Captive Portal vs Splash Page

CAPTIVE PORTAL VS. SPLASH PAGE – EIN TECHNISCHES BRIEFING VON PURPLE Podcast-Skript – ca. 10 Minuten UK-Englische Stimme --- SEGMENT 1: EINFÜHRUNG UND KONTEXT (ca. 1 Minute) Willkommen zur technischen Briefing-Reihe von Purple. Ich bin Ihr Moderator, und heute klären wir eine der hartnäckigsten Unklarheiten bei der Beschaffung und Bereitstellung von Gäste-WiFi auf: den Unterschied zwischen einem Captive Portal und einer Splash Page. Wenn Sie jemals in einem Anbieter-Meeting saßen und gehört haben, wie diese beiden Begriffe synonym verwendet wurden, sind Sie nicht allein. Das passiert ständig – in Ausschreibungsunterlagen, in IT-Strategie-Präsentationen und sogar in Gesprächen zwischen Netzwerktechnikern, die es eigentlich besser wissen sollten. Und diese Verwirrung ist von Bedeutung. Denn wenn man beides in einen Topf wirft, spezifiziert man am Ende entweder die falsche Komponente übermäßig, investiert zu wenig in die richtige oder – noch schlimmer – stellt eine Gäste-WiFi-Lösung bereit, die zwar toll aussieht, aber keine ordentliche Netzwerksteuerung darunter hat, oder eine, die technisch solide ist, aber Gäste mit einem klobigen, markenlosen Anmeldebildschirm vertreibt. Lassen Sie uns das also heute korrigieren. Am Ende dieses Briefings werden Sie ein klares mentales Modell davon haben, was jede Komponente tut, wie sie interagieren und worauf Sie achten müssen, wenn Sie Lösungen für Ihren Standort bewerten – sei es ein Hotel, ein Einzelhandelsgeschäft, ein Stadion oder ein öffentliches Gebäude. --- SEGMENT 2: TECHNISCHER DEEP-DIVE (ca. 5 Minuten) Beginnen wir mit dem Captive Portal, denn es ist das Fundament, auf dem alles andere aufbaut. Ein Captive Portal ist ein Mechanismus auf der Netzwerkschicht. Seine Aufgabe ist es, den gesamten ausgehenden Datenverkehr eines neu verbundenen Geräts abzufangen und in einer Art digitalem Wartezimmer festzuhalten, bis dieses Gerät authentifiziert wurde. Wenn sich ein Gast mit Ihrer WiFi-SSID verbindet, erhält sein Gerät eine IP-Adresse über DHCP – dieser Teil funktioniert ganz normal. Aber bevor tatsächlicher Internetverkehr zugelassen wird, fängt das Captive Portal diesen ab. Hier ist der technische Ablauf. Das Gerät des Gasts sendet eine HTTP- oder HTTPS-Anfrage – es versucht möglicherweise, eine Website zu laden, oder es handelt sich um die eigene Konnektivitätsprüfung des Betriebssystems, die moderne Geräte wie iPhones und Android-Telefone automatisch ausführen. Der Captive Portal-Controller – der sich entweder auf Ihrem Wireless-Controller, Ihrem Router oder einer cloudbasierten Plattform befindet – fängt diese DNS-Abfrage oder HTTP-Anfrage ab und leitet sie weiter. Anstatt das Internet zu erreichen, erhält das Gerät eine Redirect-Antwort, die auf eine bestimmte URL verweist. Unter dieser URL befindet sich die Splash Page. Der Weiterleitungsmechanismus selbst nutzt eine von zwei primären Techniken. Die erste ist DNS-Hijacking – das Captive Portal fängt DNS-Anfragen ab und gibt anstelle des tatsächlichen Ziels die IP-Adresse des Portal-Servers zurück. Die zweite ist der HTTP-Redirect – das Portal fängt die HTTP-Anfrage am Gateway ab und sendet eine 302-Weiterleitungsantwort. Bei HTTPS-Traffic ist dies komplexer, da eine verschlüsselte Sitzung nicht ohne das Auslösen einer Zertifikatswarnung abgefangen werden kann. Aus diesem Grund verlassen sich die meisten Captive Portal-Implementierungen auf den integrierten Captive Network Assistant des Betriebssystems – das Pop-up, das auf Ihrem Telefon erscheint, wenn Sie sich mit einem neuen Netzwerk verbinden. Dieses nutzt einen bekannten HTTP-Endpunkt, um Captive Portale vor dem Versuch von HTTPS-Verbindungen zu erkennen. Auf der Netzwerkschicht erzwingt das Captive Portal die Zugriffskontrolle mithilfe von Firewall-Regeln. Nicht