So sichern Sie das WLAN in Ihrem Unternehmen, ohne die Arbeitsgeschwindigkeit zu beeinträchtigen

Ein schwaches WLAN-Netzwerk kann weit mehr als nur den Internetzugang gefährden. Es kann einem unbefugten Nutzer Zugang zu Dateien, Cloud-Diensten, Zahlungssystemen, Telefonen und vernetzten Geräten verschaffen. Zu wissen, wie man das WLAN im Unternehmen absichert, ist daher nicht nur eine Aufgabe der IT-Abteilung. Es ist ein praktischer Bestandteil des Schutzes der Arbeitsabläufe in Ihrem Unternehmen.

Die gute Nachricht ist, dass eine wirksame WLAN-Sicherheit weder Mitarbeitern noch Besuchern das Leben erschweren muss. Die richtige Konfiguration sorgt dafür, dass autorisierte Personen schnell eine Verbindung herstellen können, während für alle anderen klare Grenzen gesetzt werden.

Sicherheit beginnt schon, bevor Sie ein Passwort wählen. Viele kleinere Unternehmen betreiben ihr gesamtes Büro über ein einziges WLAN-Netzwerk: Die Laptops der Mitarbeiter, private Mobiltelefone, Gastgeräte, Drucker, Bildschirme in Besprechungsräumen und intelligente Geräte nutzen alle dieselbe Verbindung. Das ist zwar praktisch, verschafft einem kompromittierten Gerät jedoch zu viel Sichtbarkeit.

Richten Sie für unterschiedliche Zwecke separate Netzwerke ein. Ihr Hauptnetzwerk für Mitarbeiter sollte verwaltete Unternehmensgeräte und genehmigte Arbeitstätigkeiten umfassen. Ein Gastnetzwerk sollte ausschließlich Internetzugang bieten, ohne Zugang zu internen Systemen. Geräte wie Drucker, Kameras, Türsteuerungen und Sensoren sollten nach Möglichkeit in einem eigenen Netzwerk oder VLAN untergebracht werden.

Diese Unterteilung ist wichtig, da nicht jedes Gerät gleichermaßen sicher ist. Ein gut verwalteter Laptop erhält möglicherweise regelmäßig Sicherheitsupdates, während dies bei einem älteren Drucker oder einem Display im Besprechungsraum möglicherweise nicht der Fall ist. Durch die Trennung dieser Geräte lässt sich der Schaden begrenzen, falls ein Gerät kompromittiert wird.

In einem kleinen Büro kann dies drei WLAN-Netzwerke bedeuten: Mitarbeiter, Gäste und Geräte. Größere Unternehmen benötigen möglicherweise eine detailliertere Trennung nach Abteilungen, Standorten oder Sicherheitsanforderungen. Das Ziel ist nicht Komplexität um der Komplexität willen. Es geht darum, sicherzustellen, dass das Smartphone eines Gastes nicht auf Ihren Finanzdrucker zugreifen kann und eine angeschlossene Kamera keinen Zugriff auf Ihren Dateiserver hat.

Verwenden Sie WPA3, sofern Ihre Geräte dies unterstützen. WPA3 ist der derzeit bevorzugte WLAN-Sicherheitsstandard und bietet einen besseren Schutz als ältere Optionen. Falls einige Ihrer vorhandenen Geräte diesen Standard nicht unterstützen, ist WPA2-AES als Übergangslösung weiterhin akzeptabel. Vermeiden Sie WEP und WPA mit TKIP vollständig. Diese Standards sind veraltet und sollten in einem Unternehmensnetzwerk nicht verwendet werden.

Der Netzwerkname (SSID) muss weder Ihren Firmennamen noch die Etagennummer oder den Gerätetyp preisgeben. Ein Netzwerk mit dem Namen „Company-Office-Admin“ gibt jedem in der Nähe unnötige Informationen preis. Ein neutraler Name ist sicherer und wirkt professioneller.

Für sehr kleine Teams kann ein langes, einzigartiges WLAN-Passwort in Kombination mit einer guten Geräteverwaltung geeignet sein. Es sollte mindestens 16 Zeichen lang sein, keine vorhersehbaren Wörter oder Unternehmensangaben enthalten und nirgendwo anders wiederverwendet werden. Ein Passwort-Manager ist der sinnvollste Ort, um es zu speichern.

Wenn die Anzahl der Nutzer steigt, sollten Sie WPA2 oder WPA3 Enterprise mit 802.1X-Authentifizierung in Betracht ziehen. Anstatt unternehmensweit ein einziges Passwort zu verwenden, meldet sich jeder Mitarbeiter mit einem individuellen Konto oder Zertifikat an. Der Zugriff für eine einzelne Person kann entzogen werden, ohne dass das Passwort auf jedem Gerät geändert werden muss. Außerdem ermöglicht dies eine übersichtlichere Kontrolle, wenn jemand neu hinzukommt, seine Rolle wechselt oder das Unternehmen verlässt.

