Cyber Essentials und Mitarbeiter-WiFi: Die fünf Kontrollen in Ihrem Wireless-Netzwerk bestehen

Um die fünf Cyber Essentials-Kontrollmechanismen in Ihrem drahtlosen Netzwerk zu erfüllen, müssen Sie das Mitarbeiter-WiFi über den 802.1X-Standard oder iPSK sichern. Die Integration von Plattformen wie Cisco Meraki ermöglicht es Ihnen, individuelle Benutzerzugriffskontrollen durchzusetzen, Firmware innerhalb von 14 Tagen zu patchen und MFA anzuwenden, um Ihre im Geltungsbereich befindlichen Geräte zu schützen.

Was verlangt Cyber Essentials von Ihrem Mitarbeiter-WiFi?

Cyber Essentials ist das von der britischen Regierung unterstützte Programm, das fünf technische Kontrollen gegen gängige Angriffe aus dem Internet zertifiziert. Das National Cyber Security Centre (NCSC) legt die technischen Anforderungen fest. IASME führt das Programm seit April 2020 als Partner des NCSC durch. Bewertungen ab dem 28. April 2025 nutzen den Willow-Fragenkatalog, der sich an Version 3.2 der NCSC-Anforderungen orientiert.

Der Fragebogen enthält kein separates Kapitel für drahtlose Netzwerke. Ihr Mitarbeiter-WiFi taucht stattdessen in jedem einzelnen Kontrollpunkt auf. Access Points, Wireless-Controller und das Cloud-Dashboard, über das sie verwaltet werden, sind Geräte oder Dienste im Geltungsbereich. Laptops und Mobiltelefone auf Ihrer Mitarbeiter-SSID (dem Netzwerknamen, mit dem sich Ihre Mitarbeiter verbinden) sind Endgeräte im Geltungsbereich, wenn sie auf Unternehmensdaten oder -dienste zugreifen.

Dieser Leitfaden ist Teil der Säule für Mitarbeiter-WiFi von Purple, die den identitätsbasierten Mitarbeiterzugriff auf Ihrer bereits vorhandenen Hardware abdeckt. Hier konzentrieren wir uns auf eine praktische Frage: Welche Wireless-Einstellungen bestehen eine Cyber Essentials- oder Cyber Essentials Plus-Bewertung und welche lassen sie scheitern?

Warum entscheidet das Mitarbeiter-WiFi über so viele Audits?

Drei Merkmale des Programms rücken Ihr drahtloses Netzwerk besonders in den Fokus.

Geltungsbereich. Die NCSC-Anforderungen beziehen drahtlose Geräte, einschließlich Access Points, in den Geltungsbereich ein, sobald sie über das Internet mit anderen Geräten kommunizieren können. Jeder Cloud-verwaltete Access Point tut dies bereits vom Konzept her.

Bring your own device (BYOD). Seit dem Inkrafttreten der Version 3.0 der Anforderungen im Januar 2022 fallen auch im Besitz von Mitarbeitern befindliche Geräte, die auf Unternehmensdaten oder -dienste zugreifen, in den Geltungsbereich. Eine Mitarbeiter-SSID, die private Mobiltelefone zulässt, kann unbemerkt Dutzende von Geräten zu Ihrer Bewertung hinzufügen. Geräte, die ausschließlich für MFA-Apps, Sprachanrufe und Textnachrichten verwendet werden, sind davon ausgeschlossen.

Überprüfung. Cyber Essentials Plus gleicht die Antworten aus Ihrer Selbsteinschätzung mit Ihrer realen Infrastruktur ab. Ein Mitarbeiternetzwerk, das vor Jahren von einem Dienstleister eingerichtet wurde, übersteht diesen Vergleich selten unverändert.

Wie lassen sich die fünf Kontrollpunkte auf Ihr drahtloses Netzwerk anwenden?

