Best Practices für die Absicherung von K-12-Schulnetzwerken mit NAC

Best Practices für die Absicherung von K-12-Schulnetzwerken mit NAC Ein Purple WiFi Intelligence Briefing — Ca. 10 Minuten --- EINFÜHRUNG UND KONTEXT — ca. 1 Minute Willkommen beim Purple WiFi Intelligence Briefing. Ich bin Ihr Moderator, und heute widmen wir uns einem Thema, das genau an der Schnittstelle von Jugendschutz, Compliance und praktischer Netzwerktechnik liegt: der Absicherung von K-12-Schulnetzwerken mithilfe von Network Access Control, kurz NAC. Wenn Sie als IT-Manager oder Netzwerkarchitekt im Bildungswesen tätig sind, kennen Sie die Herausforderung bereits. Sie haben ein einziges physisches Netzwerk, das gleichzeitig Lehrern, Schülern, der Schulleitung, besuchenden Eltern, IoT-Geräten wie Smartboards und Überwachungskameras und manchmal auch externen Dienstleistern dienen muss – und das alles bei völlig unterschiedlichen Vertrauensstufen und Zugriffsanforderungen. Es steht viel auf dem Spiel. Schulen verwalten sensible personenbezogene Daten von Minderjährigen. Sie unterliegen der GDPR, CIPA im US-Kontext und zunehmend den Richtlinien von Ofsted und DfE im britischen Raum. Ein einziger falsch konfigurierter Access Point kann Jugendschutzdaten offenlegen oder es einem Schüler ermöglichen, in das Verwaltungsnetzwerk einzudringen. Heute werden wir also genau durchgehen, wie man eine NAC-Lösung in einer K-12-Umgebung entwirft und bereitstellt – die Standards, die Segmentierungsstrategie, die Integrationspunkte und die Fallstricke, über die selbst erfahrene Teams stolpern. Legen wir los. --- TECHNISCHER DEEP-DIVE — ca. 5 Minuten Beginnen wir mit den Grundlagen. NAC – Network Access Control – ist die Methode zur Kontrolle, wer und was sich mit Ihrem Netzwerk verbinden kann und was diese nach der Verbindung tun dürfen. Im K-12-Kontext bedeutet dies die Durchsetzung von Authentifizierung, Autorisierung und Richtlinien am Punkt des Netzwerkeintritts, sei es an einem kabelgebundenen Switch-Port oder an einem drahtlosen Access Point. Der grundlegende Standard hierbei ist IEEE 802.1X. Dies ist das portbasierte Authentifizierungsprotokoll, das zwischen einem Supplicant – dem Gerät, das versucht, eine Verbindung herzustellen –, einem Authenticator (Ihrem Switch oder Access Point) und einem Authentifizierungsserver, in der Regel einem RADIUS-Server, vermittelt. Wenn ein Gerät versucht, eine Verbindung herzustellen, hält 802.1X es in einem nicht authentifizierten Zustand, leitet die Anmeldedaten an den RADIUS-Server weiter und gewährt den Netzwerkzugriff erst, wenn der Server die Übereinstimmung von Identität und Richtlinie bestätigt. In einer Schule lässt sich dies direkt auf Ihre Benutzergruppen übertragen. Mitarbeiter authentifizieren sich mit ihren Active Directory- oder Azure AD-Anmeldedaten. Schüler authentifizieren sich mit ihren von der Schule ausgestellten Anmeldedaten oder Gerätezertifikaten. Nicht verwaltete Geräte – das Telefon eines Elternteils am Elternabend, das Laptop eines Dienstleisters – werden auf ein Captive Portal oder ein eingeschränktes Gast-VLAN umgeleitet. Lassen Sie uns nun über die VLAN-Segmentierung sprechen, denn hier machen es die meisten Schulnetzwerke entweder richtig oder lassen sich angreifbar zurück. Das minimal tragfähige Segmentierungsmodell für ein K-12-Netzwerk sieht wie folgt aus. Sie benötigen mindestens vier VLANs. Erstens ein Mitarbeiter- und Verwaltungs-VLAN – dieses überträgt Lehrer-Arbeitsplätze, Schulverwaltungssysteme, HR-Daten und