EAP-TLS vs. PEAP: Welches Authentifizierungsprotokoll ist das richtige für Ihr Netzwerk?

Wählen Sie EAP-TLS, wenn Sie die Kontrolle über die Geräte haben. Jedes Gerät weist seine Identität mit einem Zertifikat nach, sodass es kein Passwort gibt, das per Phishing gestohlen oder geknackt werden kann. Wählen Sie PEAP, wenn Sie keine Zertifikate ausstellen können, wie z. B. auf privaten Geräten, und erzwingen Sie die Serverzertifikatsvalidierung auf jedem Client. Beide eignen sich nicht für anonyme Gäste - nutzen Sie stattdessen ein Captive Portal oder OpenRoaming.

Sollten Sie EAP-TLS oder PEAP wählen?

Beide Protokolle laufen innerhalb von IEEE 802.1X, dem Standard für die portbasierte Netzwerkzugriffskontrolle. 802.1X veranlasst ein Gerät dazu, seine Identität nachzuweisen, bevor der Access Point seinen Datenverkehr weiterleitet. Dieser Nachweis wird als EAP-Nachrichten (Extensible Authentication Protocol) an einen RADIUS-Server übermittelt, der als Dienst jede Verbindung genehmigt oder ablehnt.

EAP-TLS und PEAP sind zwei Möglichkeiten, diesen Nachweis zu erbringen. Der Unterschied liegt darin, was das Gerät vorlegt.

• EAP-TLS ist in RFC 5216 definiert und für TLS 1.3 in RFC 9190 aktualisiert. Der Server und das Gerät legen jeweils ein digitales Zertifikat vor. Die Identität basiert auf einem privaten Schlüssel, der das Gerät niemals verlässt.
• PEAP (Protected EAP) fordert nur vom Server ein Zertifikat an. Das Gerät baut einen verschlüsselten Tunnel zum Server auf und übermittelt darin einen Benutzernamen und ein Passwort, fast immer mit MSCHAPv2.

Die kurze Empfehlung:

• Verwaltete Laptops, Tablets, Scanner und Zahlungsgeräte: EAP-TLS.
• Private Smartphones und Geräte von externen Dienstleistern, die Sie nicht registrieren können: PEAP mit aktivierter Serverzertifikatsvalidierung.
• Gäste, Fans, Passagiere und Käufer: keines von beidem. Nutzen Sie ein Captive Portal oder OpenRoaming über Guest WiFi.

Die meisten Umgebungen betreiben beide Methoden auf einem RADIUS-Dienst, getrennt nach Gerätebesitz. Der Rest dieses Leitfadens zeigt, wo diese Grenze verläuft und welche Betriebskosten auf jeder Seite entstehen.

Wie unterscheiden sich EAP-TLS und PEAP in der Praxis?

Wie der EAP-TLS-Handshake funktioniert

Der RADIUS-Server sendet zuerst sein Zertifikat. Das Gerät prüft es gegen eine vertrauenswürdige Stammzertifizierungsstelle (CA). Anschließend sendet das Gerät sein eigenes Zertifikat und weist nach, dass es den passenden privaten Schlüssel besitzt.

Der Server bestätigt, dass das Gerätezertifikat gültig ist und nicht widerrufen wurde. Er prüft den Widerrufsstatus mit einer Zertifikatssperrliste (CRL) oder OCSP (Online Certificate Status Protocol, RFC 6960). Erst dann gewährt der Access Point dem Gerät Zugriff.

Zu keinem Zeitpunkt wird ein Passwort über das Netzwerk übertragen. Ein per Phishing entwendetes Passwort kann das Netzwerk nicht öffnen, da das Netzwerk niemals nach einem Passwort fragt.

Wie der PEAP-Handshake funktioniert

Der RADIUS-Server sendet sein Zertifikat und das Gerät validiert es. Beide Seiten bauen einen TLS-Tunnel auf. Innerhalb dieses Tunnels führt das Gerät MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol Version 2) gegen ein Verzeichnis wie Active Directory aus. Wenn die Anmeldedaten übereinstimmen, erhält das Gerät Zugriff.

