Fragen
Was Admins vor der Entscheidung wissen wollen.
Antworten auf das, was in Foren und Anfragen immer wieder auftaucht. Wo etwas noch nicht abschließend geklärt ist, steht das hier ausdrücklich, statt einer glatten Antwort.
Grundlagen
Was das Portal ist und was es nicht ist.
Was ist ein externer Portal-Server?
UniFi kennt für Gästenetze einen Authentifizierungstyp, bei dem die Portalseite nicht vom Controller kommt, sondern von einer hinterlegten Adresse. Tritt ein Gerät dem Gäste-WLAN bei, wird es dorthin geleitet. Nach der Anmeldung meldet das Portal die Autorisierung an dieUniFi Network Application zurück.
Reicht nicht einfach Freifunk?
Für viele Häuser ja. Freifunk kostet monatlich nichts und kommt ohne Anmeldeseite aus, was die Gemeinschaften ausdrücklich als Vorteil nennen. Die Entscheidung hängt an einer einzigen Frage: Soll der Gast beim Verbinden etwas sehen, das zu diesem Haus gehört, und soll dabei etwas gelten, das dieses Haus festgelegt hat?
Warum nicht einfach das eingebaute Gastportal nehmen?
Oft ist das die richtige Antwort. Das mitgelieferte Portal lässt Logo, Farbschema, Überschrift, Willkommenstext und die Beschriftung der Schaltfläche einstellen, erlaubt einen eigenen Text für die Nutzungsbedingungen und kennt Voucher. Für einen Standort mit einem Auftritt und einem einfachen Zugangsweg reicht das.
Ein externer Portal-Server lohnt sich, wenn mehrere Standorte unterschiedlich aussehen sollen, wenn vor dem Zugang ein Formular oder eine Bestätigung von Kontaktdaten stehen soll, oder wenn Berichte getrennte Sichten für Kunde und Betrieb brauchen.
Läuft Immernetz auch mit anderen WLAN-Herstellern?
Immernetz setzt auf dem externen Portal-Server auf, denUniFi vorsieht, und läuft heute dort.Cisco Meraki ist in Arbeit.
Muss ich mein Netzwerk umbauen?
Nein. Im Controller wird der Authentifizierungstyp umgestellt und die Portaladresse hinterlegt. VLANs, SSIDs und Access Points bleiben, wie sie sind.
Ein offenes WLAN. Ist das nicht unsicher?
Offen heißt: Die Funkstrecke zwischen Gerät und Access Point ist nicht verschlüsselt. Das Netz läuft üblicherweise so, damit die Umleitung auf die Portalseite überhaupt greift. Für die Inhalte spielt es heute eine kleinere Rolle als früher, weil praktisch jede Seite über HTTPS läuft und damit zwischen Gerät und Ziel verschlüsselt bleibt, unabhängig vom Funk.
Was der offene Funk nicht leistet, leisten zwei andere Einstellungen: die Trennung des Gästenetzes von den übrigen Netzen des Hauses und die Isolation der Geräte untereinander. Beide gehören ins Netzwerk und nicht ins Portal.
Der Zugangsweg über ein gemeinsames Passwort ändert daran nichts: Dieses Passwort wird auf der Portalseite eingegeben und verschlüsselt den Funk nicht.
Sehen sich unsere Gäste im WLAN untereinander?
Das entscheidet Ihr Netzwerk, nicht das Portal. InUniFi sind es zwei getrennte Einstellungen: Ein Netz vom Gastnetz-Typ sperrt für seine Geräte die privaten Adressbereiche, also den Weg in die übrigen Netze des Hauses. Dass zwei Gästegeräte einander nicht sehen, ist davon unabhängig und muss eigens gesetzt werden. Wer beides will, setzt beides.
Wir betreiben schon ein Gästeportal. Wie aufwendig ist der Wechsel?
Der Wechsel selbst ist dieselbe Einstellung am Gäste-WLAN, mit der ein Portal überhaupt gewählt wird. Die Arbeit liegt davor: Portaladresse und Walled Garden, Portaltexte, Zugangsweg und Vorgaben. Umgeschaltet wird zu einer Zeit mit wenig Betrieb, und die Einstellung lässt sich zurückstellen. Der Umstieg ist ausführlich beschrieben.
Was passiert, wenn euer Portal nicht erreichbar ist?
Neue Gäste kommen dann nicht durch die Anmeldung. Bereits erteilte Freigaben laufen weiter, weil sie in der Netzwerkanwendung und am Access Point liegen und nicht im Portal. Der Datenverkehr der Gäste nimmt ohnehin nicht den Weg über die Portalseite. Welcher Baustein wofür gebraucht wird, steht unterwas ausfällt, wenn etwas ausfällt.
