Private Handys im Firmen-WLAN: Was sollten Unternehmen beachten?

Dürfen private Handys überhaupt ins Firmen-WLAN?

Ein Mitarbeiter möchte mit seinem privaten Smartphone ins WLAN, weil der Mobilfunkempfang in der Halle schlecht ist, ein anderer nutzt sein Tablet in der Mittagspause und irgendwann kennen große Teile der Belegschaft das Kennwort des internen Funknetzes. Solange sich niemand darüber Gedanken macht, landen private Geräte dadurch häufig im gleichen Netzwerk wie Firmenrechner, Drucker oder andere interne Systeme, obwohl sie für ihre eigentliche Nutzung lediglich einen Internetzugang benötigen.

Dagegen spricht grundsätzlich nichts, solange der Zugang bewusst geplant wird. Problematisch ist weniger das private Smartphone selbst als die Frage, welche Möglichkeiten es nach der Verbindung mit dem WLAN erhält und ob das Unternehmen überhaupt kontrollieren kann, in welchem technischen Zustand sich dieses Gerät befindet.

Ein privates Smartphone ist kein verwalteter Firmenrechner

Bei einem Firmen-PC kann der IT-Dienstleister festlegen, welche Software installiert wird, ob Sicherheitsupdates vorhanden sind und welche Schutzmaßnahmen gelten. Bei einem privaten Smartphone entscheidet dagegen der Eigentümer, welche Apps installiert werden, wie lange das Betriebssystem aktualisiert wird und ob das Gerät möglicherweise von weiteren Familienmitgliedern genutzt wird.

Das bedeutet nicht, dass private Geräte grundsätzlich unsicher sind oder Mitarbeitern misstraut werden sollte. Es bedeutet lediglich, dass das Unternehmen ihren Zustand nicht in gleichem Maß kontrollieren kann wie bei eigener Hardware und deshalb auch nicht selbstverständlich denselben Netzwerkzugriff gewähren sollte.

Für private Geräte reicht häufig der gleiche Zugang wie für Gäste

Wenn ein Mitarbeiter mit seinem privaten Smartphone lediglich ins Internet möchte, gibt es in vielen Unternehmen keinen Grund, dieses Gerät anders zu behandeln als das Smartphone eines Besuchers. Ein sauber getrenntes Gäste-WLAN ohne Zugriff auf das interne Firmennetz kann deshalb eine einfache und praktikable Lösung sein.

Der Mitarbeiter kann darüber Webseiten, private Nachrichten oder andere Internetdienste verwenden, während Server, Produktionssysteme und andere interne Geräte nicht erreichbar sind. Gleichzeitig muss das Kennwort des eigentlichen Mitarbeiter- oder Firmen-WLANs nicht auf privaten Geräten gespeichert werden, die außerhalb des Unternehmens genutzt und von der IT nicht verwaltet werden.

Ein anderer WLAN-Name allein schafft noch keine Sicherheit

Genau wie beim Gästezugang reicht es nicht, ein zweites WLAN mit einem eigenen Namen und Kennwort einzurichten, wenn beide Funknetze anschließend im gleichen internen Netzwerk landen. Die eigentliche Trennung muss im Netzwerk dahinter erfolgen, sodass private Geräte in einen eigenen Bereich gelangen und die Firewall Verbindungen zu internen Netzen blockiert.

Dafür werden häufig VLANs eingesetzt, also logisch getrennte Netzwerkbereiche innerhalb derselben physischen Infrastruktur. Eine sinnvolle Netzwerksegmentierung ermöglicht dadurch, Mitarbeitergeräte, Gäste, Produktion und andere Gerätegruppen voneinander zu trennen, ohne für jeden Bereich eigene Access Points und Leitungen aufbauen zu müssen.

Manche privaten Geräte brauchen tatsächlich Zugriff auf Unternehmensdaten

Komplizierter wird die Situation, wenn ein Mitarbeiter sein privates Smartphone oder Tablet für geschäftliche Aufgaben verwendet. Vielleicht soll darüber auf Dateien zugegriffen, eine interne Anwendung verwendet oder ein Unternehmensdienst genutzt werden, sodass ein reiner Internetzugang nicht mehr ausreicht.

Dann sollte zunächst geklärt werden, ob diese Nutzung überhaupt gewünscht ist und welche Daten dabei auf dem privaten Gerät landen. Sobald Unternehmensinformationen lokal gespeichert oder geschäftliche Konten auf einem privaten Gerät eingerichtet werden, entstehen zusätzliche Fragen zu Datenschutz, Verlust des Geräts, Ausscheiden des Mitarbeiters und der Trennung zwischen privaten und geschäftlichen Daten.

Eine solche BYOD-Nutzung – „Bring Your Own Device“ – braucht deshalb andere Regeln als ein privates Smartphone, das lediglich während der Mittagspause das Internet verwendet. Je stärker das Gerät in geschäftliche Abläufe eingebunden wird, desto weniger reicht eine einfache WLAN-Entscheidung aus.

Das interne WLAN-Kennwort sollte nicht zur allgemeinen Firmeninformation werden

Wenn sämtliche Mitarbeiter ihre privaten Geräte mit demselben internen WLAN verbinden, verbreitet sich das zugehörige Kennwort zwangsläufig immer weiter. Es landet auf alten Smartphones, privaten Tablets und Geräten ehemaliger Mitarbeiter, während sich nach einigen Jahren kaum noch nachvollziehen lässt, wer den Zugang tatsächlich besitzt.

