UniFi-Netzwerk planen: Gateway, VLANs und WLAN für KMU
Ein gutes UniFi-Netzwerk beginnt nicht mit der Frage, welches Gateway gerade beliebt ist. Es beginnt mit Grundrissen, Anwendungen, Endgeräten, Ausfallfolgen und einem belastbaren Mengengerüst. Dieser Leitfaden zeigt, wie KMU Gateway, Switching, PoE, VLANs und WLAN als zusammenhängendes System planen. Stand 8. August 2026.
Veröffentlicht am 8. August 2026 · Daniel Gläser
1. Bestandsaufnahme: erst verstehen, dann auswählen
Vor der Produktauswahl wird der Standort aufgenommen. Dazu gehören nicht nur Netzwerkdosen und Serverschrank, sondern auch Internetübergabe, Etagen, Leitungswege, Wand- und Deckenaufbau, vorhandene Glasfaser, Stromkreise, USV, Fremdsysteme und mögliche Erweiterungsflächen. Parallel entsteht eine Geräteliste: Arbeitsplätze, Telefone, Drucker, Server, NAS, Kassen, Maschinen, Kameras, Zutrittsleser, Displays und mobile Geräte.
- Physik: Anzahl, Kategorie und Messzustand der Datenleitungen, Patchfelder, Trassen, Schranktiefe, Kühlung und Stromversorgung.
- Logik: bestehende Subnetze, DHCP- und DNS-Dienste, feste IP-Adressen, Portfreigaben, VPNs, Verzeichnisdienste und Sonderregeln.
- Nutzung: gleichzeitige Nutzer, Spitzenzeiten, große Datenströme, Echtzeit-Anwendungen und Geräte, die nur ältere WLAN-Standards beherrschen.
- Risiko: Welche Unterbrechung ist tolerierbar, welche Systeme müssen auch bei Internet-, Switch- oder Stromausfall weiterlaufen?
- Wachstum: zusätzliche Mitarbeiter, neue Räume, weitere Kameras, VoIP, zweite Internetleitung oder ein zusätzlicher Standort.
Das Ergebnis der Aufnahme
Am Ende steht kein Warenkorb, sondern ein Planungsblatt mit Ports, PoE-Verbrauchern, Bandbreiten, Netzen, Schutzbedarf, Funkflächen, Reserven und Abnahmekriterien. Erst daraus wird die passende Hardwareklasse abgeleitet.
2. Anforderungen in messbare Größen übersetzen
Begriffe wie schnell, sicher oder ausfallsicher sind für eine Planung zu ungenau. Jede Anforderung braucht eine prüfbare Größe und einen geschäftlichen Kontext. Ein Gigabit-Internetzugang sagt zum Beispiel noch nichts darüber aus, ob die Firewall diesen Durchsatz mit aktivierten Sicherheitsfunktionen erreicht oder ob ein langsamer Uplink zwischen zwei Switches zum Engpass wird.
| Geschäftswunsch | Zu klären | Technische Auswirkung |
|---|---|---|
| Schnelle Cloud- und Datei-Zugriffe | Internetprofil, lokale Datenströme, gleichzeitige Nutzer | WAN-Leistung, Firewall-Durchsatz, Uplink- und Client-Port-Geschwindigkeit |
| Stabiles Telefonieren und Videokonferenzen | Anzahl paralleler Gespräche, mobile Nutzung, Latenzempfindlichkeit | WLAN-Kapazität, Roaming, QoS-Prüfung, WAN-Reserve |
| Getrenntes Gäste- und Gerätenetz | Wer darf wohin, welche Dienste müssen erreichbar bleiben? | VLANs, SSIDs, Portprofile, Firewall- und Freigaberegeln |
| Kameras und Zutritt | Anzahl, Aufzeichnungsziel, Bitraten, Strombedarf, Schutzbedarf | PoE-Budget, Switching, Speicher, eigenes Segment, USV-Laufzeit |
| Weiterbetrieb bei Ausfall | Maximal tolerierbare Unterbrechung je Dienst | Ersatzteile, redundante Wege, zweites WAN, USV oder Hochverfügbarkeit |
3. Gateway und Firewall nach Lastfall dimensionieren
Das Gateway verbindet Internet, interne Netze, VPNs und gegebenenfalls mehrere Standorte. Seine Auswahl richtet sich deshalb nicht allein nach der nominellen WAN-Geschwindigkeit. Entscheidend ist der ungünstigste geplante Lastfall mit allen Funktionen, die tatsächlich aktiv sein sollen. Dazu zählen Firewalling, IDS/IPS, VPN-Verschlüsselung, Inter-VLAN-Verkehr, Content-Filter, mehrere WAN-Anschlüsse und die Zahl gleichzeitiger Verbindungen.