Microsoft, Cisco und RSA Security haben PEAP gemeinsam entwickelt. Es ist nie zu einem IETF-Standard geworden. Microsoft veröffentlicht die Version, die von den meisten Geräten verwendet wird, in seiner MS-PEAP-Protokollspezifikation.

Warum die Serverzertifikatsvalidierung über die Sicherheit von PEAP entscheidet

Der Tunnel schützt das Passwort nur, wenn das Gerät überprüft, wer sich am anderen Ende befindet. Wird diese Prüfung übersprungen, kann ein Angreifer Ihren Netzwerknamen über einen gefälschten Access Point ausstrahlen, der als "Evil Twin" bekannt ist. Das Gerät führt dann MSCHAPv2 mit dem Angreifer aus und übergibt Challenge und Response.

Im Jahr 2012 warnte die Microsoft-Sicherheitsempfehlung 2743314 davor, dass unverschlüsselte MSCHAPv2-Übertragungen geknackt werden können. Die Schutzmaßnahme von Microsoft bestand darin, diese in PEAP mit erzwungener Serverzertifikatsvalidierung einzubetten. Das ist bis heute die Regel.

EAP-TLS weist diese Schwachstelle nicht auf. Ein Gerät, das einen gefälschten Access Point erreicht, hat kein wiederverwendbares Passwort, das es preisgeben könnte.

EAP-TLS vs. PEAP im Vergleich

Zwei Plattformänderungen, die die Entscheidung beeinflussen

Windows. Die Dokumentation zu Microsoft Credential Guard besagt, dass auf MSCHAPv2 basierende WiFi- und VPN-Verbindungen keine gespeicherten Zugangsdaten verwenden können, wenn Credential Guard aktiviert ist. Credential Guard ist auf berechtigten Windows 11 Enterprise- und Education-Geräten ab Version 22H2 standardmäßig aktiviert. Microsoft empfiehlt den Umstieg auf zertifikatsbasierte Methoden wie EAP-TLS.

Android. Neuere Android-Versionen haben die Option entfernt, die Serverzertifikatsvalidierung zu überspringen. PEAP-Profile müssen nun ein CA-Zertifikat und eine Serverdomäne angeben. Das schließt die Evil-Twin-Lücke, erschwert jedoch die manuelle Einrichtung für Mitarbeiter.

Wann ist EAP-TLS die richtige Wahl?

Wählen Sie EAP-TLS, wenn drei Bedingungen erfüllt sind: Sie sind Eigentümer der Geräte, Sie können Konfigurationen auf diese übertragen und ein kompromittiertes Passwort würde echten Schaden anrichten.

• Unternehmenseigene Laptops, die über eine MDM-Plattform (Mobile Device Management) wie Microsoft Intune verwaltet werden.
• Point-of-Sale-Terminals und Handheld-Scanner in Netzwerken, die unter den PCI-DSS-Geltungsbereich fallen.
• Klinische Tablets und Visitenwagen im Gesundheitswesen, wo ein gemeinsam genutztes Stationspasswort ein dauerhaftes Risiko darstellt.
• Backoffice-, Rezeptions- und Etagen-Geräte in Hotels.
• Netzwerke, die für den WPA3-Enterprise 192-Bit-Modus entwickelt wurden, welchen die WPA3-Spezifikation an EAP-TLS-Cipher-Suites bindet.

Zertifikate sorgen zudem für ein präzises Offboarding. Wird ein Zertifikat widerrufen, verliert genau ein Gerät den Zugriff, während die anderen Geräte der Person weiterhin funktionieren. Das lässt sich nahtlos auf Neueinstellungen, Positionswechsel und Ausscheiden von Mitarbeitern in Ihrem MDM und Verzeichnis übertragen.

