Google Workspace WiFi Authentifizierung: Chromebook und LDAP Integration
Ein definitives technisches Handbuch für IT-Administratoren, die sicheres WiFi in Google Workspace Umgebungen bereitstellen. Dieser Leitfaden behandelt die Bereitstellung von 802.1X Zertifikaten für verwaltete Chromebooks über die Google Admin Konsole, die Google Secure LDAP Integration als RADIUS Backend sowie Architekturentscheidungen für Bildungseinrichtungen, Medien und Unternehmen. Er bietet praxisnahe Implementierungsschritte, reale Fallstudien und einen direkten Vergleich von EAP Methoden, um Teams beim Übergang von unsicheren, gemeinsam genutzten PSKs zu einer robusten, identitätsbasierten Netzwerkzugriffskontrolle zu unterstützen.
Video overview
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Teil unserer Kernserie: Enterprise WiFi Sicherheitsleitfaden →
Google Workspace WiFi & Chromebook 802.1X Architecture Advisor
Model your Google Workspace edition, Chromebook fleet size, and controller hardware to generate a custom 802.1X EAP-TLS or Secure LDAP deployment blueprint with automated Google Admin Console policies.
Tier designed for K-12 school districts and universities managing 1:1 Chromebook fleets, Google Classroom, student vs faculty OU segmentation, and Secure LDAP RADIUS.
Enrolled via Chrome Enterprise Upgrade. Supports silent background SCEP client certificate distribution with TPM hardware key storage.
Maximum zero-trust security: private keys never leave Chromebook hardware.
Generates vendor-specific RADIUS, 802.1X, and dynamic VLAN configuration commands.
Recommended Deployment Blueprint
Deploy EAP-TLS with hardware TPM-backed client certificates managed via SCEP/PKCS in Google Admin Console. ChromeOS devices authenticate cryptographically with zero user friction and zero password sharing.
Request Custom Google Workspace WiFi Blueprint & Cloud RADIUS Demo
Get tailored configuration files for your Cisco Meraki network and 650 devices.
Executive Summary
Für Unternehmen, Bildungseinrichtungen und Gastgewerbebetriebe, die sich auf Google Workspace standardisiert haben, stellte die Implementierung einer sicheren, nahtlosen WiFi-Authentifizierung im Vergleich zu Microsoft Active Directory-Umgebungen in der Vergangenheit eine Herausforderung dar. Dieser Leitfaden beschreibt die Architektur und Bereitstellung der Google Workspace WiFi-Authentifizierung mit besonderem Fokus auf die Chromebook 802.1X Zertifikatsbereitstellung und die Google Secure LDAP-Integration für RADIUS-Backends.
IT-Manager und Netzwerkarchitekten müssen ein Gleichgewicht zwischen Sicherheit (WPA3-Enterprise, IEEE 802.1X) und Benutzeraufwand finden. Während Pre-Shared Keys (PSKs) leicht kompromittiert werden können und schwer zu rotieren sind, bietet die zertifikatsbasierte Authentifizierung (EAP-TLS) oder die auf Anmeldedaten basierende Authentifizierung (PEAP-MSCHAPv2), die direkt mit der Google Workspace Identität eines Benutzers verknüpft ist, eine robuste Zugriffskontrolle, granulare Richtliniendurchsetzung und nahtloses Roaming über Guest WiFi und Unternehmensnetzwerke hinweg.
Diese technische Referenz skizziert die genauen Schritte zur Konfiguration der Google Admin-Konsole für die automatisierte Zertifikatsverteilung, zur Bereitstellung von Google Secure LDAP und zur Integration dieser Identitätsquellen mit Unternehmens-RADIUS-Servern. Durch die Einhaltung dieser herstellerneutralen Best Practices können Unternehmen den Diebstahl von Anmeldedaten verhindern, Support-Tickets reduzieren und die Einhaltung von GDPR und PCI-DSS sicherstellen.
Technischer Deep-Dive
Die Architektur der Google Workspace WiFi-Authentifizierung
Die Authentifizierung von Wireless-Clients gegenüber Google Workspace erfordert die Überbrückung der Lücke zwischen Cloud-nativer Identität (SAML/OAuth) und älteren Netzwerkprotokollen (RADIUS/802.1X). Im Gegensatz zu Active Directory, das nativ LDAP spricht und sich nahtlos in den Network Policy Server (NPS) integriert, erfordert Google Workspace eine dedizierte Zwischenschicht.
Es gibt zwei primäre Architekturen, um dies zu erreichen:
Architektur 1 - Google Secure LDAP (Cloud Identity Premium / Google Workspace Enterprise): Google stellt eine verwaltete LDAP-Schnittstelle für Ihr Cloud-Verzeichnis bereit. Ihr RADIUS-Server (z. B. FreeRADIUS, Cisco ISE, Aruba ClearPass) verbindet sich über Client-Zertifikate sicher mit ldap.google.com. Wenn ein Benutzer versucht, eine Verbindung zum WiFi herzustellen, validiert der RADIUS-Server seine Anmeldedaten mit dem LDAP-Dienst von Google.
