WLAN-Code am Empfang: Gastnetz, Wechsel, Prüfung
Die Empfangskraft hat das vielleicht vierhundert Mal gemacht. Ein Besuch meldet sich an, fragt nach dem WLAN und bekommt eine laminierte Karte mit einem Passwort, das sich seit dem Einzug nicht geändert hat. In der Hälfte der Fälle liest sie es über den Tresen hinweg laut vor, in einem Empfangsbereich, in dem sechs andere Leute sitzen. Ein QR-Code löst den Vorlesevorgang, und er verschiebt das Problem an eine Stelle, an die auch ein Prüfer schaut.
Ein QR-Code behebt das Vorlesen. Er beantwortet nicht die dahinterliegende Frage, nämlich worauf dieses Passwort jemanden lässt. Gastronomie hat ihre eigene Fassung von Gäste-WLAN, und QR-Codes für Restaurants behandelt diesen Fall. In einem Büro steht mehr auf dem Spiel, denn dasselbe Gebäude beherbergt Dateiserver, Drucker mit gespeicherten Zugangsdaten und die Laptops der Buchhaltung.
Richten Sie ihn aufs Gastnetz, nicht auf das, in dem Ihre Arbeit lebt
Die eine Entscheidung, auf die es ankommt: Ein Besuchercode sollte in ein Netz führen, das von dem getrennt ist, das Ihre Belegschaft nutzt.
Aufgeschrieben klingt das selbstverständlich. In der Praxis fahren kleine Büros häufig ein einziges flaches Netz. Alles hängt daran. Das Passwort auf der Empfangskarte ist dasselbe Passwort, das der Laptop der Buchhalterin benutzt. Es in einen QR-Code zu verwandeln schafft die Angreifbarkeit nicht, aber es macht das Teilen zu einer Ein-Sekunden-Handlung statt einer Fünfzehn-Sekunden-Handlung, und die Menge ändert die Form des Risikos.
Die meisten Router und Zugangspunkte für Unternehmen können eine zweite SSID für Gäste aussenden. Auch Consumer-Geräte können das oft. Erlaubt Ihre Technik es, sollte der Besuchercode dorthin führen und nirgendwo sonst.
Die Trennung ist die Voraussetzung, keine Zugabe
Ein eigener Netzwerkname allein ist Dekoration. Bedeutung bekommt er erst durch das, was dahinter liegt: Gastverkehr in einem eigenen VLAN oder einem eigenen abgetrennten Segment, ohne Weg in interne Teilnetze, ohne Zugriff auf gemeinsame Laufwerke und meist ohne Sicht auf andere Clients im selben Gastnetz.
Das ist gängige Praxis und keine allgemeingültige Regel. Anforderungen unterscheiden sich nach Branche, nach Versicherer, nach dem Regelwerk, auf das sich ein Unternehmen festgelegt hat, und danach, wie viel ein Betrieb tatsächlich im eigenen Netz statt in gehosteten Diensten hält. Allgemein lässt sich fair sagen: Der Wert eines Gast-QR-Codes hängt fast vollständig davon ab, wovon das Gastnetz abgeschottet ist. Klären Sie diesen Teil, bevor Sie irgendetwas drucken.
Stellen Sie der Person, die Ihr Netz betreut, zwei Fragen. Kann ein Gerät in der Gast-SSID irgendetwas im internen Netz erreichen? Können Geräte in der Gast-SSID einander sehen? Lautet eine der Antworten ja oder "weiß nicht", ist das die Arbeit, die zuerst ansteht.
Wohin der Code im Büro gehört
Die Platzierung folgt dem Moment des Bedarfs.
Empfangstresen. Ein kleines Aufstellschild, keine Karte, die überreicht wird und mit jemandem hinausspaziert. Besuch steht dort ohnehin schon und schaut ohnehin schon auf die Tresenfläche.
Besprechungsräume. Der wertvollste Platz und der am häufigsten übersehene. Externe Teilnehmende verbinden sich, wenn sie sich hinsetzen und einen Laptop aufklappen, nicht wenn sie durch die Eingangstür gehen. Ein Code am Tischende oder an der Wand neben dem Bildschirm erwischt sie in der richtigen Sekunde.
Besucherausweise oder Anmeldebögen. Wenn Sie Ausweise drucken, reist ein kleiner Code auf dem Ausweis mit der Person mit.
Halten Sie ihn aus dem Aufzugsvorraum, der Tiefgarage und allem außerhalb des kontrollierten Bereichs heraus. Ein Teil des Sinns eines physischen Codes ist, dass man dorthin gelangen muss, wo man eingelassen wurde.
Gestalten Sie die Karte so, dass der Netzwerkname im Text neben dem Code lesbar ist, denn ein Besuch mit einem streng verwalteten Firmentelefon kann womöglich gar nicht scannen. Der individuelle QR-Code-Generator erledigt Logo- und Farbarbeit, ohne die Lesbarkeit zu ruinieren, was für ein Schild zählt, das ein Jahr lang im Empfangsbereich stehen wird.
Ein gedruckter Code im öffentlichen Empfangsbereich ist ein physischer Wert
Hier ist der unterschätzte Teil. Ein QR-Code an der Wand ist keine Anmeldeaufforderung. Er ist das Passwort, als Bild, in der Öffentlichkeit.
Jede Person in diesem Empfangsbereich kann ihn in unter einer Sekunde abfotografieren, quer durch den Raum, ohne ihn zu berühren und ohne dass es jemand bemerkt. Ein Lieferbote. Jemand, der auf eine andere Firma auf derselben Etage wartet. Jemand, der hinter einer ausgewiesenen Person hereinspaziert ist. Dieses Foto funktioniert vom Gehweg aus, wenn das Signal trägt, und es funktioniert weiter, bis das Passwort sich ändert.