authentifizierte Geräte werden in ein eingeschränktes VLAN oder Subnetz verschoben, in dem der gesamte Datenverkehr mit Ausnahme von DNS und HTTP zum Portal-Server blockiert ist. Sobald die Authentifizierung bestätigt ist – sei es durch einen einfachen Klick, einen Social Login, die Erfassung einer E-Mail-Adresse oder einen vollständigen 802.1X-Anmeldedatenaustausch –, aktualisiert der Portal-Controller die Firewall-Regeln für die MAC-Adresse dieses Geräts und verschiebt es aus der eingeschränkten Zone in die autorisierte Zone mit vollem Internetzugang. Das ist wichtig: Das Captive Portal ist für den Gast unsichtbar. Er sieht es nie direkt. Was er sieht, ist die Splash Page. Die Splash Page ist die Anwendungsschicht – es ist das HTML, CSS und JavaScript, das im Browser des Gasts oder im Pop-up des Captive Network Assistant gerendert wird. Es ist die visuelle Benutzeroberfläche: Ihre Marke, Ihr Logo, Ihre Willkommensnachricht, Ihre Allgemeinen Geschäftsbedingungen, Ihre Social-Login-Buttons, Ihre Marketing-Opt-in-Checkboxen. Sie verwandelt ein rein technisches Netzwerk-Authentifizierungsereignis in ein gebrandetes Gästeerlebnis. Stellen Sie es sich so vor: Das Captive Portal ist der Türsteher – es entscheidet, wer reinkommt, und setzt die Regeln durch. Die Splash Page ist die Rezeption – sie ist das Gesicht Ihres Standorts, sie sammelt Informationen und sorgt dafür, dass sich der Gast willkommen fühlt. Sie benötigen beide, und sie müssen nahtlos zusammenarbeiten. Warum ist diese Unterscheidung kommerziell so wichtig? Weil Sie bei der Bewertung einer Gäste-WiFi-Lösung für jede Komponente unterschiedliche Fragen stellen müssen. Für das Captive Portal fragen Sie: Welche Authentifizierungsmethoden werden unterstützt? Kann es 802.1X für Unternehmensgeräte neben dem Social Login für Gäste verarbeiten? Unterstützt es den MAC-Adressen-Bypass für Geräte, die keinen Browser anzeigen können? Wie geht es mit Sitzungs-Timeouts und erneuter Authentifizierung um? Ist es konform mit Ihren Datenschutzverpflichtungen gemäß GDPR? Lässt es sich in Ihre RADIUS-Infrastruktur integrieren? Kann es den Datenverkehr nach Benutzertyp segmentieren – um den Gäste-Traffic auf der Netzwerkschicht vom Mitarbeiter-Traffic zu trennen? Für die Splash-Page stellen Sie sich die Fragen: Wie anpassbar ist sie? Kann Ihr Marketing-Team sie bearbeiten, ohne die Netzwerkkonfiguration anzupassen? Unterstützt sie A/B-Tests? Kann sie verschiedenen Nutzersegmenten unterschiedliche Inhalte bereitstellen – beispielsweise Loyalty-Mitgliedern im Vergleich zu Erstbesuchern? Unterstützt sie Videohintergründe, Werbebanner oder Weiterleitungsseiten nach dem Verbindungsaufbau? Wie ist die Performance auf Mobilgeräten? Ist sie barrierefrei? Dies sind grundlegend unterschiedliche Beschaffungskriterien, und beide zu vermischen, führt zu Fehlentscheidungen. Wir haben erlebt, dass Unternehmen viel Geld in ein ansprechendes Splash-Page-Design investiert haben, um dann festzustellen, dass das zugrunde liegende Captive Portal die von ihrer IT-Sicherheitsrichtlinie geforderten Authentifizierungsmethoden nicht unterstützt. Wir haben auch das Gegenteil erlebt – technisch robuste Captive Portal-Implementierungen mit so schlecht gestalteten Splash-Pages, dass die Akzeptanzrate der Gäste im 30-Prozent-Bereich lag. Lassen Sie uns über die Standards sprechen, die all dem zugrunde liegen. Der Captive Portal-Mechanismus verfügt über keinen einheitlichen Standard, arbeitet jedoch im Rahmen mehrerer wichtiger Richtlinien. IEEE 802.1X ist der portbasierte Netzwerkzugriffskontrollstandard, der regelt, wie sich Geräte mithilfe von Anmeldedaten, Zertifikaten oder Token an einem Netzwerk authentifizieren. Er ist das Fundament der WiFi-Sicherheit in Unternehmen und gewinnt selbst im Bereich des Gäste-WiFi zunehmend an Bedeutung, wenn Sie