Zertifikatsbasierte Authentifizierung für Unternehmensgeräte (EAP-TLS)

Zertifikatsbasierte Authentifizierung für Unternehmensgeräte — EAP-TLS Ein Purple Technical Briefing | Ca. 10 Minuten --- EINFÜHRUNG UND KONTEXT — ca. 1 Minute Willkommen zur Purple Technical Briefing-Reihe. Ich bin Ihr Gastgeber, und heute kommen wir direkt zu einer der wichtigsten Entscheidungen, vor der ein IT-Team, das ein standortübergreifendes Unternehmensnetzwerk verwaltet, in den Jahren 2025 und 2026 stehen wird: Ob Sie die WiFi-Authentifizierung Ihrer Mitarbeiter von passwortbasierten Methoden auf die zertifikatsbasierte Authentifizierung mittels EAP-TLS umstellen sollten. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO bei einer Hotelgruppe, einer Einzelhandelskette, einem Stadion oder einer Organisation des öffentlichen Sektors sind, ist dieses Briefing genau das Richtige für Sie. Wir erklären, was EAP-TLS unter der Haube eigentlich ist, wie Sie es ohne Betriebsunterbrechungen implementieren, wie es in Ihre Compliance-Strategie passt und welche konkreten Ergebnisse Sie erwarten können. Keine akademische Theorie — nur die praktische Anleitung, die Sie benötigen, um in diesem Quartal eine Entscheidung zu treffen. Legen wir los. --- TECHNISCHER DEEP-DIVE — ca. 5 Minuten Was also ist EAP-TLS? EAP steht für Extensible Authentication Protocol und TLS steht für Transport Layer Security — dasselbe kryptografische Protokoll, das den HTTPS-Verkehr im gesamten Web sichert. EAP-TLS ist unter IEEE 802.1X definiert, dem Standard für die portbasierte Netzwerkzugriffskontrolle, und gilt weithin als die sicherste heute verfügbare Methode zur drahtlosen Authentifizierung. Der grundlegende Unterschied zwischen EAP-TLS und allen anderen Methoden, die Sie möglicherweise verwenden — wie PEAP-MSCHAPv2, EAP-TTLS oder einem Pre-Shared Key —, besteht darin, dass eine gegenseitige zertifikatsbasierte Authentifizierung durchgeführt wird. Sowohl das Client-Gerät als auch der RADIUS-Server weisen während des TLS-Handshakes digitale X.509-Zertifikate vor. Keine der beiden Seiten kann sich als die andere ausgeben. Bei diesem Austausch wird überhaupt kein Passwort verwendet. Lassen Sie mich Ihnen erklären, was tatsächlich passiert, wenn sich ein verwalteter Laptop über EAP-TLS mit Ihrem Unternehmens-SSID verbindet. Schritt eins: Das Gerät verbindet sich mit dem Access Point und der 802.1X-Austausch beginnt. Der Access Point — der als Authentifikator fungiert — leitet EAP-Frames zwischen dem Gerät und Ihrem RADIUS-Server weiter. Der RADIUS-Server sendet sein Serverzertifikat an den Client. Der Client validiert dieses Zertifikat anhand der vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA), die ihm bereits bekannt ist — in der Regel Ihre interne PKI oder eine in der Cloud gehostete CA. Schritt zwei: Der Client sendet sein eigenes Zertifikat — das Gerätezertifikat, das von Ihrem MDM oder Ihrer Gruppenrichtlinie bereitgestellt wurde — an den RADIUS-Server. Der RADIUS-Server validiert dieses Zertifikat anhand derselben CA. Wenn beide Zertifikate gültig, nicht abgelaufen und nicht widerrufen sind, wird der TLS-Tunnel aufgebaut und der RADIUS-Server sendet eine Access-Accept-Nachricht über den Access Point zurück. Das Gerät ist im Netzwerk. Der gesamte Austausch dauert weniger als eine Sekunde. Nun zu den kritischen Infrastrukturkomponenten, die Sie benötigen. Erstens eine Public-Key-Infrastruktur — Ihre PKI. Dies ist die Zertifizierungsstelle (Certificate Authority, CA), die Zertifikate ausstellt und verwaltet. Bei den meisten Unternehmensbereitstellungen handelt es sich hierbei entweder um die Microsoft Active Directory-Zertifikatdienste, eine On-Premises-CA oder eine Cloud-gehostete PKI wie EJBCA, Smallstep oder einen Managed Service. Zweitens ein RADIUS-Server — FreeRADIUS, Cisco ISE, Aruba ClearPass oder ein Cloud-RADIUS-Dienst. Drittens eine MDM- oder Endpoint-Management-Plattform — Intune, Jamf, Workspace ONE —, um Gerätezertifikate auf Ihre verwaltete Flotte zu übertragen. Und