Gewährleistung von Datenschutz bei WLAN-Nutzung in Unternehmen

Ein leistungsfähiges WLAN gehört heute zur Grundausstattung nahezu jedes Unternehmens. Gleichzeitig entstehen durch drahtlose Netzwerke erhebliche datenschutzrechtliche und IT-sicherheitsbezogene Anforderungen. Beschäftigte greifen auf personenbezogene Daten zu, Gäste nutzen das Unternehmensnetzwerk und mobile Endgeräte verbinden sich regelmäßig mit dem WLAN. Bereits kleine Konfigurationsfehler können zu Datenschutzverstößen, Sicherheitslücken oder Haftungsrisiken führen.

Die Gewährleistung von Datenschutz bei WLAN-Nutzung in Unternehmen erfordert daher weit mehr als ein sicheres Passwort. Unternehmen müssen technische und organisatorische Maßnahmen umsetzen, gesetzliche Vorgaben beachten und ihre Netzwerke kontinuierlich an aktuelle Sicherheitsstandards anpassen.

Dieser Beitrag erläutert die rechtlichen Anforderungen in Deutschland, typische Risiken sowie praktische Handlungsmöglichkeiten.

Warum spielt Datenschutz bei Unternehmens-WLAN eine so große Rolle?

Über das WLAN werden häufig personenbezogene Daten verarbeitet. Dazu gehören beispielsweise:

• Kunden- und Lieferantendaten
• Personaldaten
• E-Mails
• Vertragsunterlagen
• Zugangsdaten zu Unternehmenssystemen
• Cloud-Anwendungen
• Kommunikationsdaten

Gelangen Unbefugte auf diese Informationen oder werden Daten während der Übertragung abgefangen, kann eine Datenschutzverletzung im Sinne der Datenschutz-Grundverordnung (DSGVO) vorliegen.

Neben datenschutzrechtlichen Folgen drohen auch wirtschaftliche Schäden, Betriebsunterbrechungen und erhebliche Reputationsverluste.

Welche gesetzlichen Grundlagen gelten?

Die Gewährleistung von Datenschutz bei WLAN-Nutzung in Unternehmen ergibt sich nicht aus einer einzelnen Vorschrift. Vielmehr greifen mehrere Rechtsgebiete ineinander.

Hierzu zählen insbesondere:

• Datenschutz-Grundverordnung (DSGVO)
• Bundesdatenschutzgesetz (BDSG)
• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), soweit einschlägig
• IT-Sicherheitsanforderungen aus Art. 32 DSGVO
• gegebenenfalls branchenspezifische Sicherheitsvorgaben

Art. 32 DSGVO verpflichtet Verantwortliche dazu, geeignete technische und organisatorische Maßnahmen (TOM) zu treffen, um personenbezogene Daten angemessen zu schützen. Welche Maßnahmen erforderlich sind, hängt insbesondere vom Risiko der jeweiligen Datenverarbeitung ab.

Was bedeutet „Stand der Technik“ beim WLAN-Schutz?

Ein zentraler Begriff der DSGVO ist der sogenannte „Stand der Technik“.

Darunter versteht man Sicherheitsmaßnahmen, die nach dem aktuellen Entwicklungsstand als wirksam und wirtschaftlich vertretbar gelten.

Bei Unternehmens-WLAN gehören hierzu regelmäßig:

• WPA3-Verschlüsselung oder zumindest aktuelle WPA2-Enterprise-Lösungen
• starke Authentifizierungsverfahren
• individuelle Benutzerzugänge
• Netzwerksegmentierung
• Firewall-Systeme
• regelmäßige Software-Updates
• sichere Router-Konfiguration
• Protokollierung sicherheitsrelevanter Ereignisse
• Zugriffsbeschränkungen nach dem Need-to-know-Prinzip

Welche Maßnahmen im Einzelfall erforderlich sind, richtet sich nach Größe, Branche und Risikopotenzial des Unternehmens.

