Gäste-WLAN im Unternehmen sicher einrichten

Kurz gesagt: Ein Gäste-WLAN ist ein zweites, vom Firmennetz getrenntes Funknetz für Besucher und private Geräte. Du aktivierst es auf Router, Firewall oder WLAN-Controller, gibst ihm einen neutralen Namen, ein langes Passwort und mindestens WPA2-Verschlüsselung, besser WPA3. Entscheidend ist die Trennung: Aus dem Gastnetz darf niemand auf Server, Drucker oder Arbeitsplätze kommen.

Stand: 03.11.2026

Warum braucht ein Unternehmen ein Gäste-WLAN?

Das BSI erklärt den Nutzen eines Gastzugangs so: Es entsteht ein zweites, vom eigentlichen Netz getrenntes Netz. Schadsoftware auf dem Gerät eines Besuchers richtet dort weniger Schaden an, und du kannst Rechte vergeben, etwa für erreichbare Webseiten oder die Bandbreite. Das BSI empfiehlt außerdem, smarte Geräte wie Saugroboter oder Rollladensteuerungen in dieses getrennte Netz zu hängen. Im Unternehmen gilt das genauso für Kaffeemaschinen mit App, Fernseher im Wartezimmer oder Besprechungsraum-Displays.

Der eigentliche Grund ist Sicherheit: Jedes Gerät im Firmen-WLAN kann Server, Drucker und Arbeitsplätze erreichen. Ein Besucher-Laptop mit veraltetem System, ein privates Smartphone eines Mitarbeiters oder ein Dienstleister mit eigener Hardware gehören nicht in dieses Netz. Mit einem Gäste-WLAN gibst du Internet, ohne dein internes Netz zu öffnen.

Wie richtest du das Gäste-WLAN Schritt für Schritt ein?

Das BSI beschreibt die Einrichtung in sieben Schritten für den Router. Auf einer Firewall oder einem WLAN-Controller im Unternehmen heißen die Menüs anders, der Ablauf ist aber derselbe:

1. Oberfläche öffnen. Rufe die Verwaltungsoberfläche deines Routers, deiner Firewall oder des WLAN-Controllers im Browser auf. Beim Router ist das laut BSI eine Herstelleradresse oder eine IP-Adresse wie 192.168.0.1 oder 192.168.178.1.
2. Gastzugang finden. Suche im Menü unter WLAN, Netzwerk oder Gastnetzwerk den Gastzugang. Bei Firewalls und Controllern legst du stattdessen eine neue SSID an und ordnest sie einem eigenen VLAN zu.
3. Gastzugang aktivieren.
4. Namen vergeben. Das BSI rät zu einem Netznamen, der keine Rückschlüsse auf Personen oder das Routermodell zulässt. Im Unternehmen ist „Gast“ plus Firmenname üblich, das Gerätemodell hat im Namen nichts zu suchen.
5. Passwort setzen. Das BSI empfiehlt ein starkes Passwort mit mindestens 20 zusammenhanglosen Zeichen. Es ist ein anderes als das Passwort des Firmen-WLANs.
6. Verschlüsselung wählen. Mindestens WPA2, möglichst WPA3. Ein offenes Gastnetz ohne Verschlüsselung solltest du vermeiden.
7. Einstellungen bestätigen und die Geräte verbinden, die ins Gastnetz gehören: Besucher, private Smartphones, smarte Geräte.

Was ist im Unternehmen zusätzlich wichtig?

Die BSI-Anleitung richtet sich an Privathaushalte. Im Unternehmen kommen ein paar Punkte dazu, die wir bei der Einrichtung standardmäßig umsetzen:

