Jemand sitzt im Wartebereich und fragt nach dem WLAN. Du liest das Passwort vom Aufkleber auf der Rückseite des Routers vor. Das dauert zehn Sekunden und ist erledigt.
Was in diesen zehn Sekunden passiert ist: Ein fremdes Gerät, dessen Zustand niemand kennt, steht jetzt im selben Netz wie die Kasse, der Server, das NAS mit den Angeboten der letzten acht Jahre und der Drucker, auf dem die Lohnabrechnungen liegen.
Die Frage, die zu diesem Thema am häufigsten gestellt wird, ist trotzdem eine andere: „Hafte ich, wenn da einer was runterlädt?“ Das ist die Sorge um ein Risiko, das der Gesetzgeber weitgehend abgeräumt hat — während das Risiko, das geblieben ist, in der Regel unbeachtet bleibt.
Die Haftung, vor der sich alle fürchten, ist weg
Die Regel steht heute im Digitale-Dienste-Gesetz. Wer Nutzern einen Internetzugang vermittelt, haftet nach Artikel 4 Absatz 1 der Verordnung (EU) 2022/2065 nicht für die übermittelten Informationen, sofern er drei Dinge nicht tut: die Übermittlung veranlassen, den Adressaten auswählen, die Informationen auswählen oder verändern.
Ein Gäste-WLAN, das einfach Verkehr durchreicht, erfüllt alle drei Bedingungen. Es sucht sich nicht aus, was durchgeht, und es verändert nichts.
Und daran hängt § 7 Absatz 3 DDG: Wer nach Artikel 4 nicht haftet, kann „auch nicht wegen einer rechtswidrigen Handlung eines Nutzers auf Schadensersatz oder Beseitigung oder Unterlassung einer Rechtsverletzung in Anspruch genommen werden“ — und, das ist der Satz, um den es eigentlich geht, dasselbe gilt „hinsichtlich aller Kosten für die Geltendmachung und Durchsetzung dieser Ansprüche“.
Das ist die Abmahnung. Genau die ist ausgeschlossen. Die Ausnahme greift nur, wenn der Betreiber absichtlich mit einem Nutzer zusammenarbeitet, um rechtswidrige Handlungen zu begehen. Nach § 7 Absatz 4 DDG gilt das auch dann, wenn der Zugang unentgeltlich angeboten wird — der Kaffee kostet, das WLAN nicht, und es ändert nichts.
Dazu kommt § 7 Absatz 2 DDG: Eine Behörde darf WLAN-Anbieter nicht dazu verpflichten, vor der Zugangsgewährung persönliche Daten zu erheben (Registrierung) oder die Eingabe eines Passworts zu verlangen. Freiwillig darf man beides — verlangen kann es niemand.
Was geblieben ist: die Sperre, nicht die Rechnung
Zwei Dinge bleiben, und beide sind für einen kleinen Betrieb harmlos.
Nach § 8 Absatz 1 DDG kann ein Rechteinhaber die Sperrung der Nutzung von Informationen verlangen, wenn sein Recht am geistigen Eigentum über den Zugang verletzt wurde und es für ihn keine andere Möglichkeit gibt, der Verletzung abzuhelfen. Die Sperrung muss nach Absatz 2 zumutbar und verhältnismäßig sein. Und nach Absatz 3 besteht gerade kein Anspruch auf Erstattung der vor- und außergerichtlichen Kosten — außer bei absichtlichem Zusammenwirken.
Auf Deutsch: Im äußersten Fall sollst du etwas sperren. Zahlen sollst du nicht. Und Artikel 4 Absatz 3 der Verordnung stellt klar, dass ein Gericht oder eine Behörde weiterhin verlangen kann, eine Zuwiderhandlung abzustellen oder zu verhindern.
Protokollieren musst du nicht
Die Telekommunikations-Überwachungsverordnung nimmt kleine Anlagen ausdrücklich aus. Vorkehrungen zur Überwachung sind nach § 3 Absatz 2 Satz 1 Nummer 5 TKÜV nicht zu treffen, solange nicht mehr als 10.000 Nutzer angeschlossen sind. Für Internetzugangsdienste über ein drahtloses lokales Netzwerk ohne Kennung liegt die Grenze nach Nummer 6 sogar bei 100.000 Nutzern.
Die Bundesnetzagentur schreibt dazu selbst, von der Verpflichtung seien „lediglich wenige, große Unternehmen betroffen, d.h. kleine Anlagenbetreiber wie Cafés, Hotels, Bibliotheken, die beispielsweise ihren eigenen Internetanschluss per WLAN-Router ihren Kunden anbieten, sind hierbei nicht angesprochen“.
Ein Betrieb mit zwölf Leuten und drei Gästen im Wartebereich erreicht diese Zahlen nicht, auch nicht an einem guten Tag.
Das eigentliche Risiko steht im Netz, nicht im Gesetz
Und jetzt zu dem Teil, den keine Gesetzesänderung erledigt.
Das BSI verlangt im IT-Grundschutz-Baustein NET.2.1 unter A6, es müsse sichergestellt sein, dass „mittels der WLAN-Kommunikation keine Sicherheitszonen gekoppelt werden und hierdurch etablierte Schutzmaßnahmen umgangen werden“. Genau das passiert, wenn der Gast das Passwort vom Aufkleber bekommt: Wartebereich und Serverraum werden zur selben Zone.
