Für jedes Unternehmen stellen WPA3-Enterprise und die zertifikatsbasierte Authentifizierung den Goldstandard für die WiFi-Sicherheit dar. Der Schutz Ihrer drahtlosen Netzwerkinfrastruktur erfordert die Wahl des richtigen Verschlüsselungsstandards, die Implementierung einer identitätsbasierten Zugriffskontrolle und die Eliminierung gemeinsam genutzter Passwörter.
Drahtlose Netzwerke übertragen Daten über offene Funkwellen, was Verschlüsselung und gegenseitige Authentifizierung unerlässlich macht. Ohne angemessene Sicherheitskontrollen können Lauschangriffe Paketdaten abfangen, nicht autorisierte Geräte auf interne Server zugreifen und Angreifer Man-in-the-Middle-Exploits starten.
Die Entwicklung von WiFi-Sicherheitsprotokollen
Die WiFi-Sicherheitsstandards wurden kontinuierlich weiterentwickelt, um fortschreitenden Cyberbedrohungen entgegenzuwirken. Das Verständnis darüber, wie ältere Protokolle versagt haben, hilft IT-Verantwortlichen bei der Entwicklung moderner Zero-Trust-Wireless-Architekturen.
Man kann sich die WiFi-Sicherheit wie ein Türschloss vorstellen. Sie hat sich über zwei Jahrzehnte von einem einfachen Badezimmerriegel zu einem modernen kryptografischen Smart Lock entwickelt.
WEP: Die defekte Klinke
Wired Equivalent Privacy (WEP) war der erste Versuch einer WiFi Sicherheit, der 1999 zusammen mit IEEE 802.11b eingeführt wurde. Das Ziel war es, ein drahtloses Netzwerk so privat wie eine kabelgebundene Ethernet-Verbindung zu machen. WEP basierte jedoch auf kleinen 24-Bit-Initialisierungsvektoren (IVs) in Kombination mit RC4-Stromverschlüsselungen, was zu einer schnellen Wiederholung von Verschlüsselungsschlüsseln führte.
Angreifer konnten den statischen Verschlüsselungsschlüssel von WEP mithilfe frei verfügbarer Software schnell innerhalb weniger Minuten knacken. WEP bot eine trügerische Sicherheit und ist heute völlig veraltet. Der Einsatz von WEP am heutigen Tag lässt Ihre Netzwerkgrenzen sperrangelweit offen.
WPA und WPA2: Das Standard-Riegelschloss
Die WiFi Alliance führte WiFi Protected Access (WPA) im Jahr 2003 als vorübergehende Lösung für die Schwachstellen von WEP ein. WPA führte das Temporal Key Integrity Protocol (TKIP) ein, das dynamisch neue 128-Bit-Schlüssel für jedes Datenpaket generierte.
WPA2 wurde 2004 eingeführt und setzte über ein Jahrzehnt lang den Sicherheitsmaßstab. Es ersetzte TKIP durch den Advanced Encryption Standard (AES) im Counter Mode Cipher Block Chaining Message Authentication Code Protocol (CCMP). AES ist nach wie vor ein staatlich zugelassener Verschlüsselungsstandard. Jahrelang fungierte WPA2-Personal als zuverlässiger Riegel für digitale Türen.
WPA2 war jedoch nicht immun gegen Angriffe. Die 2017 entdeckte KRACK-Schwachstelle (Key Reinstallation Attack) zeigte, dass der Vier-Wege-Handshake von WPA2 manipuliert werden kann, um den drahtlosen Datenverkehr zu entschlüsseln. Diese Schwachstelle verdeutlichte das Risiko, sich in geschäftlichen Umgebungen auf ein einziges gemeinsames Passwort zu verlassen.
WPA3: Das moderne Smart Lock
WPA3 wurde 2018 veröffentlicht und behebt die grundlegenden Schwachstellen von WPA2. Es macht die Wireless-Sicherheit sowohl für private Setups als auch für großflächige kommerzielle Bereitstellungen stärker und einfacher. WPA3 ersetzt anfällige Schlüsselaustausch-Mechanismen durch robuste kryptografische Handshakes.
WPA3: Ihr neuer Mindeststandard für Sicherheit
WPA3 ist die Mindestanforderung für die WiFi-Sicherheit in Unternehmen. Es behebt langjährige Schwachstellen und führt wesentliche Schutzmaßnahmen für Unternehmensdaten, Mitarbeiterzugriffe und Besucherverkehr ein.