- WAN heute und morgen: Vertrag, reale Übergabeart, möglicher zweiter Provider und erwarteter Ausbau innerhalb der Nutzungszeit.
- Sicherheitsprofil: Durchsatz nicht nur im Idealfall, sondern mit den vorgesehenen Prüf- und Filterfunktionen bewerten.
- VPN: Anzahl gleichzeitiger Benutzer und Standorttunnel, eingesetztes Protokoll sowie die benötigte Datenrate erfassen.
- Interne Routen: Verkehr zwischen VLANs kann das Gateway belasten, wenn er nicht auf geeigneten Layer-3-Komponenten geführt wird.
- Betriebsform: UniFi Network läuft typischerweise auf einem Cloud Gateway, kann in geeigneten Architekturen aber auch separat gehostet werden.
Kostenmodell sauber formuliert
Die Kernverwaltung von UniFi Network funktioniert ohne verpflichtende Controller-Lizenz. Optionale Dienste wie Hersteller-Hosting, erweiterte Sicherheitsdienste oder Supportangebote können kostenpflichtig sein. Das ist für die Betriebskosten relevant, ersetzt aber keine technische Dimensionierung.
4. Switching und PoE: Ports allein reichen als Kennzahl nicht
Bei Switches werden vier Budgets parallel geplant: Portanzahl, Portgeschwindigkeit, Uplink-Kapazität und PoE-Leistung. Ein Switch kann genug freie Buchsen besitzen und trotzdem ungeeignet sein, weil die benötigte PoE-Klasse an einzelnen Ports fehlt, das gesamte Leistungsbudget zu klein ist oder mehrere stark belastete Access Points und Server über einen zu schmalen Uplink laufen.
| Budget | Planungsfrage | Typischer Fehler |
|---|---|---|
| Ports | Wie viele aktive Anschlüsse plus definierte Reserve werden je Standort und Etage benötigt? | Nur heutige Endgeräte zählen, Uplinks, Access Points und Reserve vergessen |
| Geschwindigkeit | Welche Clients und Access Points benötigen 1, 2,5, 5 oder 10 Gigabit, welche Uplinks Glasfaser? | Schnelle APs an langsamen Ports oder mehrere Switches an einem knappen Uplink |
| PoE je Port | Welchen IEEE-PoE-Modus verlangt jedes Endgerät? | Gesamtwattzahl passt, aber der einzelne Port liefert nicht die nötige Klasse |
| PoE gesamt | Wie hoch ist die Summe der maximalen Leistungsaufnahme aller versorgten Geräte? | Nur den typischen Verbrauch addieren und Erweiterungen nicht berücksichtigen |
| Ausfallbereich | Welche Dienste fallen aus, wenn genau dieser Switch oder Uplink ausfällt? | Alle kritischen Geräte liegen ohne Ersatzpfad auf einem einzigen Gerät |
PoE wird portweise dokumentiert. Für jeden Access Point, jedes Telefon, jede Kamera und jeden Türcontroller werden Standard, maximale Leistungsaufnahme und vorgesehener Switchport notiert. Eine Reserve für Anlaufzustände, Modellwechsel und spätere Erweiterungen gehört dazu. Passive PoE-Injektoren werden nicht mit ausgehandeltem IEEE-PoE verwechselt und nur dort eingesetzt, wo die Gerätekompatibilität eindeutig belegt ist.
