WLAN-Gastzugang sicher für Besucher einrichten

Ein WLAN-Gastzugang gibt Besuchern Zugriff auf das Internet, ohne dass du ihnen das Kennwort deines privaten WLANs nennen musst. Richtig eingerichtet bleiben deine Windows-PCs, NAS-Systeme, Netzwerkdrucker und Smart-Home-Geräte vom Gastnetz getrennt.

Das ist wichtig, weil du bei fremden Smartphones oder Notebooks nicht weißt, ob sie aktuell, sicher konfiguriert oder möglicherweise mit Schadsoftware belastet sind. Ein Gäste-WLAN schafft eine zusätzliche Schutzschicht, ohne die Internetnutzung unnötig kompliziert zu machen.

In den meisten Routern lässt sich der Gastzugang mit wenigen Einstellungen aktivieren. Entscheidend ist aber nicht nur ein eigenes WLAN-Kennwort, sondern vor allem die zuverlässige Sperre zum privaten Heimnetz.

Was ist ein WLAN-Gastzugang?

Ein WLAN-Gastzugang ist ein zusätzliches Funknetz, das dein Router neben dem normalen Heim-WLAN bereitstellt. Es besitzt einen eigenen Netzwerknamen, ein eigenes Kennwort und im Idealfall einen getrennten Netzwerkbereich.

Besucher können sich damit verbinden und ins Internet gehen. Auf Geräte und Freigaben im privaten Heimnetz sollen sie dagegen nicht zugreifen können.

Dabei solltest du drei Dinge unterscheiden:

• WLAN-Verbindung: Das Gerät ist mit dem Funknetz verbunden.
• Netzwerkzugriff: Das Gerät kann andere Geräte im lokalen Netz erreichen.
• Internetzugang: Das Gerät kann Webseiten und Online-Dienste nutzen.

Ein Smartphone kann also mit dem Gäste-WLAN verbunden sein und trotzdem keinen Internetzugang haben. Umgekehrt wäre ein Gastnetz unsicher, wenn es zwar ins Internet führt, aber versehentlich auch Zugriffe auf lokale Geräte zulässt.

Warum ist ein Gäste-WLAN sicherer?

Gibst du Besuchern das Kennwort deines normalen WLANs, befinden sich ihre Geräte meist im gleichen Netz wie deine eigenen Geräte. Je nach Konfiguration könnten sie dann Netzwerkdrucker, Medienserver, freigegebene Ordner oder die Anmeldeseiten anderer Geräte erreichen.

Ein sauber eingerichteter WLAN-Gastzugang bietet mehrere Vorteile:

• Das Kennwort des privaten WLANs bleibt geheim.
• Gäste erhalten normalerweise nur Internetzugriff.
• Geräte im Heimnetz sind nicht direkt erreichbar.
• Das Gastkennwort lässt sich unabhängig ändern.
• Der Zugang kann zeitlich begrenzt oder abgeschaltet werden.
• Manche Router können die Bandbreite begrenzen.

WLAN-Gastzugang sicher einrichten

Die Bezeichnungen unterscheiden sich je nach Routerhersteller, Modell und Firmware. Suche in der Benutzeroberfläche oder Router-App nach Gastzugang, Gäste-WLAN, Gastnetzwerk oder Guest Network.

Bei einer FRITZ!Box befindet sich die Funktion üblicherweise unter WLAN > Gastzugang. AVM beschreibt die Einrichtung in seiner offiziellen Anleitung zum WLAN-Gastzugang. Bei Speedport-, Vodafone-, TP-Link- oder ASUS-Routern können Menüname und Aufbau anders aussehen.

1. Router und Firmware prüfen

Melde dich über dein privates WLAN oder ein Netzwerkkabel an der Routeroberfläche an. Aus einem bereits isolierten Gastnetz ist der Zugriff auf die Verwaltung häufig absichtlich gesperrt.

Prüfe anschließend, ob eine aktuelle Firmware verfügbar ist. Updates schließen Sicherheitslücken und können Fehler in der Gastnetzfunktion beheben. Während der Installation startet der Router meist neu, wodurch die Internetverbindung kurz unterbrochen wird.

2. Privaten Gastzugang aktivieren

Aktiviere ein kennwortgeschütztes privates Gastnetz. Einen offenen Hotspot ohne Verschlüsselung solltest du zu Hause nicht verwenden.

