Wie richtet man ein sicheres Gast-WLAN im Betrieb ein?

Warum ist es riskant, das Passwort mit dem Kunden zu teilen?

In vielen Cafés, Geschäften und Wartezimmern steht das WLAN-Passwort an der Wand oder neben der Kasse. Dieses Passwort ist oft das Passwort des eigenen Netzwerks des Betriebs. Das heißt, das Telefon des Kunden befindet sich im selben Netzwerk wie der Kassenrechner, das POS-Gerät, der Drucker und der Kamerarekorder.

Bei diesem Aufbau gibt es zwei Probleme. Das erste ist die Sicherheit: Jedes Gerät im Netzwerk kann die anderen Geräte im selben Netzwerk scannen. Ein Kamerarekorder oder Drucker, dessen Standardpasswort nicht geändert wurde, liegt offen vor jedem, der sich mit dem Netzwerk verbindet. Auch ein mit Schadsoftware infiziertes Kundentelefon kann unbemerkt denselben Scan durchführen. Das zweite ist die Leistung: Wenn Kunden an einem vollen Nachmittag Videos ansehen, verlangsamt sich der Zahlungsvorgang an der Kasse.

Die Lösung ist, die Gäste in ein separates Netzwerk zu legen. Ist diese Trennung sauber umgesetzt, kommt der Kunde ins Internet, sieht aber kein einziges Gerät des Betriebs.

Wie wird das Netzwerk getrennt?

Die einfachste Methode ist, die Gastnetz-Funktion des Modems oder Access Points einzuschalten. Diese Funktion, die selbst in Heimgeräten vorhanden ist, erzeugt einen eigenen Netzwerknamen und sperrt den Zugriff der Gäste auf das interne Netzwerk. Für ein kleines Geschäft kann sie als Anfang ausreichen.

Die robustere Methode ist die Verwendung von VLANs. Ein VLAN bedeutet, auf denselben Kabeln und Geräten virtuelle Netzwerke zu erzeugen, die sich gegenseitig nicht sehen. Mitarbeiternetz, Gastnetz und Kameranetz laufen in getrennten VLANs. Den Übergang zwischen ihnen steuert ein Router oder eine Firewall. Für diesen Aufbau sind ein VLAN-fähiger Router, ein verwaltbarer Switch und Access Points erforderlich, die mehrere Netzwerknamen ausstrahlen können.

Im Gastnetz sollte auch die Client-Isolation aktiviert werden. Diese Einstellung verhindert, dass sich Telefone im selben Gastnetz gegenseitig sehen. So wird verhindert, dass im Café jemand am Nachbartisch versucht, auf Ihr Telefon zuzugreifen.

Expertenhinweis: Verbinden Sie sich nach der Installation mit einem Telefon mit dem Gastnetz und versuchen Sie, die IP-Adresse des Kassenrechners oder des Kamerarekorders zu erreichen. Wenn Sie sie erreichen, funktioniert die Trennung nicht.

Geschwindigkeitsbegrenzung und Nutzungsdauer

Eine Gesamt- und eine Pro-Kopf-Geschwindigkeitsbegrenzung für das Gastnetz schützt den Teil der Internetleitung, der für den Betrieb vorgesehen ist. Kasse, Zahlungssystem und Fernüberwachung des Kamerasystems müssen unter allen Bedingungen funktionieren. Dem Gastnetz nur einen Teil der Leitung zuzuweisen stellt dieses Gleichgewicht her.

Auch eine Begrenzung der Nutzungsdauer ist nützlich. Ein Kunde kann nach der Anmeldung eine bestimmte Zeit verbunden bleiben und muss sich danach erneut anmelden. Das sortiert auch Fahrzeuge aus, die vor der Tür parken und stundenlang das Netzwerk nutzen, sowie benachbarte Geschäfte.

Lassen Sie auch das Gästepasswort nicht unverändert. Ein Passwort, das monatelang gleich bleibt, ist auf den Telefonen aller Leute auf der Straße gespeichert. Ein wöchentlich oder monatlich wechselndes Passwort mit einer kleinen Karte an der Kasse auszugeben oder jedem Kunden unter dem Beleg einen Einmalcode zu drucken, löst dieses Problem.

