WLAN-Code gescannt, keine Verbindung: die Ursachen

Der Code steht auf dem Tischaufsteller. Die Kamera erkennt ihn sofort, oben klappt ein Banner auf und bietet an, dem Gastnetz beizutreten, Sie tippen darauf, das Telefon überlegt vier Sekunden und bringt Sie zurück zur Netzwerkliste. Keine Fehlermeldung. Keine Erklärung. Nichts. Die Ursache steckt fast immer in der Nutzlast oder in einer Routereinstellung, und ein paar der häufigsten sind in deutschen Netzen besonders beliebt.

Das ist ein engeres Problem als ein Code, der sich nicht scannen lässt. Der Scan hat funktioniert. Gescheitert ist etwas beim Verbinden. Der allgemeine Bereich QR-Code funktioniert nicht behandelt die Gründe, warum Codes gar nicht erst gelesen werden, also Beschädigung, Kontrast, Größe, Beleuchtung, und er behandelt sie gründlich. Was hier folgt, ist ausschließlich die WLAN-spezifische Schicht, die nach einem erfolgreichen Lesen einsetzt.

Prüfen Sie in dieser Reihenfolge

Arbeiten Sie die Liste von oben ab. Jeder Schritt schließt einen ganzen Block von Ursachen aus und dauert weniger als eine Minute.

1. Decodieren Sie den Code und lesen Sie den Rohtext. Ein QR-Code-Scanner, der den decodierten Inhalt anzeigt, verrät Ihnen den Netzwerknamen, den Sicherheitstyp und das Passwort, das der Code tatsächlich transportiert, und das ist oft nicht das, was Sie hineingeschrieben zu haben glauben.
2. Verbinden Sie sich manuell, indem Sie das Passwort eintippen. Scheitert auch die manuelle Eingabe, ist das Passwort falsch und der Code unschuldig.
3. Vergessen Sie das Netzwerk auf dem Testgerät und scannen Sie erneut.
4. Testen Sie mit einem zweiten Telefon, idealerweise mit einem anderen Betriebssystem.
5. Prüfen Sie, um welche Art Netzwerk es sich wirklich handelt, denn manche lassen sich mit einem Passwort-Code überhaupt nicht betreten.

Die meisten Fehler klären sich in Schritt eins oder zwei. Die Schritte drei bis fünf existieren für die übrigen.

Der Sicherheitstyp im Code passt nicht zum Netzwerk

Ein WLAN-QR-Code enthält neben Name und Passwort ein Feld für die Verschlüsselung. Steht dort ein falscher Wert, gehen Telefone unterschiedlich mit der Abweichung um. Manche korrigieren sie stillschweigend. Manche scheitern ohne jede Meldung.

Die häufigen Fälle:

• Im Code steht WPA, das Netzwerk ist aber offen und hat kein Passwort, das Telefon versucht sich also gegenüber etwas zu authentifizieren, das gar keine Authentifizierung verlangt.
• Im Code steht offen, das Netzwerk will aber ein Passwort, das Telefon verbindet sich ohne Zugangsdaten und wird abgewiesen.
• Im Code steht WEP, weil jemand die erste Option in einem Auswahlmenü genommen hat. WEP ist ein anderes, deutlich älteres Verfahren und mit WPA2 nicht austauschbar.

WPA3 verdient eine eigene Anmerkung. Netzwerke mit WPA3 verwenden einen anderen Handshake als WPA2, und obwohl viele Generatoren beides unter demselben Wert WPA kodieren, erwarten manche Geräte eine ausdrückliche WPA3-Kennzeichnung. Ist Ihr Access Point auf reines WPA3 statt auf einen gemischten WPA2/WPA3-Modus eingestellt, können ältere Telefone und Laptops dem Netzwerk unter Umständen mit gar keiner Methode beitreten. Das ist eine Kompatibilitätsgrenze der Geräte und kein QR-Problem, und die Umstellung des Access Points auf den Mischmodus behebt es meistens.

Das Passwort enthält Zeichen, die nicht maskiert wurden

Die kodierte Zeichenkette benutzt Satzzeichen als Struktur. Ein WLAN-Code ist im Kern eine Textzeile, in der Felder durch Semikolons und Doppelpunkte getrennt werden, und ein Backslash markiert ein Zeichen, das wörtlich statt als Struktur gelesen werden soll.