Finanzanwendungen. Voller Internetzugang, aber kein seitlicher Zugriff auf Schülergeräte. Zweitens ein Schüler-VLAN – gefilterter Internetzugang, erzwungene Inhaltsfilterung, kein Zugriff auf Mitarbeiterressourcen. Drittens ein IoT- und Infrastruktur-VLAN – hier befinden sich Ihre Smartboards, IP-Kameras, Zutrittskontrollsysteme und Drucker. Dieses VLAN sollte idealerweise überhaupt keinen Internetzugang haben, es sei denn, ein bestimmtes Gerät benötigt ihn zwingend, und es sollte durch eine Firewall sowohl vom Mitarbeiter- als auch vom Schüler-VLAN getrennt sein. Viertens ein Gast- oder Besucher-VLAN – nur Internet, vollständig isoliert, mit einem Captive Portal zur Akzeptanz der Nutzungsbedingungen und zur Identitätserfassung. Der RADIUS-Server ist das Gehirn dieses Systems. In den meisten Schulumgebungen integrieren Sie RADIUS in Ihren bestehenden Verzeichnisdienst. Wenn Sie Microsoft Active Directory nutzen, geschieht dies in der Regel über NPS – Network Policy Server – unter Windows Server oder über einen Cloud-RADIUS-Dienst, wenn Sie zu Azure AD oder Google Workspace migriert sind. Der RADIUS-Server wendet Richtlinien basierend auf der Gruppenmitgliedschaft an: Ein Benutzer in der Sicherheitsgruppe „Mitarbeiter“ wird dem VLAN 10 zugewiesen, ein Benutzer in „Schüler“ dem VLAN 20 und so weiter. Auf der drahtlosen Seite ist der aktuelle Best-Practice-Standard WPA3-Enterprise. WPA3 behebt die bekannten Schwachstellen von WPA2, insbesondere im Bereich von Offline-Wörterbuchangriffen und der KRACK-Schwachstelle. WPA3-Enterprise verwendet einen 192-Bit-Sicherheitsmodus für hochsensible Umgebungen, was für die SSID von Mitarbeitern und Verwaltung angemessen ist. Für Schüler-SSIDs stellt WPA3-Personal mit SAE – Simultaneous Authentication of Equals – eine erhebliche Verbesserung gegenüber WPA2-PSK dar, da es Offline-Brute-Force-Angriffe selbst dann verhindert, wenn der Pre-Shared Key kompromittiert wurde. Eine wichtige Architekturentscheidung ist die Frage, ob eine einzige SSID mit dynamischer VLAN-Zuweisung oder mehrere SSIDs betrieben werden sollen. Der Ansatz mit einer einzigen SSID ist betrieblich sauberer – Benutzer verbinden sich mit einem einzigen Netzwerknamen, und der RADIUS-Server weist sie basierend auf ihren Anmeldedaten dynamisch dem richtigen VLAN zu. Dies reduziert den RF-Overhead und vereinfacht die Gerätekonfiguration. Es erfordert jedoch, dass alle Ihre Access Points die dynamische VLAN-Zuweisung über RADIUS-Attribute unterstützen, insbesondere die Attribute Tunnel-Type, Tunnel-Medium-Type und Tunnel-Private-Group-ID in der RADIUS-Access-Accept-Antwort. Die Verwaltung von IoT-Geräten ist in Schulen eine besondere Herausforderung. Smartboards, Dokumentenkameras, Umgebungssensoren – diese Geräte unterstützen oft überhaupt kein 802.1X. Die Lösung hierfür ist MAC Authentication Bypass, kurz MAB, kombiniert mit Multi-PSK, kurz MPSK. MAB ermöglicht es Ihnen, Geräte anhand ihrer MAC-Adresse mit einer Whitelist in Ihrem RADIUS-Server zu authentifizieren. MPSK geht noch weiter – es ermöglicht Ihnen, einen eindeutigen Pre-Shared Key pro Gerät oder Gerätegruppe zuzuweisen, sodass jedes IoT-Gerät über eigene Anmeldedaten verfügt und die Kompromittierung des Schlüssels eines Geräts keine Auswirkungen auf andere hat. Für eine detaillierte Anleitung zu diesem Ansatz beschreibt der Leitfaden von Purple zur Verwaltung der IoT-Gerätesicherheit mit NAC und MPSK die Konfigurationsdetails ausführlich. Lassen Sie uns auch die Überprüfung des Sicherheitsstatus