EAP-TLS vs. PEAP: Welches Authentifizierungsprotokoll ist das richtige für Ihr Netzwerk?

EAP-TLS vs. PEAP: Welches Authentifizierungsprotokoll ist das richtige für Ihr Netzwerk? Ein Purple Technical Briefing [EINFÜHRUNG — ca. 1 Minute] Willkommen beim Purple Technical Briefing. Ich bin Ihr Gastgeber, und heute befassen wir uns mit einer der weitreichendsten Entscheidungen, die Sie bei der Planung oder Modernisierung Ihrer drahtlosen Unternehmens-Infrastruktur treffen müssen: der Wahl zwischen EAP-TLS und PEAP für Ihr 802.1X-Authentifizierungs-Framework. Wenn Sie als IT-Manager, Netzwerkarchitekt oder CTO für eine Hotelgruppe, ein Einzelhandelsunternehmen, ein Stadion oder eine Organisation des öffentlichen Sektors verantwortlich sind, beeinflusst diese Entscheidung Ihr Sicherheitsniveau, Ihren Compliance-Status und den täglichen Betriebsaufwand Ihres Teams. Kommen wir also direkt zur Sache. Sowohl EAP-TLS als auch PEAP sind 802.1X-Authentifizierungsmethoden. Beide basieren auf einem RADIUS-Server zur Verarbeitung von Authentifizierungsanfragen und beide bieten eine wesentlich höhere Sicherheit als ein gemeinsam genutzter WPA2-Schlüssel. Die Art und Weise, wie sie die Identität überprüfen, unterscheidet sich jedoch grundlegend — und dieser Unterschied hat erhebliche Auswirkungen darauf, wie Sie Ihr Netzwerk bereitstellen, verwalten und skalieren. [TECHNISCHE TIEFENANALYSE — ca. 5 Minuten] Beginnen wir mit EAP-TLS — Extensible Authentication Protocol Transport Layer Security. EAP-TLS ist der Goldstandard der WiFi-Authentifizierung in Unternehmen. Das entscheidende Merkmal ist die gegenseitige Zertifikatsauthentifizierung. In der Praxis bedeutet das: Wenn ein Gerät versucht, eine Verbindung zu Ihrem Netzwerk herzustellen, präsentiert der RADIUS-Server dem Gerät ein digitales Zertifikat. Das Gerät gleicht dieses Zertifikat mit seinen vertrauenswürdigen Zertifizierungsstellen ab. Aber hier liegt der entscheidende Unterschied zu PEAP — das Gerät präsentiert dem Server anschließend sein eigenes Zertifikat. Der Server validiert dieses Client-Zertifikat, und nur wenn beide Zertifikate gültig und vertrauenswürdig sind, gewährt das Netzwerk Zugriff. Es sind keine Passwörter im Spiel. Keine. Die Authentifizierung basiert vollständig auf Zertifikaten. Dies macht EAP-TLS außerordentlich widerstandsfähig gegen Diebstahl von Anmeldedaten, Wörterbuchangriffe und Man-in-the-Middle-Angriffe. Man kann schlichtweg kein Passwort stehlen, das im Authentifizierungsfluss gar nicht existiert. Der Kompromiss liegt jedoch in der Komplexität der Bereitstellung. Um EAP-TLS in großem Maßstab zu betreiben, benötigen Sie eine Public-Key-Infrastruktur — eine PKI —, um Zertifikate für jedes einzelne Gerät in Ihrem Netzwerk auszustellen, zu verwalten und zu widerrufen. Außerdem benötigen Sie eine Mobile-Device-Management-Lösung, um diese Zertifikate geräuschlos auf die Endgeräte zu übertragen. Wenn Sie eine Unternehmensumgebung mit Microsoft Intune oder Jamf betreiben, ist dies absolut machbar. Wenn nicht, wird EAP-TLS zu einem erheblichen Unterfangen. Der andere betriebliche Aspekt ist das Lebenszyklusmanagement von Zertifikaten. Zertifikate laufen ab. Wenn das Zertifikat Ihres RADIUS-Servers abläuft, schlägt die Authentifizierung bei jedem einzelnen Gerät in Ihrem Netzwerk gleichzeitig fehl. Das ist ein katastrophaler Ausfall. Zertifikatsüberwachung und Erneuerungsprozesse sind unverzichtbar. Betrachten wir nun PEAP — Protected Extensible Authentication Protocol. PEAP wurde entwickelt, um die Komplexität bei der Bereitstellung von EAP-TLS zu reduzieren und gleichzeitig robuste Sicherheit zu bieten. Die entscheidende Erkenntnis hinter PEAP ist folgende: Nur der Server benötigt ein Zertifikat. Der Client benötigt keines. Und so funktioniert es: Der RADIUS-Server präsentiert sein Zertifikat dem Client-Gerät. Der Client validiert den Server – genau wie bei EAP-TLS. Dadurch wird ein