WLAN-Gastnetzwerk: Sinnvoll einrichten ohne IoT zu kappen

Ein FRITZ!Box-Gastnetz ist in 90 Sekunden eingerichtet und blockt Gäste-Geräte by default vom Heimnetz ab. Wer das Gastnetz aber falsch konfiguriert, kappt sich Sonos-Speaker, Smart-TV-Casting und Hue-Bridge gleich mit. Diese Anleitung zeigt die richtige Trennung für FRITZ!Box, Asus ZenWiFi und TP-Link Deco — und warum die meisten IoT-Geräte ins Gastnetz gehören, nicht ins Hauptnetz.

Was ein Gastnetz technisch macht — und was nicht

Ein WLAN-Gastnetz ist eine zweite SSID mit getrennter Layer-2-Domain. Heißt: Geräte im Gastnetz sehen Geräte im Hauptnetz nicht per Broadcast, ARP oder mDNS. Auf der FRITZ!Box läuft das technisch über VLAN 2, bei Asus über getrennte Bridge-Interfaces, bei TP-Link Deco über Network-Isolation-Flags. Der Router routet zwischen den Netzen nicht — der Traffic geht nur Richtung Internet.

Was das Gastnetz nicht kann: DHCP-Reservierungen, Portfreigaben, lokale DNS-Auflösung auf Hostnames. Ein Gerät im Gastnetz bekommt eine IP aus einem separaten Subnetz (typisch 192.168.179.x bei FRITZ!Box statt 192.168.178.x). Der Router-Webzugriff über fritz.box funktioniert oft nicht aus dem Gastnetz — bewusste Design-Entscheidung, damit Gäste die Konfiguration nicht öffnen.

Bandbreitenmäßig nutzt das Gastnetz dieselben Funkkanäle wie das Hauptnetz. Wer dachte, das Gastnetz wäre ein separates Funknetz mit eigener Hardware, irrt — es ist eine logische Trennung auf demselben Radio. Die Sendeleistung wird geteilt, eine intensive Gast-Nutzung kostet Performance im Hauptnetz.

FRITZ!Box-Gastnetz in 90 Sekunden

WLAN → Gastzugang → Haken bei Gastzugang aktiv setzen, separate SSID vergeben (zum Beispiel FRITZ-Gast-7530), Passwort mindestens 12 Zeichen. WPA3 oder WPA2-only auswählen, niemals WPA2/WPA3-Mixed-Mode wenn ältere Gäste-Smartphones (vor 2018) zu erwarten sind — dann lieber WPA2-only.

Optionen die viele übersehen: Internetzugang auf Surfen und E-Mail beschränken blockt SMTP-Server, VPN-Ports und P2P. Praktisch wenn Du fremde Smartphones nicht haftbar für eigene Anschluss-IP riskieren willst. Die Option Gäste dürfen untereinander kommunizieren ist standardmäßig aus — sinnvoll, denn das verhindert SMB-Scans von Gast-Notebooks untereinander.

Push-Service-Mail aktivieren: Die FRITZ!Box mailt Dir, wenn jemand das Gastnetz nutzt. Bei Vermietung über Airbnb oder Ferienwohnung dokumentiert das die Nutzung. Wichtig auch der Zeit-Timer — Gastzugang nach 1, 3 oder 6 Stunden automatisch deaktivieren, falls Du vergisst, das Netz wieder auszuschalten.

Asus ZenWiFi: AiMesh und Guest-Network-Pro

Asus-Router ab Firmware 3.0.0.4.388 bieten Guest Network Pro mit feiner Granularität. Erweiterte Einstellungen → Guest Network Pro → bis zu 6 separate Gastnetze gleichzeitig, jedes mit eigener SSID, eigenem Subnetz und eigener Bandbreitenbegrenzung.

Die wichtigsten Profile: Kids (Content-Filter aktiv, Zeit-Schedule), IoT (kein Internet außer DNS und MQTT-Ports), Guests (Standard mit Isolation), VPN (Traffic durch ausgewählten VPN-Tunnel). Bei AiMesh mit mehreren Knoten propagiert die Konfiguration automatisch auf alle Mesh-Nodes.

Bandbreitenbegrenzung pro Gastnetz: maximal 50 MBit/s Download und 10 MBit/s Upload reichen für 4K-Streaming und Videocall. Wer das Hauptnetz vor Gast-Downloads schützen will, setzt hier hart die Grenze. Die Asus-Firmware nutzt Token-Bucket-Algorithmus — kurzfristige Bursts sind erlaubt, Dauerlast wird gedrosselt.

TP-Link Deco: Guest Network und IoT-Network

Die Deco-App bietet zwei getrennte Funktionen: Guest Network (eine SSID, Isolation, Zeit-Limit) und IoT Network (separate SSID nur 2,4 GHz, optimiert für Smart-Home-Geräte mit schwacher Funkhardware).

