Fragen & Antworten.

Nicht jedes Passwort, das schon in alten Dateien steht, muss sofort ausgetauscht werden, aber jedes muss nach seinem Risiko bewertet werden. In unserem selbst betriebenen Forgejo lagen zwei solche Zugänge: Das Admin-Passwort eines Netzwerk-Switches haben wir sofort geändert und erst danach aus den Dateien entfernt, ein reiner Lesezugang zum WLAN-Controller bleibt vorerst stehen. Nur zu löschen hätte in keinem Fall geholfen, denn der Wert steht weiter in der Versionsgeschichte. Wer alles für gleich dringend hält, wird am Ende mit nichts davon fertig.

Ein harmlos klingender Komfort-Schalter kann die Trennung der Firmennetze wieder aufheben. Wir haben Kameras und smarte Steckdosen in ein eigenes Funknetz gelegt, das keinen Weg ins Firmennetz hat. Im WLAN-Controller gibt es einen freundlich benannten Schalter namens IoT Auto-Discovery. Dahinter steckt genau die Brücke, die Geräte über die Netzgrenzen hinweg sichtbar macht, und die hatten wir nach einem kurzen Test bewusst wieder abgebaut. Der Fernseher kam stattdessen zu den Handys ins Surf-Netz, und das Streamen klappt dort ohne Brücke. Ein Schalter, der Bequemlichkeit verspricht, verrät selten, welche Mauer er dafür einreißt.

Ein Gerät, das sich ständig neu mit dem WLAN verbindet, sollte man nicht daran hindern, solange sein Signal schwach bleibt. Ein Shelly-Schaltmodul bei uns hatte sich in vierzehn Tagen 81 Mal ab- und wieder angemeldet. Also habe ich seine Roaming-Schwelle geändert, und der erste Test sah glänzend aus: Der Paketverlust fiel von zehn auf ein Prozent. Kurz darauf hing es 25 Minuten an einer toten Verbindung fest, obwohl der Access Point es als verbunden anzeigte. Ich habe die Werkseinstellung zurückgesetzt. Wer nur das Symptom abstellt, tauscht viele kurze Ausfälle gegen einen langen.

WLAN-Kanäle stellt man nicht immer nach der Lehrbuch-Regel 1, 6 und 11 ein, denn die Regel kennt die Nachbarschaft nicht. Ich habe zwei unserer Access Points ordentlich begradigt, die mein Vorgänger auf die krummen Kanäle 8 und 3 gelegt hatte, und bei einem stieg die belegte Funkzeit von 16 auf 33 Prozent. Im Gewerbegebiet funken die Nachbarn geschlossen auf 1, 6 und 11: Auf Kanal 8 hörte der Access Point ein fremdes Netz, auf Kanal 6 sechsunddreißig. Ich habe beide Kanäle zurückgestellt. Was krumm aussieht, hat manchmal schon jemand nachgemessen.

Der Qualitätsnote im WLAN-Controller kann man nur trauen, wenn man weiß, was sie wirklich misst. Bei uns sprang ein Funk-Zugangspunkt im UniFi-Controller von 66 auf 99 Punkte, also von schlecht auf exzellent, während seine eigene Funkanbindung von rund 770 auf gut 100 Megabit einbrach. Der Grund: Ein einziges schwaches Gerät hatte sich abgemeldet, und die Note bewertet nur die angemeldeten Geräte, nicht die Zuleitung. Seitdem lese ich bei solchen Anzeigen die Rohwerte. Eine gute Note beantwortet die Frage, die gemessen wurde, nicht unbedingt die, die man gestellt hat.

Hunderte blockierte Verbindungen im Gäste-WLAN sind nicht automatisch ein Angriff. Bei uns hat ein einziger Gast-Laptop 314 abgewiesene Verbindungsversuche erzeugt, und im Protokoll sah das zunächst bedrohlich aus. Dann habe ich mir die Ziele angesehen: Das Gerät suchte nur seinen Drucker und seine Netzlaufwerke von zu Hause, die es bei uns natürlich nicht fand. Die Firewall hat getan, was sie soll. Eine Zahl sagt nur, dass etwas passiert, erst das Ziel sagt, was.

