Drahtlose Netzwerke gehören heute zur Standardausstattung jedes Unternehmens. Sie bieten Flexibilität, ermöglichen moderne Arbeitsweisen und sind praktisch unverzichtbar. Gleichzeitig stellen sie eine der am häufigsten unterschätzten Angriffsflächen in der Unternehmens-IT dar. Ein WLAN-Signal endet nicht an der Bürotür. Dieser Artikel zeigt, welche Risiken WLAN-Netzwerke konkret bergen, welche Schutzmaßnahmen wirksam sind und warum WLAN-Sicherheit ein fester Bestandteil jeder Netzwerksicherheitsstrategie sein muss.
Das Wichtigste in Kürze
WLAN-Signale enden nicht an Bürowänden. WPA3 ist der sicherste aktuelle Standard. Gäste-WLAN und IoT-Geräte gehören in getrennte Netzwerksegmente, kontrolliert durch eine professionelle Firewall.
Warum WLAN-Sicherheit im Unternehmensumfeld besonders wichtig ist
In kabelgebundenen Netzwerken ist der physische Zugang eine natürliche Sicherheitsbarriere. Bei WLAN entfällt diese Barriere. Das Funksignal eines typischen Access Points reicht weit über Bürogrenzen hinaus – in Nachbargebäude, auf Parkplätze und in Treppenhäuser.
Viele WLAN-Netzwerke sind historisch gewachsen. Das Ergebnis sind häufig veraltete Verschlüsselungsstandards, zu großzügige Zugriffsrechte und eine fehlende Trennung zwischen internen und externen Netzwerkbereichen.
Typische Angriffsmethoden auf WLAN-Netzwerke
Evil-Twin-Angriffe
Ein Angreifer richtet einen eigenen WLAN-Access-Point mit demselben Namen wie das legitime Unternehmensnetz ein. Geräte verbinden sich möglicherweise automatisch mit diesem gefälschten Zugangspunkt.
Brute-Force-Angriffe auf WLAN-Passwörter
Schwache oder weit verbreitete Passwörter können automatisiert angegriffen werden. Besonders kritisch sind veraltete Standards wie WEP oder WPA/TKIP.
Man-in-the-Middle-Angriffe
Befindet sich ein Angreifer im WLAN, kann er sich zwischen kommunizierende Geräte schalten und Datenverkehr abfangen oder manipulieren.
Zugriff über ungesicherte Gäste-WLANs
Ist das Gäste-WLAN nicht konsequent vom internen Unternehmensnetz getrennt, kann es als Einfallstor für interne Server, Drucker oder Netzwerklaufwerke dienen.
Angriffe auf IoT-Geräte
Drucker, Kameras, smarte Displays und andere IoT-Geräte sind häufig schlechter abgesichert. Im selben Netzwerksegment wie Server und Arbeitsplätze können sie als Sprungbrett dienen.
Praxishinweis
Viele dieser Angriffe erfordern keine hohe technische Expertise. Frei verfügbare Tools senken die Einstiegsbarriere erheblich.
WLAN-Verschlüsselung: WEP, WPA, WPA2 und WPA3 im Vergleich
| Sicherheitstyp | Bewertung | Empfehlung |
|---|---|---|
| WEP | Veraltet und schnell knackbar | Sofort abschalten |
| WPA (TKIP) | Kritische Schwächen bekannt | Sofort abschalten |
| WPA2 (AES) | Bei korrekter Konfiguration ausreichend sicher | Mindeststandard |
| WPA3 | Aktuellster Standard | Zielzustand |
| WPA2/WPA3 Mixed Mode | Übergang für ältere Geräte | Akzeptabel bei Migration |
Was ist ein RADIUS-Server?
RADIUS ermöglicht eine individuelle Authentifizierung pro Benutzer. Jeder Mitarbeiter meldet sich mit eigenen Zugangsdaten an. Verlässt ein Mitarbeiter das Unternehmen, wird nur sein Konto deaktiviert – ein gemeinsames WLAN-Passwort muss nicht geändert werden.
