Gast-WLAN im Büro ist offen, kein Passwort — können Kunden alles sehen? Wie riskant ist der Netzwerk-Traffic?

offenes wlan = natürlich riskant. jeder kann das netz sehen und arp spoofing machen. also setz zumindest ein passwoort wpa2 ist milliarden mal besser. und das netz aufteilen ist beim setup etwas kompliziert aber machbar bei tp-link routern variiert die geschwindigkeit...

Wenn Netzwerk-Segmentierung gemacht wird: 1) VLAN-Konfiguration am Access Point (VLAN 1 = Gast, VLAN 2 = Corporate), 2) Inter-VLAN-Routing-Regeln am Router/Switch, 3) Access Control List (ACL)-Regeln: Gast → Corporate Ports blockiert. 4) Managed AP (Meraki, Ubiquiti etc.), bei unmanaged APs wird VLAN nicht unterstützt. 5) RADIUS-Authentifizierung mit Gast-Portal (Captive Portal). DNS- und NTP-Traffic sollten auch getrennt oder blockiert sein. Zur Sniffing-Erkennung kann ein IDS (Suricata, Snort) genutzt werden, aber für ein kleines Büro ist das Overkill.

mach kein offenes WLAN, Bruder setz zumindest ein Passwort. die Aufteilung ist technisch kann für Anfänger etwas verwirrend sein — stell einen Netzwerk-Admin ein, die Arbeit ist in 2 Wochen nicht erledigt. aber wenn bisher nichts passiert ist ist es schon sehr gut, wenn du schnell ein Passworrt setzt. also wenn der Admin dann anfängt, machst du das Netzwerk-Setup...

Best Practice für Gastnetz-Segmentierung: 1) Separate SSID (ssid-guest), 2) Starker WPA2 Pre-Shared Key, 3) VLAN-Isolation (kein Zugriff von Gast auf interne Ressourcen), 4) Web-Content-Filtering + DNS over HTTPS, 5) Rate-Limiting pro Client, 6) Portal-Seite für AGB, 7) Session-Timeout (8 Stunden), 8) Verbindungs-Logs. Managed AP erforderlich (UniFi Meraki, Arista Instant On). Setup ist am Anfang etwas aufwendig, aber langfristig sicherer.

Übertragen Kunden über offenes WLAN sensible Firmendaten? Dann ist das deren Problem. Trotzdem kannst du dich schützen: Gastnetz verschlüsseln, VPN aktivieren, zumindest HTTP-Traffic auf HTTPS umstellen. Habt ihr eigentlich gecheckt ob die Kunden auf ihren Rechnern Virenschutz installiert haben? Das ist auch ein Risiko...

Ich bin seit Jahren in der IT, offenes WLAN hat null Sicherheit. Ein Angreifer im selben Netz (MITM, ARP-Spoofing etc.) kann den gesamten unverschlüsselten Traffic mitlesen. Branchenstandard: WPA2 Enterprise + 802.1X-Authentifizierung. Für KMU reicht aber WPA2 Personal + Netzwerksegmentierung. Gast- und Firmennetz müssen strikt getrennt sein.

Ich stimme zu, möchte das sogar besonders betonen. Wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später.

Ich hoffe das hilft dir weiter.

Da hast du recht. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Das hier Beschriebene ist genau das was wir erlebt haben. Wenn man versucht, alles gleichzeitig zu ändern etabliert sich nichts richtig.

An deiner Stelle würde ich so vorgehen.

Ich möchte kurz warnen... Die Zeit, die ihr braucht, um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Jeder nicht schriftlich festgehaltene Punkt ist einer an den sich beide Parteien später unterschiedlich erinnern... Wenn es jemand anders macht, würde mich das auch interessieren.

Mich interessiert das auch.

Gut gemacht. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Viel Erfolg.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Ein nicht getestetes Backup ist kein Backup.

Ich schreibe das damit ihr denselben Fehler nicht macht. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Genau so ist es. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

An deiner Stelle würde ich so vorgehen.

Du hast recht.

Ich habe mich lange damit beschäftigt. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher. Wenn deine Situation anders ist, ändert sich das natürlich.