Firewalls und Boundary-Geräte

Jedes im Geltungsbereich befindliche Gerät muss sich hinter einer korrekt konfigurierten Firewall oder einem Boundary-Gerät befinden. Für drahtlose Netzwerke heben die Anforderungen drei spezifische Punkte hervor:

• Standardpasswörter. Bei dem Router oder der Firewall, die den Datenverkehr Ihres Mitarbeiter-WiFi leitet, muss das standardmäßige Administratorpasswort in ein starkes Passwort geändert werden.
• Sichtbarkeit der Admin-Benutzeroberfläche. Die Administrationsoberfläche der Firewall darf nicht über das Internet erreichbar sein. Die Ausnahme ist eine dokumentierte geschäftliche Notwendigkeit, geschützt durch MFA oder eine IP-Freigabeliste.
• Eingehende Regeln. Jede eingehende Regel erfordert einen dokumentierten geschäftlichen Grund. Entfernen Sie die Regel, sobald dieser Bedarf nicht mehr besteht. Wireless-Hardware scheitert häufig am zweiten Punkt. Eine vor Jahren für den Remote-Support eingerichtete Port-Weiterleitung kann dazu führen, dass die lokale Web-Admin-Seite eines Access Points über das Internet erreichbar bleibt.

Die Richtlinie deckt auch Geräte in nicht vertrauenswürdigen Netzwerken ab. Laptops von Mitarbeitern, die an öffentlichen Hotspots, einschließlich Hotel-Gästemetzen, genutzt werden, müssen ihre Software-Firewall aktiviert haben.

Guest WiFi ist selbst kein Grenzgerät. Die Anforderungen erlauben es Ihnen, einen Teilbereich Ihres Netzwerks vom Geltungsbereich auszuschließen, vorausgesetzt, eine Firewall oder ein VLAN trennt ihn von den betroffenen Systemen. Ein VLAN (virtuelles LAN) ist ein logisch getrenntes Netzwerk, das über gemeinsame Switches und Access Points läuft. Leiten Sie den Datenverkehr von Gästen und Mitarbeitern über separate VLANs, blockieren Sie das Routing zwischen ihnen und beschreiben Sie diese Trennung in Ihrer Geltungserklärung.

Sichere Konfiguration

Diese Richtlinie verlangt von Ihnen, Unnötiges zu entfernen und unsichere Standardeinstellungen zu ändern. Auf der Wireless-Seite bedeutet das:

• Ändern der Standard-Administrator-Anmeldedaten auf jedem Access Point, Controller und jeder Management-Appliance.
• Entfernen oder Deaktivieren nicht genutzter lokaler Konten, einschließlich der Support-Konten von Anbietern, die Sie nie aktiviert haben.
• Deaktivieren nicht genutzter Management-Dienste, wie z. B. unverschlüsselter HTTP- oder Telnet-Zugriff auf Access Points.
• Anwendung der Passwortregeln dieser Richtlinie auf alle Anmeldedaten, die Netzwerkgeräte entsperren.

Die Passwortregeln sind spezifisch. Verwenden Sie MFA, mindestens 12 Zeichen oder mindestens acht Zeichen mit einer automatischen Sperre für gängige Passwörter. Schützen Sie sich gegen Brute-Force-Angriffe durch Drosselung oder sperren Sie den Zugriff nach maximal 10 Fehlversuchen.

Wenn Sie ein WPA2-PSK (Pre-Shared Key) Netzwerk für ältere Geräte betreiben, empfehlen wir, dieselben Mindestanforderungen für dessen Passphrase anzuwenden. Eine gemeinsam genutzte Passphrase ist immer noch ein Passwort und öffnet einen Weg in Ihr Netzwerk.

Benutzerzugriffskontrolle

An dieser Richtlinie scheitern die meisten WiFi-Konzepte für Mitarbeiter. Sie erfordert Folgendes:

• Jede Person hat ein eigenes Konto, das vor der Ausstellung genehmigt werden muss.
• Konten werden entfernt oder deaktiviert, wenn sie nicht mehr benötigt werden, auch beim Ausscheiden eines Mitarbeiters.
• Administrative Konten werden nur für die Administration verwendet, von alltäglichen Konten getrennt gehalten und niemals für E-Mails oder zum Surfen im Web genutzt.
• MFA wird bei Cloud-Diensten überall dort erzwungen, wo der Dienst dies anbietet.

Ihr Cloud-Wireless-Dashboard ist ein Cloud-Dienst. Wenn Ihre Access Points im Cisco Meraki Dashboard, in Juniper Mist oder einer ähnlichen Plattform verwaltet werden, erfordert jeder Administrator-Login MFA.