Ein offenes WLAN erlaubt jedem Gerät in Reichweite die Verbindung und schützt die Funkstrecke nicht ausreichend. Da sich Zugangsdaten bequem per QR-Code weitergeben lassen, gibt es dafür im privaten Umfeld kaum einen vernünftigen Grund.

3. Eigenen WLAN-Namen festlegen

Vergib einen eindeutigen Namen wie Besucher-WLAN oder Gastnetz-OG. Er sollte sich klar vom privaten WLAN unterscheiden.

Vermeide persönliche Angaben wie Nachname, Adresse oder Wohnungsnummer. Weitere Tipps zur Namenswahl und zum Ändern findest du in meiner Anleitung SSID ändern: WLAN-Namen sinnvoll wählen. Das Verbergen des Netzwerknamens bringt keinen nennenswerten Sicherheitsgewinn und erschwert nur die Verbindung.

Warum das so ist und wie du ein verstecktes WLAN unter Windows 11 verbindest, erkläre ich in einer eigenen Anleitung.

4. Sichere Verschlüsselung wählen

Nutze WPA3, wenn Router und Endgeräte diesen Standard unterstützen. Für eine bessere Kompatibilität bieten viele Router einen gemischten Modus aus WPA2 und WPA3 an.

Falls ältere Geräte damit Probleme haben, ist WPA2 mit moderner AES-Verschlüsselung die sinnvolle Ausweichlösung. WEP oder ein unverschlüsseltes WLAN solltest du nicht einsetzen. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt WPA3 beziehungsweise WPA2 für Geräte, die WPA3 noch nicht unterstützen.

5. Eigenes starkes Kennwort vergeben

Das Gastnetz braucht ein anderes Kennwort als dein privates WLAN und die Routerverwaltung. So bleibt dein Hauptnetz geschützt, selbst wenn das Gastkennwort später weitergegeben wird.

Ein gutes WLAN-Kennwort sollte lang und nicht leicht zu erraten sein. Mehrere zufällige Wörter, ergänzt durch Zahlen und Sonderzeichen, lassen sich oft besser weitergeben als eine kurze, komplizierte Zeichenfolge. Das BSI empfiehlt für WLAN-Kennwörter mindestens 20 Zeichen.

Verwende keine Namen, Geburtstage oder einfachen Folgen wie 12345678. Nach einer Feier oder bei häufig wechselnden Besuchern kannst du das Kennwort ändern, ohne deine eigenen Geräte neu einzurichten.

6. Zugriff auf das Heimnetz sperren

Dieser Punkt ist für die Sicherheit am wichtigsten. Suche nach Einstellungen wie:

• Zugriff auf Heimnetz erlauben
• Zugriff auf lokales Netzwerk
• Intranet-Zugriff
• Zugriff auf LAN-Geräte
• Zugriff auf Netzwerkressourcen

Solche Optionen sollten deaktiviert sein. Gäste benötigen normalerweise nur den Weg ins Internet, nicht zu deinem NAS, zu Windows-Freigaben, Druckern, Kameras oder Smart-Home-Zentralen.

Die Sperre verhindert allerdings auch, dass Besucher auf einem Netzwerkdrucker drucken oder Inhalte an einen Fernseher oder Lautsprecher senden. Das ist keine Fehlfunktion, sondern eine Folge der gewünschten Trennung.

Benötigt ein Besucher ausnahmsweise eine Datei oder einen Ausdruck, solltest du nicht vorschnell das gesamte Heimnetz freigeben. Sicherer ist es, die Aufgabe über dein eigenes Gerät zu erledigen.

7. Kommunikation zwischen Gästen deaktivieren

Viele Router bieten eine zusätzliche Option, mit der Geräte im Gastnetz untereinander kommunizieren dürfen. Für normale Besucher ist diese Funktion nicht erforderlich und sollte abgeschaltet bleiben.

Durch diese Client-Isolation kann ein Gastgerät nicht ohne Weiteres ein anderes Gastgerät ansprechen. Aktiviere die Kommunikation nur dann, wenn beispielsweise eine lokale Mehrspieler-Anwendung sie ausdrücklich benötigt, und schalte sie danach wieder ab.