wiederkehrenden Besuchern einen nahtlosen, auf Anmeldedaten basierenden Zugang bieten möchten. WPA3, das neueste WiFi-Sicherheitsprotokoll, führt Opportunistic Wireless Encryption ein, wodurch der Datenverkehr selbst in offenen Netzwerken verschlüsselt wird – was für Captive Portal-Implementierungen relevant ist, da es den Ablauf des ersten Verbindungs-Handshakes verändert. Aus Compliance-Sicht hat die GDPR erhebliche Auswirkungen auf das Design von Splash-Pages. Wenn Ihre Splash-Page personenbezogene Daten erfasst – eine E-Mail-Adresse, einen Namen, ein Social-Login –, benötigen Sie eine ausdrückliche, informierte Einwilligung, eine klare Datenschutzerklärung und eine Rechtsgrundlage für die Verarbeitung. Auf der Splash-Page wird diese Einwilligung erfasst, aber das Captive Portal sorgt dafür, dass die Verbindung zwischen Einwilligung und Zugriff durchgesetzt wird. Wenn ein Gast Ihr Marketing-Opt-in ablehnt, muss das Captive Portal ihm dennoch Internetzugang gewähren – die Einwilligung zu Marketingzwecken darf unter der GDPR keine Bedingung für den Zugriff auf das Netzwerk sein. PCI DSS ist relevant, wenn Ihr Gäste-WiFi-Netzwerk in den Bereich von Kartendatenumgebungen fällt – typischerweise im Einzelhandel oder im Gastgewerbe. Die durch das Captive Portal erzwungene Netzwerksegmentierung ist hier eine wichtige Kontrollmaßnahme, die sicherstellt, dass der Gästedatenverkehr von Zahlungssystemen isoliert ist. --- SEGMENT 3: IMPLEMENTATION RECOMMENDATIONS AND PITFALLS (approximately 2 minutes) Lassen Sie mich Ihnen zwei Praxisszenarien vorstellen, die zeigen, wie sich dies in der Realität auswirkt. Erstens: Eine Hotelgruppe mit 200 Zimmern. Sie implementierte eine Gäste-WiFi-Lösung mit einer wunderschön gestalteten Splash Page – inklusive Logo, Willkommensnachricht und einem Werbeangebot für den Spa-Bereich. Das zugrunde liegende Captive Portal war jedoch eine einfache Open-Source-Implementierung, die DNS-Hijacking ohne jegliche Sitzungsverwaltung nutzte. Das Ergebnis: Gäste, die ins Hotel zurückkehrten, wurden bei jedem einzelnen Besuch zur erneuten Anmeldung aufgefordert, selbst während desselben Aufenthalts. Die Splash Page sah großartig aus, aber das Captive Portal bot keine MAC-Adressen-Persistenz, keine Konfiguration für Sitzungs-Timeouts und keine Integration in das Property-Management-System. Die Lösung erforderte den kompletten Austausch des Captive Portal-Controllers – die Splash Page war völlig in Ordnung. Zweitens: Eine nationale Einzelhandelskette. Sie implementierte ein Captive Portal der Enterprise-Klasse mit vollständiger 802.1X-Unterstützung, RADIUS-Integration und anspruchsvoller Traffic-Segmentierung. Ihre Splash Page war jedoch eine Standardvorlage – schlichtes Weiß, kein Branding, eine generische Nachricht "Mit WiFi verbinden". Die Akzeptanzrate bei den Gästen lag bei 34 %. Nachdem sie in eine professionell gestaltete, gebrandete Splash Page mit einer Social-Login-Option per Klick investiert hatten, stieg die Akzeptanz innerhalb von drei Monaten auf 71 %. Das Captive Portal hatte sich überhaupt nicht verändert. Die Lehre aus beiden Szenarien: Diese separaten Komponenten erfordern separate Investitionen und separates Fachwissen. Lassen Sie Ihr Netzwerkteam nicht das Design der Splash Page bestimmen, und lassen Sie Ihr Marketingteam keine Entscheidungen über die Architektur des Captive Portals treffen. Häufige Fallstricke, die es zu vermeiden gilt: Erstens, die Annahme, dass eine Splash Page ein Captive Portal ist. Das ist sie nicht. Eine Splash Page ohne Captive Portal ist nur eine Webseite, zu deren Besuch niemand gezwungen wird. Zweitens, die Bereitstellung eines Captive Portals ohne HTTPS-Unterstützung für die Splash Page. Alle auf einer unverschlüsselten Splash Page erfassten Daten – wie E-Mail-Adressen oder Anmeldedaten – werden