Ein Gästenetz gehört getrennt vom internen Netz: eigene Zugangskontrolle, kurze Mietdauer für Adressen und ein Captive Portal, das den Zugang nachvollziehbar macht.
Besucher, Dienstleister, Lieferanten: Irgendwann steht ein fremdes Gerät im WLAN. Solange dieses Gerät im selben Bereich liegt wie Buchhaltung und Dateiserver, öffnet der Gastweg auch den Weg nach innen. Ein Gäste-WLAN löst das, wenn es getrennt gebaut wird und nicht nur als zweiter Netzwerkname auf dem Router.
Dieser Beitrag zeigt, welche Regeln ein Gästenetz trägt, welche Begriffe dabei fallen und wo die Grenze eines Verbrauchergeräts liegt.
WLAN trägt mehr als Surfen
In einem Unternehmen trägt das WLAN mehr als Internetzugang: Gäste, Kollegen aus dem Homeoffice, Telefone, Kameras und Kassensysteme hängen daran. Fällt der Funk im Besprechungsraum aus, bleiben Termine und Warenwirtschaft stehen. Je mehr Geräte über Funk laufen, desto wichtiger wird die Trennung der Netze. Das Gästenetz wird dabei oft zur Notlösung über den Router.
Das IT-Grundschutz-Kompendium, Edition 2023, trennt dafür die Bausteine NET.2.1 WLAN-Betrieb, NET.2.2 WLAN-Nutzung und NET.3.4 Network Access Control. Für die Anbindung von IoT-Geräten kommt der Baustein SYS.4.4 Allgemeines IoT-Gerät hinzu.
Gästenetz und internes Netz: warum die Trennung zählt
Die Trennung wirkt an zwei Stellen. Sie nimmt einem Gast die Sicht auf interne Dienste, und sie begrenzt den Weg eines kompromittierten Gastgeräts. Im Gästenetz selbst läuft weiterhin der komplette Datenverkehr – auch der, den niemand liest.
| Aspekt | Gästenetz | Internes Netz |
|---|---|---|
| Zugang | Captive Portal, Zugangsdaten oder Freigabe durch die Verwaltung | 802.1X mit RADIUS oder Kennwort je Gerät |
| Sichtbarkeit | Kein Zugriff auf interne Netze, keine internen Namen sichtbar | Vollständiger Zugriff im Rahmen der Rollen |
| Adressen | Eigener Adressbereich, kurze Mietdauer | Feste Bereiche je Abteilung und Server |
| Updates | Nicht zentral aktualisierbar, Geräte gehören Fremden | Zentrale Update-Regel je Gerätegruppe |
| Protokollierung | Anmeldung und Zeitfenster, keine Inhalte | Vollständige Protokolle für den Vorfall |
Fünf Regeln für ein getrenntes Gästenetz
- 1
Eigenes VLAN für Gäste, getrennt vom Mitarbeiternetz und von allen IoT-Geräten.
- 2
Captive Portal mit Zugangsdaten, damit die Anmeldung nachvollziehbar bleibt.
- 3
AP-Isolation: Gästegeräte sehen sich untereinander nicht.
- 4
Kurze Mietdauer für Adressen, damit das Netz nach dem Besuch wieder frei ist.
- 5
Keine Verbindung ins interne Netz – die Firewall-Regeln werden wie beim Büro-VLAN dokumentiert.
Captive Portal, Mietdauer, AP-Isolation: was die Begriffe bedeuten
Die drei Begriffe aus der Gästeregeln beschreiben jeweils einen anderen Teil derselben Sache:
- 1
Captive Portal: die Anmeldeseite, die ein Gast zuerst sieht, bevor er surfen kann. Sie kann Zugangsdaten, ein Formular oder einen Code verlangen.
- 2
Mietdauer (DHCP-Lease): die Zeit, für die eine Adresse vergeben wird. Eine kurze Mietdauer räumt das Netz nach dem Besuch auf, weil die Adressen schnell wieder frei werden.
- 3
AP-Isolation: die Einstellung, mit der sich Geräte am selben Access Point nicht untereinander erreichen. Ein Gast kann damit weder das Notebook des Nachbarn anpingen noch dessen Dateien sehen.
802.1X mit RADIUS: Zugangskontrolle je Gerät
Im Mitarbeiternetz ersetzt ein Kennwort am Access Point die Kontrolle am Gerät: Jeder Gerätetyp bekommt ein eigenes Profil, und wir protokollieren jeden Zugang. Für Gäste ist 802.1X meist zu viel Aufwand, für interne Geräte lohnend sich. Das IT-Grundschutz-Kompendium führt dazu den Baustein NET.3.4 Network Access Control. Welche Variante für Ihr Netz passt, hängt davon ab, wie viele Geräte unterwegs sind und wie lange der Bestand im Einsatz bleibt.
Rechtliche Hinweise für das Gästenetz
Ein offenes Gästenetz ohne Bedingungen ist eine Einladung. Üblich sind Nutzungsbedingungen, die der Gast beim Anmelden bestätigt, sowie ein Hinweis auf die Protokollierung der Anmeldung. Inhalte der Verbindungen gehören dabei nicht protokolliert. Welche Angaben Sie im Netzwerkprotokoll selbst aufbewahren müssen, hängt vom Zweck ab und ist eine Frage für Ihre Rechtsabteilung.
WeiterführendNetzwerksegmentierung für KMU: flaches Netz und getrennte Netze im VergleichFritzbox oder Enterprise-Netz
Für ein Gästenetz mit wenigen Geräten reicht ein Verbrauchergerät als Einstieg. Sobald IoT-Geräte, Gäste und interne Arbeitsplätze in einem Netz laufen, trägt die Konfiguration im Router die Regeln nicht mehr. Ein Switch mit zentraler Verwaltung setzt VLANs, Portregeln und Update-Fenster an einer Stelle um.
| Kriterium | Verbrauchergerät | Enterprise-Netz |
|---|---|---|
| Gästenetz mit VLAN | eingeschränkt, je nach Modell | je Gerät getrennt konfigurierbar |
| Zentrale Verwaltung aller Geräte | nicht vorhanden | eine Oberfläche für alle Geräte |
| Update-Regel je Gerätegruppe | manuell je Gerät | zentral mit Wartungsfenster |
| Protokolle für den Vorfall | begrenzt | vollständig je Segment |
| Wachstum über mehrere Standorte | jeder Standort einzeln | einheitliche Konfiguration |
Passende Leistungen
Begriffe aus diesem Beitrag
Managed Network & Wireless
Managed Network & Wireless betreut die Kommunikation im Unternehmen: Router, Switches, Firewalls, WLAN und die Anbindung ans Internet.
Netzwerksegmentierung
Netzwerksegmentierung teilt das Netz eines Unternehmens in getrennte Bereiche, damit ein Angreifer nicht von einem System aus auf alle anderen zugreifen kann.
Firewall
Eine Firewall filtert Netzwerkverkehr an einer Grenze nach festgelegten Regeln: Was darf hinein, was darf hinaus, was wird protokolliert.
Häufige Fragen zum Gäste-WLAN
Alle Fachbegriffe dieser Seite sind einmal abschließend erklärt – im Glossar mit 50 IT-Begriffen.
Wir prüfen gemeinsam, ob Ihr Gästenetz heute schon getrennt ist – und wo die Gäste an Ihren internen Netzen vorbeikommen.
Gäste-WLAN prüfen lassenThemen
Themenfeld
Netzwerk & WLAN für KMU