Ein neues Gerät mit einem einzigen Knopfdruck zu verbinden, war das ursprüngliche Versprechen von WiFi Protected Setup (WPS). Entwickelt, um die Eingabe langer Pre-Shared Keys zu überflüssig zu machen, fungiert WPS wie eine universelle Schlüsselkarte für Ihr drahtloses Netzwerk - bequem für Benutzer, aber gefährlich, wenn es unkontrolliert bleibt. Die Balance zwischen Komfort und Netzwerksicherheit birgt gravierende Schwachstellen. Dieser Leitfaden ist Teil unserer Reihe über WiFi-Sicherheit für Unternehmen.
Schnelle Zusammenfassung: Die wichtigsten Erkenntnisse zu WiFi Protected Setup (WPS)
- Was WPS ist: WiFi Protected Setup (WPS) ist ein veraltetes Protokoll, das entwickelt wurde, um die Kopplung von Geräten über eine 8-stellige PIN oder eine physische Taste (PBC) zu vereinfachen.
- Kritische Schwachstelle: Die WPS PIN-Überprüfung teilt den 8-stelligen Code in zwei 4-stellige Hälften auf, wodurch Offline-Tools (Pixie-Dust-Angriffe) und Online-Brute-Force-Tools die PIN in weniger als 30 Minuten knacken können.
- Passwort-Umgehung: Das Knacken der WPS PIN legt die Haupt-WPA2/WPA3-Passphrase des Netzwerks offen, wodurch komplexe Passwörter wirkungslos werden.
- Empfohlene Maßnahme: Netzwerkadministratoren sollten WPS auf allen Access Points für Unternehmen und Gäste dauerhaft deaktivieren.
- Enterprise-Alternative: Moderne Veranstaltungsorte nutzen 802.1X RADIUS, WPA3-Enterprise oder Passpoint (Hotspot 2.0) für einen identitätsbasierten, passwortlosen WiFi-Zugang.
Verborgene Gefahren des nicht authentifizierten WiFi-Zugangs
WiFi Protected Setup ist ein im Jahr 2006 von der Wi-Fi Alliance eingeführter Authentifizierungsstandard, um die Einrichtung von Heimnetzwerken zu vereinfachen. Das architektonische Design weist jedoch grundlegende Schwachstellen auf, die es für moderne Unternehmens- oder Gäste-WiFi-Umgebungen ungeeignet machen.
Wie die WPS-PIN-Schwachstelle funktioniert
Die Hauptschwachstelle bei WPS resultiert aus dem 8-stelligen PIN-Mechanismus. Anstatt alle 8 Stellen auf einmal zu überprüfen (was 100 Millionen Versuche erfordern würde), validiert der Access Point die PIN in zwei separaten Hälften:
- Erste 4 Ziffern: 10.000 mögliche Kombinationen.
- Letzte 4 Ziffern: 3 Ziffern plus eine Prüfsummenziffer (1.000 mögliche Kombinationen).
Dieses Design reduziert den gesamten Brute-Force-Suchraum von 100.000.000 auf nur 11.000 Versuche. Mit automatisierten Tools wie Reaver oder Bully kann ein Angreifer einen WPS-PIN online in 2 bis 10 Stunden knacken. Darüber hinaus nutzt der Pixie Dust-Angriff die schwache Zufallszahlengenerierung in vielen Router-Chipsätzen aus, wodurch Angreifer den WPS-PIN in weniger als 30 Sekunden offline berechnen können, ohne eine Ratenbegrenzung auszulösen.
Warum Push-Button-WPS (PBC) weiterhin unsicher ist
Die Push-Button-Konfiguration (PBC) vermeidet die PIN-Brute-Force-Schwachstelle, da ein physischer Tastendruck am Access Point erforderlich ist. Während des zweiminütigen Verbindungsfensters kann jedoch jedes Gerät in der Nähe Verbindungsparameter anfordern. In Enterprise-Netzwerken mit mehreren Access Points ist der physische Tastenzugriff unpraktisch und birgt das Risiko unbefugter Verbindungen.
WPS-Sicherheit im Vergleich zu modernen WiFi-Authentifizierungsprotokollen
Um das Sicherheitsniveau Ihres Netzwerks zu bewerten, vergleichen Sie ältere WPS-Mechanismen mit modernen Authentifizierungsstandards für Unternehmen:
| Protokoll / Methode | Authentifizierungsmechanismus | Sicherheitsbewertung | Angriffsanfälligkeit | Bester Anwendungsfall |
|---|---|---|---|---|
| WPS PIN-Methode | Statische 8-stellige numerische PIN | Unsicher (Kritisch) | Pixie Dust & PIN-Brute-Force | Veraltet - sofort deaktivieren |
| WPS Push-Button (PBC) | 2-minütiges physisches Tastenfenster | Geringe Sicherheit | Physisches Abfangen in der Nähe | Einfaches Heim-IoT (nicht für Unternehmen) |
| WPA3 SAE (Personal) | Simultaneous Authentication of Equals | Hohe Sicherheit | Resistent gegen Offline-Wörterbuchangriffe | Kleine Büros & Heimnetzwerke |
| Passpoint / 802.1X Enterprise | Digitale Zertifikate & SSO-Identität | Enterprise-Klasse | Keine gemeinsam genutzten Zugangsdaten zum Ausnutzen | Veranstaltungsorte, Unternehmen & Multi-Tenant-Bereiche |
So deaktivieren Sie WPS in Unternehmens- und Geschäftsnetzwerken
Da WPS nicht gegen PIN-Brute-Force-Angriffe abgesichert werden kann, raten Cybersicherheitsbehörden wie CISA und NCSC dazu, WPS auf allen Access Points vollständig zu deaktivieren. Befolgen Sie diese operativen Schritte:
- Zugriffs-Management-Schnittstelle: Melden Sie sich bei Ihrem Wireless LAN Controller (WLC), Ihrem Cloud-Dashboard (wie Cisco Meraki, Aruba Central oder Ruckus SmartZone) oder Ihrem Router-Administrationsportal an.