Architektur 2 - SAML-basierte Captive Portals / RadSec: Für BYOD- (Bring Your Own Device) oder Gastszenarien verbinden sich Benutzer mit einem offenen oder PSK-Netzwerk, das sie zu einem Captive Portal weiterleitet. Das Portal authentifiziert den Benutzer über Google SSO (SAML/OAuth). Nach der Authentifizierung kann das System dynamisch eine eindeutige Anmeldeinformation (z. B. einen dynamischen PSK oder ein temporäres Zertifikat) für nachfolgende Verbindungen bereitstellen.
Abbildung 1: Der 802.1X-Authentifizierungsfluss für Google Workspace-Umgebungen, der den RADIUS-Server als Vermittler zwischen dem Access Point und Google Secure LDAP zeigt.
EAP-Typen und Chromebook-Unterstützung
Chromebooks unterstützen nativ verschiedene Typen des Extensible Authentication Protocol (EAP) für 802.1X. Die Wahl des EAP-Typs bestimmt das Sicherheitsniveau und die Komplexität der Bereitstellung. Eine umfassende Übersicht über die Grundlagen von 802.1X finden Sie unter 802.1X Authentication: Securing Network Access on Modern Devices.
Abbildung 2: Ein direkter Vergleich der von Chromebooks unterstützten EAP-Methoden, der die Kompromisse zwischen Sicherheit und Komplexität hervorhebt.
| EAP-Methode | Authentifizierungstyp | Client-Zertifikat erforderlich | Phishing-Risiko | Empfohlen für |
|---|---|---|---|---|
| EAP-TLS | Zertifikat | Ja | Keines | Verwaltete Chromebooks |
| PEAP-MSCHAPv2 | Passwort | Nein | Mittel | BYOD / KMU-Bereitstellungen |
| EAP-TTLS | Passwort | Nein | Mittel | Gemischte Umgebungen |
EAP-TLS (Transport Layer Security): Der Goldstandard für Enterprise WiFi. Es erfordert sowohl ein Serverzertifikat (auf dem RADIUS-Server) als auch ein Clientzertifikat (auf dem Chromebook). Dadurch werden Passwörter überflüssig, was Phishing-Risiken minimiert. Die Google Admin Console kann Clientzertifikate über den Google Cloud Certificate Connector oder SCEP/EST-Integrationen von Drittanbietern automatisch auf verwaltete Chromebooks übertragen.
PEAP-MSCHAPv2 / EAP-TTLS: Diese Protokolle verwenden ein Serverzertifikat, um einen sicheren Tunnel aufzubauen, in dem der Benutzername und das Passwort des Benutzers ausgetauscht werden. Obwohl sie für nicht verwaltete Geräte einfacher bereitzustellen sind, sind sie anfällig für den Diebstahl von Anmeldedaten, wenn das Clientgerät das Serverzertifikat nicht streng validiert.
Berücksichtigen Sie bei der Netzwerkkonzeption, wie diese Authentifizierungsereignisse mit nachgelagerten Systemen wie WiFi Analytics-Plattformen korrelieren, die auf stabile MAC-Adressen oder authentifizierte Benutzernamen angewiesen sind, um Benutzeraktivitäten und Besucherzahlen zu erfassen.
Google Workspace vs. Microsoft und Okta: Eine vergleichende Bewertung
Unternehmen, die Identitätsplattformen für die WiFi-Authentifizierung in Unternehmen evaluieren, sollten die damit verbundenen Kompromisse verstehen. Microsoft Active Directory bleibt aufgrund der nativen LDAP-Unterstützung und der engen NPS-Integration die am nahtlosesten integrierte Option. Okta bietet über seinen RADIUS Agent eine robuste RADIUS-as-a-Service-Funktion, wodurch eine selbst verwaltete RADIUS-Infrastruktur überflüssig wird. Google Workspace über Secure LDAP ist eine solide Option, erfordert jedoch eine bewusstere Architektur - Sie benötigen immer einen zwischengeschalteten RADIUS-Server, und der Secure LDAP-Dienst ist nur in höheren Lizenzstufen verfügbar.
| Funktion | Google Workspace | Microsoft AD/Entra | Okta |
|---|---|---|---|
| Native RADIUS-Unterstützung | Nein (erfordert RADIUS-Server) | Über NPS | Über RADIUS Agent |
| LDAP-Schnittstelle | Google Secure LDAP | Natives AD LDAP | LDAP Interface Agent |
| EAP-TLS-Unterstützung | Ja (über PKI-Integration) | Ja (nativ) | Ja |
| Zertifikatsübertragung für verwaltete Geräte | Google Admin Console | Intune / GPO | MDM-Integration |
| Lizenzanforderung | Enterprise / Cloud Identity Premium | In AD enthalten | Workforce Identity |
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.
Implementierungsleitfaden
Bereitstellung von 802.1X auf verwalteten Chromebooks
Die Bereitstellung von sicherem WiFi auf verwalteten Chromebooks umfasst die Konfiguration der Google Admin Console, um die erforderlichen Netzwerkprofile und Zertifikate zu übertragen. Dies stellt sicher, dass sich Geräte automatisch und ohne Benutzereingriff verbinden.
