Betriebsnetze einrichten: VLAN, WLAN und Firewall für kleine Unternehmen

Das Wichtigste auf einen Blick

Betriebsnetze einrichten folgt einer Reihenfolge: Bedarf erheben, IP-Adressen planen, VLANs schneiden, WLAN ausleuchten, Firewallregeln setzen.
Für 10 bis 60 Arbeitsplätze kostet das Projekt netto 1.500 bis 12.000 Euro, inklusive Hardware, Verkabelung und Einrichtungszeit.
Ubiquiti, Cisco, Netgear und Sophos decken Switches, Access Points und Firewalls für kleine Standorte ab und lassen sich kombinieren.
Verwaltung, Büro, Produktion und Gäste gehören in getrennte VLANs, damit ein Vorfall nicht alle Systeme erfasst.
Konfigurationsbackup und Dokumentation entscheiden darüber, wie schnell ein Ausfall behoben wird.

Bedarfsanalyse: Zahlen sammeln, bevor Geräte bestellt werden

Kleine Standorte scheitern selten an der Technik, sondern an einer unvollständigen Liste. Wer vor der Bestellung weiß, wie viele Dosen, Access Points und Firewallregeln gebraucht werden, kauft weder zu groß noch zu klein.

Die Erhebung dauert bei 20 bis 60 Arbeitsplätzen etwa einen halben Tag. Erfasst werden Arbeitsplätze je Etage, Wandaufbau, Deckenhöhe, Schachtwege, Telefonie, Zeiterfassung, Kameras und alle Maschinen mit Netzanschluss.

Diese fünf Fragen klären den Rahmen:

Wie viele kabelgebundene Arbeitsplätze gibt es je Etage, und wo stehen sie?
Welche Geräte brauchen feste Adressen, etwa Drucker, Kameras oder Steuerungen?
Wie viele WLAN-Geräte sind zu Spitzenzeiten gleichzeitig eingebucht?
Braucht der Standort ein Gästenetz mit Internetzugang ohne Zugriff auf das Firmennetz?
Welche Anwendungen laufen über die Leitung, etwa ERP, Telefonie oder Videokonferenzen?

Danach folgt der Anschluss. Die Bundesnetzagentur bündelt Karten und Abfragen zur Verfügbarkeit und Bandbreite von Internetanschlüssen, mit denen sich prüfen lässt, welche Leistung am Standort buchbar ist.

Ein Access Point mehr und ein Switch mit vier freien Ports kosten wenig Geld. Ein Austausch mitten im Betrieb kostet einen Arbeitstag.

IP-Adressplanung: Adressen vor dem ersten Kabel

Der Adressplan steht vor der ersten Konfiguration. Ohne Plan wachsen drei DHCP-Bereiche zusammen, und niemand weiß später, welche Adresse zu welchem Gerät gehört.

Bewährt ist ein Schema mit Standortnummer, VLAN-Nummer und Hostbereich, etwa 10...0/24. Das bleibt lesbar, wenn der zweite Standort dazukommt, und lässt sich per VPN sauber routen.

VLAN	Zweck	Beispielnetz	Adressvergabe	Besonderheit
10	Verwaltung	10.10.10.0/24	fest	kein Gästezugriff, keine Freigaben nach außen
20	Büro	10.10.20.0/24	DHCP	Arbeitsplätze, Drucker, Scanner
30	Produktion	10.10.30.0/24	fest	nur interne Verbindungen, kein Internet
40	WLAN Gäste	10.10.40.0/24	DHCP	Client-Isolation, nur Internet
50	Telefonie	10.10.50.0/24	DHCP mit Reservierung	eigene Priorisierung

Die Planung selbst läuft in fünf Schritten:

Adressbereich festlegen, der nicht mit dem privaten Netz des Internetrouters kollidiert.
VLAN-Nummern und Subnetze vergeben, je Vertrauensstufe eines.
Feste Adressen für Infrastruktur vergeben: Switches, Access Points, Firewall, Drucker.
DHCP-Bereiche festlegen, die den festen Bereich nicht überlappen.
Reservierungen dokumentieren, bevor das erste Gerät produktiv geht.

Zwei Regeln sparen später viel Zeit. Erstens: keine Adressen aus 192.168.0.0/24 oder 192.168.1.0/24, weil diese Bereiche auf Router-Voreinstellungen und VPN-Zugängen liegen. Zweitens: Adressen nie doppelt vergeben, auch nicht testweise.

VLANs schneiden: Trennung als Grundregel

Ein VLAN ist ein logisches Netz auf gemeinsamer Hardware. Es ersetzt keine Firewall, schafft aber erst die Möglichkeit, Regeln überhaupt zu formulieren.

Jede Vertrauensstufe bekommt ein eigenes VLAN. Gäste sehen nur das Internet, Produktionsmaschinen nur ihre Steuerung, die Verwaltung nur ihre Anwendungen. Der Verkehr zwischen den VLANs läuft über die Firewall und wird dort gefiltert.

