WLAN im Unternehmen sicher betreiben

Ein neues Notebook kann sich nicht mit dem Firmen-WLAN verbinden, eine Besucherin braucht kurzfristig Internetzugang und ein ehemaliger Dienstleister kennt möglicherweise noch den Netzwerkschlüssel: Solche Alltagssituationen zeigen, warum WLAN-Sicherheit mehr ist als ein langes Passwort. Ein Unternehmens-WLAN muss Identitäten prüfen, Daten schützen und Zugriffe zuverlässig voneinander trennen. Andernfalls wird das Funknetz schnell zum unkontrollierten Zugang zum internen Netzwerk.

WLAN als Teil der Sicherheitsarchitektur behandeln

WLAN ist kein isolierter Komfortdienst. Jeder Access Point erweitert die Angriffsfläche des Unternehmens, weil Funksignale über Büroräume hinausreichen können. Deshalb gehören Planung, Betrieb und Überwachung des WLANs in die allgemeine Sicherheitsarchitektur.

Die wichtigsten Ziele sind klar:

• Nur berechtigte Personen und verwaltete Geräte erhalten Zugang zu internen Ressourcen.
• Die Kommunikation zwischen Endgerät und WLAN-Infrastruktur ist zeitgemäss verschlüsselt.
• Gäste, private Geräte und IoT-Komponenten können nicht auf sensible Unternehmenssysteme zugreifen.
• Administrationszugänge sind besonders geschützt und nachvollziehbar.
• Zugriffsrechte lassen sich bei Rollenwechseln oder Austritten zügig entziehen.

Wichtig ist dabei eine realistische Risikobetrachtung. In einem kleinen Büro mit wenigen verwalteten Geräten gelten andere Anforderungen als in einer Organisation mit mehreren Standorten, Schichtbetrieb, Produktionsanlagen oder vielen externen Gästen. Die grundlegenden Schutzprinzipien bleiben jedoch gleich.

WPA3 einsetzen und Verschlüsselung richtig konfigurieren

Für neue WLAN-Installationen sollte WPA3 der Standard sein. WPA3 verbessert den Schutz gegenüber älteren Verfahren und erschwert insbesondere bestimmte Angriffe auf schwache Kennwörter. Entscheidend ist aber die passende Betriebsart.

Für Unternehmensnetze ist WPA3-Enterprise die beste Wahl. Dabei authentifizieren sich Nutzende oder Geräte individuell, typischerweise über einen RADIUS-Server und 802.1X. Der grosse Vorteil: Du musst keinen gemeinsamen WLAN-Schlüssel an alle Mitarbeitenden verteilen. Wenn jemand das Unternehmen verlässt oder ein Gerät verloren geht, kann der einzelne Zugang gesperrt werden, ohne dass sämtliche anderen Geräte neu eingerichtet werden müssen.

WPA3-Personal mit einem gemeinsamen Kennwort kann für kleine, klar begrenzte Umgebungen sinnvoll sein, etwa für ein separates Netz mit wenigen dedizierten Geräten. Für das zentrale Mitarbeiter-WLAN ist diese Variante langfristig jedoch schwer zu verwalten. Jeder, der das Kennwort kennt, kann sich grundsätzlich anmelden. Bei Personalwechseln oder einem vermuteten Abfluss des Kennworts ist ein vollständiger Wechsel erforderlich.

Achte zusätzlich auf diese Einstellungen:

• Aktiviere Protected Management Frames, sofern Infrastruktur und Endgeräte dies unterstützen. Diese Funktion schützt bestimmte Verwaltungsinformationen im WLAN besser vor Manipulation.
• Deaktiviere veraltete Sicherheitsverfahren wie WEP und WPA. Auch WPA2 mit dem alten TKIP-Verfahren gehört nicht mehr in eine aktuelle Konfiguration.
• Vermeide einen dauerhaft offenen Kompatibilitätsmodus, der ältere und schwächere Verfahren zulässt. Wenn Übergangsphasen unvermeidbar sind, dokumentiere sie, begrenze sie zeitlich und prüfe betroffene Geräte.
• Aktualisiere Firmware und Sicherheitsupdates für Access Points, WLAN-Controller und RADIUS-Infrastruktur regelmässig.
• Prüfe, ob die eingesetzten Endgeräte WPA3 tatsächlich unterstützen. Nicht jedes ältere Gerät lässt sich sicher in ein modernes Unternehmens-WLAN integrieren.

