Gäste-WLAN im Betrieb: Kundschaft ins Internet, nicht ins Firmennetz

In vielen Betrieben gibt es genau ein WLAN, und dessen Passwort kennen inzwischen alle: die Mitarbeiter, die Monteure, der Steuerberater beim Besuch und die Kundschaft im Wartebereich. Dasselbe Netz trägt aber auch den Server, das Kassensystem und die Buchhaltung. Damit sitzt jeder Gast technisch im selben Raum wie Ihre Firmendaten. Das ist unnötig – und in wenigen Minuten behoben.

Warum ist ein gemeinsames WLAN ein Risiko?

In einem normalen Netzwerk kann grundsätzlich jedes Gerät jedes andere erreichen. Das ist praktisch, wenn der PC auf den Netzwerkdrucker zugreifen soll – aber gefährlich, sobald fremde Geräte dazukommen. Das Smartphone eines Gastes kann verseucht sein, ohne dass der Besitzer davon weiß. Ein solches Gerät kann im selben Netz nach offenen Freigaben suchen, das NAS ansprechen oder Schwachstellen am Router ausnutzen.

Dazu kommt: Sie geben mit dem Passwort dauerhaft Zugriff. Wer es einmal hat, kommt auch beim nächsten Besuch wieder ins Netz – oder gibt es weiter. Ein Passwortwechsel bedeutet dann, dass alle Firmengeräte neu verbunden werden müssen. Genau diesen Ärger vermeidet ein zweites, getrenntes Netz.

Was bringt ein separates Gäste-WLAN konkret?

Ein Gäste-WLAN ist ein eigenes Funknetz mit eigenem Namen und eigenem Passwort, das vom Firmennetz abgeschottet ist. Der entscheidende Punkt ist die Isolierung: Gäste kommen ins Internet, aber nicht an interne Geräte – und je nach Einstellung auch nicht aneinander.

• Fremde Geräte bleiben außen vor: Kasse, Server, NAS, Drucker und Büro-PCs sind für Gäste schlicht unsichtbar.
• Kein Passwort-Karussell: Sie können das Gastpasswort jederzeit ändern, ohne ein einziges Firmengerät anzufassen.
• Weniger Datenschutz-Angriffsfläche: Wer Kunden- oder Patientendaten verarbeitet, muss den Zugriff darauf begrenzen. Ein offenes gemeinsames WLAN ist das Gegenteil.

Ein kurzer Hinweis zur oft gestellten Frage nach Haftung: Die früher gefürchtete „Störerhaftung“ für offene Netze wurde in Deutschland 2017 abgeschafft. Sie müssen also nicht fürchten, für das Surfverhalten Ihrer Gäste belangt zu werden. Beim Gäste-WLAN geht es heute nicht um Abmahnungen, sondern um Sicherheit – das ist der eigentliche Grund, es einzurichten.

Wie richte ich ein Gäste-WLAN ein?

Fast jeder aktuelle Router bringt die Funktion ohne Zusatzkosten mit – bei der FRITZ!Box heißt sie schlicht „Gastzugang“, bei UniFi oder anderen Business-Systemen „Guest Network“. Der Ablauf ist überall ähnlich:

1. Gastzugang aktivieren und einen eigenen Netznamen (SSID) vergeben, zum Beispiel „Betrieb-Gast“. So ist für alle klar, welches Netz gemeint ist.
2. Isolierung einschalten. Die entscheidende Option heißt je nach Gerät „Gäste dürfen untereinander nicht kommunizieren“ oder „Zugriff aufs Heimnetz sperren“. Ohne diesen Haken ist das Gastnetz nur halb getrennt.
3. Eigenes Passwort vergeben – auf keinen Fall dasselbe wie im Firmen-WLAN. Nutzen Sie ein sicheres, aber gut abtippbares Passwort; ein aufgedruckter QR-Code am Empfang erspart das Diktieren.
4. Verschlüsselung prüfen: WPA2 ist Pflicht, WPA3 besser. Ein völlig offenes Gastnetz ohne Passwort sollten Sie vermeiden.
5. Optional Zeit- und Bandbreitenlimit setzen, damit Downloads im Gastbereich nicht die Arbeit ausbremsen und der Zugang sich abends automatisch trennt.

Bei größeren Betrieben mit mehreren Access Points lohnt eine sauberere Lösung über sogenannte VLANs – getrennte virtuelle Netze auf derselben Hardware. Das ist etwas aufwendiger einzurichten, trennt Gast und Betrieb aber auch dann zuverlässig, wenn mehrere Funkzellen im Einsatz sind.

Was ist mit Firmengeräten, die „ins Internet, aber nicht ins Netz“ sollen?

Ein häufiger Nebenfall: Geräte wie smarte Thermostate, eine WLAN-Waage in der Praxis oder der vernetzte Fernseher im Besprechungsraum brauchen Internet, haben im Firmennetz aber nichts verloren. Solche Geräte gehören ebenfalls ins Gäste- beziehungsweise ein separates IoT-Netz. So bleibt Ihr eigentliches Arbeitsnetz klein und übersichtlich – und ein unsicheres Billiggerät kann keinen Schaden an den wichtigen Systemen anrichten.

Unser Rat

Prüfen Sie zuerst, ob Ihr vorhandener Router bereits ein Gäste-WLAN mit Isolierung bietet – meist fehlt nur ein Häkchen. Vergeben Sie einen klaren Netznamen, ein eigenes Passwort und schalten Sie die Isolierung ausdrücklich ein; erst damit ist die Trennung echt und nicht nur kosmetisch. Denken Sie auch an smarte Zusatzgeräte, die ins Gastnetz gehören. Erst wenn Ihr Router das alles nicht kann oder mehrere Access Points im Spiel sind, lohnt der Blick auf eine VLAN-Struktur.

Wenn Sie dabei Unterstützung brauchen, trennen wir Firmen- und Gastnetze bei Betrieben in der Region Reutlingen–Tübingen sauber auf – vom einfachen Häkchen bis zur echten VLAN-Struktur. Wie Sie Zugänge zusätzlich absichern, lesen Sie unter Zwei-Faktor-Authentifizierung; warum ein langsames WLAN oft ganz andere Ursachen hat, steht unter WLAN langsam.