Firmen-WLAN: mehr als eine Fritzbox im Flur
Firmen-WLAN richtig planen: Ausleuchtung, Roaming und VLAN-Trennung, WPA3-Enterprise statt PSK, rechtssicheres Gäste-WLAN und der Ausbau in 5 Schritten.
- Ein Firmen-WLAN ist ein geplantes Funknetz aus mehreren zentral verwalteten Access Points mit getrennten Netzbereichen für Firmengeräte, Gäste und IoT – kein vergrößertes Heimnetz.
- Das BSI führt den WLAN-Betrieb im IT-Grundschutz als eigenen Baustein (NET.2.1): Planung, Inbetriebnahme und Regelbetrieb sind dort als Aufgaben einer Institution beschrieben, nicht als Router-Einstellung.
- Sicherheit entsteht durch Trennung: eigene VLANs für Büro, Gäste und IoT, mit Firewall-Regeln dazwischen statt nur einem Häkchen „Gastzugang“ im Router.
- WPA3 ist seit der Wi-Fi-Alliance-Zertifizierung Pflicht für neue Geräte; für Unternehmen ist WPA3-Enterprise mit individueller Anmeldung dem gemeinsamen Passwort (PSK) überlegen, weil sich einzelne Zugänge sperren lassen.
- Ab etwa 20 Mitarbeitenden und drei bis vier Access Points übersteigt der Betrieb das, was nebenher erledigt wird – dann lohnt ein zentral verwaltetes, betreutes Netzwerk.
Inhalt9 Abschnitte
Das Firmen-WLAN ist der wohl unterschätzteste Teil der Unternehmens-IT. Solange es läuft, denkt niemand darüber nach – bis im hinteren Büro nichts mehr geht, das Gäste-Tablet plötzlich im Firmennetz hängt oder eine Sicherheitslücke auffliegt. Der Grund ist fast immer derselbe: Das Firmen-WLAN wurde wie ein größeres Heimnetz behandelt. Ein Router in den Flur, ein Passwort für alle, fertig. Das reicht nicht. Dieser Beitrag zeigt, worauf es bei einem professionellen Firmen-WLAN wirklich ankommt – und wie Sie es in fünf Schritten aufbauen.
Firmen-WLAN ist keine Fritzbox-Denke
Ein Firmen-WLAN ist ein geplantes Funknetz aus mehreren zentral verwalteten Access Points, das getrennte Netzbereiche für Firmengeräte, Gäste und IoT bereitstellt und jeden Nutzer einzeln authentifiziert. Der entscheidende Unterschied zum Heimnetz liegt in der Größenordnung und in den Anforderungen. Ein Heim-Router bedient eine Wohnung und eine Handvoll Geräte. Ein Firmen-WLAN muss mehrere Räume oder Etagen lückenlos ausleuchten, dutzende oder hunderte Geräte gleichzeitig tragen und dabei sicher bleiben. Drei Anforderungen stechen hervor:
- Ausleuchtung: Mehrere aufeinander abgestimmte Access Points statt eines einzelnen Senders – geplant, nicht geraten.
- Roaming: Wer mit dem Laptop durchs Gebäude geht, soll unterbrechungsfrei vom einen zum nächsten Access Point wechseln.
- Zentrale Verwaltung: Alle Access Points werden gemeinsam konfiguriert und überwacht, nicht einzeln.
Dass das eine eigene Disziplin ist, sieht man daran, wie das Bundesamt für Sicherheit in der Informationstechnik das Thema einordnet: Im IT-Grundschutz gibt es dafür einen eigenen Baustein, NET.2.1 WLAN-Betrieb. Er beschreibt, wie WLANs in einer Institution aufgebaut und betrieben werden – Planung, Inbetriebnahme, Regelbetrieb. Nicht als Router-Einstellung, sondern als Betriebsaufgabe mit Verantwortlichen, Regeln und Dokumentation. Die Grundlagen zur sicheren Konfiguration von Router und WLAN hat das BSI zusätzlich in seinen Sicherheitsempfehlungen zusammengefasst.
