EAP-TLS vs. PEAP: Welches Authentifizierungsprotokoll ist das richtige für Ihr Netzwerk?

EAP-TLS vs PEAP: Welches Authentifizierungsprotokoll ist das richtige für Ihr Netzwerk? Ein technisches Briefing von Purple [EINFÜHRUNG - ca. 1 Minute] Willkommen beim technischen Briefing von Purple. Ich bin Ihr Moderator, und heute befassen wir uns mit einer der weitreichendsten Entscheidungen, die Sie bei der Planung oder Modernisierung Ihrer drahtlosen Unternehmens-Infrastruktur treffen müssen: der Wahl zwischen EAP-TLS und PEAP für Ihr 802.1X Authentifizierungs-Framework. Wenn Sie als IT-Leiter, Netzwerkarchitekt oder CTO für eine Hotelgruppe, ein Einzelhandelsunternehmen, ein Stadion oder eine Organisation des öffentlichen Sektors verantwortlich sind, beeinflusst diese Entscheidung Ihr Sicherheitsniveau, Ihre Compliance-Position und den täglichen Betriebsaufwand Ihres Teams. Kommen wir also direkt zur Sache. Sowohl EAP-TLS als auch PEAP sind 802.1X Authentifizierungsmethoden. Beide verlassen sich auf einen RADIUS-Server, um Authentifizierungsanfragen zu verarbeiten, und beide bieten eine wesentlich stärkere Sicherheit als eine gemeinsame WPA2 Passphrase. Aber die Art und Weise, wie sie die Identität überprüfen, ist grundlegend unterschiedlich - und dieser Unterschied hat erhebliche Auswirkungen darauf, wie Sie Ihr Netzwerk bereitstellen, verwalten und skalieren. [TECHNISCHER DEEP-DIVE - ca. 5 Minuten] Beginnen wir mit EAP-TLS - Extensible Authentication Protocol Transport Layer Security. EAP-TLS ist der Goldstandard der WiFi Authentifizierung für Unternehmen. Das entscheidende Merkmal ist die gegenseitige Zertifikatsauthentifizierung. In der Praxis bedeutet das: Wenn ein Gerät versucht, sich mit Ihrem Netzwerk zu verbinden, präsentiert der RADIUS-Server dem Gerät ein digitales Zertifikat. Das Gerät vergleicht dieses Zertifikat mit seinen vertrauenswürdigen Zertifizierungsstellen. Aber hier ist der entscheidende Unterschied zu PEAP - das Gerät legt dann sein eigenes Zertifikat wiederum dem Server vor. Der Server validiert dieses Client-Zertifikat, und nur wenn beide Zertifikate gültig und vertrauenswürdig sind, gewährt das Netzwerk den Zugriff. Es sind keine Passwörter im Spiel. Überhaupt keine. Die Authentifizierung basiert vollständig auf Zertifikaten. Dies macht EAP-TLS außerordentlich widerstandsfähig gegen Diebstahl von Anmeldedaten, Dictionary-Angriffe und Man-in-the-Middle-Angriffe. Sie können schlichtweg kein Passwort stehlen, das im Authentifizierungsfluss gar nicht existiert. Die Kehrseite der Medaille ist die Komplexität der Bereitstellung. Um EAP-TLS im großen Stil zu betreiben, benötigen Sie eine Public-Key-Infrastruktur - eine PKI -, um Zertifikate für jedes einzelne Gerät in Ihrem Netzwerk auszustellen, zu verwalten und zu widerrufen. Sie benötigen außerdem eine Mobile Device Management-Lösung, um diese Zertifikate geräuschlos auf die Endgeräte zu übertragen. Wenn Sie eine Unternehmenslandschaft mit Microsoft Intune oder Jamf betreiben, ist dies absolut machbar. Wenn nicht, wird EAP-TLS zu einem erheblichen Unterfangen. Der andere betriebliche Aspekt ist das Lebenszyklusmanagement von Zertifikaten. Zertifikate laufen ab. Wenn das Zertifikat Ihres RADIUS-Servers abläuft, schlägt die Authentifizierung bei jedem einzelnen Gerät in Ihrem Netzwerk gleichzeitig fehl. Das ist ein katastrophaler Ausfall. Die Überwachung von Zertifikaten und Erneuerungsprozesse sind absolut unverzichtbar. Sehen wir uns nun PEAP an - Protected Extensible Authentication Protocol. PEAP wurde entwickelt, um die Komplexität bei der Bereitstellung von EAP-TLS zu verringern und gleichzeitig robuste Sicherheit zu bieten. Der entscheidende Ansatz hinter PEAP lautet: Nur der Server muss ein Zertifikat besitzen. Der Client benötigt keines. Und so funktioniert es: Der RADIUS-Server präsentiert dem Client-Gerät sein Zertifikat. Der Client validiert den Server - genau wie bei EAP-TLS. Dadurch wird