So verbessern Sie die Sicherheit in öffentlichen WLANs auf verwalteten Endpunkten

Offene WLAN-Netzwerke sind praktisch, können Endpunkte aber Sicherheitsrisiken aussetzen. Öffentliche WLANs erhöhen das Risiko, dass Daten abgefangen, Anmeldeinformationen gestohlen oder Sitzungen übernommen werden. Geräte, die außerhalb kontrollierter Umgebungen eingesetzt werden, sind oft nicht vertrauenswürdigen Netzwerken ausgesetzt, besonders wenn Beschäftigte remote arbeiten.

MSPs und IT-Administrator:innen müssen Windows-Endpunkte in öffentlichen Netzwerken absichern. Dieser Leitfaden beschreibt die dafür nötigen Schritte. Er behandelt SSID-Kontrolle, Profilverwaltung, Firewall-Konfiguration, Transportsicherheit, Sensibilisierung der Benutzer:innen und kontinuierliche Überwachung.

Einen schnellen visuellen Überblick finden Sie in unserem Video-Leitfaden So verbessern Sie die Sicherheit in öffentlichen WLANs auf verwalteten Endpunkten

Schritte für mehr Sicherheit in öffentlichen WLANs auf verwalteten Geräten

Öffentliche Netzwerke können verwaltete Endpunkte Sicherheitsrisiken aussetzen. Die folgenden Schritte zeigen praktische Maßnahmen, mit denen Sie die Angriffsfläche von Endpunkten in öffentlichen WLANs verringern.

Voraussetzungen:

• Die Endpunkte mit Windows 10 und 11 müssen einer Active-Directory-Domäne beigetreten oder in einer Mobile-Device-Management-Lösung (MDM) registriert sein.
• Sie benötigen Administratorrechte, um WLAN-Profile, Gruppenrichtlinieneinstellungen (GPO) und Skripte bereitzustellen.
• Dafür ist eine zentrale Protokollierung für Änderungen der Netzwerkkategorie und Firewall-Ereignisse erforderlich.
• Sie benötigen einen definierten Ticketing-Workflow für Ausnahmen und Benachrichtigungen an Benutzer:innen.

Schritt 1: Bestimmte SSIDs blockieren oder zulassen

Die Netzwerke zu begrenzen, mit denen sich Endpunkte verbinden dürfen, ist ein sehr wirksames Mittel gegen WLAN-Sicherheitsrisiken. Beginnen Sie mit Zulassungs- und Sperrlisten für SSIDs. So verhindern Sie, dass Geräte anhand der SSID nicht genehmigten WLANs beitreten, und stellen sicher, dass sie sich nur mit freigegebenen Netzwerknamen verbinden.

Anwendungsfälle:

• Dieser Schritt setzt einheitliche Verbindungsregeln durch und vermeidet eine versehentliche Exposition in öffentlichen Netzwerken.
• Er senkt das Risiko, dass Benutzer:innen sich mit nicht genehmigten WLANs verbinden.

Voraussetzungen:

• Sie benötigen Administratorrechte, um WLAN-Filter oder GPO-Einstellungen auf verwalteten Endpunkten bereitzustellen.
• Sie brauchen eine aktuelle Liste der freigegebenen SSIDs für Skripte oder Richtliniendefinitionen.

Sperr- und Zulassungsliste mit netsh

Verwenden Sie die folgenden Befehle in PowerShell oder der Eingabeaufforderung, um zu steuern, welchen WLANs Geräte beitreten dürfen:

netsh wlan add filter permission=block ssid=“Free Public WiFi“ networktype=infrastructure

Dieser Befehl blockiert Verbindungen zu einer bestimmten SSID. Ersetzen Sie „Free Public WiFi“ durch das Netzwerk, das Sie blockieren möchten.

netsh wlan add filter permission=allow ssid=“CorpWiFi“networktype=infrastructure

Dieser Befehl lässt Verbindungen zu einer bestimmten freigegebenen SSID zu. Ersetzen Sie „CorpWiFi“ durch eine von Ihrem Unternehmen genehmigte SSID.

netsh wlan show filters

Damit wird die aktuelle Liste der zugelassenen und blockierten Netzwerke angezeigt, um zu prüfen, ob die Filter korrekt angewendet wurden.

