Sicheres Gast-WLAN für Kunden: VLAN, WPA3 und DSGVO-Pflichten 2026

Inhalt in Kürze

• Kunden-WLAN heißt Gast-WLAN — und es muss physisch oder logisch (VLAN, eigenes SSID) vom Mitarbeiter- und Server-Netz getrennt sein. Alles andere ist fahrlässig.
• WPA3 statt WPA2: Seit 2018 ist WPA3 der Standard der Wi-Fi Alliance. Für offene Hotspots ist Enhanced Open (OWE) Pflicht. WEP, WPA1 und reines WPA2 sind nicht mehr akzeptabel.
• Mythen ignorieren: SSID-Hiding und MAC-Filterung helfen nichts (Wi-Fi-Scanner sehen versteckte SSIDs in Sekunden, MAC-Randomization umgeht jede Filterung).
• DSGVO-Pflicht: Kurze Verbindungslogs (24–48 h) sind sinnvoll, aber MAC-Adressen sind personenbezogen — also nicht ewig speichern und in der WLAN-AGB transparent dokumentieren.
• Praxis-Setup: Captive Portal mit AGB, separates VLAN, Bandbreitenlimit pro Client, Client Isolation an. Funktioniert ab dem ersten Tag.

Wer Kunden, Patienten oder Hotelgästen WLAN anbietet, betreibt faktisch ein zweites Netz — und der Schaden eines schlecht konfigurierten Gast-WLANs trifft nicht den Gast, sondern Ihr Unternehmen. Im Tagesgeschäft als IT-Systemhaus Hamburg sehen wir jede Woche Setups, in denen Hotelgäste auf den Drucker der Buchhaltung zugreifen können oder Patienten im Wartezimmer die Praxis-Server scannen. Dieser Artikel zeigt, wie ein sauberes Gast-WLAN heute aussehen muss und welche überholten Tipps Sie ignorieren können.

Kunden-WLAN = Gast-WLAN: Was wir hier meinen

Der Begriff ist verwirrend. In diesem Artikel geht es um das WLAN, das Sie als Unternehmen für Ihre Kunden zur Verfügung stellen — also für Hotelgäste, Cafégäste, Patienten im Wartezimmer, Mandanten im Empfang. Sprich: Gast-WLAN, parallel zum Firmen-WLAN für Mitarbeiter.

Warum die Unterscheidung wichtig ist: Ein Gast-WLAN hat fundamental andere Schutzziele als das Mitarbeiter-WLAN. Beim Mitarbeiter-WLAN schützen Sie Daten im Netz vor Angreifern von außen. Beim Gast-WLAN schützen Sie Ihr Firmennetz vor den Gästen. Beide Aufgaben gehören technisch und organisatorisch streng getrennt.

Wer ein typisches Hamburger Geschäft betreibt — Restaurant, Hotel, Praxis, Kanzlei mit Wartebereich, Co-Working-Floor — sollte mindestens drei WLAN-Zonen einrichten: Mitarbeiter, Geräte (Drucker, Kassen, IoT) und Gäste. Mehr dazu in unserem Leitfaden zum WLAN für Unternehmen und im Branchen-Profil IT für Handel, Hotel & Logistik Hamburg. Wenn das gesamte Netzwerk Teil eines IT-Outsourcings sein soll, empfehlen wir den Blick auf Managed IT-Services Hamburg — dort sind WLAN-Management, Firewall und Monitoring im Festpreis enthalten.

Warum schlechte Gast-WLANs zur Geschäftsgefahr werden

Drei Szenarien sehen wir in Erstgesprächen immer wieder:

• "Wir geben unseren Gästen einfach das WLAN-Passwort vom Büro". Damit hängen Gäste-Smartphones im selben Subnetz wie der Server. Ein einziges infiziertes Gerät kann das Firmennetz infiltrieren — Tools wie Mimikatz oder Responder funktionieren in flachen Netzen besonders gut.
• "Das Gast-WLAN läuft auf demselben Router wie der Rest". Wenn der Router Gast- und Mitarbeiter-Netz nicht per VLAN trennt, kommunizieren beide Netze trotz unterschiedlicher SSIDs. Wir haben das 2024 in einer Hamburger Praxis gesehen — Patienten konnten auf den DICOM-Bilderserver zugreifen.
• "Offenes Gast-WLAN ohne Passwort ist doch nicht schlimm". Doch — und es ist heute auch nicht mehr nötig. Mit Enhanced Open (OWE) bekommen Gäste den Komfort eines offenen WLANs UND Transportverschlüsselung. Bricht WhatsApp-Verkehr trotzdem auf, ist das DNS-Spoofing oder Evil-Twin trotzdem deutlich schwerer.

Der BSI-IT-Grundschutz-Baustein NET.2.2 WLAN-Nutzung schreibt explizit vor, dass Gast-WLAN „separat von den internen Netzen” zu betreiben ist. Wer es ignoriert, riskiert nicht nur den Angriff, sondern bei NIS-2-betroffenen Unternehmen auch persönliche Haftung der Geschäftsführung. Welche Auswirkungen die Richtlinie für KMU konkret hat, lesen Sie im Leitfaden NIS2-Beratung Hamburg oder ermitteln in unter zwei Minuten Ihre Betroffenheit mit dem NIS2-Betroffenheits-Check.

