WLAN rechtlich absichern

Hallo,

ich möchte in unserem Verein ein WLAN aufbauen. Da unser Geschäftsführer relativ kritisch ist, muss das ganze rechtlich sauber ablaufen, damit man mögliche Abmahnungen leicht abschmettern kann.

Also angenommen ich nutze WPA Enterprise und jeder Benutzer bekommt einen Loginnamen und ein eigenes Passwort. Soweit so gut, dazu gibt es eine Menge Howtos im Netz. Aber ich konnte nirgendwo eine Aussage finden, was ich loggen muss, um die Abmahnung abzuschmettern bzw. weiterreichen zu können.

Ich habe gerade fast eine Stunde gegoogelt und gelesen und nichts sinnvolles gefunden. Ich habe verschiedene Ansätze gefunden:

Variante 1) Mac-Adressen loggen: Meiner Meinung nach völlig unzureichend, da man die total leicht ändern kann, Linux kann das sogar von Haus aus (-> macchanger)
Variante 2) Loggen wann welches "Ticket" bzw. Benutzer eingeloggt war: Ich kann mir nicht vorstellen, dass das dem Anwalt/Gericht reicht. Wenn X Leute zur selben Zeit online waren, muss ich doch sagen können wer die "böse IP/URL" aufgerufen hat, oder?
Variante 3) IP (oder sogar URL) in Zusammenhang mit Benutzername loggen: Hierzu habe ich teilweise gelesen, dass man das wegen Datenschutzes gar nicht darf?

Wie ist denn nun der rechtlich einwandfreie Weg? Im wesentlichen werden nur Benutzer zugelassen, die uns vorher ihren Ausweis gezeigt haben bzw. unsere Mitarbeiter sind und wir sie eh kennen. Gäste werden nur wenige Prozent der Nutzer ausmachen. Trotzdem reicht der Geschäftsführung "Vertrauen" nicht, sondern es soll auch eine Absicherung geben; das halte ich durchaus auch für sinnvoll.

Hat da jemand einen Link oder ein paar Tipps?

Reicht es zu sagen, "ein Benutzer" hat die "böse IP" geöffnet oder muss man konkret den Benutzer identifizieren können, um aus dem Schneider zu sein?

Und noch eine Frage:

Ich lese oft, dass man VPN-Ports sperren soll, da sie ein großes Sicherheitsrisiko darstellen. Das ist meiner bescheidenen Erfahrung nach doch auch Quatsch, denn erstens:

- Wenn sich jemand mit einem VPN verbindet, hat er eine andere globale IP. Das heißt etwaige Abmahnungen flattern nicht uns ins Haus, sondern dem VPN Betreiber. Wer auch immer das dann sein mag. Richtig?
- Selbst ein einziger offener ausgehender Port (und sei es Port 80) reicht doch schon aus, um den gesamten Verkehr darüber zu einem Proxy zu schleusen. Daher ist es ohnehin sinnlos und macht den Benutzern, die mehr als nur Surfen wollen, nur unnötigen Konfigurationsaufwand. Ich bin echt kein Fan von gesperrten Ports.

Ich würde mich über ein paar Gedanken freuen. Ich persönlich sehe das relativ lax, aber unsere Geschäftsführung ist da recht vorsichtig. Und natürlich möchte ich, wenn ich das konfiguriere was vernünftiges abliefern. Und illegale Aktiviäten unterbinden.

Grüße
MPW