So entfernen Sie riskante gespeicherte Netzwerke

netsh wlan delete profile name=“Airport Free WiFi“

Dieser Befehl löscht ein vorhandenes gespeichertes Netzwerkprofil. Ersetzen Sie den Platzhalternamen durch den Namen des gespeicherten WLAN-Profils, das Sie entfernen möchten.

So wenden Sie diese Einschränkungen per Gruppenrichtlinie auf domänenbeigetretene Rechner an

Statt diese Befehle manuell auszuführen, können Sie die Drahtlosnetzwerkrichtlinien (IEEE 802.11) in der Gruppenrichtlinie verwenden.

1. Öffnen Sie die Gruppenrichtlinienverwaltungskonsole (GPMC) auf einem Domain-Controller.
2. Erstellen oder bearbeiten Sie ein GPO, das mit der Organisationseinheit (OU) Ihrer verwalteten Geräte verknüpft ist.
3. Navigieren Sie zu:
   Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Drahtlosnetzwerkrichtlinien (IEEE 802.11)
4. Klicken Sie mit der rechten Maustaste auf Drahtlosnetzwerkrichtlinien (IEEE 802.11) und wählen Sie Neue Drahtlosnetzwerkrichtlinie für Windows Vista und höhere Versionen erstellen.
5. Konfigurieren Sie auf der Registerkarte Netzwerkberechtigungen eine der folgenden Optionen:
   1. Nur die von Ihnen ausdrücklich definierten Netzwerke zulassen (SSID-Zulassungsliste).
   2. Netzwerke nach Name oder Typ blockieren (SSID-Sperrliste).
6. Fügen Sie die von Ihrem Unternehmen freigegebenen SSIDs unter Zugelassene Netzwerke hinzu und tragen Sie SSIDs oder Netzwerktypen, die Ihr Unternehmen einschränken möchte, unter Verweigerte Netzwerke ein.
7. Klicken Sie auf OK und anschließend auf Übernehmen, um die Richtlinie anzuwenden.
8. Führen Sie gpupdate /force auf den Clientgeräten aus oder warten Sie auf die nächste Aktualisierung der Gruppenrichtlinien, damit die Einstellungen wirksam werden.

Schritt 2: Vertrauenswürdige Profile vorab bereitstellen und priorisieren

Sie können bekannte Netzwerkprofile vorab bereitstellen und priorisieren, damit Endpunkte sich nicht automatisiert mit beliebigen oder unsicheren Hotspots verbinden. Beachten Sie: Die Sicherheit in öffentlichen WLANs ist praktisch nicht vorhanden. Wenn Sie festlegen, welchen Netzwerken Geräte vertrauen dürfen, senken Sie das Risiko durch gefälschte oder betrügerische Access Points.

Anwendungsfälle:

• Dieser Schritt stellt sicher, dass Endpunkte sich automatisiert mit vertrauenswürdigen Netzwerken verbinden, bevor eine Verbindung zu einem öffentlichen WLAN zustande kommt.
• Er senkt das Risiko versehentlicher Verbindungen mit ungesicherten Netzwerken.

Voraussetzungen:

• Sie benötigen Administratorrechte, um WLAN-Profile auf verwalteten Endpunkten zu konfigurieren oder bereitzustellen.
• Dafür ist eine exportierte oder vorkonfigurierte XML-Datei für Ihre freigegebenen SSIDs erforderlich.

So stellen Sie ein WLAN-Profil vorab bereit

netsh wlan add profile filename=“CorpWiFi.xml“ interface=“Wi-Fi“ user=all

Damit wird ein WLAN-Profil für alle Benutzer:innen des Geräts hinzugefügt. Ersetzen Sie „CorpWiFi.xml“ durch den Pfad zu Ihrer exportierten XML-Datei mit der freigegebenen SSID-Konfiguration.

So legen Sie die Verbindungspriorität fest

netsh wlan set profileorder name=“CorpWiFi“ interface=“Wi-Fi“ priority=1

Damit legen Sie die Verbindungspriorität fest, sodass der Endpunkt sich zuerst automatisiert mit der vertrauenswürdigen SSID verbindet. Der Prioritätswert „1“ gibt ihr den Vorrang.

So entfernen Sie veraltete Profile

Sie können veraltete oder unsichere Profile entfernen, die auf offene SSIDs oder Netzwerke verweisen. Nutzen Sie die folgenden Befehle, um veraltete Profile zu prüfen und zu löschen:

netsh wlan show profiles

netsh wlan delete profile name=“OldPublicWiFi“

Ersetzen Sie „OldPublicWiFi“ durch den Namen des Netzwerks, das Sie entfernen möchten.

