WLAN-Sicherheit verbessern mit 8 Maßnahmen

Ein ungesichertes oder über Jahre gewachsenes Unternehmens-WLAN fällt im Alltag selten auf – bis ein unbekanntes Gerät im Netz auftaucht, eine Besprechung wegen Verbindungsproblemen stockt oder sensible Daten den falschen Weg nehmen. Wer die WLAN-Sicherheit verbessern möchte, sollte deshalb nicht nur das Kennwort austauschen. Entscheidend sind ein klares Zugriffsmodell, sauber getrennte Netze und ein Betrieb, der Veränderungen nachvollziehbar macht.

Gerade im Mittelstand verbindet das WLAN heute weit mehr als Notebooks: Smartphones, Konferenztechnik, Drucker, Scanner, Lagergeräte und zunehmend auch Sensorik nutzen dieselbe Infrastruktur. Damit wird das Funknetz zu einem Teil der zentralen Sicherheitsarchitektur. Die folgenden acht Maßnahmen helfen, Risiken realistisch zu reduzieren, ohne die Arbeitsfähigkeit unnötig einzuschränken.

WLAN-Sicherheit verbessern beginnt mit einer Bestandsaufnahme

Bevor Einstellungen geändert werden, braucht es Transparenz. Viele Unternehmen kennen zwar ihre Access Points, aber nicht alle verbundenen Endgeräte, eingerichteten WLAN-Namen oder administrativen Zugänge. Häufig finden sich noch alte Gastnetze, nicht mehr benötigte Zugriffsrechte oder Geräte mit werkseitigen Kennwörtern.

Dokumentieren Sie deshalb zunächst Standorte, eingesetzte Hardware, Firmwarestände, SSIDs, Netzwerksegmente und die verantwortlichen Personen. Prüfen Sie auch, welche Anwendungen und Geräte auf das WLAN angewiesen sind. Ein Handscanner im Lager hat andere Anforderungen als ein Geschäftsführungs-Notebook. Diese Bestandsaufnahme verhindert einen typischen Projektfehler: Sicherheitsvorgaben werden aktiviert, ohne betriebliche Abhängigkeiten zu berücksichtigen.

1. Verschlüsselung und Anmeldung auf einen aktuellen Stand bringen

WPA2 mit einem gemeinsamen Kennwort ist in vielen kleineren Umgebungen noch verbreitet. Für Unternehmen ist das jedoch nur bedingt geeignet. Scheidet ein Mitarbeitender aus oder geht ein Passwort verloren, muss der Schlüssel für alle berechtigten Personen geändert werden. Das verursacht Aufwand und führt oft dazu, dass Änderungen aufgeschoben werden.

Besser geeignet ist WPA3-Enterprise oder, wenn die vorhandene Infrastruktur dies noch nicht unterstützt, mindestens WPA2-Enterprise mit 802.1X-Authentifizierung. Mitarbeitende melden sich dabei individuell an, idealerweise über ein zentrales Identitätsverzeichnis. Rechte lassen sich personengenau entziehen, und Zugriffe bleiben prüfbar. Für ältere Spezialgeräte kann ein getrenntes, eingeschränktes Netz erforderlich sein. Sicherheitsniveau und technische Kompatibilität müssen hier sorgfältig gegeneinander abgewogen werden.

2. Mitarbeiter-, Gäste- und Gerätezugänge konsequent trennen

Ein gemeinsames WLAN für Belegschaft, Besucher und technische Geräte ist bequem, aber riskant. Gelangt ein privates oder kompromittiertes Gerät hinein, kann es unter Umständen Systeme erreichen, die dafür nie vorgesehen waren.

Mindestens drei getrennte Bereiche sind in der Praxis sinnvoll: ein internes Netz für autorisierte Mitarbeitende, ein Gastnetz mit ausschließlichem Internetzugang und ein separates Segment für Geräte wie Drucker, Besprechungstechnik oder Scanner. Die Trennung erfolgt über VLANs, Firewall-Regeln und passende WLAN-Konfigurationen. Wichtig ist nicht nur die Anzahl der Netze, sondern die Regel dahinter: Welche Verbindung ist tatsächlich erforderlich – und welche sollte grundsätzlich blockiert sein?