Speichern Sie private Schlüssel als nicht exportierbar im TPM (Trusted Platform Module) des Geräts oder im Secure Enclave, sofern die Hardware dies unterstützt. Ein Zertifikat, das nicht vom Gerät kopiert werden kann, kann an anderer Stelle nicht wiederverwendet werden.

Praxisbeispiel: eine Hotelgruppe mit 30 Standorten

Die Szenarien in diesem Leitfaden sind Kombinationen typischer Bereitstellungen und keine namentlich genannten Kundenergebnisse.

Ausgangslage. Eine Hotelgruppe betreibt 30 Standorte mit jeweils etwa 200 Zimmern. Backoffice-Laptops, Tablets für den Reinigungsservice und PCs an der Rezeption teilen sich ein einziges Personal-WiFi-Netzwerk. Die Geräte melden sich über PEAP mit einer Handvoll gemeinsam genutzter Active Directory-Konten an. Geht ein Tablet verloren, setzt die IT das gemeinsam genutzte Passwort zurück und konfiguriert jedes Gerät neu, das dieses Passwort verwendet.

Umsetzung. Jedes Gerät war bereits in einem MDM registriert. Das Team richtete eine Cloud-PKI ein (Public-Key-Infrastruktur, das System, das Zertifikate ausstellt und widerruft). Sie spielten Gerätezertifikate über SCEP aus (Simple Certificate Enrollment Protocol, RFC 8894). Das Personal-WiFi-Profil wurde anschließend auf EAP-TLS umgestellt. PEAP blieb während des gesamten Umstiegs auf demselben RADIUS-Dienst aktiv. Durch dynamische VLAN-Zuweisung wurden die Tablets des Reinigungsservice in ein anderes Segment eingeordnet als die Laptops der Finanzabteilung.

Ergebnis. Die Anzahl gemeinsam genutzter WiFi-Konten sank auf null. Bei einem verlorenen Tablet muss nun nur noch ein einziges Zertifikat widerrufen werden, anstatt Passwörter auf Dutzenden von Geräten zurückzusetzen. Passwortänderungen führen nicht mehr zu WiFi-Unterbrechungen, da kein WiFi-Passwort mehr existiert. Weitere Informationen zu Netzwerken im Gastgewerbe finden Sie auf unserer Seite für Hotels.

Wann ist PEAP die richtige Wahl?

Wählen Sie PEAP, wenn Sie kein Zertifikat auf dem Gerät installieren können und die sich anmeldende Person über ein Verzeichniskonto verfügt.

• Mitarbeiter auf privaten Smartphones im Rahmen einer BYOD-Richtlinie (Bring Your Own Device), bei denen eine MDM-Registrierung nicht akzeptabel ist.
• Externe Dienstleister, temporäres Veranstaltungspersonal und Zeitarbeiter mit kurzlebigen Konten.
• Infrastrukturen mit Active Directory, aber ohne PKI, als Zwischenschritt auf dem Weg zu EAP-TLS.

PEAP ist für diese Fälle nur dann akzeptabel, wenn drei Schutzmaßnahmen umgesetzt sind.

1. Serverzertifikatsprüfung auf jedem Gerät erzwingen. Benennen Sie die vertrauenswürdige CA und den exakten Servernamen. Bereitstellung über Gruppenrichtlinien, ein MDM-Profil oder ein Onboarding-Tool, niemals manuell.
2. Serverzertifikat konsistent halten. Stellen Sie es von einer CA aus, der Ihre Geräte bereits vertrauen, und halten Sie den Servernamen über Verlängerungen hinweg stabil.
3. Verzeichnis-Passwort stärken. PEAP ist nur so stark wie das Passwort innerhalb des Tunnels. Erzwingen Sie die Mindestlänge und blockieren Sie bekannt kompromittierte Passwörter direkt im Verzeichnis.

Praxisbeispiel: ein Konferenzzentrum mit saisonalen Arbeitskräften

Situation. Ein Veranstaltungszentrum in der Innenstadt stellt in jeder Hochsaison etwa 300 Aushilfskräfte ein. Diese nutzen ihre eigenen Smartphones für Dienstpläne und Funk-Apps. Das Veranstaltungszentrum kann nicht verlangen, dass persönliche Geräte in einem MDM registriert werden. Bis dahin hing ein gemeinsames WPA2-Personal-Passwort am Schwarzes Brett im Aufenthaltsraum.