Bei WPA3-Enterprise ist auch die Wahl und Konfiguration der EAP-Authentifizierung relevant. Zertifikatsbasierte Verfahren bieten in vielen Umgebungen eine robuste Grundlage, setzen aber ein gutes Zertifikatsmanagement voraus. Endgeräte müssen den richtigen Authentifizierungsserver prüfen. Werden Zertifikatswarnungen von Nutzenden einfach bestätigt, verliert dieser Schutz erheblich an Wirkung.

Mitarbeiternetz, Gästenetz und Spezialgeräte trennen

Ein Gästenetz darf nicht nur einen anderen Namen tragen. Es muss technisch vom internen Unternehmensnetz getrennt sein. Die SSID, also der sichtbare WLAN-Name, ist keine Sicherheitsgrenze. Entscheidend sind VLANs, Firewall-Regeln und eine saubere Netzsegmentierung.

Ein sinnvoll aufgebautes WLAN besteht häufig aus mehreren logisch getrennten Bereichen:

Netzbereich	Typische Geräte	Zulässiger Zugriff
Mitarbeiternetz	Verwaltete Notebooks, Smartphones	Definierte interne Dienste und Internet
Gästenetz	Besuchende, externe Meetings	Ausschliesslich Internetzugang
Gerätemetz	Drucker, Scanner, Konferenzsysteme	Nur notwendige Verwaltungs- und Dienstverbindungen
Administrationsnetz	Netzwerkadministration	Zugriff auf Management-Schnittstellen nach Least Privilege

Im Gästenetz sollte der Zugriff auf interne IP-Adressbereiche, Server, Drucker, Verwaltungsoberflächen und andere Gäste blockiert sein. Diese sogenannte Client-Isolation reduziert das Risiko, dass ein kompromittiertes oder unsicheres Gastgerät andere Geräte im selben Funknetz angreift. Auch der Zugriff auf Router- und Access-Point-Verwaltung muss aus dem Gästenetz grundsätzlich ausgeschlossen sein.

Bei IoT-Geräten ist besondere Vorsicht angebracht. Viele Geräte erhalten selten Updates, unterstützen keine moderne Authentifizierung oder kommunizieren unnötig weit im Netzwerk. Lege sie daher nicht ins Mitarbeiternetz. Definiere stattdessen sehr gezielt, welche Ziele sie erreichen müssen, etwa einen Druckserver, einen Cloud-Dienst oder eine Management-Plattform. Alles andere wird per Firewall gesperrt.

Die Trennung muss regelmässig getestet werden. Prüfe nicht nur die Konfiguration im Controller, sondern auch aus Sicht eines verbundenen Geräts: Kann ein Gast wirklich keine internen Systeme erreichen? Sind Dienste wie Netzwerkfreigaben, Namensauflösung und Verwaltungszugänge abgeschottet? Solche Tests sind defensiv und gehören zum regulären Betrieb.

Kennwörter, Identitäten und Gerätezugänge verwalten

Ein starkes WLAN-Kennwort allein ist kein vollständiges Sicherheitskonzept. Dennoch bleibt es wichtig, besonders bei WPA3-Personal, für einzelne Geräte oder für Notfallzugänge. Verwende lange, zufällige und einzigartige Kennwörter. Gut geeignet sind zufällig erzeugte Passphrasen oder Kennwörter aus einem zentralen Passwortmanager.

Vermeide diese häufigen Fehler:

• Ein WLAN-Schlüssel wird jahrelang nicht geändert.
• Derselbe Schlüssel wird für Mitarbeiter-, Gäste- und Gerätemetz verwendet.
• Kennwörter werden in Chatgruppen, Tickets oder auf Papier weitergegeben.
• Ein ehemaliger Mitarbeitender behält weiterhin gültige Zugänge.
• Das Administrationskennwort eines Access Points entspricht dem WLAN-Kennwort.

Administrationskonten verdienen einen höheren Schutz als normale WLAN-Zugänge. Nutze individuelle Konten statt gemeinsam verwendeter Administratorzugänge, aktiviere MFA, beschränke die Administration auf definierte Management-Netze und protokolliere Änderungen. Standardkennwörter müssen vor der Inbetriebnahme ersetzt werden. Nicht benötigte Cloud-Verwaltung, Fernwartung oder lokale Verwaltungsdienste sollten deaktiviert oder auf notwendige Quellnetze beschränkt werden.