Schwachstelle Nummer eins in gewachsenen Netzen: alles liegt in VLAN 1. Wer dort nachträglich trennt, muss jedes Gerät anfassen und neu konfigurieren. Beim Neuaufbau kostet dieselbe Trennung nur wenige Minuten.

Wichtig beim Verkabeln: Trunk-Ports zu Switches und Access Points müssen getaggte Frames durchlassen. Das native VLAN gehört auf diesen Ports auf eine ungenutzte Nummer, nicht auf das Verwaltungs-VLAN.

Geräteauswahl: Switches, Access Points, Firewalls

Die Auswahl richtet sich nach Portzahl, PoE-Budget und Firewall-Durchsatz, nicht nach Marke. Vier Anbieter decken den Bedarf kleiner Standorte ab.

Ubiquiti liefert mit UniFi Switch, Access Points und Dream Machine eine durchgängig verwaltete Reihe, bei der Konfiguration und Monitoring in einer Oberfläche liegen. Cisco führt Router, Switches, Access Points und Firewalls für Netzwerke, Sicherheit und Rechenzentren. Netgear listet Business-Netzwerkprodukte von SMB bis Enterprise, die sich teils ohne Controller betreiben lassen. Sophos beschreibt seine Firewalls und Produkte für Netzwerkschutz.

Ein Mischbetrieb ist möglich, solange drei Punkte stimmen: VLAN-Tagging nach IEEE 802.1Q, PoE nach 802.3af oder 802.3at und ein Regelwerk, das VLAN-Schnittstellen kennt.

Kategorie	Beispielklasse	Rahmen netto
Firewall	Sophos XGS, Ubiquiti Dream Machine, Cisco Business	400 bis 2.500 Euro
Switch 8 bis 48 Ports	Netgear Business, Cisco Business, Ubiquiti UniFi	150 bis 1.500 Euro
Access Point	je Gerät, PoE	100 bis 400 Euro
Verkabelung und Patchfeld	pro Etage	300 bis 3.000 Euro
Einrichtung durch Dienstleister	pro Tag	600 bis 1.200 Euro

Aus diesen fünf Positionen entsteht die Spanne von 1.500 bis 12.000 Euro netto. Die obere Grenze erreicht ein Standort mit vielen Ports, mehreren Access Points und vollständig neuer Verkabelung.

WLAN planen: Ausleuchtung, Frequenzen, Gästenetz

WLAN wird zuletzt geplant, weil es auf dem Kabelnetz aufsetzt. Die Bundesnetzagentur erläutert die Nutzungsbedingungen für Frequenzen; für Betriebsnetze relevant sind 2,4 GHz und 5 GHz, in Neubauten zunehmend auch 6 GHz.

Faustregel für Büroflächen mit Trockenbauwänden: ein Access Point je 60 bis 100 Quadratmeter, bei Beton oder Lagerhallen deutlich mehr. Access Points gehören an die Decke, nicht in den Schaltschrank.

Jedes aktuelle Endgerät kann beide Bänder, deshalb lohnt die Trennung der SSIDs. Ein Name für Mitarbeiter, einer für Gäste. Das Gästenetz landet per VLAN-Tag direkt im Gäste-VLAN und erreicht das Büronetz nicht.

Verschlüsselung: WPA2 oder WPA3, bei WPA3 im Übergangsmodus nur, solange ältere Geräte im Umlauf sind. Ein gemeinsames Passwort ist bei unter 20 Geräten vertretbar, darüber ist ein Radius mit persönlichen Zugangsdaten die bessere Wahl.

Firewallregeln und Internetanschluss

Die Firewall ist das einzige Gerät, das alle Netze sieht. Regeln gehören deshalb dorthin und nicht auf den Switch.

Grundregel: alles verbieten, dann einzeln erlauben. Ausgehender Verkehr darf ins Internet, eingehender nur auf ausdrücklich freigegebene Ziele. Portfreigaben für den Fernzugriff auf Arbeitsplätze sind zu vermeiden, ein VPN ist der richtige Weg.

Für Server und zugreifende Systeme empfiehlt das BSI getrennte Bereiche, restriktive Zugriffsrechte und regelmäßige Updates, nachzulesen in den BSI-Empfehlungen zu Speicher-, Server- und Zugriffssicherheit. Der IT-Grundschutz des BSI liefert dazu ein Baustein-System, mit dem sich Maßnahmen nach Schutzbedarf auswählen lassen.

Updates und Protokolle gehören zur Routine: Firewall-Firmware monatlich prüfen, Logs mindestens 30 Tage aufbewahren. Ohne diese Daten lässt sich ein Vorfall später nicht aufklären.

Beim Internetanschluss zählt nicht nur die Bandbreite, sondern auch die Ausfallsicherheit. Ein zweiter Anschluss über einen anderen Technikträger kostet je nach Anbieter oft weniger als 100 Euro netto im Monat und verhindert, dass ein Leitungsfehler den Betrieb stoppt.