Welche personenbezogenen Daten werden über ein WLAN verarbeitet?

Viele Unternehmen unterschätzen den Umfang der Datenverarbeitung.

Bereits über die WLAN-Nutzung können unter anderem verarbeitet werden:

• IP-Adressen
• MAC-Adressen
• Login-Daten
• Zeitpunkte der Anmeldung
• Geräteinformationen
• Protokolldaten
• Standortinformationen innerhalb größerer WLAN-Systeme

Je nach technischer Ausgestaltung können diese Informationen personenbezogene Daten im Sinne der DSGVO darstellen.

Welche Risiken bestehen bei unzureichend gesichertem WLAN?

Ein unzureichend abgesichertes Unternehmensnetzwerk kann zahlreiche Risiken verursachen.

Unbefugte Zugriffe

Offene oder schlecht gesicherte WLAN-Netze erleichtern Angriffe durch Dritte.

Mögliche Folgen:

• Datendiebstahl
• Industriespionage
• Manipulation von Unternehmensdaten
• Schadsoftware
• Ransomware-Angriffe

Abfangen von Daten

Werden Daten unverschlüsselt übertragen oder bestehen Schwachstellen bei der Authentifizierung, können Kommunikationsinhalte unter Umständen mitgelesen werden.

Davon betroffen sein können:

• E-Mails
• Kundendaten
• Vertragsunterlagen
• Zugangsdaten

Missbrauch des Gastnetzwerks

Viele Unternehmen bieten Besuchern oder Kunden einen WLAN-Zugang an.

Ein häufiger Fehler besteht darin, dass Gäste auf interne Netzwerke zugreifen können oder das Gastnetzwerk technisch nicht ausreichend getrennt wurde.

Dadurch entstehen vermeidbare Sicherheitsrisiken.

Schadsoftware durch private Endgeräte

Bring-Your-Own-Device-Konzepte (BYOD) erleichtern flexibles Arbeiten.

Gleichzeitig erhöhen private Smartphones, Tablets oder Notebooks die Angriffsfläche erheblich.

Ohne geeignete Sicherheitsrichtlinien können infizierte Geräte Schadsoftware in Unternehmensnetzwerke einschleusen.

Welche technischen und organisatorischen Maßnahmen sind sinnvoll?

Die DSGVO verlangt keine bestimmte Technik, sondern ein angemessenes Sicherheitsniveau.

In der Praxis gehören hierzu häufig folgende Maßnahmen:

Sichere Netzwerkarchitektur

Empfehlenswert sind unter anderem:

• Trennung von Unternehmensnetz und Gastnetz
• Segmentierung sensibler Bereiche
• getrennte Netze für IoT-Geräte
• Zugriffsbeschränkungen

Sichere Authentifizierung

Unternehmen sollten auf starke Authentifizierungsverfahren setzen.

Dazu gehören beispielsweise:

• individuelle Benutzerkonten
• Mehrfaktor-Authentifizierung
• starke Passwortrichtlinien
• regelmäßiger Passwortwechsel, soweit organisatorisch sinnvoll

Regelmäßige Updates

Veraltete Router oder Access Points gehören zu den häufigsten Sicherheitsproblemen.

Hersteller veröffentlichen regelmäßig Sicherheitsupdates, die bekannte Schwachstellen schließen.

Dokumentation

Datenschutz verlangt nachvollziehbare Prozesse.

Hierzu gehören beispielsweise:

• IT-Sicherheitskonzepte
• Berechtigungskonzepte
• Dokumentation technischer Maßnahmen
• Verfahrensdokumentationen
• interne Richtlinien

Schulung der Beschäftigten

Viele Datenschutzvorfälle entstehen nicht durch Technik, sondern durch Bedienungsfehler.

Regelmäßige Schulungen können Risiken deutlich reduzieren.

