WLAN / Wireless-Netzwerk – Grundlagen

Was ist WLAN und wie funktioniert es?

WLAN (Wireless Local Area Network) ist ein drahtloses Netzwerk, das auf dem IEEE-802.11-Standard basiert. Statt Kupferkabel nutzt es Radiowellen zur Datenübertragung – derselbe physikalische Kanal, über den alle Geräte in Reichweite kommunizieren. Ein Access Point (AP) stellt die Verbindung zum kabelgebundenen Netz her und sendet gleichzeitig Funksignale aus, mit denen sich WLAN-Clients verbinden.

Im KMU-Alltag begegnest du WLAN vor allem in drei Rollen:

• Client-WLAN: Notebooks, Smartphones und Tablets verbinden sich mit dem Firmennetzwerk.
• WLAN-Drucker / IoT: Netzwerkdrucker, IP-Kameras oder Zeiterfassungssysteme hängen per WLAN.
• Gäste-WLAN: Ein separates Netz ohne Zugang zu internen Ressourcen, oft mit eigenem SSID und Captive Portal.

IEEE 802.11 Standards im Überblick

Die IEEE-802.11-Familie definiert, welche Frequenzen, Modulationsverfahren und Maximalgeschwindigkeiten ein WLAN-Gerät unterstützt. In der Praxis siehst du auf Geräten nur noch die Wi-Fi-Versionsnummern (Wi-Fi 4, 5, 6 …). Hier der direkte Vergleich:

Was bedeuten diese Zahlen für den Alltag?

Der Bruttodurchsatz wird unter Laborbedingungen gemessen und im echten Einsatz nie erreicht. Ein Wi-Fi-5-AP mit einem einzelnen Client im gleichen Raum liefert realistisch 200–400 Mbit/s. Weiter weg, durch Wände oder bei vielen Geräten: 50–100 Mbit/s sind völlig normal.

Wi-Fi 6 bringt vor allem einen Vorteil in dichten Umgebungen (Grossraumbüro, Messen, Konferenzräume): OFDMA erlaubt es dem AP, mehrere Clients gleichzeitig in einem Kanal zu bedienen, statt jeden nacheinander abzuarbeiten.

Frequenzbänder: 2,4 GHz vs. 5 GHz vs. 6 GHz

Die Wahl des Frequenzbandes ist einer der wichtigsten Faktoren für WLAN-Performance. Jedes Band hat eigene Stärken:

Faustregel im KMU-Alltag:

• Geräte, die viel Bandbreite brauchen (Video-Calls, Fileshare), auf 5 GHz schieben.
• Geräte weit weg vom AP oder durch viele Wände → 2,4 GHz als Fallback.
• Viele Geräte auf engem Raum → Wi-Fi-6-AP mit 6-GHz-Band (falls Budget vorhanden).

Kanäle richtig wählen (2,4 GHz)

Das 2,4-GHz-Band hat in der Schweiz 13 Kanäle, die sich aber stark überlappen. Überlappungsfrei sind nur die Kanäle 1, 6 und 11. Nutzen dein AP und der des Nachbarn denselben oder benachbarte Kanäle, kämpfen sie gegeneinander.

Kanal:  1    2    3    4    5    6    7    8    9   10   11
        [====1====]
                  [====6====]
                                   [===11====]

Im 5-GHz-Band gibt es deutlich mehr nicht-überlappende Kanäle (36, 40, 44, 48, 52 … 140). Viele APs wählen den besten Kanal automatisch (Auto-Channel), was in den meisten KMU-Umgebungen gut funktioniert.