Ein Passwort mit Semikolon, Doppelpunkt, Komma, Backslash oder Anführungszeichen muss bei der Erzeugung des Codes also maskiert werden. Geschieht das nicht, liest der Decoder das Passwort als vorzeitig beendet. Der Code lässt sich scannen, das Telefon bekommt ein abgeschnittenes Passwort, die Verbindung scheitert.

So finden Sie es: Decodieren Sie den Code und vergleichen Sie das Passwort Zeichen für Zeichen mit dem, was Sie eingegeben haben. Ist es kürzer oder endet es genau vor einem Satzzeichen, haben Sie die Ursache.

Leerzeichen verursachen denselben Fehler, nur noch unauffälliger. Ein aus einem Dokument mitkopiertes Leerzeichen am Ende ist im Eingabefeld unsichtbar und im fertigen Code vollständig kodiert. Tippen Sie das Passwort von Hand ein, statt es einzufügen, und erzeugen Sie es dann neu mit dem WLAN-QR-Code-Generator.

Der Netzwerkname ist nicht der, für den Sie ihn halten

SSIDs unterscheiden Groß- und Kleinschreibung und müssen exakt stimmen. Cafe_Guest und cafe_guest sind für das Telefon zwei verschiedene Netzwerke, und ein Code mit falscher Schreibweise zeigt auf ein Netzwerk, das es nicht gibt. Das Telefon scheitert dann meist stillschweigend, statt Ihnen zu sagen, dass es dieses Netzwerk nicht gibt.

Drei konkrete Fallen.

Bandbezeichnungen. Viele Router senden 2.4GHz und 5GHz unter demselben Namen und lassen das Telefon wählen, was in Ordnung ist. Andere trennen sie in zwei Namen mit einem Zusatz. Trägt Ihr Code den 5GHz-Namen und steht der Gast drei Räume weiter, wo nur 2.4GHz hinreicht, scheitert die Verbindung an der Reichweite und sieht dabei nach einem Codeproblem aus.

Emoji und nicht-lateinische Zeichen. Eine SSID mit einem Emoji oder mit Zeichen außerhalb des lateinischen Alphabets ist erlaubt, und sie zu kodieren ist zulässig, aber die Geräte gehen unterschiedlich damit um. Manche Telefone verbinden sich problemlos, andere nicht. Funktioniert der Code auf einem System und auf dem anderen nicht, ist das ein Verdächtiger, und dasselbe Muster plattformabhängigen Verhaltens zeigt sich bei QR-Codes, die auf dem iPhone scannen, aber nicht auf Android.

Versteckte Netzwerke. Ein Netzwerk, das seinen Namen nicht sendet, braucht ein zusätzliches Kennzeichen im Code, das dem Telefon sagt, trotzdem danach zu suchen. Nicht jeder Generator bietet diese Option an. Ohne das Kennzeichen durchsucht das Telefon die sichtbaren Netzwerke, findet nichts Passendes und gibt auf. Ist das Netzwerk versteckt, setzen Sie entweder dieses Kennzeichen oder schalten das Senden des Namens wieder ein, was bei einem Gastnetz meist die einfachere Wahl ist, da das Verstecken einer SSID praktisch kaum Schutz bietet.

Netzwerke, die ein Passwort-Code nicht abbilden kann

Zwei Kategorien werden mit einem gewöhnlichen WLAN-QR-Code nie funktionieren, so sorgfältig Sie ihn auch bauen.

Anmeldeportale. Flughäfen, Hotels, Kaffeeketten und viele öffentliche Orte stellen ein offenes Netzwerk vor eine Anmeldeseite. Die Verbindung selbst gelingt. Der Zugang erfordert danach im Browser das Akzeptieren von Bedingungen oder die Eingabe einer Zimmernummer. Ein WLAN-QR-Code kann Zugangsdaten transportieren, aber kein Webformular ausfüllen. Nutzt Ihr Netzwerk ein Portal, ist der sinnvolle Code einer, der auf die Portalseite verlinkt, und nicht einer, der ein Passwort kodiert. Ein Portal untergräbt außerdem die Annahme, dass ein Scan jemanden sofort online bringt, was zur größeren Frage führt, ob QR-Codes ohne Internet funktionieren.

