Gäste-WLAN und Firmennetz: Warum sie getrennt sein müssen

Das WLAN-Passwort am Kühlschrank und ein Netzwerk für alles: Gäste, Rezeption, Kasse, Kameras und den Smart-TV in der Lobby. Solche Netzwerke sind im Tourismus verbreitet, und nicht nur in kleinen Ferienwohnungen.

Es funktioniert, bis etwas schiefgeht. Und dann ist es meist zu spät.

Was kann in einem gemeinsamen Netzwerk passieren?

Jedes Gerät, das sich mit Ihrem Netzwerk verbindet, „sieht“ die anderen Geräte darin. Der Gast muss dabei nicht einmal böse Absichten haben. Es genügt ein Smartphone oder Laptop mit Schadsoftware, die das Netzwerk nach verwundbaren Geräten durchsucht.

• Der Rezeptionscomputer mit Gästedaten, Buchungen und Rechnungen ist von jedem Gerät im Netzwerk erreichbar.
• Freigegebene Ordner und Drucker sind oft gar nicht geschützt, weil sie sich „ohnehin im internen Netz befinden“.
• Kameras und Videorekorder haben eine Weboberfläche, die mit dem Werkspasswort für jeden offen steht.
• Die Oberfläche des Routers ist aus dem Netzwerk erreichbar und damit alle Einstellungen.
• Gäste sehen einander: fremde Fernseher, Lautsprecher und Geräte zur Bildschirmübertragung.

Dazu kommt ein praktisches Problem. Wenn mehrere Gäste gleichzeitig Videos streamen oder große Dateien herunterladen, teilen sich Kartenterminal und Buchungssystem dieselbe Verbindung mit ihnen. Das Ergebnis: Zahlungen, die genau dann hängen, wenn die Schlange an der Rezeption am längsten ist.

Die Lösung: getrennte Netzwerke für getrennte Zwecke

Die Lösung heißt Netzwerksegmentierung. Das Netzwerk wird in mehrere getrennte Netzwerke (VLANs) aufgeteilt, jedes mit eigenem Zweck und eigenen Regeln. Geräte in einem Netzwerk erreichen keine Geräte in einem anderen, außer Sie erlauben es ausdrücklich.

Eine typische Aufteilung für Hotel, Campingplatz oder Ferienwohnungen sieht so aus:

Gästenetzwerk

• Nur Internetzugang, ohne Zugriff auf irgendetwas im Objekt.
• Die Geräte der Gäste sind voneinander isoliert und sehen sich nicht.
• Eine Geschwindigkeitsbegrenzung pro Gerät verhindert, dass ein Gast die ganze Verbindung belegt.
• Das Passwort lässt sich ändern, ohne den Rest des Netzwerks zu beeinflussen.

Firmennetz

• Computer an der Rezeption und im Büro, Drucker und freigegebene Ordner.
• Ein Passwort, das nur Mitarbeiter kennen, nicht die Gäste.

Kasse und Kartenterminals

• Kasse und Kartenterminals im eigenen Netzwerk, mit Vorrang für ihren Datenverkehr.
• Zahlungen funktionieren auch dann, wenn das Gästenetzwerk am stärksten ausgelastet ist.

Kameras und Videoüberwachung

• Kameras und Videorekorder getrennt vom übrigen Netzwerk, ohne direkten Zugriff aus dem Internet.
• Zugriff auf Aufnahmen nur für berechtigte Personen.

Smarte Geräte

• Smarte Schlösser, Thermostate, Fernseher und andere Geräte, die selten Updates erhalten.
• In einem eigenen Netzwerk werden sie nicht zum Einfallstor zu Ihren Geschäftsdaten.

Jedes Netzwerk kann einen eigenen WLAN-Namen haben, muss es aber nicht. Ihre Mitarbeiter müssen zum Beispiel gar nicht wissen, dass das Kartenterminal in einem eigenen Netzwerk ist.

Warum das auch rechtlich wichtig ist

An der Rezeption werden personenbezogene Daten der Gäste verarbeitet: Namen, Ausweisnummern, Kontaktdaten und Zahlungsdaten. Die Datenschutz-Grundverordnung (DSGVO) verlangt von Ihnen geeignete technische Maßnahmen zum Schutz dieser Daten. Ein Netzwerk, das Sie mit Ihren Gästen teilen, kann kaum als solche Maßnahme gelten.

Ähnliches gilt für Kartenzahlungen. Der Sicherheitsstandard der Kartenzahlungsbranche (PCI DSS) empfiehlt, Zahlungssysteme vom übrigen Netzwerk zu trennen, weil sich so die Zahl der zu schützenden Systeme verringert.

So prüfen Sie, ob Ihr Netzwerk getrennt ist

Einen einfachen Test können Sie selbst durchführen, in Ihrem eigenen Netzwerk:

1. Verbinden Sie ein Smartphone oder einen Laptop mit dem Gäste-WLAN, so wie ein Gast.
2. Suchen Sie in den Details der WLAN-Verbindung die Adresse des Routers (Gateway) und öffnen Sie sie im Browser.
3. Suchen Sie nach Druckern, freigegebenen Ordnern oder anderen Geräten im Netzwerk.

Öffnet sich die Anmeldeseite des Routers oder sehen Sie ein Gerät Ihres Betriebs, ist Ihr Gäste-WLAN nicht getrennt. Der Test deckt nicht jede Schwachstelle auf, zeigt aber die häufigsten.

Braucht es dafür neue Geräte?

Nicht unbedingt. Viele Heimrouter bieten die Option „Gäste-WLAN“, doch sie trennt meist nur das Nötigste, ohne Geschwindigkeitsbegrenzung und ohne eigene Netzwerke für Kameras oder Kasse. Für eine vollständige Aufteilung braucht es professionelle Netzwerktechnik mit VLAN-Unterstützung. Vielleicht haben Sie diese bereits, nur ist sie nicht so eingerichtet.

Deshalb lohnt es sich, vor jeder Anschaffung das bestehende Netzwerk zu prüfen. Oft genügt eine Änderung der Einstellungen, manchmal ein zusätzliches Gerät.

Wir helfen Ihnen

Wir prüfen Ihr Netzwerk, schlagen eine Aufteilung vor, die zu Ihrem Objekt passt, und richten sie außerhalb der Saison ein, wenn sie niemanden stört. Mit der proaktiven Wartung prüfen wir auch die Sicherheit Ihres Netzwerks regelmäßig, das ganze Jahr über.

Wenn Sie Ihr Netzwerk auf die neue Saison vorbereiten, lesen Sie auch unsere Netzwerk-Checkliste vor der Saison. Für ein Angebot beschreiben Sie uns Ihr Objekt in einem kurzen Fragebogen, und Sie hören innerhalb von 2 Werktagen von uns.