Lohnt sich ein Portal noch, wenn Passpoint kommt?
Passpoint undOpenRoaming ersetzen das Captive Portal nicht, sie laufen daneben. Ein Netz, in dem sich Geräte mit hinterlegten Zugangsdaten selbst anmelden, ist technisch ein anderes als eines, das eine Portalseite zeigt. Der erste Kontakt bleibt deshalb beim Portal.
Wenn etwas nicht funktioniert
Ich finde die Einstellung im Controller nicht.
Der Authentifizierungstyp heißt in allen Fassungen gleich, liegt in der Oberfläche aber nicht immer an derselben Stelle. Anleitungen aus dem Netz beschreiben häufig ältere Fassungen der Netzwerkanwendung, wer den Punkt nicht findet, sucht meist nicht falsch, sondern nach der Beschreibung einer anderen Fassung.
Was muss vor der Anmeldung erreichbar sein?
Alles, was die Portalseite zum Laden braucht: der Name des Portals und die IP-Adresse dahinter, sämtliche von dort nachgeladenen Schriften, Bilder, Skripte und Stylesheets sowie eine funktionierende Namensauflösung. Fehlt eine Freigabe im Walled Garden, lädt die Seite unvollständig, und der Fehler sieht aus wie ein Netzproblem, obwohl er eine Freigabeliste ist.
Die Portalseite bleibt leer. Woran liegt das meistens?
An der Freigabeliste, und zwar an einem von drei Punkten: Der Name des Portals, die IP-Adresse dahinter oder eine von dort nachgeladene Ressource fehlt im Walled Garden; die Ports des Gastportals sind aus dem Gastnetz nicht erreichbar, in UniFi-Netzen üblicherweise TCP 8880 und 8843; oder die Namensauflösung funktioniert nicht.
Braucht die Portalseite ein gültiges Zertifikat?
Wird eine Seite über HTTPS ausgeliefert, muss das Zertifikat öffentlich gültig sein und zu der Adresse passen, die aufgerufen wird. Andernfalls sieht der Gast zuerst eine Zertifikatswarnung, und zwar bevor er irgendetwas anderes sieht.
Bei Immernetz ist das erledigt: Die Portalseite kommt über HTTPS unter einer eigenen Domain, das Zertifikat ist öffentlich gültig, und die Erneuerung gehört zum Betrieb.
Warum öffnet sich das Portal auf manchen iPhones nicht?
Endgeräte suchen selbstständig nach einem Portal, und sie tun das unterschiedlich. Bei Auslieferung über HTTPS mit gültigem Zertifikat bleibt das Anmeldefenster auf Apple-Geräten in manchen Konstellationen aus: Das Gerät wirkt verbunden, die Weiterleitung erscheint erst beim Aufruf einer unverschlüsselten Adresse. Das Verhalten hängt von Betriebssystemversion und Netzkonfiguration ab.
Warum muss sich derselbe Gast immer wieder neu anmelden?
Die Autorisierung hängt an der MAC-Adresse des Endgeräts. Aktuelle Mobilbetriebssysteme vergeben dafür standardmäßig eine zufällige Adresse je Netzwerk. Ändert sie sich, ist das Gerät für das Netz ein neues und die frühere Freigabe gilt nicht mehr.
Wann sie sich ändert, hängt an der Sicherung des Netzes. Apple stellt die Adresse bei schwach oder gar nicht gesicherten Netzen standardmäßig auf Rotieren, und dann wechselt sie alle zwei Wochen. Offene Gästenetze fallen darunter. Bei einem Aufenthalt über Monate hilft deshalb keine noch so lange Zugangsdauer.
Das Portal ist aus dem Gastnetz nicht erreichbar.
Eine vollständige Freigabeliste hilft nichts, wenn zwischen Gastnetz und Portal-Host kein Weg besteht. Liegt der Host in einem anderen Netzsegment und ist die Weiterleitung zwischen den Segmenten unterbunden, erreicht das Gerät die Portaladresse nicht. Der Walled Garden entscheidet, was erlaubt ist, nicht, was erreichbar ist. Beides muss stimmen.
Der Gast stimmt zu, die Seite lädt neu, und nichts passiert.
Dann wurde die Seite ausgeliefert, aber die Autorisierung kam nicht durch. Die Portalseite selbst ist erreichbar, der Weg vom Portal zur Netzwerkanwendung dagegen nicht, oder die Freigabe wird dort nicht angenommen. Das ist ein anderer Fehler als eine leere Portalseite und wird an einer anderen Stelle gesucht.
Anschluss und Leitung
Am Standort gibt es gar kein brauchbares Internet. Hilft ein Portal?
