Firmen-WLAN nach BSI betreiben: Checkliste

Kurz gesagt: Ein sicheres Firmen-WLAN braucht mehr als ein gutes Passwort. Das BSI beschreibt im IT-Grundschutz-Baustein NET.2.1 „WLAN-Betrieb“, wie WLANs in einer Institution sicher aufgebaut und betrieben werden. Die Praxis dahinter lässt sich auf eine Checkliste bringen: Planung, aktuelle Verschlüsselung, getrennte Netze für Firma und Gäste, sichere Konfiguration der Access Points, laufender Betrieb und ein Plan für den Ernstfall.

Stand: 03.11.2026

Warum reicht „WPA2 und ein langes Passwort“ nicht?

Das WLAN ist der Teil des Firmennetzes, der über die Hauswand hinausreicht. Wer auf dem Parkplatz steht, ist technisch schon im Empfangsbereich. Dazu kommen Geräte, die niemand mehr im Blick hat: der Drucker mit dem alten Funkmodul, das private Smartphone eines Mitarbeiters, das Smart-TV im Besprechungsraum. Ein Passwort schützt die Funkstrecke, aber nicht vor dem Gerät, das das Passwort kennt und trotzdem nichts im Firmennetz zu suchen hat.

Der BSI-Baustein NET.2.1 (Edition 2023) betrachtet deshalb das WLAN als Ganzes: von der Entscheidung, wofür das WLAN überhaupt genutzt werden soll, über die Technik bis zum Umgang mit Sicherheitsvorfällen. Die folgende Checkliste folgt dieser Logik, übersetzt in die Sprache eines kleinen oder mittleren Unternehmens.

Checkliste 1: Planung, bevor der erste Access Point hängt

• Zweck festlegen: Wer soll das WLAN nutzen und wofür? Mitarbeiter mit Firmennotebooks, Gäste, Geräte wie Drucker oder Scanner, Produktionstechnik? Jede Gruppe bekommt später ein eigenes Netz.
• Schutzbedarf klären: Laufen über das WLAN Patientendaten, Mandantenakten oder nur der Internetzugang im Wartezimmer? Davon hängt ab, wie streng die restlichen Punkte ausfallen müssen.
• Standort planen: Access Points so platzieren, dass sie die Arbeitsbereiche versorgen, aber nicht unnötig weit nach draußen strahlen. Sendeleistung lässt sich meist reduzieren.
• Geräte auswählen: Business-Access-Points mit zentraler Verwaltung, Mehrfach-SSIDs und VLAN-Unterstützung statt Consumer-Router. Nur Geräte, für die der Hersteller noch Updates liefert.
• Verantwortlichen benennen: Jemand muss Updates, Zugangsdaten und Änderungen im Blick haben, intern oder beim IT-Dienstleister.

Checkliste 2: Verschlüsselung und Zugang

• Aktuelles Verfahren: WPA3 wo alle Geräte es können, sonst WPA2 mit AES. Ältere Verfahren wie WEP oder WPA ohne Nachfolger sind nicht mehr vertretbar. Mischbetrieb WPA2/WPA3 nur als Übergang.
• Firmennetz mit Benutzeranmeldung: Für Mitarbeitergeräte ist die Anmeldung per Benutzer oder Gerätezertifikat (WPA-Enterprise mit RADIUS) der sauberere Weg als ein gemeinsames Passwort. Scheidet jemand aus, wird das Konto gesperrt, nicht das WLAN-Passwort für alle geändert.
• Vorinstallierte Schlüssel: Wo ein gemeinsames Passwort unvermeidbar ist (Drucker, IoT), lang und zufällig wählen, nur für dieses eine Netz verwenden und nach Personalwechseln ändern.
• WPS aus: Die Tastendruck-Kopplung hat im Firmennetz nichts verloren.
• Standardzugänge ändern: Admin-Passwort der Access Points und des Controllers ersetzen, Standard-SSID umbenennen, Verwaltung nur aus dem Admin-Netz zulassen.