Tipps:

• Verwenden Sie immer eine Authentifizierung auf Enterprise-Niveau wie WPA2-Enterprise oder WPA-3 Enterprise. Sie erzwingen eine stärkere Verschlüsselung und verringern damit die Angriffsfläche in öffentlichen Netzwerken.
• Sie können WLAN-Netzwerkprofile hinzufügen, ohne sich vorher verbinden zu müssen.

Schritt 3: Geräteeinstellungen in nicht vertrauenswürdigen WLANs verschärfen

MSPs sollten unbekannte Netzwerke grundsätzlich als nicht vertrauenswürdig behandeln. Das Hardening des Windows-Profils „Öffentlich“ verringert die Angriffsfläche, blockiert eingehenden Datenverkehr und deaktiviert unnötige Erkennungsdienste.

Anwendungsfälle:

• Dieser Schritt verringert die Angriffsfläche, wenn Geräte sich außerhalb des Unternehmensnetzwerks mit offenen oder gemeinsam genutzten Netzwerken verbinden.
• Er erzwingt automatisiert eine restriktive Firewall- und Netzwerkkonfiguration, sobald ein neues oder unbekanntes WLAN erkannt wird.

Voraussetzungen:

• Sie benötigen Administratorrechte auf den verwalteten Endpunkten.
• Auf den Geräten muss Windows 10 oder 11 mit PowerShell 5.0 oder höher laufen.

Netzwerkkategorie „Öffentlich“ bei unbekannten Netzwerken erzwingen

Dieser PowerShell-Befehl setzt den Netzwerktyp auf „Öffentlich“ und wendet automatisiert strengere Sicherheitseinstellungen an.

Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public

Firewall für das Profil „Öffentlich“ verschärfen

Dieser Befehl blockiert eingehende Verbindungen standardmäßig und lässt ausgehende Verbindungen für das Profil „Öffentlich“ standardmäßig zu. Das senkt das Risiko externer Eindringversuche.

netsh advfirewall set publicprofile firewallpolicy blockinbound,allowoutbound

Dieser Befehl wiederum deaktiviert Pop-up-Benachrichtigungen, die fragen, ob neue Apps durch die Firewall zugelassen werden sollen. So bleibt der Schutz auch dann konsistent, wenn Benutzer:innen lokale Administratorrechte besitzen.

netsh advfirewall set publicprofile settings inboundusernotification disable

So deaktivieren Sie Erkennungs- und Freigabefunktionen

Sie können Funktionen deaktivieren, die die Anwesenheit des Geräts in öffentlichen Netzwerken bekannt geben, etwa die Netzwerkerkennung sowie die Datei- und Druckerfreigabe. Das geht über:

Systemsteuerung > Netzwerk- und Freigabecenter > Erweiterte Freigabeeinstellungen.

Zusätzlich können Sie per Gruppenrichtlinie die entsprechenden Windows Firewall-Einstellungen für Netzwerke außerhalb der Domäne unter Computerkonfiguration > Administrative Vorlagen > Netzwerk > Netzwerkverbindungen > Windows-Firewall > Domänenprofil konfigurieren.

Schritt 4: Verschlüsselte Verbindungen erzwingen, um Daten in öffentlichen WLANs zu schützen

Datenverkehr in offenen Netzwerken kann auch bei Netzwerkeinschränkungen und Firewall-Hardening abgefangen werden. Wenn Sie eine sichere Übertragung vorschreiben, bleiben alle Daten, die das Gerät verlassen, verschlüsselt. Das stärkt den Schutz in öffentlichen WLANs insgesamt.

Anwendungsfälle:

• Dieser Schritt schützt Unternehmensdaten durch verschlüsselte Verbindungen, selbst wenn Benutzer:innen über öffentliche oder nicht vertrauenswürdige Netzwerke auf Ressourcen zugreifen.
• Er stellt sicher, dass Benutzer:innen VPN oder verschlüsselte Kanäle nicht umgehen können, wenn sie sich außerhalb der Unternehmensumgebung verbinden.

Voraussetzungen:

• Sie benötigen Administratorrechte, um VPN- oder Netzwerkrichtlinien auf verwalteten Endpunkten zu konfigurieren.
• Sie brauchen eine etablierte VPN-Lösung sowie die Möglichkeit, Browser-Richtlinien zu verwalten.