ein verschlüsselter TLS-Tunnel aufgebaut. Innerhalb dieses Tunnels führt der Client dann eine Standard-Passwortauthentifizierung (normalerweise mit MSCHAPv2) gegenüber Ihrem Identitätsspeicher durch - sei es Active Directory, LDAP, Google Workspace oder was auch immer Sie nutzen. Das Passwort wird niemals im Klartext übertragen. Es ist innerhalb des verschlüsselten Tunnels stets geschützt. Daher ist PEAP absolut sicher - vorausgesetzt, es ist korrekt konfiguriert. Und genau hier müssen wir über die häufigste und gefährlichste Fehlkonfiguration bei PEAP-Installationen sprechen. Wenn ein Client-Gerät nicht so konfiguriert ist, dass es das Zertifikat des RADIUS-Servers streng validiert, kann ein Angreifer einen gefälschten Access Point mit demselben Netzwerknamen einrichten und ein betrügerisches Zertifikat präsentieren, woraufhin sich das Gerät bereitwillig verbindet. Der Angreifer fängt dann den MSCHAPv2-Authentifizierungsaustausch ab, der offline entschlüsselt werden kann. Dies ist kein theoretischer Angriff - es ist eine bestens dokumentierte Methode, die bei echten Penetrationstests eingesetzt wird. Die Lösung ist unkompliziert: Nutzen Sie Gruppenrichtlinien, MDM-Profile oder Onboarding-Tools, um eine strikte Serverzertifikatsvalidierung auf jedem Client-Gerät zu erzwingen. In der Praxis ist es in BYOD-Umgebungen jedoch eine echte Herausforderung, sicherzustellen, dass diese Konfiguration auf Tausenden von nicht verwalteten persönlichen Geräten konsistent angewendet wird. Lassen Sie mich Ihnen einen konkreten Vergleich geben. Denken Sie an eine Einzelhandelskette mit 500 Standorten. Sie verfügt über unternehmenseigene Tablets und Handscanner, die alle über Microsoft Intune verwaltet werden. Hier ist EAP-TLS die richtige Wahl. Intune verteilt Zertifikate automatisch. Geht ein Scanner verloren, entzieht die IT-Abteilung dessen Zertifikat, und das Gerät ist innerhalb von Minuten aus dem Netzwerk ausgeschlossen - ohne Passwort-Resets und ohne dass gemeinsame Passphrasen in 500 Geschäften geändert werden müssen. Die Sicherheit ist absolut. Betrachten wir nun ein großes Konferenzzentrum, das WiFi für 3.000 Mitarbeiter auf deren persönlichen Geräten bereitstellt. Kein MDM. Die Mitarbeiter nutzen Google Workspace. Hier ist PEAP integriert mit Google Secure LDAP die pragmatische Wahl. Die Mitarbeiter authentifizieren sich mit ihren Standard-Anmeldedaten. Das IT-Team stellt eine Onboarding-Dokumentation zur Konfiguration der Zertifikatsvalidierung bereit. Das Ganze ist in Tagen statt in Monaten einsatzbereit. Die Architektur, die beiden Protokollen zugrunde liegt, ist dasselbe dreigeteilte 802.1X-Modell: der Supplicant - also das Client-Gerät -, der Authenticator, also Ihr Access Point oder Switch, und der RADIUS-Server. Der Authenticator fungiert als Gatekeeper und blockiert den gesamten Datenverkehr, bis der RADIUS-Server signalisiert, dass die Authentifizierung erfolgreich war. [IMPLEMENTIERUNGSEMPFEHLUNGEN UND STOLPERSTEINE - ca. 2 Minuten] Was sind also die praktischen Empfehlungen? Erstens: Wenn Sie eine MDM-Lösung und firmeneigene Geräte nutzen, implementieren Sie EAP-TLS. Die anfängliche Investition in PKI und Zertifikatsverwaltung zahlt sich durch ein geringeres Risiko und vereinfachte Compliance-Audits aus. Für regulierte Umgebungen - das Gesundheitswesen, den Finanzsektor und den öffentlichen Sektor - ist dies keine Option. Es ist genau die Architektur, die Ihre Auditoren erwarten. Zweitens: Wenn Sie eine BYOD-Umgebung betreiben oder keine MDM-Infrastruktur haben, implementieren Sie PEAP. Aber verzichten Sie nicht auf die Konfiguration der Serverzertifikatsvalidierung. Nutzen Sie Onboarding-Tools, Portale für die Netzwerkzugriffskontrolle oder MDM-Profile, wo immer dies möglich ist, um dies zu erzwingen. Betrachten Sie dies als einen obligatorischen Bereitstellungsschritt und nicht als eine optionale Härtungsmaßnahme. Drittens: Unabhängig davon, für welches