Die Mitarbeiter-SSID selbst ist die schwierigere Frage, die wir im folgenden Abschnitt zu WPA2-PSK ausführlich beantworten.

Schutz vor Schadsoftware

Jeder betroffene Desktop, Laptop, Tablet und jedes Telefon benötigt eine Anti-Malware-Software oder Applikations-Whitelisting. Die Richtlinie hat keine direkten Wireless-Einstellungen. Sie betrifft Ihr Mitarbeiter-WiFi über die Geräte, die sich damit verbinden.

Wenn private Telefone sich mit Ihrer Mitarbeiter-SSID verbinden und geschäftliche E-Mails öffnen, muss jedes Telefon diese Richtlinie erfüllen. Sie müssen in der Lage sein, dies nachzuweisen.

Management von Sicherheitsupdates

Firmware zählt als Software. Access Points, Controller und WLAN-fähige Router müssen eine vom Hersteller unterstützte Firmware ausführen. Wichtige und kritische Updates müssen innerhalb von 14 Tagen nach Veröffentlichung installiert werden. Wichtig und kritisch bedeutet ein CVSS v3-Score von 7 oder höher oder jede Fehlerbehebung, bei der der Hersteller keine Sicherheitsstufe angibt.

Access Points, die das Ende des Supports erreicht haben, bestehen diese Prüfung keinesfalls. Sie müssen sie entfernen oder aus dem Geltungsbereich ausschließen. Überprüfen Sie vor dem Einreichen die End-of-Life-Mitteilung für jedes Modell in Ihrem Bestand. In einem über Jahre gewachsenen Einzelhandels- oder Hotelbestand verbirgt sich oft das eine oder andere Auslaufmodell.

Welche Fragebogenelemente bringen ein schlecht konfiguriertes Mitarbeiter-WiFi zu Fall?

Die Willow-Fragen sind nach Kontrollen und nicht nach Technologie gruppiert. Dies sind die für WLAN relevanten Punkte, bei denen wir IT-Teams scheitern sehen, formuliert als Themen statt als Fragenummern:

• Beschreibung des Geltungsbereichs. Nennt sie Ihre WLAN-Geräte und erklärt, wie der Gastdatenverkehr isoliert wird?
• Standard-Anmeldedaten. Haben Sie die Standardeinstellungen auf jedem Access Point, Controller und Router geändert?
• Freigabe der Admin-Benutzeroberfläche. Kann jeder eine WLAN-Verwaltungsseite aus dem Internet erreichen?
• MFA bei der Verwaltung. Wird MFA auf Ihrem Cloud-WLAN-Dashboard für jedes Admin-Konto erzwungen?
• Trennung der Admin-Konten. Verwalten personalisierte Admin-Konten das WiFi anstelle eines gemeinsamen "Admin"-Logins?
• Ausscheidungsprozess. Wenn jemand das Unternehmen verlässt, erlischt dann sein WiFi-Zugang oder bleibt ein gemeinsamer Schlüssel in seiner Tasche?
• Passwortrichtlinie. Deckt Ihre festgelegte Richtlinie Netzwerkgeräte und alle PSK-Passphrasen ab?
• Aktualität der Firmware. Verfügt jeder Access Point über eine unterstützte Firmware, die innerhalb von 14 Tagen für wichtige und kritische Fehlerbehebungen gepatcht wird?
• BYOD-Inventar. Haben Sie die persönlichen Geräte auf Ihrer Mitarbeiter-SSID aufgelistet, die auf Unternehmensdaten zugreifen?
• Vertrauensunwürdige Netzwerke. Lassen die Laptops der Mitarbeiter ihre Software-Firewall eingeschaltet, wenn sie sich in ein Gäste- oder öffentliches WiFi einwählen?

Die folgende Tabelle ordnet jede Kontrolle dem WLAN-Fehler zu, den ein Auditor feststellen wird, sowie der Konfiguration, die ihn behebt.