Ein getrenntes Netz für private Geräte begrenzt dieses Problem erheblich, weil dessen Kennwort keinen Zugang zu internen Unternehmenssystemen ermöglicht. Selbst wenn es einem früheren Mitarbeiter noch bekannt ist, entsteht daraus nicht automatisch ein Zugriff auf Server oder Produktionsbereiche.

Bei stärker verwalteten WLAN-Systemen können darüber hinaus persönliche Anmeldungen oder individuell vergebene Zugänge eingesetzt werden. Für ein kleines Unternehmen muss daraus allerdings kein unnötig kompliziertes System entstehen, wenn ein sauber isoliertes WLAN bereits die tatsächlichen Anforderungen erfüllt.

Der Internetzugang kann trotzdem begrenzt werden

Ein privates Geräte-WLAN muss nicht die gesamte verfügbare Internetleitung beanspruchen dürfen. Gerade wenn viele Mitarbeiter während Pausen Videos streamen oder umfangreiche private Downloads durchführen, kann dies bei einem kleineren Anschluss Auswirkungen auf geschäftliche Cloud-Dienste, Telefonie oder VPN-Verbindungen haben.

Eine Bandbreitenbegrenzung oder Priorisierung des geschäftlichen Verkehrs kann deshalb sinnvoll sein, ohne die private Nutzung unnötig einzuschränken. Wichtig ist vor allem, dass geschäftskritische Anwendungen auch dann zuverlässig funktionieren, wenn viele private Geräte gleichzeitig mit dem WLAN verbunden sind.

Auch untereinander müssen private Geräte nicht alles erreichen können

Je nach WLAN-System lässt sich zusätzlich verhindern, dass sich Geräte im gleichen privaten oder Gäste-WLAN gegenseitig direkt ansprechen. Ein Smartphone eines Mitarbeiters hat normalerweise keinen Grund, eine Verbindung zum privaten Tablet eines Kollegen aufzubauen, sodass diese zusätzliche Isolation in vielen Umgebungen sinnvoll ist.

Allerdings sollte auch hier die tatsächliche Nutzung berücksichtigt werden. Wenn bestimmte Funktionen wie drahtlose Präsentation oder gemeinsames Drucken ausdrücklich gewünscht sind, muss geprüft werden, wie diese Dienste kontrolliert bereitgestellt werden können, ohne dafür die vollständige Trennung aufzuheben.

Private Geräte sollten nicht einfach in Produktionsnetze gelangen

Besonders wichtig wird die Trennung dort, wo WLAN auch in Produktionshallen verwendet wird. Ein privates Smartphone benötigt keinen Zugriff auf Maschinensteuerungen, Industrie-PCs oder Produktionsserver, selbst wenn der Mitarbeiter direkt an diesen Systemen arbeitet.

Gerade ältere Produktionsgeräte erhalten teilweise keine aktuellen Sicherheitsupdates mehr und sollten deshalb möglichst nur von genau den Systemen erreichbar sein, die sie für ihren Betrieb benötigen. Die sichere Einbindung älterer Maschinen ins Firmennetz verliert einen Teil ihrer Wirkung, wenn gleichzeitig jedes private Smartphone im gleichen Netzwerkbereich landet.

Eine Trennung hilft auch bei verlorenen oder alten Geräten

Private Geräte wechseln häufig schneller als Firmenhardware. Ein Mitarbeiter bekommt ein neues Smartphone, das alte Gerät liegt noch monatelang zu Hause oder wird innerhalb der Familie weitergegeben, während die gespeicherten WLAN-Zugangsdaten weiterhin vorhanden sein können.

Bei einem sauber getrennten privaten WLAN ist dieses Szenario deutlich weniger kritisch, weil das Gerät damit weiterhin nur einen begrenzten Internetzugang besitzt. Bei einem gemeinsamen internen WLAN kann dagegen ein längst nicht mehr bewusst genutztes Gerät weiterhin technische Möglichkeiten besitzen, die ursprünglich nur für den Mitarbeiter selbst gedacht waren.

Klare Regeln sind besser als ein grundsätzliches Verbot

Private Smartphones vollständig aus dem WLAN zu verbannen, obwohl im Gebäude schlechter Mobilfunkempfang besteht, wird im Alltag häufig wenig Akzeptanz finden und kann dazu führen, dass Mitarbeiter eigene technische Umwege suchen. Eine bewusst bereitgestellte, getrennte Verbindung ist deshalb oftmals die pragmatischere Lösung.

Die Regel kann sehr einfach sein: Firmengeräte verwenden die dafür vorgesehenen Unternehmenszugänge, private Geräte nutzen ein getrenntes WLAN mit Internetzugang und interne Systeme bleiben dort grundsätzlich unerreichbar. Sobald private Geräte tatsächlich geschäftliche Daten verarbeiten sollen, wird separat entschieden, welche zusätzlichen Voraussetzungen dafür gelten.

Wenn du heute nicht sicher sagen kannst, ob private Smartphones in deinem Unternehmen im gleichen Netzwerk wie Server, Drucker oder Produktionsmaschinen landen, lässt sich das bei einer kurzen Prüfung der WLAN- und Netzwerkstruktur meist schnell feststellen. Häufig ist bereits eine saubere Zuordnung vorhandener Funknetze zu getrennten Netzwerkbereichen ausreichend, ohne dass die komplette WLAN-Infrastruktur ersetzt werden muss.

Ein sinnvoll aufgebautes Firmen-WLAN muss private Geräte deshalb weder verbieten noch wie vollständig verwaltete Arbeitsplätze behandeln. Es sollte ihnen genau den Zugriff geben, den sie benötigen – und für ein privates Smartphone ist das in vielen Fällen schlicht ein zuverlässiger Weg ins Internet.