Schritt 1: Konfigurieren Sie den RADIUS-Server
Stellen Sie einen RADIUS-Server (z. B. FreeRADIUS) bereit, der EAP-TLS oder PEAP unterstützt. Installieren Sie ein vertrauenswürdiges Serverzertifikat auf dem RADIUS-Server. Wenn Sie eine private CA verwenden, stellen Sie sicher, dass das Root-CA-Zertifikat für die Bereitstellung auf Clients exportiert wird. Konfigurieren Sie den RADIUS-Server so, dass er Google Secure LDAP abfragt (bei Verwendung einer auf Anmeldedaten basierenden Authentifizierung) oder Clientzertifikate mit Ihrer CA abgleicht (bei Verwendung von EAP-TLS).
Schritt 2: Google Secure LDAP einrichten (für PEAP/EAP-TTLS)
Navigieren Sie in der Google Admin Konsole zu Apps > LDAP. Fügen Sie einen neuen LDAP-Client hinzu (z. B. „Enterprise RADIUS“). Konfigurieren Sie die Zugriffsberechtigungen (Benutzerinformationen lesen, Passwörter überprüfen). Laden Sie das erstellte Client-Zertifikat und den Schlüssel herunter. Installieren Sie diese Anmeldedaten auf Ihrem RADIUS-Server und konfigurieren Sie ihn so, dass er eine Verbindung zu ldap.google.com:636 herstellt.
Schritt 3: Zertifikate auf Chromebooks bereitstellen (für EAP-TLS)
Navigieren Sie in der Google Admin Konsole zu Geräte > Netzwerke > Zertifikate. Laden Sie Ihr Root-CA-Zertifikat hoch und markieren Sie es als „Vertrauenswürdige Zertifizierungsstelle“. Konfigurieren Sie einen Mechanismus zur Ausstellung von Client-Zertifikaten an Geräte über den Google Cloud-Zertifikatsconnector oder einen cloudbasierten PKI-Anbieter, der die SCEP/EST-Integration unterstützt.
Schritt 4: Das WiFi-Profil in der Google Admin Konsole erstellen
Navigieren Sie zu Geräte > Netzwerke > WiFi. Erstellen Sie ein neues WiFi-Netzwerkprofil. Legen Sie die SSID fest und wählen Sie WPA/WPA2/WPA3-Enterprise als Sicherheitstyp. Wählen Sie den entsprechenden EAP-Typ aus. Wenn Sie EAP-TLS verwenden, wählen Sie das bereitgestellte Client-Zertifikat aus. Wenn Sie PEAP verwenden, konfigurieren Sie es so, dass die Anmeldedaten des angemeldeten Benutzers verwendet werden. Besonders wichtig: Wählen Sie das vertrauenswürdige Root-CA-Zertifikat aus, um sicherzustellen, dass das Chromebook den RADIUS-Server validiert. Wenden Sie das Profil auf die entsprechenden Organisationseinheiten (OUs) an.
Best Practices
Strikte Server-Zertifikatsvalidierung: Erzwingen Sie auf Client-Geräten immer die Validierung des Server-Zertifikats. Andernfalls setzen Sie die Benutzer Evil-Twin-Angriffen aus, bei denen ein Angreifer dieselbe SSID ausstrahlt und Anmeldedaten abfängt. Diese einzige Konfigurationsentscheidung entscheidet über eine sichere Bereitstellung oder eine Sicherheitslücke. Für eine tiefergehende Untersuchung der 802.1X-Sicherheitsarchitektur lesen Sie bitte 802.1X Authentication: Securing Network Access on Modern Devices.
Netzwerke nach Rollen segmentieren: Verwenden Sie RADIUS-Attribute (z. B. Filter-Id, Tunnel-Private-Group-Id), die von Google LDAP zurückgegeben werden, um Benutzer basierend auf ihrer Google Workspace-Gruppenzugehörigkeit (z. B. Mitarbeiter vs. Schüler) dynamisch verschiedenen VLANs zuzuweisen. Dies schränkt laterale Bewegungen ein und verbessert das Sicherheitsniveau erheblich.
Überwachen und prüfen: Überprüfen Sie regelmäßig die RADIUS-Authentifizierungsprotokolle und Google Workspace-Audit-Logs. Integrieren Sie diese Protokolle in ein SIEM-System, um anomale Authentifizierungsmuster oder Brute-Force-Versuche zu erkennen. Berücksichtigen Sie, wie diese Daten in umfassendere Network-Intelligence-Plattformen einfließen.
Planung für BYOD: Während verwaltete Chromebooks EAP-TLS verwenden können, erfordern nicht verwaltete Geräte (private Telefone von Mitarbeitern, Gastgeräte) einen anderen Ansatz. Implementieren Sie für diese Geräte ein sicheres Onboarding-Portal oder nutzen Sie dynamische PSKs. Für öffentliche Bereiche im Gastgewerbe oder im Einzelhandel sollten Sie standardmäßige Guest WiFi-Lösungen mit Captive Portals in Betracht ziehen, die die Einwilligung erfassen und die DSGVO-Konformität (GDPR) gewährleisten. Infrastruktur-Redundanz: Stellen Sie mehrere RADIUS-Server bereit und konfigurieren Sie Access Points für ein automatisches Failover. Ein einzelner RADIUS-Server ist ein kritischer Single Point of Failure - wenn er ausfällt, können sich keine verwalteten Geräte mehr mit dem Netzwerk verbinden.