NET.2.1.A7 verlangt, vor dem Aufbau grundsätzlich zu entscheiden, „ob physisch oder logisch durch VLANs auf den Access Switches des kabelbasierten LANs getrennt wird“. Und A9 verlangt, den Übergang zwischen WLAN und LAN abzusichern, „beispielsweise durch einen Paketfilter“.
Das klingt nach Rechenzentrum, ist aber im Kleinbetrieb eine Router-Einstellung. Fast jeder Geschäftsrouter und jede halbwegs aktuelle Fritzbox kann ein Gastnetz, das genau diese Trennung herstellt.
So richtest du es ein
Das Gastnetz einschalten, nicht nachbauen. Die Funktion ist da, sie ist jederzeit zu- und abschaltbar, und sie erledigt die Trennung. Das BSI empfiehlt denselben Weg auch dafür, unsichere Geräte vom Rest fernzuhalten — Zeiterfassung, Heizungssteuerung, der Fernseher im Besprechungsraum gehören ins Gastnetz, nicht ins Betriebsnetz.
Verschlüsseln, auch für Gäste. Kryptografische Verfahren, die unsicherer als WPA2 sind, dürfen nach NET.2.1.A3 nicht mehr eingesetzt werden; das BSI empfiehlt für das Gastnetz mindestens WPA2 und „wenn möglich sogar WPA3“. Ein völlig offenes Netz spart dem Gast die Passworteingabe und liefert jedem in Funkreichweite den Verkehr mit.
Ein langes Passwort, einmal eingegeben. Für WPA2 mit Pre-Shared Key verlangt NET.2.1.A3 einen komplexen Schlüssel mit mindestens 20 Zeichen, und das BSI nennt für das Gastnetz dieselbe Größenordnung: mindestens 20 zusammenhanglose Zeichen. Das schreckt niemanden ab, weil es genau einmal eingetippt wird — als Aushang oder QR-Code am Tresen. Wie ein Betrieb solche Passwörter verwaltet, ohne sie auf Zetteln zu sammeln, steht in Passwörter im Betrieb.
Einen Namen ohne Auskunft. Das BSI rät zu einem Netzwerknamen, „der keine Rückschlüsse auf Sie, andere Personen oder das Router-Modell zulässt“. „Gäste“ reicht völlig. Das Router-Modell im Namen ist eine Einladung, nach bekannten Lücken für genau dieses Gerät zu suchen.
Den Auslieferungszustand verlassen. NET.2.1.A5 verlangt, voreingestellte SSIDs, Zugangskennwörter und kryptografische Schlüssel vor dem produktiven Einsatz zu ändern, unsichere Administrationszugänge abzuschalten und Access Points nur über eine verschlüsselte Verbindung zu administrieren. Das Standardpasswort der Router-Oberfläche ist der Punkt, an dem die meisten kleinen Netze tatsächlich offen sind — nicht das Gäste-WLAN.
Wann du gar keines brauchst
Nicht jeder Betrieb braucht ein Gäste-WLAN. Wenn niemand danach fragt, ist die Mobilfunkabdeckung in der Regel gut genug, und ein Netz, das niemand nutzt, ist trotzdem eines, das gewartet, aktualisiert und im Blick behalten werden muss.
Bei einem Handwerksbetrieb ohne Wartebereich, dessen Kundschaft nie länger als zehn Minuten im Haus ist, spricht wenig dafür. Bei Gastronomie, Praxis, Friseur oder Autohaus dagegen viel: Dort sitzen Leute, und dort wird gefragt.
Wer ein Gastnetz einrichtet, sollte es dann auch für die Geräte nutzen, die ohnehin niemand pflegt. Das ist derselbe Gedanke wie bei der Anbindung von außen — was nicht ins Betriebsnetz gehört, kommt nicht hinein. Siehe dazu Homeoffice sicher anbinden und, für die Geräte, die still an der Vorschrift vorbei im Netz stehen, Schatten-IT im Betrieb.
Was diese Woche zu tun ist
Drei Handgriffe, in dieser Reihenfolge:
- Nachsehen, ob es überhaupt getrennt ist. Handy ins Gäste-WLAN, dann die Adresse des Druckers oder des NAS im Browser aufrufen. Kommt etwas, ist das Gastnetz keines.
- Das Gastnetz einschalten und ein langes Passwort vergeben. Zwanzig Zeichen, als Aushang oder QR-Code. Das Betriebspasswort verschwindet vom Aufkleber und vom Tresen.
- Das Passwort der Router-Oberfläche ändern, falls das nie passiert ist, und die Fernwartung von außen abschalten, wenn sie nicht gebraucht wird.
Das ist eine halbe Stunde Arbeit und kostet nichts. Wer die Trennung sauber über VLANs bis in die verkabelten Bereiche ziehen will, braucht dafür passende Technik — dazu gehört IT-Infrastruktur und Security.
Zum rechtlichen Teil noch ein Wort: Die Sätze oben geben wieder, was in DDG, Verordnung und TKÜV steht, und nicht mehr. Ob dein konkretes Angebot im Einzelfall anders zu bewerten ist — etwa weil es gewerblich als eigenständiger Dienst erbracht wird und damit Meldepflichten nach § 5 TKG in den Blick geraten —, gehört zu einem Anwalt und nicht in einen Blogbeitrag.