Site Survey: Planung vor dem ersten Access Point

Bei mehr als zwei, drei APs oder in Gebäuden mit dicken Wänden, Stahlbeton oder Metallregalen lohnt sich ein systematischer Site Survey, bevor APs montiert und Kabel verlegt werden. Zwei Grundansätze ergänzen sich:

Predictive Survey (vor Bau/Umbau, ohne Hardware vor Ort): Auf Basis eines Gebäudeplans (CAD/PDF) simuliert die Software die Funkausbreitung anhand von Wandmaterialien, Deckenhöhe und geplanter AP-Anzahl. Ergebnis ist ein Vorschlag für AP-Platzierung und Kanalplan, bevor überhaupt ein Gerät montiert ist – nützlich für die Budgetplanung, aber nie exakt: reale Möbel, Interferenzen und Baumaterial-Abweichungen verfälschen jede Simulation.

Active Survey (nach Installation, mit realer Hardware): Ein Techniker läuft mit Laptop oder Tablet und Survey-Software durchs Gebäude, verbindet sich aktiv mit dem WLAN und misst reale Werte – Durchsatz, Signalstärke, Interferenz, Roaming-Verhalten. Liefert die genauesten Daten, setzt aber voraus, dass APs bereits montiert sind (oder zumindest testweise temporär aufgestellt wurden, sogenanntes “AP-on-a-stick”-Verfahren). Ergänzend gibt es den Passive Survey: Der Client hört nur Beacons ohne eigenen Verbindungsaufbau – schneller durchzuführen, aber weniger aussagekräftig für reale Durchsatzwerte.

Das Ergebnis beider Verfahren ist meist eine Heatmap: eine farbige Überlagerung des Gebäudeplans, die Signalstärke (RSSI) oder Datenrate pro Standort visualisiert – grün für guten Empfang, rot für Funklöcher.

Kapazitätsplanung: Clients pro Access Point und Airtime Fairness

Ein AP stösst selten an die im Datenblatt genannte Obergrenze gleichzeitig assoziierter Geräte (oft 200+) – das eigentliche Limit ist die verfügbare Sendezeit (Airtime) auf dem geteilten Funkkanal.

Faustregel für die Clients pro AP:

Wichtiger als die reine Client-Zahl ist der individuelle Airtime-Verbrauch: Ein alter 2,4-GHz-Client mit nur einem Spatial Stream (Wi-Fi 4) braucht für dieselbe Datenmenge deutlich länger Sendezeit als ein aktueller Wi-Fi-6-Client – er blockiert den Kanal dadurch länger für alle anderen.

Airtime Fairness (ATF)

Ohne ATF verteilt ein AP die Sendezeit nach Bytes, nicht nach Zeit: Ein langsamer Client (weit weg, altes Gerät) kann so den ganzen Kanal für alle anderen ausbremsen. Airtime Fairness garantiert stattdessen jedem Client einen fairen Sendezeit-Anteil statt eines fairen Byte-Anteils – schnelle Clients bleiben schnell, unabhängig von langsamen Nachbarn im selben Funkbereich.

Ohne ATF:  Client A (schnell) und Client B (langsam) senden je 50 % der Bytes
           -> Client A wartet lange, weil B viel Airtime fuer wenig Daten braucht

Mit ATF:   Client A und Client B bekommen je 50 % der Sendezeit
           -> Client A ueberträgt in seiner Zeit deutlich mehr Bytes als B

ATF ist bei Aruba, Cisco, FortiAP und vielen UniFi-Modellen als Schalter pro SSID oder Radio verfügbar. In gemischten Umgebungen mit älteren IoT-Geräten (2,4 GHz, Wi-Fi 4) bringt ATF fast immer eine spürbare Verbesserung für die aktuellen Clients.

Sicherheitsstandards: WEP, WPA2, WPA3

WLAN-Verschlüsselung ist essenziell – ohne sie kann jeder in Reichweite den Datenverkehr mitlesen.

WPA2-PSK vs. WPA2-Enterprise: Der entscheidende Unterschied

WPA2-PSK (Pre-Shared Key) bedeutet: alle Geräte im WLAN teilen sich ein gemeinsames Passwort. Das hat einen gravierenden Nachteil: Tritt ein Mitarbeiter aus, muss das Passwort auf allen Geräten geändert werden – in der Praxis passiert das selten.

