Der Leitfaden für Unternehmen zur Einrichtung von Gäste-WiFi: Sicherheit, Segmentierung und Geschwindigkeit

Sprechen Sie in britischem Englisch mit einer selbstbewussten, autoritären und lockeren Tonalität - wie ein erfahrener Netzwerkberater, der einen CTO vor einer Vorstandssitzung brieft. Gemäßigtes Tempo, klare Artikulation, gelegentlich trockener Humor. Professionell, aber nicht steif: Willkommen beim Purple Technical Brief. Ich bin Ihr Gastgeber, und heute sprechen wir über etwas, das genau an der Schnittstelle zwischen IT-Kopfschmerz und echter Geschäftsmöglichkeit liegt: die ordnungsgemäße Einrichtung von Gäste-WiFi. Nicht die Variante "Router einstecken und das Beste hoffen". Die Enterprise-Variante. Diejenige, die Ihre Auditoren zufriedenstellt, Ihre Gäste verbindet und Ihr Unternehmensnetzwerk schützt. [kurze Pause] Beginnen wir mit dem Kontext. Gäste-WiFi ist kein nettes Extra mehr. Es ist Infrastruktur. Die Plattform von Purple läuft an mehr als 80.000 Live-Standorten - von Premier Inn Hotels über die Manchester Airports Group und Harrods bis hin zu McDonald's. Und die eine Sache, die jede einzelne dieser Implementierungen gemeinsam hat? In dem Moment, in dem das Gäste-WiFi ausfällt, gehackt wird oder ein Compliance-Audit nicht besteht, wird es zum sichtbarsten IT-Ausfall im Gebäude. Sorgen wir also dafür, dass Ihnen das nicht passiert. [kurze Pause] Bereich eins: die Architektur. Was bauen wir hier eigentlich? Eine ordnungsgemäß konzipierte Gäste-WiFi-Bereitstellung verfügt über drei verschiedene Netzwerkzonen, manchmal auch vier. Zone eins ist Ihr Gästenetzwerk - nur Internetzugang, vollständig von Ihrer Unternehmensinfrastruktur isoliert. Zone zwei ist Ihr Mitarbeiternetzwerk - authentifiziert, verschlüsselt, mit Zugriff auf interne Ressourcen. Zone drei ist Ihr IoT-Netzwerk - Gebäudemanagementsysteme, Drucker, Sensoren, alle sowohl von Gästen als auch von Mitarbeitern isoliert. Und wenn Sie im Einzelhandel oder im Gastgewerbe tätig sind, ist Zone vier Ihr Unternehmens-LAN, das Ihre Point-of-Sale-Systeme und alles, was mit Karteninhaberdaten in Berührung kommt, enthält. Das entscheidende Wort hierbei ist isoliert. Nicht durch ein Passwort getrennt. Nicht auf einer anderen SSID, die zufällig dasselbe Subnetz nutzt. Wirklich isoliert, auf der Netzwerkschicht, unter Verwendung von VLANs - Virtual Local Area Networks - mit Stateful-Firewall-Regeln zwischen jeder Zone. [kurze Pause] Warum ist das so wichtig? Zwei Worte: PCI-DSS. PCI-DSS - der Payment Card Industry Data Security Standard - verlangt, dass jedes Netzwerk, das Karteninhaberdaten überträgt, vollständig von jedem Netzwerk getrennt ist, auf das Gäste zugreifen können. Wenn Ihr Gäste-WiFi und Ihre Point-of-Sale-Terminals dasselbe Netzwerksegment nutzen, fällt Ihre gesamte Infrastruktur in den PCI-Geltungsbereich. Das bedeutet vierteljährliche externe Schwachstellenscans, jährliche Penetrationstests und einen Compliance-Aufwand, der weitaus mehr kostet als die VLAN-Konfiguration, die Sie übersprungen haben. Die Lösung ist einfach. VLAN 10 für Gäste. VLAN 20 für Mitarbeiter. VLAN 30 für IoT. VLAN 1 für Ihr Unternehmens-LAN. Firewall-Regeln, die jeglichen Datenverkehr von VLAN 10 zu den VLANs 20 und 1 explizit blockieren. Fertig. Ihr PCI-Geltungsbereich schrumpft drastisch. [kurze Pause] Now let's talk about encryption. The