Hotel Guest WiFi Architektur: PMS-Integration, Captive Portals und Bandbreitensteuerung

Willkommen zum Purple Technical Briefing. Heute befassen wir uns mit der Architektur von Hotel-Gäste-WiFi – insbesondere mit den drei Säulen, die über den Erfolg oder Misserfolg Ihrer Bereitstellung entscheiden: PMS-Integration, Captive Portal-Design und Bandbreitensteuerung. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO sind und die Verantwortung für ein Hotel oder ein Portfolio von Immobilien tragen, ist dieses Briefing genau das Richtige für Sie. Wir werden in die technischen Details einsteigen, es aber praxisnah halten. Jeder Punkt knüpft an eine Entscheidung an, die Sie treffen müssen. Beginnen wir mit der Architektur selbst. Ein Hotel-WiFi-Netzwerk ist keine Standard-Bürobereitstellung. Es muss mindestens drei verschiedene Gruppen gleichzeitig bedienen: Gäste, Personal und Gebäudesysteme. Jede Gruppe hat völlig unterschiedliche Anforderungen an Sicherheit, Leistung und Compliance. Der grundlegende Fehler, der bei den meisten Bereitstellungen gemacht wird, besteht darin, alle drei als ein einziges Netzwerk zu behandeln. Der richtige Ansatz ist die VLAN-Segmentierung – Virtual Local Area Networks, definiert im Standard IEEE 802.1Q. Sie erstellen logisch getrennte Netzwerke auf derselben physischen Infrastruktur. Das Gäste-WiFi befindet sich auf VLAN 10, isoliert von allem Internen. Der Mitarbeiterzugang liegt auf VLAN 20, authentifiziert über 802.1X gegen Ihren RADIUS-Server. IoT-Geräte – Smart-TVs, Thermostate, Türschlösser – befinden sich auf VLAN 30 mit strengen Firewall-Regeln, die deren Zugriffsmöglichkeiten einschränken. Und wenn Sie irgendwo auf dem Gelände Point-of-Sale-Terminals haben, benötigen diese ein völlig eigenes VLAN, da PCI DSS vorschreibt, dass Karteninhaber-Datenumgebungen von jeglichem anderen Netzwerkverkehr isoliert sein müssen. Dies ist nicht optional. Es ist eine grundlegende Compliance-Anforderung. Und es ist zudem Ihre primäre Verteidigung gegen Lateral Movement – das Angriffsmuster, bei dem ein kompromittiertes Gästegerät Ihre internen Systeme auskundschaftet. Nun zur Wireless-Ebene. Wenn Sie heute neue Infrastruktur bereitstellen, sollten Sie WiFi 6 – IEEE 802.11ax – spezifizieren. In Umgebungen mit hoher Dichte wie Konferenzräumen oder großen Veranstaltungsflächen fügt WiFi 6E das 6-Gigahertz-Band hinzu, wodurch Ihnen deutlich mehr Spektrum zur Verfügung steht. Die entscheidende Leistungsverbesserung gegenüber der vorherigen Generation ist OFDMA – Orthogonal Frequency Division Multiple Access –, was es einem einzelnen Access Point ermöglicht, mehrere Clients gleichzeitig statt nacheinander zu bedienen. In der Praxis bedeutet dies eine etwa viermal höhere Durchsatzkapazität pro Access Point im Vergleich zu WiFi 5, bei weitaus geringerer Latenz unter Last. Die Platzierung der Access Points ist wichtiger, als die meisten Menschen glauben. Der erste Impuls ist oft, APs in Fluren zu installieren. Das ist falsch. In einem Hotel möchten Sie eine Abdeckung im Zimmer haben. Best Practice ist ein AP pro Zimmer, oder mindestens einer für zwei Zimmer, montiert an der Decke oder hinter dem Fernseher. Dies eliminiert das Problem des Flurschattens, bei dem das Signal zwei Wände durchdringen muss, um einen Gast zu erreichen. Für öffentliche Bereiche – Lobbys, Restaurants, Konferenzräume – sollten Sie vor der endgültigen Platzierung eine ordnungsgemäße RF-Standortvermessung in Auftrag geben. Jeder Access Point sollte verkabelt sein. Cat 6A zu jedem AP, abgeschlossen an einem PoE-Switch auf jeder Etage. Mesh-WiFi ist für ein Zuhause in Ordnung. In einem Hotel benötigen Sie ein deterministisches Backhaul mit geringer Latenz. Sprechen wir nun über die PMS-Integration – das Property Management System. Hier unterscheidet sich die Hotel-WiFi-Architektur am deutlichsten von einer standardmäßigen Unternehmensbereitstellung. Das PMS ist das führende System für jeden Gastaufenthalt. Es weiß, wer eingecheckt hat, in welchem Zimmer er sich befindet, wann er auscheckt