| Anforderung | Heim-Router | Firmen-WLAN |
|---|---|---|
| Abdeckung | ein Gerät, eine Wohnung | mehrere Access Points, gemessene Ausleuchtung |
| Gerätezahl | eine Handvoll | dutzende bis hunderte gleichzeitig |
| Anmeldung | ein Passwort für alle | individuelle Anmeldung je Person (WPA3-Enterprise) |
| Netztrennung | Häkchen „Gastzugang“ | eigene VLANs bis in den Switch, Regeln dazwischen |
| Sender-Wechsel | Gerät bleibt am ersten Sender hängen | gesteuertes Roaming ohne Gesprächsabriss |
| Verwaltung | Weboberfläche je Gerät | zentrale Verwaltung, Monitoring, Updates |
| Ausfall | jemand steckt neu ein | überwacht, Ersatzgerät und Zuständigkeit definiert |
Der Unterschied ist damit weniger eine Frage der Hardware als eine Frage des Betriebs. Ein guter Access Point in einer schlecht geplanten Umgebung liefert ein schlechteres Ergebnis als ein durchschnittlicher an der richtigen Stelle.
Was ein Firmen-WLAN in der Praxis ausbremst
Wenn ein WLAN als „langsam“ gemeldet wird, liegt es selten an der Bandbreite des Internetanschlusses. Vier Ursachen tauchen bei Bestandsaufnahmen immer wieder auf:
- Zu wenige oder falsch platzierte Access Points. Ein Sender im Flur muss durch Wände arbeiten, die er nicht durchdringt. Stahlbeton, Brandschutztüren und metallbedampfte Fenster dämpfen deutlich stärker als Trockenbau.
- Zu viele Access Points auf denselben Kanälen. Im 2,4-GHz-Band überlappen sich die Kanäle; drei dicht beieinander funkende Geräte stören sich gegenseitig mehr, als sie helfen. Das 5-GHz-Band bietet mehr störungsfreie Kanäle, reicht dafür weniger weit.
- Der Uplink fehlt. Ein Access Point ist nur so gut wie das Kabel dahinter. Ohne PoE-fähigen Switch und ausreichende Verkabelung wird jede Funkplanung zur Theorie.
- Alte Firmware. Access Points sind vollwertige Netzwerkgeräte mit eigenem Betriebssystem. Ohne regelmäßige Updates sammeln sich Schwachstellen an – ein Punkt, den auch das Patch-Management im Mittelstand betrifft.
Der häufigste Befund bei Bestandsaufnahmen: Das WLAN-Passwort steht seit Jahren auf einem Zettel am Empfang, und der „Gastzugang“ des Routers hängt technisch im selben Netz wie Drucker und NAS. Beides zusammen bedeutet, dass jeder Besucher der letzten Jahre bis heute Zugriff auf interne Geräte hat.
Trennung ist Sicherheit: das VLAN-Prinzip
Der wichtigste Sicherheitsgewinn im Firmen-WLAN entsteht durch Trennung. Nicht jedes Gerät gehört ins selbe Netz. Über sogenannte VLANs (virtuell getrennte Netze) lassen sich verschiedene Bereiche sauber voneinander abschotten:
- Büro-Netz: die verwalteten Firmengeräte mit Zugriff auf interne Ressourcen.
- Gäste-Netz: Besucher und Privatgeräte – nur Internet, kein Zugriff nach innen. Wo Mitarbeitende eigene Geräte mitbringen, gehört das zu einer klaren BYOD-Regelung.
- IoT-Netz: Drucker, Kameras, Zeiterfassung, smarte Geräte, die erfahrungsgemäß Sicherheitslücken mitbringen und selten Updates bekommen.
Der Sinn: Wird ein Gerät in einem Netz kompromittiert, bleibt der Schaden dort. Ein infiziertes Gäste-Notebook kann so nicht auf die Buchhaltung zugreifen. Entscheidend ist dabei, dass die Trennung nicht am Access Point endet: Das VLAN muss über den Switch bis zur Firewall durchgezogen sein, die dann regelt, welcher Bereich mit welchem sprechen darf. Genau diese Denkweise – nichts ist erlaubt, weil es im selben Netz steckt – ist der praktische Einstieg in Zero Trust.
Segmentierung ist einer der wirksamsten und günstigsten Sicherheitsbausteine überhaupt, weil sie keine zusätzliche Lizenz kostet, sondern eine Konfigurationsentscheidung ist. Sie taucht deshalb in fast jeder IT-Sicherheits-Checkliste für KMU weit oben auf.
WPA3-Enterprise statt gemeinsamem Passwort
Bei der Verschlüsselung gilt: WPA3 ist der aktuelle Standard. Die Wi-Fi Alliance, die die Zertifizierung vergibt, schreibt WPA3 für Wi-Fi-CERTIFIED-Geräte verbindlich vor; veraltete Protokolle sind in WPA3-Netzen ausgeschlossen und geschützte Management-Frames (PMF) sind für neu zertifizierte Geräte Pflicht. Geräte, die Sie heute kaufen, können WPA3 also – die Frage ist, ob Ihr Netz es auch nutzt.
