Das WLAN für Gäste gehört in ein eigenes Netz.

Wer Kunden, Patienten oder Besuchern das WLAN-Kennwort des Betriebs gibt, lässt fremde Telefone und Notebooks in dasselbe Netz, in dem Praxisrechner, Kasse, Drucker und Netzwerkspeicher stehen. Was auf diesen fremden Geräten läuft, weiß niemand. Und wer das Kennwort im Lauf der Jahre schon bekommen hat, lässt sich kaum noch nachvollziehen.

Die Lösung kostet nichts: Moderne Router spannen neben dem eigenen WLAN ein zweites für Gäste auf. Das führt ins Internet und sonst nirgendwohin. An einer FRITZ!Box ist es in wenigen Minuten eingerichtet.

Warum ein eigenes Netz für Gäste

Mit einem Gastzugang haben Sie zwei voneinander getrennte Netze. Das BSI beschreibt den Vorteil so: Selbst wenn auf dem Laptop oder Telefon eines Gastes Schadsoftware läuft und er sich mit dem Gäste-WLAN verbindet, bleiben Ihre Daten sicher. Der Hersteller der FRITZ!Box formuliert es für sein Gerät noch deutlicher: Geräte im Gast- und im Heimnetz sind vollständig voneinander getrennt und erhalten keinen Zugriff auf Geräte im jeweils anderen Netz.

Für einen Betrieb heißt das: Ins Gastnetz gehören die Telefone und Notebooks von Kunden, Patienten, Lieferanten und Handwerkern. Ins eigene Netz gehören die Geräte, auf denen Daten liegen oder mit denen gearbeitet wird — Arbeitsplätze, Kasse, Drucker, Netzwerkspeicher. Das BSI rät außerdem, auch smarte Geräte wie Saugroboter, Rollladensteuerungen oder Türklingeln in ein separates Netz zu stecken, weil sie dort weniger Schaden anrichten können.

An der FRITZ!Box

Die Schritte folgen der Anleitung des Herstellers, die sich auf das aktuelle FRITZ!OS bezieht:

1. Benutzeroberfläche öffnen, WLAN → Gastzugang, den Gastzugang aktivieren.
2. Für ein Netz mit Kennwort privater WLAN-Gastzugang wählen. Bei Name des WLAN-Gastzugangs (SSID) den Namen eintragen, den Gäste in der Liste sehen, in der Ausklappliste für die Verschlüsselung das Verfahren wählen und im Feld WLAN-Netzwerkschlüssel das Kennwort eintragen — die FRITZ!Box nimmt 8 bis 63 Zeichen an.
3. Unter Weitere Einstellungen:
   • Internetanwendungen beschränken aktivieren. Dann ist im Gastnetz Surfen und Mailen möglich, andere Internetzugriffe nicht.
   • WLAN-Geräte dürfen untereinander kommunizieren nicht aktivieren. Gäste sollen einander nicht erreichen können, auch nicht ein infiziertes Telefon das nächste.
   • Soll das Netz nicht dauerhaft laufen, eine Zeit festlegen, nach der sich der Gastzugang von selbst abschaltet.
4. Mit Übernehmen speichern.

Die zweite Möglichkeit ist der öffentliche WLAN-Hotspot ohne Kennwort, den der Hersteller etwa für ein Café oder eine Arztpraxis nennt. Der Preis: Die Daten gehen wie bei jedem offenen Hotspot unverschlüsselt durch die Luft. Nur Geräte, die das Verfahren OWE beherrschen, verschlüsseln trotzdem, wenn Sie die Option dafür einschalten. Auf Wunsch sehen Gäste zuerst eine Vorschaltseite.

Zwei Einstellungen liegen an anderer Stelle. Alle Geräte im Gastnetz nutzen das Zugangsprofil Gast der Kindersicherung; in Deutschland sperrt es ab Werk die Seiten, die auf dem Index der Bundeszentrale für Kinder- und Jugendmedienschutz stehen. Unter Internet → Filter → Kindersicherung lässt sich dieses Profil anpassen, etwa mit einem Zeitplan, der das Gastnetz nachts sperrt. Und unter Internet → Filter → Priorisierung verhindert Feste Reservierung von Bandbreite für das Heimnetz, dass Gäste die Leitung auslasten.

Betreiben Sie ein Mesh mit FRITZ!Repeatern, überträgt die FRITZ!Box die Einstellungen automatisch, und das Gastnetz steht auch an den Repeatern zur Verfügung — wie Sie die Abdeckung insgesamt verbessern, steht unter WLAN verbessern. Nicht verfügbar ist der Gastzugang, wenn die FRITZ!Box nur die Internetverbindung eines anderen Routers mitbenutzt.

Den Zugang weitergeben

Unter WLAN → Gastzugang gibt es die Schaltfläche Infoblatt drucken; mit Seite drucken kommt ein Blatt mit QR-Code heraus. Gäste scannen ihn mit der Kamera und sind verbunden, ohne sich zu vertippen. Der Hersteller schlägt für Restaurants und Cafés vor, den Code auch auf die Speise- oder Getränkekarte zu drucken.