Typische Themen sind:

• sichere WLAN-Nutzung
• Phishing
• Passwortsicherheit
• Umgang mit mobilen Geräten
• Meldewege bei Sicherheitsvorfällen

Gast-WLAN: Welche Besonderheiten gelten?

Ein Gast-WLAN sollte grundsätzlich vollständig vom internen Unternehmensnetz getrennt sein.

Außerdem empfiehlt sich:

• zeitlich begrenzte Zugänge
• individuelle Zugangscodes
• automatisierte Löschung nicht mehr benötigter Zugangsdaten
• Nutzungsbedingungen
• angemessene Protokollierung unter Beachtung datenschutzrechtlicher Vorgaben

Unternehmen sollten sorgfältig prüfen, welche Daten tatsächlich erhoben werden müssen. Nach dem Grundsatz der Datenminimierung dürfen nur diejenigen personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.

Homeoffice und mobiles Arbeiten

Die Nutzung betrieblicher Systeme über private WLAN-Netze erhöht die Anforderungen an Datenschutz und Informationssicherheit.

Unternehmen sollten unter anderem regeln:

• Nutzung von VPN-Verbindungen
• Sicherheitsstandards privater Router
• Verschlüsselung mobiler Geräte
• Mobile-Device-Management
• Fernlöschfunktionen
• sichere Aufbewahrung dienstlicher Geräte

Auch Beschäftigte sind verpflichtet, interne Sicherheitsvorgaben einzuhalten.

Was passiert bei einer Datenschutzverletzung?

Kommt es zu einem Sicherheitsvorfall, müssen Unternehmen zunächst prüfen, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt.

Je nach Einzelfall können insbesondere folgende Pflichten bestehen:

• interne Dokumentation des Vorfalls
• technische Schadensbegrenzung
• Risikoanalyse
• Meldung an die zuständige Datenschutzaufsichtsbehörde
• Benachrichtigung betroffener Personen, sofern gesetzlich erforderlich

Ob und innerhalb welcher Frist eine Meldung erfolgen muss, hängt von den konkreten Umständen des Einzelfalls ab. Datenschutzrechtliche Meldepflichten können zeitkritisch sein und sollten unverzüglich geprüft werden.

Welche Bußgelder und Haftungsrisiken drohen?

Verstöße gegen die DSGVO können erhebliche finanzielle Folgen haben.

Mögliche Konsequenzen sind:

• behördliche Anordnungen
• Bußgelder
• Schadensersatzansprüche betroffener Personen
• Unterlassungsansprüche
• erhebliche Kosten für IT-Forensik und Wiederherstellung
• Reputationsschäden

Die konkrete Höhe möglicher Sanktionen richtet sich stets nach den Umständen des Einzelfalls. Maßgeblich sind unter anderem Art, Schwere und Dauer eines Verstoßes sowie die getroffenen Sicherheitsmaßnahmen.

Typische Fehler in Unternehmen

In der Praxis treten immer wieder ähnliche Schwachstellen auf.

Dazu gehören insbesondere:

• gemeinsames WLAN-Passwort für alle Beschäftigten
• fehlende Trennung von Gast- und Firmennetz
• veraltete Router-Firmware
• keine regelmäßigen Sicherheitsupdates
• fehlende Zugriffskontrollen
• unverschlüsselte Datenübertragung
• unzureichende Dokumentation
• fehlende Mitarbeiterschulungen
• unkontrollierte Nutzung privater Endgeräte

Viele dieser Risiken lassen sich bereits durch organisatorische Maßnahmen erheblich reduzieren.

Welche Beweisfragen können im Streitfall relevant werden?

Kommt es zu einem Datenschutzvorfall, stellt sich häufig die Frage, ob ein Unternehmen seinen gesetzlichen Pflichten ausreichend nachgekommen ist.