Wichtiger als die Version ist aber die Art der Anmeldung. Ein gemeinsames Passwort für alle (PSK, Pre-Shared Key) hat einen Haken: Scheidet ein Mitarbeiter aus, kennt er das Passwort weiter – man müsste es für alle ändern, also auf jedem Handy, jedem Drucker und jedem Laptop neu eintragen. In der Praxis passiert das nie. Bei WPA3-Enterprise meldet sich stattdessen jeder Nutzer individuell an, gegen die zentrale Benutzerverwaltung. Vorteile:
- Einzelne Zugänge lassen sich gezielt sperren, ohne alle anderen zu stören.
- Die Anmeldung ist an die Identität gebunden, nicht an ein weitergereichtes Passwort.
- Es ist nachvollziehbar, wer sich wann und mit welchem Gerät verbindet.
- Der Zugang endet mit dem Konto – das WLAN wird Teil des Offboardings statt ein vergessener Nebenschauplatz.
Für Firmengeräte lässt sich das noch einen Schritt weiterdenken: Statt eines Passworts bekommt jedes verwaltete Gerät ein Zertifikat, das über die Geräteverwaltung ausgerollt wird. Dann meldet sich das Notebook an, ohne dass jemand etwas eintippt – und ein fremdes Gerät kommt selbst mit gültigen Zugangsdaten nicht hinein.
Ob Sie 5 oder 500 Mitarbeitende haben — einem automatisierten Massenangriff ist das egal. Der verschlüsselt Sie, weil er kann. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGründer
Gäste-WLAN rechtssicher aufsetzen
Ein Gäste-WLAN ist praktisch – aber es gehört strikt getrennt und sauber aufgesetzt. Das BSI beschreibt in seiner Anleitung Schritt für Schritt zum Gäste-WLAN, warum das zweite Netz sinnvoll ist: Schadsoftware auf einem Gästegerät erreicht das eigentliche Netz nicht, Rechte und Bandbreite lassen sich begrenzen, und auch unsichere smarte Geräte sind dort besser aufgehoben als im Hauptnetz. Für Unternehmen kommen drei Punkte dazu:
- Der Netzname verrät nichts. Keine Rückschlüsse auf Router-Modell, Standort oder Personen.
- Kein Zugriff nach innen, auch nicht auf Drucker. Der Drucker gehört ins IoT-Netz, nicht ins Gästenetz – sonst ist die Trennung an der praktischsten Stelle wieder aufgehoben.
- Verbindungsdaten sind personenbezogene Daten. Wer Gäste über ein Portal anmeldet und Zugriffe protokolliert, verarbeitet personenbezogene Daten und braucht dafür einen Zweck, eine Aufbewahrungsfrist und einen Eintrag im Verarbeitungsverzeichnis. Wie sich das im Betrieb nachweisen lässt, zeigt der Bereich Sicherheit & Compliance.
Für rein offene Netze – etwa im Wartebereich – gibt es inzwischen eine bessere Alternative zum passwortlosen Funkloch: Wi-Fi Enhanced Open verschlüsselt die Übertragung auch ohne Passwort, sodass niemand im selben Raum einfach mitlesen kann. Wer Homeoffice und mobiles Arbeiten absichert, findet die ergänzenden Bausteine im Ratgeber zur IT-Sicherheit im Homeoffice; für den Zugriff von unterwegs auf interne Systeme bleibt ein VPN die passende Ergänzung, nicht das Gäste-WLAN.
Ausbau in 5 Schritten
So gehen Sie ein Firmen-WLAN strukturiert an:
- Bedarf aufnehmen. Fläche, Etagen, Nutzerzahl, Gerätearten und kritische Bereiche – dazu die Frage, wo Videokonferenzen und Telefonie über WLAN laufen sollen.
- Ausleuchtung planen. Zahl und Position der Access Points bestimmen, idealerweise gemessen statt geschätzt. Parallel klären, ob Verkabelung und PoE-Budget der Switches reichen.
- Netze trennen. VLANs für Büro, Gäste und IoT festlegen und die Regeln zwischen ihnen an der Firewall definieren – bevor das erste Gerät hängt.
- Sicherheit konfigurieren. WPA3-Enterprise mit Anbindung an die Benutzerverwaltung, geschützte Management-Frames, eigenes Gästeportal, zentrale Verwaltung.