standard you should be deploying today is WPA3 - the Wi-Fi Protected Access 3 standard, ratified by the Wi-Fi Alliance. WPA3 replaces WPA2 and addresses two critical vulnerabilities: it eliminates the KRACK attack vector, and it introduces Simultaneous Authentication of Equals - SAE - which prevents offline dictionary attacks against captured handshakes. For guest networks specifically, WPA3 in Enhanced Open mode, also called OWE - Opportunistic Wireless Encryption - is worth understanding. OWE encrypts traffic between each device and the access point without requiring a password. Guests connect seamlessly, but their traffic is encrypted in transit. No more passive sniffing on open networks. For your staff network, you want WPA3 Enterprise with 802.1X authentication. 802.1X is the IEEE standard for port-based network access control. It uses a RADIUS server - Remote Authentication Dial-In User Service - to authenticate each device individually before granting network access. The device presents credentials, the RADIUS server validates them against your identity provider - Microsoft Entra ID, Okta, or Google Workspace are the canonical choices - and only then does the access point open the port. [short pause] This brings us to authentication methods. Within 802.1X, you have several EAP - Extensible Authentication Protocol - variants. EAP-TLS uses mutual certificate-based authentication. Both the server and the client present certificates. It's the most secure option and the one recommended for any environment where you're deploying managed devices. EAP-TTLS and PEAP - Protected EAP - use a server-side certificate with username and password credentials from the client. They're easier to deploy but slightly less secure. For guest networks, you're not using 802.1X. You're using a captive portal - a web page that intercepts the guest's browser session and requires them to authenticate before granting internet access. The captive portal is where GDPR comes in. [short pause] GDPR - the General Data Protection Regulation - requires that any personal data you collect at the captive portal has a lawful basis. For guest WiFi, that basis is almost always consent. And consent under GDPR must be freely given, specific, informed, and unambiguous. Pre-ticked boxes don't count. Bundling marketing consent with network access doesn't count. What does count is what Purple calls conscious-choice opt-ins. The guest sees a clear, honest choice: connect to WiFi, and optionally, tick this box if you'd like to receive marketing communications. The network access and the marketing consent are separate decisions. That's GDPR-compliant. That's also, incidentally, why the data you collect is higher quality - because the people who opted in actually wanted to. Purple verfügt über ISO 27001-, GDPR-, CCPA- und Cyber Essentials-Zertifizierungen. Das bedeutet, wenn Sie Purple als Ihre Captive Portal-Ebene bereitstellen, ist das Compliance-Framework bereits integriert. Sie fangen nicht bei Null an. [kurze Pause] Schnitt zwei: der technische Deep Dive. Werden wir konkret bei Hardware und Bereitstellung. Purple ist hardwareunabhängig. Es wird als Cloud-Overlay auf Ihren bestehenden Access Points bereitgestellt. Die kanonische Hardware-Liste umfasst Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Wenn Sie eines dieser Systeme