8. Zeitlimit und Bandbreite nutzen

Falls dein Router eine automatische Abschaltung oder Gültigkeitsdauer unterstützt, kannst du den Zugang nach einigen Stunden deaktivieren lassen. Das ist praktisch für Feiern, Ferienwohnungen oder seltene Besuche.

Eine Bandbreitenbegrenzung verhindert, dass große Downloads die gesamte Internetleitung auslasten. Setze das Limit aber nicht zu niedrig, da Videotelefonie, Streaming und Systemupdates sonst unnötig stocken.

Was tun, wenn der Router keinen Gastzugang bietet?

Nicht jeder Router stellt eine Funktion für ein getrenntes Gäste-WLAN bereit. Besonders bei Geräten, die vom Internetanbieter vorkonfiguriert wurden, können bestimmte Funktionen fehlen oder in der angepassten Firmware deaktiviert sein.

Bei meinem von der Telekom für den Kabelanschluss bereitgestellten ARRIS TG3442 steht beispielsweise kein WLAN-Gastzugang zur Verfügung. Das zeigt aus meiner eigenen Erfahrung, dass nicht nur das Routermodell entscheidet, sondern auch die vom Anbieter installierte Firmware und deren Funktionsumfang.

In diesem Fall solltest du nicht einfach ein zweites WLAN mit einem anderen Namen einrichten. Eine zusätzliche SSID allein trennt die verbundenen Geräte noch nicht vom privaten Heimnetz.

Als mögliche Alternativen kommen infrage:

• ein eigener WLAN-Router mit echter Gastnetzfunktion
• ein Mesh-System, das ein getrenntes Gäste-WLAN unterstützt
• ein Access Point mit Gastnetz-Isolation oder VLAN-Unterstützung
• ein anderer Router des Internetanbieters

Welche Lösung möglich ist, hängt vom Anschluss und vom Providerrouter ab. Ein eigener Router kann beispielsweise hinter dem vorhandenen Gerät betrieben werden. Dabei können jedoch doppeltes NAT und zusätzliche Konfigurationsarbeit entstehen.

Ein Access Point eignet sich nur dann, wenn er den Gastzugang technisch vom Heimnetz trennt. Sendet er lediglich ein zweites WLAN aus, befinden sich Gäste unter Umständen weiterhin im gleichen lokalen Netzwerk wie deine eigenen Geräte.

Gäste-WLAN über Mesh und Repeater

In einem Mesh-System sollte das Gastnetz nicht nur am Router, sondern auch über die Mesh-Repeater ausgestrahlt werden. Ob das automatisch geschieht, hängt vom Hersteller, Modell und der Einbindung des Repeaters ab.

Prüfe deshalb in einem weiter entfernten Raum, ob das Gäste-WLAN dort noch verfügbar ist. Bei Problemen hilft mein Artikel zum WLAN-Mesh einrichten bei der Kontrolle des Aufbaus.

Ein einfacher WLAN-Repeater übernimmt das Gastnetz nicht immer korrekt. Besonders bei Geräten unterschiedlicher Hersteller kann es passieren, dass nur das Haupt-WLAN erweitert wird. Die Unterschiede erkläre ich im Beitrag Repeater oder Access Point.

Verwendest du einen separaten Access Point, muss dieser das Gastnetz technisch getrennt an den Router weiterreichen. In fortgeschrittenen Installationen geschieht das über VLANs. Die Firewall-Regeln müssen dann IPv4 und IPv6 berücksichtigen, damit das Gastnetz nicht über einen der beiden Wege auf interne Geräte zugreifen kann.

Für ein normales Heimnetz ist eine manuelle VLAN-Konfiguration meist nicht nötig. Die integrierte Gastnetzfunktion des Routers ist einfacher und weniger fehleranfällig.

Gastzugang per QR-Code weitergeben

Viele Router können einen QR-Code mit WLAN-Name, Verschlüsselung und Kennwort anzeigen oder ausdrucken. Besucher scannen ihn mit dem Smartphone und verbinden sich ohne Abtippen.

Der QR-Code enthält die Zugangsdaten in maschinenlesbarer Form. Hänge ihn deshalb nicht von außen sichtbar ins Fenster oder in einen öffentlich zugänglichen Hausflur. Nach einer Änderung des Gastkennworts musst du einen neuen Code erzeugen.