Bei einer 802.1X-Umgebung sollte die Vergabe von Zugriffsrechten mit dem Identitätsmanagement verbunden sein. Idealerweise werden Zugänge automatisch entzogen, wenn ein Benutzerkonto deaktiviert wird. Für Geräte ohne Benutzerkonto können eigene Gerätezertifikate oder kontrollierte Geräteidentitäten eingesetzt werden. So bleibt nachvollziehbar, welches Gerät wann verbunden war.

Typische Fehler im Unternehmens-WLAN vermeiden

Viele Sicherheitsprobleme entstehen nicht durch fehlende Technik, sondern durch unklare Verantwortlichkeiten und Ausnahmen, die nie wieder überprüft werden. Die folgende Übersicht hilft bei der Priorisierung.

Typischer Fehler	Risiko	Bessere Vorgehensweise
Gemeinsames Kennwort für alle	Zugang bleibt nach Austritten bestehen	WPA3-Enterprise mit individuellen Identitäten einsetzen
Gästenetz ohne Firewall-Trennung	Gäste erreichen interne Systeme	Eigenes VLAN und restriktive Firewall-Regeln konfigurieren
WPS ist aktiviert	Vereinfachte Kopplung erhöht die Angriffsfläche	WPS dauerhaft deaktivieren
Alte Access-Point-Firmware	Bekannte Schwachstellen bleiben offen	Update-Prozess mit Verantwortlichen etablieren
Offene Admin-Oberfläche im gesamten Netz	Unbefugte können Verwaltungszugänge erreichen	Management-Zugriff segmentieren und mit MFA schützen
Unbekannte private Access Points	Schatten-IT und unkontrollierte Funknetze	Beschaffung regeln, Funkumgebung überwachen und Geräte inventarisieren

Auch die Reichweite verdient Aufmerksamkeit. Eine zu hohe Sendeleistung kann dazu führen, dass das Unternehmens-WLAN weit über die benötigten Bereiche hinaus empfangbar ist. Eine Funkplanung hilft, Versorgung und Sicherheit in Einklang zu bringen. Das Ziel ist nicht, das Signal vollständig unsichtbar zu machen, sondern unnötige Reichweite und Funklöcher zu vermeiden.

Das Verbergen einer SSID ist dagegen kein wirksamer Schutz. Der Netzwerkname kann weiterhin technisch ermittelt werden, und die Massnahme erschwert oft nur die Verwaltung. Investiere stattdessen in starke Authentifizierung, Segmentierung und Monitoring.

Betrieb, Überwachung und regelmässige Prüfung

WLAN-Sicherheit ist eine Daueraufgabe. Halte eine aktuelle Dokumentation bereit: Access Points, Standorte, Firmwarestände, SSIDs, VLAN-Zuordnung, Authentifizierungsverfahren, Verantwortlichkeiten und Ausnahmen. Ohne diese Übersicht ist es schwierig, Risiken schnell einzuordnen oder bei Störungen sauber zu reagieren.

Überwache sicherheitsrelevante Ereignisse, beispielsweise ungewöhnlich viele fehlgeschlagene Anmeldungen, neue oder nicht autorisierte Access Points, Änderungen an Konfigurationen und auffällige Client-Verbindungen. Je nach Infrastruktur lassen sich solche Informationen in ein SIEM einbinden. Wichtig ist nicht, möglichst viele Protokolle zu sammeln, sondern Alarme mit klaren Zuständigkeiten und Reaktionsabläufen zu verbinden.

Führe ausserdem regelmässige Konfigurationsprüfungen durch. Prüfe dabei Verschlüsselung, Firmware, Gastnetztrennung, Administratorrechte, Zertifikatslaufzeiten und nicht mehr benötigte Konten. Ein professioneller Penetrationstest kann zusätzlich bewerten, ob die vorgesehenen Schutzmassnahmen in der Praxis greifen. Solche Sicherheitstests dürfen ausschliesslich mit ausdrücklicher schriftlicher Beauftragung, klar definiertem Scope und abgestimmten Regeln erfolgen. Ohne Auftrag sind Tests an fremden Netzen rechtswidrig. Diese Einordnung ersetzt keine Rechtsberatung.

Wenn du dein Wissen zu Netzwerk- und WLAN-Sicherheit systematisch vertiefen möchtest, findest du passende IT-Security-Seminare und Termine bei uns auf cmt.de.