WLAN sicher betreiben

WLAN-Sicherheit im IT-Grundschutz

Zuständig sind zwei Bausteine: NET.2.1 «WLAN-Betrieb» für den Betreiber der Infrastruktur und NET.2.2 «WLAN-Nutzung» für die Nutzung durch Mitarbeitende. Die Basis-Anforderungen von NET.2.1 umfassen unter anderem:

• Strategie für den WLAN-Einsatz (A1): Wofür wird WLAN genutzt, wer darf es nutzen, welche Netze gibt es?
• Auswahl des WLAN-Standards (A2) und der Kryptoverfahren (A3): Die Luftschnittstelle muss vollständig kryptografisch abgesichert sein. Verfahren, die unsicherer als WPA2 sind, dürfen nicht mehr eingesetzt werden. Geräte, die auf unsichere Verfahren zurückfallen müssen, sind auszusondern.
• Aufstellung der Access Points (A4): so, dass sie vor Manipulation geschützt sind und die Ausleuchtung zum Bedarf passt.
• Sichere Basis-Konfiguration (A5): Auslieferungszustand nicht verwenden; voreingestellte SSIDs, Kennwörter und Schlüssel ändern; unsichere Administrationszugänge abschalten; Administration nur über verschlüsselte Verbindungen.
• Sichere Konfiguration der Infrastruktur (A6): Über das WLAN dürfen keine Sicherheitszonen gekoppelt und dadurch Schutzmaßnahmen umgangen werden.
• Verhaltensregeln bei WLAN-Sicherheitsvorfällen (A8).

Zu den Standard-Anforderungen gehören eine sichere Anbindung an das LAN, eine Sicherheitsrichtlinie, eine geeignete Management-Lösung sowie regelmäßige Sicherheitschecks und Audits.

Netze sauber trennen

Empfohlene Aufteilung

• Mitarbeitenden-WLAN: Zugriff auf die Ressourcen, die auch kabelgebundene Arbeitsplätze nutzen, aber über dieselben Firewall-Regeln.
• Gäste-WLAN: eigenes VLAN, nur Internet, Isolation der Gäste untereinander (Client Isolation), wenn möglich zeitlich begrenzte Zugangsdaten.
• Geräte-WLAN: für Kameras, Sensoren, Präsentationstechnik. Zugriff nur auf die Systeme, die diese Geräte wirklich brauchen.

Jede SSID wird auf ein eigenes VLAN abgebildet, die Übergänge kontrolliert die Firewall. Ein Gäste-WLAN, das nur per Router-Einstellung «getrennt» ist, sollte durch einen einfachen Test bestätigt werden: Ist aus dem Gäste-WLAN ein interner Drucker oder Server erreichbar?

Verschlüsselung und Anmeldung

WPA2 und WPA3

WPA2 ist nach NET.2.1 die Untergrenze. WPA3 bietet mit SAE (Simultaneous Authentication of Equals) einen besseren Schutz gegen das Durchprobieren von Passwörtern, die mitgeschnitten wurden. Wenn alle Geräte WPA3 unterstützen, ist es die bessere Wahl. Übergangsmodi, die WPA2 und WPA3 gleichzeitig anbieten, sind für die Umstellungsphase gedacht und sollten nicht dauerhaft bleiben, sofern alle Geräte WPA3 können.

Gemeinsames Passwort oder persönliche Anmeldung

Ein gemeinsamer Schlüssel (Personal-Modus, PSK) ist einfach, hat aber Nachteile: Alle kennen ihn, und nach dem Ausscheiden eines Mitarbeiters müsste er überall geändert werden. Wenn Sie ihn nutzen, wählen Sie einen langen, zufälligen Schlüssel und wechseln Sie ihn bei Personalwechsel.

Die Enterprise-Variante (IEEE 802.1X mit einem RADIUS-Server) meldet jedes Gerät oder jede Person einzeln an. Zugänge lassen sich gezielt sperren, was bei Verlust eines Notebooks oder beim Austritt hilft. In Umgebungen mit Verzeichnisdienst oder Cloud-Identitätsdienst ist das auch für kleinere Betriebe machbar.

Access Points betreiben

• Zentrale Verwaltung: Mehrere Access Points sollten zentral konfiguriert werden, damit Einstellungen einheitlich bleiben.
• Updates: Firmware von Access Points und Controller aktuell halten, Hersteller ohne Update-Versorgung meiden.
• Verwaltungszugang: nur aus dem Managementnetz, mit eigenem Konto, nicht über das Gäste-WLAN.
• Physischer Schutz: Access Points so montieren, dass niemand unbemerkt Kabel umstecken oder das Gerät zurücksetzen kann. Netzwerkdosen in öffentlich zugänglichen Bereichen deaktivieren oder einem Gäste-VLAN zuordnen.
• WPS abschalten: Die Kopplung per Knopfdruck oder PIN ist komfortabel, aber für ein Firmennetz unnötig.

Fremde und unerwünschte WLANs

Ein Mitarbeiter, der einen eigenen Router oder einen Hotspot an das Firmennetz anschließt, umgeht alle Regeln. Legen Sie in der IT-Richtlinie fest, dass nur die IT Funknetze betreibt, und achten Sie bei Begehungen auf unbekannte Geräte. Professionelle WLAN-Lösungen können fremde Access Points erkennen.

Unterwegs gilt umgekehrt: Öffentliche WLANs im Hotel oder Café sind nicht vertrauenswürdig. Für den Zugriff auf Firmendaten ist dort ein VPN sinnvoll. Regeln für die Nutzung durch Mitarbeitende beschreibt der Baustein NET.2.2 «WLAN-Nutzung».

Gäste-WLAN rechtlich und organisatorisch

Ein offenes Gäste-WLAN ohne Anmeldung ist bequem, lädt aber auch Unbekannte vor der Tür ein. Ein Passwort, das am Empfang ausgegeben und regelmäßig gewechselt wird, oder eine Vorschaltseite mit Nutzungsbedingungen sind gängige Mittelwege. Begrenzen Sie die Bandbreite für Gäste, damit der Geschäftsbetrieb nicht leidet, und sperren Sie im Gäste-Netz den Zugriff auf private Adressbereiche ausdrücklich in der Firewall, nicht nur am Access Point.

Prüfen und dokumentieren

Halten Sie fest, welche SSIDs es gibt, welche Verschlüsselung sie nutzen, welchem VLAN sie zugeordnet sind und wer die Zugangsdaten verwaltet. Prüfen Sie bei Änderungen und mindestens einmal im Jahr, ob Gäste- und Geräte-WLAN tatsächlich getrennt sind. Diese einfache Kontrolle deckt viele Fehler auf, die im Alltag niemand bemerkt.

Prüfen Sie dabei auch die Abdeckung: Ein WLAN, das weit über das Firmengelände hinausreicht, vergrößert die Angriffsfläche ohne Nutzen. Sendeleistung und Standort der Access Points lassen sich meist so anpassen, dass die Ausleuchtung dem tatsächlichen Bedarf entspricht. Der Baustein NET.2.1 nennt regelmäßige Sicherheitschecks und Audits der WLAN-Komponenten als Standard-Anforderungen.