Von Bedeutung sein können unter anderem:

• IT-Sicherheitskonzepte
• Protokolle über Updates
• Dokumentationen technischer Maßnahmen
• Berechtigungskonzepte
• Schulungsnachweise
• Risikoanalysen
• Verträge mit IT-Dienstleistern
• Protokolle über Sicherheitsvorfälle

Eine vollständige Dokumentation kann im Rahmen behördlicher Verfahren oder zivilrechtlicher Auseinandersetzungen erhebliche Bedeutung erlangen.

Wann empfiehlt sich eine anwaltliche Prüfung?

Eine rechtliche Prüfung kann insbesondere sinnvoll sein,

• wenn ein neues Unternehmens-WLAN eingerichtet wird,
• bei Einführung eines Gastnetzwerks,
• bei BYOD-Konzepten,
• nach einem Datenschutzvorfall,
• vor einer Prüfung durch Datenschutzaufsichtsbehörden,
• bei Outsourcing der IT-Infrastruktur,
• bei der Erstellung oder Überarbeitung von Datenschutz- und IT-Sicherheitskonzepten.

Da die datenschutzrechtlichen Anforderungen stark von der konkreten Unternehmensstruktur, den verarbeiteten Daten und dem jeweiligen Risikoniveau abhängen, ist eine individuelle rechtliche Bewertung regelmäßig empfehlenswert.

Fazit: Gewährleistung von Datenschutz bei WLAN-Nutzung in Unternehmen erfordert ein Gesamtkonzept

Die Gewährleistung von Datenschutz bei WLAN-Nutzung in Unternehmen beschränkt sich nicht auf technische Sicherheitsmaßnahmen. Datenschutzrechtliche Vorgaben, IT-Sicherheit, organisatorische Prozesse und die Sensibilisierung der Beschäftigten greifen ineinander.

Unternehmen sollten ihre WLAN-Infrastruktur regelmäßig überprüfen, Sicherheitsmaßnahmen dokumentieren und bestehende Konzepte an technische Entwicklungen anpassen. Welche Maßnahmen im Einzelfall erforderlich und angemessen sind, hängt von der Art der Datenverarbeitung, den bestehenden Risiken sowie den gesetzlichen Anforderungen ab. Eine frühzeitige rechtliche und technische Prüfung kann dazu beitragen, Datenschutzverstöße und daraus resultierende Haftungsrisiken zu vermeiden.

FAQ

Muss jedes Unternehmen sein WLAN verschlüsseln?

In der Praxis ist eine zeitgemäße Verschlüsselung regelmäßig erforderlich, um den Anforderungen an ein angemessenes Sicherheitsniveau nach Art. 32 DSGVO gerecht zu werden. Welche konkrete Technik eingesetzt werden muss, richtet sich nach dem jeweiligen Risikoprofil.

Darf ein Gast-WLAN mit dem internen Firmennetz verbunden sein?

Aus Sicherheits- und Datenschutzgründen sollte ein Gastnetz grundsätzlich vom internen Unternehmensnetz getrennt sein. Eine fehlende Trennung kann das Risiko unbefugter Zugriffe deutlich erhöhen.

Sind IP-Adressen und MAC-Adressen personenbezogene Daten?

Je nach Einzelfall können IP-Adressen und MAC-Adressen personenbezogene Daten darstellen. Ihre Verarbeitung unterliegt daher den Anforderungen der DSGVO, sofern ein Personenbezug besteht.

Müssen Unternehmen Datenschutzvorfälle im WLAN immer melden?

Nicht jeder Sicherheitsvorfall löst automatisch eine Meldepflicht aus. Ob eine Meldung an die Datenschutzaufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, hängt insbesondere vom Risiko für die Rechte und Freiheiten der Betroffenen ab.

Wann sollte ein Unternehmen seine WLAN-Sicherheitsmaßnahmen überprüfen?

Eine Überprüfung empfiehlt sich regelmäßig sowie anlassbezogen, etwa nach Sicherheitsvorfällen, technischen Änderungen, der Einführung neuer IT-Systeme oder bei wesentlichen Änderungen der Datenverarbeitung.