Kontrolle	WLAN-Fragenbereich	Nicht bestanden	Bestanden
Firewalls	Freigabe der Admin-Benutzeroberfläche	Web-Admin des Access Points über eine Portweiterleitung erreichbar	Verwaltung nur intern erreichbar, oder geschützt durch MFA oder eine IP-Erlaubnisliste
Firewalls	Gästetrennung	Gäste und Mitarbeiter in einem flachen Netzwerk	Separate VLANs ohne Routing zwischen Gästen und Mitarbeitern
Sichere Konfiguration	Standard-Anmeldedaten	Werkseitiges Admin-Passwort auf dem Controller oder den Access Points	Einzigartige Anmeldedaten, die die 12-Zeichen-Regel erfüllen, Standardeinstellungen entfernt
Benutzerzugriffskontrolle	Individuelle Konten	Ein WPA2-PSK-Schlüssel, der von allen Mitarbeitern und externen Kräften geteilt wird	802.1X oder iPSK, eine Anmeldeinformation pro Person oder Gerät
Benutzerzugriffskontrolle	Verwaltungsebene	Cloud-Dashboard-Login ohne MFA	MFA für jedes Admin-Konto erzwungen
Sicherheitsupdates	Firmware	End-of-Life Access Points immer noch im Einsatz	Unterstützte Modelle, hohe und kritische Patches innerhalb von 14 Tagen

Besteht WPA2-PSK die Benutzerzugriffskontrolle?

Nicht sauber. Die Anforderungen verbieten WPA2-PSK nicht namentlich. Sie erfordern jedoch individuelle Konten und den Entzug des Zugriffs, wenn jemand das Unternehmen verlässt. Ein einziger gemeinsam genutzter Schlüssel bietet beides nicht. Wenn ein Abgänger den Schlüssel kennt, besteht Ihre einzige Abhilfe darin, ihn auf jedem Gerät zu ändern, das ihn verwendet.

Zwei Alternativen bieten Ihnen eine Kontrolle pro Person.

802.1X ist der IEEE-Standard für portbasierte Netzwerkzugriffskontrolle. Im WiFi läuft dies als WPA2-Enterprise oder WPA3-Enterprise. Jede Person oder jedes Gerät authentifiziert sich gegenüber einem RADIUS-Server, dem Dienst, der die Anmeldedaten überprüft und den Netzwerkzugriff gewährt. Der Austausch nutzt eine EAP-Methode wie EAP-TLS (zertifikatsbasiert), EAP-TTLS oder PEAP (beide tunneln Anmeldedaten innerhalb von TLS).

iPSK (Identity Pre-Shared Key, von einigen Herstellern auch PPSK oder Private PSK genannt) gibt einen eindeutigen Schlüssel pro Person oder Gerät auf einer einzigen SSID aus. Geräte, die nur eine Passphrase unterstützen, können sich weiterhin verbinden, und Sie können jeden Schlüssel einzeln widerrufen.

Mitarbeiter-SSID-Methode	Widerruf pro Person	Kompatibilität mit Benutzerzugriffskontrolle	Handhabt BYOD	Geräteunterstützung	Für wen es geeignet ist
WPA2-PSK, ein gemeinsamer Schlüssel	Nein, Schlüssel muss auf jedem Gerät rotiert werden	Schwach, keine individuellen Konten	Schlecht, keine Möglichkeit, persönliche von Unternehmensgeräten zu unterscheiden	Alle WiFi-Geräte	Reine Legacy-Netzwerke, außerhalb des Geltungsbereichs isoliert
iPSK oder PPSK	Ja, pro Schlüssel	Gut, ein Schlüssel pro Person oder Gerät	Ja, jedes persönliche Gerät erhält seinen eigenen Schlüssel	Alle Geräte, die eine Passphrase akzeptieren	Gemischte Umgebungen mit Scannern, Kassen und IoT, die kein 802.1X ausführen können
802.1X mit EAP-TTLS oder PEAP	Ja, pro Konto	Stark, an individuelle Konten gebunden	Ja, mit Identität bei jeder Sitzung	Moderne Laptops, Telefone und Tablets	Büro- und Back-of-House-Mitarbeiter mit Verzeichniskonten
802.1X mit EAP-TLS-Zertifikaten	Ja, pro Zertifikat	Am stärksten, keine Passwörter, die gestohlen werden können	Nur verwaltete Geräte, es sei denn, Sie stellen BYOD-Zertifikate aus	Geräte, die mit Zertifikaten registriert werden können	Verwaltete Unternehmensflotten

Wenn Sie ein PSK-Netzwerk behalten müssen, isolieren Sie es in einem eigenen VLAN. Beschränken Sie es auf Geräte, die keine bessere Methode unterstützen, dokumentieren Sie, warum es existiert, und rotieren Sie die Passphrase, sobald jemand das Unternehmen verlässt, der sie kennt.