im Klartext übertragen. Das ist ein GDPR- und Sicherheitsrisiko. Drittens, das Ignorieren der mobilen Nutzererfahrung. Über 80 % der Gäste-WiFi-Verbindungen erfolgen über mobile Geräte. Wenn Ihre Splash Page nicht für Mobilgeräte optimiert ist, erzeugen Sie genau in dem Moment Reibungsverluste, in dem Sie einen positiven Markenaufbau erzielen sollten. --- SEGMENT 4: SCHNELLE FRAGEN UND ANTWORTEN (ca. 1 Minute) Lassen Sie uns kurz einige Fragen durchgehen, die wir regelmäßig hören. Kann ich eine Splash Page ohne Captive Portal haben? Technisch gesehen ja – Sie können eine Webseite hosten und Nutzer dorthin leiten –, aber ohne dass das Captive Portal die Weiterleitung erzwingt, haben Gäste keinen Grund, sie zu besuchen. Sie hätten keine Datenerfassung, kein Einwilligungsmanagement und keine Netzwerkzugriffskontrolle. Kann ich ein Captive Portal ohne Splash Page haben? Ja, und das ist in Enterprise-Umgebungen üblich, in denen 802.1X die Authentifizierung im Hintergrund abwickelt. Bei kundenorientierten Bereitstellungen möchten Sie jedoch fast immer eine Splash Page nutzen, um die Benutzererfahrung und die Datenerfassung zu steuern. Bricht WPA3 Captive Portals? Nicht, wenn es korrekt implementiert wird. WPA3 mit Opportunistic Wireless Encryption ist mit Captive Portal-Bereitstellungen kompatibel, erfordert jedoch, dass das Portal HTTPS verwendet und das Netzwerk die Portal-URL korrekt ankündigt. Einige ältere Client-Geräte weisen Kompatibilitätsprobleme auf, weshalb viele Veranstaltungsorte duale SSID-Konfigurationen betreiben. Ist das Social Login über die Splash Page sicher? Das hängt von der Implementierung ab. OAuth 2.0-basiertes Social Login — über Google, Facebook oder Apple — ist sicher, wenn es korrekt implementiert wird. Die Splash Page wickelt den OAuth-Flow ab, und das Captive Portal erhält ein Token, das die Authentifizierung bestätigt. Das Hauptrisiko liegt darin, wie dieses Token validiert und wie die Sitzung verwaltet wird. --- SEGMENT 5: ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE (ca. 1 Minute) Lassen Sie uns mit den wichtigsten Erkenntnissen abschließen. Erstens: Ein Captive Portal und eine Splash Page sind nicht dasselbe. Das Captive Portal ist der Netzwerk-Kontrollmechanismus — es fängt den Datenverkehr ab und setzt Zugriffsregeln durch. Die Splash Page ist die visuelle Benutzeroberfläche — das, was der Gast sieht und womit er interagiert. Zweitens: Sie arbeiten zusammen. Das Captive Portal leitet den Gast zur Splash Page weiter. Die Splash Page erfasst die Authentifizierung oder Einwilligung. Das Captive Portal gewährt dann basierend auf diesem Ergebnis den Zugriff. Drittens: Evaluieren Sie beide separat. Stellen Sie unterschiedliche Fragen, wenden Sie unterschiedliches Fachwissen an und budgetieren Sie für beide unabhängig voneinander. Viertens: Compliance findet an der Schnittstelle statt. Die GDPR-Einwilligung wird auf der Splash Page erfasst, aber vom Captive Portal durchgesetzt. Machen Sie beides richtig. Fünftens: Purple bietet beides. Wenn Sie nach einer Plattform suchen, die eine Captive Portal-Steuerung auf Enterprise-Niveau mit einem ansprechenden, anpassbaren Splash Page-Design kombiniert — inklusive umfassender Analysen, Tools zur GDPR-Compliance und Integrationen in Ihre bestehende Infrastruktur —, dann ist Purple genau dafür gebaut. Als nächste Schritte empfehle ich Ihnen, die Purple-Implementierungsleitfäden zur 802.1X-Authentifizierung und zu Guest-WiFi-Analysen zu lesen. Die Links finden Sie in den Shownotes. Und wenn Sie sich mitten in einem Beschaffungsprozess befinden, wenden Sie sich für eine technische Bewertung an das Purple-Team — es lohnt sich, die Architektur richtig aufzusetzen, bevor Sie sich auf eine Bereitstellung festlegen. Vielen Dank fürs Zuhören. Bis zum nächsten Mal. --- ENDE DES SKRIPTS