Es gibt jedoch einen Kompromiss. Die Unternehmensauthentifizierung erfordert mehr Planung und möglicherweise einen RADIUS-Dienst oder die Unterstützung durch einen Netzwerkdienstleister. Für ein Unternehmen mit mehreren Mitarbeitern, vertraulichen Daten oder häufigen Personalwechseln lohnt sich diese zusätzliche Kontrolle in der Regel.

Gäste-WLAN ist in Büros, Geschäften, Praxen und Besprechungsräumen nützlich, sollte jedoch niemals eine informelle Erweiterung des internen Netzwerks darstellen. Aktivieren Sie die Client-Isolierung, damit Gastgeräte nicht miteinander kommunizieren können. Dadurch wird das Risiko verringert, dass das infizierte Gerät eines Besuchers den Laptop eines anderen Besuchers angreift.

Verwenden Sie ein separates Passwort oder ein Captive Portal und ändern Sie die Zugangsdaten bei Bedarf. Für Besprechungsräume oder gelegentliche Besucher ist ein zeitlich begrenzter Code oft besser als die Vergabe eines Passworts, das über Jahre hinweg gültig bleibt.

Legen Sie sinnvolle Bandbreitenbeschränkungen für den Gastzugang fest, wenn Ihre Verbindung gemeinsam mit geschäftskritischen Diensten genutzt wird. Videoanrufe, Cloud-Anwendungen und Anrufe über die Cloud-PBX sollten nicht darunter leiden, dass ein Besucher einen umfangreichen Download startet. Die richtige Obergrenze hängt von Ihrer verfügbaren Bandbreite und der typischen Nutzung ab. Testen Sie diese daher lieber während einer Spitzenzeit, anstatt zu raten.

Ihr Router, Ihre Firewall und Ihre WLAN-Zugangspunkte sind Teil der Infrastruktur und keine Geräte, die man einmal installiert und dann vergisst. Ihre Verwaltungseinstellungen verdienen dieselbe Aufmerksamkeit wie das Netzwerk, das sie bereitstellen.

Ändern Sie zunächst alle standardmäßigen Administrator-Benutzernamen und -Passwörter. Verwenden Sie separate, sichere Administrator-Anmeldedaten anstelle des WLAN-Passworts. Beschränken Sie den Verwaltungszugriff auf das interne Netzwerk oder, falls ein Zugriff von außerhalb erforderlich ist, auf eine sichere Fernverwaltungsmethode. Verwaltungsseiten sollten niemals über das öffentliche Internet frei zugänglich sein, es sei denn, es liegt ein sorgfältig abgewogener geschäftlicher Grund vor.

Halten Sie die Firmware auf dem neuesten Stand. Hersteller veröffentlichen Updates, um bekannte Sicherheitslücken zu beheben, die Stabilität zu verbessern und neuere Standards zu unterstützen. Planen Sie regelmäßige Überprüfungen ein, insbesondere bei Geräten, für die kein aktiver Support mehr angeboten wird. Ein Access Point, für den keine Sicherheitsupdates mehr verfügbar sind, stellt ein Geschäftsrisiko dar, auch wenn er scheinbar noch einwandfrei funktioniert.

Deaktivieren Sie Funktionen, die Sie nicht benötigen. WPS beispielsweise soll die Verbindung zwischen Geräten vereinfachen, kann jedoch die Sicherheit beeinträchtigen. Auch Universal Plug and Play kann in einer Unternehmensumgebung unnötige Sicherheitsrisiken mit sich bringen. Komfortfunktionen sollten nur aktiviert werden, wenn ihr Nutzen klar ist und ihre Auswirkungen bekannt sind.

Platzieren Sie die Access Points so, dass sie Ihren Arbeitsbereich abdecken, ohne über diesen hinaus mehr Signal als nötig auszustrahlen. WLAN durchdringt naturgemäß Wände und Fenster, insbesondere in Großraumbüros. Durch eine Verringerung der Sendeleistung oder eine Neupositionierung eines Access Points lässt sich die unnötige Abdeckung außerhalb der Räumlichkeiten reduzieren, wobei dies jedoch keinesfalls zu Funklöchern für die Mitarbeiter führen darf. Eine Standortanalyse hilft dabei, das richtige Gleichgewicht zu finden.