viertens Ihre Wireless-Infrastruktur — Access Points, die für WPA2-Enterprise oder WPA3-Enterprise mit 802.1X konfiguriert sind. Die entscheidende architektonische Entscheidung ist der Standort Ihres RADIUS-Servers. Ein On-Premises-RADIUS bietet Ihnen die volle Kontrolle, erhöht jedoch den Aufwand für die Infrastruktur. Cloud-RADIUS — zunehmend die bevorzugte Option für Unternehmen mit mehreren Standorten — macht die Verwaltung von RADIUS-Servern an jedem Standort überflüssig und lässt sich direkt in Ihren Cloud-Identity-Provider integrieren. Wenn Sie tiefer in dieses spezifische Bereitstellungsmuster einsteigen möchten, bietet Purple einen detaillierten Leitfaden zur Implementierung von 802.1X mit Cloud-RADIUS, der die Konfigurationsschritte von Anfang bis Ende abdeckt. Sprechen wir nun über die PKI-Seite, denn hier entscheiden sich die meisten Bereitstellungen für Erfolg oder Stillstand. Ihre CA ist der Vertrauensanker (Root of Trust) für das gesamte System. Jedes von dieser CA ausgestellte Gerätezertifikat wird von Ihrem RADIUS-Server als vertrauenswürdig eingestuft. Jedes von dieser CA ausgestellte RADIUS-Serverzertifikat wird von Ihren Geräten als vertrauenswürdig eingestuft. Wenn ein Gerät außer Betrieb genommen wird, widerrufen Sie sein Zertifikat — via CRL oder OCSP — und es verliert sofort den Netzwerkzugriff. Kein Zurücksetzen des Passworts erforderlich. Kein Helpdesk-Ticket. Das Gerät wird einfach ausgeschlossen. Das Zertifikats-Lifecycle-Management ist die betriebliche Disziplin, die über Erfolg oder Misserfolg einer EAP-TLS-Bereitstellung entscheidet. Zertifikate haben ein Ablaufdatum — in der Regel ein bis zwei Jahre bei Gerätezertifikaten. Wenn Ihr MDM diese nicht vor dem Ablauf automatisch verlängert, erhalten Sie Anrufe von Benutzern, die plötzlich keine Verbindung mehr herstellen können. Die automatische Registrierung über SCEP- oder EST-Protokolle, integriert in Ihr MDM, ist für jede Flotte mit mehr als etwa fünfzig Geräten unverzichtbar. Auf der Seite der Wireless-Infrastruktur funktioniert EAP-TLS mit jedem Access-Point-Anbieter, der WPA2-Enterprise oder WPA3-Enterprise unterstützt — Cisco, Aruba, Ruckus, Meraki, Ubiquiti und andere. Die Konfiguration des Access Points ist relativ einfach: Richten Sie den AP auf Ihren RADIUS-Server aus, konfigurieren Sie das Shared Secret und aktivieren Sie 802.1X auf der SSID. Die Komplexität liegt fast ausschließlich in den PKI- und MDM-Schichten, nicht in der Funkschicht. --- IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE — ca. 2 Minuten Lassen Sie mich Ihnen die praktische Bereitstellungsreihenfolge vorstellen, die sich in der Praxis bewährt hat. Beginnen Sie mit Ihrer PKI. Wenn Sie keine haben, richten Sie eine zweistufige Hierarchie ein – eine Offline-Root-CA und eine Online-Ausstellungs-CA. Halten Sie die Root-CA offline. Stellen Sie Ihr RADIUS-Serverzertifikat von der Ausstellungs-CA aus. Stellen Sie Geräte-Zertifikate per Auto-Enrolment über Ihr MDM aus. Bevor Sie in die Produktion gehen, führen Sie ein Pilotprojekt mit einer kleinen Gruppe – zwanzig bis dreißig Geräte – auf einer Test-SSID durch. Validieren Sie die vollständige Zertifikatskette, testen Sie den Zertifikatswiderruf und bestätigen Sie, dass Ihr MDM-Erneuerungsprozess durchgängig funktioniert. Erst dann rollen Sie das System auf die gesamte Flotte aus. Die drei Fallstricke, die ich bei Enterprise-Bereitstellungen am häufigsten sehe. Erstens: Fehlkonfiguration des Zertifikats-Vertrauensankers. Wenn Ihre Geräte dem Zertifikat Ihres RADIUS-Servers nicht explizit vertrauen – weil die CA-Kette nicht in den Vertrauensspeicher des Geräts übertragen wurde –, schlägt der TLS-Handshake geräuschlos fehl. Der Benutzer sieht „Verbindung nicht möglich“ ohne nützliche Fehlermeldung. Validieren Sie vor dem Go-Live immer die Vertrauenskette aus beiden Richtungen. Zweitens: BYOD-Scope-Creep. EAP-TLS ist für verwaltete, unternehmenseigene Geräte konzipiert. Wenn Sie versuchen, es auf persönliche Geräte auszuweiten, stoßen Sie