Für Sicherheit & IT
Zugangskontrolle für Gäste-Wi‑Fi, ohne Nutzer-Traffic über Tagnect zu leiten.
Tagnect stimmt sich mit Ihrem Netzwerk-Controller ab, um temporäre Zugangsdaten für Gäste auszustellen und zu verwalten. Das Netzwerk des Betriebs transportiert weiterhin den Nutzer-Traffic; Tagnect trifft nur die Zugangsentscheidungen.
Topologie
Ihr Betriebsnetzwerk läuft nie über Tagnect
Tagnect verwaltet nur das Gästenetzwerk. Kassen, Kartenterminals, interne Systeme und die eigenen Geräte des Betriebs bleiben in ihrem eigenen Netzwerk, mit festem Schlüssel, den Tagnect weder ändert noch voraussetzt. Wenn im Gästenetzwerk etwas schiefgeht, verkauft der Betrieb weiter. Dokumentation zur Isolation des kritischen Netzwerks lesen.
- Isoliertes BetriebsnetzwerkPOS-Systeme, Kartenterminals, Kameras und interne Systeme bleiben in einer separaten SSID mit festem Schlüssel, außerhalb der Passwortrotation.
- Tagnect nur im GästenetzwerkRotierende Passwörter, Tags und OTPs gelten ausschließlich für Gäste auf der Durchreise.
- Wenn die Cloud nicht erreichbar istDas Betriebsnetzwerk bleibt unberührt, und bereits verbundene Gäste surfen weiter; nur neue Tag-Anmeldungen warten, bis der Dienst wieder verfügbar ist.
- Lasttests bestandenBelastungstests mit Bursts nahezu gleichzeitiger Anfragen, ohne Fehler oder Instabilität. Der Traffic der Gäste läuft nie über die Server von Tagnect.
Control Plane und Datenpfad
Orchestrierung statt Abfangen
Tagnect trifft Zugangsentscheidungen und kommuniziert mit der Netzwerkhardware über deren API oder den lokalen Connector. Es fungiert nie als Inline-Gateway für den Traffic der Gäste.
- Kein Engpass im DatenpfadDer Traffic läuft nie über Tagnect – es gibt keine zentrale Box, die überlastet oder kompromittiert werden könnte.
- Connector nur mit ausgehenden VerbindungenDer lokale Connector baut ausschließlich ausgehende Verbindungen auf und signiert jeden Nachweis der Geräteidentität (HMAC-SHA256).
- Gehärtete AdministrationDer Betreiberzugang nutzt JWT, MFA/TOTP und IP-Allowlists, mit einem nur erweiterbaren Audit-Protokoll.
- DatenminimierungMAC-Adressen der Geräte werden 15 Minuten nach Ablauf der Sitzung oder des OTP gelöscht.
Zugangsdaten und Validierung
Zeitlich begrenzt by Design
NTags enthalten zeitlich begrenzte Zugangsdaten, die die App offline auswählt. Der Server validiert den registrierten Tag, seine Generation und den zeitlichen Kontext; verwaltete Controller ergänzen Gerätevalidierung und Steuerung des Zugangsstatus.
- Rotierende ZugangsdatenPasswörter wechseln je Zeitblock; kopierte Zugangsdaten verfallen mit ihrem Block und der Kulanzzeit.
- Eingeschränkt bis zur ValidierungBei verwalteten Controllern kann ein Gerät in einem eingeschränkten Zustand bleiben, bis der Server es validiert hat.
- Delegierte GeräteEin Laptop erhält von einem bereits validierten Smartphone einen Einmalcode, mit eigener Identität.
Daten und Datenschutz
Die Daten gehören dem Betrieb
Tagnect ist so konzipiert, dass nur verarbeitet wird, was zur Gewährung des Zugangs nötig ist. Gäste registrieren sich nicht, wir erstellen keine Profile und nutzen Daten nicht für Werbung. Der Betrieb legt die Regeln fest und ist Verantwortlicher für die Zugangsdaten; Tagnect handelt als Auftragsverarbeiter, im Einklang mit der DSGVO (GDPR) und Brasiliens LGPD.
- Keine GästeregistrierungKein Formular, kein Konto, keine E-Mail-Adresse, keine Telefonnummer: Der Gast hält das Smartphone an den Tag und ist verbunden.
- Datenminimierung als StandardDie MAC-Adresse wird 15 Minuten nach Ende der Sitzung gelöscht; der Verlauf der Tag-Lesevorgänge nach 1 Tag (konfigurierbar bis zu 45).
- Steuerung durch den BetriebDer Betrieb legt Speicherdauer und Zugangsregeln fest; Tagnect verarbeitet die Daten ausschließlich, um den Dienst zu betreiben.
- Für sensible BranchenArztpraxen, Kanzleien, Wohngebäude und Unternehmensnetzwerke bieten Gäste-Wi‑Fi an, ohne eine neue Datenbank mit personenbezogenen Daten anzulegen.