Stärkere Abwehrkräfte gegen Passwort-Angriffe
Unter WPA2-Personal konnten Angreifer den ersten Vier-Wege-Authentifizierungs-Handshake zwischen einem Laptop und einem Access Point abfangen. Der Angreifer konnte diese erfassten Daten dann offline nehmen und Dictionary-Angriffe durchführen, bei denen Millionen von Passphrasen-Kombinationen pro Sekunde getestet wurden, ohne mit dem Netzwerk zu interagieren.
WPA3 eliminiert diese Schwachstelle durch Simultaneous Authentication of Equals (SAE), basierend auf dem Dragonfly-Schlüsselaustausch. SAE erzwingt einen Zero-Knowledge-Proof-Mechanismus während der Verbindung. Selbst wenn ein Angreifer den Handshake-Verkehr abfängt, können die Sitzungsschlüssel offline nicht berechnet werden. Dies macht Brute-Force-Wörterbuchangriffe wirkungslos.
Sicherung offener, öffentlicher Gastnetzwerke
In der Vergangenheit wurden öffentliche Gast-WiFi-Netzwerke ohne Verschlüsselung betrieben. Die über offene Netzwerke übertragenen Daten waren unverschlüsselt, was Besucher Packet-Sniffing und Man-in-the-Middle-Angriffen aussetzte.
WPA3 löst dies mit Enhanced Open unter Verwendung von Opportunistic Wireless Encryption (OWE) basierend auf RFC 8110. OWE baut automatisch eindeutige, nicht authentifizierte Diffie-Hellman-Schlüsselaustausche zwischen jedem Client-Gerät und dem Access Point auf. Gäste erhalten eine individuelle Sitzungsverschlüsselung, ohne dass bei der Verbindung ein komplexes Passwort erforderlich ist.
Dies bietet wesentliche Vorteile für den Datenschutz in kommerziellen Einrichtungen:
- Cafés und Restaurants: Verschlüsselt den Datenverkehr der Kunden beim Surfen, bei mobilen Bestellungen und bei Interaktionen in sozialen Medien.
- Hotels und Gastgewerbe: Schützt die Anmeldedaten und Zahlungsaktivitäten der Gäste ohne Reibungsverspund. Kombinieren Sie dies mit einem gebrandeten Captive Portal für ein nahtloses, sicheres Onboarding.
- Einkaufszentren: Sichert die Verbindungen der Käufer, während Betreiber konforme First-Party-Daten erfassen können.
Schützen Sie Ihr Netzwerk vor Störungen von Management-Frames
WPA3 schreibt Protected Management Frames (PMF) gemäß IEEE 802.11w vor. Management-Frames steuern den Netzwerkbetrieb, einschließlich Zuordnungs-, Authentifizierungs- und Verbindungsabbruchsanfragen. In unverschlüsselten Altsystemen konnten Angreifer problemlos gefälschte "Deauthentifizierungs"-Pakete erstellen, um Geräte aus dem Netzwerk zu werfen.
PMF signiert Management-Frames kryptografisch und blockiert so gefälschte Verbindungsabbrüche sowie die Nachahmung von betrügerischen Access Points. Dies erhöht die Netzwerk-Umsatzzeit und stabilisiert die Wireless-Verbindungen.
Die Wahl zwischen Personal- und Enterprise-Sicherheit
Bei der Konfiguration der Wireless-Infrastruktur müssen IT-Manager zwischen den Sicherheitsmodi Personal und Enterprise wählen. Diese Entscheidung bestimmt, wie Benutzeranmeldedaten verwaltet und authentifiziert werden.
Die Grenzen eines einzigen gemeinsamen Passworts
Die Verwendung eines einzigen Pre-Shared Key (PSK) in einer kommerziellen Umgebung führt zu schwerwiegenden betrieblichen und sicherheitsrelevanten Risiken:
- Kompromittierung von Anmeldedaten: Sobald ein Mitarbeiter oder Auftragnehmer das WiFi Passwort des Unternehmens kennt, kann er es mit unbefugten Geräten oder Dritten teilen.
- Herausforderungen beim Offboarding: Wenn ein Mitarbeiter das Unternehmen verlässt, müssen IT-Administratoren jeden Access Point neu konfigurieren und jedes Unternehmensgerät anpassen, um den Zugriff zu entziehen. In der Praxis werden gemeinsam genutzte Passwörter selten geändert, was ehemaligen Mitarbeitern dauerhaften Zugriff ermöglicht.
- Keine Nachvollziehbarkeit: PSK-Netzwerke können Netzwerkaktivitäten keinen bestimmten Benutzern zuordnen, was forensische Audits bei Sicherheitsvorfällen erschwert.
