So implementieren Sie die 802.1X-Authentifizierung mit Cloud RADIUS

So implementieren Sie die 802.1X-Authentifizierung mit Cloud RADIUS Ein Purple WiFi Intelligence Briefing --- EINFÜHRUNG UND KONTEXT (ca. 1 Minute) --- Willkommen zum Purple WiFi Intelligence Briefing. Ich bin Ihr Gastgeber, und heute gehen wir ins Detail bei der 802.1X-Authentifizierung mit Cloud RADIUS – was es ist, warum es gerade jetzt wichtig ist und wie man es tatsächlich über ein standortübergreifendes Netzwerk hinweg bereitstellt. Wenn Sie die WiFi-Infrastruktur für eine Hotelgruppe, eine Einzelhandelskette, ein Stadion oder eine Organisation des öffentlichen Sektors verwalten, ist dies eines dieser Themen, die immer wieder auftauchen – und das aus gutem Grund. Die Bedrohungslandschaft hat sich verändert. Gemeinsam genutzte PSK-Netzwerke werden zunehmend als Compliance-Risiko und nicht nur als Sicherheitsunannehmlichkeit angesehen. Regulierungsbehörden, Auditoren und Cyber-Versicherer stellen immer anspruchsvollere Fragen zur Netzwerkzugriffskontrolle. Und die gute Nachricht ist, dass Cloud-basiertes RADIUS die 802.1X-Authentifizierung auf Unternehmensebene wirklich skalierbar macht, ohne den Aufwand für On-Premises-Infrastruktur, der sie früher für verteilte Standorte unpraktisch gemacht hat. Lassen Sie uns also direkt einsteigen. --- TECHNISCHER DEEP-DIVE (ca. 5 Minuten) --- Zunächst sollten wir sicherstellen, dass wir alle von derselben Definition ausgehen. IEEE 802.1X ist ein portbasierter Standard zur Netzwerkzugriffskontrolle. Er definiert ein Authentifizierungs-Framework, das auf Layer 2 des OSI-Modells angesiedelt ist – es arbeitet also, bevor einem Gerät überhaupt eine IP-Konnektivität gewährt wird. Das ist der entscheidende Unterschied zur Authentifizierung auf Anwendungsebene. Mit 802.1X kann ein Gerät erst dann auf das Netzwerk zugreifen, wenn es erfolgreich authentifiziert wurde. Das Protokoll besteht aus drei Komponenten. Dem Supplicant – das ist das Endgerät, sei es ein Laptop, ein Smartphone oder ein Point-of-Sale-Terminal. Dem Authenticator – in der Regel Ihr WiFi-Access-Point oder Ihr Managed Switch. Und dem Authentifizierungsserver – was in modernen Bereitstellungen Ihr Cloud-RADIUS-Dienst ist. Der Ablauf sieht wie folgt aus: Ein Gerät versucht, sich mit einem Access-Point zu verbinden. Der Access-Point gewährt nicht sofort vollen Netzwerkzugriff. Stattdessen öffnet er einen kontrollierten Port und initiiert einen EAP-Austausch – das steht für Extensible Authentication Protocol – mit dem Gerät. Das Gerät präsentiert seine Anmeldedaten, bei denen es sich um einen Benutzernamen und ein Passwort, ein digitales Zertifikat oder eine SIM-basierte Identität handeln kann. Der Access-Point leitet diesen Austausch über das RADIUS-Protokoll via UDP an den RADIUS-Server weiter, typischerweise auf Port 1812 für die Authentifizierung und Port 1813 für das Accounting. Der RADIUS-Server validiert die Anmeldedaten mit einem Identitätsspeicher – Active Directory, Azure AD oder einem LDAP-Verzeichnis – und gibt entweder eine Access-Accept- oder eine Access-Reject-Meldung zurück. Bei Annahme öffnet der Access-Point den Port und das Gerät erhält Netzwerkzugriff. Bei Ablehnung bleibt es blockiert. Im Prinzip einfach, aber die Details der Implementierung sind enorm wichtig. Die Auswahl der EAP-Methode ist nun der Punkt, an dem viele Bereitstellungen scheitern. Es gibt mehrere gängige EAP-Methoden, die sich in ihren Sicherheitsprofilen und betrieblichen Anforderungen stark unterscheiden.EAP-TLS ist der Goldstandard. Es erfordert eine gegenseitige Zertifikatsauthentifizierung — sowohl der Server als auch der Client weisen ein Zertifikat vor. Dies eliminiert das Risiko von Diebstahl von Zugangsdaten vollständig, da es keine Passwörter zu stehlen gibt. Es erfordert jedoch eine PKI-Infrastruktur und einen Mechanismus, um Client-Zertifikate auf die Geräte zu übertragen, was in der Regel eine MDM-Lösung voraussetzt. Für BYOD-Umgebungen in Unternehmen und Hochsicherheits-Deployments ist dies die richtige Wahl. PEAP mit MSCHAPv2 ist die am weitesten verbreitete Methode in Enterprise-Umgebungen. Es erfordert nur ein serverseitiges Zertifikat