Fehlerbehebung & Risikominderung
Häufige Fehlerszenarien
Zertifikatsablauf ist die häufigste Ursache für EAP-TLS-Fehler in Produktivumgebungen. Implementieren Sie eine automatisierte Überwachung und Alarmierung für Zertifikatsgültigkeitsdauern bei 90, 30 und 7 Tagen vor dem Ablauf. Dies gilt sowohl für das RADIUS-Serverzertifikat als auch für alle Zwischen-CA-Zertifikate.
Uhrzeit-Abweichung (Clock Skew) ist eine häufig übersehene Ursache für sporadische Authentifizierungsfehler. EAP-TLS ist für die Zertifikatsvalidierung auf eine genaue Uhrzeit angewiesen. Stellen Sie sicher, dass der RADIUS-Server, die Zertifizierungsstelle und die Chromebooks alle über NTP synchronisiert werden. Eine Abweichung von mehr als wenigen Minuten kann dazu führen, dass gültige Zertifikate abgelehnt werden.
LDAP-Verbindungsprobleme: Wenn Sie Google Secure LDAP verwenden, stellen Sie sicher, dass der RADIUS-Server ldap.google.com über den TCP-Port 636 erreichen kann und dass das für die Authentifizierung verwendete Client-Zertifikat in der Google Admin Console nicht abgelaufen ist oder widerrufen wurde.
Falsche Zuweisung von Organisationseinheiten (OU): Stellen Sie sicher, dass das WiFi-Profil und die Zertifikate den richtigen Organisationseinheiten in der Google Admin Console zugewiesen sind. Ein häufiger Fehler besteht darin, ein Gerätezertifikatsprofil einer Benutzer-OU zuzuweisen, was dazu führt, dass das Zertifikat niemals auf das Gerät übertragen wird.
Strategien zur Risikominderung
Eine schrittweise Einführung ist unerlässlich. Stellen Sie eine neue 802.1X-Konfiguration niemals für die gesamte Organisation auf einmal bereit. Beginnen Sie mit einer kleinen Pilotgruppe (z. B. dem IT-Team) und weiten Sie diese auf eine einzelne Abteilung oder einen einzelnen Standort aus, bevor Sie einen globalen Rollout durchführen. Richten Sie eine versteckte, stark eingeschränkte Fallback-SSID ein, die das IT-Personal zur Fehlerbehebung bei Geräten nutzen kann, bei denen die Authentifizierung über 802.1X fehlschlägt.
Für Organisationen in regulierten Sektoren ist sicherzustellen, dass Ihre 802.1X-Bereitstellung mit den relevanten Compliance-Richtlinien übereinstimmt. In Gesundheitswesen-Umgebungen unterstützt die Netzsegmentierung über dynamische VLAN-Zuweisung direkt die HIPAA-Anforderungen zur Isolierung klinischer Systeme. Im Einzelhandel schreibt PCI-DSS eine Netzwerktrennung zwischen Karteninhaber-Datenumgebungen und allgemeinen Unternehmensnetzwerken vor - eine Anforderung, die durch eine dynamische VLAN-Zuweisung elegant erfüllt wird.
ROI & geschäftliche Auswirkungen
Der Übergang von PSK-basierten Netzwerken zu einer in Google Workspace integrierten 802.1X-Lösung bietet erhebliche, messbare Vorteile, die die Implementierungsinvestition rechtfertigen.
Reduzierter Helpdesk-Aufwand: Die automatisierte Zertifikatsverteilung über die Google Admin Console macht die manuelle WiFi-Konfiguration auf verwalteten Geräten überflüssig. Organisationen berichten in der Regel von einer Reduzierung der WiFi-bezogenen Helpdesk-Tickets um 40 bis 60 % nach der Einführung von EAP-TLS, da keine Passwörter vergessen oder geändert werden müssen.
Verbesserte Sicherheitsstruktur: EAP-TLS eliminiert die passwortbasierte Authentifizierung und neutralisiert Phishing- sowie Credential-Stuffing-Angriffe. Dies verringert das Risiko von Datenschutzverletzungen und die damit verbundenen finanziellen Kosten sowie Reputationsschäden. Die durchschnittlichen Kosten einer Datenschutzverletzung im Jahr 2024 überstiegen 4,8 Millionen Dollar - eine Zahl, die die Investition in eine ordnungsgemäße Authentifizierungsarchitektur leicht rechtfertigen lässt.
Optimiertes Offboarding: Wenn ein Mitarbeiter das Unternehmen verlässt, entzieht das Deaktivieren seines Google Workspace Kontos sofort auch den WiFi Zugriff. Es ist nicht mehr erforderlich, einen gemeinsam genutzten PSK im gesamten Unternehmen zu ändern, was das Sicherheitsrisiko eliminiert, das zwischen dem Ausscheiden eines Mitarbeiters und einer PSK-Rotation besteht.