Maßnahme. Die IT erstellte für jede Aushilfskraft ein Verzeichnis-Konto mit einem Ablaufdatum. Das Mitarbeiter-WiFi wurde auf PEAP umgestellt. Ein einmaliges Onboarding-Profil verankerte die CA und den Servernamen auf jedem Smartphone. Die Konten werden am Vertragsende automatisch deaktiviert. Teilnehmer blieben in einem separaten Captive Portal-Netzwerk.

Ergebnis. Das gemeinsame Passwort wurde ausgemustert. Ausscheidende Mitarbeiter verlieren ihren Zugriff genau an ihrem Enddatum und nicht erst bei der nächsten Passwortänderung. Jede Verbindung der Mitarbeiter wird einem namentlichen Konto in den RADIUS-Protokollen zugeordnet, was das Sicherheitsteam nach jeder Veranstaltung überprüfen kann.

Welche Betriebskosten entstehen bei EAP-TLS und PEAP?

Keines der Protokolle verursacht Lizenzgebühren. Beide sind direkt in Windows, macOS, iOS, Android und ChromeOS integriert. Die Kosten liegen in der Infrastruktur und im Arbeitsaufwand des Personals.

Wo Kosten bei EAP-TLS entstehen

Bei EAP-TLS fallen die Kosten zu Beginn an. Sie zahlen für eine PKI und die Arbeitszeit des Personals für den Entwurf von Zertifikatsvorlagen, Registrierung und Widerruf. Wenn Sie bereits ein MDM nutzen, sind die Bereitstellungskosten weitgehend abgedeckt. Nach dem Start besteht die wiederkehrende Hauptaufgabe in der Zertifikatsverlängerung, die durch ein MDM automatisiert wird.

Wo Kosten bei PEAP entstehen

PEAP beginnt günstig, verursacht im Laufe der Zeit jedoch höhere Kosten. Jede Passwortänderung kann veraltete Anmeldedaten auf Smartphones und Laptops hinterlassen. Wiederholte fehlgeschlagene Versuche können dann das Konto in Active Directory sperren, was Helpdesk-Tickets erzeugt. Diese Kosten skalieren mit der Mitarbeiterzahl und der Häufigkeit der Passwortwechsel.

Beachten Sie die Lebensdauer des Serverzertifikats

Wenn Ihr RADIUS-Serverzertifikat von einer öffentlichen CA stammt, verkürzt sich dessen Lebensdauer zusehends. Die Ballot SC-081 des CA/Browser Forums reduziert die maximale Lebensdauer öffentlicher TLS-Zertifikate stufenweise. Das Limit sinkt ab März 2026 auf 200 Tage und ab März 2029 auf 47 Tage. Viele Teams stellen das RADIUS-Zertifikat stattdessen über eine private CA aus, wodurch die Verlängerungen nach ihrem eigenen Zeitplan erfolgen.

Die Kosten von Fehlern

IBMs Cost of a Data Breach Report 2024 beziffert die weltweiten durchschnittlichen Kosten einer Datenpannen auf 4,88 Millionen USD. Gestohlene oder kompromittierte Anmeldedaten gehörten in diesem Bericht zu den häufigsten anfänglichen Angriffsvektoren. EAP-TLS entfernt WiFi Passwörter aus der Angriffsfläche für jedes abgedeckte Gerät.

Praxisszenario: Ein Einzelhändler mit 120 Filialen

Ausgangslage. Ein Einzelhändler betreibt 120 Filialen mit Handscannern und mobilen Point-of-Sale-Geräten über PEAP. Die Geräte nutzen gemeinsam ein Dienstkonto. Jede geplante Kennwortrotation dieses Kontos führte in Filialen, in denen Geräte das alte Passwort behielten, über Nacht zu Authentifizierungsfehlern.