- Entschlüsselung gemeinsam genutzter Datenpakete: Jeder, der den gemeinsam genutzten PSK kennt, kann den drahtlosen Datenverkehr von benachbarten Benutzern im selben Netzwerksegment erfassen und entschlüsseln.
WPA3-Enterprise und passwortlose 802.1X-Authentifizierung
Um die Sicherheitsrisiken gemeinsam genutzter Passwörter zu eliminieren, implementieren Unternehmensnetzwerke WPA3-Enterprise mit 802.1X-Authentifizierung. Anstatt sich auf einen statischen Schlüssel zu verlassen, validiert 802.1X jeden Benutzer oder jedes Gerät gegenüber einem zentralen RADIUS-Server und einem Cloud-Identitätsanbieter.
Der Goldstandard für Unternehmensnetzwerke ist EAP-TLS (Extensible Authentication Protocol - Transport Layer Security). EAP-TLS verwendet digitale X.509-Zertifikate, die für verwaltete Laptops und mobile Endgeräte ausgestellt werden. Die Geräte authentifizieren sich automatisch im Hintergrund ohne Benutzerpasswörter.
Die Integration der 802.1X-Authentifizierung in zentrale Verzeichnisse wie Microsoft Entra ID, Okta oder Google Workspace sorgt für eine optimierte Zugriffskontrolle: Wird ein Mitarbeiter in Ihrem Identitätsanbieter deaktiviert, erlischt sein WiFi-Zugriff an allen Standorten sofort.
Häufig gestellte Fragen zu WiFi-Sicherheitsprotokollen
Direkte technische Antworten auf häufige Fragen zu Wireless-Verschlüsselung, 802.1X-Authentifizierung und WPA3-Upgrades.
Was ist der Hauptunterschied zwischen WPA2-Personal und WPA2-Enterprise?
WPA2-Personal verwendet einen einzigen Pre-Shared Key (PSK) für alle verbundenen Geräte. WPA3-Enterprise nutzt die 802.1X-Authentifizierung, um jeden Benutzer oder jedes Gerät einzeln mit einem RADIUS-Server und einem zentralen Verzeichnis (wie Microsoft Entra ID oder Okta) abzugleichen, wodurch für jede Sitzung eindeutige Verschlüsselungsschlüssel generiert werden.
Wie verhindert WPA3 SAE Offline-Wörterbuchangriffe?
Die WPA3-Authentifizierung Simultaneous Authentication of Equals (SAE) nutzt einen Zero-Knowledge-Kryptographie-Handshake (Dragonfly), der bei jedem Passwort-Rateversuch eine aktive Interaktion mit dem Access Point erfordert. Angreifer können keinen passiven Handshake abfangen, um ein Offline-Dictionary-Cracking durchzuführen.
Was ist Opportunistic Wireless Encryption (OWE) beim Gast-WiFi?
Opportunistic Wireless Encryption (OWE), auch bekannt als Enhanced Open, verschlüsselt den Wireless-Datenverkehr in offenen Gastnetzwerken, ohne dass Benutzer ein Passwort eingeben müssen. Es bietet individuelle Privatsphäre für Sitzungen an öffentlichen Orten wie Hotels, Cafés und Einzelhandelsgeschäften.
Warum ist WEP völlig veraltet und unsicher?
WEP verwendet schwache 24-Bit-Initialisierungsvektoren und statische RC4-Verschlüsselungsschlüssel, die sich bei normalem Netzwerkverkehr häufig wiederholen. Moderne Tools können den WEP-Hauptschlüssel innerhalb weniger Minuten rekonstruieren, indem sie eine kleine Anzahl von Wireless-Paketen erfassen.
Wie eliminiert 802.1X EAP-TLS Passwörter für das Mitarbeiter-WiFi?
EAP-TLS installiert eindeutige digitale X.509-Zertifikate auf den Unternehmensgeräten. Beim Herstellen der Verbindung zur Unternehmens-SSID führen das Gerät und der RADIUS-Server eine gegenseitige kryptografische Verifizierung durch und gewähren den Zugriff automatisch, ohne dass Mitarbeiter Passwörter eingeben oder verwalten müssen.
Sichern Sie Ihre physischen Standorte mit der WiFi Plattform von Purple
Ob passwortlose 802.1X Mitarbeiter-Authentifizierung, mandantenfähiges iPSK mit Bewohner-Isolierung oder gebrandete Captive Portale für Gast-WiFi - Purple verwandelt Ihre vorhandenen Access Points in einen sicheren, Cloud-verwalteten Service.