verschlüsselter TLS-Tunnel aufgebaut. Innerhalb dieses Tunnels führt der Client dann eine standardmäßige, passwortbasierte Authentifizierung durch, in der Regel mittels MSCHAPv2, und zwar gegenüber Ihrem Identitätsspeicher – Active Directory, LDAP, Google Workspace oder was auch immer Sie verwenden. Das Passwort wird niemals im Klartext übertragen. Es ist innerhalb des verschlüsselten Tunnels stets geschützt. PEAP ist also absolut sicher – vorausgesetzt, es ist korrekt konfiguriert. Und genau hier müssen wir über die häufigste und gefährlichste Fehlkonfiguration bei PEAP-Bereitstellungen sprechen. Wenn ein Client-Gerät nicht so konfiguriert ist, dass es das Zertifikat des RADIUS-Servers streng validiert, kann ein Angreifer einen betrügerischen Access Point mit demselben Netzwerknamen einrichten und ein gefälschtes Zertifikat präsentieren, woraufhin sich das Gerät bereitwillig verbindet. Der Angreifer fängt dann den MSCHAPv2-Authentifizierungsaustausch ab, der offline geknackt werden kann. Dies ist kein theoretischer Angriff – es ist eine gut dokumentierte Methode, die bei realen Penetrationstests eingesetzt wird. Die Lösung ist einfach: Nutzen Sie Gruppenrichtlinien, MDM-Profile oder Onboarding-Tools, um eine strenge Serverzertifikatsvalidierung auf jedem Client-Gerät zu erzwingen. Die betriebliche Realität in BYOD-Umgebungen zeigt jedoch, dass es eine echte Herausforderung ist, diese Konfiguration konsistent auf Tausenden von unmanaged persönlichen Geräten durchzusetzen. Lassen Sie mich Ihnen einen konkreten Vergleich geben. Stellen Sie sich eine Einzelhandelskette mit 500 Standorten vor. Sie verfügt über firmeneigene Tablets und Handscanner, die alle über Microsoft Intune verwaltet werden. Hier ist EAP-TLS die richtige Wahl. Intune verteilt die Zertifikate automatisch. Geht ein Scanner verloren, widerruft die IT-Abteilung dessen Zertifikat, und er ist innerhalb von Minuten aus dem Netzwerk entfernt – ohne Passwort-Resets, ohne die Änderung von gemeinsam genutzten Passphrasen in 500 Filialen. Die Sicherheit ist absolut. Betrachten wir nun ein großes Konferenzzentrum, das WiFi für 3.000 Mitarbeiter auf deren persönlichen Geräten bereitstellt. Kein MDM. Die Mitarbeiter nutzen Google Workspace. Hier ist PEAP, integriert mit Google Secure LDAP, die pragmatische Wahl. Die Mitarbeiter authentifizieren sich mit ihren Standard-Anmeldedaten. Das IT-Team stellt eine Onboarding-Dokumentation zur Konfiguration der Zertifikatsvalidierung bereit. Das ist in Tagen statt in Monaten einsatzbereit. Die Architektur, die beiden Protokollen zugrunde liegt, ist dasselbe dreiteilige 802.1X-Modell: der Supplicant – das ist das Client-Gerät –, der Authenticator, also Ihr Access Point oder Switch, und der RADIUS-Server. Der Authenticator fungiert als Gatekeeper und blockiert den gesamten Datenverkehr, bis der RADIUS-Server signalisiert, dass die Authentifizierung erfolgreich war. [IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE — ca. 2 Minuten] Was sind also die praktischen Empfehlungen? Erstens: Wenn Sie eine MDM-Lösung und firmeneigene Geräte nutzen, implementieren Sie EAP-TLS. Die Anfangsinvestition in PKI und Zertifikatsverwaltung zahlt sich durch ein geringeres Risiko und vereinfachte Compliance-Audits aus. Für regulierte Branchen – wie das Gesundheitswesen, das Finanzwesen und den öffentlichen Sektor – ist dies keine Option, sondern Pflicht. Es ist genau die Architektur, die Ihre Auditoren erwarten. Zweitens: Wenn Sie eine BYOD-Umgebung betreiben oder keine MDM-Infrastruktur besitzen, implementieren Sie PEAP. Aber verzichten Sie keinesfalls auf die Konfiguration der Serverzertifikatsvalidierung. Nutzen Sie Onboarding-Tools, Portale für die Netzwerkzugriffskontrolle oder MDM-Profile, wo immer dies möglich ist, um dies zu erzwingen. Betrachten Sie dies als obligatorischen Bereitstellungsschritt, nicht als optionale Härtungsmaßnahme. Drittens: Unabhängig davon, für