und welche Tarifkategorie gebucht wurde. Die Integration Ihres Captive Portals in das PMS ermöglicht es Gästen, sich mit ihrer Zimmernummer und ihrem Nachnamen zu authentifizieren – kein Passwort, das man sich merken muss, kein Gutscheincode, den man eintippen muss. Das Captive Portal sendet eine Echtzeit-API-Abfrage an das PMS, validiert die Anmeldedaten mit den aktiven Reservierungen und gewährt den Zugriff innerhalb von 200 bis 500 Millisekunden. Das Protokoll, das den meisten dieser Integrationen zugrunde liegt, ist FIAS – die Fidelio Interface Application Specification. Ursprünglich für das Fidelio PMS, heute Oracle Opera, entwickelt, hat sich FIAS zum De-facto-Standard für Hotelsystem-Schnittstellen entwickelt. Über die Authentifizierung hinaus ermöglicht die PMS-Integration ein automatisches Sitzungsmanagement. Wenn ein Gast auscheckt, sendet das PMS ein Checkout-Ereignis an die WiFi-Plattform, die dessen Zugriffstoken sofort widerruft. Kein manuelles Eingreifen erforderlich. Der Datenwert ist hierbei erheblich. Jede authentifizierte WiFi-Sitzung erstellt einen verifizierten Gästedatensatz – Name, E-Mail, Zimmertyp, Aufenthaltsdauer, Gerätetyp. Diese Daten, die mit ausdrücklicher GDPR-Einwilligung auf der Splash-Page erfasst werden, werden zu einem First-Party-Marketing-Asset. Die Plattform von Purple hat im Jahr 2024 440 Millionen Logins an 80.000 Standorten verarbeitet. Über PMS-integrierte Captive Portals erfasste Gästedaten erreichen konsistent Validierungsraten von 70 bis 80 Prozent, verglichen mit 30 bis 40 Prozent bei nicht validierten Formularübermittlungen. Kommen wir zum Design des Captive Portals. Ein Captive Portal ist das Authentifizierungs-Gateway, auf das Gäste stoßen, wenn sie sich zum ersten Mal verbinden. Es fängt den HTTP-Verkehr ab und leitet den Browser auf eine gehostete Seite weiter, bevor der Internetzugang gewährt wird. Der technische Mechanismus funktioniert wie folgt. Der Access Point oder Controller weist dem Gästegerät eine eingeschränkte IP-Adresse zu. Alle HTTP-Anfragen werden über einen DNS-Intercept an die Portal-URL weitergeleitet. Der Gast authentifiziert sich. Der Controller erhält ein Autorisierungssignal vom RADIUS-Server. Die MAC-Adresse des Geräts wird zur Liste der zugelassenen Geräte hinzugefügt. Der normale Internetzugang wird gewährt. Die Einhaltung der GDPR am Captive Portal ist nicht verhandelbar. Ihre Splash-Page muss einen klaren Datenschutzhinweis, explizite Einwilligungsoptionen für Marketing und einen Mechanismus enthalten, mit dem Gäste ihre Datenrechte wahrnehmen können. Entscheidend ist, dass die Einwilligung zur Nutzung des WiFi nicht mit der Einwilligung zum Erhalt von Marketing-E-Mails gleichzusetzen ist. Dies müssen separate, entkoppelte Einwilligungsoptionen sein. Die Plattform von Purple unterstützt dies nativ, wobei die Einwilligungsdatensätze mit jedem Benutzerprofil verknüpft sind und Audit-Trails für behördliche Prüfungen zur Verfügung stehen. Für die Sicherheit ist WPA3 der aktuelle Standard. WPA3-Personal nutzt Simultaneous Authentication of Equals – SAE –, was die bei WPA2-PSK vorhandene Schwachstelle für Wörterbuchangriffe eliminiert. Für Gastnetzwerke bietet eine offene SSID hinter einem Captive Portal mit Opportunistic Wireless Encryption Verschlüsselung, ohne dass ein Pre-Shared Key erforderlich ist. Die Client-Isolierung muss auf allen Gast-SSIDs aktiviert sein, um Peer-to-Peer-Verkehr zwischen Gastgeräten zu verhindern. Nun zur Bandbreitensteuerung. Dies ist die dritte Säule, und sie wird am häufigsten unterdimensioniert. Die Faustregel für die Bandbreitenplanung in Hotels lautet: Planen Sie für die Spitzenlast, nicht für den Durchschnittsbedarf. Planen Sie für ein Mittelklassehotel 10 bis 25 Megabit pro Sekunde und Zimmer ein. Für ein Full-Service-Hotel 25 bis 50 Megabit pro Sekunde und Zimmer. Für ein Luxus- oder Tagungshotel 50 bis 100 Megabit pro Sekunde und Zimmer. Die Ratenbegrenzung pro Client verhindert, dass ein einzelner Gast Ihren Uplink überlastet. Bei Cisco Meraki richten Sie