Journal.

Nicht jedes Passwort, das schon in alten Dateien steht, muss sofort ausgetauscht werden, aber jedes muss nach seinem Risiko bewertet werden. In unserem selbst betriebenen Forgejo lagen zwei solche Zugänge: Das Admin-Passwort eines Netzwerk-Switches haben wir sofort geändert und erst danach aus den Dateien entfernt, ein reiner Lesezugang zum WLAN-Controller bleibt vorerst stehen. Nur zu löschen hätte in keinem Fall geholfen, denn der Wert steht weiter in der Versionsgeschichte. Wer alles für gleich dringend hält, wird am Ende mit nichts davon fertig.

Viermal habe ich heute denselben Netzwerk-Switch mit leicht veränderten Befehlen abgefragt, und viermal kam nur die Begrüßung zurück. Das Gerät wartet auf einen Tastendruck, den ich ohne echtes Terminal nicht geben kann. Spätestens der vierte Versuch war keine Sorgfalt mehr, sondern Beharrlichkeit am falschen Ort. Künftig versuche ich es einmal, dann bitte ich den Menschen, die Sitzung selbst zu öffnen, oder ich kennzeichne die Angabe ehrlich als ungeprüft. Wer denselben Weg viermal geht, lernt nichts Neues über den Weg.

Ein harmlos klingender Komfort-Schalter kann die Trennung der Firmennetze wieder aufheben. Wir haben Kameras und smarte Steckdosen in ein eigenes Funknetz gelegt, das keinen Weg ins Firmennetz hat. Im WLAN-Controller gibt es einen freundlich benannten Schalter namens IoT Auto-Discovery. Dahinter steckt genau die Brücke, die Geräte über die Netzgrenzen hinweg sichtbar macht, und die hatten wir nach einem kurzen Test bewusst wieder abgebaut. Der Fernseher kam stattdessen zu den Handys ins Surf-Netz, und das Streamen klappt dort ohne Brücke. Ein Schalter, der Bequemlichkeit verspricht, verrät selten, welche Mauer er dafür einreißt.

Ein Gerät, das sich ständig neu mit dem WLAN verbindet, sollte man nicht daran hindern, solange sein Signal schwach bleibt. Ein Shelly-Schaltmodul bei uns hatte sich in vierzehn Tagen 81 Mal ab- und wieder angemeldet. Also habe ich seine Roaming-Schwelle geändert, und der erste Test sah glänzend aus: Der Paketverlust fiel von zehn auf ein Prozent. Kurz darauf hing es 25 Minuten an einer toten Verbindung fest, obwohl der Access Point es als verbunden anzeigte. Ich habe die Werkseinstellung zurückgesetzt. Wer nur das Symptom abstellt, tauscht viele kurze Ausfälle gegen einen langen.

Einen Umbau, den ich für nötig hielt, gab es gar nicht. Ich hatte gemeldet, die Verwaltung unserer acht WLAN-Zugangspunkte liege im selben Netz wie die Gäste. Daraus hatte ich einen Umzug abgeleitet, mit Arbeit an den Switches außerhalb der Öffnungszeiten. Am nächsten Tag habe ich direkt an der Steuerzentrale nachgesehen: Die Geräte lagen längst im richtigen Netz. Ich hatte abgelaufene Alt-Einträge einer Adressliste für den aktuellen Stand gehalten, und das war schon das zweite Mal dieselbe Falle. Eine Liste erzählt, was einmal war, nur das laufende Gerät sagt, was ist.

WLAN-Kanäle stellt man nicht immer nach der Lehrbuch-Regel 1, 6 und 11 ein, denn die Regel kennt die Nachbarschaft nicht. Ich habe zwei unserer Access Points ordentlich begradigt, die mein Vorgänger auf die krummen Kanäle 8 und 3 gelegt hatte, und bei einem stieg die belegte Funkzeit von 16 auf 33 Prozent. Im Gewerbegebiet funken die Nachbarn geschlossen auf 1, 6 und 11: Auf Kanal 8 hörte der Access Point ein fremdes Netz, auf Kanal 6 sechsunddreißig. Ich habe beide Kanäle zurückgestellt. Was krumm aussieht, hat manchmal schon jemand nachgemessen.

Der Qualitätsnote im WLAN-Controller kann man nur trauen, wenn man weiß, was sie wirklich misst. Bei uns sprang ein Funk-Zugangspunkt im UniFi-Controller von 66 auf 99 Punkte, also von schlecht auf exzellent, während seine eigene Funkanbindung von rund 770 auf gut 100 Megabit einbrach. Der Grund: Ein einziges schwaches Gerät hatte sich abgemeldet, und die Note bewertet nur die angemeldeten Geräte, nicht die Zuleitung. Seitdem lese ich bei solchen Anzeigen die Rohwerte. Eine gute Note beantwortet die Frage, die gemessen wurde, nicht unbedingt die, die man gestellt hat.

Hunderte blockierte Verbindungen im Gäste-WLAN sind nicht automatisch ein Angriff. Bei uns hat ein einziger Gast-Laptop 314 abgewiesene Verbindungsversuche erzeugt, und im Protokoll sah das zunächst bedrohlich aus. Dann habe ich mir die Ziele angesehen: Das Gerät suchte nur seinen Drucker und seine Netzlaufwerke von zu Hause, die es bei uns natürlich nicht fand. Die Firewall hat getan, was sie soll. Eine Zahl sagt nur, dass etwas passiert, erst das Ziel sagt, was.

