Direkte Antwort
Gib Besuchern nicht das Passwort für dein Firmen-WLAN. Richte ein separates Gastnetzwerk mit Client-Isolation ein, gewähre Zugang über einen QR-Code oder zeitlich begrenzte Zugangsdaten und gib Auftragnehmern persönliche, zeitlich begrenzte Konten für interne Tools. Firmenlaptops brauchen weiterhin ihren eigenen Schutz – deshalb ergänzt die zentrale Geräteverwaltung die Netzwerktrennung, anstatt sie zu ersetzen.
Key Takeaways
Aktiviere diese Woche die Client-Isolation in deinem Router und überprüfe sie – vertrau nicht darauf, dass ein zweiter Netzwerkname allein ausreicht.
Ersetze das gemeinsame Passwort auf dem Whiteboard durch einen QR-Code, den du nach einem festen Zeitplan wechselst.
Stell Auftragnehmern persönliche Konten mit MFA und einem Ablaufdatum zur Verfügung, statt ihnen Netzwerkzugang zu gewähren.
Füge das Sperren von Auftragnehmerkonten zu deiner Offboarding-Checkliste hinzu, damit es am Tag des Projektabschlusses erledigt wird.
Sorge über eine zentrale Verwaltungsplattform für Verschlüsselung, automatische Updates und Fernsperrung auf jedem Unternehmensgerät.
Warum ist es ein echtes Risiko, dein Büro-WLAN mit Besuchern zu teilen?
Wenn ein Kunde, Bewerber oder Lieferfahrer sich in dasselbe Netzwerk wie dein Team einloggt, befindet sich sein Gerät direkt neben deinen Laptops, Druckern und gemeinsam genutzten Laufwerken. Du weißt nicht, ob auf diesem Smartphone im letzten Jahr ein Sicherheitsupdate installiert wurde oder ob dieser Laptop bereits mit Malware infiziert ist. Du vertraust einem Gerät, das du noch nie gesehen hast.
Die meisten Büros entscheiden sich gar nicht bewusst dafür. Es passiert einfach: Jemand schreibt das Passwort auf das Whiteboard, ein Auftragnehmer bekommt es „nur für heute", und Jahre später kennen es immer noch viele Personen außerhalb des Unternehmens. Getrennte Netzwerke sind noch längst nicht die Regel. In der Umfrage zu Cybersicherheitsverletzungen 2025/2026 gaben 38 % der britischen Unternehmen an, über getrennte WLAN-Netzwerke für Mitarbeiter und Besucher zu verfügen, wobei der Anteil bei großen Unternehmen deutlich höher lag (britisches Ministerium für Wissenschaft, Innovation und Technologie sowie Innenministerium). Kleinere Büros nutzen am häufigsten noch immer ein einziges Netzwerk für alle, die hereinkommen.
Wie richtest du ein Gastnetzwerk ein, das dich tatsächlich schützt?
Du brauchst drei Dinge: ein Netzwerk, das wirklich getrennt ist, eine einfache Möglichkeit für Besucher, sich einzuwählen, und ein paar Regeln, die dafür sorgen, dass das so bleibt. Tiefgreifende IT-Kenntnisse sind dafür nicht erforderlich, auch wenn du für manche Einstellungen vielleicht die Anleitung deines Routers oder deinen IT-Partner brauchst.
Trenne das Netzwerk und isoliere den Datenverkehr
Ein Gastnetzwerk mit Client-Isolation ermöglicht es Besuchergeräten, auf das Internet zuzugreifen, nicht aber auf deine Laptops, Drucker oder Dateifreigaben – und auch nicht untereinander. Manche Router bezeichnen das zugrundeliegende Konzept als VLAN (ein virtuelles Netzwerk, das den Datenverkehr in einer eigenen Spur hält). Wichtig zu wissen: Ein zweiter WLAN-Name allein beweist noch nichts. Öffne die Einstellungen deines Routers oder Access Points und vergewissere dich, dass der Gastdatenverkehr wirklich abgeschottet ist.
Die Trennung zahlt sich aus, wenn etwas schiefgeht: Ein kompromittiertes Besuchergerät kann sich nicht auf deine Unternehmenssysteme ausbreiten. Derselbe Gedanke steckt hinter den Netzwerksicherheitsmaßnahmen, die für kleinere Unternehmen am wichtigsten sind.