So testest du die Trennung

Verlasse dich nicht nur darauf, dass der Schalter für das Gastnetz aktiviert ist. Teste die Einrichtung mit einem Smartphone oder Notebook.

1. Verbinde das Gerät mit dem richtigen Gastnetz.
2. Öffne eine Webseite und prüfe den Internetzugang.
3. Rufe eine bekannte lokale Adresse deines NAS, Druckers oder eines anderen Heimnetzgeräts auf.
4. Prüfe, ob Windows-Freigaben oder Medienserver sichtbar sind.
5. Kontrolliere in der Routeroberfläche, ob das Testgerät dem Gastnetz zugeordnet wird.
6. Teste bei Bedarf mit einem zweiten Gastgerät die Client-Isolation.

Lokale Geräte sollten nicht erreichbar sein, das Internet dagegen schon. Manche Router erlauben im Gastnetz den Zugriff auf eine eingeschränkte Routerseite oder ein Anmeldeportal. Daraus allein lässt sich noch kein Zugriff auf dein privates Heimnetz ableiten.

Häufige Probleme mit dem WLAN-Gastzugang

Mit WLAN verbunden, aber kein Internet

Prüfe zuerst, ob der Router selbst online ist. Funktioniert das Internet im Hauptnetz, trenne die Gastverbindung am Smartphone und stelle sie neu her.

Kontrolliere außerdem, ob der Gastzugang abgelaufen, pausiert oder zeitlich begrenzt ist. Eine WLAN-Verbindung allein bedeutet noch nicht, dass auch Internetzugang besteht.

Gastnetz nur in Routernähe sichtbar

Dann wird es wahrscheinlich nicht über den Repeater oder Mesh-Knoten verteilt. Prüfe die Mesh-Übersicht und die Einstellungen des Erweiterungsgeräts.

Zusätzlich kann die Reichweite zu gering sein. Hinweise zur Positionierung findest du im Artikel WLAN-Reichweite verbessern.

Drucker oder Fernseher nicht erreichbar

Das ist bei einem isolierten Gastnetz normal. Netzwerkdrucker, Streaming-Empfänger und andere Geräte befinden sich im privaten Heimnetz und sollen nicht direkt erreichbar sein.

Würdest du dafür den kompletten Zugriff aufs Heimnetz erlauben, würdest du die Schutzwirkung des Gastzugangs deutlich schwächen.

Ältere Geräte akzeptieren das Kennwort nicht

Kontrolliere zuerst die Schreibweise. Scheitert nur ein älteres Gerät, kann der eingestellte WPA3-Modus die Ursache sein.

Ein WPA2/WPA3-Mischbetrieb verbessert häufig die Kompatibilität. Reines WPA2 ist eine vertretbare Ausweichlösung, wenn WPA3 nicht funktioniert. WEP ist dagegen keine sichere Alternative.

Was ein WLAN-Gastzugang nicht leistet

Ein Gäste-WLAN schützt dein privates Netzwerk, macht aber nicht jedes verbundene Gerät automatisch sicher. Schadsoftware auf einem Gastgerät kann weiterhin Daten ins Internet senden oder unsichere Webseiten aufrufen.

Außerdem nutzen Gäste in der Regel denselben Internetanschluss und damit nach außen dieselbe öffentliche IP-Adresse wie du. Der getrennte lokale Netzwerkbereich ändert daran nichts.

Gib den Zugang deshalb nur Personen, denen du grundsätzlich vertraust. Halte den Router aktuell, verwende ein starkes Kennwort und schalte ein dauerhaft ungenutztes Gastnetz ab.

Fazit: Wenige Einstellungen machen den Unterschied

Ein WLAN-Gastzugang ist schnell eingerichtet und trennt Besuchergeräte zuverlässig von deinem privaten Heimnetz, wenn die entscheidenden Optionen korrekt gesetzt sind. Besonders wichtig sind ein eigenes Kennwort, WPA3 oder WPA2, die gesperrte Verbindung zum lokalen Netz und die deaktivierte Kommunikation zwischen Gastgeräten.

Nach der Einrichtung solltest du Internetzugang und Abschottung mit einem Testgerät prüfen. Meine persönliche Einschätzung ist klar: Für Besucher gehört ein getrenntes Gäste-WLAN heute zur sinnvollen Grundausstattung eines Heimnetzes.