Maßnahme. Die IT-Abteilung stellte Scanner und Zahlungsgeräte auf EAP-TLS um und nutzte dafür das bereits vorhandene MDM. Jedes Gerät erhielt ein eigenes Zertifikat. Die Smartphones des Filialpersonals verblieben auf PEAP in einem separaten VLAN ohne Verbindung zur Karteninhaber-Datenumgebung.

Ergebnis. Ausfälle am Tag der Passwortrotation gehörten der Vergangenheit an, da die betroffenen Geräte nicht mehr von einem gemeinsamen Passwort abhingen. Sperrungen erfolgten nun pro Gerät statt pro Filiale. Die vierteljährlichen Prüfungen auf unautorisierte Access Points gemäß PCI-DSS Anforderung 11.2.1 wurden unverändert fortgeführt. Weitere Informationen zu Filialnetzwerken finden Sie auf unserer Seite Einzelhandel.

Was führt bei den einzelnen Protokollen zu Problemen und wie beugen Sie vor?

Abgelaufene Zertifikate

Wenn das CA-Zertifikat oder das RADIUS-Serverzertifikat abläuft, schlägt jede Authentifizierung auf einmal fehl. Dies betrifft EAP-TLS und PEAP gleichermaßen. Richten Sie Warnmeldungen 90, 30 und sieben Tage vor jedem Ablaufdatum ein und benennen Sie einen Verantwortlichen für jedes Zertifikat.

Deaktivierte Servervalidierung

Ein PEAP-Profil, das die Servervalidierung überspringt, übermittelt Anmeldedaten an jeden Rogue Access Point (Evil Twin). Überprüfen Sie Geräteprofile regelmäßig und nehmen Sie diese Prüfung in Ihre Sicherheitsüberprüfung auf. Entfernen Sie alle manuellen Einrichtungsanweisungen, die Mitarbeiter anweisen, auf "Nicht validieren" zu tippen.

RADIUS-Latenz und Single Points of Failure

Die Authentifizierung liegt auf dem kritischen Pfad. Hohe Latenzzeiten zwischen Controller, RADIUS-Server und Verzeichnisdienst führen zu EAP-Timeouts. Betreiben Sie RADIUS mit Redundanz oder nutzen Sie Cloud-RADIUS mit mehr als einer Region. Für verteilte Umgebungen wie Bahnhöfe und Fahrzeuge bei Zügen platzieren Sie einen lokalen RADIUS-Proxy nahe an den Access Points.

Unautorisierte Access Points (Rogue APs)

Nutzen Sie die in Ihrer Access-Point-Plattform integrierte Erkennung drahtloser Eindringlinge, um unautorisierte Geräte kontinuierlich zu kennzeichnen. Wenn Sie Kartenzahlungen akzeptieren, verlangt PCI-DSS Anforderung 11.2.1, dass Sie mindestens alle drei Monate auf unautorisierte Access Points testen.

Ein flaches Netzwerk nach der Authentifizierung

Ein erfolgreicher 802.1X Login sollte nicht das gesamte Netzwerk öffnen. Nutzen Sie die dynamische VLAN-Zuweisung, bei der RADIUS das VLAN (Virtual LAN) für jedes Gerät anhand der in RFC 3580 definierten Attribute zurückgibt. Zahlungsgeräte, Diensttelefone und Gebäudetechnik landen so auf separaten Segmenten mit eigenen Zugriffskontrollen.

Wie treffen Sie die Entscheidung für Ihre Infrastruktur?

Gehen Sie von der Gerätezugehörigkeit aus, nicht von der Präferenz für ein Protokoll. Die folgende Matrix ordnet häufige Szenarien einer Empfehlung zu.

iPSK (Identity Pre-Shared Key, auch PPSK genannt) weist jedem Gerät oder jeder Gruppe einen eigenen WiFi Schlüssel unter einem einzigen Netzwerknamen zu. Nutzen Sie dies für Geräte, die keinen 802.1X-Supplicant ausführen können.