Solange du in den Einstellungen bist, verwende WPA3 oder zumindest WPA2-AES-Verschlüsselung, ändere das Standard-Admin-Passwort und aktiviere automatische Firmware-Updates.
Entscheide, wie Besucher Zugang erhalten
Wähle die Option, mit der deine Rezeption gut zurechtkommt. Wenn der Vorgang zu umständlich ist, wird jemand stattdessen das Hauptpasswort weitergeben.
Lege ein paar einfache Regeln fest
Bringe den QR-Code an der Rezeption an, damit niemand danach fragen muss. Ändere das Gastpasswort in regelmäßigen Abständen und immer dann, wenn jemand, der es kannte, keinen Zugriff mehr haben sollte. Begrenze die Bandbreite für Gäste, damit ein Besucher, der Videos streamt, dein Team nicht ausbremst.
Halte Firmenlaptops, Drucker, Smart-TVs und Besprechungsraumgeräte im Firmennetzwerk – niemals im Gastnetzwerk. Überprüfe ab und zu die Liste der verbundenen Geräte. Wenn das Gastnetzwerk Probleme macht, gelten auch dort die üblichen Schritte zur WLAN-Fehlerbehebung.
Wie sieht es mit dem Datenschutz aus?
Wenn ein Captive Portal Namen oder E-Mail-Adressen erfasst, gilt die DSGVO: Du brauchst eine Rechtsgrundlage, eine Datenschutzerklärung und eine angemessene Aufbewahrungsfrist. Die Haftungsregeln für das, was Besucher über deine Verbindung tun, variieren je nach Land – erkundige dich daher bei einem Anwalt oder deinem Datenschutzbeauftragten. Dieser Artikel dient als Orientierungshilfe, nicht als Rechtsberatung.
Was ist mit Auftragnehmern, die mehr als nur Internetzugang benötigen?
Freiberufler, Wirtschaftsprüfer und Leiharbeitskräfte brauchen oft ein bestimmtes Tool, nicht dein gesamtes Netzwerk. Gib ihnen ein persönliches Konto mit Multi-Faktor-Authentifizierung (ein zweiter Anmeldeschritt wie ein Code oder eine App-Bestätigung), beschränkt auf die Systeme, die sie tatsächlich benötigen, und mit einem Ablaufdatum, das von Anfang an feststeht. Gemeinsam genutzte Zugänge machen es unmöglich, das später rückgängig zu machen.
Das Aufräumen danach ist genauso wichtig wie die Einrichtung. In einer Umfrage aus dem Jahr 2025 unter mehr als 5.000 Wissensarbeitern in fünf Ländern gaben 38 % an, erfolgreich auf das Konto eines früheren Arbeitgebers zugegriffen zu haben (1Password). Behandle das Ende eines Projekts genauso wie das Ausscheiden eines Mitarbeiters: Entziehe die Zugangsrechte noch am selben Tag.
Auch Abkürzungen sind weit verbreitet. In einer Umfrage unter 1.000 IT-, Sicherheits- und Technikfachleuten in den USA und Kanada gaben 32 % an, ein privates Gerät für den Zugriff auf interne Systeme genutzt zu haben, und 24 % sagten, sie hätten ein Passwort oder einen Login mit einem Kollegen geteilt – jeweils, um den Zugriff zu beschleunigen oder Sicherheits- bzw. interne Prozesse zu umgehen (Tailscale). Bitte Auftragnehmer, nach Möglichkeit mit ihrer eigenen verwalteten Hardware zu arbeiten – das ist auch Teil der allgemeineren Entscheidung zwischen BYOD und firmeneigenen Geräten.
Was sind die häufigsten Fehler beim Gäste-WLAN?
- Besuchern dasselbe Passwort zu geben, das auch das Team nutzt.
- Ein Gastnetzwerk zu betreiben, das zwar separat aussieht, aber keine Client-Isolation bietet.
- Das Gastpasswort nach der Ersteinrichtung nie zu ändern.
- Auftragnehmern das Hauptpasswort „nur für heute" zu geben.
- Drucker, Smart-TVs oder Besprechungsraumgeräte im falschen Netzwerk zu belassen.