Nein. Das Portal ist der letzte Meter, es verteilt keine Bandbreite, die nicht ankommt. Dafür gibt es die zweite Hälfte unserer Arbeit: Beratung und Beschaffung für Glasfaser, DSL und Satellit, gerade an Orten, an denen die Standardantwort nicht greift.
Unser WLAN reicht nicht bis zum letzten Stellplatz.
Das entscheidet die Ausleuchtung des Geländes, nicht die Portalseite. Eine Untersuchung von Verivox unter den fünfzig beliebtesten deutschen Campingplätzen fand, dass kostenloses WLAN dort verbreitet ist, bei einem Teil der Plätze aber an der Rezeption endet. Wer die Fläche abdecken will, löst das vor dem Portal.
Konfiguration
Können wir bestimmte Inhalte sperren?
Das ist Netzwerkarbeit und keine Einstellung am Portal. Ein Gästeportal entscheidet, wer hereinkommt, nicht was danach erreichbar ist. Wer filtern will, richtet das im Netz ein, und ein externes Portal bringt diese Möglichkeit nicht mit.
Eine allgemeine Pflicht zu filtern gibt es nicht. Ein Anspruch auf Sperrung kann entstehen, wenn über den Anschluss geistiges Eigentum verletzt wurde; er muss zumutbar und verhältnismäßig sein.
Häufiger als eine Pflicht ist der eigene Grund: ein Wartezimmer, ein Haus mit Familien, eine Einrichtung mit Jugendlichen. Das ist eine Entscheidung des Hauses und keine des Portalanbieters.
Welche Zugangswege gibt es?
Zustimmung zu den Nutzungsbedingungen, Passwort oder Voucher. Welcher Weg an einem Standort gilt, wird dort festgelegt.
Kann jeder Standort anders aussehen?
Ja. Gestaltung, Portaltexte und Nutzungsbedingungen werden je Standort hinterlegt. Zwei Häuser desselben Betriebs können damit unterschiedlich auftreten.
Lassen sich Zeit, Datenvolumen und Bandbreite begrenzen?
Ja, als Zugangsvorgaben. Sie gehören zum Basic-Umfang.
Brauchen wir eine eigene Domain für die Portalseite?
Nein, sie bringt eine mit. Die Portalseite kommt über HTTPS unter einer eigenen Domain, das Zertifikat ist öffentlich gültig, und die Erneuerung gehört zum Betrieb. Damit entfällt der Fall, in dem ein Gast als Erstes eine Sicherheitswarnung sieht, weil die Seite über eine IP-Adresse ausgeliefert wird.
Wie lange gilt ein Zugang?
So lange, wie es am Standort hinterlegt ist. Die Zugangsdauer ist eine Vorgabe neben Datenvolumen und Bandbreite, kein fester Wert. Wird sie kürzer gesetzt als der Aufenthalt dauert, entstehen die Wiederanmeldungen, über die Gäste sich beschweren.
Liefert ihr die Nutzungsbedingungen mit?
Nein. Was der Gast liest, kommt von Ihnen oder von Ihrer rechtlichen Beratung und wird je Standort hinterlegt. Es gibt keine Vorlage, die Sie erst wieder loswerden müssen, und für Dienstleister heißt das, dass jeder Kunde seine eigenen Bedingungen mitbringen kann.
Welche Berichte gibt es?
Berichte zu Portal und Gästen. Die Kundensicht ist dabei vom vollständigen Betriebsblick getrennt: Wer einen Standort betreibt, sieht seinen Standort, wer alle betreibt, sieht alle.
Was solche Zahlen nicht leisten: Gezählt werden Anmeldungen von Geräten, nicht Besucher. Für den Vergleich über die Zeit taugen sie, als absolute Besucherzahl nicht.
Für Dienstleister
Können wir Standorte für mehrere Kunden betreiben?
Ja. Mehrmandanten- und Mehrstandortbetrieb ist vorgesehen, einschließlich eines Modells dafür, wer welche Angaben sieht.
Das Portal lässt sich zudem unter Ihrer Marke betreiben. Für Ihren Kunden ist der Gästezugang damit Teil Ihrer Leistung.
Offen bleibt, wie weit das reicht, ob neben dem Gästeportal auch Verwaltungsoberfläche und Belege Ihre Marke tragen, über welche Oberfläche mehrere Kundenumgebungen bedient werden, welche Rollen es gibt und ob es Obergrenzen je Konto gibt.
Sieht eine Filiale die Zahlen der anderen?
Nein. Die Berichte trennen zwischen der Kundensicht und dem vollständigen Betriebsblick. Jede Filiale sieht ihre eigenen Zahlen, den Überblick über alle Standorte sieht nur, wer sie verantwortet.