Wie prüft Cyber Essentials Plus Ihr Mitarbeiter-WiFi?

Cyber Essentials Plus nutzt dieselben Anforderungen wie die Basiszertifizierung. Ein Auditor überprüft diese dann mit praktischen Tests. Das Plus-Audit muss innerhalb von drei Monaten nach Ihrem Basiszertifikat abgeschlossen sein.

Die Testspezifikation umfasst:

• Einen externen Schwachstellenscan Ihrer öffentlich zugänglichen IP-Adressen.
• Einen internen Schwachstellenscan einer Stichprobe von Endbenutzergeräten.
• Prüft, ob stichprobenartig ausgewählte Geräte gepatcht sind und einen Malware-Schutz ausführen, mithilfe von Testdateien, die per E-Mail und Browser zugestellt werden.
• Eine Prüfung, ob MFA für relevante Cloud-Dienste erzwungen wird.
• Eine Prüfung, ob Admin-Konten von den alltäglichen Konten getrennt sind.

Die Spezifikation enthält keinen dedizierten Test für drahtlose Angriffe über die Luft. Ihre WiFi-Struktur ist auf vier andere Weisen betroffen.

1. Der externe Scan findet jede Management-Seite von Access Points, Controllern oder Routern, die im Internet freigegeben ist. Eine nicht gepatchte Firmware mit einer bekannten Schwachstelle wird als hohes oder kritisches Ergebnis eingestuft.
2. Die Gerätestichprobe umfasst Laptops und Telefone, die sich über Ihre Mitarbeiter-SSID verbinden, einschließlich BYOD, sofern diese im Umfang enthalten sind.
3. Die MFA-Prüfung kann Ihr Cloud-Wireless-Dashboard einschließen, wenn Sie es als Service im Umfang aufgeführt haben.
4. Die Kontenprüfung kann gemeinsam genutzte Admin-Logins in der drahtlosen Verwaltung aufdecken.

Beheben Sie Schwachstellen, bevor der Prüfer eintrifft. Eine Management-Seite, die bei einem Port-Scan gefunden wird, führt zu einer Beanstandung.

Wo ordnet sich Purple in Ihr bestehendes drahtloses Netzwerk ein?

Purple ist ein hardwareunabhängiges Cloud-Overlay. Purple Mitarbeiter-WiFi läuft auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet, ohne dass ein Austausch von Hardware erforderlich ist.

Auf Ihrem vorhandenen Controller wird das Mitarbeiternetzwerk zu einer WPA2-Enterprise (802.1X) SSID ohne Captive Portal. Ein Captive Portal ist die Web-Anmeldeseite, die Gäste normalerweise sehen. Die Authentifizierung erfolgt über RadSec an den Cloud-RADIUS von Purple, wodurch der RADIUS-Datenverkehr in TLS verschlüsselt wird. Ein Zertifikat, das Sie in Ihrem Controller installieren, sichert diese Verbindung. Zwei Purple RADIUS-Server sind für Redundanz konfiguriert. Passpoint (Hotspot 2.0, der Standard, mit dem Geräte automatisch über gespeicherte Anmeldedaten beitreten können) läuft mit EAP-TTLS, sodass sich registrierte Geräte ohne Aufforderung verbinden.

Unsere Support-Artikel enthalten die genauen Einstellungen für jede Plattform:

• Mitarbeiter-WiFi auf Juniper Mist
• Mitarbeiter-WiFi auf Cisco Meraki

Für eine breitere Anbieterübersicht lesen Sie How to Configure WPA2-Enterprise on Common Access Point Platforms (Cisco, Aruba, Ubiquiti).