VPN in öffentlichen Netzwerken vorschreiben

Konfigurieren Sie VPN-Richtlinien so, dass Endpunkte sich automatisiert mit einem Unternehmens-VPN verbinden, sobald die Windows-Netzwerkkategorie auf „Öffentlich“ gesetzt ist. So läuft der gesamte Datenverkehr aus öffentlichen WLANs durch verschlüsselte Unternehmens-Tunnel.

Verschlüsselung im Browser erzwingen

Aktivieren Sie in unterstützten Browsern den reinen HTTPS-Modus und die Preload-Listen für HTTP Strict Transport Security (HSTS). Diese Einstellungen erzwingen oder priorisieren je nach Browser und Website HTTPS-Verbindungen und helfen, Downgrade-Angriffe zu verhindern.

Verschlüsseltes DNS aktivieren

Wenn Ihre Umgebung das unterstützt, konfigurieren Sie DNS over HTTPS (DoH) per Gruppenrichtlinie oder Gerätekonfiguration. Unter Windows 11 geht das über:

Computerkonfiguration > Administrative Vorlagen > Netzwerk > DNS-Client > DNS über HTTPS aktivieren

So werden DNS-Anfragen verschlüsselt und lassen sich in öffentlichen WLANs weder abfangen noch manipulieren.

Schritt 5: Benutzer:innen über sicheres Verhalten in öffentlichen WLANs informieren

Technische Kontrollen sind bereits ein hervorragender Schutz, doch oft entscheidet das Verhalten der Benutzer:innen über die Sicherheit in öffentlichen WLANs. Zeigen Sie Ihren Benutzer:innen, wie sie unsichere Netzwerke erkennen und grundlegende Vorsichtsmaßnahmen treffen, wenn sie sich außerhalb verwalteter Umgebungen verbinden.

Anwendungsfälle:

• Dieser Schritt hilft Benutzer:innen, riskante Verbindungen auf Reisen oder im Homeoffice zu erkennen und zu vermeiden.
• Er ergänzt technische Kontrollen durch klare Gewohnheiten, die eine versehentliche Offenlegung von Daten verhindern.

Voraussetzungen:

• Für diese Methode brauchen Sie einen Weg, Hinweise an Benutzer:innen zu verteilen, etwa interne Dokumentation oder einen Kurzleitfaden.
• Sie sollten eine einfache Checkliste oder eine visuelle Erinnerung pflegen, die die wichtigsten WLAN-Sicherheitsregeln zusammenfasst.

Das sind die wichtigsten Themen:

• Aktivieren Sie in unterstützten Browsern den reinen HTTPS-Modus und die Preload-Listen für HTTP Strict Transport Security (HSTS). Diese Einstellungen erzwingen oder priorisieren je nach Browser und Website HTTPS-Verbindungen und helfen, Downgrade-Angriffe zu verhindern.
• Nutzen Sie nach Möglichkeit immer das Unternehmens-VPN. Greifen Sie in offenen Netzwerken niemals ohne VPN auf sensible Daten oder interne Tools zu.
• Prüfen Sie vor dem Fortfahren, ob die Verbindung per HTTPS verschlüsselt ist. Brechen Sie sofort ab, wenn der Browser Zertifikats- oder Verbindungswarnungen anzeigt.
• Melden Sie auffälliges Verhalten an die IT. Dazu zählen wiederholte Verbindungsabbrüche, mehrfache Anmeldeaufforderungen oder unerwartete Weiterleitungen.

Schulungen zu sicherem Verhalten in öffentlichen WLANs schließen damit die letzte Sicherheitslücke, die technische Richtlinien allein nicht abdecken können.

Schritt 6: Sicherheitsniveau in öffentlichen WLANs überwachen und überprüfen

Selbst durchdachte Richtlinien weichen mit der Zeit auf, weil Benutzer:innen reisen, Netzwerke sich ändern und neue Ausnahmen hinzukommen. Eine konsequente Überwachung stellt sicher, dass Ihre Schutzmaßnahmen für öffentliche WLANs auf allen verwalteten Endpunkten wirksam und einheitlich bleiben.

Anwendungsfälle:

• Dieser Schritt hilft, Abweichungen in der Konfiguration, unautorisierte Netzwerkverbindungen oder Geräte zu erkennen, die etablierte WLAN-Richtlinien umgehen.
• Er schafft mehr Transparenz über die tatsächliche Nutzung, sodass Administrator:innen Filter, VPN-Regeln oder Firewall-Einstellungen gezielt anpassen können.

