Was ist ein Rogue Access Point?

Rogue Access Point einfach erklärt

Ein Access Point, auf Deutsch Zugangspunkt, ist das Gerät, das ein WLAN aussendet und Laptops oder Smartphones mit dem kabelgebundenen Netz verbindet. In Unternehmen plant und verwaltet die IT-Abteilung diese Geräte zentral. Sie legt fest, wer sich wie anmelden darf und welche Bereiche des Netzes erreichbar sind. „Rogue“ bedeutet so viel wie „abtrünnig“ oder „unkontrolliert“: Ein Rogue Access Point ist ein Zugangspunkt, den niemand genehmigt hat und den die IT nicht kennt.

Ein Vergleich aus dem Alltag: Ihr Firmengebäude hat einen Haupteingang mit Empfang und Ausweiskontrolle. Nun baut jemand eigenmächtig eine zusätzliche Tür in die Außenwand – aus Bequemlichkeit oder mit böser Absicht. Der Haupteingang bleibt sicher, doch durch die neue Tür gelangt man unbemerkt hinein. Genau diese Rolle spielt ein Rogue Access Point für Ihr Netzwerk.

Nicht jeder Rogue Access Point stammt von Angreifern. Häufig schließen Mitarbeitende einen eigenen Router an, weil das Firmen-WLAN in einem Raum schwach ist. Das ist gut gemeint, aber genauso riskant.

So funktioniert ein Rogue Access Point

1. Anschluss ans Netz: Ein kleiner Router oder Access Point wird an eine freie Netzwerkdose oder direkt an einen Switch, also einen Netzwerkverteiler, angeschlossen – im Besprechungsraum, unter einem Schreibtisch oder hinter einem Drucker.
2. Eigenes Funknetz: Das Gerät sendet ein eigenes WLAN aus, oft unverschlüsselt oder mit einem einfachen Passwort.
3. Direkter Zugang: Wer sich damit verbindet, landet unmittelbar im internen Netz – ohne die Anmeldung, die das offizielle Firmen-WLAN verlangt, und ohne die Firewall, die als digitaler Türsteher etwa das Gäste-WLAN vom Firmennetz trennt.
4. Zugriff aus der Ferne: Funk endet nicht an der Bürowand. Ein Angreifer kann vom Parkplatz oder aus dem Nachbargebäude aus Server, Dateifreigaben und andere Systeme angreifen.

Auch ein Laptop, der per Kabel im Firmennetz hängt und gleichzeitig einen WLAN-Hotspot aufspannt, kann ungewollt zu einer solchen Brücke werden.

Verwandt, aber nicht identisch ist der Evil Twin: Dabei ahmt ein gefälschter Zugangspunkt den Namen Ihres echten WLANs nach, um Geräte anzulocken und Passwörter abzugreifen. Ein Rogue Access Point öffnet dagegen einen echten Zugang in Ihr internes Netz.

Ein Beispiel aus der Praxis

In einer Steuerberatungskanzlei ist der WLAN-Empfang im hinteren Besprechungsraum schlecht. Ein Mitarbeiter bringt kurzerhand seinen alten Router von zu Hause mit und steckt ihn in die Netzwerkdose. Das Passwort des neuen Funknetzes steht bald auf einem Zettel am Whiteboard.

Bei einem WLAN-Penetrationstest fällt das unbekannte Netz sofort auf. Das Prüfteam verbindet sich vom Parkplatz aus und erreicht den Dateiserver mit den Mandantenakten – keine Firewall liegt dazwischen. Die Kanzlei entfernt den Router, verbessert die Abdeckung des offiziellen WLANs und schaltet ungenutzte Netzwerkdosen ab.

Warum ist das für Unternehmen wichtig?

Ein Rogue Access Point umgeht mit einem Schlag vieles, was Sie in die Sicherheit Ihres WLANs investiert haben: Verschlüsselung und Anmeldeverfahren des offiziellen Funknetzes greifen nicht mehr. Angreifer brauchen oft weder die Zugangsdaten Ihres Firmennetzes noch Zutritt zu Ihrem Gebäude. Wie weit sie von dort aus kommen, hängt davon ab, wie konsequent Ihr Netz in getrennte Bereiche aufgeteilt ist – Fachleute sprechen von Segmentierung.

Die Folgen reichen vom Mitlesen des Datenverkehrs über den Diebstahl vertraulicher Daten bis zum Einstieg für Erpressungsangriffe mit Ransomware. Sind personenbezogene Daten betroffen, kann daraus eine nach der DSGVO meldepflichtige Datenschutzverletzung werden. Wer Kartenzahlungsdaten verarbeitet, muss zudem nach PCI DSS 4.0.1, dem Sicherheitsstandard der Kartenzahlungsbranche, mindestens alle drei Monate nach nicht autorisierten Zugangspunkten suchen.

So schützen Sie sich

• Klare Regeln: Legen Sie fest, dass nur die IT-Abteilung Netzwerkgeräte anschließen darf, und erklären Sie Ihrem Team, warum.
• Netzwerkzugangskontrolle: Mit dem Standard IEEE 802.1X müssen sich Geräte an der Netzwerkdose anmelden, bevor sie Zugang erhalten – unbekannte Geräte bleiben draußen.
• Ungenutzte Netzwerkdosen deaktivieren: Was nicht gebraucht wird, sollte am Switch abgeschaltet sein.
• Funküberwachung: Ein Wireless Intrusion Prevention System (WIPS) überwacht den Funkraum laufend und meldet unbekannte Zugangspunkte.
• Regelmäßige Funkscans: Gleichen Sie gefundene WLANs mit der Liste Ihrer genehmigten Access Points ab – auch an Nebenstandorten.
• Gute Abdeckung: Ein flächendeckendes Firmen-WLAN nimmt Mitarbeitenden den Grund, eigene Router mitzubringen.

Wie Rootsektor unterstützt

Bei einem WLAN-Penetrationstest suchen wir vor Ort gezielt nach nicht autorisierten Access Points und Hotspots, gleichen sie mit Ihrem kabelgebundenen Netz ab und prüfen, ob aus einem Funkzugang ein Zugriff auf Ihre internen Systeme wird. Sie erhalten konkrete Maßnahmenempfehlungen und nach Abschluss eine Prüfbescheinigung. Ein Festpreisangebot nach dem Scoping können Sie über unser Pentest-Angebot anfordern.