Was ist WLAN?

WLAN einfach erklärt

Der PC am Schreibtisch steckt an einer Netzwerkdose, das Notebook im Besprechungsraum dagegen funkt. Es schickt seine Daten an einen Access Point, der über ein Kabel mit dem Firmennetz verbunden ist und sie dorthin weiterreicht. Das WLAN ersetzt die Verkabelung also nicht, es verlängert sie bis zu den Geräten, die sich bewegen. Die Access Points selbst hängen an einem Switch, der sie je nach Modell auch mit Strom versorgt.

Jedes Funknetz trägt einen Namen, die SSID (Service Set Identifier). Sie erscheint in der Liste, sobald ein Smartphone nach verfügbaren Netzen sucht. Laut BSI beruhen fast alle WLAN-Komponenten auf der Standardreihe IEEE 802.11 und ihren Ergänzungen. Gefunkt wird vor allem in den Frequenzbereichen um 2,4 und 5 Gigahertz; wie sich die Bänder in Reichweite und Kapazität unterscheiden, erklärt der Begriff Access Point.

Funk ist ein geteiltes Medium

Ein Netzwerkkabel erreicht nur, wer an die Dose kommt. Funkwellen breiten sich dagegen in alle Richtungen aus und überschreiten nach Einschätzung des BSI häufig die Grenzen der eigenen Räume. Alle Geräte in Reichweite teilen sich dasselbe Medium, deshalb lässt sich unverschlüsselter Funkverkehr dort mitschneiden.

Daraus folgt eine Grundregel: Der gesamte Funkverkehr wird verschlüsselt. Der IT-Grundschutz des BSI schließt Verfahren aus, die schwächer als WPA2 sind; das frühere WEP entspricht nicht mehr dem Stand der Technik. Die neuere Generation WPA3 erschwert im Personal-Modus zusätzlich das Erraten von Kennwörtern.

Auch der umgekehrte Fall zählt. Öffentlich zugängliche Funknetze, etwa am Bahnhof oder auf einer Messe, kontrolliert das Unternehmen nicht. Das BSI verlangt deshalb, dass Beschäftigte interne Systeme von dort nur über ein VPN erreichen (NET.2.2.A3).

Gemeinsamer Schlüssel oder persönliche Anmeldung

Wer ins Funknetz darf, regelt die Anmeldung. Dafür gibt es zwei Modelle:

• Personal-Modus: Alle Geräte nutzen denselben Schlüssel, den Pre-Shared Key. Das ist schnell eingerichtet, hat aber eine Schwäche: Hat jemand das Unternehmen verlassen, der den Schlüssel kennt, hilft nur ein neuer – und den brauchen dann alle Geräte. Für WPA2 fordert das BSI in diesem Modell eine schwer zu erratende Zeichenfolge aus mindestens 20 Zeichen.
• Enterprise-Modus: Jede Person oder jedes Gerät meldet sich einzeln an, mit Benutzerkonto oder Zertifikat. Die Prüfung übernimmt ein zentraler Anmeldedienst, etwa ein RADIUS-Server; den Ablauf regelt der Standard IEEE 802.1X. Sperrt die IT ein Konto, kommt diese Person nicht mehr ins Funknetz, und alle anderen arbeiten ungestört weiter.

Manche Geräte beherrschen keine persönliche Anmeldung, zum Beispiel Sensoren oder Bediengeräte an Maschinen. Für sie bietet sich ein eigenes Funknetz mit Schlüssel und eng begrenzten Rechten an.

Mehrere Funknetze auf denselben Access Points

Ein Access Point kann mehrere Funknetze mit eigener SSID gleichzeitig aussenden, zum Beispiel für Firmengeräte, für Gäste und für Maschinen. Im Kabelnetz endet jedes davon in einem eigenen VLAN. Getrennte Sicherheitszonen dürfen laut BSI nicht über den Funk miteinander gekoppelt werden, weil das etablierte Schutzmaßnahmen aushebeln würde (NET.2.1.A6). Welcher Verkehr von einem Bereich in den anderen darf, regelt eine Firewall; das WLAN wird so Teil der Netzwerksegmentierung.

Erstreckt sich das Funknetz über mehrere Räume oder Etagen, arbeiten mehrere Access Points zusammen, die eine zentrale Verwaltung steuert. Wie viele es braucht und wo sie hängen sollten, ermittelt vor der Montage eine WLAN-Ausleuchtung.

Ein Weingut ordnet seine Funknetze

Angenommen, ein Weingut mit zwölf Beschäftigten hat Büro, Probierstube und Versandhalle auf demselben Hof. Bisher sendet der Internetrouter ein einziges Funknetz aus. Dessen Schlüssel steht für Gäste auf einem Aufsteller an der Theke, und dasselbe Netz nutzen Büro, Kasse und die Temperatursteuerung der Gärtanks im Keller. Weil die Steuerung nur ein veraltetes Verfahren beherrscht, ist das gesamte Netz auf diesen schwachen Stand eingestellt.

Nach der Umstellung strahlen Access Points in Büro, Probierstube und Halle drei Funknetze aus. Die Beschäftigten melden sich mit ihrem persönlichen Konto an, die Kasse hängt per Kabel am Netz. Die Temperatursteuerung erhält ein Funkmodul mit WPA2 und ein eigenes Funknetz, aus dem sie nur ihren Steuerungsrechner erreicht. Der Aufsteller an der Theke darf bleiben: Wer den Gastschlüssel kennt, gelangt ins Internet, sieht aber weder Kasse noch Büro.

Wie ProNet unterstützt

Wir planen WLANs für Büros, Produktions- und Lagerhallen, Hotels und Verkaufsflächen: Wir leuchten die Räume aus, wählen und montieren die Access Points und richten Verschlüsselung, persönliche Anmeldung und Gastzugang ein. Welche Übergänge zwischen Funknetzen und internen Bereichen offen sind, legen wir gemeinsam mit Ihnen fest und tragen sie in die Firewall ein. Einrichtung und Pflege der Firewall beschreibt unsere Seite Firewall für Unternehmen. Weil jeder Access Point am Kabelnetz hängt, gehören Switches und Netzbereiche zur Planung; mehr dazu unter Netzwerktechnik für Unternehmen. Wie ein Projekt vom Grundriss bis zur Übergabe abläuft, zeigt WLAN für Unternehmen.