WLAN-Sicherheit im Unternehmen: Risiken, Schutzmaßnahmen und sicheres WLAN einrichten

Juli 2, 2026

Drahtlose Netzwerke gehören heute zur Standardausstattung jedes Unternehmens. Sie bieten Flexibilität, ermöglichen moderne Arbeitsweisen und sind praktisch unverzichtbar. Gleichzeitig stellen sie eine der am häufigsten unterschätzten Angriffsflächen in der Unternehmens-IT dar. Ein WLAN-Signal endet nicht an der Bürotür. Dieser Artikel zeigt, welche Risiken WLAN-Netzwerke konkret bergen, welche Schutzmaßnahmen wirksam sind und warum WLAN-Sicherheit ein fester Bestandteil jeder Netzwerksicherheitsstrategie sein muss.

Das Wichtigste in Kürze

WLAN-Signale enden nicht an Bürowänden. WPA3 ist der sicherste aktuelle Standard. Gäste-WLAN und IoT-Geräte gehören in getrennte Netzwerksegmente, kontrolliert durch eine professionelle Firewall.

Warum WLAN-Sicherheit im Unternehmensumfeld besonders wichtig ist

In kabelgebundenen Netzwerken ist der physische Zugang eine natürliche Sicherheitsbarriere. Bei WLAN entfällt diese Barriere. Das Funksignal eines typischen Access Points reicht weit über Bürogrenzen hinaus – in Nachbargebäude, auf Parkplätze und in Treppenhäuser.

Viele WLAN-Netzwerke sind historisch gewachsen. Das Ergebnis sind häufig veraltete Verschlüsselungsstandards, zu großzügige Zugriffsrechte und eine fehlende Trennung zwischen internen und externen Netzwerkbereichen.

Typische Angriffsmethoden auf WLAN-Netzwerke

Evil-Twin-Angriffe

Ein Angreifer richtet einen eigenen WLAN-Access-Point mit demselben Namen wie das legitime Unternehmensnetz ein. Geräte verbinden sich möglicherweise automatisch mit diesem gefälschten Zugangspunkt.

Brute-Force-Angriffe auf WLAN-Passwörter

Schwache oder weit verbreitete Passwörter können automatisiert angegriffen werden. Besonders kritisch sind veraltete Standards wie WEP oder WPA/TKIP.

Man-in-the-Middle-Angriffe

Befindet sich ein Angreifer im WLAN, kann er sich zwischen kommunizierende Geräte schalten und Datenverkehr abfangen oder manipulieren.

Zugriff über ungesicherte Gäste-WLANs

Ist das Gäste-WLAN nicht konsequent vom internen Unternehmensnetz getrennt, kann es als Einfallstor für interne Server, Drucker oder Netzwerklaufwerke dienen.

Angriffe auf IoT-Geräte

Drucker, Kameras, smarte Displays und andere IoT-Geräte sind häufig schlechter abgesichert. Im selben Netzwerksegment wie Server und Arbeitsplätze können sie als Sprungbrett dienen.

Praxishinweis

Viele dieser Angriffe erfordern keine hohe technische Expertise. Frei verfügbare Tools senken die Einstiegsbarriere erheblich.

WLAN-Verschlüsselung: WEP, WPA, WPA2 und WPA3 im Vergleich

Sicherheitstyp	Bewertung	Empfehlung
WEP	Veraltet und schnell knackbar	Sofort abschalten
WPA (TKIP)	Kritische Schwächen bekannt	Sofort abschalten
WPA2 (AES)	Bei korrekter Konfiguration ausreichend sicher	Mindeststandard
WPA3	Aktuellster Standard	Zielzustand
WPA2/WPA3 Mixed Mode	Übergang für ältere Geräte	Akzeptabel bei Migration

Was ist ein RADIUS-Server?

RADIUS ermöglicht eine individuelle Authentifizierung pro Benutzer. Jeder Mitarbeiter meldet sich mit eigenen Zugangsdaten an. Verlässt ein Mitarbeiter das Unternehmen, wird nur sein Konto deaktiviert – ein gemeinsames WLAN-Passwort muss nicht geändert werden.

Gäste-WLAN und Netzwerktrennung

Ein Gäste-WLAN muss in einem vollständig getrennten Netzwerksegment betrieben werden. Die technische Umsetzung erfolgt über VLANs, die durch die Firewall kontrolliert werden. Gäste erhalten ausschließlich Internetzugang und keinen Zugriff auf interne Ressourcen.