nutzen, konfigurieren Sie Ihre Gäste-SSID so, dass sie auf den RADIUS- oder Captive Portal-Endpunkt von Purple verweist, und die Plattform übernimmt ab diesem Zeitpunkt die Authentifizierung, die Datenerfassung und die Analysen. Die Bereitstellungssequenz für ein typisches Hotel oder Konferenzzentrum sieht wie folgt aus. Erstens konfigurieren Sie Ihre VLANs auf dem Core-Switch. Zweitens erstellen Sie Ihre SSIDs auf dem Wireless-Controller - eine für Gäste, eine für Mitarbeiter, eine für IoT. Drittens weisen Sie jede SSID ihrem entsprechenden VLAN zu. Viertens konfigurieren Sie Ihre Firewall-Regeln, um die Zonenisolierung durchzusetzen. Fünftens verweisen Sie Ihre Gäste-SSID auf das Captive Portal von Purple. Sechstens konfigurieren Sie Ihre Mitarbeiter-SSID so, dass sie sich gegenüber Ihrem RADIUS-Server authentifiziert, der wiederum Ihren Identity Provider abfragt. Das ist das Gerüst. Die Details füllen es mit Leben. [kurze Pause] Zum Bandbreitenmanagement: Gästenetzwerke benötigen QoS - Quality of Service - Richtlinien, um zu verhindern, dass ein einzelnes Gerät Ihren Uplink blockiert. Ein sinnvoller Ausgangspunkt sind 10 Megabit pro Sekunde Download und 5 Megabit pro Sekunde Upload pro Gerät, mit einer harten Obergrenze auf SSID-Ebene. Für Veranstaltungsorte mit High-Density-Bereitstellungen - Stadien, Konferenzzentren - sollten Sie sich mit Band Steering befassen, um fähige Geräte auf das 5-Gigahertz-Band zu verlagern, und potenziell auf 6 Gigahertz, wenn Ihre Access Points WiFi 6E unterstützen. Zum DNS: Ihr Gäste-VLAN sollte einen DNS-Resolver verwenden, der bösartige Domains filtert. Im Gesundheits- oder Bildungswesen ist dies nicht optional - es ist eine Schutzmaßnahme, um zu verhindern, dass Ihr Netzwerk für den Zugriff auf schädliche Inhalte genutzt wird. Das Shield-Add-on von Purple bietet dies auf Plattformebene. [kurze Pause] Schnitt drei: Implementierungsfehler und wie man sie vermeidet. Fehler eins: Flat Networks. Das sehe ich immer noch in Einzelhandelsumgebungen. Eine SSID, ein Subnetz, Gäste und Point-of-Sale-Terminals in derselben Broadcast-Domäne. Dies verstößt gegen die PCI-DSS-Anforderung 1.3, die eine Netzwerksegmentierung zwischen nicht vertrauenswürdigen Netzwerken und der Karteninhaber-Datenumgebung vorschreibt. Beheben Sie dies mit VLANs vor Ihrem nächsten QSA-Audit. Fehler zwei: Selbstsignierte Zertifikate auf Captive Portals. Wenn sich ein Gast mit Ihrem Netzwerk verbindet und sein Browser eine Zertifikatswarnung anzeigt, klickt er sich entweder durch - was ihn dazu erzieht, Sicherheitswarnungen zu ignorieren - oder er bricht ab. Verwenden Sie ein gültiges TLS-Zertifikat von einer anerkannten Zertifizierungsstelle für Ihr Captive Portal. Let's Encrypt ist kostenlos. Es gibt keine Ausrede. Fallstrick drei: kein Sitzungs-Timeout. Gäste-Sitzungen sollten ablaufen. Ein 24-Stunden-Sitzungs-Timeout ist im Gastgewerbe angemessen. Im Einzelhandel reicht ein 4-Stunden-Timeout. Ohne ein Timeout hat ein vor sechs Monaten verbundenes Gerät immer noch eine aktive Sitzung - und erscheint möglicherweise immer noch in Ihren Analysen als "Besucher". Fallstrick vier: fehlende Zugriffsprotokolle. Die GDPR und die meisten nationalen Telekommunikationsvorschriften verlangen von Ihnen, Verbindungsprotokolle - IP-Adresse, MAC-Adresse, Zeitstempel, Sitzungsdauer - für einen bestimmten Zeitraum