welches Protokoll Sie sich entscheiden, sollten Sie eine RADIUS-Redundanz in Ihre Architektur einbauen. Die Authentifizierung ist ein kritischer Pfad. Der Ausfall eines einzigen RADIUS-Servers bedeutet, dass niemand mehr auf das Netzwerk zugreifen kann. Cloud-basierte RADIUS-Lösungen bieten Ausfallsicherheit ohne den Aufwand für die Verwaltung einer redundanten On-Premises-Infrastruktur. Viertens: Segmentieren Sie Ihr Netzwerk nach der Authentifizierung. Eine erfolgreiche 802.1X-Authentifizierung sollte keinen uneingeschränkten Zugriff auf Ihr gesamtes Unternehmensnetzwerk gewähren. Nutzen Sie VLAN-Zuweisungsrichtlinien, um Benutzer in den entsprechenden Netzwerksegmenten mit den passenden Zugriffskontrollen zu platzieren. Die häufigsten Fallstricke, die es zu vermeiden gilt: Abgelaufene Zertifikate, die bei EAP-TLS-Bereitstellungen zu massenhaften Authentifizierungsfehlern führen; Client-Geräte, die bei PEAP-Bereitstellungen keine Serverzertifikate validieren; und RADIUS-Timeout-Probleme, die durch hohe Latenzzeiten zwischen dem Wireless-Controller und dem Authentifizierungsserver verursacht werden – besonders relevant bei geografisch verteilten Standorten. [SCHNELLES Q&A — ca. 1 Minute] Lassen Sie mich kurz auf einige Fragen eingehen, die mir häufig gestellt werden. Kann ich sowohl EAP-TLS als auch PEAP im selben Netzwerk betreiben? Ja. Viele Unternehmen nutzen EAP-TLS für firmeneigene Geräte auf einer SSID und PEAP für BYOD oder den Gastzugang auf einer separaten SSID, mit einer entsprechenden Netzwerksegmentierung dazwischen. Ändert WPA3 diese Entscheidung? WPA3 Enterprise schreibt für Hochsicherheitsumgebungen den 192-Bit-Sicherheitsmodus vor, was mit EAP-TLS übereinstimmt. WPA3 Personal nutzt SAE anstelle von PSK, aber für 802.1X-Unternehmensbereitstellungen bleibt die Auswahl der EAP-Methode weiterhin relevant. Ist PEAP konform mit PCI DSS? Ja, sofern es korrekt konfiguriert ist und die Serverzertifikatsvalidierung erzwungen wird. Für Umgebungen, in denen Karteninhaberdaten verarbeitet werden, wird EAP-TLS bei Sicherheitsbewertungen jedoch zunehmend als bevorzugter Ansatz empfohlen. Wie sieht es mit OpenRoaming aus? OpenRoaming nutzt im Hintergrund eine zertifikatsbasierte Authentifizierung, die den Prinzipien von EAP-TLS entspricht. Plattformen wie Purple können als Identitätsanbieter für OpenRoaming fungieren und ermöglichen so ein nahtloses, sicheres Roaming zwischen verschiedenen Standorten ohne erneute Authentifizierung. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — ca. 1 Minute] Zusammenfassend lässt sich sagen: EAP-TLS ist die sicherste Option, da Passwörter durch gegenseitige Zertifikatsauthentifizierung vollständig überflüssig werden. Es erfordert eine PKI- und MDM-Infrastruktur, bietet jedoch die stärkste Compliance-Position und die granularste Zugriffskontrolle auf Geräteebene. PEAP ist die pragmatische Wahl für BYOD und Umgebungen ohne Zertifikatsverwaltungsinfrastruktur. Es bietet eine starke verschlüsselte Authentifizierung unter Verwendung vorhandener Anmeldedaten – jedoch nur, wenn die Serverzertifikatsvalidierung konsequent erzwungen wird. Der Entscheidungsrahmen ist einfach: Wenn Sie Ihre Geräte verwalten, verwenden Sie EAP-TLS. Wenn Ihre Benutzer ihre eigenen Geräte mitbringen, verwenden Sie PEAP – aber konfigurieren Sie es richtig. Für Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Authentifizierungskonfiguration, bewerten Sie Ihre PKI- und MDM-Bereitschaft und überprüfen Sie Ihre RADIUS-Infrastruktur auf Redundanz und Latenz. Wenn Sie neben Ihrem Unternehmensnetzwerk auch ein Gäste-WiFi bereitstellen oder aktualisieren, sollten Sie sich überlegen, wie eine Plattform wie Purple in Ihr Authentifizierungs-Framework integriert werden kann, um sowohl Sicherheit als auch verwertbare Analysen aus Ihrem Netzwerk bereitzustellen. Vielen Dank, dass Sie sich das Purple Technical Briefing angehört haben. Bis zum nächsten Mal.