Verbesserte Analysen und Erkenntnisse: Durch die Verknüpfung der Netzwerkauthentifizierung mit einer eindeutigen Identität können Standorte Plattformen wie Wayfinding und WiFi Analytics nutzen, um die Flächennutzung und das Nutzerverhalten präziser zu verstehen. Diese Daten können als Grundlage für Infrastrukturinvestitionen dienen und die Immobiliennutzung in komplexen Umgebungen wie Transport Hubs oder großen Konferenzzentren optimieren. Für Unternehmen, die untersuchen, wie Netzwerkdaten breitere operative Ziele unterstützen, bietet der Artikel Modern Hospitality WiFi Solutions Your Guests Deserve nützliche Einblicke.
Für Unternehmen, die den breiteren Kontext der Netzwerkarchitektur betrachten, bieten der Wireless Access Points Definition Your Ultimate 2026 Guide und The Core SD WAN Benefits for Modern Businesses ergänzende Leitfäden für Infrastrukturentscheidungen, die eine erfolgreiche 802.1X Bereitstellung unterstützen.
Schlüsseldefinitionen
802.1X
Ein IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle (PNAC). Er bietet einen Authentifizierungsmechanismus für Geräte, die eine Verbindung zu einem LAN oder WLAN herstellen möchten, und erfordert, dass sich jedes Gerät authentifiziert, bevor ein Netzwerkzugriff gewährt wird.
Das grundlegende Protokoll für die WiFi-Sicherheit in Unternehmen, das gemeinsam genutzte Passwörter (PSKs) durch eine individuelle, identitätsbasierte Authentifizierung ersetzt. Wird von Chromebooks und allen modernen WiFi-Zugriffspunkten nativ unterstützt.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
Eine EAP-Methode, die PKI (Public Key Infrastructure) verwendet, um sowohl den Client als auch den Server mithilfe digitaler Zertifikate zu authentifizieren. Bei der Authentifizierung werden keine Passwörter ausgetauscht.
Der Goldstandard für die WiFi-Authentifizierung verwalteter Geräte. Erfordert ein Client-Zertifikat auf dem Chromebook (bereitgestellt über die Google Admin Konsole) und ein Server-Zertifikat auf dem RADIUS-Server.
Google Secure LDAP
Ein verwalteter Dienst von Google, der eine traditionelle LDAP-Schnittstelle für das Cloud-Verzeichnis von Google Workspace bereitstellt. So können Legacy-Systeme wie RADIUS-Server Benutzer mit der Identitätsplattform von Google authentifizieren.
Unerlässlich für Organisationen, die ihre Google-Anmeldedaten für die 802.1X WiFi-Authentifizierung nutzen möchten. Verfügbar mit Cloud Identity Premium- und Google Workspace Enterprise-Lizenzen.
RADIUS (Remote Authentication Dial-In User Service)
Ein Netzwerkprotokoll, das eine zentralisierte Verwaltung von Authentifizierung, Autorisierung und Abrechnung (AAA) für Benutzer bietet, die sich mit einem Netzwerkdienst verbinden. Zugriffspunkte kommunizieren mit einem RADIUS-Server, um Benutzer- oder Geräteanmeldedaten zu überprüfen.
Der zwischengeschaltete Server, der die Lücke zwischen WiFi-Zugriffspunkten und Identitätsanbietern wie Google Workspace schließt. Typische Implementierungen sind FreeRADIUS, Cisco ISE und Aruba ClearPass.
PEAP-MSCHAPv2 (Protected Extensible Authentication Protocol)
Eine EAP-Methode, die ein Server-Zertifikat verwendet, um einen sicheren TLS-Tunnel aufzubauen, in dem der Benutzername und das Passwort des Benutzers mithilfe des MSCHAPv2-Protokolls validiert werden.
Eine gängige Alternative zu EAP-TLS für BYOD- oder KMU-Umgebungen, in denen die Bereitstellung von Client-Zertifikaten auf jedem Gerät unpraktisch ist. Erfordert eine strikte Validierung des Server-Zertifikats, um den Diebstahl von Anmeldedaten zu verhindern.
Dynamische VLAN-Zuweisung
Der Prozess, bei dem ein Benutzer oder ein Gerät basierend auf seiner Identität oder Gruppenmitgliedschaft in ein bestimmtes virtuelles lokales Netzwerk (VLAN) eingestuft wird. Dies wird während des 802.1X-Authentifizierungsprozesses über RADIUS-Attribute ermittelt.
Ermöglicht es Netzwerkadministratoren, den Datenverkehr über eine einzige SSID zu segmentieren (z. B. um Schüler und Personal in verschiedenen Subnetzen zu halten), basierend auf der über Secure LDAP zurückgegebenen Google Workspace-Gruppenmitgliedschaft.
SCEP (Simple Certificate Enrollment Protocol)
Ein Protokoll zur Automatisierung der Ausstellung und des Widerrufs digitaler Zertifikate im großen Stil, das häufig in MDM- und Geräteverwaltungsplattformen eingesetzt wird.
Wird in Verbindung mit der Google Admin Konsole verwendet, um Client-Zertifikate für die EAP-TLS-Authentifizierung automatisch auf verwaltete Chromebooks zu übertragen, ohne dass eine manuelle Zertifikatsinstallation erforderlich ist.
Evil Twin Angriff
Ein betrügerischer WiFi-Zugriffspunkt, der legitim erscheint, indem er dieselbe SSID wie ein vertrauenswürdiges Netzwerk ausstrahlt, mit dem Ziel, Benutzeranmeldedaten oder Datenverkehr abzufangen.