In vier Schritten zur Entscheidung

1. Inventarisieren Sie Geräte nach Eigentümer. Unterteilen Sie diese in verwaltete Unternehmensgeräte, private Geräte, Headless-Geräte und Gäste.
2. Prüfen Sie bestehende Systeme. Ein vorhandenes MDM macht EAP-TLS für verwaltete Geräte zu einem überschaubaren Projekt.
3. Definieren Sie den Zielzustand. EAP-TLS für jedes verwaltete Gerät, PEAP nur dort, wo eine Registrierung unmöglich ist.
4. Integrierte Migration. Führen Sie beide Methoden über einen RADIUS Dienst aus, übertragen Sie verwaltete Geräte auf EAP-TLS und deaktivieren Sie anschließend deren PEAP Profil.

Wie fügt sich Purple ein?

Purple ist hardwareunabhängig. Wir arbeiten als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Es ist kein Austausch bestehender Hardware nötig. Purple setzt direkt auf dem Netzwerk auf, das Sie heute nutzen.

Für Mitarbeiter und Bewohner verbinden die identitätsbasierten Netzwerke von Purple den Zugriff auf Staff WiFi und Multi-Tenant WiFi direkt mit der Identität. Dies funktioniert über ein Cloud RADIUS, das mit Microsoft Entra ID, Okta oder Google Workspace verknüpft ist. Neueinstellungen, Rollenwechsel und Austritte werden direkt über das Verzeichnis anstatt manuell verwaltet. Geräte, die kein 802.1X ausführen können, erhalten iPSK.

Für Gäste bietet das Guest WiFi von Purple ein Captive Portal - eine Webseite, die vor dem Zugriff angezeigt wird - mit expliziten Opt-in-Optionen. Es unterstützt zudem OpenRoaming, die auf Passpoint (Hotspot 2.0) basierende Federation der Wireless Broadband Alliance. OpenRoaming ermöglicht es wiederkehrenden Geräten, sich automatisch über eine verschlüsselte Verbindung zu verbinden. Der Connect-Tarif von Purple enthält einen Identity Provider für OpenRoaming. WiFi Analytics verwandelt diese Verbindungen anschließend in First-Party-Daten zu Verweildauer und Wiederholungsbesuchen.

Purple wird an über 80.000 aktiven Standorten eingesetzt und verarbeitete im Jahr 2024 über 440 Millionen Logins (eigene Daten von Purple). Purple ist ISO 27001 zertifiziert, GDPR konform und Cyber Essentials zertifiziert.

Häufig gestellte Fragen

Ist EAP-TLS sicherer als PEAP?

Ja. EAP-TLS authentifiziert beide Seiten mit Zertifikaten, sodass keine Passwörter durch Phishing, Erraten oder Abfangen über einen gefälschten Access Point gestohlen werden können. PEAP schützt ein Passwort innerhalb eines verschlüsselten Tunnels. Die Sicherheit hängt davon ab, dass jedes Gerät das Serverzertifikat validiert. Gut konfiguriert ist PEAP für private Geräte akzeptabel. Für unternehmenseigene Geräte, Zahlungsterminals und medizinische Geräte eliminiert EAP-TLS eine komplette Kategorie von Anmeldedaten-Angriffen.

Erfordert PCI-DSS EAP-TLS für drahtlose Netzwerke?

Nein. PCI-DSS v4.0 nennt keine spezifische EAP-Methode. Es erfordert eine starke Kryptografie in drahtlosen Netzwerken, die Karteninhaberdaten übertragen, sowie vierteljährliche Überprüfungen auf unautorisierte Access Points gemäß Anforderung 11.2.1. Zudem legt es Passwortkontrollen fest, wo immer Passwörter verwendet werden. EAP-TLS nimmt WiFi-Passwörter für betroffene Geräte aus dem Geltungsbereich, was Ihren Nachweisaufwand verkürzt. PEAP kann die Anforderungen ebenfalls erfüllen, wenn Servervalidierung und Passwortrichtlinien durchgesetzt und dokumentiert werden.