aufzubewahren. Purple speichert diese automatisch und exportiert sie in Formaten, die mit den Anforderungen der Strafverfolgungsbehörden kompatibel sind. Wenn Sie ein selbstgebautes Captive Portal betreiben, stellen Sie sicher, dass Ihre Protokollierung konfiguriert ist und Ihre Aufbewahrungsrichtlinie dokumentiert ist. [kurze Pause] Abschnitt vier: Fragen im Schnelldurchlauf. Benötige ich eine separate SSID für IoT-Geräte? Ja. IoT-Geräte sind der häufigste Angriffsvektor für laterale Bewegungen im Netzwerk. Isolieren Sie sie. Kann ich einen einzigen Access Point für Gäste und Mitarbeiter nutzen? Ja, wenn er mehrere SSIDs unterstützt, die verschiedenen VLANs zugewiesen sind. Die meisten Enterprise Access Points tun das. Stellen Sie einfach sicher, dass der Trunk-Port auf dem Switch korrekt konfiguriert ist. Führt WPA3 zu Problemen bei älteren Geräten? Einige ältere Geräte unterstützen WPA3 nicht. Konfigurieren Sie Ihre SSID im WPA2/WPA3-Übergangsmodus, um die Abwärtskompatibilität aufrechtzuerhalten und gleichzeitig WPA3 für fähige Geräte anzubieten. Was ist der Unterschied zwischen Passpoint und einem Captive Portal? Passpoint - auch bekannt als Hotspot 2.0 - ermöglicht es Geräten, sich automatisch mit vorab bereitgestellten Anmeldedaten zu verbinden, ohne dass eine Interaktion mit dem Captive Portal erforderlich ist. Es ist ideal für häufige Besucher oder Mitglieder von Treueprogrammen. Purple unterstützt Passpoint und OpenRoaming, wodurch die automatische Verbindung über ein föderiertes Netzwerk teilnehmender Standorte hinweg erweitert wird. [kurze Pause] Abschnitt fünf: Zusammenfassung und nächste Schritte. Folgendes sollten Sie aus diesem Briefing mitnehmen. Erstens: Segmentieren Sie Ihr Netzwerk. Gäste, Mitarbeiter, IoT und das Unternehmens-LAN auf separaten VLANs mit expliziten Firewall-Regeln dazwischen. Dies ist die wirksamste Einzelmaßnahme, die Sie für Sicherheit und Compliance ergreifen können. Zweitens: Setzen Sie WPA3 ein, wo Ihre Hardware dies unterstützt. WPA3 Enterprise für Mitarbeiter. WPA3 Enhanced Open oder ein Captive Portal für Gäste. Drittens: Gestalten Sie Ihr Captive Portal GDPR-konform. Trennen Sie den Netzwerkzugang von der Marketing-Zustimmung. Nutzen Sie bewusste Opt-ins. Bewahren Sie Verbindungsprotokolle auf. Viertens: Nutzen Sie ein hardwareunabhängiges Cloud-Overlay wie Purple. Es bietet Ihnen eine konsistente Gäste-Erfahrung in Ihrem gesamten Betrieb, unabhängig davon, welchen Access-Point-Hersteller Sie nutzen. Und es verwandelt Ihr Gäste-WiFi von einer Kostenstelle in eine Quelle für First-Party-Daten. Fünftens: Messen Sie es. Die Analyseplattform von Purple liefert Ihnen Besucherzahlen, Verweildauer, Wiederkehrraten und demografische Erkenntnisse - alles abgeleitet aus WiFi-Verbindungsdaten. Das ist die Art von Erkenntnissen, die die Infrastrukturinvestition vor einer Geschäftsführung rechtfertigt, der VLANs egal sind, die sich aber für Umsatz interessiert. [kurze Pause] Wenn Sie tiefer in eines dieser Themen einsteigen möchten, finden Sie den vollständigen schriftlichen Leitfaden auf der Purple Website. Er umfasst die VLAN-Konfiguration, das RADIUS-Setup, GDPR-Daten-Mapping sowie praxisnahe Beispiele aus dem Gastgewerbe, dem Einzelhandel und aus Stadion-Projekten. Vielen Dank, dass Sie das Purple Technical Brief gehört haben. Wir hören uns beim nächsten Mal.