Die primäre Bedrohung, die durch die Durchsetzung einer strikten Server-Zertifikatsvalidierung in 802.1X-Konfigurationen abgewehrt wird. Ohne Zertifikatsvalidierung können die Google-Anmeldedaten eines PEAP-Benutzers von einem bösartigen Zugriffspunkt abgefangen werden.
WPA3-Enterprise
Die neueste Generation des WiFi Protected Access-Sicherheitsprotokolls für Unternehmensnetzwerke, das eine stärkere Verschlüsselung (mindestens 192-Bit im WPA3-Enterprise 192-Bit-Modus) und einen verbesserten Schutz vor Offline-Wörterbuchangriffen bietet.
Das empfohlene Sicherheitsprotokoll für alle neuen 802.1X-Bereitstellungen. Wird von modernen Chromebooks und Zugriffspunkten vollständig unterstützt und ist über das WiFi-Profil der Google Admin Konsole konfigurierbar.
Ausgearbeitete Beispiele
Ein Universitätscampus mit 2.000 Studierenden muss sicheres WiFi sowohl für universitätseigene Chromebooks (verwaltet über Google Admin) als auch für studentische BYOD Geräte (Smartphones, Laptops) bereitstellen. Sie nutzen Google Workspace for Education als einzigen Identitätsanbieter und verfügen über kein lokales Active Directory.
Für die verwalteten Chromebooks sollte die Universität EAP-TLS bereitstellen. Sie konfigurieren eine Cloud-basierte PKI, die über SCEP in Google Workspace integriert ist. Die Google Admin Konsole überträgt die Root CA, die SCEP Payload und das WiFi Profil (WPA3-Enterprise, EAP-TLS) an die Chromebook OUs. Die Geräte authentifizieren sich geräuschlos und sicher ohne jegliche Benutzerinteraktion.
Für BYOD Geräte stellen sie ein sicheres Onboarding Portal bereit. Studierende verbinden sich mit einer offenen 'Onboarding' SSID, authentifizieren sich über Google SAML SSO auf einem Captive Portal und erhalten dann ein eindeutiges, gerätespezifisches Zertifikat (oder ein dynamisches PSK) für die Haupt SSID 'Campus-Secure'. Dies trennt den verwalteten und den unverwalteten Datenverkehr, während dieselbe Google Identität genutzt wird. Der RADIUS Server verwendet Google Secure LDAP zur Validierung der Anmeldedaten und weist Studierende und Mitarbeitende basierend auf ihrer Google Workspace Gruppenmitgliedschaft separaten VLANs zu.
Eine Einzelhandelskette mit 50 Standorten nutzt Google Workspace. Sie möchte WiFi für Mitarbeitende auf firmeneigenen Geräten und ein separates Gast WiFi für Kunden bereitstellen. Derzeit nutzen sie ein einziges PSK für das Personal, das seit drei Jahren nicht geändert wurde. Es ist bekannt, dass ein ehemaliger Mitarbeiter im Besitz dieses PSKs ist.
Die Einzelhandelskette sollte Google Secure LDAP umgehend implementieren. Sie stellen einen zentralen RADIUS Server in der Cloud bereit, der so konfiguriert ist, dass er sich gegenüber Google Secure LDAP authentifiziert. In der Google Admin Konsole erstellen sie ein WiFi Profil unter Verwendung von PEAP-MSCHAPv2, wobei eine strenge Serverzertifikatsvalidierung erzwungen wird. Die Access Points an allen 50 Standorten verweisen auf diesen zentralen RADIUS Server. Die Mitarbeitenden verbinden sich mit ihren Google Workspace Anmeldedaten - es müssen keine neuen Passwörter verteilt werden.
Für Kunden stellen sie ein separates Captive Portal auf einem isolierten VLAN bereit, das die Marketing-Einwilligung erfasst und die DSGVO Konformität sicherstellt - vollständig isoliert vom Personalnetzwerk. Das Google Konto des ehemaligen Mitarbeiters wird deaktiviert, wodurch sein Netzwerkzugriff sofort entzogen wird, ohne dass eine PSK Rotation an 50 Standorten erforderlich ist.
Übungsfragen
Q1. Ihre Organisation stellt 802.1X für 500 verwaltete Chromebooks bereit. Sie möchten ein Höchstmaß an Sicherheit gewährleisten und verhindern, dass Benutzer jemals ein Passwort eingeben müssen, um eine Verbindung mit dem WiFi herzustellen. Welche EAP-Methode sollten Sie in der Google Admin-Konsole konfigurieren, und welche zusätzliche Infrastrukturkomponente müssen Sie bereitstellen?
Hinweis: Welche Methode verlässt sich vollständig auf Zertifikate anstelle von Anmeldedaten, und was muss auf dem Client-Gerät bereitgestellt werden?
Musterlösung anzeigen
EAP-TLS. Dies erfordert, dass ein Client-Zertifikat über die Google Admin-Konsole (mittels SCEP oder dem Google Cloud Certificate Connector) auf das Chromebook übertragen wird, sowie ein Server-Zertifikat auf dem RADIUS-Server. Dadurch wird die passwortbasierte Authentifizierung vollständig eliminiert. Die erforderliche zusätzliche Infrastruktur ist eine PKI (Zertifizierungsstelle), um Client-Zertifikate auszustellen und zu verwalten.