In einem produzierenden Betrieb kann etwa ein mobiles Lagerterminal Zugriff auf eine bestimmte Fachanwendung benötigen, nicht jedoch auf Finanzdaten oder administrative Systeme. Genau solche Einschränkungen begrenzen die Folgen eines einzelnen kompromittierten Geräts.

3. Zugänge an Rollen statt an gemeinsame Kennwörter binden

Gemeinsame Passwörter sind schwer kontrollierbar. Sie werden weitergegeben, in privaten Notizen gespeichert oder auf Geräten hinterlegt, die längst nicht mehr im Unternehmen sind. Für das interne WLAN sollten persönliche Benutzerkonten oder zertifikatsbasierte Anmeldungen verwendet werden.

Besonders wirksam ist eine Kombination aus zentraler Benutzerverwaltung, klar definierten Rollen und einem geregelten Eintritts- und Austrittsprozess. Neue Mitarbeitende erhalten nur die Zugänge, die sie benötigen. Beim Rollenwechsel werden Berechtigungen angepasst, beim Austritt zeitnah deaktiviert. Diese Prozesse gehören organisatorisch zum WLAN-Schutz, auch wenn sie technisch außerhalb des Access Points stattfinden.

4. Gastzugänge zeitlich und technisch begrenzen

Ein Gäste-WLAN ist kein Zeichen mangelnder Sicherheit – im Gegenteil. Es schützt das interne Netz, wenn es richtig eingerichtet ist. Besucher, externe Dienstleister und private Endgeräte sollten einen getrennten Zugang mit Internetfreigabe erhalten, ohne interne Server, Drucker oder Verwaltungsoberflächen erreichen zu können.

Zeitlich begrenzte Zugangsdaten sind sinnvoller als ein Passwort, das jahrelang am Empfang ausliegt. Je nach Umfeld lassen sich Zugänge über Voucher, ein Besucherportal oder individuelle Einladungen bereitstellen. Datenschutz und Protokollierung sind dabei mit den eigenen rechtlichen Vorgaben abzustimmen. Eine lückenlose Sammlung von Daten ohne erkennbaren Zweck ist ebenso problematisch wie der vollständige Verzicht auf Nachvollziehbarkeit.

5. Access Points und Netzwerkkomponenten regelmäßig aktualisieren

Access Points werden oft installiert und dann jahrelang kaum beachtet. Dabei veröffentlichen Hersteller Sicherheitsupdates für Schwachstellen, Stabilitätsprobleme und neue Angriffsmethoden. Veraltete Firmware kann selbst dann zum Risiko werden, wenn Kennwörter und Verschlüsselung korrekt konfiguriert sind.

Legen Sie feste Wartungsfenster fest und prüfen Sie vor Updates die Kompatibilität mit Controllern, Switches und Spezialgeräten. In kritischen Umgebungen empfiehlt sich ein Test an ausgewählten Geräten, bevor die Änderung breit ausgerollt wird. Ebenso wichtig: Nicht mehr unterstützte Hardware sollte in die Investitionsplanung aufgenommen werden. Ein Access Point ohne Sicherheitsupdates lässt sich nicht dauerhaft durch zusätzliche Regeln absichern.

6. Die Verwaltungsoberfläche besonders schützen

Die Administration eines WLANs ist ein attraktives Ziel. Wer Zugriff auf Controller oder Access Points erhält, kann Konfigurationen ändern, Nutzer umleiten oder Zugangsdaten ausspähen. Verwaltungsoberflächen dürfen daher nicht aus dem Gastnetz oder direkt aus dem Internet erreichbar sein.

Administrativer Zugriff sollte über ein separates Management-Netz, persönliche Konten und Mehrfaktor-Authentifizierung erfolgen. Standardkonten sind zu deaktivieren oder sicher umzubenennen. Protokolle über Konfigurationsänderungen helfen, Fehler und unautorisierte Eingriffe später nachzuvollziehen. In der Praxis zeigt sich oft, dass mehrere ehemalige Dienstleister oder frühere Mitarbeitende noch administrative Rechte besitzen. Eine regelmäßige Rechteprüfung schließt diese Lücke.

7. Unbekannte Geräte erkennen und angemessen reagieren

Kein Sicherheitskonzept verhindert jeden Vorfall. Deshalb muss auffallen, wenn sich ein unbekanntes Gerät verbindet oder ein bekanntes Gerät ungewöhnlich verhält. Moderne Netzwerkmanagement-Lösungen können neue Clients, fehlgeschlagene Anmeldungen, auffällige Datenmengen oder fremde Access Points melden.