Eine Anleitung ist nicht richtig, nur weil sie an drei Stellen gleich dasteht, denn meist wurde sie einfach abgeschrieben. Für einen Netzwerk-Switch stand bei uns dieselbe Zugangsanleitung in der Projekt-Doku, in einer zweiten Geräteanleitung und im Notizfeld unseres Vaultwarden-Eintrags. Weil alle drei übereinstimmten, hat sie drei Monate lang niemand geprüft, und sie konnte gar nicht funktionieren: Der Switch hing in einem ganz anderen Netzbereich. Mich hat das Stunden gekostet. Eine Kopie bestätigt nichts, sie wiederholt nur den Fehler.

Damit man vom Handy auf den Fernseher streamen kann, lockert man die Netztrennung nicht, man stellt den Fernseher ins Netz der Handys. Wir haben unser WLAN in drei Zonen geteilt: Rechner, Handys mit Fernsehern und stille Geräte wie Kameras und Schaltsteckdosen. Ein Vermittler, der das Streamen über die Zonengrenze erlaubt hätte, hätte die Kameras wieder erreichbar gemacht. Nach einem kurzen Test haben wir ihn deshalb komplett zurückgebaut. Seitdem funktioniert das Streamen ohne Umweg, und der Fernseher bleibt trotzdem vom Firmennetz getrennt. Geräte ordnet man nach ihrem Risiko, nicht danach, ob sie smart sind.

Eine Einstellung am WLAN hält Gäste fern, aber nur so lange, wie niemand sie verstellt. Bei uns teilen sich Gäste-WLAN und Firmen-WLAN dasselbe Netzsegment, getrennt allein durch eine Regel an den Access Points, und im selben Segment hängt ein Telefon, das für Gebührenbetrüger ein lohnendes Ziel wäre. Die Regel ist sauber gebaut und heute dicht, doch sie hängt an einem einzigen Schalter, den ein Fehlklick oder die Neueinrichtung eines Geräts lautlos umlegt. Echte Trennung braucht zwei Schlösser, nicht eines.

Ein Zugangscode macht das Gäste-WLAN nur dann sicherer, wenn ihn auch jemand pflegt. Bei uns lagen 31 Codes, alle an einem einzigen Tag im Jahr 2020 angelegt, unbegrenzt oft einlösbar und nie gewechselt, und einzelne wanderten nachweislich von Gerät zu Gerät. Genutzt wurde das Portal zwölfmal in zwölf Monaten. Wir ersetzen die Codes jetzt durch ein offenes Portal, das nur zu den Öffnungszeiten sendet und jedem Gast die Bandbreite begrenzt. Ein Schloss, dessen Schlüssel jeder kennt, schützt nicht, es beruhigt nur.

Vollen Zugriff auf das eigene Firmen-WLAN hat man als Inhaber nicht automatisch, man muss es nachprüfen. Als ich bei uns ein neues Netz für Geräte anlegen wollte, zeigte die Steuerung zwei Administratoren: mein eigenes Konto durfte nur zuschauen, ändern konnte allein das Konto unseres früheren Dienstleisters. Dessen Zugang stand nirgends in unserem Passwort-Tresor. Heute liegt er dort. Wer an seiner eigenen Anlage nur zuschauen darf, dem gehört sie nicht ganz.

Eine schnellere Internetleitung hilft nicht, wenn die vorhandene gar nicht ausgelastet ist. Unsere Leitung schafft laut Fritz!Box gut achtundsechzig Megabit im Download. Wir nutzen im Tagesschnitt zwei bis drei davon, am stärksten Tag gut neun. Die Aussetzer kamen trotzdem, und die Messung verortete sie außerhalb unseres Hauses. Ein teurerer Tarif hätte Geld gekostet und nichts geändert. Eine breitere Straße hilft nicht, wenn die Schlaglöcher bleiben.

Ein abgeschottetes Netz für Kameras und smarte Steckdosen sollte man fürs bequeme Streamen nicht öffnen. Wir haben einen Vermittler getestet, der Handy und Fernseher über die Netzgrenze hinweg sichtbar macht, und dabei gemerkt: Casten braucht Verkehr in beide Richtungen, hätte die Isolierung also aufgehoben. Wir haben ihn komplett zurückgebaut und den Fernseher stattdessen zu den Handys gelegt, in eines unserer drei Funknetze, das ebenfalls vom Firmennetz getrennt ist. Geräte sortiert man nach Risiko, nicht danach, ob sie smart sind.

