WLAN-Sicherheit im Büro: Gastnetz, WPA3 und SSID-Trennung richtig umsetzen
Ein unsicheres WLAN ist eine offene Tür ins Unternehmensnetz. Gastnetz, WPA3 und SSID-Trennung sind keine Kür, sondern die Basis professioneller WLAN-Sicherheit im Büro.
Warum WLAN-Sicherheit im Büro unterschätzt wird
In vielen mittelständischen Unternehmen läuft das WLAN seit Jahren unangetastet. Ein Passwort, ein Netzwerk, alles drauf. Mitarbeiter, Gäste, Drucker, IP-Kameras. Alle im selben Netz. Was praktisch klingt, ist aus Sicherheitssicht ein erhebliches Risiko.
Das BSI empfiehlt eine konsequente Netzwerksegmentierung, um Angriffsbewegungen innerhalb des Unternehmensnetzes einzuschränken. Fehlt diese Trennung, können sich Angreifer nach einem erfolgreichen Zugriff deutlich leichter im Netzwerk ausbreiten. Ein Angreifer, der sich Zugang zum WLAN verschafft, bewegt sich in einem flachen Netz ungehindert: von Gästegerät zu Dateiserver, von IP-Kamera zu internem System.
Drei Maßnahmen bilden die Grundlage professioneller WLAN-Sicherheit im Büro: ein sauber abgetrenntes Gastnetz, der Einsatz von WPA3 und eine durchdachte SSID-Struktur.
Gastnetz: Mehr als nur ein zweites Passwort
Ein Gastnetz ist keine Komfort-Funktion, es ist eine Sicherheitsmaßnahme. Wer Besuchern, Kunden oder Dienstleistern WLAN-Zugang gewährt, sollte sicherstellen, dass diese Geräte das interne Netz nicht sehen können.
Ein professionell eingerichtetes Gastnetz basiert auf zwei Grundprinzipien:
VLAN-Trennung
Das Gastnetz erhält ein eigenes virtuelles Netzwerksegment (VLAN). Gastnetzverkehr und interner Netzverkehr werden auf Netzwerkebene strikt getrennt. Gäste kommen ins Internet, aber nicht an interne Server, Drucker, Dateiablagen oder andere Unternehmensressourcen.
Wichtig: Ein einfacher Gastmodus am Router, der nur ein zweites WLAN-Passwort bereitstellt, aber keine echte Netzwerktrennung umsetzt, ist keine ausreichende Lösung. Die Trennung sollte technisch über VLANs umgesetzt und bis in die Switching- und Firewall-Infrastruktur konsequent durchgesetzt werden.
Client Isolation
Zusätzlich zur VLAN-Trennung sollte Client Isolation aktiviert werden. Diese Funktion verhindert, dass Geräte im Gastnetz untereinander kommunizieren können. Ein kompromittiertes Gerät kann sich so nicht lateral zu anderen Gästen bewegen.
Was ein sauber konfiguriertes Gastnetz leisten sollte:
- Kein Zugriff auf interne Server, NAS, Drucker oder Verwaltungsoberflächen
- Kein Routing ins interne Netz durch die Firewall
- Client Isolation aktiviert
- Bandbreitenbegrenzung, um das interne Netz nicht zu belasten
- Optional: Captive Portal mit Nutzungsbedingungen und DSGVO-konformer Protokollierung
WPA3: Der aktuelle Sicherheitsstandard
WPA3 ist seit 2018 der Nachfolger von WPA2 und seit Juli 2020 für alle Wi-Fi-zertifizierten Geräte verpflichtend. Seit Wi-Fi 7 ist WPA3 zudem zwingend für den Betrieb im 6-GHz-Band.
Was WPA3 gegenüber WPA2 verbessert
Der wichtigste Unterschied liegt in der Authentifizierung: WPA3-Personal ersetzt das bisherige WPA2- Pre-Shared-Key-Handshake-Verfahren durch SAE (Simultaneous Authentication of Equals). SAE verhindert Offline-Wörterbuchangriffe, bei denen Angreifer einen aufgezeichneten Handshake offline gegen Passwortlisten testen. SAE handelt für jede Verbindung individuelle kryptografische Sitzungsschlüssel aus.