5. VLANs: Zonen nach Funktion und Risiko planen
VLANs teilen die gemeinsame Infrastruktur in virtuelle Netze. Der Nutzen entsteht aber erst durch eine klare Regelmatrix. Ein VLAN-Name allein schützt nichts: Zwischen den Netzen muss definiert sein, welcher Verkehr erlaubt, protokolliert oder blockiert wird. UniFi kann WLANs und Switchports festen VLANs zuweisen; für komplexere Umgebungen sind auch dynamische Zuweisungen möglich.
| Zone | Typische Teilnehmer | Grundregel |
|---|---|---|
| Verwaltung | Gateways, Switches, Access Points, Controller | Nur von festgelegten Administrationsgeräten und Diensten erreichbar |
| Mitarbeiter | Verwaltete PCs und Notebooks | Zugriff auf notwendige Unternehmensdienste, kein pauschaler Zugriff auf Techniknetze |
| Server und Dienste | Server, NAS, Verzeichnis- und Sicherungsdienste | Nur benötigte Ports aus definierten Quellnetzen freigeben |
| Gast | Private Geräte und Besucher | Internet, Client-Isolation und keine internen Ziele |
| IoT und Gebäudetechnik | Displays, Drucker, Sensoren, Steuerungen | Standardmäßig isoliert, gezielte Ausnahmen für Management und erforderliche Cloud-Ziele |
| Protect und Sicherheitstechnik | Kameras, Recorder, Zutritt | Vom normalen Clientnetz getrennt, Administration und Datenflüsse ausdrücklich freigeben |
Segmentierung ohne Regelwerk ist nur Ordnung
Für jede Verbindung zwischen zwei Zonen braucht es einen Zweck, eine verantwortliche Person und eine möglichst enge Freigabe. Temporäre Ausnahmen erhalten ein Ablaufdatum. Sonst wächst die Firewall über Jahre zu einem nicht mehr prüfbaren Regelteppich.
Wenn Kameras Teil des Projekts sind, gehören Aufzeichnung, Berechtigungen und Datenschutz in eine eigene Teilplanung. Der Ratgeber UniFi Protect und DSGVO-konforme Videoüberwachung ordnet diese Punkte ein.
6. WLAN als Funknetz planen, nicht als Zubehör
Die Access-Point-Anzahl wird nicht aus einer pauschalen Quadratmeterzahl abgeleitet. Wände, Decken, Regale, Maschinen, Nachbarnetze, Clienttypen und gleichzeitige Nutzung verändern das Ergebnis. Außerdem muss die Funkzelle zum Kabelweg und zum PoE-Plan passen. Die Antennendiagramme des Herstellers helfen bei der Vorplanung, ersetzen aber keine Messung im realen Gebäude.
- Kapazitätszonen markieren: Besprechungsräume, Schulungsflächen, Wartebereiche und Produktion können mehr AP-Kapazität brauchen als Flure und Lagerräume.
- Montagepositionen nach Antennencharakteristik und Nutzung auswählen, nicht nach der bequemsten freien Wand oder Steckdose.
- SSID-Anzahl klein halten und jede SSID einem Zweck, einem VLAN und einer Sicherheitsvorgabe zuordnen.
- 2,4, 5 und 6 GHz getrennt bewerten, weil Reichweite, Störlage, Kanalangebot und Clientunterstützung verschieden sind.
- Nach der Montage Funkabdeckung, Störungen, Auslastung, Durchsatz, Latenz und Roaming mit repräsentativen Endgeräten prüfen.