WPA2/3-Enterprise (802.1X) löst genau das: Jeder Benutzer authentifiziert sich mit seinem eigenen AD/Entra-ID-Konto gegen einen RADIUS-Server (z.B. Windows NPS, FreeRADIUS, Cisco ISE). Der AP leitet die Anfrage nur weiter und entscheidet nicht selbst. Vorteile:

• Kein geteiltes WLAN-Passwort mehr
• Zugang gesperrt sobald das AD-Konto deaktiviert wird
• Zentrale Auditierbarkeit (wer hat sich wann eingeloggt)
• Per VLAN-Zuweisung können Abteilungen automatisch ins richtige Netzsegment

WPA3: Was ist neu?

WPA3 ersetzt den anfälligen 4-Way-Handshake von WPA2 durch SAE (Simultaneous Authentication of Equals). Konkret bedeutet das:

• Offline-Dictionary-Angriffe auf aufgezeichnete Handshakes sind nicht mehr möglich.
• Forward Secrecy: Selbst wenn der private Schlüssel später kompromittiert wird, kann vergangener Traffic nicht entschlüsselt werden.
• WPA3-Enterprise bietet optional einen 192-Bit-Sicherheitsmodus (CNSA-Suite) für besonders hohe Anforderungen – Standard ist weiterhin 128-Bit-Verschlüsselung.

WPA3 wird seit 2019 von der Wi-Fi Alliance für neue Geräte vorgeschrieben, ältere Infrastruktur unterstützt es aber oft nicht. Im Übergangs-Modus WPA2/WPA3-Transition können beide Clients koexistieren.

Hidden SSID und MAC-Filtering: Pseudo-Sicherheit

Zwei Massnahmen, die in Foren gerne als “zusätzliche Sicherheit” empfohlen werden, aber in der Praxis fast wirkungslos sind:

Hidden SSID (SSID-Broadcast deaktiviert): Der AP lässt die SSID in seinen Beacon-Frames weg. Das Netz bleibt trotzdem sofort sichtbar, denn jedes Probe-Request eines verbundenen Clients (z.B. beim automatischen Reconnect) enthält die SSID im Klartext – mitlesbar für jeden in Reichweite mit einem WLAN-Sniffer im Monitor-Modus (z.B. per Wireshark). Die Nachteile überwiegen sogar: Windows-Clients verbinden sich langsamer, weil sie aktiv statt passiv scannen müssen, und manche Geräte finden versteckte Netze gar nicht zuverlässig (siehe Fehlerbild-Tabelle weiter unten).

MAC-Filtering (nur bestimmte MAC-Adressen zulassen): Klingt nach Zugriffskontrolle, ist aber trivial zu umgehen: MAC-Adressen werden in jedem WLAN-Paket im Klartext mitgesendet und lassen sich mit Bordmitteln beliebig fälschen (“MAC-Spoofing”), unter Windows z.B. über die Adapter-Eigenschaften oder netsh interface. Ein Angreifer beobachtet kurz den Funkverkehr, kopiert die MAC-Adresse eines legitimen Geräts und ist drin.

Als zusätzliche (nicht ersetzende) Schicht in Kombination mit echter Verschlüsselung können beide Massnahmen automatisiertes Massen-Scanning etwas erschweren – als alleiniger Schutz sind sie ungeeignet.

WLAN-Begriffe im Überblick

RSSI-Richtwerte

RSSI wird in negativen dBm-Werten angegeben – je näher an null, desto besser:

Access-Point-Systeme für KMU

Für Firmennetzwerke mit mehreren APs empfiehlt sich ein Controller-basiertes System, das alle APs zentral verwaltet: einheitliche Konfiguration, zentrale Übersicht, einfaches Roaming.