von Endpunkten (Endpoint Posture Checking) ansprechen, da Enterprise-NAC-Lösungen hier einen erheblichen Mehrwert gegenüber einfachem 802.1X bieten. Lösungen wie Cisco ISE, Aruba ClearPass oder Forescout können Endpunkte vor der Gewährung des Zugriffs überprüfen – sie prüfen, ob ein Gerät über aktuelle Antiviren-Signaturen verfügt, ob das Betriebssystem gepatcht ist und ob die Festplattenverschlüsselung aktiviert ist. Im Schulkontext ist dies besonders wertvoll für Geräte im Besitz von Mitarbeitern oder bei BYOD-Szenarien. Ein Gerät, das die Statusprüfung nicht besteht, kann in ein Behebungs-VLAN unter Quarantäne gestellt werden, wo es nur auf Update-Server zugreifen kann, anstatt vollen Netzwerkzugriff zu erhalten. --- EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG UND FALLSTRICKE — ca. 2 Minuten Lassen Sie mich Ihnen die praktische Bereitstellungsreihenfolge aufzeigen und dann die drei am häufigsten auftretenden Fallstricke nennen. Beginnen Sie mit einer vollständigen Netzwerküberprüfung. Bevor Sie eine einzige Konfiguration ändern, benötigen Sie ein vollständiges Inventar jedes Geräts im Netzwerk – kabelgebunden und drahtlos – sowie jeder aktuell ausgestrahlten SSID. Verwenden Sie ein Tool wie Nmap oder Ihre vorhandene Netzwerkmanagement-Plattform, um die Geräte zu erfassen. Sie werden fast sicher Schatten-IT finden: persönliche Hotspots, nicht verwaltete Switches und Geräte, von denen niemand wusste, dass sie existieren. Führen Sie die Bereitstellung phasenweise durch. Versuchen Sie nicht, die 802.1X-Authentifizierung am ersten Tag an der gesamten Schule durchzusetzen. Beginnen Sie mit einem Pilotprojekt – typischerweise dem Mitarbeiternetzwerk im Verwaltungsgebäude. Führen Sie das System zunächst im Monitor-Modus aus, in dem 802.1X zwar ausgewertet, aber nicht erzwungen wird. So können Sie Geräte identifizieren, bei denen die Authentifizierung fehlschlagen würde, bevor Sie jemanden aussperren. Gehen Sie dann VLAN für VLAN zur Durchsetzung über. Integrieren Sie das System in Ihren Verzeichnisdienst, bevor Sie es für Benutzer bereitstellen. Der häufigste Fehler besteht darin, RADIUS bereitzustellen und dann festzustellen, dass die Verzeichnisintegration fehlerhaft ist – entweder weil Firewall-Regeln den LDAP-Verkehr blockieren oder weil das von RADIUS verwendete Dienstkonto nicht über ausreichende Berechtigungen zum Abfragen der Gruppenmitgliedschaft verfügt. Nun zu den drei Fallstricken. Erstens: Ältere Geräte. Jede Schule hat sie. Ältere Drucker, alte AV-Geräte, interaktive Whiteboards aus dem Jahr 2012. Diese Geräte unterstützen kein 802.1X. Halten Sie eine MAB-Whitelist-Strategie bereit, bevor Sie die Authentifizierung erzwingen, da Sie sonst am ersten Schultag Anrufe von allen Lehrern erhalten, deren Drucker nicht mehr funktionieren. Zweitens: Zertifikatsverwaltung. WPA3-Enterprise und die EAP-TLS-Authentifizierung erfordern Zertifikate. Wenn Sie eine von der Schule verwaltete PKI verwenden, stellen Sie vor der Bereitstellung sicher, dass Ihrer Zertifizierungsstelle auf allen verwalteten Geräten vertraut wird. Nicht verwaltete BYOD-Geräte fordern Benutzer auf, ein nicht vertrauenswürdiges Zertifikat zu akzeptieren, was ein Phishing-Risiko darstellt – Benutzer gewöhnen sich daran, bei Zertifikatswarnungen einfach auf „Akzeptieren“ zu klicken. Drittens: Compliance im Gastnetzwerk. Wenn Sie unter der GDPR personenbezogene Daten über ein Captive Portal erfassen – und sei es nur eine E-Mail-Adresse –, benötigen Sie eine