Können wir ohne Ausfallzeiten von PEAP zu EAP-TLS wechseln?

Ja. Ein einziger RADIUS-Dienst kann beide Methoden unter demselben Netzwerknamen akzeptieren. Jedes Gerät nutzt die Methode, die in seinem Profil angegeben ist. Stellen Sie Zertifikate aus und spielen Sie das neue EAP-TLS-Profil über Ihr MDM aus. Beobachten Sie anschließend die RADIUS-Logs, während die Geräte wechseln. Wenn sich keine verwalteten Geräte mehr mit PEAP authentifizieren, entfernen Sie deren PEAP-Profile. Behalten Sie PEAP nur für die privaten Geräte bei, die Sie nicht registrieren können.

Benötigen wir ein MDM, um EAP-TLS zu betreiben?

Für mehr als eine Handvoll von Geräten in der Praxis: ja. Jedes Gerät benötigt ein Zertifikat, eine vertrauenswürdige CA und ein WiFi-Profil. Jedes Zertifikat muss zudem vor seinem Ablauf erneuert werden. Ein MDM wie Microsoft Intune automatisiert dies über SCEP oder ein ähnliches Registrierungsprotokoll. Ohne MDM kann ein Onboarding-Tool Zertifikate auf privaten Geräten installieren, eine manuelle Installation ist jedoch über eine Testphase hinaus nicht skalierbar.

Was kostet EAP-TLS im Vergleich zu PEAP?

Keines der Protokolle erfordert eine Lizenzgebühr. Der Unterschied liegt in der Infrastruktur und dem Personalaufwand. PEAP benötigt einen RADIUS-Dienst, ein Serverzertifikat und ein Verzeichnis, das Sie wahrscheinlich bereits betreiben. EAP-TLS erfordert zusätzlich eine PKI - in der Cloud oder On-Premises - sowie ein MDM zur Bereitstellung und Erneuerung von Zertifikaten. Wenn Sie bereits für ein MDM bezahlen, bestehen die Zusatzkosten hauptsächlich in der PKI. Im Gegenzug entfallen WiFi-Passwort-Resets und Sperrungen durch Passwortrotationen.

Funktionierte Purple mit den Access Points, die wir bereits besitzen?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Alle diese Systeme unterstützen 802.1X mit einem externen RADIUS-Server. Ihre Access Points schränken die Wahl zwischen EAP-TLS und PEAP nicht ein. Es gibt kein Kündigen und Ersetzen: Purple setzt direkt auf dem Netzwerk auf, das Sie heute betreiben.

Sollten Gäste EAP-TLS oder PEAP nutzen?

Nein. Beide Protokolle setzen eine bekannte Person oder ein verwaltetes Gerät voraus, und Gäste in Hotels, Stadien oder Bahnhöfen sind beides nicht. Verwenden Sie ein Captive Portal für Opt-ins und Nutzungsbedingungen. Nutzen Sie OpenRoaming auf Basis von Passpoint, damit sich wiederkehrende Geräte automatisch über eine verschlüsselte Verbindung verbinden. Das Guest WiFi von Purple deckt beides ab, und der Connect Tarif enthält einen Identity Provider für OpenRoaming.

Ist PEAP im Jahr 2026 noch sicher zu verwenden?

Ja, innerhalb gewisser Grenzen. PEAP mit gesperrter Serverzertifikatsvalidierung und starken Verzeichnispasswörtern bleibt eine angemessene Wahl für persönliche Geräte. Seine Rolle schrumpft unter Windows, wo Credential Guard gespeicherte MSCHAPv2-Anmeldeinformationen blockiert. Microsoft empfiehlt stattdessen eine zertifikatsbasierte Authentifizierung. Planen Sie EAP-TLS für jedes verwaltete Windows Gerät ein und nutzen Sie PEAP weiterhin für Geräte, die Sie nicht kontrollieren.