Gäste-WLAN und getrennte Netze einrichten: Wie trenne ich Gäste, Smart-Home-Geräte und Büro-PCs per VLAN und SSID sicher voneinander?

Ein einziges WLAN für alle Geräte ist bequem, aber technisch ungünstig: Jedes Gerät sieht jedes andere, und ein billiges IoT-Gerät mit veralteter Firmware sitzt im selben Netz wie der Buchhaltungsrechner. Mit mehreren SSIDs und VLANs lassen sich Gäste, Smart-Home-Technik und Arbeitsrechner sauber trennen. Dieser Beitrag zeigt, welche Hardware dafür nötig ist und wie die Einrichtung in einem kleinen Büro abläuft.

Warum ist ein einziges WLAN für alle Geräte ein Risiko?

In einem flachen Netz erreichen sich alle Teilnehmer direkt. Ein kompromittiertes Gerät, etwa eine Kamera, eine Steckdose oder das Smartphone eines Besuchers, kann andere Geräte im selben Netz scannen und angreifen, ohne dass dafür eine Firewall im Weg steht. Dazu kommt, dass Freigaben, Drucker und NAS-Systeme für jeden sichtbar sind, der das Passwort kennt.

Auch die Performance leidet. Viele IoT-Geräte funken nur im 2,4-GHz-Band und mit niedrigen Datenraten. Sie belegen dort viel Sendezeit und bremsen alle anderen Teilnehmer auf demselben Kanal. Wer Broadcast-lastige Smart-Home-Geräte vom Arbeitsnetz fernhält, hat in der Praxis ruhigere Verbindungen.

Was ist der Unterschied zwischen SSID und VLAN?

Die SSID ist der Name, den der Nutzer im WLAN sieht. Ein VLAN ist ein logisch getrenntes Netz auf Ebene 2, das über eine Nummer (VLAN-ID) im Datenverkehr gekennzeichnet wird. Erst die Kombination macht die Trennung wirksam: Jede SSID wird einem eigenen VLAN zugeordnet, und der Access Point markiert den Verkehr entsprechend (Tagging), bevor er ins Kabelnetz geht.

Mehrere SSIDs allein trennen noch nichts, wenn sie am Ende im selben Netz landen. Entscheidend ist, dass zwischen den VLANs ein Router oder eine Firewall sitzt, der festlegt, was überhaupt durchgelassen wird.

Welche Hardware kann Gäste-WLAN, Client-Isolation und VLAN-Tagging?

Drei Funktionen sind relevant: ein Gäste-WLAN oder mehrere SSIDs, Client-Isolation (Geräte im selben WLAN sehen sich nicht) und VLAN-Tagging pro SSID. Einfache Heimrouter bieten oft nur ein Gäste-WLAN, das intern vom Hauptnetz abgeschottet ist. Für Zuhause ist das häufig ausreichend. Ein Router wie der D-Link EXO AX AX1500 DIR-X1560 deckt als WiFi-6-Gerät den Heim- und Kleinbürobetrieb ab. Ob er für Ihr Vorhaben genügt, hängt davon ab, ob Sie nur Gäste abtrennen oder mehrere frei konfigurierbare VLANs brauchen. Prüfen Sie das im Datenblatt des jeweiligen Geräts.

Für echte VLAN-Konzepte brauchen Sie Access Points, die pro SSID eine VLAN-ID zuweisen können, und einen Router oder eine Firewall mit VLAN-Unterstützung und Firewall-Regeln zwischen den Netzen. Achten Sie außerdem auf PoE, wenn die Access Points per Kabel versorgt werden sollen.

Worauf muss ich beim Switch achten?

Der Switch muss VLANs verstehen, also „managed“ oder zumindest „smart managed“ sein. Ein unmanaged Switch reicht getaggte Pakete oft zwar durch, kann aber keine Ports konfigurieren und bietet keine Kontrolle. Der Port zum Access Point wird als Trunk (getaggt) eingerichtet und führt alle benötigten VLANs. Ports für Büro-PCs oder Drucker werden als Access-Port (ungetaggt) genau einem VLAN zugewiesen.

Das Gleiche gilt für den Uplink zum Router. Ein häufiger Fehler ist, ein VLAN am Access Point anzulegen, es aber am Switch-Port nicht freizugeben. Dann verbinden sich die Geräte zwar mit der SSID, bekommen aber keine IP-Adresse. Für die Erstkonfiguration verwalteter Switches kann ein Konsolenzugang nützlich sein, etwa mit einem Konsolenkabel USB auf RJ45, wenn das Gerät nicht über ein Webinterface erreichbar ist.

Wie richte ich ein kleines Büro mit Gäste-, IoT- und Firmennetz ein?

Ein bewährtes Schema für drei Netze, die Nummern sind frei wählbar:

1. Planen: Legen Sie VLAN 10 (Firma), VLAN 20 (IoT) und VLAN 30 (Gäste) mit je einem eigenen IP-Bereich fest, zum Beispiel 192.168.10.0/24, 192.168.20.0/24 und 192.168.30.0/24. 2. Router/Firewall: Legen Sie die drei VLAN-Schnittstellen an und aktivieren Sie pro Netz einen DHCP-Server. 3. Firewall-Regeln: Das Gästenetz darf ins Internet, aber in kein internes Netz. Das IoT-Netz erhält ebenfalls nur Internetzugang. Die Firma darf in die anderen Netze, wenn nötig, etwa zum Steuern eines Geräts, aber nicht umgekehrt. 4. Switch: Der Uplink zum Router und der Port zum Access Point bekommen alle drei VLANs getaggt. Büro-PCs liegen ungetaggt in VLAN 10. 5. Access Point: Drei SSIDs anlegen, jeweils mit der passenden VLAN-ID. Firma mit WPA3 oder WPA2-Enterprise bzw. starkem WPA2/WPA3-Passwort, Gäste mit eigenem Passwort und aktivierter Client-Isolation. 6. Testen: Verbinden Sie je ein Gerät pro SSID, prüfen Sie die erhaltene IP-Adresse und versuchen Sie gezielt, aus dem Gäste- und IoT-Netz auf Firmenrechner zuzugreifen. Das muss scheitern.

Was sind typische Stolpersteine bei der Einrichtung?

Smart-Home-Geräte wie Chromecast, Drucker oder Lautsprecher werden oft per Broadcast oder mDNS gefunden, was über VLAN-Grenzen hinweg nicht funktioniert. Hier hilft ein mDNS-Reflector, sofern Router oder Access Point ihn bieten, oder eine gezielte Firewall-Freigabe für einzelne Geräte. Manche IoT-Geräte lassen sich zudem nur im 2,4-GHz-Band einrichten, die IoT-SSID sollte daher dieses Band anbieten.

Dokumentieren Sie VLAN-IDs, IP-Bereiche und Passwörter, und halten Sie die Firmware von Router und Access Points aktuell. Wenn Sie unsicher sind, welche Geräte für Ihr Vorhaben passen, hilft Ihnen der Fachbetrieb gerne bei der Auswahl und Planung.