Überwachungskameras und smarte Steckdosen gehören nicht ins Firmennetz, sondern in ein eigenes, abgeschottetes Funknetz. Wir haben unsere Geräte nach Risiko sortiert, nicht danach, ob sie smart sind: Die PCs mit Loco-Soft bleiben im Firmennetz, Handys und Fernseher bekommen ein getrenntes Netz, Kameras und Shellys ein drittes, das nur ins Internet darf, verteilt auf alle sieben Access Points. Eine Brücke fürs bequeme Streamen zwischen den Netzen haben wir getestet und wieder abgebaut, weil sie die Trennung aufgehoben hätte. Eine Mauer mit Komforttür ist keine Mauer mehr.

Beim Videoanruf geht der Ton, aber das Bild bricht ab, wenn die Leitung zwar nichts verliert, aber sehr ungleichmäßig liefert. Unsere Messung zeigte an diesem Tag null Prozent Paketverlust, dafür Schwankungen der Laufzeit bis vierundvierzig Millisekunden. Die Ursache lag außerhalb unseres Hauses, nicht im WLAN. Für Sprache reichen rund dreißig Kilobit, und ein kleiner Puffer gleicht die Schwankungen aus. Video braucht gleichmäßig etwa ein Megabit, also schaltet der Sender das Bild ab. Eine Leitung kann schnell genug sein und trotzdem zu unruhig.

Wenn ein Gerät im WLAN angemeldet ist und trotzdem keine Adresse bekommt, verwirft oft ein Filter still die Antwort. Die Basisstation unserer eufy-Kameras hing bei uns stundenlang in dieser Schleife. Unser Server bot ihr eine Adresse an, aber der UniFi-Zugangspunkt warf die Antwort weg, weil ein Broadcast-Filter eingeschaltet war. Die Kameras im selben Netz liefen, weil sie ihre Anfrage anders stellen, und genau das hat uns in die falsche Richtung geschickt. Ohne den Filter kam die Adresse sofort. Dass die Geräte daneben laufen, beweist nicht, dass die Einstellung stimmt.

Gegen ein ruckelndes Internet hilft eine 5G-Ersatzleitung kaum, denn sie springt erst ein, wenn die Hauptleitung wirklich ausfällt. Unsere Fritz!Box kann ab einer bestimmten Softwareversion auf einen angeschlossenen 5G-Router umschalten. Die schwankenden Laufzeiten von bis zu 168 Millisekunden, die unsere Telefonate stören, lösen diese Umschaltung aber gar nicht aus. Dazu kommt: Der Mobilfunkvertrag bringt keine eigene öffentliche Adresse mit, im Notbetrieb wären Fernzugang und Portfreigaben also weg. Eine Ersatzleitung ist ein Rettungsboot, kein stärkerer Motor.

Die IT rund ums Werkstatt-Programm baut man nicht nach eigenem Geschmack, sondern nach den Vorgaben des Herstellers. Ich hatte unsere Drucker gerade zentral über einen Druckserver an alle Plätze verteilt, und am nächsten Morgen las ich im Netzwerk-Leitfaden von Loco-Soft, dass genau davon dringend abgeraten wird. Dort steht auch, dass ein normaler Windows-Rechner als Server nur bis vier Arbeitsplätze trägt, und unsere gewachsene Aufstellung verstößt gleich an mehreren Stellen dagegen. Was technisch läuft, ist im Supportfall trotzdem nicht abgesegnet.

Der Umstieg auf eine eigene Open-Source-Telefonanlage lohnt sich bei uns im Moment nicht, so verlockend die Idee ist. Als ich die Ablösung unserer AGFEO geprüft habe, steckte der Aufwand nicht in der Software, sondern auf den Schreibtischen: Unsere Systemtelefone laufen nur an dieser einen Anlage, zehn bis zwanzig Nebenstellen hätten neue Geräte gebraucht, und jeder Kollege hätte umlernen müssen. Die Aussetzer kamen ohnehin aus der Leitung, und die trifft jede Anlage gleich. Wer eine Anlage tauschen will, tauscht in Wahrheit alles, was an ihr hängt.

Passwörter im Betrieb gibt man besser nach Risiko frei als nach Abteilung. Beim Aufräumen unseres Vaultwarden mit 405 Einträgen haben wir fünf Stufen gebaut: Hersteller-Portale und Teilehändler sehen alle elf Mitarbeiter, Banking und Behörden nur die Buchhaltung, die IT-Zugänge nur die Geschäftsführung. Eine eigene Gruppe für die Werkstatt brauchten wir danach gar nicht mehr. Entscheidend ist nicht, wer wo sitzt, sondern welcher Schaden entsteht, wenn ein Zugang in die falschen Hände gerät.