störerhaftung, also die Haftung des Anschlussinhabers für fremde Rechtsverletzungen, hat der Gesetzgeber 2017 für WLAN-Betreiber weitgehend entschärft.
Das ist kein Freibrief für Gleichgültigkeit, aber auch kein Panikthema. Und vor allem kein Grund, eines dieser »rechtssicheren Hotspot-Pakete« im Monatsabo zu buchen, die mit genau dieser alten Angst verkauft werden. Vorschaltseite, Registrierung mit E-Mail-Adresse, laufende Gebühr: Davon profitiert vor allem einer, und das sind nicht Sie. Ein sauber getrenntes Gästenetz mit eigenem Passwort ist für die meisten kleinen Betriebe die ehrlichere und günstigere Lösung.
Manchmal ist kein Gästenetz die beste Lösung
Auch das gehört zur Wahrheit. Wenn bei Ihnen nie Fremde im Haus sind und niemand nach WLAN fragt, brauchen Sie kein Gästenetz. Dann geben Sie schlicht kein Passwort heraus. Das ist die sicherste Trennung von allen.
Und wenn Sie zu zweit im Büro sitzen, ohne Kasse, ohne Server, mit gelegentlichem Besuch: Setzen Sie den Gastzugang-Haken in der FritzBox, vergeben Sie ein eigenes Passwort, fertig. Dafür müssen Sie niemanden beauftragen, auch mich nicht. Ein VLAN-Projekt zu verkaufen, wo ein Haken reicht: Genau das unterscheidet Beratung von Vertrieb.
Der Fünf-Minuten-Selbsttest
Sie haben schon ein Gäste-WLAN? Gut. Dann prüfen Sie es:
- Verbinden Sie ein Handy mit dem Gästenetz. Taucht in einer Netzwerk-Scanner-App Ihr Drucker, NAS oder ein Bürorechner auf? Dann ist die Trennung keine.
- Ist das Gäste-Passwort dasselbe wie das interne? Dann haben Sie zwei Namen für ein Netz.
- Wann wurde das Passwort zuletzt geändert? »Noch nie« ist eine ehrliche, aber schlechte Antwort.
- Hängt die Kasse oder das EC-Terminal im selben Netz wie die Gäste? Das ist der dringendste Punkt auf dieser Liste.
- Wissen Sie, welche Geräte in welchem Netz hängen? Wenn nein: erst Inventur, dann Trennung.
Zweimal »ja« oder »weiß nicht«? Dann lohnt sich ein prüfender Blick. Was ich dabei genau mache, steht unter Netzwerk & Sicherheit.
Sie kennen jetzt den Unterschied zwischen einem Netz mit Trennwänden und einer offenen Halle, in der das Kundenhandy neben Ihrer Buchhaltung sitzt. Bleibt die eine Frage: Wo steht Ihr Betrieb heute? Reicht der Gastzugang-Haken in der FritzBox, oder hängt die Kasse längst im selben WLAN wie der Zettel an der Pinnwand?
Das klären wir in einem kurzen Erstgespräch, kostenlos und per Videocall, egal aus welcher Ecke Deutschlands Sie sich melden. Sie schildern mir, wer bei Ihnen nach WLAN fragt und was sonst im Netz hängt. Ich sage Ihnen, ob der Haken genügt oder ob wir echte Zonen ziehen. Und wer Ihnen das beantwortet, richtet es Ihnen anschließend auch ein. Sie reden von Anfang an mit der Person, die am Ende Ihre Firewall konfiguriert.