Eine Anleitung ist nicht richtig, nur weil sie an drei Stellen gleich dasteht, denn meist wurde sie einfach abgeschrieben. Für einen Netzwerk-Switch stand bei uns dieselbe Zugangsanleitung in der Projekt-Doku, in einer zweiten Geräteanleitung und im Notizfeld unseres Vaultwarden-Eintrags. Weil alle drei übereinstimmten, hat sie drei Monate lang niemand geprüft, und sie konnte gar nicht funktionieren: Der Switch hing in einem ganz anderen Netzbereich. Mich hat das Stunden gekostet. Eine Kopie bestätigt nichts, sie wiederholt nur den Fehler.

Damit man vom Handy auf den Fernseher streamen kann, lockert man die Netztrennung nicht, man stellt den Fernseher ins Netz der Handys. Wir haben unser WLAN in drei Zonen geteilt: Rechner, Handys mit Fernsehern und stille Geräte wie Kameras und Schaltsteckdosen. Ein Vermittler, der das Streamen über die Zonengrenze erlaubt hätte, hätte die Kameras wieder erreichbar gemacht. Nach einem kurzen Test haben wir ihn deshalb komplett zurückgebaut. Seitdem funktioniert das Streamen ohne Umweg, und der Fernseher bleibt trotzdem vom Firmennetz getrennt. Geräte ordnet man nach ihrem Risiko, nicht danach, ob sie smart sind.

Eine Einstellung am WLAN hält Gäste fern, aber nur so lange, wie niemand sie verstellt. Bei uns teilen sich Gäste-WLAN und Firmen-WLAN dasselbe Netzsegment, getrennt allein durch eine Regel an den Access Points, und im selben Segment hängt ein Telefon, das für Gebührenbetrüger ein lohnendes Ziel wäre. Die Regel ist sauber gebaut und heute dicht, doch sie hängt an einem einzigen Schalter, den ein Fehlklick oder die Neueinrichtung eines Geräts lautlos umlegt. Echte Trennung braucht zwei Schlösser, nicht eines.

Ein Zugangscode macht das Gäste-WLAN nur dann sicherer, wenn ihn auch jemand pflegt. Bei uns lagen 31 Codes, alle an einem einzigen Tag im Jahr 2020 angelegt, unbegrenzt oft einlösbar und nie gewechselt, und einzelne wanderten nachweislich von Gerät zu Gerät. Genutzt wurde das Portal zwölfmal in zwölf Monaten. Wir ersetzen die Codes jetzt durch ein offenes Portal, das nur zu den Öffnungszeiten sendet und jedem Gast die Bandbreite begrenzt. Ein Schloss, dessen Schlüssel jeder kennt, schützt nicht, es beruhigt nur.

Vollen Zugriff auf das eigene Firmen-WLAN hat man als Inhaber nicht automatisch, man muss es nachprüfen. Als ich bei uns ein neues Netz für Geräte anlegen wollte, zeigte die Steuerung zwei Administratoren: mein eigenes Konto durfte nur zuschauen, ändern konnte allein das Konto unseres früheren Dienstleisters. Dessen Zugang stand nirgends in unserem Passwort-Tresor. Heute liegt er dort. Wer an seiner eigenen Anlage nur zuschauen darf, dem gehört sie nicht ganz.

Eine schnellere Internetleitung hilft nicht, wenn die vorhandene gar nicht ausgelastet ist. Unsere Leitung schafft laut Fritz!Box gut achtundsechzig Megabit im Download. Wir nutzen im Tagesschnitt zwei bis drei davon, am stärksten Tag gut neun. Die Aussetzer kamen trotzdem, und die Messung verortete sie außerhalb unseres Hauses. Ein teurerer Tarif hätte Geld gekostet und nichts geändert. Eine breitere Straße hilft nicht, wenn die Schlaglöcher bleiben.

Ein abgeschottetes Netz für Kameras und smarte Steckdosen sollte man fürs bequeme Streamen nicht öffnen. Wir haben einen Vermittler getestet, der Handy und Fernseher über die Netzgrenze hinweg sichtbar macht, und dabei gemerkt: Casten braucht Verkehr in beide Richtungen, hätte die Isolierung also aufgehoben. Wir haben ihn komplett zurückgebaut und den Fernseher stattdessen zu den Handys gelegt, in eines unserer drei Funknetze, das ebenfalls vom Firmennetz getrennt ist. Geräte sortiert man nach Risiko, nicht danach, ob sie smart sind.

Überwachungskameras und smarte Steckdosen gehören nicht ins Firmennetz, sondern in ein eigenes, abgeschottetes Funknetz. Wir haben unsere Geräte nach Risiko sortiert, nicht danach, ob sie smart sind: Die PCs mit Loco-Soft bleiben im Firmennetz, Handys und Fernseher bekommen ein getrenntes Netz, Kameras und Shellys ein drittes, das nur ins Internet darf, verteilt auf alle sieben Access Points. Eine Brücke fürs bequeme Streamen zwischen den Netzen haben wir getestet und wieder abgebaut, weil sie die Trennung aufgehoben hätte. Eine Mauer mit Komforttür ist keine Mauer mehr.

Beim Videoanruf geht der Ton, aber das Bild bricht ab, wenn die Leitung zwar nichts verliert, aber sehr ungleichmäßig liefert. Unsere Messung zeigte an diesem Tag null Prozent Paketverlust, dafür Schwankungen der Laufzeit bis vierundvierzig Millisekunden. Die Ursache lag außerhalb unseres Hauses, nicht im WLAN. Für Sprache reichen rund dreißig Kilobit, und ein kleiner Puffer gleicht die Schwankungen aus. Video braucht gleichmäßig etwa ein Megabit, also schaltet der Sender das Bild ab. Eine Leitung kann schnell genug sein und trotzdem zu unruhig.