Eine sichere WLAN-Konfiguration hängt nicht nur von technischen Einstellungen ab, sondern auch von alltäglichen Abläufen. Führen Sie ein aktuelles Verzeichnis darüber, wer Zugriff hat, welche Geräte zugelassen sind und wer das Netzwerk verwaltet. Wenn ein Mitarbeiter das Unternehmen verlässt, löschen Sie dessen Konto oder Zertifikat umgehend. Bei Verlust eines Firmenhandys oder -laptops widerrufen Sie dessen Zugriff, sofern Ihr System dies zulässt.

Bei den Richtlinien zum Mitbringen eigener Geräte (BYOD) ist eine klare Entscheidung erforderlich. Einige Unternehmen erlauben die Nutzung privater Geräte im Mitarbeiternetzwerk, während andere diese in ein separates BYOD-Netzwerk mit eingeschränktem Zugriff verlagern. Keiner der beiden Ansätze ist automatisch richtig. Wenn Mitarbeiter private Smartphones für die Multi-Faktor-Authentifizierung und Arbeits-Apps benötigen, kann ein kontrolliertes BYOD-Netzwerk sinnvoll sein. Wenn Ihr Unternehmen mit sensiblen Daten umgeht, ist eine strengere Trennung möglicherweise die bessere Wahl.

Verwaltete Geräte sollten über Bildschirmsperren, Festplattenverschlüsselung, aktuelle Betriebssysteme und Endgeräteschutz verfügen. Die WLAN-Verschlüsselung schützt die Verbindung zwischen einem Gerät und einem Zugangspunkt. Sie kann jedoch keinen Laptop schützen, der bereits infiziert ist oder ungesichert auf einem Schreibtisch liegt.

Überprüfen Sie regelmäßig die Geräteliste in Ihrem Router, Ihrer Firewall oder Ihrer WLAN-Verwaltungsplattform. Unbekannte Geräte deuten nicht immer auf einen unbefugten Zugriff hin – es kann sich um ein neues Smart-Display, das Smartphone eines Mitarbeiters oder ein Gerät eines unbekannten Herstellers handeln. Unbekannte Geräte sollten jedoch überprüft und nicht ignoriert werden.

Richten Sie, sofern verfügbar, Benachrichtigungen für neue Geräte, fehlgeschlagene Authentifizierungsversuche und Ausfälle von Zugangspunkten ein. Wiederholte Anmeldefehler können darauf hindeuten, dass ein Benutzer ein veraltetes Passwort eingibt, sie können aber auch auf einen Versuch hindeuten, Anmeldedaten zu erraten. Der Kontext spielt eine wichtige Rolle, weshalb die Protokolle von einer Person überprüft werden sollten, die mit den üblichen Netzwerkaktivitäten in Ihrem Netzwerk vertraut ist.

Dokumentieren Sie die wichtigsten Informationen: Netzwerknamen, VLANs, Standorte der Access Points, Zuständigkeiten der Administratoren, Termine für die Firmware-Überprüfung sowie das Verfahren zur Gewährung des Zugriffs. Dies beschleunigt den Support im Falle eines Problems und verhindert, dass kritisches Wissen ausschließlich bei einer einzigen Person liegt.

Das WLAN für geschäftliche Zwecke ist nur ein Teil eines größeren Netzwerks. Die Firewall, die Internetverbindung, der Fernzugriff, Cloud-Dienste, die Telefonie und die Backup-Maßnahmen – all diese Faktoren beeinflussen das Endergebnis. So kann beispielsweise ein Gastnetzwerk zwar korrekt isoliert sein, doch eine ungeschützte Fernverwaltungsschnittstelle kann an anderer Stelle dennoch ein Risiko darstellen.

Für Unternehmen in Luxemburg kann ein lokaler Anbieter, der sich mit der gesamten Netzwerkinfrastruktur auskennt, besonders nützlich sein, wenn WLAN, Glasfaser, gehostete Dienste und Geschäftstelefonie nahtlos zusammenarbeiten müssen. Visual Online kann Unternehmen dabei unterstützen, die praktische Konfiguration ihrer Verbindung zu bewerten, anstatt die WLAN-Abdeckung als isolierte Anschaffung zu betrachten.

Der effektivste nächste Schritt ist ganz einfach: Betrachten Sie Ihr Netzwerk mit den Augen eines Außenstehenden. Fragen Sie sich, welche Geräte eine Verbindung herstellen dürfen, worauf sie zugreifen können, wer die Geräte verwalten darf und ob jede dieser Antworten noch gerechtfertigt ist. „Sicher ist sicher“ ist kein bloßer Slogan, wenn das Netzwerk tagtäglich den Betrieb Ihres Unternehmens trägt.