- Einstellungen für Funk/WLAN suchen: Navigieren Sie zu Wireless-Einstellungen > Sicherheit > WPS oder Push-Button-Setup.
- PIN und PBC deaktivieren: Schalten Sie den "WPS-Status" oder "Wi-Fi Protected Setup" auf Deaktiviert oder Aus. Stellen Sie sicher, dass sowohl die PIN- als auch die Push-Button-Methode explizit deaktiviert sind.
- WPA3/WPA2 Enterprise erzwingen: Konfigurieren Sie SSIDs so, dass sie WPA3-Enterprise oder WPA2-Enterprise mit 802.1X RADIUS-Authentifizierung verwenden.
- Speichern und prüfen: Speichern Sie die Konfigurationsänderungen und führen Sie ein Sicherheitsaudit für das drahtlose Netzwerk durch, um zu bestätigen, dass keine WPS-Broadcast-Frames mehr gesendet werden.
Moderne und sichere WiFi-Alternativen entdecken
Moderne drahtlose Netzwerke erfordern ein nahtloses Onboarding, ohne die Zugriffskontrolle zu gefährden. Das Upgrade von veralteten WPS-Protokollen schützt Unternehmenswerte und vereinfacht gleichzeitig den Zugriff für Mitarbeiter, Besucher und IoT-Endpunkte.
Upgrade auf WPA3 und Simultaneous Authentication of Equals (SAE)
WPA3 ersetzt anfällige Pre-Shared Keys durch Simultaneous Authentication of Equals (SAE). SAE stellt einen Zero-Knowledge-Kryptographie-Handshake zwischen Gerät und Access Point her, bevor Schlüsselmaterial übertragen wird. Dies blockiert Offline-Wörterbuchangriffe und Abhören, selbst wenn ein Passwort einfach ist.
Passwortloser Zugriff mit Passpoint und 802.1X
Für hochfrequentierte Standorte, Einkaufszentren und Unternehmensbereiche sind manuelle Passworteingaben und WPS-Tasten veraltet. Passpoint (Hotspot 2.0) ermöglicht es Geräten, verifizierte WiFi-Netzwerke automatisch mithilfe verschlüsselter digitaler Zertifikate und Mobilfunkbetreiberprofile zu erkennen und sich mit ihnen zu verbinden.
Rüsten Sie Ihren Standort auf Passpoint oder 802.1X Enterprise WiFi auf?
Purple bietet Cloud-RADIUS, Identitätsmanagement und Besucheranalysen für drahtlose Hardware verschiedener Anbieter - ganz ohne komplexe Infrastruktur-Umstellungen.
Erweiterte Sicherheit für Unternehmensumgebungen
Die WiFi-Sicherheit in Unternehmen verknüpft den Netzwerkzugriff direkt mit der Benutzeridentität und der Geräte-Compliance:
- Zertifikatsbasierte Authentifizierung (EAP-TLS): Stellt eindeutige, nicht übertragbare digitale Zertifikate für Mitarbeitergeräte aus.
- Single Sign-On (SSO) Integration: Verbindet die WiFi-Authentifizierung mit Microsoft Entra ID, Okta oder Google Workspace, sodass der Zugriff sofort entzogen wird, wenn ein Mitarbeiter das Unternehmen verlässt.
Purple lässt sich in führende Enterprise-Wireless-Hardware und Identitätsanbieter integrieren, um passwortlose, identitätsbasierte WiFi-Sicherheit in Standorten landesweit bereitzustellen. Weitere Einblicke in die Absicherung von Netzwerken durch Identitätsmanagement finden Sie in unserem vollständigen Leitfaden für identitätsbasierte WiFi-Sicherheit.
Häufig gestellte Fragen zu WiFi Protected Setup
Klare Antworten auf häufige technische Fragen zur Deaktivierung von WPS und zur WiFi-Sicherheit.
Ist die Push-Button-Methode sicherer als die PIN-Methode?
Ja, die Push-Button-Methode (PBC) birgt ein geringeres Risiko als die PIN-Methode, da sie nur ein zweiminütiges Kopplungsfenster öffnet. Dennoch bleibt PBC ein unsicheres Legacy-Protokoll und sollte in Unternehmensnetzwerken deaktiviert werden.
Schützt ein starkes WiFi-Passwort vor WPS-Angriffen?
Nein. Ein starkes WPA2- oder WPA3-Passwort bietet keinerlei Schutz vor einem WPS PIN-Angriff. Das Knacken der 8-stelligen WPS PIN umgeht die Haupt-Netzwerkpassphrase vollständig und zwingt den Router, das Passwort offenzulegen.
Kann ich WPS für IoT-Geräte oder Drucker sicher verwenden?
Nein. Die Verwendung von WPS für Drucker oder IoT-Geräte gefährdet Ihr gesamtes Netzwerk. Wenn ein Angreifer ein über WPS gekoppeltes IoT-Gerät kompromittiert, verschafft er sich eine Basis, um sich lateral in Ihrem Netzwerk zu bewegen und sensible Geschäftsdatenbanken anzugreifen.
Rüsten Sie Ihre Netzwerksicherheit für Unternehmen mit Purple auf
Ersetzen Sie unsichere WPS- und statische Passwörter durch identitätsbasierten Passpoint-Zugriff, 802.1X-Integration und automatisiertes Gäste-Onboarding an allen Ihren Standorten.