Das Gast-WLAN richtig aufsetzen — 5 Schritte

So bauen wir Gast-WLANs für Hamburger Unternehmen — egal ob Hotel, Praxis, Steuerkanzlei oder Logistikbetrieb.

1. VLAN definieren: Eigenes VLAN für Gäste (z.B. VLAN 30). Das VLAN bekommt nur Internet-Zugang, kein Routing ins Firmen-VLAN, keinen Zugriff auf Drucker, NAS, Server oder Telefonanlagen.
2. SSID konfigurieren: Eigener Netzwerkname (z.B. "Hotel-Hamburg-Gäste") auf dem Access Point. Wi-Fi-6-fähig, mindestens WPA3-Personal oder Enhanced Open. Client Isolation aktivieren — Gäste sollen sich auch untereinander nicht sehen.
3. Bandbreitenlimit setzen: Pro Client maximal 10–20 Mbit/s, Gesamtbandbreite für das Gast-VLAN auf 30–50 Prozent der Internet-Anschlussleistung begrenzen. Damit kann kein Gast die Geschäftsleitung lahmlegen.
4. Captive Portal mit AGB: Login-Seite mit Annahme der Nutzungsbedingungen — schützt rechtlich, erlaubt Session-Timeouts (z.B. 12 h) und ermöglicht optional Branding. Bei Sophos, UniFi, Cisco Meraki und Aruba bereits integriert.
5. Logs und DSGVO-Hinweis: Kurze Verbindungslogs (24–48 h) für Sicherheitszwecke, MAC-Adresse-Pseudonymisierung, transparent in der Datenschutzerklärung. Längere Aufbewahrung ist DSGVO-rechtlich kaum begründbar.

Mythen, die Sie ignorieren können

Halbwissen aus alten Forenposts kostet Zeit und liefert kein Plus an Sicherheit. Vier Tipps, die Sie 2026 getrost vergessen:

• SSID verstecken (Hidden SSID). Jeder Wi-Fi-Scanner sieht versteckte SSIDs in unter 5 Sekunden, weil die Clients sie aktiv anfragen. Versteckte SSIDs sind sogar leichter zu identifizieren als offene. Reine Symbolpolitik.
• MAC-Filterung. MAC-Adressen sind 30 Sekunden mit Tools wie macchanger gefälscht. Seit iOS 14 und Android 10 nutzen Smartphones standardmäßig zufällige MAC-Adressen pro WLAN (MAC Randomization). Filterung scheitert daran spätestens beim ersten neuen Gast.
• WPA2 als sichere Wahl. Seit den KRACK-Angriffen 2017 und der WPA3-Veröffentlichung 2018 ist WPA2 nicht mehr State of the Art. Für Gast-WLAN: WPA3-Personal oder Enhanced Open. WPA2 nur noch im Übergang als WPA2/WPA3-Mixed.
• Regelmäßiger Passwort-Wechsel ohne Anlass. Bringt nichts, wenn das Passwort eh in der Hotel-Lobby an der Wand klebt. Stattdessen: pro Gast oder pro Tag rotierende Vouchers über Captive Portal — wenn überhaupt Passwort.

DSGVO, TMG und Captive Portal — was die Rechtslage 2026 sagt

Drei Themen kommen in unseren Erstgesprächen am häufigsten:

Störerhaftung ist tot

Seit der TMG-Reform 2017 haftet der WLAN-Betreiber nicht mehr für Urheberrechtsverletzungen seiner Gäste — das hat der Bundestag explizit klargestellt. Praktisch heißt das: Sie müssen weder Filtern noch loggen, was Ihre Gäste tun. Ein netter Hinweis in der WLAN-AGB (“Nutzung auf eigene Verantwortung, keine illegalen Inhalte”) reicht aus. Ein gut formulierter AGB-Text schützt vor Streitfällen, ist aber kein Muss mehr.

MAC-Adressen sind personenbezogene Daten

Die EU-DSGVO und EuGH-Rechtsprechung behandeln MAC-Adressen als personenbezogene Daten — sie sind theoretisch einem Gerät und damit einer Person zuordenbar. Konsequenz: Wenn Sie MAC-Adressen in Logs speichern, brauchen Sie eine Rechtsgrundlage (Art. 6 DSGVO) und eine Datenschutzerklärung, die das transparent macht. 24 bis 48 Stunden Aufbewahrung ist mit Sicherheitsinteresse (Art. 6 Abs. 1 lit. f) gut begründbar. Wochen oder Monate nicht.

Captive Portal als rechtliche Schutzwand

Ein Captive Portal mit AGB-Annahme dokumentiert, dass der Gast die Nutzungsbedingungen akzeptiert hat. Das hilft im Streitfall, wenn etwa ein Gast behauptet, er hätte nicht gewusst, dass über das WLAN keine Filesharing-Aktivitäten erlaubt sind. Für gewerbliche Anbieter (Hotels, Cafés) ist ein Captive Portal heute Standard — die Kosten sind minimal, der rechtliche Nutzen erheblich.