Dasselbe Prinzip gilt für IoT-Geräte. Drucker, smarte Bildschirme und andere vernetzte Geräte sollten ebenfalls in separaten Netzwerksegmenten betrieben werden.

Sicheres WLAN im Unternehmen: Konkrete Schutzmaßnahmen

WPA3 oder mindestens WPA2 mit AES einsetzen.
Individuelle Benutzerauthentifizierung über RADIUS einrichten.
Gäste-WLAN konsequent vom internen Netz trennen.
IoT-Geräte in ein separates Netzwerksegment auslagern.
Starke und einzigartige WLAN-Passwörter verwenden.
WLAN-Reichweite reduzieren.
Verbundene Geräte regelmäßig überprüfen.
WLAN-Infrastruktur in Sicherheitsaudits einbeziehen.

Hinweis zu Standard-Routern

Consumer-Router bieten oft keine RADIUS-Authentifizierung, VLAN-Trennung oder zentrale Verwaltung. Für Unternehmen sind Business-Access-Points mit zentraler Verwaltung deutlich besser geeignet.

WLAN-Monitoring: Sicherheit ist kein einmaliger Zustand

Ein sicher eingerichtetes WLAN bleibt nicht automatisch sicher. Professionelles Monitoring umfasst die Echtzeit-Überwachung verbundener Geräte, die Erkennung unautorisierter Access Points, die Protokollierung von Verbindungsversuchen sowie automatische Alarme bei verdächtigem Verhalten.

WLAN-Sicherheit professionell überprüfen

Ein professioneller WLAN-Penetrationstest simuliert reale Angriffe. Er prüft, ob Passwörter durch Brute Force angreifbar sind, ob Evil-Twin-Angriffe möglich wären, ob die Netzwerktrennung funktioniert und ob von einem kompromittierten WLAN-Gerät auf interne Ressourcen zugegriffen werden kann.

WLAN-Sicherheit als Teil einer ganzheitlichen Strategie

Analyse und Bewertung der bestehenden WLAN-Infrastruktur
Empfehlung und Implementierung geeigneter Verschlüsselungsstandards
Einrichtung von Netzwerksegmentierung und Gäste-WLAN-Trennung
Professionelle Penetrationstests
Kontinuierliches Monitoring durch eine verwaltete Firewall
Dokumentation für NIS-2 und DSGVO

WLAN-Sicherheit ist keine Option, sondern Mindeststandard

WPA3-Verschlüsselung, individuelle Benutzerauthentifizierung, konsequente Netzwerktrennung und regelmäßige Überprüfung durch Penetrationstests bilden das Fundament für ein sicheres WLAN im Unternehmen.

Häufig gestellte Fragen (FAQ)

Welcher WLAN-Sicherheitstyp ist der sicherste?

Der aktuell sicherste WLAN-Sicherheitstyp ist WPA3. Wo WPA3 noch nicht verfügbar ist, gilt WPA2 mit AES-Verschlüsselung als Mindeststandard. WEP und WPA/TKIP sollten nicht mehr eingesetzt werden.

Wie gefährlich ist ein ungesichertes Gäste-WLAN für das Unternehmensnetz?

Sehr gefährlich, wenn es nicht konsequent vom internen Netz getrennt ist. Die Lösung ist eine vollständige VLAN-Segmentierung, kontrolliert durch die Firewall.

Was ist der Unterschied zwischen WPA2 und WPA3?

WPA3 bietet gegenüber WPA2 besseren Schutz gegen Brute-Force-Angriffe, Forward Secrecy und verbesserte Sicherheit für offene Netzwerke. Für neue Installationen ist WPA3 die bevorzugte Wahl.

Wie kann ich feststellen, ob mein Unternehmens-WLAN sicher ist?

Der zuverlässigste Weg ist ein professioneller WLAN-Penetrationstest. Dabei werden Passwörter, Netzwerktrennung, Evil-Twin-Risiken und Zugriffe auf interne Ressourcen aus Angreifersicht geprüft.

Ist WLAN-Sicherheit ein Thema für NIS-2?

Ja. NIS-2 verlangt geeignete technische Maßnahmen zur Sicherung von Netz- und Informationssystemen. Dazu gehören auch dokumentierte WLAN-Sicherheitskonfigurationen, Netzwerksegmentierung und regelmäßige Überprüfungen.