Kompatibilität
Herstellerübergreifende Integrationen
Tagnect ist nicht an einen einzelnen Hersteller gebunden: Es integriert sich in den bereits installierten Controller oder Router. Sitzungsdauer, Zeitfenster, Kulanzzeiten, Gruppen und OTP-Zugang funktionieren auf jeder unten aufgeführten verfügbaren Plattform. Die Traffic-Steuerung richtet sich nach den Spezifikationen des jeweiligen Geräts.
| Plattform | Zugangsdatenmodell | Sitzung, Zeitfenster, Kulanzzeit, OTP | Traffic-Steuerung (Bandbreite, Datenvolumen, VLAN, Isolation, Gerätelimits) |
|---|---|---|---|
| Ubiquiti UniFi | Privater PSK pro Gruppe (PPSK) | ✓ | Gemäß Controller |
| TP‑Link Omada | PSK pro Gruppe / Portal | ✓ | Gemäß Controller |
| Cisco Meraki | Identity PSK (iPSK) + Gruppenrichtlinien, direkt in der Meraki-Cloud (ohne Connector) | ✓ | Gemäß Controller |
| MikroTik RouterOS 7.17+ (Paket wifi) | Mehrere PSKs pro SSID (multi‑passphrase); Connector im Router | ✓ | Netzwerke per Bridge und Firewall getrennt; Rotation, Ablauf und Trennung; Bandbreite und Datenvolumen in Weiterentwicklung |
| OpenWrt-Router mit dem Tagnect-Controller | Rotierender PSK (mehrere Schlüssel) | ✓ | Rotation, Ablauf und Deauthentifizierung; feinere Steuerung je nach Modell |
| Juniper Mist / HPE Aruba | PSK pro Benutzer (Mist PSK / MPSK) | In Entwicklung | In Entwicklung |
Details zu den Herstellern auf der Seite Integrationen. Bitte stimmen Sie Controller-Modell und Firmware vor einer Installation mit unserem Team ab.
Glossar
Fachbegriffe auf dieser Website
Um Missverständnisse mit IT- und Telekommunikationsteams zu vermeiden, verwenden wir diese Begriffe auf der gesamten Website einheitlich.
| Begriff | Auch bekannt als | Bei Tagnect |
|---|---|---|
| Access Point (AP) | Wireless Access Point, WLAN-Zugangspunkt | Das Funkgerät, das das Wi‑Fi ausstrahlt. Tagnect ersetzt keine Access Points. |
| Controller | WLAN-Controller | Das System, das die Access Points verwaltet (UniFi Network, Omada, Meraki-Dashboard). Tagnect integriert sich über dessen API. |
| SSID | Netzwerkname | Der Name des Wi‑Fi-Netzwerks, den der Gast auf dem Smartphone sieht. |
| Virtuelle SSID (VAP) | Virtual AP | Ein zusätzliches Netzwerk auf demselben Funkmodul. Bei MikroTik legt das Installationsprogramm auf jedem Funkmodul eine virtuelle SSID pro Netzwerk an. |
| PSK, PPSK, iPSK, MPSK | Pre-Shared Key; Private, Identity oder Multiple PSK | WPA2-Passwörter pro Gruppe, die Tagnect in jedem Zeitblock automatisch rotiert. |
| VLAN | Virtual LAN | Trennt den Traffic jeder Gruppe, abhängig vom Controller. |
| Client-Isolation | AP Isolation | Verhindert, dass sich Geräte im selben Netzwerk gegenseitig sehen. |
| Captive Portal | Splash Page, Anmeldeseite | Eine Anmeldeseite am Netzzugang. Tagnect macht das Captive Portal überflüssig: Gäste geben nie etwas auf einer Webseite ein. |
| Walled Garden | Eingeschränktes Netz | Begrenzter Zugang, der nur das Herunterladen der Tagnect-App erlaubt. |
| Deauthentifizierung | Deauth | Das Trennen eines Geräts vom Access Point, etwa am Ende eines Zeitfensters oder beim Widerruf. |
Sicherheitsaussagen und Geltungsbereich
Risikominderung, ehrlich benannt
Zeitlich begrenzte Zugangsdaten verkürzen die Nutzungsdauer kopierter Zugangsdaten, und der Wegfall des Captive Portals beseitigt einen Phishing-Angriffsweg. Tagnect ersetzt weder Endpoint-Schutz noch sichere Transportverschlüsselung, eine korrekt konfigurierte Firewall oder die Bereinigung eines kompromittierten Gateways.
- Schluss mit dem Captive PortalKeine Anmeldeseite im Web, auf der Gäste etwas eingeben müssen.
- Keine schwachen Admin-OberflächenDie Verwaltung läuft über JWT, MFA/TOTP und IP-Allowlists.
- Gestohlene Zugangsdaten verlieren an WertRotierende, zeitlich begrenzte Passwörter; bei verwalteten Controllern gewähren sie allein nur einen eingeschränkten Zustand.
Patent angemeldet – BR 10 2026 017581‑1
Prüfen Sie eine Installation mit unserem Technikteam
Nennen Sie uns Controller-Modell, Firmware, Aufbau des Gästenetzes und die Zugangsanforderungen, die Sie validieren möchten.