Die vollständige Funkplanung mit Materialbewertung, Kanalplan, Site Survey und Abnahme beschreibt der Ratgeber UniFi-WLAN richtig planen: Ausleuchtung, Kanäle und Roaming.
7. Reserve und Redundanz gezielt statt pauschal einbauen
Reserve bedeutet Kapazität für bekannte Veränderungen. Redundanz bedeutet einen alternativen Betriebsweg bei einem Fehler. Beides kostet Geld und sollte an der Ausfallfolge ausgerichtet werden. Ein zweites Gateway hilft wenig, wenn beide Internetleitungen am selben Hausübergabepunkt enden oder der einzige Switch und die einzige USV gemeinsame Fehlerquellen bleiben.
- Freie Ports, PoE-Leistung, Rackplatz, Strom- und Uplink-Kapazität für den realistischen Ausbau vorsehen.
- Für kritische Standorte zwei unabhängige WAN-Wege prüfen, inklusive Leitungsführung, Providertechnik und automatischem Failover-Test.
- Konfigurationssicherungen, dokumentierte Wiederanlaufverfahren und verfügbare Ersatzgeräte sind oft wirtschaftlicher als vollständige Doppelung.
- USV-Laufzeit auf das Gesamtsystem aus Gateway, Switches, Controller, Modem und kritischen PoE-Verbrauchern berechnen.
- Hochverfügbarkeitsfunktionen wie Shadow Mode nur einplanen, wenn Modellunterstützung, Verkabelung, Testverfahren und Betriebszuständigkeit geklärt sind.
8. Dokumentation und Rollout sind Teil der Architektur
Vor der Umschaltung werden Soll-Zustand, Abhängigkeiten und Rückfallweg dokumentiert. Ein kleines Netz braucht keine hundertseitige Betriebsmappe, aber ohne Portplan, IP-Plan und Zugangskonzept wird bereits der erste Gerätetausch unnötig riskant.
- Netzplan mit Geräten, Uplinks, Leitungskennungen, WAN-Übergaben und Stromversorgung.
- VLAN-, Subnetz-, DHCP-, DNS- und SSID-Plan samt Firewall-Regelmatrix.
- Switchport-Liste mit Profil, Geschwindigkeit, PoE-Modus und angeschlossenem Gerät.
- Administrationskonzept mit persönlichen Konten, Rollen, Mehrfaktor-Authentisierung und sicher verwahrten Wiederherstellungsdaten.
- Abnahmeprotokoll für Internet, interne Dienste, VPN, WLAN, Gästezugang, Telefonie und geplante Ausfallszenarien.
- Änderungs- und Rückfallplan für die Migration, möglichst in überprüfbaren Etappen statt als ungeteilter Big Bang.
9. Betrieb: Das Netz bleibt ein lebendes System
Nach der Inbetriebnahme verändern neue Endgeräte, Nachbarnetze, Firmwarestände und Anwendungen die Ausgangslage. Deshalb gehören gesicherte Konfigurationen, gestaffelte Updates, Alarmierung, Kapazitätsbeobachtung und regelmäßige Wiederherstellungstests zum Betrieb. Änderungen an VLANs oder Firewallregeln werden wie kleine Projekte behandelt: Zweck festhalten, testen, dokumentieren und bei Bedarf zurückrollen.
Eine grundsätzliche Einordnung des Systems finden Sie in UniFi im Unternehmen: Stärken, Grenzen und Kostenmodell. Wer das Lizenz- und Supportmodell mit einer Enterprise-Cloud-Lösung vergleichen möchte, kann zusätzlich den Vergleich UniFi gegen Cisco Meraki lesen. Planung, Umsetzung und laufende Betreuung bündele ich als UniFi-Netzwerke für Unternehmen.