So lässt sich dies dem Fragebogen zuordnen:

• Benutzerzugriffskontrolle. Jede Sitzung basiert auf einer individuellen Identität, nicht auf einem gemeinsamen Schlüssel.
• Ausscheidende Mitarbeiter. Die Prozesse für Eintritte, Abteilungswechsel und Austritte (JML) in Microsoft Entra ID, Okta oder Google Workspace steuern den WiFi-Zugang. Das Deaktivieren eines Kontos beendet somit sofort den Zugriff dieser Person.
• Sichere Konfiguration. RADIUS-Anmeldedaten werden verschlüsselt in TLS übertragen und nicht unverschlüsselt über das Internet gesendet.
• Lieferantenzertifizierung. Purple verfügt über eine ISO 27001-Zertifizierung und ist GDPR-konform, was hilfreich ist, wenn Ihr Prüfer nach Drittanbieter-Diensten fragt.

Laut eigenen Plattformdaten verarbeitete Purple im Jahr 2024 über 440 Millionen Anmeldungen an mehr als 80.000 aktiven Standorten.

Zwei Fallbeispiele

Ein Hotel mit 200 Zimmern und einem einzigen gemeinsamen Schlüssel für das Personal

Situation. Ein Hotel mit 200 Zimmern betrieb sein 85-köpfiges Personal über ein einziges WPA2-PSK-Netzwerk. Der Schlüssel war seit der Eröffnung vor vier Jahren nicht mehr geändert worden. Vertragspartner und das Reinigungspersonal der Agentur kannten ihn. Eine Portweiterleitung des ursprünglichen Installateurs führte dazu, dass die Web-Admin-Konsole des Controllers über das Internet erreichbar war - immer noch mit dem Werkspasswort.

Was getan wurde. Der IT-Manager schloss die Portweiterleitung und änderte alle Standard-Anmeldedaten. Er erzwang MFA auf dem Cloud-Dashboard und gab jedem Administrator ein namentliches Konto. Das Personal wurde über Purple auf eine 802.1X-SSID umgestellt, deren Zugriff an das Verzeichnis des Hotels gekoppelt ist. Tablets des Reinigungspersonals, die kein 802.1X ausführen konnten, wurden in ein separates VLAN mit eigener Passphrase verschoben. Das Gäste-WiFi blieb in einem separaten VLAN ohne Verbindung zu den Personalsystemen.

Ergebnis. Die Anzahl der gemeinsam genutzten Schlüssel im Personalnetzwerk sank von eins auf null. Das Entfernen eines ausscheidenden Mitarbeiters änderte sich von der Neueingabe von Schlüsseln auf mehr als 120 Geräten zur Deaktivierung eines einzigen Verzeichniskontos. Der Fragebogen wurde ohne nicht-konforme Antworten zum Thema Wireless eingereicht. Hotels mit hoher Personalfluktuation spüren diese Veränderung am stärksten, da früher jeder Abgang eine Neueingabe der Schlüssel bedeutete.

Eine Einzelhandelskette mit 40 Filialen bereitet sich auf Plus vor

Situation. Eine Einzelhandelskette mit 40 Filialen besaß die Basis-Zertifizierung von Cyber Essentials und buchte ihre Plus-Bewertung. Rund 300 private Mobiltelefone nutzten die Personal-SSID, hauptsächlich zum Surfen in den Pausen. Ein externer Scan vor der Bewertung ergab, dass die Fernverwaltung auf den Routern der Filialen aktiviert war, und zwar mit einer Firmware-Version, die eine Sicherheitswarnung mit hoher Priorität aufwies.

Was getan wurde. Das Team deaktivierte die Fernverwaltung und spielte die korrigierte Firmware innerhalb des 14-tägigen Zeitfensters auf. Anschließend verschoben sie private Mobiltelefone in das Gästenetzwerk, das segmentiert war und außerhalb des Geltungsbereichs lag. Nur die Telefone der Filialleiter, die geschäftliche E-Mails lasen, verblieben im Personalnetzwerk, jedes mit einem eigenen iPSK-Schlüssel und einer Registrierung in der Geräteverwaltung. Handscanner erhielten iPSK-Schlüssel pro Gerät.