Checkliste 3: Netze trennen

• Eigene SSID je Nutzergruppe: Mindestens drei Netze: Firma, Gäste, Geräte. Jedes landet über VLANs in einem eigenen Netzsegment.
• Gäste-WLAN nur ins Internet: Keine Route ins Firmennetz, Client-Isolation aktiv, idealerweise Bandbreitenbegrenzung. Zugangsdaten regelmäßig wechseln oder Voucher nutzen.
• Gerätenetz abschotten: Drucker, Kassen, Smart-TVs und ähnliche Geräte bekommen nur die Verbindungen, die sie brauchen. Die Firewall regelt, was zwischen den Segmenten erlaubt ist.
• Private Geräte: Entweder gar nicht ins Firmennetz oder nur über ein eigenes Netz mit eingeschränktem Zugriff. Ein privates Smartphone im Firmen-WLAN ist der Klassiker, den wir bei fast jeder Erstprüfung finden.

Checkliste 4: Sicherer Betrieb

• Firmware aktuell halten: Updates für Access Points und Controller einplanen wie für Server. Hersteller ohne Updates sind ein Grund zum Austausch.
• Zentral verwalten: Ein Controller oder eine Cloud-Verwaltung zeigt alle Access Points, verbundene Clients und Auffälligkeiten an einer Stelle.
• Protokollieren: Anmeldungen, fehlgeschlagene Versuche und Konfigurationsänderungen aufzeichnen und aufbewahren.
• Fremde Access Points suchen: Regelmäßig prüfen, ob jemand einen eigenen Access Point oder Repeater ans Firmennetz gehängt hat. Viele Controller melden solche „Rogue APs“ automatisch.
• Dokumentieren: Welche SSID gehört zu welchem VLAN, wer hat Zugang zur Verwaltung, wo hängen die Geräte? Ohne Dokumentation ist jede Störung doppelt so lang.
• Regelmäßig prüfen: Mindestens jährlich Konfiguration, Verschlüsselung, Gästezugang und Geräteliste gegen diese Checkliste halten.

Checkliste 5: Regeln und Ernstfall

• Richtlinie schreiben: Kurz und verständlich: Welche Netze gibt es, wer darf sie nutzen, was ist verboten (eigene Access Points, Hotspot-Freigabe, Weitergabe des Gästepassworts)?
• Mitarbeiter informieren: Die Regeln gehören ins Onboarding und in die jährliche Unterweisung.
• Vorfall-Plan: Was passiert, wenn ein Firmennotebook mit WLAN-Zugang gestohlen wird oder ein fremdes Gerät im Netz auftaucht? Festlegen, wer informiert wird, welche Zugänge sofort gesperrt werden und wie das WLAN notfalls abgeschaltet wird.
• Abschalten können: Es muss möglich sein, einzelne Netze oder das gesamte WLAN schnell zu deaktivieren, ohne das kabelgebundene Netz zu stören.

So unterstützen wir dich

Wir prüfen bestehende WLANs gegen diese Checkliste und planen neue Installationen mit Netztrennung, Benutzeranmeldung und zentraler Verwaltung. Access Points und Firewalls setzen wir unter anderem mit Securepoint um. In Osnabrück und Umgebung messen wir vor Ort aus, die Verwaltung übernehmen wir danach per Fernwartung. Mehr dazu auf unserer Seite Netzwerk und WLAN für Unternehmen.

Häufige Fragen

Gilt der BSI-Grundschutz auch für kleine Firmen?

Er ist nicht vorgeschrieben, aber eine anerkannte Messlatte. Wer sich daran orientiert, kann bei Kunden, Versicherungen oder einer Datenschutzprüfung zeigen, dass das WLAN nach dem Stand der Technik betrieben wird.

Brauche ich wirklich ein eigenes Gäste-WLAN?

Ja. Jedes Gerät, das nicht dir gehört, bleibt aus dem Firmennetz draußen. Ein Gäste-WLAN mit reinem Internetzugang ist bei Business-Access-Points mit wenigen Klicks eingerichtet.

Ist WPA3 Pflicht?

Eine Pflicht gibt es nicht. WPA3 ist das aktuelle Verfahren und sollte bei neuen Geräten der Standard sein. Solange alte Geräte nur WPA2 können, bleibt WPA2 mit AES vertretbar, ältere Verfahren nicht.

Was ist mit dem Smartphone, über das jemand seinen Hotspot freigibt?

Ein Firmennotebook am privaten Hotspot umgeht alle Schutzmaßnahmen des Firmennetzes. Das gehört in die Richtlinie, und die Firewall auf dem Notebook muss auch unterwegs greifen.

Quellen

• IT-Grundschutz-Baustein NET.2.1 WLAN-Betrieb, Edition 2023 (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)