Wie schützt eine zentrale Geräteverwaltung Firmenlaptops in jedem Netzwerk?
Dein Büronetzwerk ist nur eines von vielen Netzwerken, mit denen sich dein Team verbindet. Cafés, Züge und Heimrouter liegen alle außerhalb deiner Kontrolle – darauf geht dieser Leitfaden zur IT-Sicherheit für Remote-Mitarbeiter näher ein.
Der Laptop muss also seinen eigenen Schutz mitbringen. Festplattenverschlüsselung mit BitLocker unter Windows oder FileVault auf dem Mac, automatisch installierte Sicherheitsupdates, verbindliche Passwortstandards und die Möglichkeit, ein Gerät aus der Ferne zu sperren oder zu löschen, wenn es abhandenkommt. Plattformen für zentrale Geräteverwaltung – darunter auch deeploi – wenden diese Richtlinien auf den gesamten Gerätebestand an, ohne dass jeder Einzelne sich etwas merken muss. Teams, die Hardware-Budgets planen, schauen sich dabei oft gleichzeitig Garantie- und Geräteversicherungsoptionen an.
Halte die Grenzen klar: Die Geräteverwaltung umfasst die Laptops und Smartphones, die dir gehören – nicht deinen Router und auch nicht das Smartphone eines Besuchers. Gästeisolierung und Geräteverwaltung sind zwei Ebenen, und du brauchst beide.
Fazit
Den Besucherzugang zu trennen und Unternehmensgeräte zentral zu verwalten sind zwei Seiten derselben Medaille. Das eine verhindert, dass unbekannte Geräte deine Systeme erreichen. Das andere schützt deine eigene Hardware überall sonst. Beides ist für ein kleines Büro ohne internes IT-Fachwissen machbar, und ein paar Stunden Einrichtungsaufwand reichen aus, um eine der am einfachsten zu behebenden Sicherheitslücken zu schließen.
Wenn du Verschlüsselung, Updates und Fernsperrung lieber nicht manuell durchsetzen möchtest, wendet deeploi diese Richtlinien von einer einzigen Plattform aus auf jedes Unternehmensgerät an. Buche eine Demo und sieh selbst, wie es funktioniert.
Häufig gestellte Fragen
Brauche ich spezielle Hardware, um ein Gastnetzwerk einzurichten?
Normalerweise nicht. Viele Business-Router und Access Points unterstützen Gastnetzwerke und häufig auch Client-Isolation sowie Bandbreitenbeschränkungen. Schau vor dem Kauf neuer Geräte in der Admin-Oberfläche nach.
Sollte ich ein gemeinsames Passwort, einen QR-Code oder ein Captive Portal verwenden?
Für ein kleines Büro reicht meist ein QR-Code mit einem Passwort, das du regelmäßig änderst. Ein Captive Portal bietet mehr Kontrolle und Protokollierungsmöglichkeiten – wenn es aber personenbezogene Daten erfasst, entstehen DSGVO-Pflichten.
Wie soll ich mit Auftragnehmern umgehen, die Zugriff auf interne Tools benötigen?
Gib ihnen persönliche, zeitlich begrenzte Konten mit MFA für die spezifischen Systeme, die sie benötigen – keinen vollständigen Netzwerkzugang und nicht das Haupt-WLAN-Passwort. Entziehe diese Konten am Tag des Projektendes.
Wie oft sollte ich das WLAN-Passwort für Gäste ändern?
Dafür gibt es keine allgemeingültige Regel. Ändere es, sobald jemand, der es kannte, keinen Zugriff mehr haben sollte, und nach einem festen Zeitplan – zum Beispiel vierteljährlich. Das Neudrucken einer QR-Karte ist eine Sache von zwei Minuten.
Wie schütze ich Firmenlaptops, wenn ein Besucher ein infiziertes Gerät mitbringt?
Die Isolation hält dieses Gerät von deinen eigenen fern, und die erzwungenen Richtlinien auf deiner eigenen Hardware (Verschlüsselung, automatische Patches, Bedrohungsschutz) kümmern sich um das, was die Isolation nicht leisten kann. Keine einzelne Maßnahme ist absolut sicher – halte daher beide Schutzebenen aufrecht.
