Gäste-WLAN im Betrieb: Warum es vom Firmennetz getrennt sein muss

Warum muss das Gäste-WLAN vom Firmennetz getrennt sein?

Wer Gästen das WLAN-Passwort des Büros gibt, holt fremde Geräte ins Firmennetz. Diese Geräte erreichen dann dasselbe wie die Arbeitsplätze der Mitarbeiter. Drei Gründe sprechen für eine Trennung:

• Zugriff auf Firmengeräte: Im selben Netz sind Freigaben, Drucker, NAS und oft auch die Weboberflächen von Router, Telefonanlage oder Kameras erreichbar. Nicht alle davon sind gut geschützt.
• Schadsoftware von Fremdgeräten: Ob das Notebook eines Besuchers aktuell und sauber ist, weiß niemand. Ein befallenes Gerät im Firmennetz kann Schadsoftware dort weiterverbreiten.
• Bandbreite: Ein Gast, der große Updates lädt oder Videos streamt, bremst den Internetanschluss für alle. Das spüren Betriebe besonders, deren Telefonie über die Cloud läuft.

Ein Gäste-WLAN löst alle drei Probleme mit wenig Aufwand. Das BSI beschreibt den Nutzen so: Mit einem aktivierten Gäste-WLAN gibt es zwei voneinander getrennte Netze, und Gäste können im eigentlichen Netz kaum Schaden anrichten.

Haften Sie für das, was Gäste im WLAN tun?

Die Sorge vor der sogenannten Störerhaftung stammt aus der Zeit vor 2017. Wer einen Internetzugang bereitstellte, konnte für Rechtsverletzungen seiner Nutzer auf Unterlassung in Anspruch genommen werden, samt Abmahnkosten. Mit dem Dritten Gesetz zur Änderung des Telemediengesetzes vom 28. September 2017 (BGBl. I S. 3530) hat der Gesetzgeber diese Störerhaftung für WLAN-Betreiber weitgehend abgeschafft; die Regel stand damals in § 8 TMG.

Seit dem 14. Mai 2024 ist das Telemediengesetz durch das Digitale-Dienste-Gesetz (DDG) ersetzt. Die Regeln für WLAN-Betreiber finden sich dort weitgehend inhaltsgleich in § 7 DDG, und sie gelten für Unternehmen ebenso wie für Privatleute:

• Keine Haftung auf Schadensersatz oder Unterlassung: Haftet ein Anbieter, der den Zugang nur durchleitet, nach Artikel 4 des europäischen Digital Services Act nicht, kann er wegen einer rechtswidrigen Handlung eines Nutzers auch nicht auf Schadensersatz, Beseitigung oder Unterlassung in Anspruch genommen werden. Das gilt auch für die Kosten, solche Ansprüche geltend zu machen. Ausnahme: Er arbeitet absichtlich mit einem Nutzer zusammen, um rechtswidrige Handlungen zu begehen.
• Keine Pflicht zu Passwort oder Registrierung: Behörden dürfen WLAN-Betreiber nicht verpflichten, vor der Nutzung persönliche Daten zu erheben, ein Passwort zu verlangen oder das Angebot dauerhaft einzustellen. Freiwillig sind solche Maßnahmen erlaubt.
• Auch bei kostenlosem Zugang: Die Regeln gelten auch dann, wenn das WLAN unentgeltlich angeboten wird.

Zwei Einschränkungen bleiben. Erstens kann ein Rechteinhaber nach § 8 DDG verlangen, dass der Betreiber die Nutzung bestimmter Informationen sperrt, um eine Wiederholung zu verhindern, wenn über den Zugang geistiges Eigentum verletzt wurde und es keine andere Abhilfe gibt. Die Sperrung muss zumutbar und verhältnismäßig sein; die vor- und außergerichtlichen Kosten für diesen Anspruch muss der Betreiber grundsätzlich nicht erstatten. Zweitens geht eine Abmahnung nach Einschätzung der Verbraucherzentrale in der Regel trotzdem zuerst an den Betreiber, der dann darlegen muss, dass er die Verletzung nicht selbst begangen hat.

Dieser Abschnitt beschreibt die Rechtslage in Grundzügen und ersetzt keine Rechtsberatung. Ob in Ihrem Fall Besonderheiten gelten, klärt eine Rechtsanwältin oder ein Rechtsanwalt.

Wie richten Sie ein Gäste-WLAN technisch ein?

Welche Variante passt, hängt von der Zahl der Gäste, der Größe der Räume und der vorhandenen Technik ab:

Unabhängig von der Variante gehören diese Einstellungen dazu:

• Client-Isolation: Geräte im Gästenetz können sich nicht gegenseitig erreichen. Ein befallenes Gerät kann dann die anderen Gäste nicht angreifen.
• Bandbreitenbegrenzung: Das Gästenetz bekommt nur einen Teil der Leitung, damit Telefonie und Arbeit Vorrang haben.
• Verschlüsselung: Das BSI empfiehlt mindestens WPA2, wenn möglich WPA3. Ein offener Hotspot ohne Kennwort ist bequem, die Funkverbindung ist dann aber in der Regel unverschlüsselt.
• Langes Passwort und Wechsel: Das BSI rät für das Gäste-WLAN zu mindestens 20 zusammenhanglosen Zeichen, weil Gäste das Passwort nur einmal eingeben. Wechseln Sie es in festen Abständen. Ein QR-Code am Empfang erspart das Abtippen.
• Keine Verwaltung aus dem Gästenetz: Die Oberflächen von Router, Firewall und Access Points sind aus dem Gästenetz nicht erreichbar.