Vertrag und Datenschutz
Hafte ich für das, was Gäste in unserem WLAN tun?
Die Haftung, die früher unter dem Wort Störerhaftung lief, trifft WLAN-Betreiber nach heutigem Recht nicht mehr. Der Rahmen steht in § 7 DDG und gilt für jeden, der einen Zugang bereitstellt.
Haftungsfrei heißt allerdings nicht anspruchsfrei: Ein Anspruch auf Sperrung bleibt möglich, wenn über den Anschluss geistiges Eigentum verletzt wurde. Das hier ist keine Rechtsberatung.
Ist ein Gäste-WLAN mit UniFi DSGVO-konform?
Konformität ist keine Eigenschaft eines Produkts, sondern eine Eigenschaft des Betriebs. Sie liegt beim Betreiber des Standorts. Kein Anbieter liefert sie mit, und wer sie verspricht, verspricht etwas, das er nicht halten kann.
Vor dem Kauf klären lassen sich zwei getrennte Ebenen. Die eine ist das Portal: welcher Zugangsweg gewählt wird und ob der Gast dabei überhaupt Angaben zur Person macht. Die andere ist die Netzwerkanwendung selbst. Sie ist die Installation des Betreibers, sie protokolliert, was dort eingestellt ist, und daran ändert ein externes Portal nichts.
In Foren werden beide Ebenen häufig zu einer gemacht. Ein Anbieter wird ausgesucht in der Erwartung, dass er eine Frage löst, die im eigenen Controller sitzt. Das tut er nicht.
Wer wenig Daten will, fängt beim Zugangsweg an: Zustimmung und Voucher verlangen vom Gast keine Angaben zur Person, Registrierung schon.
Muss die Anmeldeseite barrierefrei sein?
Das hängt zuerst daran, wer einkauft. Private Betriebe fallen unter das Barrierefreiheitsstärkungsgesetz, das seit dem 28. Juni 2025 gilt und für Dienstleistungen eine Ausnahme für Kleinstunternehmen kennt. Öffentliche Stellen fallen nicht darunter; für sie gilt die BITV 2.0 oder das jeweilige Landesrecht.
Ob eine Portal-Anmeldeseite zu den erfassten Dienstleistungen zählt, ist damit noch nicht beantwortet. Wir behaupten dazu nichts.
Brauchen wir eine Vereinbarung zur Auftragsverarbeitung?
Wenn ein Dienstleister personenbezogene Daten im Auftrag und auf Weisung verarbeitet, verlangt Art. 28 DSGVO eine solche Vereinbarung. Für Immernetz gibt es eine, angefordert wird sie per E-Mail.
Verantwortlich für die Daten bleibt dabei der Betreiber des Standorts. Das nimmt ihm keine Vereinbarung ab, und niemand sollte behaupten, dass sie es täte.
Wo läuft das Portal?
In einem nach ISO/IEC 27001 zertifizierten Rechenzentrum. Die Zertifizierung betrifft das Informationssicherheits-Managementsystem des Rechenzentrums, nicht Immernetz als Unternehmen. Für die technischen und organisatorischen Maßnahmen, die eine Auftragsverarbeitung dokumentieren muss, ist sie der übliche Nachweis.
Kosten
Was kostet Immernetz?
Immernetz Basic kostet 9 € pro aktivem Standort und Monat. Der Preis bezieht sich auf den Betrieb eines externenUniFi-Portals je Standort.
Warum ist das weniger als bei anderen Anbietern?
Weil der Umfang ein anderer ist. Basic betreibt die Portalseite je Standort; Werkzeuge für Kampagnen und Kundendatenbanken gehören nicht dazu. Dazu kommt, dass Immernetz nur aufUniFi läuft und nicht ein Dutzend Hersteller bedient, und dass es eine Einheit gibt statt einer Staffel. Was andere veröffentlichen, steht mit Datum und Quelle in derMarktübersicht.
Zahle ich für Standorte, die gerade nicht laufen?
Der Preis gilt je aktivem Standort. Standorte lassen sich aktivieren und deaktivieren.
Damit steht auch fest, wie groß ein erster Versuch ist: ein Standort, einen Monat, 9 €. Aktivierung und Deaktivierung gehören zum Basic-Umfang, ein Standort, der wieder abgeschaltet wird, taucht auf keiner weiteren Rechnung auf.
Ihre Frage fehlt
Dann fragen Sie sie.
Eine E-Mail mit dem konkreten Fall, und je konkreter sie ist, desto konkreter fällt die Antwort aus.
Fragen an hi@immernetz.de. Was hineingehört, steht auf der Kontaktseite.