Ergebnis. Die Anzahl der im Geltungsbereich befindlichen BYOD-Geräte sank von etwa 300 auf 45. Der erneut durchgeführte externe Scan ergab null hohe oder kritische Schwachstellen bei Wireless- oder Router-Geräten. Das Plus-Audit wurde innerhalb des dreimonatigen Zeitfensters abgeschlossen.

Welche Grenzen sollten Sie kennen?

Cyber Essentials ist kein Sicherheitsstandard für Wireless-Netzwerke. Es definiert eine Sicherheitsbasis gegen Angriffe aus dem Internet. Es prüft keine Rogue Access Points, Hochfrequenz-Angriffe oder Wireless-Intrusion-Detection-Systeme. Ein Bestehen bedeutet nicht, dass Ihr WiFi vollständig abgehärtet ist.

Gemeinsam genutzte Bürogebäude benötigen mehr als eine Personal-SSID. Wenn sich mehrere Organisationen ein Gebäude teilen, kann ein einziges Personalnetzwerk die Geräte der einzelnen Mieter nicht voneinander trennen. iPSK platziert die Geräte jedes Mieters in ihrem eigenen Segment über eine einzige SSID - so geht Purple Multi-Tenant-WiFi mit gemeinsam genutzten Gebäuden um. Behördenzentren, Kommunalverwaltungen und Coworking-Flächen fallen oft in diese Kategorie. Veraltete Geräte schränken Ihre Optionen ein. Kassensysteme, Scanner und einige medizinische oder Gebäudemanagement-Geräte können kein 802.1X ausführen. Planen Sie für diese ein iPSK oder ein separates PSK-Netzwerk ein, anstatt sie in eine Enterprise-Authentifizierung zu zwingen. Das gleiche Muster gilt im Gesundheitswesen, wo klinische Geräte sich oft die Funkumgebung mit dem Personal teilen.

Gästetzwerke sind nach wie vor wichtig. Durch die Trennung bleibt das Gäste-WiFi außerhalb Ihres Cyber Essentials-Bereichs. Dies entbindet Sie jedoch nicht von Ihren GDPR-Pflichten für alle erfassten Gästedaten. Wenn Sie Purple Gäster-WiFi nutzen, ist das SecurePass Add-on unsere gästeseitige Lösung, wenn Ihre Diskussionen über Netzwerkgrenzen auch den Gästedatenverkehr betreffen.

Was sollten Sie als Nächstes tun?

1. Rufen Sie Ihre Scope-Erklärung ab und listen Sie jeden Access Point, jeden Controller und jedes Router-Modell mit Firmware-Version und Support-Status auf.
2. Führen Sie einen externen Portscan Ihrer eigenen öffentlichen IPs durch, bevor es ein Auditor tut.
3. Erzwingen Sie MFA und namentliche Konten auf Ihrem Wireless-Management-Dashboard.
4. Entscheiden Sie, welche SSID-Methode für Mitarbeiter aus der Vergleichstabelle zu den jeweiligen Geräteklassen passt.
5. Verschieben Sie private Geräte, die keine Unternehmensdaten benötigen, in Ihr Gäste-WiFi.

Siehe auch: Purple Staff WiFi für identitätsbasierten Mitarbeiterzugang auf Ihrer vorhandenen Hardware. Purple SecurePass für die gästeseitige Antwort auf die Frage nach Grenzgeräten. Purple Multi-Tenant WiFi für iPSK in Büros mit mehreren Mietern, in denen eine einzige Mitarbeiter-SSID nicht funktioniert.

Häufig gestellte Fragen

Funktioniert Purple Staff WiFi mit den Access Points, die wir bereits besitzen?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie konfigurieren eine WPA2-Enterprise-SSID auf Ihrem vorhandenen Controller und leiten die Authentifizierung über RadSec an den Cloud-RADIUS von Purple weiter. Unsere Support-Artikel enthalten die genauen Einstellungen für jede Plattform, sodass Sie vor Ihrem Audit die Konfiguration anpassen können, anstatt Hardware auszutauschen.

Müssen wir WPA2-PSK entfernen, um Cyber Essentials zu bestehen?