Wohin gehören Kameras, Maschinen und andere vernetzte Geräte?

Nicht nur Gäste gehören aus dem Büronetz heraus. Überwachungskameras, Zeiterfassungsterminals, Maschinensteuerungen, Klimatechnik und smarte Geräte hängen häufig lange im Netz, und nicht jedes dieser Geräte lässt sich so einfach aktualisieren wie ein PC. Das BSI empfiehlt schon Privathaushalten, smarte Geräte wie Saugroboter, Rollladensteuerungen oder Türklingeln in ein separates Netz einzubinden. Für einen Betrieb gilt das erst recht:

• Eigenes Netz: Kameras und Maschinen bekommen ein eigenes VLAN, getrennt von Büro und Gästen.
• Nur nötige Verbindungen: Die Firewall erlaubt nur, was der Hersteller dokumentiert, etwa die Verbindung zum Aufzeichnungsgerät oder zu seinem Cloud-Dienst.
• Keine Portfreigaben: Wer die Kamera von unterwegs sehen will, geht über VPN statt über einen offenen Port.
• Inventar: Jedes Gerät steht mit Standort, Zugangsdaten und Ansprechpartner beim Hersteller in der Dokumentation.

Im kleinsten Fall kann das Gästenetz des Routers auch die smarten Geräte aufnehmen, so wie es das BSI für Haushalte vorschlägt. Dann teilen sich aber Gäste und Kameras ein Netz. Sauberer sind getrennte Netze für Gäste und Geräte, und dafür reicht ein Router mit nur einem Gastnetz nicht. Wann sich deshalb eine Firewall lohnt, beschreibt der Ratgeber Reicht die Fritzbox?. Für Werkstätten mit Maschinen und Kameras steht mehr im Ratgeber IT für Handwerksbetriebe.

Was kostet ein Gäste-WLAN?

Feste Preise nennen wir nicht, weil sie von Gebäude, vorhandener Technik und Zahl der Gäste abhängen. Die Kostentreiber lassen sich aber klar benennen:

• Gastzugang des Routers: Er ist in vielen Routern schon eingebaut. Es fällt nur die Arbeitszeit für Einrichtung und Test an.
• Eigenes VLAN mit eigener SSID: Access Points und Switches müssen VLANs beherrschen, und eine Firewall muss die Regeln zwischen den Netzen durchsetzen. Ist diese Technik schon vorhanden, bleibt es bei der Einrichtung; sonst kommt Hardware hinzu.
• Anmeldeseite oder Zugangscodes: Manche WLAN-Systeme bringen das mit, bei anderen braucht es dafür eine zentrale Verwaltung oder eine zusätzliche Lizenz.
• Getrennter Internetanschluss: ein zweiter Vertrag mit monatlichen Kosten, dafür keinerlei Verbindung zum Firmennetz.
• Ausleuchtung: Soll das WLAN mehrere Räume oder Etagen abdecken, bestimmt die Zahl der nötigen Access Points den Aufwand stärker als die Frage nach dem Gästenetz.

Für ein kleines Büro ist der Gastzugang des vorhandenen Routers deshalb meist der richtige Anfang. Mehr Aufwand lohnt sich, wenn viele Gäste kommen, das Gebäude groß ist oder weitere Netze für Kameras und Maschinen gebraucht werden.

Checkliste für ein Gäste-WLAN im Betrieb

Prüfen Sie die Trennung nach der Einrichtung selbst: Verbinden Sie ein Smartphone mit dem Gäste-WLAN und versuchen Sie, den Drucker oder eine Freigabe im Büro zu erreichen. Klappt das, ist die Trennung nicht wirksam. Diese Punkte sollten erledigt sein:

• Gästenetz vom Firmennetz getrennt, Zugriff auf Freigaben und Drucker getestet und gesperrt
• Kein Zugriff auf die Oberflächen von Router, Firewall und Access Points aus dem Gästenetz
• Client-Isolation eingeschaltet
• Verschlüsselung mit WPA2 oder WPA3, Passwort mit mindestens 20 zusammenhanglosen Zeichen
• Bandbreite für Gäste begrenzt
• Passwortwechsel in festen Abständen, der nächste Termin steht im Kalender
• Kameras, Maschinen und smarte Geräte in einem eigenen Netz, nicht im Büronetz
• Das Passwort des Firmen-WLANs kennt nur, wer es braucht; Gäste bekommen es nie
• Einrichtung und Zugangsdaten in der Dokumentation