Kosten: Beispielrechnung für 25 Arbeitsplätze

Die Spanne von 1.500 bis 12.000 Euro netto ist breit, weil Verkabelung und Einrichtungszeit stark schwanken. Ein Beispiel macht die Anteile sichtbar.

Annahmen: zwei Etagen, 25 Arbeitsplätze, ein 24-Port-PoE-Switch, drei Access Points, eine Firewall, bestehende Verkabelung wird erweitert.

Position	Rechnung	Betrag netto
Firewall	Sophos-Klasse oder Ubiquiti Dream Machine	900 Euro
Switch 24 Port PoE	Netgear- oder Cisco-Business-Klasse	450 Euro
Access Points	3 Stück je 180 Euro	540 Euro
Patchfeld, Kabel, Dosen, Kleinteile	Material	1.200 Euro
Dienstleister	3 Tage je 800 Euro	2.400 Euro
Summe		5.490 Euro

Auf die Summe kommt die Umsatzsteuer von 19 Prozent, also 1.043,10 Euro, Gesamtbetrag 6.533,10 Euro. Alle Einzelpreise sind Kalkulationsgrößen für die Planung und vor der Beschaffung durch Angebote zu ersetzen.

Nach unten geht es, wenn Verkabelung und Konfiguration selbst erledigt werden. Nach oben, wenn Glasfaser, ein zweiter Standort per VPN oder eine Firewall mit höherem Durchsatz dazukommen.

Einrichtung in fünf Arbeitsschritten

Der Rollout läuft außerhalb der Kernarbeitszeit. Fünf Schritte haben sich bewährt:

Verkabelung prüfen und Patchfelder beschriften, Messprotokoll anlegen.
Switches konfigurieren: Management-Adresse, VLANs, Trunk-Ports, PoE.
Firewall aufsetzen: Schnittstellen, Zonen, DHCP, Regeln, Backup ziehen.
Access Points einbinden, SSIDs und Gastnetz testen, Kanäle prüfen.
Testlauf mit allen Anwendungen, danach Backup und Übergabe.

Zeitbedarf: ein Arbeitstag für Switches und Firewall, ein halber Tag für WLAN, ein halber Tag für Tests und Dokumentation.

Dokumentation, Betrieb und typische Schwachstellen

Ohne Dokumentation wird jede Störung zur Sucharbeit. Vier Unterlagen gehören in ein Verzeichnis: Netzplan mit VLANs, IP-Liste, Passwort-Tresor, Konfigurationsbackups.

Eine Checkliste für die Abnahme:

Netzplan und IP-Liste liegen aktuell vor.
Konfigurationsdateien von Switch, Firewall und Access Points sind gesichert.
Gästenetz erreicht das Firmennetz nicht, geprüft mit einem Testgerät.
Updateroutine und Ansprechpartner sind schriftlich festgehalten.
Ersatzgerät oder Dienstleistervertrag für den Ausfallfall ist benannt.

Fünf Schwachstellen tauchen in Bestandsnetzen immer wieder auf: alles in VLAN 1, offene Fernwartung per Portfreigabe, Standardpasswörter auf Switches, ungenutzte Dosen mit aktiven Ports und fehlende Backups der Firewall-Konfiguration.

Häufige Fragen

Was kostet ein Betriebsnetz für 20 Arbeitsplätze?

Für zwei Etagen mit 20 Arbeitsplätzen, einem Switch, zwei Access Points und einer kleinen Firewall liegt der Rahmen bei etwa 3.000 bis 6.000 Euro netto. Darin stecken Hardware, Kleinteile und zwei bis drei Tage Einrichtung.

Brauchen 15 Mitarbeiter überhaupt VLANs?

Ja, mindestens drei: Büro, Gäste und Verwaltung. Der Aufwand ist gering, weil die Trennung beim Neuaufbau nur wenige Konfigurationszeilen kostet. Ohne Trennung erreicht ein infiziertes Gästegerät alle Firmensysteme.

Welche Firewall passt zu einem kleinen Standort?

Entscheidend sind Durchsatz und Anzahl der VLAN-Schnittstellen, nicht die Modellgröße. Sophos und Cisco decken den Bereich ab, Ubiquiti bietet eine günstigere Variante mit weniger Funktionstiefe. Bei 50 Mbit/s Internet reicht die kleinste Klasse.

Reicht der Router des Internetanbieters?

Für fünf Arbeitsplätze ohne Gäste und ohne Server oft ja. Sobald VLANs, VPN oder getrennte Netze nötig sind, fehlen Funktionen, und ein eigener Router oder eine Firewall kommt dahinter oder ersetzt ihn.

Wie oft sollte ich die Konfiguration sichern?

Nach jeder Änderung und zusätzlich monatlich. Eine Kopie liegt auf einem Server, eine außerhalb des Standorts. Ohne Backup dauert ein Gerätetausch mehrere Stunden statt zwanzig Minuten.