und tunnelt den Austausch der Zugangsdaten innerhalb von TLS. Es ist nativ mit Active Directory kompatibel, was den Betrieb unkompliziert macht. Das Risiko besteht darin, dass es anfällig für das Abgreifen von Zugangsdaten ist, wenn sich Benutzer mit einem Rogue Access Point mit einem selbstsignierten Zertifikat verbinden — daher ist die Zertifikatsvalidierung auf der Client-Seite nicht verhandelbar. EAP-TTLS ähnelt PEAP, ist jedoch flexibler bei der inneren Authentifizierungsmethode. Es ist besonders nützlich in gemischten Geräteumgebungen, in denen Sie eine Kombination aus Windows-, macOS-, iOS- und Android-Geräten mit unterschiedlichen Supplicant-Funktionen haben. Für die Unterstützung von Legacy-Geräten — wie ältere Point-of-Sale-Hardware oder IoT-Sensoren — kann EAP-FAST eine pragmatische Wahl sein, da es keine Zertifikate erfordert und stattdessen ein Protected Access Credential verwendet. Nun zum Thema Cloud-RADIUS. Traditionell war RADIUS ein On-Premises-Dienst — FreeRADIUS auf einem Linux-Server oder Microsoft NPS auf Windows Server. Dieses Modell funktioniert, bringt jedoch erhebliche Betriebskosten mit sich: Hardware-Wartung, Hochverfügbarkeitskonfiguration, Patching und die Notwendigkeit einer lokalen Infrastruktur an jedem Standort, der eine Authentifizierung mit geringer Latenz benötigt. Cloud-RADIUS verändert diese Kalkulation grundlegend. Ein Cloud-RADIUS-Dienst wird vom Anbieter gehostet und verwaltet. Ihre Access Points senden RADIUS-Anfragen über das Internet an den Cloud-Dienst, der die Authentifizierung gegenüber Ihrem Identity Provider übernimmt. Die Latenzbedenken sind real, aber beherrschbar — moderne Cloud-RADIUS-Dienste sind global verteilt, und die Authentifizierungs-Roundtrips dauern in der Regel weniger als 100 Millisekunden, was für Endbenutzer nicht wahrnehmbar ist. Die Integration mit Identity Providern ist die entscheidende Abhängigkeit. Die meisten Cloud-RADIUS-Plattformen unterstützen LDAP, LDAPS, SAML 2.0 sowie die direkte Integration von Azure AD oder Okta. Für Organisationen, die bereits Microsoft 365 nutzen, ist die Azure AD-Integration der natürliche Weg — Sie erhalten Single Sign-On, Richtlinien für bedingten Zugriff und MFA-Erzwingung, die alle in Ihre Netzwerk-Zugriffskontrollschicht einfließen. Für Standorte, die Guest WiFi parallel zu Mitarbeiternetzwerken bereitstellen, trennt die Architektur diese in der Regel in verschiedene SSIDs mit unterschiedlichen Authentifizierungsrichtlinien. Mitarbeiternetzwerke nutzen 802.1X mit Unternehmens-Anmeldedaten. Gäste-Netzwerke nutzen ein Captive Portal oder einen Social-Login-Flow. Die Plattform von Purple unterstützt beide Modelle, und die WiFi-Analyse-Ebene liegt über beiden, was Ihnen Einblick in das Geräteverhalten, die Verweildauer und die Netzwerkauslastung gibt, ohne die Sicherheitssegmentierung zu gefährden. --- IMPLEMENTIERUNGSEMPFEHLUNGEN UND STOLPERSTEINE (ca. 2 Minuten) --- Lassen Sie mich Ihnen die praktische Bereitstellungsreihenfolge erläutern und auf die Fehlerquellen hinweisen, die ich am häufigsten sehe. Beginnen Sie mit der Integration Ihres Identity Providers. Bevor Sie auch nur einen einzigen Access Point anfassen, stellen Sie sicher, dass Ihr Cloud-RADIUS-Dienst sich gegenüber Ihrem Verzeichnis authentifizieren kann. Testen Sie dies mit einem Dienstkonto, validieren Sie den LDAP-Bind und bestätigen Sie, dass die Gruppenmitgliedschaftsattribute korrekt zurückgegeben werden – denn diese benötigen Sie für die VLAN-Zuweisungsrichtlinien. Zweitens: Planen Sie Ihre Zertifikatsstrategie. Wenn Sie sich für EAP-TLS entscheiden, benötigen Sie eine CA. Sie müssen entscheiden, ob Sie eine öffentliche oder eine interne CA verwenden, und Sie benötigen einen MDM-Rollout-Plan für Client-Zertifikate. Wenn Sie sich für PEAP entscheiden, benötigen Sie ein Serverzertifikat von einer vertrauenswürdigen CA – kein selbstsigniertes – und Sie müssen das CA-Zertifikat auf alle Client-Geräte übertragen, damit die Zertifikatsvalidierung korrekt funktioniert. Dies ist der Schritt, der oft übersprungen wird und zu Sicherheitsvorfällen führt. Drittens: Konfigurieren Sie Ihre RADIUS-Clients – also Ihre Access Points und