Wir sehen in Hamburg jede Woche Praxis-Gäste-WLANs, die im selben Subnetz wie der Praxis-Server laufen. Der Geschäftsführer denkt, das WLAN-Passwort sei der Schutz. Tatsächlich ist es nur das Schloss an der Vordertür — die Hintertür steht offen. Ein 200-Euro-VLAN-Switch löst das in einem Nachmittag.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Hardware-Empfehlung: Was wir bei Hamburger Kunden einsetzen

Hardware-Vorschlag für ein typisches Setup — Hotel oder Praxis mit 4 bis 8 Access Points, getrennten Zonen, Gast-Captive-Portal:

Für eine ehrliche Hardware-Auswahl lohnt sich eine WLAN-Funkausleuchtung mit Heatmap-Tool. In den meisten Setups reicht ein Access Point pro 50 bis 70 m² — bei Hotels und Restaurants planen wir dichter (1 AP pro 25 bis 40 Gäste). Wer tiefer einsteigen will: Unsere Beiträge zu WLAN-Sicherheit für Unternehmen und WLAN-Management mit Cisco Meraki zeigen die nächste Detailstufe.

Praxisbeispiel aus Hamburg: Hotel mit 28 Zimmern

Ein Hamburger Boutique-Hotel mit 28 Zimmern, Restaurant und Bar. Ausgangslage Anfang 2024: ein flaches Netz, ein Passwort am Empfang ausgedruckt, drei Fritzboxen kaskadiert. Ein Gast hatte Mining-Software laufen und legte mit 80 Mbit/s Dauerlast das Booking-System der Rezeption lahm.

Was wir umgesetzt haben:

• 6× Wi-Fi-6 Access Points (UniFi U6-Pro), heatmap-geplant für Zimmer + Lobby + Restaurant
• Managed Switch mit VLAN-Trennung: VLAN 10 Mitarbeiter, VLAN 20 IoT (Kasse, Drucker, Türschlösser), VLAN 30 Gäste
• Sophos XGS Firewall mit Captive Portal, AGB-Annahme, 30-Mbit/s-Limit pro Gast-Client
• WPA3-Personal für Mitarbeiter, Enhanced Open mit AGB-Login für Gäste
• DSGVO-konforme Datenschutzerklärung an der Lobby-Wand

Ergebnis nach 8 Monaten Betrieb: Null Beschwerden über WLAN-Geschwindigkeit, kein Angriff auf interne Systeme, vollständige NIS-2-Vorbereitung für die Hotelgruppe. Den laufenden Betrieb übernimmt das Hotel im Festpreis-Modell von Managed IT — inklusive Patch-Management für Firewall und Access Points. Wer die Cloud-Anbindung der Filialen ergänzen will, schaut zusätzlich in unsere Cloud-Beratung Hamburg oder in das Pendant für IT-Dienstleister Bremen.

Checkliste: Ist Ihr Gast-WLAN heute sicher?

Was wir in jedem Erstgespräch mit Hotels, Praxen oder Mehr-Mitarbeiter-Geschäften prüfen:

• Eigenes VLAN für Gäste. Keine Route ins Firmennetz, keine Zugriffe auf Drucker, NAS, Server.
• WPA3 oder Enhanced Open. Mindestens WPA2/WPA3-Mixed, kein reines WPA2 mehr.
• Client Isolation aktiviert. Gäste sehen sich untereinander nicht — kein Datenklau zwischen Gerät zu Gerät.
• Bandbreitenlimit pro Client. Niemand kann das ganze Internet aufbrauchen.
• Captive Portal mit AGB-Annahme. Rechtliche Absicherung, Session-Timeout.
• WPS deaktiviert. Auf allen Access Points und im Router.
• Logs maximal 48 h. MAC-Adressen pseudonymisieren oder kurz löschen.
• Datenschutzerklärung sichtbar. Aushang in der Lobby plus Verlinkung im Captive Portal.
• Firmware aktuell. Access Points, Switches, Firewall mindestens quartalsweise patchen.
• Monitoring. Auffällige Bandbreitenspitzen aus dem Gast-VLAN werden geloggt und gemeldet.

Fazit: Gast-WLAN ist eine Geschäftsentscheidung

Wer Kunden, Patienten oder Hotelgästen WLAN anbietet, betreibt einen Service — und einen rechtlichen wie technischen Risikobereich. Ein sauber segmentiertes, WPA3-verschlüsseltes Gast-WLAN mit Captive Portal ist heute kein Premium-Feature, sondern Mindeststandard. Wer noch mit einem flachen Netz und einem Passwort am Empfang arbeitet, riskiert nicht nur den Angriff von außen, sondern auch den Vertrauensverlust beim Gast, der zwei lange Sekunden auf das Online-Booking-System wartet.

Wenn Sie wissen wollen, wie sicher Ihr Gast-WLAN heute ist: Wir nehmen uns 15 Minuten Zeit für einen ehrlichen Überblick — mit konkretem Hinweis, was Sie selbst sofort umstellen können und wo Sie Hardware-Investment brauchen.