Nein, die Anforderungen verbieten WPA2-PSK nicht namentlich. Ein einziger gemeinsam genutzter Schlüssel macht Ihre Antworten zur Benutzerzugriffskontrolle jedoch schwer zu verteidigen, da er beim Ausscheiden einer einzelnen Person nicht für diese gelöscht werden kann. Verschieben Sie Mitarbeiter zu 802.1X oder iPSK. Halten Sie verbleibende PSK-Netzwerke getrennt in einem eigenen VLAN, beschränkt auf ältere Geräte und dokumentiert, mit einer Passphrase, die der 12-Zeichen-Regel entspricht.

Liegt unser Gäste-WiFi im Scope für Cyber Essentials?

Nicht, wenn Sie es ordnungsgemäß trennen. Die NCSC-Anforderungen erlauben es Ihnen, einen Teil Ihres Netzwerks aus dem Scope auszuschließen, wenn eine Firewall oder ein VLAN diesen von den Systemen im Scope trennt. Leiten Sie den Gästedatenverkehr in ein eigenes VLAN, blockieren Sie das Routing zu Mitarbeiternetzwerken sowie Unternehmenssystemen und beschreiben Sie diese Trennung in Ihrer Scope-Erklärung. Auf Mitarbeiter-Laptops, die sich mit dem Gäste-WiFi verbinden, muss weiterhin die Software-Firewall aktiviert sein.

Sind private Smartphones von Mitarbeitern auf der Mitarbeiter-SSID im Scope?

Ja, wenn sie auf Unternehmensdaten oder -dienste wie Firmen-E-Mails zugreifen. Seit Version 3.0 der Anforderungen fallen BYOD-Geräte, die auf Organisationsdaten zugreifen, in den Geltungsbereich und müssen alle fünf Sicherheitskontrollen erfüllen. Mobiltelefone, die nur für MFA-Apps, Anrufe und SMS verwendet werden, sind davon ausgeschlossen. Die Verschiebung privater Geräte, die lediglich einen Internetzugang benötigen, in Ihr isoliertes Gastnetzwerk ist der schnellste Weg, um den Geltungsbereich zu reduzieren.

Testet Cyber Essentials Plus unser Wireless-Netzwerk direkt?

Nein, die Testspezifikation für die Plus-Zertifizierung enthält keinen speziellen Over-the-Air-Wireless-Test. Ihr WiFi wird dennoch indirekt überprüft. Der externe Scan findet offengelegte Verwaltungsseiten von Access Points oder Controllern sowie anfällige Firmware. Die Gerätestichprobe umfasst Laptops und Mobiltelefone in Ihrer Mitarbeiter-SSID. Die MFA-Überprüfung kann Ihr Cloud-Wireless-Dashboard abdecken. Beheben Sie offengelegte Verwaltungsschnittstellen und Firmware-Schwachstellen, bevor Sie den Prüfer beauftragen.

Wie viel Aufwand ist es, das Mitarbeiter-WiFi vor unserer Prüfung auf 802.1X umzustellen?

Auf der Controller-Seite ist dies nur eine einzige SSID-Änderung auf Ihrer vorhandenen Hardware. Sie fügen Enterprise-Sicherheit, die RADIUS-Server von Purple und ein RadSec-Zertifikat hinzu, wie in unseren herstellerspezifischen Support-Artikeln beschrieben. Der Großteil des Aufwands liegt beim Onboarding der Geräte: die Registrierung von Laptops und Mobiltelefonen sowie die Entscheidung, welche älteren Geräte stattdessen iPSK benötigen. Planen Sie diesen Bestand zuerst, da dies auch die BYOD-Fragen beantwortet.

Ist Purple sicher und konform?

Ja. Purple ist nach ISO 27001 zertifiziert und GDPR-konform. Die Plattform wurde 2012 gegründet und weist eine Verfügbarkeit von 99.999% auf. Wenn Ihr Prüfer fragt, wie Cloud-Dienste von Drittanbietern die Authentifizierung von Mitarbeitern handhaben, können Sie auf diese Referenzen verweisen. Im Jahr 2024 verzeichnete die Plattform von Purple 440 Millionen Logins an über 80.000 Live-Standorten für 350 Millionen Nutzer.