Gäste-WLAN und Netzwerktrennung
Ein Gäste-WLAN muss in einem vollständig getrennten Netzwerksegment betrieben werden. Die technische Umsetzung erfolgt über VLANs, die durch die Firewall kontrolliert werden. Gäste erhalten ausschließlich Internetzugang und keinen Zugriff auf interne Ressourcen.
Dasselbe Prinzip gilt für IoT-Geräte. Drucker, smarte Bildschirme und andere vernetzte Geräte sollten ebenfalls in separaten Netzwerksegmenten betrieben werden.
Sicheres WLAN im Unternehmen: Konkrete Schutzmaßnahmen
- WPA3 oder mindestens WPA2 mit AES einsetzen.
- Individuelle Benutzerauthentifizierung über RADIUS einrichten.
- Gäste-WLAN konsequent vom internen Netz trennen.
- IoT-Geräte in ein separates Netzwerksegment auslagern.
- Starke und einzigartige WLAN-Passwörter verwenden.
- WLAN-Reichweite reduzieren.
- Verbundene Geräte regelmäßig überprüfen.
- WLAN-Infrastruktur in Sicherheitsaudits einbeziehen.
Hinweis zu Standard-Routern
Consumer-Router bieten oft keine RADIUS-Authentifizierung, VLAN-Trennung oder zentrale Verwaltung. Für Unternehmen sind Business-Access-Points mit zentraler Verwaltung deutlich besser geeignet.
WLAN-Monitoring: Sicherheit ist kein einmaliger Zustand
Ein sicher eingerichtetes WLAN bleibt nicht automatisch sicher. Professionelles Monitoring umfasst die Echtzeit-Überwachung verbundener Geräte, die Erkennung unautorisierter Access Points, die Protokollierung von Verbindungsversuchen sowie automatische Alarme bei verdächtigem Verhalten.
WLAN-Sicherheit professionell überprüfen
Ein professioneller WLAN-Penetrationstest simuliert reale Angriffe. Er prüft, ob Passwörter durch Brute Force angreifbar sind, ob Evil-Twin-Angriffe möglich wären, ob die Netzwerktrennung funktioniert und ob von einem kompromittierten WLAN-Gerät auf interne Ressourcen zugegriffen werden kann.
WLAN-Sicherheit als Teil einer ganzheitlichen Strategie
- Analyse und Bewertung der bestehenden WLAN-Infrastruktur
- Empfehlung und Implementierung geeigneter Verschlüsselungsstandards
- Einrichtung von Netzwerksegmentierung und Gäste-WLAN-Trennung
- Professionelle Penetrationstests
- Kontinuierliches Monitoring durch eine verwaltete Firewall
- Dokumentation für NIS-2 und DSGVO
WLAN-Sicherheit ist keine Option, sondern Mindeststandard
WPA3-Verschlüsselung, individuelle Benutzerauthentifizierung, konsequente Netzwerktrennung und regelmäßige Überprüfung durch Penetrationstests bilden das Fundament für ein sicheres WLAN im Unternehmen.
Häufig gestellte Fragen (FAQ)
Der aktuell sicherste WLAN-Sicherheitstyp ist WPA3. Wo WPA3 noch nicht verfügbar ist, gilt WPA2 mit AES-Verschlüsselung als Mindeststandard. WEP und WPA/TKIP sollten nicht mehr eingesetzt werden.
Sehr gefährlich, wenn es nicht konsequent vom internen Netz getrennt ist. Die Lösung ist eine vollständige VLAN-Segmentierung, kontrolliert durch die Firewall.
WPA3 bietet gegenüber WPA2 besseren Schutz gegen Brute-Force-Angriffe, Forward Secrecy und verbesserte Sicherheit für offene Netzwerke. Für neue Installationen ist WPA3 die bevorzugte Wahl.
Der zuverlässigste Weg ist ein professioneller WLAN-Penetrationstest. Dabei werden Passwörter, Netzwerktrennung, Evil-Twin-Risiken und Zugriffe auf interne Ressourcen aus Angreifersicht geprüft.
Ja. NIS-2 verlangt geeignete technische Maßnahmen zur Sicherung von Netz- und Informationssystemen. Dazu gehören auch dokumentierte WLAN-Sicherheitskonfigurationen, Netzwerksegmentierung und regelmäßige Überprüfungen.