sofort auf das Problem, wie Sie Zertifikate auf Geräten bereitstellen, die Sie nicht kontrollieren. Die Antwort lautet: Tun Sie es nicht. Verwenden Sie eine separate SSID mit einer anderen Authentifizierungsmethode – vielleicht PEAP oder ein Captive Portal – für persönliche Geräte. Halten Sie Ihre EAP-TLS-SSID streng für die verwaltete Flotte bereit. Drittens: Zertifikatsablauf im großen Stil. Wenn bei einer Bereitstellung von fünfhundert oder tausend Geräten die automatische Zertifikatserneuerung nicht ordnungsgemäß funktioniert, werden Sie mit einer Welle von Authentifizierungsfehlern konfrontiert, wenn die Zertifikate gleichzeitig ablaufen. Testen Sie Ihren Erneuerungs-Workflow unter Last, bevor Sie die Produktionsskalierung erreichen. Für Organisationen mit mehreren Standorten – Hotelgruppen, Einzelhandelsketten, Stadionbetreiber – wird das Cloud-RADIUS-Modell dringend empfohlen. Es eliminiert die RADIUS-Infrastruktur pro Standort, zentralisiert das Richtlinienmanagement und lässt sich in Ihren bestehenden Cloud-Identity-Stack integrieren. Kombinieren Sie es mit einer in der Cloud gehosteten PKI, und Ihre gesamte Authentifizierungsinfrastruktur wird über eine einzige Benutzeroberfläche betrieblich verwaltbar. --- SCHNELLE FRAGEN UND ANTWORTEN – ca. 1 Minute Einige Fragen, die ich regelmäßig von IT-Teams höre. „Kann EAP-TLS mit WPA3 funktionieren?“ Ja. WPA3-Enterprise mit 192-Bit-Sicherheitsmodus schreibt tatsächlich eine zertifikatsbasierte Authentifizierung vor, was EAP-TLS zur natürlichen Wahl macht. „Müssen wir unsere Access Points austauschen?“ Fast sicher nicht. Jeder in den letzten fünf Jahren erworbene AP unterstützt WPA2-Enterprise mit 802.1X. Überprüfen Sie Ihre Firmware-Version, und Sie können wahrscheinlich direkt loslegen. „Was ist mit IoT-Geräten, die keine Zertifikate unterstützen?“ Diese Geräte sollten sich in einem separaten VLAN mit entsprechender Netzsegmentierung befinden. EAP-TLS ist für Ihre verwaltete Geräteflotte gedacht. IoT ist ein separates Problem. "Wie wirkt sich das auf unsere PCI DSS-Compliance aus?" Positiv. Die PCI DSS-Anforderung 8 schreibt eine starke Authentifizierung für den Zugriff auf Karteninhaber-Datenumgebungen vor. Die zertifikatsbasierte Authentifizierung erfüllt diese Anforderung weitaus robuster als Passwörter. Ihr QSA wird es Ihnen danken. "Wie sieht der typische Zeitplan für die Bereitstellung aus?" Für eine Neuinstallation mit einer neuen Cloud-PKI und MDM-Integration sollten Sie acht bis zwölf Wochen einplanen. Wenn Sie bereits Active Directory-Zertifikatdienste und Intune nutzen, können Sie in drei bis vier Wochen produktiv gehen. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — ca. 1 Minute Lassen Sie mich das zusammenfassen. EAP-TLS ist der Goldstandard für die Authentifizierung im corporate WiFi. Es eliminiert das Risiko passwortbasierter Anmeldedaten vollständig, bietet eine gegenseitige Authentifizierung zwischen Gerät und Netzwerk und liefert Ihnen eine kryptografisch erzwungene Geräteidentität. Der betriebliche Aufwand ist real — Sie benötigen eine PKI, ein MDM und eine RADIUS-Infrastruktur —, aber für jedes Unternehmen, das mehr als fünfzig Firmengeräte an mehreren Standorten verwaltet, überwiegen die Sicherheits- und Compliance-Vorteile die Investition bei Weitem. Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Authentifizierungsmethode und stellen Sie fest, ob Sie PEAP oder einen Pre-Shared Key verwenden. Bewerten Sie Ihre MDM-Abdeckung — wenn Sie keine vollständige MDM-Registrierung Ihrer Geräteflotte haben, ist dies die erste Voraussetzung, die Sie angehen müssen. Evaluieren Sie dann Ihre PKI-Optionen — Cloud-gehostete PKI-Dienste haben die Einstiegshürde drastisch gesenkt. Und wenn Sie sehen möchten, wie sich die Plattform von Purple in Ihre 802.1X-Infrastruktur integrieren lässt, um sowohl Ihr Mitarbeiter-WiFi als auch Ihr Gäste-WiFi über eine einzige Plattform zu verwalten, wenden Sie sich an unser Solutions-Team. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.