- Betreiben und überwachen. Firmware-Updates, Monitoring der Auslastung, Nachjustieren bei Umbauten und neuen Räumen. Ein WLAN ist ein Zustand, kein Projekt.
Der vierte Schritt fällt am häufigsten hinten runter, weil er unsichtbar ist: Ein Netz mit PSK funktioniert genauso wie eines mit Enterprise-Anmeldung – bis jemand geht. Eine schnelle Standortbestimmung, was sonst noch offen ist, liefert der IT-Sicherheits-Check.
Wann sich ein betreutes Netzwerk lohnt
Ab einer gewissen Größe wird das eigenständige Verwalten mehrerer Access Points, VLANs und Zugangsregeln aufwendig und fehleranfällig. Als Faustregel aus der Praxis: Ab etwa 20 Mitarbeitenden und drei bis vier Access Points ist das nichts mehr, was jemand nebenher macht. Der häufigste Einwand lautet „das können wir intern lösen“ – und stimmt oft sogar, solange die eine Person da ist, die es kann. Fällt sie aus, kündigt oder hat Urlaub, kennt niemand die Kanalplanung, das RADIUS-Zertifikat oder das Admin-Passwort des Controllers.
Dann lohnt ein zentral verwaltetes, betreutes Netzwerk: Ein Dienstleister plant, konfiguriert und überwacht das WLAN, hält es aktuell und dokumentiert es. Bei kjello ist das Netzwerk – zusammen mit der Firewall – als eigenes Paket verfügbar und wird im Portal neben den übrigen gebuchten Leistungen geführt.
Die Kosten teilen sich damit in zwei Blöcke: die Portal- und Betreuungs-Flatrate je Nutzer und das Modul für Netzwerk und Firewall, das sich nach Fläche, Standorten und Gerätezahl richtet.
Der Rechenweg ist unspektakulär, aber ehrlich: Ein halber Tag Störungssuche im WLAN kostet mehr als die monatliche Betreuung – und er fällt immer dann an, wenn gerade niemand Zeit hat. Was Entscheider daran schätzen, ist selten die Technik.
Ein Ansprechpartner, eine Rechnung, alles drin. Keine zehn Verträge, keine Überraschungen.
Für Unternehmen mit eigener großer IT-Abteilung ist das nicht der richtige Zuschnitt – die betreiben ihr WLAN sinnvollerweise selbst. Der Hebel liegt beim Mittelstand mit 20 bis 250 Mitarbeitenden, wo IT zuverlässig laufen muss, aber niemand hauptberuflich Funkplanung macht.
Wir schauen uns Ausleuchtung, Netztrennung und Anmeldung an und sagen Ihnen, was zuerst dran ist. 30 Minuten, kostenlos, ohne Vertriebsdruck.
Gespräch vereinbarenFazit: geplant statt gestöpselt
Ein Firmen-WLAN, das trägt, ist kein Zufall, sondern das Ergebnis von Planung: die richtige Ausleuchtung, saubere Netztrennung bis in den Switch, WPA3-Enterprise statt geteiltem Passwort und ein getrenntes Gäste-Netz. Wer das WLAN wie ein Heimnetz behandelt, zahlt es mit Funklöchern und Sicherheitslücken – und merkt beides erst, wenn es teuer wird. Wer es plant, bekommt eine stabile, sichere Grundlage für das tägliche Arbeiten. Und wer sich das nicht selbst aufhalsen möchte, überlässt es einem betreuten Netzwerk – dann läuft das WLAN einfach, und niemand muss mehr darüber nachdenken.
Geschrieben von
Jens Hagel
Gründer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Warum reicht ein normaler Router für das Firmen-WLAN nicht aus?
Wie viele Access Points braucht ein Büro?
Muss ein Gäste-WLAN vom Firmennetz getrennt sein?
Was ist WPA3 und braucht mein Unternehmen das?
Was ist Roaming im WLAN und warum bricht die Verbindung ab?
Was kostet ein professionelles Firmen-WLAN?
Kostenlos zum Mitnehmen · PDF · Selbstcheck
IT-Grundschutz-Checkliste für den Mittelstand
25-Punkte-Selbstcheck: Wo steht Ihre IT-Sicherheit wirklich?
Netzwerk & Firewall als Modul
Ein sicheres Firmennetz beginnt an der Grenze: kjello betreut Firewall und Netzwerk als Modul – vom WLAN bis zum Gäste-Zugang, zentral verwaltet.