Q2. Sie haben Google Secure LDAP und einen FreeRADIUS-Server konfiguriert. Benutzer können sich erfolgreich authentifizieren, werden jedoch alle demselben Standard-VLAN zugewiesen, unabhängig davon, ob es sich um Mitarbeiter oder Schüler handelt. Sie möchten, dass Mitarbeiter und Schüler in separaten VLANs untergebracht werden. Wo muss diese Konfiguration angewendet werden, und welche Datenquelle ermöglicht dies?
Hinweis: Welche Komponente schlägt die Brücke zwischen den Identitätsdaten von Google und den Netzwerkgeräten, und welche Protokollattribute übertragen VLAN-Informationen?
Musterlösung anzeigen
Der RADIUS-Server muss so konfiguriert werden, dass er die Gruppenmitgliedschaft des Benutzers aus Google Secure LDAP abfragt und dann die entsprechenden RADIUS-Attribute (speziell Tunnel-Private-Group-Id und Tunnel-Type) an den Access Point zurückgibt. Der Access Point verwendet diese Attribute, um den Client im richtigen VLAN zu platzieren. Die Datenquelle, die dies ermöglicht, ist die Google Workspace-Gruppenmitgliedschaft, die über die Secure LDAP-Abfrage abgerufen wird.
Q3. Ein Benutzer meldet, dass er auf seinem BYOD Android-Telefon keine Verbindung zum neuen 802.1X-Netzwerk herstellen kann. Er wird nach Benutzername und Passwort (PEAP) gefragt, aber die Verbindung schlägt nach der Eingabe geräuschlos fehl. Die RADIUS-Protokolle zeigen, dass kein Authentifizierungsversuch empfangen wurde. Was ist die wahrscheinlichste Ursache und wie lösen Sie das Problem?
Hinweis: Überlegen Sie, was das Client-Gerät tun muss, bevor es die Anmeldedaten des Benutzers sendet, und welche Konfiguration auf dem Gerät erforderlich ist.
Musterlösung anzeigen
Das Client-Gerät kann das Zertifikat des RADIUS-Servers nicht validieren. In modernen Android-Versionen ist eine strenge Zertifikatsvalidierung standardmäßig vorgeschrieben. Wenn der Benutzer das Root-CA-Zertifikat nicht auf seinem Gerät installiert hat oder der Domänenname auf dem Server-Zertifikat nicht mit dem übereinstimmt, was das Gerät erwartet, bricht der Client die Verbindung ab, bevor er Anmeldedaten sendet. Lösung: Der Benutzer muss das Root-CA-Zertifikat auf seinem Android-Gerät installieren und das WiFi-Profil so konfigurieren, dass die CA und der erwartete Server-Domänenname angegeben werden.
Q4. Eine Einzelhandelskette erwägt den Wechsel von einem statischen PSK zu 802.1X unter Verwendung von Google Secure LDAP. Der CFO bittet um den Business Case. Was sind die drei überzeugendsten finanziellen und operativen Argumente, die Sie vorbringen würden?
Hinweis: Berücksichtigen Sie die mit der PSK-Verwaltung verbundenen Kosten, das Risiko der Offenlegung von Anmeldedaten und den betrieblichen Aufwand für die Verwaltung verteilter Standorte.
Musterlösung anzeigen
- Eliminierung der Kosten für die PSK-Rotation: Bei einem statischen PSK erfordert jeder Austritt eines Mitarbeiters eine Schlüsselrotation an allen Standorten - ein kostspieliger, störender Vorgang. Bei der identitätsbasierten Authentifizierung entzieht das Deaktivieren eines Google-Kontos sofort den Zugriff an allen Standorten. 2. Reduziertes Sicherheitsrisiko: Ein kompromittierter PSK gewährt jedem, der den Schlüssel besitzt, Netzwerkzugriff. Die identitätsbasierte Authentifizierung beschränkt das Risiko auf einzelne Konten, die sofort deaktiviert werden können. Die durchschnittlichen Kosten einer Datenpanne übersteigen 4,8 Mio. USD, was die Investition in die Infrastruktur leicht rechtfertigen lässt. 3. Geringerer Helpdesk-Aufwand: Die automatisierte Verwaltung von Anmeldedaten über Google Workspace eliminiert Tickets zur Passwortrücksetzung im Zusammenhang mit dem WiFi sowie die manuelle Gerätekonfiguration, was das WiFi-Helpdesk-Volumen in der Regel um 40 - 60 % reduziert.
Häufig gestellte Fragen
Can Google Workspace be used directly as a RADIUS server for WiFi authentication?
Google Workspace does not offer a native RADIUS server endpoint. To authenticate enterprise 802.1X WiFi against Google Workspace, organisations deploy an intermediary RADIUS service - such as Purple Cloud RADIUS - that queries Google Workspace via Google Secure LDAP (port 636 LDAPS) or issues 802.1X client certificates via SCEP/PKCS. This allows access points and wireless controllers from Cisco Meraki, HPE Aruba, Ruckus, and Ubiquiti UniFi to validate credentials against Google user directories without on-premises servers.
