Probleme · IT-Betrieb & Arbeitsplatz
Wie richte ich ein sicheres Gäste-WLAN ein?
Kurz gesagt
Ein eigener WLAN-Name reicht nicht. Das Gäste-WLAN braucht einen eigenen Netzwerkbereich, etwa ein separates VLAN, und Firewall-Regeln, die nur den Weg ins Internet erlauben. Kasse, Drucker, Buchungssystem und Verwaltung bleiben unerreichbar. Teste die Trennung mit einem Gerät, halte den Zugang für Gäste einfach und plane Funk und Bandbreite für Spitzenzeiten.
Für wen das gilt
Für Betriebe, die Gästen, Kunden oder Besuchern WLAN anbieten, besonders Restaurants und Hotels. Dort kommen private Geräte, wechselnde Gäste und betriebliche Anwendungen auf engem Raum zusammen. Beim Frühstück, auf der vollen Terrasse oder während einer Veranstaltung verbinden sich innert Minuten viele Geräte. Gleichzeitig laufen Kartenzahlungen, Bestellungen und Buchungen über das Betriebsnetz.
Das typische Problem: An der Rezeption erscheint das Gäste-WLAN mit eigenem Namen, doch Kasse, Drucker und Büro-PCs hängen technisch im selben Netz. Das fällt erst auf, wenn ein Gerät falsch konfiguriert ist oder jemand interne Systeme erreicht.
Die drei Bausteine
| Baustein | Was dazugehört |
|---|---|
| Trennung | eigener Netzwerkbereich (z.B. VLAN), Firewall-Regeln nur Richtung Internet; auch im Betriebsnetz Kasse, Büro, Kameras und Gebäudetechnik bewusst getrennt |
| Zugang | klarer Netzwerkname, QR-Code, kurze Anleitung; Passwort, Voucher oder Portal passend zur Grösse |
| Funk und Betrieb | Access Points, Kanalplanung, Kapazität bei Spitzenlast, Upload und Download, Adminzugänge geschützt, Störungsablauf |
Die Grenze technisch durchsetzen
Erlaubt ist der Weg ins Internet. Kasse, Buchungssystem, Drucker, Kameras und Verwaltungsoberflächen bleiben unerreichbar. Die Oberflächen von Router, Firewall und WLAN-Controller dürfen nicht offen aus dem Internet erreichbar sein. Dazu gehören persönliche Adminkonten, MFA, Updates und Konfigurationssicherungen. Eine Trennung macht einen Vorfall nicht unmöglich, begrenzt aber seine Folgen.
Den passenden Zugang wählen: Passwort, Voucher, Selbstregistrierung oder Portal
Je nach Betrieb und Nutzung kommen unterschiedliche Zugangsarten infrage:
| Zugang | Wie es funktioniert | Passt eher, wenn … |
|---|---|---|
| Gemeinsames Passwort | ein Passwort für alle, regelmässig gewechselt | der Betrieb klein ist und das Team weiss, wo das aktuelle Passwort steht |
| Voucher | Zugangscode mit zeitlich begrenzter Gültigkeit | Zugänge gezielt ausgegeben werden sollen, etwa an der Rezeption oder an einem Anlass |
| Selbstregistrierung | Gäste melden sich per SMS-Code oder E-Mail selbst an | niemand an der Theke Zugänge verteilen soll |
| Anmeldeportal (Captive Portal) | eigene Anmeldeseite mit Hinweisen und deinem Branding | du Gäste bei der Anmeldung informieren willst |
Ein Voucher ist nicht automatisch sicherer als ein einfacherer Zugang. Entscheidend ist, dass Gäste technisch von Kasse, Büro, Druckern, Kameras und Verwaltungszugängen getrennt bleiben. Welche Daten bei einer Registrierung erhoben werden, muss zum Zweck und zu den Anforderungen deines Betriebs passen.
Für dauerhaft betriebene Gästezugänge mit eigenem Anmeldeportal und Selbstregistrierung gibt es HSG Cloud für UniFi. Für Messen und Events mit Voucher, Selbstregistrierung oder Portal ist STARwave gedacht.
Funk und Bandbreite gemeinsam planen
Gute Abdeckung ersetzt keine ausreichende Internetanbindung, und eine schnelle Leitung löst kein Funkproblem hinter Betonwänden. Dicke Wände, Metall, Kühlgeräte und Aufzüge verändern die Funkabdeckung. Ein Access Point im Flur garantiert keine stabile Verbindung im hintersten Zimmer. Die Zahl der Zimmer oder Sitzplätze sagt wenig über die Last an einem bestimmten Abend: Eine Familie verbindet mehrere Telefone, Tablets und Fernseher, das Team braucht zusätzlich Kassen, Bestellgeräte und Telefonie.
Aus der Praxis
Eine getestete Grenze ist wertvoller als ein zweiter WLAN-Name. Unser Standardtest:
- Testgerät mit dem Gäste-WLAN verbinden.
- Versuchen, interne Adressen oder einen Drucker zu erreichen.