Quellen
- Ubiquiti Help Center: Introduction to UniFi
- Ubiquiti Help Center: Creating Virtual Networks (VLANs)
- Ubiquiti Help Center: PoE Availability and Modes
- Ubiquiti Help Center: UniFi Switch Settings
- Ubiquiti Help Center: An Overview of High Availability in UniFi
- Ubiquiti Help Center: AP Antenna Radiation Patterns
Dieser Beitrag ist eine sorgfältig recherchierte Orientierung, keine Rechts- oder Steuerberatung. Für verbindliche Auskünfte wenden Sie sich an Ihren Steuerberater oder Rechtsanwalt.
Häufige Fragen
Welche UniFi-Komponenten braucht ein KMU mindestens?+
Das hängt von der Architektur ab. Typisch sind ein Gateway oder eine andere Firewall, verwaltete Switches, passend platzierte Access Points und ein UniFi-Host für die Network-Anwendung. Anzahl und Leistung ergeben sich aus WAN, Ports, PoE, VLANs, Funkkapazität und Ausfallanforderungen, nicht aus einer pauschalen Mitarbeiterzahl.
Wie viel Reserve sollte ein Switch haben?+
Es gibt keinen sinnvollen Einheitswert. Geplant werden separate Reserven für Ports, PoE-Gesamtleistung, PoE-Klasse je Port, Uplinks und Rack-Strom. Grundlage sind bekannte Erweiterungen und die erwartete Nutzungszeit; die maximalen Leistungsdaten der Endgeräte werden gegen das konkrete Switch-Datenblatt geprüft.
Braucht jedes Gerät ein eigenes VLAN?+
Nein. Segmentiert wird nach Schutzbedarf, Funktion und notwendigen Kommunikationsbeziehungen. Mitarbeiter, Gäste, Verwaltung, Server, IoT und Sicherheitstechnik sind häufig sinnvolle Zonen. Zu viele Kleinst-VLANs erhöhen den Betriebsaufwand, ohne automatisch mehr Sicherheit zu schaffen.
Sind VLANs schon eine Firewall?+
Nein. VLANs trennen Broadcast-Domänen und ordnen Geräte Netzen zu. Erst Routing- und Firewallregeln bestimmen, ob Verkehr zwischen diesen Netzen erlaubt ist. Jede Freigabe sollte so eng wie möglich, dokumentiert und testbar sein.
Hat UniFi verpflichtende Controller-Lizenzen?+
Für die Kernverwaltung von UniFi Network gibt es keine verpflichtende Controller-Lizenz. Je nach Betriebsmodell können optionale Dienste wie Hersteller-Hosting, zusätzliche Sicherheitsangebote oder Support kostenpflichtig sein. Hardware, Planung, Betrieb und gegebenenfalls Dienstleisterleistungen bleiben natürlich Kostenpositionen.
Wann lohnt sich Redundanz?+
Wenn der erwartete Schaden einer Unterbrechung die zusätzlichen Investitions- und Betriebskosten rechtfertigt. Zuerst werden gemeinsame Fehlerquellen betrachtet: Strom, WAN-Übergabe, Verkabelung, Gateway, Switching und Konfiguration. Danach wird entschieden, ob Ersatzgerät, zweites WAN, USV, redundante Wege oder echte Hochverfügbarkeit angemessen sind.
Ein UniFi-Netz, das zu Ihrem Betrieb passt
Ich nehme Standort, Anwendungen und Risiken auf und plane daraus Gateway, Switching, PoE, VLANs und WLAN. Sie erhalten eine nachvollziehbare Architektur statt eines Warenkorbs nach Bauchgefühl, inklusive Umsetzung und sauberer Dokumentation.
Daniel Gläser
Inhaber Gläser IT-Solutions, Chemnitz
Ich entwickle Software und betreibe IT-Infrastruktur für kleine und mittlere Unternehmen, von der ersten Analyse bis zum laufenden Betrieb. Die Inhalte hier stammen aus realen Projekten und sind mit Quellen belegt.
