WLAN-Planung im Unternehmen: so gelingt sie

Eine belastbare WLAN-Planung im Unternehmen beginnt nicht mit dem Kauf von Access Points, sondern mit einer Bestandsaufnahme: Wer nutzt das Funknetz, mit welchen Geräten, für welche Anwendungen und auf welchen Flächen. Erst danach folgen Ausleuchtung, Verkabelung, Sicherheit und Betrieb.

Anforderungen aufnehmen

Der erste Schritt ist ein Gespräch, keine Messung. Fünf Punkte bestimmen die spätere Auslegung:

• Nutzer: Zahl der Personen, die gleichzeitig im WLAN arbeiten, und die Orte, an denen sie sich aufhalten.
• Geräte: Notebooks, Smartphones, Tablets, Drucker, VoIP-Telefone, Sensoren, Maschinensteuerungen. Jede Geräteklasse bringt eigene Funkstandards und Sicherheitsanforderungen mit.
• Anwendungen: Videokonferenzen, Spracherkennung und Fernzugriff auf Terminalserver reagieren empfindlich auf Latenz und Paketverlust, reiner E-Mail-Verkehr nicht.
• Flächen: Büros, Besprechungsräume, Flure, Außenbereiche, Produktion, Lager, Tiefgarage.
• Baumaterial: Stahlbeton, metallbeschichtetes Glas, Brandschutzwände, Regale mit Metallware und Aufzugsschächte dämpfen Funksignale erheblich. Ein Grundriss mit Angaben zu Wänden und Decken ist die wichtigste Unterlage.

Das Ergebnis ist ein kurzes Anforderungsdokument mit Flächen, Nutzerzahlen, Geräteklassen, Anwendungen und dem gewünschten Mindestdurchsatz je Bereich. Es dient später als Maßstab für die Abnahme.

Ausleuchtung: Simulation und Messung

Die WLAN-Ausleuchtung (Site Survey) beantwortet, wie viele Access Points an welchen Positionen nötig sind. Bewährt hat sich ein zweistufiges Vorgehen.

Zuerst wird der Grundriss in eine Planungssoftware geladen, Wände und Materialien erhalten ihre Dämpfungswerte, und die Access Points werden virtuell platziert. Die Software berechnet Signalstärke, Kanalüberlappung und die erwartete Datenrate je Bereich.

Die Simulation kennt weder das Metallregal, das nach der Planung aufgestellt wurde, noch das Nachbar-WLAN auf denselben Kanälen. Deshalb folgt eine Messung im Gebäude: Ein Access Point wird an der geplanten Position provisorisch betrieben, und ein Messgerät zeichnet die tatsächliche Signalstärke auf einem Rundgang auf. Nach der Installation wird ein zweites Mal gemessen, um die Abnahme gegen das Anforderungsdokument zu dokumentieren.

Wi-Fi 6E und Wi-Fi 7 nutzen zusätzlich das 6-GHz-Band: mehr Kanäle, weniger Störungen durch Nachbarnetze, höhere Datenraten. Die Kehrseite ist die geringere Reichweite, Wände dämpfen stärker. Eine Planung, die für 5 GHz ausreichte, hat im 6-GHz-Band meist Lücken; in der Regel sind mehr Access Points mit kleineren Funkzellen nötig. Das 6-GHz-Band gehört deshalb schon heute in die Simulation.

Platzierung, Verkabelung und PoE

Access Points gehören an die Decke oder hoch an die Wand, nicht in Schränke, hinter Metallblenden oder in die Zwischendecke. Benachbarte Access Points senden auf unterschiedlichen Kanälen.

Jeder Access Point braucht ein eigenes Netzwerkkabel bis zum Verteiler und wird per Power over Ethernet (PoE) versorgt. Geräte für Wi-Fi 6E und Wi-Fi 7 haben einen höheren Leistungsbedarf und nutzen häufig Anschlüsse mit 2,5 Gigabit pro Sekunde oder mehr; beides muss der Switch liefern.

Sicherheit, Betrieb und typische Fehler

Ein Unternehmens-WLAN besteht aus mehreren logisch getrennten Netzen über dieselben Access Points. Die Trennung erfolgt per VLAN am Switch und an der Firewall:

• Mitarbeiter-WLAN: Zugriff auf interne Systeme, Authentifizierung über WPA3-Enterprise mit Benutzerkonto oder Gerätezertifikat.
• Gäste-WLAN: Nur Internet, kein Weg ins interne Netz, zeitlich begrenzte Zugänge oder ein Anmeldeportal.
• Geräte-WLAN: Drucker, Sensoren und Steuerungen erhalten ein eigenes Netz mit definierten Firewall-Regeln. Ein kompromittiertes Gerät erreicht so nicht den Dateiserver.

WPA3-Enterprise mit Zertifikaten ist der Stand der Technik. Jedes Gerät oder jeder Benutzer meldet sich mit einem eigenen Zertifikat an, das zentral ausgestellt und bei Austritt oder Geräteverlust widerrufen wird. Ein gemeinsames Passwort für alle wandert an ehemalige Kollegen und lässt sich praktisch nicht ändern, ohne alle Geräte anzufassen.

Nach der Installation entscheidet sich, ob das WLAN dauerhaft gut bleibt. Wir setzen in Kundenprojekten auf das Mist-Portfolio von HPE Juniper Networking: Access Points und Switches werden über eine Cloud-Oberfläche verwaltet, die den Zustand jedes Endgeräts und jeder Verbindung auswertet, und der Marvis-Assistent nennt bei Verbindungsproblemen die Ursache in natürlicher Sprache.

Drei Fehler sehen wir bei der Übernahme bestehender Netze besonders häufig:

1. Access Points nach Gefühl platziert: Funklöcher an den Arbeitsplätzen, Überlappungen im Flur.
2. Ein gemeinsames Passwort für alle: Mitarbeiter, Gäste, Drucker und private Smartphones im selben Netz mit demselben Schlüssel.
3. Keine Nachmessung: Die Installation gilt als fertig, sobald die Lampen leuchten. Ob die Anforderungen erfüllt sind, prüft niemand.

Das Wichtigste in Kürze

• Anforderungsdokument zuerst, dann Simulation am Grundriss inklusive 6-GHz-Band, dann Messung vor Ort und Nachmessung zur Abnahme.
• Verkabelung und PoE-Switches müssen den Leistungsbedarf von Wi-Fi 6E und Wi-Fi 7 tragen.
• Mitarbeiter, Gäste und Geräte in getrennten VLANs, Authentifizierung mit WPA3-Enterprise und Zertifikaten.

Wie Switches, Verkabelung und Firewall zusammenspielen, beschreibt die Seite Netzwerk und IT-Infrastruktur.