UniFi im Alltag: Der UniFi Network Controller läuft als Software auf einem lokalen Server, einer Cloud Key-Appliance oder direkt auf neueren APs (dream machine). Du siehst alle verbundenen Clients, deren RSSI, Datendurchsatz und kannst per Klick auf einen anderen AP übertragen.

Mesh-WLAN vs. Multi-AP mit Kabel-Backhaul

Sobald mehr als ein AP nötig ist, stellt sich die Backhaul-Frage: Wie kommt der Traffic vom AP zurück zum Switch bzw. Router?

Multi-AP mit Kabel-Backhaul (Enterprise-Standard): Jeder AP hängt per Ethernet, meist per PoE, direkt am Switch. Das liefert volle Bandbreite pro AP, keine geteilte Funkstrecke für den Rückweg und erlaubt eine zentrale VLAN-Zuweisung pro Switch-Port. Das ist der Standard für jedes Business-Deployment und die Voraussetzung für die oben beschriebene AP-Dichte-Planung.

Mesh-WLAN (drahtloser Backhaul): APs bzw. “Mesh-Punkte” verbinden sich untereinander per Funk statt per Kabel – praktisch dort, wo keine Verkabelung möglich ist (Altbau, Miete, temporäre Standorte). Der entscheidende Nachteil: Ein Mesh-Punkt muss dieselbe Funk-Ressource für den Client-Traffic und den Backhaul zum nächsten Punkt nutzen. Bei jedem Hop (Mesh-Punkt zu Mesh-Punkt) sinkt die verfügbare Bandbreite spürbar – Systeme mit nur einem Funkmodul für beides trifft das besonders hart. Bessere Mesh-Systeme reservieren ein dediziertes Backhaul-Band (Tri-Band-Geräte), was den Effekt abschwächt, aber nie ganz beseitigt.

Ein reiner Wireless Uplink (ein AP fungiert als simpler “Repeater” ohne echtes Mesh-Protokoll) ist nochmals schlechter als ein gutes Mesh-System, weil dabei kein automatisches Load-Balancing zwischen mehreren möglichen Pfaden stattfindet – wo immer möglich vermeiden.

Fast-Roaming: 802.11r/k/v für VoIP und Video

Klassisches WLAN-Roaming – der Wechsel eines Clients vom AP mit schwachem Signal zum nächsten AP – dauert bei Enterprise-Sicherheit (WPA2/3-Enterprise mit 802.1X) rund 200–300 ms für die komplette Re-Authentifizierung. Für Web-Browsing unmerklich, aber für ein laufendes VoIP-Telefonat oder eine Video-Konferenz führt das zu hörbaren Aussetzern bei jedem AP-Wechsel. Details zu Latenz- und Jitter-Anforderungen von Sprachverkehr findest du unter VoIP Grundlagen.

Drei ergänzende IEEE-Standards lösen genau dieses Problem:

Die Kombination aller drei Standards – im AP-Menü oft schlicht “Fast Roaming” oder “Fast Transition” genannt – ist der De-facto-Standard für Voice-over-WLAN, DECT-über-WLAN und mobile Barcode-Scanner.

Praxis-Hinweise beim Aktivieren:

• Alle APs derselben SSID müssen zur gleichen Mobility Domain gehören (802.11r-Parameter, oft “FT Mobility Domain ID” genannt).
• Manche ältere Clients, vor allem ältere Android-Geräte und IoT-Hardware, haben fehlerhafte 802.11r-Implementierungen und verbinden sich dann gar nicht erst. Viele Enterprise-APs bieten deshalb einen “Adaptive”- oder “Mixed”-Modus, der 802.11r nur den Clients anbietet, die es sauber unterstützen.
• 802.11r setzt WPA2/3-Enterprise oder WPA2/3-PSK mit FT voraus – bei offenem Netz oder altem WEP/WPA gibt es nichts zu beschleunigen.
• Bei UniFi z.B. unter den WLAN-Einstellungen der SSID als “Fast Roaming (802.11r)” aktivierbar, dort auch der Mobility-Domain-Parameter.