• Echte Netztrennung prüfen. Bei Routern für den Heimgebrauch ist die Trennung eingebaut. Bei Firewall und Controller musst du sie selbst herstellen: eigenes VLAN, eigener IP-Bereich, Firewall-Regel „Gastnetz darf nur ins Internet“. Teste das, indem du dich mit dem Gäste-WLAN verbindest und versuchst, den Server oder einen Drucker anzupingen. Das darf nicht funktionieren.
• Client-Isolation aktivieren. Damit sehen sich die Geräte im Gastnetz gegenseitig nicht. Ein infizierter Laptop kann dann nicht das Smartphone des nächsten Besuchers angreifen.
• Bandbreite begrenzen. Das BSI nennt die Bandbreite ausdrücklich als Recht, das du im Gastnetz vergeben kannst. So blockiert ein Streaming-Gast nicht die Internetleitung des Betriebs.
• Zugriff auf die Verwaltung sperren. Die Oberfläche von Router, Firewall und Access Points darf aus dem Gastnetz nicht erreichbar sein.
• Passwort regelmäßig wechseln. Ein Gäste-Passwort wandert mit jedem Besucher weiter. Ein Wechsel in festen Abständen begrenzt das.
• Private Geräte der Mitarbeitenden ins Gastnetz. Private Smartphones brauchen kein Firmen-WLAN. Sie bekommen Internet über das Gastnetz, das Firmen-WLAN bleibt den verwalteten Geräten vorbehalten.

Wie gibst du die Zugangsdaten weiter?

Das BSI rät, die Zugangsdaten nicht sichtbar auszuhängen, sondern nur auf Nachfrage weiterzugeben und das Passwort auf einem sicher verwahrten Zettel zu notieren. Praktisch ist der QR-Code, den viele Router und Controller erzeugen: Gäste scannen ihn mit dem Smartphone und sind verbunden, ohne das lange Passwort abzutippen. Den Code legst du im Besprechungsraum oder am Empfang aus, nicht im Schaufenster. Gleichartige Smartphones können Zugangsdaten laut BSI auch untereinander teilen.

Für Unternehmen mit vielen Besuchern bieten Firewalls und WLAN-Controller zusätzlich Voucher oder ein Anmeldeportal mit Nutzungsbedingungen. Das ist Komfort, ersetzt aber nicht die Netztrennung.

Welche Fehler sehen wir am häufigsten?

• Das Gäste-WLAN hängt im selben VLAN wie das Firmennetz, nur mit anderem Namen. Die Trennung existiert nur auf dem Papier.
• Das Gäste-Passwort ist dasselbe wie das Firmen-WLAN-Passwort oder steht auf einem Zettel im Eingangsbereich.
• Drucker oder Fernseher wurden „zum Testen“ ins Gastnetz gehängt und brauchen dann doch Zugriff aufs Firmennetz, woraufhin jemand die Trennung aufweicht.
• Die Verschlüsselung steht auf „offen“, weil ein alter Kassen-Scanner oder ein Gerät eines Dienstleisters kein WPA2 konnte.

So unterstützen wir dich

Wir planen und richten WLAN mit getrenntem Gastnetz für Unternehmen, Praxen und Kanzleien in Osnabrück und Umgebung ein, mit Securepoint-Firewalls, VLANs und zentral verwalteten Access Points, und prüfen bestehende Installationen auf echte Netztrennung, auch per Fernwartung. Mehr dazu auf unserer Seite zu Netzwerk und WLAN.

Häufige Fragen

Welche Verschlüsselung soll das Gäste-WLAN haben?

Laut BSI mindestens WPA2, möglichst WPA3. Ein offenes Netz ohne Verschlüsselung solltest du nicht betreiben.

Wie lang sollte das Gäste-Passwort sein?

Das BSI empfiehlt mindestens 20 zusammenhanglose Zeichen. Mit einem QR-Code müssen Gäste es nicht abtippen.

Gehören private Smartphones der Mitarbeitenden ins Firmen-WLAN?

Nein. Private Geräte bekommen Internet über das Gastnetz. Das Firmen-WLAN bleibt den verwalteten Geräten vorbehalten.

Wie prüfe ich, ob die Trennung wirklich funktioniert?

Verbinde dich mit dem Gäste-WLAN und versuche, Server, Drucker oder die Router-Oberfläche zu erreichen. Klappt das, ist die Trennung nicht sauber.

Quellen

• Schritt für Schritt zum Gäste-WLAN (Bundesamt für Sicherheit in der Informationstechnik (BSI), abgerufen am 03.11.2026)