Das BSI sieht das strenger: Zugangsdaten nirgends aushängen, sondern nur auf Nachfrage herausgeben. Für einen Betrieb mit Kennwort-Gastnetz ist das ein brauchbarer Mittelweg: Das Infoblatt liegt am Empfang oder an der Kasse und wird gezeigt, wenn jemand fragt.

Bei anderen Routern

Der Weg ist ähnlich, das BSI beschreibt ihn allgemein: im Menü WLAN, das auch Netzwerk oder Gastnetzwerk heißen kann, den Punkt Gastzugang wählen und aktivieren. Worauf es dabei ankommt, fasst es so zusammen:

• ein Name für das Netz, der keine Rückschlüsse auf Personen oder auf das Router-Modell zulässt. Für ein Kundennetz halte ich den Namen des Geschäfts für vertretbar; die Typenbezeichnung des Routers gehört nicht hinein;
• als Verschlüsselung mindestens WPA2, wenn möglich WPA3;
• ein Kennwort aus mindestens 20 zusammenhanglosen Zeichen. Das stört niemanden, weil Gäste es einmal eingeben oder den QR-Code scannen und das Gerät es sich merkt.

Sehen Sie außerdem nach, ob es Schalter gibt, die Gästen den Zugriff aufeinander oder auf das lokale Netz erlauben; beides gehört aus. Danach ein kurzer Test: Telefon mit dem Gastnetz verbinden und versuchen, den Drucker oder das Netzlaufwerk zu erreichen. Das muss scheitern, eine Internetseite muss laden.

Wer mehr trennen will als Gäste und Betrieb — etwa Telefonanlage, Kameras und Arbeitsplätze jeweils für sich —, kommt mit einem Gastzugang nicht mehr aus und braucht Geräte, die mehrere getrennte Netze beherrschen. Das ist eher ein Fall für den IT-Support als für einen Nachmittag mit der Anleitung.

Das Kennwort regelmäßig wechseln

Für persönliche Kennwörter gilt: wechseln, wenn es einen Anlass gibt, nicht nach Kalender (siehe Passwörter und Zwei-Faktor-Anmeldung). Beim Gastnetz ist der Anlass ein Dauerzustand, denn jeder Gast nimmt das Kennwort in seinem Telefon mit. Ein Wechsel alle paar Monate kostet wenig: neues Kennwort eintragen, Infoblatt neu drucken, fertig.

Was rechtlich gilt

Wer anderen WLAN anbietet, fragt sich zu Recht, ob er für das haftet, was Gäste damit anstellen. Maßgeblich sind die EU-Verordnung über digitale Dienste (Verordnung (EU) 2022/2065) und das Digitale-Dienste-Gesetz (DDG), das am 14. Mai 2024 das Telemediengesetz abgelöst hat. Dieser Abschnitt fasst den Gesetzestext zusammen und ist keine Rechtsberatung.

• Keine Haftung für durchgeleitete Daten. Wer Zugang zu einem Kommunikationsnetz vermittelt, haftet nach Art. 4 der Verordnung nicht für die übermittelten Informationen, solange er die Übermittlung nicht veranlasst, den Empfänger nicht auswählt und die Informationen nicht auswählt oder verändert. Nach § 7 Abs. 1 DDG gilt das auch, wenn der Zugang nichts kostet.
• Kein Schadensersatz, keine Abmahnkosten. Wer danach nicht haftet, kann nach § 7 Abs. 3 DDG wegen einer Rechtsverletzung eines Nutzers auch nicht auf Schadensersatz, Beseitigung oder Unterlassung in Anspruch genommen werden, und die Kosten dafür trägt er ebenfalls nicht. Das gilt nicht, wenn er absichtlich mit dem Nutzer zusammenarbeitet.
• Kein behördlicher Zwang zu Registrierung oder Kennwort. Nach § 7 Abs. 2 DDG dürfen Behörden WLAN-Betreiber nicht verpflichten, Nutzer vor dem Zugang zu registrieren, ein Kennwort zu verlangen oder den Dienst dauerhaft einzustellen. Freiwillig dürfen Sie Nutzer identifizieren oder ein Kennwort verlangen.
• Aber: ein Anspruch auf Sperrung. Nutzt jemand Ihr WLAN, um geistiges Eigentum zu verletzen, etwa über eine Tauschbörse, und hat der Rechteinhaber keine andere Möglichkeit, kann er nach § 8 DDG verlangen, dass Sie die Nutzung bestimmter Informationen sperren. Die Sperre muss zumutbar und verhältnismäßig sein; seine vor- und außergerichtlichen Kosten dafür kann er von Ihnen nicht verlangen.

Ein Kennwort für das Gastnetz empfehle ich trotzdem — aus Sicherheitsgründen, nicht aus rechtlichen.

Stand: 2026-09-29. Die Angaben habe ich zu diesem Zeitpunkt anhand der Dokumentation des Herstellers, der Empfehlungen des BSI und der Gesetzestexte geprüft. Menüwege und Gesetze ändern sich; dieser Beitrag ersetzt keine Rechtsberatung.