Nicht jede Warnung ist ein Sicherheitsvorfall. Ein neues Smartphone eines Mitarbeitenden oder ein getauschtes Konferenzgerät kann einen Alarm auslösen. Entscheidend ist ein klarer Ablauf: Wer prüft die Meldung? Wie wird ein Gerät identifiziert? Wann wird ein Zugang gesperrt? Ohne Zuständigkeiten bleiben auch gute technische Funktionen wirkungslos.

8. WLAN-Sicherheit als Teil des Gesamtbetriebs behandeln

Das Funknetz steht nicht isoliert. Seine Schutzwirkung hängt von Firewall-Regeln, Endgeräteschutz, Datensicherung, Identitätsverwaltung und der Reaktion auf Vorfälle ab. Wird beispielsweise ein Notebook per Phishing kompromittiert, begrenzt eine gute Netzwerksegmentierung zwar die Ausbreitung, ersetzt aber weder aktuelle Sicherheitssoftware noch geschulte Mitarbeitende.

Viele Unternehmen nutzen deshalb externe Spezialisten, wenn Architektur, Migration und laufender Betrieb zusammenkommen. Der Mehrwert liegt nicht allein in der Einrichtung einzelner Access Points. Erfahrene Berater prüfen Abhängigkeiten, planen Wartungsfenster, dokumentieren Entscheidungen und vermeiden Ausfälle durch ungetestete Änderungen. LTmemory begleitet solche Vorhaben beispielsweise dort, wo WLAN, Identitätsverwaltung, Netzsegmentierung und der laufende IT-Support sinnvoll zusammengeführt werden müssen.

Typische Fehler bei der Umsetzung vermeiden

Ein häufiger Fehler ist der abrupte Austausch eines zentralen WLAN-Kennworts ohne Kommunikations- und Umstellungsplan. Danach verlieren Konferenzsysteme, Drucker oder Lagergeräte ihre Verbindung, und die Sicherheitsmaßnahme wird unter Zeitdruck wieder abgeschwächt. Besser ist eine schrittweise Migration mit dokumentierten Geräten und einem klaren Rückfallplan.

Ebenso problematisch sind zu viele Ausnahmen. Ein temporär weit geöffneter Zugriff für einen Dienstleister bleibt schnell dauerhaft bestehen. Jede Ausnahme sollte einen fachlichen Zweck, einen Verantwortlichen und ein Ablaufdatum haben. Auch die Annahme, ein versteckter WLAN-Name biete ausreichenden Schutz, ist trügerisch. Die SSID nicht auszustrahlen kann unerwünschte Verbindungen geringfügig erschweren, ersetzt aber weder Verschlüsselung noch Zugangskontrolle.

Fazit: Sicherheit entsteht durch nachvollziehbare Kontrolle

Ein sicheres Unternehmens-WLAN ist kein einzelnes Produkt und keine einmalige Einstellung. Es entsteht aus aktuellen Standards, getrennten Netzbereichen, individuellen Identitäten und einem Betrieb, der Geräte, Änderungen und Auffälligkeiten sichtbar macht. Der passende Umfang hängt von Unternehmensgröße, vorhandener Infrastruktur und den eingesetzten Fachsystemen ab – die Grundprinzipien bleiben jedoch gleich.

Nächste Schritte für eine belastbare WLAN-Planung

Wenn die vorhandene Umgebung historisch gewachsen ist, fehlen häufig Zeit, vollständige Dokumentationen oder interne Spezialkenntnisse für eine strukturierte Prüfung. Eigenimplementierungen bergen insbesondere dann Risiken, wenn alte Geräte, produktionsnahe Anwendungen oder mehrere Standorte betroffen sind. Ein erfahrener IT-Partner kann die Ist-Situation bewerten, eine umsetzbare Zielarchitektur entwickeln und die Einführung so planen, dass Sicherheitsgewinn und Betriebsablauf zusammenpassen.

Der sinnvollste erste Schritt ist meist kein großer Umbau, sondern eine belastbare Übersicht: Welche Geräte nutzen das WLAN, welche Netze existieren und welche Zugriffe sind wirklich erforderlich? Auf dieser Grundlage lassen sich Prioritäten setzen, Risiken sachlich bewerten und Verbesserungen kontrolliert umsetzen.