Controller – mit dem korrekten Shared Secret und der Server-IP oder dem Hostnamen. Verwenden Sie ein starkes, zufällig generiertes Shared Secret, kein Wörterbuchwort. Und wenn Ihr Cloud-RADIUS-Anbieter RADIUS over TLS – RadSec – unterstützt, nutzen Sie es. Es verschlüsselt den RADIUS-Datenverkehr während der Übertragung, was besonders wichtig ist, wenn dieser Datenverkehr über das öffentliche Internet läuft. Viertens: Testen Sie mit einer Pilotgruppe vor dem vollständigen Rollout. Authentifizierungsfehler im großen Stil sind störend und unter Druck schwer zu diagnostizieren. Führen Sie ein Pilotprojekt mit zehn bis zwanzig Geräten durch, validieren Sie die Authentifizierungsprotokolle, bestätigen Sie, dass die VLAN-Zuweisung funktioniert, und überprüfen Sie, ob die Accounting-Einträge korrekt geschrieben werden. Die Fehlerquellen, die ich am häufigsten sehe: Deaktivierte Zertifikatsvalidierung auf Clients, was zu Man-in-the-Middle-Schwachstellen führt. Shared Secrets, die zu kurz sind oder standortübergreifend wiederverwendet werden. Nicht konfigurierte RADIUS-Server-IP-Allowlists, sodass Authentifizierungsanfragen von neuen Standorten stillschweigend verworfen werden. Und MDM-Profile, die bei Ablauf von Zertifikaten nicht aktualisiert werden, was am Tag der Erneuerung zu massiven Authentifizierungsfehlern führt. --- SCHNELLE FRAGEN & ANTWORTEN (ca. 1 Minute) --- Einige Fragen, die mir regelmäßig gestellt werden. Kann ich 802.1X in einem Netzwerk betreiben, das auch IoT-Geräte enthält, die kein EAP unterstützen? Ja – nutzen Sie MAC Authentication Bypass als Fallback für Geräte, die keinen Supplicant ausführen können, aber verschieben Sie diese Geräte in ein eingeschränktes VLAN mit strengen Firewall-Regeln. Ersetzt 802.1X die WPA2- oder WPA3-Verschlüsselung? Nein — 802.1X übernimmt die Authentifizierung. WPA2-Enterprise oder WPA3-Enterprise übernimmt die Verschlüsselung. Sie benötigen beides. WPA3-Enterprise mit 802.1X ist derzeit die Best Practice für neue Bereitstellungen. Wie wirkt sich das auf die Latenz bei der Authentifizierung aus? Bei einem gut konfigurierten Cloud-RADIUS-Dienst ist mit 50 bis 150 Millisekunden pro Authentifizierung zu rechnen. Bei Roaming-Szenarien kann der schnelle BSS-Übergang nach 802.11r den Aufwand für die erneute Authentifizierung erheblich reduzieren. Ist dies PCI DSS-konform? 802.1X mit EAP-TLS oder PEAP in einem ordnungsgemäß segmentierten Netzwerk erfüllt die PCI DSS-Anforderungen 1 und 8 für die Netzwerkzugriffskontrolle. Beziehen Sie Ihren QSA frühzeitig ein. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE (ca. 1 Minute) --- Zusammenfassend lässt sich sagen: 802.1X mit Cloud-RADIUS ist die richtige Antwort für jedes Unternehmen, das Auditoren gegenüber eine Netzwerkzugriffskontrolle nachweisen, den Schadensradius bei kompromittierten Anmeldedaten minimieren oder die Authentifizierung über ein verteiltes System hinweg zentral verwalten muss. Die Bereitstellung ist nicht trivial, aber mit der richtigen Vorbereitung absolut machbar. Bringen Sie zuerst die Integration Ihres Identity Providers in Ordnung. Wählen Sie Ihre EAP-Methode basierend auf Ihrem Gerätebestand und Ihrer betrieblichen Kapazität zur Verwaltung von Zertifikaten. Nutzen Sie RadSec, wenn Ihre Infrastruktur dies unterstützt. Und testen Sie, bevor Sie ein Rollout im großen Stil durchführen. Wenn Sie ein gemischtes Gäste- und Mitarbeiternetzwerk betreiben — was auf die meisten Betreiber in der Hotellerie und im Einzelhandel zutrifft —, bieten Ihnen Plattformen wie Purple die Möglichkeit, beide Authentifizierungsmodelle über eine einzige Benutzeroberfläche zu verwalten, wobei die Analyseebene über das gesamte System hinweg greift. Für Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Netzwerkzugriffskontrolle, identifizieren Sie, welche Standorte noch mit gemeinsam genutzten PSK arbeiten, und erstellen Sie einen phasenweisen Migrationsplan. Beginnen Sie mit Ihren Standorten mit dem höchsten Risiko — denjenigen, die in den Bereich von PCI DSS fallen oder sensible Daten verarbeiten — und arbeiten Sie sich nach außen vor. Vielen Dank fürs Zuhören. Weitere technische Briefings finden Sie unter purple.ai.