How do you deploy 802.1X WiFi certificates to Chromebooks via Google Admin Console?
To deploy 802.1X certificates to ChromeOS devices, configure an automated SCEP (Simple Certificate Enrollment Protocol) profile in Google Admin Console under Devices > Networks > Certificates. Google Admin issues a Certificate Signing Request (CSR) with a hardware TPM-generated key pair to a trusted Cloud PKI. Once signed by your issuing CA, Google Admin pushes a managed WiFi profile under Devices > Networks > WiFi with EAP-TLS and the deployed client certificate to target Organizational Units.
What is the difference between EAP-TLS and Google Secure LDAP for WiFi authentication?
EAP-TLS is a certificate-based 802.1X protocol where devices authenticate cryptographically using unique digital certificates stored in hardware TPMs. It requires zero user password entry and eliminates credential theft. Google Secure LDAP, available in Enterprise and Education Plus editions, queries Google directory services directly over TLS port 636 using client certificates. While Secure LDAP enables password-based 802.1X via PEAP or EAP-TTLS, EAP-TLS is the industry standard for managed Chromebooks due to superior security and zero user friction.
How does dynamic VLAN assignment work with Google Workspace and Cloud RADIUS?
When a Chromebook or user authenticates, Cloud RADIUS inspects the user Organizational Unit (OU) or Google Group membership via Secure LDAP or directory sync. The RADIUS server returns RFC 2868 and RFC 3580 attributes (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) in the Access-Accept packet. The wireless access point dynamically places the user into their authorized subnet - such as Staff VLAN 20, Student VLAN 30, or Contractor VLAN 40 - on a single SSID.
What happens when an employee or student is suspended in Google Workspace?
Because Cloud RADIUS queries Google Workspace in real time via Secure LDAP or validates certificates against an active OCSP/CRL responder, offboarding is instantaneous. As soon as a user account is suspended or moved to a disabled OU in Google Admin Console, subsequent 802.1X re-authentication requests receive a RADIUS Access-Reject. In addition, dynamic RADIUS Change of Authorization (CoA, RFC 3576 / RFC 5176) can immediately terminate the active wireless session.
How does Purple integrate with Google Workspace WiFi and Chromebook environments?
Purple Cloud RADIUS connects directly to Google Workspace without requiring on-premises Active Directory or domain controllers. Purple automates SCEP certificate provisioning for managed Chromebooks, bridges Google Secure LDAP for BYOD authentication, and provides dynamic VLAN assignment based on Google Groups. IT teams gain centralised visibility, venue footfall telemetry, and zero-touch network onboarding across 80,000+ venues worldwide.
Quellen
- Google Workspace Admin Help - Set up Secure LDAP service
- Google Chrome Enterprise Help - Manage certificates on ChromeOS devices
- IETF RFC 5216 - The EAP-TLS Authentication Protocol
- IETF RFC 3580 - IEEE 802.1X RADIUS Usage Guidelines & Dynamic VLANs
- IETF RFC 8894 - Simple Certificate Enrolment Protocol (SCEP)
Weiterlesen in dieser Reihe
Die Compliance-Argumente für passwortfreies WiFi: HIPAA, PCI, ISO 27001
Sie werden in der Lage sein zu entscheiden, ob die Umstellung von Mitarbeiternetzwerken von einem gemeinsam genutzten Passwort auf 802.1X mit EAP-TLS Ihre Audit-Lücken im Rahmen von PCI DSS 4.0, HIPAA und ISO 27001:2022 schließt. Sie erfahren, welche Kontrollpunkte dadurch erfüllt werden, welche nicht und welche Nachweise Sie vor der Feldarbeit zusammenstellen müssen.
Wie man den WiFi-Zugriff entzieht, wenn ein Mitarbeiter das Unternehmen verlässt
Dieser Leitfaden zeigt IT- und Standort-Betriebsteams, wie sie den Staff WiFi-Zugriff beim Ausscheiden eines Mitarbeiters entziehen können, ohne den restlichen Betrieb zu stören. Er vergleicht zertifikatsbasiertes 802.1X, identitätsspezifisches iPSK und SCIM-gesteuertes Deprovisionieren und bietet anschließend ein Runbook für denselben Tag, Testmethoden sowie ein Audit-Nachweismodell.
Sicheres BYOD WiFi: Passpoint-Zertifikats-Onboarding vs. xPSK (iPSK)
Ein umfassender technischer Leitfaden für IT-Teams zur Absicherung unmanaged Mitarbeiter- und Studentengeräte (BYOD) mittels Zero-Touch Passpoint EAP-TLS-Zertifikaten im Vergleich zu herstellerspezifischen xPSK-Lösungen (iPSK/easyPSK, DPSK, PPSK, MPSK).
Haben Sie Fragen zu Ihrem spezifischen Setup?
Unser Team arbeitet mit Standortbetreibern, IT-Managern und Netzwerktechnikern an über 80.000 Standorten zusammen. Buchen Sie ein 20-minütiges Gespräch und wir zeigen Ihnen, wie andere diese Herausforderungen gelöst haben.