- Kontrollieren, dass nur der Internetzugang funktioniert.
So fällt eine versehentlich zu breite Regel im geplanten Test auf und nicht während eines vollen Betriebsabends.
Bei der Planung reden wir mit Rezeption, Service und Küche: Wo melden Gäste Probleme? Welche Geräte dürfen nicht ausfallen? Wann ist eine Unterbrechung besonders ungünstig? Gemessen wird mit unterschiedlichen Geräten in den tatsächlichen Bereichen, nicht direkt neben dem Access Point. Videocalls, Streaming und Kartenleser stellen unterschiedliche Anforderungen; kritische Betriebsdienste lassen sich bei Bedarf priorisieren, ohne Gäste unnötig auszubremsen.
Ehrlich gesagt: wann es sich nicht lohnt
Ein aufwendiges Portal lohnt sich für ein kleines Restaurant meist nicht. Es erzeugt oft mehr Support und Datenschutzfragen als Nutzen. Ein komplizierter Prozess, den niemand kennt, ist im Alltag weniger sicher als ein einfacher, sauber betriebener. Und ein besonders kompliziertes Gastpasswort bringt weniger Sicherheit als persönliche Konten mit MFA für Fernwartung und Verwaltung.
So gehst du vor
Checkliste für Planung und Betrieb:
- Begehung: Lobby, Zimmer, Sitzungsräume, Restaurant, Küche, Terrasse, Parkplatz, Personalräume.
- Spitzenzeiten erfassen: Check-in, Frühstück, Veranstaltungen, verregneter Abend.
- Trennung einrichten: eigener Bereich für Gäste, Betriebsnetz ebenfalls bewusst unterteilt.
- Trennung testen und nach jeder grösseren Änderung wiederholen.
- Zugang gestalten: Name, QR-Code, Anleitung; Passwort, Voucher oder Portal passend zur Grösse; wer verwaltet die Zugangsdaten?
- Unter Last messen, auch den Wechsel zwischen Access Points.
- Adminzugänge schützen: nicht offen im Internet, persönliche Konten, MFA, Updates, Konfigurationssicherung.
- Störungsablauf festhalten: wo die Geräte sind, wer zuerst prüft, wie externe Hilfe erreicht wird, Ersatzgeräte.
- Internetausfall durchspielen: Was funktioniert noch, wie werden Gäste informiert, welche Systeme haben Vorrang? Ausserhalb der Spitzenzeit testen, ob Telefonie, Kasse und Buchung auf den Ersatzweg reagieren.
Wie die Firewall die Bereiche trennt, steht in Welche Firewall braucht ein KMU?. Zur Leitung selbst: Welcher Internetanschluss passt zum Unternehmen?. Mehr unter IT-Betrieb & Arbeitsplatz, unsere Festpreise auf der Preisseite.
Häufige Fragen
Reicht ein eigenes Passwort für das Gäste-WLAN?
Nein. Entscheidend ist, was ein verbundenes Gerät technisch erreichen darf. Ohne eigenen Netzwerkbereich und Firewall-Regeln hängen Kasse, Drucker und Büro-PCs trotz anderem Namen und Passwort im selben Netz.
Wie prüfe ich, ob die Trennung funktioniert?
Verbinde ein Testgerät mit dem Gäste-WLAN und versuche, interne Adressen oder einen Drucker zu erreichen. Nur der Internetzugang darf funktionieren. Wiederhole den Test nach grösseren Änderungen an Firewall oder Access Points.
Passwort, Voucher oder Portal?
Das hängt von Grösse und Ablauf ab. Ein Tagespasswort kann in einem kleinen Restaurant genügen, wenn das Team weiss, wo es zu finden ist und wann es wechselt. Ein grösseres Hotel braucht eher einen automatisierten Zugang, der mit Buchung oder Aufenthalt verbunden ist.
Was ist eine WLAN-Voucher-Lösung?
Gäste erhalten einen Zugangscode, den Voucher, der nur für eine begrenzte Zeit gilt. Das passt, wenn das Team Zugänge gezielt ausgeben will, etwa an der Rezeption oder an einer Veranstaltung. Ein Voucher ist aber nicht automatisch sicherer als ein einfacherer Zugang: Entscheidend bleibt, dass Gäste technisch vom Betriebsnetz getrennt sind.
Welche Daten darf ich beim Gästezugang erfassen?
Nur die, die der gewählte Ablauf wirklich braucht. Prüfe die rechtlichen Vorgaben für deinen Betrieb. Ein aufwendiges Portal kann mehr Support und Datenschutzfragen erzeugen als Nutzen bringen.
Warum ist das WLAN trotz vollen Balken langsam?
Volle Balken sagen wenig über Durchsatz, Latenz und Stabilität bei vielen Geräten aus. Auch der Wechsel zwischen Access Points kann haken: Ein Telefon bleibt beim Gang vom Zimmer in die Lobby manchmal zu lange an einem entfernten Zugangspunkt hängen.