Nichts davon spricht dagegen, einen Code auszuhängen. Es spricht dafür, den Code im Empfangsbereich als reine Gastnetzsache zu behandeln, damit zu rechnen, dass er reist, und zu wissen, dass ein Code in einem unbesetzten öffentlichen Bereich auch von jemand anderem überklebt werden kann. Überkleben ist billig und real; gefälschte QR-Codes behandelt, wie das funktioniert und wie ein manipulierter Code typischerweise aussieht. Gewöhnen Sie dem Empfang an, das Schild im Blick zu behalten, und nehmen Sie eine Gestaltung, die auffällig genug ist, dass ein schlichter Schwarzweißersatz aus der Entfernung ins Auge springt.
Der Wechsel und die Nachdruckrechnung, die er erzeugt
Viele IT-Teams wechseln das Gastpasswort nach Plan. Vierteljährlich ist verbreitet. Manche wechseln nach einer Veranstaltung, die viele Externe ins Haus gebracht hat, oder nachdem jemand das Unternehmen verlassen hat.
Jeder Wechsel entwertet jeden gedruckten Code, den Sie haben. Der Code scannt weiter, das Telefon versucht weiter zu verbinden, und das Verbinden scheitert, und dieser Fehlerfall erzeugt Helpdesk-Tickets statt sichtbarer Fehlermeldungen. Diese Nachdruckkosten sind die eigentliche Begrenzung der Wechselhäufigkeit, und sie erklären, warum ein Büro mit Codes in zwölf Besprechungsräumen seltener wechselt als geplant.
Drei Wege, die Kosten zu drücken. Legen Sie sich auf ein Kartenlayout fest, damit Nachdrucken ein Druckauftrag ist und keine Gestaltungsaufgabe. Führen Sie eine schriftliche Liste jedes physischen Ortes, an dem ein Code existiert, denn der vergessene im hinteren Besprechungsraum ist der, der das Ticket erzeugt. Und setzen Sie Wechseldatum und Nachdruck in denselben Kalendereintrag, statt sie als getrennte Aufgaben zu behandeln.
Was ein Auditor am Empfangstresen als erstes prüft
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik behandelt WLAN in eigenen Bausteinen, getrennt nach Betrieb und Nutzung, und die Trennung von Gast- und Produktivnetz steht dort weit vorne. Für den Mittelstand ist das keine akademische Frage: Wer als Zulieferer in der Kette eines größeren Unternehmens hängt oder eine Zertifizierung des eigenen Managementsystems anstrebt, wird danach gefragt. Die laminierte Karte mit dem Passwort aus dem Einzugsjahr ist dann eine Feststellung im Bericht, und zwar eine, die schnell zu beheben ist. Halten Sie zwei Dinge schriftlich fest: wer das Gastpasswort herausgibt, und in welchem Rhythmus es gewechselt wird. Ein Satz im IT-Konzept genügt, aber er muss existieren, bevor jemand fragt.
Der zweite deutsche Punkt betrifft den Empfang selbst. Wenn Sie den WLAN-Code mit einer Besucheranmeldung verbinden, verarbeiten Sie personenbezogene Daten, und das offen ausliegende Besucherbuch, in dem jeder die Voreinträge mitlesen kann, ist genau der Fall, den man dabei vermeidet. Fragen Sie nur ab, was Sie für Evakuierung und Rückverfolgung brauchen, zeigen Sie nie einen fremden Eintrag, und legen Sie eine Löschfrist fest. Kleinere Betriebe ohne eigene IT bekommen zu diesen Fragen bei Handwerkskammer und IHK eine erste Orientierung, meist kostenfrei und ohne Verkaufsinteresse.
Auftragnehmer, private Geräte und der Besuch, der sechs Monate bleibt
Das Gastnetz trägt den Besuch, der eine Stunde bleibt. Es trägt das private Telefon, das jemand bewusst nicht in die Firmen-SSID hängen will. Für diese beiden Fälle ist der Code am Tresen genau das richtige Werkzeug, und für keinen darüber hinaus.
Wo es aufhört zu funktionieren, ist die langfristige Auftragnehmerin, die interne Systeme erreichen muss. Diese Person gehört nicht ins Gastnetz und sollte auch nicht das Firmen-WLAN-Passwort auf einer Karte bekommen. Das ist eine kontobasierte Zugriffsfrage, meist beantwortet mit personenbezogenen Zugangsdaten oder zertifikatsbasierter Authentifizierung statt mit einem gemeinsamen Passwort, und ein üblicher WLAN-QR-Code kann davon nichts ausdrücken.
Ziehen Sie die Linie ausdrücklich: Der QR-Code liefert Internetzugang für Menschen, die keine Mitarbeitenden sind. Alles, was internen Zugriff braucht, läuft über den Bereitstellungsprozess, den Sie ohnehin fahren.
Kleinere Teams ohne eigene IT können das meiste davon trotzdem umsetzen, und die Abwägungen eines schlanken Betriebs stehen auf der Seite QR-Codes für kleine Unternehmen. Die technische Form des WLAN-Codeformats selbst steht im vollständigen Leitfaden zu WLAN-QR-Codes.
Bauen Sie den Besuchercode gegen Ihre Gast-SSID mit dem WLAN-QR-Code-Generator, und bestätigen Sie dann, bevor Sie ein einziges Exemplar drucken, mit der Person, die das Netz betreut, dass ein Gerät in dieser SSID nichts Internes erreichen kann.