Rechtsgrundlage, einen Datenschutzhinweis und eine Richtlinie zur Datenaufbewahrung. Die Guest WiFi-Plattform von Purple übernimmt dies nativ und bietet konforme Captive Portal-Abläufe mit integrierter Einwilligungsverwaltung. Dies ist besonders nützlich für Elternabende und Veranstaltungen, bei denen Sie schnell eine große Anzahl von Besuchern anbinden müssen. --- SCHNELLE FRAGEN UND ANTWORTEN — ca. 1 Minute Lassen Sie uns die Fragen durchgehen, die mir zu diesem Thema am häufigsten gestellt werden. „Benötigen wir einen dedizierten RADIUS-Server oder können wir einen Cloud-Dienst nutzen?“ – Beides ist möglich. Der lokale NPS unter Windows Server ist kostenlos und lässt sich nativ in Active Directory integrieren. Cloud-RADIUS-Dienste wie Foxpass oder JumpCloud RADIUS eignen sich besser für Azure AD- oder Google Workspace-Umgebungen und reduzieren den Platzbedarf Ihrer lokalen Infrastruktur. „Was ist mit Chromebooks?“ – Chromebooks unterstützen 802.1X nativ und können über die Google Admin-Konsole so konfiguriert werden, dass sie EAP-TLS mit Gerätezertifikaten verwenden, die über die Zertifikatsverwaltung von Google ausgestellt wurden. Dies ist der sauberste Ansatz für Google Workspace for Education-Bereitstellungen. „Wie gehen wir mit Eltern an Elternabenden um?“ – Captive Portal in einem isolierten Gast-VLAN. Kein 802.1X erforderlich. Die Guest WiFi-Plattform von Purple bietet ein gebrandetes, GDPR-konformes Portal, das die Einwilligung erfasst und Analysen an Ihr Marketing- oder Kommunikationsteam zurückgeben kann. „Wie sieht der ROI für NAC in einer Schule aus?“ – In erster Linie Risikominderung. Eine Datenschutzverletzung bei Schülerdaten kann zu Bußgeldern der Aufsichtsbehörden, Reputationsschäden und erheblichen Behebungskosten führen. Die Kosten für eine ordnungsgemäß bereitgestellte NAC-Lösung sind ein Bruchteil der Kosten für die Untersuchung einer einzigen Datenschutzverletzung. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — ca. 1 Minute Zusammenfassend lässt sich sagen: Die Absicherung eines K-12-Netzwerks mit NAC basiert auf vier Säulen. Identität – zu jeder Zeit wissen, wer und was sich in Ihrem Netzwerk befindet. Segmentierung – sicherstellen, dass ein kompromittiertes Schülergerät nicht auf Mitarbeiterdaten oder die IoT-Infrastruktur zugreifen kann. Compliance – Erfüllung der Anforderungen von GDPR, CIPA und DfE an Datenschutz und Jugendschutz. Und Transparenz – die Fähigkeit zur Protokollierung und Analyse besitzen, um Anomalien zu erkennen und schnell zu reagieren. Der praktische Ausgangspunkt ist eine Netzwerküberprüfung und das VLAN-Design. Wenn Sie das richtig machen, folgt die 802.1X-Bereitstellung einer logischen Abfolge. Versuchen Sie nicht, alles auf einmal zu tun – gehen Sie phasenweise vor, testen Sie im Monitor-Modus und erstellen Sie Ihre MAB-Whitelist, bevor Sie die Richtlinien durchsetzen. Wenn Sie evaluieren, wie eine Guest WiFi- und Analyseplattform in diese Architektur passt: Die Plattform von Purple lässt sich direkt in Ihre NAC-Infrastruktur integrieren, um ein konformes Onboarding von Gästen, Besucheranalysen und die Durchsetzung von Richtlinien zu ermöglichen – ohne die Komplexität Ihrer Kernnetzwerk-Segmentierung zu erhöhen. Weitere Informationen finden Sie in den Leitfäden von Purple zur IoT-Gerätesicherheit mit NAC und MPSK sowie in den weiterführenden Ressourcen zur Netzwerkinfrastruktur für Unternehmen, die in den Shownotes verlinkt sind. Vielen Dank fürs Zuhören. Bis zum nächsten Mal. --- ENDE DES SKRIPTS