Beispiel UniFi-Konfiguration (Auszug WLAN-Einstellungen):
  WPA-Modus:        WPA2/WPA3 Enterprise
  Fast Roaming:     aktiviert (802.11r)
  802.11k/v:        aktiviert
  Mobility Domain:  1 (muss auf allen APs derselben SSID identisch sein)

WLAN unter Windows verwalten und troubleshooten

Gespeicherte Profile anzeigen und bearbeiten

# Alle gespeicherten WLAN-Profile auflisten
netsh wlan show profiles

# Details eines Profils anzeigen – inkl. gespeichertem Passwort im Klartext
netsh wlan show profile name="FirmaWLAN" key=clear

# WLAN-Adapter trennen und neu verbinden
netsh wlan disconnect
netsh wlan connect name="FirmaWLAN"

# Profil löschen (bei hartnäckigen Verbindungsproblemen)
netsh wlan delete profile name="FirmaWLAN"

Aktuelle Verbindung analysieren

# Verbindungsdetails inkl. SSID, BSSID, Signalstärke, Protokoll
netsh wlan show interfaces

# WLAN-Diagnose-Report als HTML generieren (sehr nützlich!)
netsh wlan show wlanreport
# Öffnet: C:\ProgramData\Microsoft\Windows\WlanReport\wlan-report-latest.html

Der wlanreport-Befehl ist Gold wert: Er zeigt die letzten drei Tage WLAN-Ereignisse inklusive Verbindungsabbrüche, Roaming-Vorgänge und Fehlercodes – alles im Browser abrufbar.

WLAN-Adapter zurücksetzen (klassischer Troubleshooting-Schritt)

# Adapter deaktivieren und reaktivieren (als Administrator)
$adapter = Get-NetAdapter | Where-Object { $_.PhysicalMediaType -eq 'Native 802.11' }
Disable-NetAdapter -Name $adapter.Name -Confirm:$false
Start-Sleep -Seconds 3
Enable-NetAdapter -Name $adapter.Name -Confirm:$false

# Alternativ: kompletten TCP/IP-Stack zurücksetzen
netsh int ip reset
netsh winsock reset
ipconfig /flushdns
# Danach Neustart erforderlich

Signalstärke messen und Kanal-Auslastung prüfen

# Verfügbare WLANs mit Signalstärke und Kanalinformation
netsh wlan show networks mode=bssid

# Alle sichtbaren APs anzeigen (SSID, BSSID, Kanal, Signalstärke)
# Ausgabe-Auszug:
# SSID       : FirmaWLAN
# BSSID 1    : aa:bb:cc:dd:ee:ff
# Signal     : 72%
# Channel    : 6

Verbindungsprobleme nach Schema F

Wenn ein Client kein WLAN bekommt oder sich immer wieder trennt:

1. IP-Konflikt prüfen: ipconfig /all – hat der Client eine gültige IP oder 169.254.x.x (APIPA)?
2. DHCP erreichbar?: ipconfig /release && ipconfig /renew
3. DNS funktioniert?: nslookup google.com – gibt es eine Antwort?
4. Gateway erreichbar?: ping <Gateway-IP> – verliert der Ping Pakete?
5. WLAN-Profil löschen und neu verbinden: Altes Profil mit falschem PSK kann hartnäckig sein.
6. Anderes Gerät testen: Problem nur bei diesem Client? → Treiber, Profil, Zertifikat. Alle Clients betroffen? → AP, Switch, DHCP-Server.
7. AP-Log prüfen: Überlastung, Authentifizierungsfehler, Kanalwechsel durch Radar-Detection (DFS)?

Häufige Fehlerbilder und ihre Ursachen

Gäste-WLAN sicher einrichten

Im KMU kommt fast immer die Frage: “Kann ich kurz ins WLAN?” – und du willst dabei nicht das gesamte interne Netz öffnen. Die Lösung: ein separates Gäste-VLAN mit eigenem SSID.