Das IoT-Network ist die elegantere Lösung als Gäste-Smart-TVs ins Hauptnetz zu lassen. Sonos-Speaker, Hue-Bridge, Tuya-Steckdosen und ESP32-Bastelei landen alle dort. Vorteil: Wenn Du Dein Hauptnetz-Passwort änderst, müssen die 30 IoT-Geräte nicht neu eingerichtet werden. Nachteil: mDNS- und Spotify-Connect-Discovery funktioniert nicht mehr cross-network ohne Sonderkonfiguration.

Wer Sonos und Apple-TV im IoT-Network betreibt, aber vom Hauptnetz aus steuern will, braucht mDNS-Reflector oder Bonjour-Forwarding. Die Deco-App nennt das Multicast-Forwarding — Haken setzen, sonst findet die Apple-Home-App die HomePods nicht. Dieser Schritt fehlt in 80 Prozent der Anleitungen im Netz.

Wohin gehören IoT-Geräte wirklich?

Die häufigste Diskussion: IoT ins Gastnetz oder ins Hauptnetz? Antwort hängt vom Bedrohungsmodell ab. Geräte mit veralteter Firmware (Billig-Steckdosen, alte IP-Kameras) gehören ins Gastnetz oder IoT-Netz — sie sind häufig die Einfallstür für Mirai-ähnliche Botnets. Hersteller wie AVM, Philips, Bosch und Apple liefern hingegen regelmäßige Sicherheitsupdates, hier ist das Risiko niedrig.

Eine sinnvolle Regel: alles mit chinesischem Cloud-Backend (Tuya, Sonoff, Aqara ohne Hub) ins Gastnetz. Alles mit europäischem Cloud-Backend oder lokaler Steuerung (HomeKit, Matter, Zigbee-Hubs, Hue) darf ins Hauptnetz. Für maximale Sicherheit: VLAN-fähigen Router (Ubiquiti UniFi, Mikrotik) statt FRITZ!Box, dann lassen sich beliebig viele isolierte Netze einrichten.

Vergleichstabelle: Gastnetz-Features der drei Hersteller

Sicherheits-Hardening: was wirklich zählt

Drei Maßnahmen, die nichts kosten und im Standard oft falsch eingestellt sind. Erstens: WPA3 erzwingen statt WPA2/WPA3-Mixed. Mixed-Mode hat in 2024 dokumentierte Downgrade-Angriffe gezeigt, bei denen Angreifer den Handshake auf WPA2 zwangen. Wenn alle Geräte WPA3 können, hart auf WPA3-only stellen.

Zweitens: WPS deaktivieren. Wi-Fi Protected Setup mit PIN-Methode ist seit 2011 angreifbar — der PIN lässt sich in 4 bis 10 Stunden Brute-Force knacken. AVM hat WPS-Push-Button als sicherere Alternative, aber wer es nicht aktiv nutzt, schaltet es komplett aus. Im FRITZ!Box-Menü: WLAN → Sicherheit → WPS → deaktivieren.

Drittens: SSID nicht verstecken. Verstecktes WLAN ist Security-Theater — die SSID wird trotzdem in jedem Probe-Request des Clients gefunkt, sogar wenn der Laptop nicht zu Hause ist. Sichtbare SSID plus starkes Passwort ist sicherer als versteckte SSID plus schwaches Passwort. Wer es sich verstecken will, nutzt 802.1X mit RADIUS-Server statt Hidden-SSID-Spielerei.

Captive-Portal und rechtliche Lage in Deutschland

Die Störerhaftung für offene WLAN-Netze ist seit der TMG-Novelle 2017 weitgehend aufgehoben. Privat-Anbieter eines Gast-WLAN haften nicht mehr für Urheberrechtsverletzungen ihrer Gäste, sofern das Netz mit Passwort geschützt ist. Trotzdem empfiehlt sich ein Captive-Portal mit AGB-Hinweis bei kommerzieller Nutzung wie Ferienwohnung, Café oder Praxis — dokumentiert die Zustimmung und entlastet bei Auskunftsersuchen.

FRITZ!Box bietet einen einfachen AGB-Bildschirm im Gastnetz: Gastzugang → Hinweistext einblenden. Asus und TP-Link Deco erlauben ähnliche Captive-Portale. Wer rechtssicher arbeiten will (Ferienwohnung mit häufigen Gästen), nutzt einen Hotspot-Service wie hotsplots.de oder hotspot.io — ab 8 Euro im Monat mit Logging und SMS-Auth. Stand: Mai 2026 ist das der einfachste Weg zur sauberen Trennung von Betreiberhaftung. Für reine Privatgäste reicht das normale Gastnetz mit Passwort.

Bei Mehrparteienhäusern, in denen mehrere Wohnungen einen Anschluss teilen, ist die Rechtslage anders: jeder Mieter mit eigenem Vertrag haftet selbst. Gastnetze über fremde Anschlüsse sind nicht ratsam ohne ausdrückliche Vereinbarung.