WLAN im Büro: warum es abreißt und was eine Ausleuchtung bringt

Funk geht durch Wände und Decken. Er kommt nur schwächer an, und in einem Altbau mit dicken Mauern anders als in einer Halle. Ein Gerät, das im Flur für drei Büros reicht, reicht für den Raum dahinter nicht mehr.

Der übliche Weg danach ist: noch ein Gerät kaufen und irgendwo aufhängen. Manchmal hilft das. Manchmal funken die Geräte gegeneinander, und danach ist es schlechter als vorher.

Ein zweiter Punkt hat mit Reichweite nichts zu tun und gehört trotzdem hierher. Das BSI verbietet ausdrücklich, ein Gerät so zu betreiben, wie es aus der Verpackung kam. Voreingestellte Netznamen, Kennwörter und Schlüssel müssen vorher geändert werden. Unsichere Zugänge zur Verwaltung müssen abgeschaltet sein.

Nicht der Preis und nicht die Marke. Der Unterschied steckt vor dem Kauf: Jemand legt fest, wofür das Funknetz im Betrieb da ist, wer hinein darf und was von dort erreichbar sein soll. Im IT-Grundschutz ist das der erste Punkt zum WLAN, noch vor jedem Gerät, und für den Betrieb danach ist eine eigene Richtlinie vorgesehen. Ein Gerät aus dem Elektromarkt kann technisch vieles davon. Es hat nur niemanden, der ihm sagt, wer bei Ihnen worauf zugreifen darf.

Für Sie heißt das eine Reihenfolge, und die ist nicht kompliziert. Zuerst steht fest, wer ins Netz darf und was dort erreichbar sein soll. Danach kommt die Frage, welche Geräte wo hängen. Wer es andersherum macht, kauft erst ein und sucht hinterher die Regeln dazu. Und wer danach draufschaut, entscheidet sich nicht am Gerät: Das gehört in die laufende Betreuung, genau wie Server und Arbeitsplätze.

Sie sagt Ihnen vorher, wo Empfang ankommt und wo nicht. Ohne sie wird geraten. Ein Gerät kommt an die Decke im Flur, und ob der Raum dahinter versorgt ist, zeigt sich in der nächsten Besprechung.

Das BSI macht daraus eine Anforderung. Werden Access Points aufgestellt, müssen die erforderlichen Bereiche ausreichend abgedeckt werden, und die Funkwellen sollen sich möglichst nicht in Bereichen ausbreiten, die gar nicht versorgt werden sollen. Beides entscheidet sich im Gebäude und nicht am Schreibtisch.

Der zweite Teil dieses Satzes wird gern überlesen. Ein Funknetz, das auf dem Parkplatz noch zu sehen ist, versorgt Bereiche mit, die niemand versorgen wollte.

Bei manchen Betrieben muss man keine Ausleuchtung machen. Wenn die Fläche klein ist und klar liegt, sieht man auch so, was gebraucht wird.

Bei manchen machen wir eine Ausleuchtung zum Festpreis. Und bei manchen machen wir sie nach Aufwand, weil vorher niemand sagen kann, wie lange ein Gebäude dafür braucht.

Welcher der drei Wege es wird, entscheidet sich an Ihrem Objekt. Deshalb steht hier keine Zahl. Eine einzelne Zahl wäre in zwei von drei Fällen falsch, und eine falsche Zahl auf einer Website ist keine Orientierung, sondern eine Zusage, die wir nicht halten könnten.

Was bei uns nach Aufwand läuft und was in einer Pauschale steckt, steht vollständig auf So rechnen wir ab. Den Weg für Ihr Haus sagen wir Ihnen, bevor jemand losfährt.

Ja, und das ist keine Empfehlung. Im IT-Grundschutz steht es als Basis-Anforderung: „Für Gastzugänge und für Netzbereiche, in denen keine ausreichende interne Kontrolle über die Endgeräte gegeben ist, MÜSSEN dedizierte Netzsegmente eingerichtet werden.“

Das gilt für den Besucher im Wartebereich genauso wie für den Laptop des Handwerkers und das Tablet eines Lieferanten. Über diese Geräte haben Sie keine Kontrolle. Deshalb gehören sie nicht in dasselbe Netz wie Ihre Buchhaltung.

Ein eigener Netzname allein reicht dafür nicht. Das BSI verlangt dazu, dass über das WLAN keine Sicherheitszonen gekoppelt werden. Ein Gerät, das in zwei Netze funkt, hebt genau die Trennung auf, die im Kabel sauber gebaut ist.

Dass das in der Praxis oft anders aussieht, steht schon auf einer anderen Seite. Bei einer Übernahme fanden wir ein Gastnetz, über das man nach dem Anmelden an die komplette Freigabestruktur kam, obwohl die Netze laut dem alten Dienstleister getrennt waren.

Mindestens zwanzig Zeichen, wenn alle mit demselben Schlüssel hineingehen. Das BSI schreibt dazu: „Wird WPA2 mit Pre-Shared Keys (WPA2-PSK) verwendet, dann MUSS ein komplexer Schlüssel mit einer Mindestlänge von 20 Zeichen verwendet werden.“

Zwei Sätze aus derselben Anforderung gehören dazu. Die Übertragung über die Luft muss komplett verschlüsselt sein, und Verfahren, die unsicherer sind als WPA2, dürfen nicht mehr eingesetzt werden.

Derselbe Punkt steht in unserer Vorlage für eine Passwort-Richtlinie zum Abhaken. Und wo die Anmeldung am Funknetz im Betrieb hängt, ist eine eigene Frage: bei vielen an demselben Verzeichnis wie die Anmeldung am Rechner, also am Domain Controller.

Es gibt Objekte, bei denen wird das aufwendig. Mehrere Gebäude, große Flächen, Bereiche mit eigenen Anforderungen. Dann holen wir uns Leute dazu, die genau das den ganzen Tag machen.

Das ist dieselbe Haltung wie beim Serverraum, wo wir Klima und Elektrik koordinieren und nicht selbst schrauben. Sie behalten einen Ansprechpartner, und der sitzt bei uns.

Dafür braucht es niemanden von außen. Wer bei allen drei Punkten ins Grübeln kommt, hat den Anfang für ein Gespräch.

Sagen Sie uns, wo es hakt und wie Ihr Haus aussieht. Wir sagen Ihnen, welcher der drei Wege bei Ihnen passt, und was danach ansteht. Was Sie davon machen lassen, entscheiden Sie.