Voraussetzungen:

• Sie benötigen eine zentrale Protokollierung oder eine RMM-Plattform, die WLAN-Profile, Firewall-Ereignisse und den VPN-Status nachverfolgen kann.
• Dafür sind Berichtsvorlagen oder Dashboards nötig, die Veränderungen im Netzwerkverhalten über die Zeit sichtbar machen.

Diese Signale sollten Sie im Blick behalten:

• Neue gespeicherte WLAN-Profile auf Endpunkten, die nicht in der Liste der freigegebenen SSIDs stehen.
• Häufige Wechsel in öffentliche Netzwerke oder wiederkehrende Firewall-Alarmierungen, die auf riskante Verbindungen hindeuten.
• Anwendungen, die Listener oder Ports öffnen, während das Profil auf „Öffentlich“ gesetzt ist.

Empfohlener Prüfrhythmus:

• Monatlich: Prüfen Sie alle neuen SSIDs, Verbindungsausnahmen und Firewall-Aktivitäten auf den Endpunkten.
• Vierteljährlich: Führen Sie Stichproben durch, um das VPN-Verhalten, die Firewall-Compliance und die Durchsetzung der Einstellungen für öffentliche Netzwerke zu überprüfen.

Darauf sollten Sie achten

So setzt NinjaOne die Sicherheit in öffentlichen WLANs auf verwalteten Endpunkten durch und überwacht sie

Mit den Automatisierungs-, Skripting- und Berichtsfunktionen von NinjaOne können MSPs Richtlinien für die Sicherheit in öffentlichen WLANs auf allen Endpunkten einfacher durchsetzen und überwachen.

Richtlinienbereitstellung

Mit NinjaOne-Skripten und -Automatisierungen können Sie SSID-Filter ausrollen, freigegebene WLAN-Profile vorab bereitstellen und Firewall-Einstellungen für das Profil „Öffentlich“ anwenden. Das sorgt für einheitliche Konfigurationen auf allen verwalteten Endpunkten.

Erkennung und Alarmierung

NinjaOne kann über benutzerdefinierte Skripte und Überwachungsbedingungen Endpunkte identifizieren, die neue WLAN-Profile speichern oder ihre Netzwerkkategorie ändern. Diese Alarmierungen helfen, unerwartete Netzwerkaktivitäten oder Hinweise auf Konfigurationsabweichungen zu erkennen.

Umgang mit Ausnahmen

NinjaOne kann per Ticket-Automatisierung temporäre Zugriffsanfragen nachverfolgen und zeitbasierte Aktionen für die Bearbeitung von Ausnahmen auslösen.

Berichterstattung

NinjaOne kann mit benutzerdefinierten Skripten, Feldern und Berichten Transparenz über die Einhaltung der SSID-Richtlinien, den VPN-Status und die Firewall-Konfiguration auf allen verwalteten Endpunkten schaffen. Diese Berichte helfen, die Abdeckung der Endpunkte und den allgemeinen Stand der WLAN-Sicherheit einzuschätzen.

Mehr Sicherheit in öffentlichen WLANs auf allen verwalteten Endpunkten

Benutzer:innen werden auf Reisen oder im Homeoffice weiterhin öffentliche WLANs nutzen. Sie müssen die Risiken kennen und Schutzmaßnahmen umsetzen, die die Angriffsfläche verringern, ohne die Produktivität einzuschränken.

Setzen Sie auf ein mehrschichtiges Sicherheitskonzept. Erzwingen Sie SSID-Zulassungslisten und priorisieren Sie vertrauenswürdige Netzwerkprofile. Härten Sie die Netzwerkeinstellungen und schreiben Sie VPN- oder HTTPS-Verbindungen vor.

Kombinieren Sie diese Maßnahmen mit Schulungen und regelmäßiger Überwachung. So schützen Sie Endpunkte in nicht vertrauenswürdigen Netzwerken.

Verwandte Themen:

• IT-Sicherheits-Checkliste zum Schutz Ihres Unternehmens
• So entwickeln IT-Abteilungen eine moderne Cybersicherheitsstrategie
• So stellen Sie WLAN-Profile mit PowerShell für alle Benutzer:innen bereit
• So zeigen Sie eine Liste der Drahtlosnetzwerkprofile in Windows 11 an
• So aktivieren oder deaktivieren Sie WLAN in Windows 11