Warum Gast-WLAN in einem separaten Netzwerk sein muss — VLAN-Leitfaden

Ihr Gast-WLAN-Passwort klebt am Empfang. Besucher, Lieferanten und wartende Kunden verbinden sich. Aber die Frage ist: Kann dieses Gast-Smartphone Ihren Buchhaltungsserver erreichen?

Wenn Gast-WLAN und Firmennetzwerk denselben IP-Bereich teilen — ja, kann es.

---

Das Risiko: Gleiches Netzwerk = Gleicher Zugang

Gast-Smartphone → Gleicher Switch → Gleiches VLAN → Kann sehen:
  ├── Buchhaltungsserver (SMB-Freigabe)
  ├── IP-Kameras
  ├── Drucker
  ├── NAS mit Firmendateien
  └── Jedes andere Gerät im Netzwerk

Laut IBM 2024 reduziert Netzwerksegmentierung die Auswirkungen von Verletzungen um 67%.

---

Die Lösung: VLAN-Segmentierung

VLAN 10: Management    → Router, Switches, Admin-Zugang
VLAN 20: Mitarbeiter   → Arbeitscomputer, Drucker, Server
VLAN 30: Gast          → Nur Internet, kein interner Zugang
VLAN 40: IoT/Kameras   → IP-Kameras, Sensoren, isoliert

---

Implementierung: 4 Schritte

Schritt 1: VLANs planen

VLAN-ID	Name	Zweck	Internet	Interner Zugang
10	Management	Netzwerkadmin	Ja	Voll
20	Mitarbeiter	Angestellte	Ja	Server, Drucker
30	Gast	Besucher	Ja	❌ Keiner
40	IoT	Kameras, Sensoren	Begrenzt	❌ Keiner

Schritt 2: Switch konfigurieren

Port 1 (Trunk zu Router):    VLAN 10,20,30,40 tagged
Port 2-8 (Mitarbeiter):      VLAN 20 untagged
Port 9-10 (Gast-AP):         VLAN 30 untagged
Port 11-12 (Kameras):        VLAN 40 untagged

Schritt 3: Router konfigurieren

Auf MikroTik RouterOS:

/interface vlan
add interface=ether1 name=vlan20-staff vlan-id=20
add interface=ether1 name=vlan30-guest vlan-id=30

/ip address
add address=192.168.20.1/24 interface=vlan20-staff
add address=192.168.30.1/24 interface=vlan30-guest

/ip firewall filter
add chain=forward src-address=192.168.30.0/24 dst-address=192.168.20.0/24 action=drop comment="Gast zu Mitarbeiter blockieren"

Schritt 4: WLAN konfigurieren

SSID: Firmenname-Mitarbeiter  → Bridge zu VLAN 20
SSID: Firmenname-Gast         → Bridge zu VLAN 30

---

Überprüfung

# Vom Gast-WLAN testen
ping 192.168.20.1    # Sollte FEHLSCHLAGEN
ping 8.8.8.8         # Sollte ERFOLGREICH sein

---

Häufige Fehler

Fehler	Folge	Lösung
Keine Firewall zwischen VLANs	VLANs existieren aber kommunizieren	Drop-Regeln hinzufügen
Gast-DNS zeigt auf internen DNS	DNS-Anfragen leaken Hostnamen	Öffentliches DNS verwenden
Management-VLAN vom Gast erreichbar	Angreifer kann Router-Admin erreichen	Gast → Management blockieren

---

Kosten

Komponente	Preisbereich
MikroTik Managed Switch (8-Port)	50-100 €
Konfiguration (professionell)	100-300 € einmalig
Zusätzlicher Access Point	50-200 €
Gesamt	200-600 € einmalig

Keine monatlichen Gebühren. Einmalige Einrichtung, die Ihr Netzwerk dauerhaft schützt.