Firmen-WLAN für kleine & mittlere Unternehmen: Warum Gäste nicht überall mitreden müssen

Ein Gäste-WLAN ist keine Trennung, wenn dahinter trotzdem alle im selben Netz hängen. Stellen Sie sich Ihr Firmennetz wie ein Gebäude mit mehreren Räumen vor: Empfang, Büro, Serverraum, Lager. In vielen kleinen Netzwerken gibt es diese Räume aber gar nicht – es gibt nur einen einzigen großen Raum, in dem Gäste-Laptop, Buchhaltungs-PC, Drucker und Server nebeneinanderstehen.

Diese vier Gruppen haben sehr unterschiedliche Vertrauensstufen. Ein Gastgerät kennen Sie nicht und sollten ihm auch nicht vertrauen müssen. Mitarbeitergeräte brauchen Zugriff auf interne Systeme. Drucker und andere vernetzte Geräte können schlechter abgesichert sein als klassische Arbeitsplätze und sollten deshalb nicht automatisch dieselben Zugriffe erhalten. Der Server enthält im Zweifel die wichtigsten Daten im Haus. All das in einem gemeinsamen Netz laufen zu lassen bedeutet: Wenn eine Gruppe kompromittiert wird, sind potenziell alle betroffen.

Netzwerksegmentierung bedeutet, diese Gruppen voneinander zu trennen, sodass ein Gastgerät den Server im Normalfall gar nicht erreichen kann – nicht, weil es sich „nett verhält“, sondern weil die Netzstruktur diesen Weg nicht vorsieht. Das ist kein Misstrauen gegenüber Gästen oder Mitarbeitern, sondern schlicht eine Frage der Reichweite im Schadensfall. Sicher ist dadurch nicht automatisch alles, aber der mögliche Schaden bleibt begrenzter.

Segmentierung klingt nach großem Rechenzentrum, lässt sich aber auch in einem kleinen Betrieb mit überschaubarem Aufwand umsetzen: separate WLAN-Netze mit eigenen VLANs, klare Regeln, welches Netz mit welchem sprechen darf, und ein Gästezugang, der wirklich isoliert ist. Es geht nicht darum, jede verfügbare Sicherheitsfunktion einzubauen, sondern darum, die naheliegenden Lücken zu schließen.

Ein zweiter, oft unterschätzter Punkt ist die reine Funkabdeckung. Ein einzelner Access Point in der Ecke des Gebäudes erzeugt tote Zonen, in denen Mitarbeiter sich mühsam ins Mobilfunknetz flüchten. Eine saubere Ausleuchtung mit mehreren, sauber platzierten Access Points löst dieses Problem strukturell, statt es mit einem weiteren Repeater notdürftig zu überdecken.

Am Ende zählt vor allem, dass jemand im Betrieb versteht, wie das eigene Netz aufgebaut ist – nicht nur die Person, die es vor fünf Jahren einmal eingerichtet hat und inzwischen nicht mehr erreichbar ist.