Gastnetz mit Hintertür: Warum Besprechungsräume zur offenen Flanke der Firmen-IT werden

Wer an IT-Sicherheit denkt, hat selten den Besprechungsraum vor Augen. Dabei steht dort oft mehr vernetzte Technik als am Schreibtisch: ein Buchungsterminal neben der Tür, ein Smartboard an der Wand, eine Deckenkamera für Hybrid-Meetings, dazu ein Konferenztelefon mit eigenen Zugangsdaten. Vier Geräte, vier Firmware-Stände, vier Cloud-Konten – und in vielen Häusern niemand, der sich zuständig fühlt.

Der Grund ist strukturell und hat wenig mit Nachlässigkeit im Einzelfall zu tun. Meeting-Hardware wird anders behandelt als die übrige IT, und genau daraus entsteht die Lücke.

Warum Besprechungsräume selten jemandem gehören

Raumtechnik wird beschafft wie ein Möbelstück. Sie soll funktionieren, ins Budget passen und im Alltag nicht auffallen. Anders als Server oder Notebooks taucht sie anschließend in keinem Patch-Reporting auf – häufig schon deshalb nicht, weil sie gar nicht Mitglied der Domäne ist. Sie hängt im Gastnetz, weil das die schnellste Lösung war, als die Netzwerkdose gesetzt wurde. Der Fachbereich hat den Nutzen gekauft, die IT hat die Verantwortung nie formal übernommen, und der Hersteller verwaltet das Gerät bequem über seine eigene Cloud.

Damit sind zunächst alle zufrieden. Offen bleibt nur eine Frage: Wer patcht eigentlich?

Drei Setups, die in vielen Häusern so stehen

Das Buchungsterminal. Ein Android-Gerät an der Tür, eingerichtet vom Systemhaus im Rahmen eines größeren Projekts. Die Weboberfläche ist im Gastnetz erreichbar, das Administratorkennwort entspricht dem Auslieferungszustand, und seit der Inbetriebnahme wurde keine Firmware aktualisiert. Das Gerät kennt die Kalenderdaten der Geschäftsleitung, weil es sie anzeigen soll.

Das Smartboard. Die Verwaltung läuft über ein Herstellerkonto. Dieses Konto ist auf die geschäftliche E-Mail-Adresse eines Mitarbeiters registriert, der das Unternehmen vor zwei Jahren verlassen hat. Whiteboard-Inhalte werden automatisch in einen Cloud-Ordner gespiegelt, für den eine Linkfreigabe aktiv ist – eingerichtet als Erleichterung für den Vertrieb, nie überprüft.

Die Deckenkamera. Sie meldet sich für Fernwartung und Firmware-Updates nach außen und ist gleichzeitig aus dem internen Netz erreichbar, weil zwischen Gast- und Firmennetz eine Firewall-Regel steht, die im Projekt „vorübergehend“ weit geöffnet wurde.

Keines dieser drei Szenarien setzt Böswilligkeit voraus. Es sind die normalen Folgen einer Beschaffung ohne Betriebskonzept.

Wie aus dem Gastnetz ein Sprungbrett wird

Für einen Angriff braucht es keinen Zero-Day. Es genügt eine erreichbare Weboberfläche mit schwachem Kennwort und ein Gerät, das im Netz steht, ohne dass jemand hinsieht. Interessant sind dabei weniger die Geräte selbst als das, was sie mitbringen:

• Zugangsdaten im Klartext. Viele Geräte speichern einen Bind-Account für das Verzeichnis oder einen WLAN-Schlüssel lokal.
• Inhalte mit Aussagekraft. Screenshots vom Whiteboard, Kalenderdaten, Teilnehmerlisten. Wer weiß, wer sich wann mit wem trifft, kennt die halbe Unternehmensstrategie.
• Ein Standbein im Netz. Ist das Gastnetz nur lose vom Produktivnetz getrennt, wird das Terminal zum Ausgangspunkt für weitere Schritte.
• Die umgekehrte Richtung. Besucher im Gäste-WLAN sehen Geräte, die dort nichts zu suchen haben – und manche probieren es aus.

Der eigentliche Schaden entsteht meist nicht durch Erpressung, sondern durch Information: Wettbewerbsdaten aus einer Präsentation, Personaldaten aus einer Teilnehmerliste, ein Muster von Terminen, das Rückschlüsse erlaubt.

Was bereits auf dem Beschaffungsformular entschieden wird

Die wirksamsten Maßnahmen kosten kein Geld, sondern Konsequenz im Einkauf. Eine Checkliste, die sich in der Praxis bewährt hat:

1. Schriftliche Zusage des Herstellers zu Update-Versorgung und Support-Ende, inklusive konkretem Datum.
2. Lokaler Administrationszugang, der ohne Hersteller-Cloud funktioniert.
3. Möglichkeit, Mikrofon und Kamera per Hardware zu deaktivieren.
4. Getrennte Netzwerkschnittstelle beziehungsweise VLAN-Fähigkeit.
5. Signierte Firmware und automatische Updates, abschaltbar nur mit Begründung.
6. Keine Zwangsregistrierung mit privaten Konten; Datenhaltung nachvollziehbar dokumentiert.
7. Eindeutige Zuordnung im Asset-Register – mit Verantwortlichem, nicht nur mit Raumnummer.

Punkt sieben ist der entscheidende. Solange ein Gerät in keinem Verzeichnis steht, existiert es für den Patch-Prozess nicht.

Segmentierung ohne großes Netzwerkprojekt

Es braucht keine neue Firewall, um die Lage zu entspannen. Ein eigenes VLAN für Raumtechnik, drei Regeln und ein fester Wartungszugang reichen in den meisten mittelständischen Netzen aus:

• Ausgehend nur die Endpunkte, die der Hersteller für Updates wirklich benötigt.
• Eingehend aus dem Firmennetz ausnahmslos nichts.
• Verwaltung ausschließlich über einen dedizierten Administrationsrechner.
• Eigenes WLAN-Kennwort für Raumtechnik, nicht identisch mit dem Gästenetz.

Wer diesen Aufwand scheut, sollte ihn gegen die Kosten eines Vorfalls abwägen: Ein einziger ungeplanter Tag Stillstand im Vertrieb kostet in der Regel mehr als die Umkonfiguration von zwanzig Ports.

Ein Fünftageplan für den Bestand

Tag 1: Inventar. Jedes Gerät mit Raum, Seriennummer, Firmware-Stand, Cloud-Konto und Ansprechpartner erfassen. Tag 2: Standardkennwörter ersetzen, Firmware aktualisieren, nicht mehr gepflegte Geräte abschalten. Tag 3: Cloud-Konten prüfen, Freigaben schließen, Konten ausgeschiedener Mitarbeiter lösen. Tag 4: Netztrennung umsetzen, Firewall-Regeln dokumentieren. Tag 5: Verantwortlichkeit festlegen und die Beschaffungscheckliste als verbindliches Dokument hinterlegen.

Fazit

Meeting-Hardware ist unspektakulär, und genau das macht sie gefährlich. Sie steht in Räumen, in denen offen gesprochen wird, sie kennt Termine und Inhalte, und sie wird fast nie als Teil der Unternehmens-IT behandelt. Wer in diesem Jahr nur eine Maßnahme umsetzt, sollte die Frage beantworten, wer diese Geräte patcht – und die Antwort schriftlich festhalten.