dies als Bandbreitenlimit pro Client auf der SSID ein. Bei HPE Aruba ist dies eine Benutzerrollenrichtlinie, die über den Controller angewendet wird. Bei Juniper Mist handelt es sich um eine WLAN-Ratenbegrenzungsrichtlinie. Der Mechanismus unterscheidet sich je nach Anbieter, aber das Prinzip ist dasselbe: Definieren Sie ein Downstream- und Upstream-Limit pro Gerät und setzen Sie dieses auf Controller-Ebene durch. Quality of Service – QoS – steht über der Ratenbegrenzung. WMM, WiFi Multimedia, ist der Standard 802.11e, der vier Datenverkehrs-Queues definiert: Sprache, Video, Best Effort und Hintergrund. VoIP- und Videoanrufe sollten in den Sprach- und Video-Queues priorisiert werden. Web-Browsing und Downloads fallen unter Best Effort. Eine korrekte Konfiguration von WMM sorgt dafür, dass ein Gast bei einem Videoanruf nicht gestört wird, wenn die Person im Nebenzimmer einen großen Download startet. Lassen Sie mich Ihnen nun die Empfehlungen für die Implementierung und die zu vermeidenden Fallstricke nennen. Beginnen Sie mit einer Standortvermessung (Site Survey). Bevor Sie auch nur ein einziges Kabel anfassen, gehen Sie mit einem Spektrumanalysator durch das Gebäude. Identifizieren Sie vorhandene Störquellen – benachbarte Netzwerke, Mikrowellengeräte in der Küche, DECT-Telefone an der Rezeption. Dies fließt in Ihren Kanalplan und die Platzierung der APs ein. Zweitens: Entwerfen Sie Ihre VLAN-Architektur, bevor Sie irgendetwas konfigurieren. Erstellen Sie einen Plan für: Gast-WiFi-VLAN, Mitarbeiter-VLAN, IoT- und Gebäudesystem-VLAN sowie Management-VLAN. Lassen Sie dies vor der Bereitstellung dokumentieren und genehmigen. Drittens: Dimensionieren Sie Ihren Internet-Uplink richtig. Für ein Hotel mit 200 Zimmern bei einer Auslastung von 80 Prozent ergibt die Planung von 25 Megabit pro Zimmer in Spitzenzeiten eine garantierte Mindestbandbreite von 4 Gigabit pro Sekunde. Eine Standleitung mit zubuchbarer Kapazität (Burstable Capacity) ist hier das richtige Produkt – keine Standard-Breitbandverbindung. Die Fallstricke. Der häufigste Fehler besteht darin, den Uplink unterzudimensionieren und dann die drahtlose Infrastruktur verantwortlich zu machen, wenn sich Gäste beschweren. In neun von zehn Fällen ist langsames Hotel-WiFi ein Problem der Internetbandbreite und kein Problem der Funkfrequenz. Der zweite Fallstrick ist die Bereitstellung eines Captive Portal, das zwar Daten sammelt, aber keinen nachgelagerten Marketing-Workflow hat. Sie haben den Datenbestand aufgebaut. Jetzt nutzen Sie ihn. E-Mails vor dem Aufenthalt, Umfragen nach dem Aufenthalt, Anmeldung zum Treueprogramm, gezielte Angebote während des Aufenthalts. Kurze Fragen. Brauche ich WiFi 6 oder reicht WiFi 5? Wenn Sie heute eine neue Infrastruktur bereitstellen, entscheiden Sie sich immer für WiFi 6. Der Preisunterschied ist minimal und der Leistungsspielraum ist erheblich. Sollte ich von Gästen Gebühren für das WiFi verlangen? Nein. Im Jahr 2026 ist kostenpflichtiges Gäste-WiFi ein Risiko für die Gästezufriedenheit. Wie gehe ich mit einem Gast um, der sich über langsames WiFi beschwert? Prüfen Sie erstens die Auslastung Ihres Internet-Uplinks. Prüfen Sie zweitens die Anzahl der AP-Assoziationen. Prüfen Sie drittens, ob es fremde APs oder Interferenzen in Ihrem Kanalplan gibt. Zusammenfassend lässt sich sagen: Eine richtig konzipierte Hotel-Gäste-WiFi-Architektur ist ein strategischer Vorteil und kein reiner Kostenfaktor. Die drei wichtigsten Erkenntnisse: Erstens – segmentieren Sie Ihr Netzwerk vom ersten Tag an. Gäste, Personal und IoT auf separaten VLANs, mit einer Firewall dazwischen. Zweitens – integrieren Sie Ihr Captive Portal in Ihr PMS. Die Authentifizierung über Zimmernummer und Nachname liefert Ihnen verifizierte Gästedaten und ein nahtloses Sitzungsmanagement. Drittens – dimensionieren Sie Ihren Internet-Uplink für die Spitzenlast, nicht für den Durchschnittsbedarf, und implementieren Sie eine Ratenbegrenzung pro Client, um das Erlebnis für jeden Gast im Netzwerk zu schützen. Vielen Dank fürs Zuhören.