Ist eine Anmeldeseite (Captive Portal) nötig?

Die Anmeldeseite ist der Bildschirm, den eine Person sieht, die sich mit dem Gastnetz verbindet, bevor sie ins Internet kommt. Sie ist in Hotels und Einkaufszentren häufig zu sehen. Vom Nutzer können die Telefonnummer und ein per SMS gesendeter Code, die Zimmernummer oder ein an der Kasse ausgegebener Gutscheincode verlangt werden.

Die Anmeldeseite ist eine praktische Möglichkeit, zu protokollieren, wer sich zu welcher Uhrzeit verbunden hat. Sie sorgt auch dafür, dass die Nutzungsbedingungen akzeptiert werden. Wenn Sie jedoch personenbezogene Daten wie die Telefonnummer erfassen, greift das Gesetz Nr. 6698 zum Schutz personenbezogener Daten: Dem Nutzer muss ein Informationstext bereitgestellt werden, und es muss angegeben werden, wie lange und zu welchem Zweck die Daten aufbewahrt werden. Holen Sie sich bei der Erstellung dieses Textes Unterstützung von einem Rechtsberater.

Das Gesetz Nr. 5651 und die Protokollführung

Das Gesetz Nr. 5651 und die dazugehörige Verordnung definieren Orte, die Internetzugang gemeinschaftlich anbieten, als Anbieter einer Massennutzung. Es wird angenommen, dass Cafés, Restaurants, Hotels, Wohnheime und ähnliche Betriebe in diesem Rahmen beurteilt werden können und Zugriffsprotokolle in einer bestimmten Ordnung führen müssen. Welche Information, mit welcher Methode und wie lange gespeichert wird, ist in den Vorschriften festgelegt und kann sich im Lauf der Zeit ändern.

Technisch werden diese Protokolle meist automatisch von der Firewall oder einem Protokollgerät (Log) geführt. Die Protokolle müssen unveränderbar aufbewahrt werden und bei Bedarf den zuständigen Behörden vorgelegt werden können. Wir empfehlen, mit einem Rechtsberater zu klären, ob Ihr Betrieb unter den Anwendungsbereich fällt und wie die aktuellen Bedingungen lauten.

Kurze Checkliste für die Installation

Prüfen Sie beim Einrichten eines Gäste-WLANs oder beim Überprüfen eines bestehenden Netzwerks die folgenden Punkte einzeln.

• Das Gastnetz wird unter einem anderen Netzwerknamen als das Mitarbeiternetz ausgestrahlt.
• Vom Gastnetz aus sind die Geräte des Betriebs nicht erreichbar.
• Die Gästegeräte können sich gegenseitig nicht sehen.
• Es gibt eine Geschwindigkeitsbegrenzung pro Person und insgesamt.
• Das Gästepasswort wird in regelmäßigen Abständen geändert.
• Die Administratorpasswörter sind nicht auf dem Standardwert.
• Zugriffsprotokolle werden geführt und aufbewahrt.
• Werden personenbezogene Daten erfasst, wird ein Informationstext angezeigt.

Welcher Aufbau für welchen Betrieb?

Für eine Praxis mit Wartezimmer oder ein kleines Geschäft reichen die Gastnetz-Funktion des Modems und ein regelmäßiger Passwortwechsel meist aus. In Cafés, Restaurants und stark besuchten Geschäften ist ein Aufbau mit VLAN, Geschwindigkeitsbegrenzung und Protokollgerät nötig. In Hotels, Wohnheimen und Einkaufsbereichen werden Anmeldeseite, zentral verwaltete Access Points und Protokollierungssystem gemeinsam geplant. An Orten, die in der Saison voll werden, wie etwa Tourismusbetrieben rund um Balıklıgöl in Şanlıurfa, unterscheidet sich die Last im Sommer stark von der im Winter; die Kapazität sollte nach der Hauptsaison berechnet werden.

Desa Bilişim richtet in Betrieben einen Aufbau ein, der das Gastnetz vom Mitarbeiter- und Kameranetz trennt, und übergibt ihn mit dokumentierten Einstellungen. Wenn Sie wissen möchten, wie offen Ihr bestehendes Netzwerk ist, können wir mit einer Prüfung vor Ort beginnen.

Häufige Fragen