Protokoll Sie sich entscheiden, sollten Sie eine RADIUS-Redundanz in Ihre Architektur einbauen. Die Authentifizierung ist ein kritischer Pfad. Der Ausfall eines einzigen RADIUS-Servers bedeutet, dass niemand Zugriff auf das Netzwerk erhält. Cloud-gehostete RADIUS-Lösungen können Ausfallsicherheit bieten, ohne dass der Aufwand für die Verwaltung einer redundanten On-Premises-Infrastruktur anfällt. Viertens: Segmentieren Sie Ihr Netzwerk nach der Authentifizierung. Eine erfolgreiche 802.1X-Authentifizierung sollte keinen uneingeschränkten Zugriff auf Ihr gesamtes Unternehmensnetzwerk gewähren. Verwenden Sie VLAN-Zuweisungsrichtlinien, um Benutzer in den entsprechenden Netzwerksegmenten mit den passenden Zugriffskontrollen zu platzieren. Die typischen Fehler, die es zu vermeiden gilt: Ein Ablauf von Zertifikaten, der bei EAP-TLS-Bereitstellungen zu massenhaften Authentifizierungsfehlern führt; Client-Geräte, die bei PEAP-Bereitstellungen keine Serverzertifikate validieren; und RADIUS-Timeout-Probleme, die durch hohe Latenzzeiten zwischen dem Wireless Controller und dem Authentifizierungsserver verursacht werden - was besonders bei geografisch verteilten Standorten relevant ist. [SCHNELLE FRAGEN & ANTWORTEN - ca. 1 Minute] Lassen Sie mich kurz auf einige Fragen eingehen, die mir häufig gestellt werden. Kann ich sowohl EAP-TLS als auch PEAP im selben Netzwerk betreiben? Ja. Viele Unternehmen nutzen EAP-TLS für Unternehmensgeräte auf einer SSID und PEAP für BYOD oder den Gastzugang auf einer separaten SSID, mit einer entsprechenden Netzwerksegmentierung dazwischen. Ändert WPA3 diese Entscheidung? WPA3 Enterprise schreibt den 192-Bit-Sicherheitsmodus für Hochsicherheitsbereitstellungen vor, was gut zu EAP-TLS passt. WPA3 Personal verwendet SAE anstelle von PSK, aber für 802.1X-Bereitstellungen in Unternehmen bleibt die Auswahl der EAP-Methode weiterhin relevant. Ist PEAP konform mit PCI-DSS? Ja, wenn es korrekt konfiguriert ist und die Serverzertifikatsvalidierung erzwungen wird. Für Umgebungen, in denen Karteninhaberdaten verarbeitet werden, ist EAP-TLS bei Sicherheitsbewertungen jedoch zunehmend der empfohlene Ansatz. Was ist mit OpenRoaming? OpenRoaming nutzt im Hintergrund eine zertifikatsbasierte Authentifizierung, die den Prinzipien von EAP-TLS entspricht. Plattformen wie Purple können als Identity Provider für OpenRoaming fungieren und ermöglichen so ein nahtloses, sicheres Roaming über verschiedene Standorte hinweg ohne erneute Authentifizierung. [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - ca. 1 Minute] Zusammenfassend lässt sich sagen: EAP-TLS ist die Option mit der höchsten Sicherheit, bei der Passwörter durch gegenseitige Zertifikatsauthentifizierung vollständig überflüssig werden. Sie erfordert eine PKI- und MDM-Infrastruktur, bietet jedoch die stärkste Compliance-Ausrichtung und die granularste Zugriffskontrolle auf Geräteebene. PEAP ist die pragmatische Wahl für BYOD und Umgebungen ohne Zertifikatsverwaltungsinfrastruktur. Es bietet eine starke verschlüsselte Authentifizierung unter Verwendung vorhandener Zugangsdaten - jedoch nur dann, wenn die Serverzertifikatsvalidierung strikt erzwungen wird. Der Entscheidungsrahmen ist einfach: Wenn Sie Ihre Geräte verwalten, verwenden Sie EAP-TLS. Wenn Ihre Benutzer eigene Geräte mitbringen, verwenden Sie PEAP - aber konfigurieren Sie es richtig. Für Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Authentifizierungskonfiguration, bewerten Sie Ihre PKI- und MDM-Bereitschaft und prüfen Sie Ihre RADIUS-Infrastruktur auf Redundanz und Latenz. Wenn Sie neben Ihrem Unternehmensnetzwerk ein Gäste-WiFi bereitstellen oder aktualisieren, sollten Sie prüfen, wie eine Plattform wie Purple in Ihr Authentifizierungs-Framework integriert werden kann, um sowohl Sicherheit als auch verwertbare Analysen aus Ihrem Netzwerk zu liefern. Vielen Dank, dass Sie sich das Purple Technical Briefing angehört haben. Bis zum nächsten Mal.