Weitere Verbesserungen:
- Forward Secrecy: Vergangene Sitzungen bleiben auch dann verschlüsselt, wenn ein langfristiger Schlüssel später kompromittiert wird
- Protected Management Frames (PMF): In WPA3 verpflichtend. Schützt vor Deauthentifizierungsangriffen
- OWE (Opportunistic Wireless Encryption): Verschlüsselt auch offene Netze ohne Passwort. Relevant für Gastnetze ohne Zugangscode
WPA3-Personal vs. WPA3-Enterprise
WPA3-Personal ist für kleinere Unternehmen und Gastnetze ausreichend. WPA3-Enterprise kombiniert WPA3 mit 802.1X-Authentifizierung über einen RADIUS-Server: Jeder Nutzer erhält individuelle Zugangsdaten, ein kompromittiertes Passwort gefährdet nicht das gesamte Netz. Für Unternehmen mit hohen Sicherheits- oder Compliance-Anforderungen, etwa im regulierten Umfeld oder im Rahmen eines Informationssicherheitskonzepts, ist WPA3-Enterprise die empfehlenswerte Lösung.
Kompatibilität
WPA3 ist rückwärtskompatibel. Im Übergangsmodus können WPA2- und WPA3-Geräte gleichzeitig betrieben werden, WPA2-Geräte bleiben dabei jedoch weiterhin anfällig. Viele Geräte, die vor 2019 auf den Markt kamen, unterstützen WPA3 nicht oder nur eingeschränkt.
SSID-Trennung: Struktur ist Sicherheit
Die SSID ist nicht nur der sichtbare Name eines WLANs, sie ist der Ankerpunkt für Netzwerksegmentierung, Zugriffsrichtlinien und Sicherheitsregeln.
Wie SSID-Trennung in der Praxis funktioniert
Jede SSID wird einem eigenen VLAN zugeordnet. Das Mitarbeiternetz läuft auf VLAN 10, das Gastnetz auf VLAN 20, IoT-Geräte auf VLAN 30. Die Firewall setzt die Regeln durch: Was darf aus dem Gastnetz ins interne Netz routen? In einer sauber konfigurierten Umgebung: nichts.
Praxisempfehlungen:
- Maximal drei bis fünf SSIDs: jede SSID erzeugt Beacon-Traffic und belastet den Funkkanal
- Keine internen Informationen im SSID-Namen: kein Firmenname, kein Gebäudeteil, keine Etage
- Klare Benennung für Gäste, z.B. 'Gastnetz'
- SSID verstecken bringt keine Sicherheit: versteckte SSIDs sind für jeden WLAN-Scanner in Sekunden sichtbar
- MAC-Filterung ist kein verlässlicher Schutz: MAC-Adressen lassen sich leicht fälschen
IoT-Geräte separat segmentieren
Drucker, IP-Kameras und Smart-TVs gehören in ein eigenes Netzwerksegment, getrennt vom Mitarbeiternetz. IoT-Geräte werden nach dem Kauf selten gepatcht und haben häufig bekannte Sicherheitslücken. Ein eigenes IoT-VLAN ohne direkten Internetzugang soweit dies die jeweilige Anwendung zulässt – außer für gezielte Cloud-Dienste – ist eine der wirkungsvollsten WLAN-Hygiene-Maßnahmen.
Verbreitete Fehler in der Praxis
In der Praxis begegnen uns in mittelständischen Unternehmen immer wieder dieselben Konfigurationsfehler:
- Gastnetz aktiviert, aber keine echte VLAN-Trennung konfiguriert
- WPA2 als einzige Verschlüsselung, obwohl die Hardware WPA3 unterstützen würde
- IoT-Geräte im selben Netz wie Mitarbeitergeräte
- Access Points mit veralteter Firmware und bekannten Sicherheitslücken
Fazit:
WLAN-Sicherheit im Büro ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Gastnetz mit VLAN-Trennung, WPA3 als Verschlüsselungsstandard und eine saubere SSID-Struktur sind die drei Grundbausteine, auf denen alles weitere aufbaut.
Wer diese Grundlagen nicht gesetzt hat, öffnet Angreifern einen Weg ins interne Netz, oft ohne es zu bemerken. Für eine professionelle WLAN-Infrastruktur im Mittelstand setzen wir auf Omada-Lösungen von TP-Link mit nativer VLAN-Unterstützung, WPA3-Kompatibilität und zentralem WIDS/WIPS-Monitoring.
Sie möchten wissen, wie Ihr aktuelles WLAN aufgestellt ist? Sprechen Sie uns an.