Unternehmensnetzwerke mit 802.1X. WPA-Enterprise-Umgebungen in Firmen authentifizieren jeden Nutzer einzeln, mit Benutzername, einer EAP-Methode und oft einem Zertifikat. Das Standardformat für WLAN-QR-Codes hat für all das keine Felder. Einzelne Plattformen haben Erweiterungen ausgeliefert; keine davon funktioniert geräteübergreifend zuverlässig. Unternehmenszugang braucht ein Konfigurationsprofil oder eine Verteilung per MDM, keinen QR-Code.

Umlaute, Gastzugang, Zeitschaltung

Zuerst die Umlaute. Ein Netzwerkname ist im WLAN-Standard eine Folge von Bytes und kein Text mit festgelegter Zeichenkodierung. Wer ein ä, ö, ü oder ß in der SSID trägt, was in deutschen Haushalten und Kleinbetrieben verbreitet ist, riskiert genau hier den Bruch: Der Router hat den Namen in einer Kodierung abgelegt, Ihr Generator schreibt ihn in einer anderen, und für das Telefon sind das zwei verschiedene Netze. Es versucht, sich mit einem Netz zu verbinden, das es nicht findet, und meldet nichts. Der Test dauert zehn Sekunden: Tippen Sie den Namen von Hand ein. Verbindet es so und über den Code nicht, liegt es am Zeichen. Die dauerhafte Lösung ist eine SSID aus Buchstaben, Ziffern und Bindestrich.

Dann der Gastzugang, den die hier verbreiteten Provider-Router alle mitbringen. Er hat zwei Schalter, die dieses Fehlerbild zuverlässig erzeugen. Der erste ist die Zeitbegrenzung: Der Gastzugang schaltet sich nach einer eingestellten Dauer oder zu einer festen Uhrzeit ab, der Aufsteller auf dem Tisch bleibt stehen. Am Code ist dann nichts falsch, das Netz existiert einfach nicht mehr. Der zweite ist die Beschränkung des Gastzugangs auf einzelne Dienste: Die Verbindung kommt zustande, aber die erste Seite lädt nicht, und der Gast meldet das als Verbindungsfehler. Prüfen Sie beide Schalter, bevor Sie den Code neu erzeugen.

Und noch ein Fall, der in Mehrfamilienhäusern und Bürogebäuden häufiger vorkommt, als man denkt: Zwei Nachbarn haben denselben Anbieter mit der werkseitigen SSID, also tragen zwei Netze in Funkreichweite fast denselben Namen. Das Telefon greift dann möglicherweise das falsche und scheitert am Passwort. Ein eigener, eindeutiger Name für Ihr Gastnetz kostet nichts und beseitigt diese ganze Fehlerklasse, bevor sie entsteht.

Das Telefon hat noch ein altes Profil für dieses Netzwerk

Diese Variante ist die frustrierendste, weil am Code nachweislich alles stimmt und das Telefon trotzdem zurückfällt. Das gespeicherte Profil hat Vorrang vor dem, was der Code anbietet, und es trägt möglicherweise noch ein Passwort von vor drei Monaten.

Hat sich ein Telefon früher mit dieser SSID und einem alten Passwort verbunden, hält es ein gespeichertes Profil vor. Ein Code mit dem neuen Passwort überschreibt dieses Profil oft nicht. Das Telefon versucht es mit den gespeicherten Zugangsdaten, scheitert und landet danach womöglich in einer Wiederholungsschleife oder wirft einen allgemeinen Authentifizierungsfehler. Gäste, die nach einer Passwortänderung wiederkommen, laufen ständig hinein, und Sie beim Testen ebenso, denn Ihr eigenes Telefon hat in der Regel die längste Vorgeschichte mit diesem Netzwerk.

Die Lösung: das Netzwerk in den WLAN-Einstellungen des Telefons vergessen und erneut scannen. Tun Sie das, bevor Sie einen Code für kaputt erklären. Testen Sie einen neuen Code entweder auf einem Gerät, das dem Netzwerk nie beigetreten ist, oder vergessen Sie es vorher, sonst verbringen Sie eine Stunde mit der Fehlersuche an einem Problem, das für alle anderen gar nicht existiert.

Scheitert der Code danach immer noch, decodieren Sie ihn ein letztes Mal und lesen Sie die Ausgabe laut gegen die tatsächlichen Funkeinstellungen des Routers vor. Die Abweichung ist fast immer sofort sichtbar, sobald beides nebeneinanderliegt, und die Referenz Feld für Feld steht im vollständigen Leitfaden zu WLAN-QR-Codes.