Die typische Architektur:

Internet
   |
[Firewall/Router]
   |
[Managed Switch]
   ├── VLAN 10 (Firma intern) ──→ APs senden "FirmaWLAN" (WPA2-Enterprise)
   └── VLAN 20 (Gäste)       ──→ APs senden "FirmaGast" (WPA2-PSK oder offen)

Auf dem Gäste-VLAN:

• Zugriff nur ins Internet, keine internen Ressourcen
• Optional: Bandbreitenlimit pro Client (bei UniFi direkt konfigurierbar)
• Optional: Client-Isolation (Gäste sehen sich nicht gegenseitig)

Enterprise-WLAN-Rollout-Checkliste

Für ein neues oder grösseres WLAN-Deployment mit mehr als ein paar APs hilft eine strukturierte Reihenfolge:

1. Anforderungen klären: Wie viele Nutzer/Geräte gleichzeitig? VoIP- oder Video-Anforderungen? IoT-Geräte nur mit 2,4 GHz? Gäste-Zugang nötig?
2. Site Survey durchführen: Predictive Survey für die grobe AP-Anzahl und Platzierung, bei kritischen Umgebungen zusätzlich ein Active Survey nach Testinstallation.
3. Verkabelung planen: Ein PoE-fähiger Switch-Port pro AP-Standort, Kabel-Backhaul statt Mesh wo immer möglich (siehe oben).
4. VLANs definieren: Mindestens getrennte VLANs für intern, Gäste und IoT/Drucker – siehe VLAN Grundlagen.
5. Authentifizierung festlegen: WPA2/3-Enterprise mit RADIUS (802.1X) für Mitarbeitende, WPA2/3-PSK oder Captive Portal fürs Gäste-Netz.
6. Kapazität pro AP dimensionieren: Client-Dichte und Airtime Fairness aus der Planungstabelle oben berücksichtigen – im Zweifel mehr APs mit reduzierter Sendeleistung statt wenige APs auf voller Leistung.
7. Fast Roaming aktivieren: 802.11r/k/v für alle SSIDs mit VoIP- oder Video-Nutzung, im “Adaptive”-Modus wegen älterer Clients.
8. Kanalplan und Sendeleistung: Auto-Channel als Startpunkt, bei Interferenzen manuell nachjustieren (Kanal-Scanner-Tools nutzen).
9. Redundanz einplanen: Zweiter RADIUS-Server oder lokaler Fallback, damit ein RADIUS-Ausfall nicht das ganze WLAN lahmlegt.
10. Dokumentation: AP-Standorte, Kanäle, SSIDs, VLANs sowie Passwörter/Zertifikate zentral festhalten – siehe IT-Dokumentation und Inventar.
11. Nach dem Go-Live: Monitoring einrichten (Client-Zahlen, RSSI-Verteilung, Airtime-Auslastung), regelmässige Firmware-Updates für alle APs.

Tools für die WLAN-Analyse

Weiterlernen

• Microsoft Learn: Problembehandlung bei WLAN-Verbindungen (Windows Client)
• Microsoft Learn: netsh wlan Befehlsreferenz
• Microsoft Learn: Fast Roaming mit 802.11k, 802.11v und 802.11r
• Elektronik-Kompendium: IEEE 802.11 / WLAN-Grundlagen
• FS Community: 802.11 Wireless-Standards erklärt
• Ubiquiti UniFi – offizielle Dokumentation
• Windows-FAQ: WEP, WPA, WPA2 und WPA3 im Vergleich
• Swisscom Enterprise Connect: WLAN Airtime Fairness

Verwandte Seiten: TCP/IP Grundlagen · DHCP Grundlagen · DNS Grundlagen · VLAN Grundlagen · VoIP Grundlagen · 802.1X Netzwerkzugangskontrolle · IT-Security Grundlagen KMU

Videos

YouTube

YouTube