Implementierung von WPA3-Enterprise für verbesserte WLAN-Sicherheit

Implementierung von WPA3-Enterprise für verbesserte drahtlose Sicherheit. Ein Purple WiFi Intelligence Briefing. Willkommen zur technischen Briefing-Reihe von Purple. Heute kommen wir direkt auf den Punkt: WPA3-Enterprise - was es tatsächlich für Ihr Netzwerk bedeutet, warum das Timing genau jetzt so kritisch ist und wie Sie von Ihrem heutigen Stand zu einer vollständig konformen, zukunftssicheren drahtlosen Infrastruktur gelangen. Wenn Sie eine Hotelgruppe, ein Filialnetz im Einzelhandel, ein Konferenzzentrum oder eine Einrichtung des öffentlichen Sektors betreiben, ist dieses Briefing genau das Richtige für Sie. Wir werden uns nicht mit akademischer Theorie aufhalten. Wir werden über echte Entscheidungen, echte Konfigurationen und echte Ergebnisse sprechen. WPA3-Enterprise wurde im Jahr 2020 zu einer zwingenden Anforderung für Wi-Fi CERTIFIED-Geräte, und dennoch läuft ein Großteil der Unternehmensumgebungen immer noch mit WPA2. Diese Lücke ist Ihr Sicherheitsrisiko. PCI-DSS 4.0, das im März 2024 vollständig in Kraft getreten ist, verweist explizit auf stärkere Authentifizierungsstandards. Die Pflichten der GDPR zum Datenschutz durch Technikgestaltung werden zunehmend so ausgelegt, dass sie auch die Sicherheit auf der Netzwerkschicht umfassen. Das Zeitfenster, in dem WPA3 als ein "Nice-to-have" behandelt werden konnte, ist geschlossen. Gehen wir ins Detail. Was also ändert sich tatsächlich mit WPA3-Enterprise? Beginnen wir mit der Authentifizierungsschicht. WPA2-Enterprise basiert auf 802.1X mit EAP - Extensible Authentication Protocol - und dieser Teil ändert sich mit WPA3 nicht. Was sich ändert, ist alles drumherum. Der Handshake, die Verschlüsselung und der Schutz von Management-Frames. Unter WPA2 ist der Vier-Wege-Handshake, der zur Ableitung von Sitzungsschlüsseln verwendet wird, anfällig für Offline-Wörterbuchangriffe. Ein Angreifer fängt den Handshake ab, nimmt ihn offline und gleicht ihn mit einer Wortliste ab. Dies ist die Grundlage für den 2017 offengelegten KRACK-Angriff - Key Reinstallation Attack. WPA3 ersetzt dies durch SAE - Simultaneous Authentication of Equals - was einen auf Diffie-Hellman basierenden Schlüsselaustausch darstellt. Der entscheidende Unterschied besteht darin, dass SAE zukunftsgerichtete Geheimhaltung bietet. Selbst wenn ein Angreifer jedes Paket einer Sitzung abfängt und später einen langfristigen Schlüssel kompromittiert, kann er diese Sitzung nicht rückwirkend entschlüsseln. Jede Sitzung hat ihre eigenen ephemeren Schlüssel. Auf der Verschlüsselungsseite verwendet WPA2 CCMP-128 - Counter Mode with Cipher Block Chaining Message Authentication Code Protocol - basierend auf AES-128. WPA3-Enterprise schreibt GCMP-256 - Galois Counter Mode Protocol mit 256-Bit-Schlüsseln - für seinen 192-Bit-Sicherheitsmodus vor. Dies ist der Modus, den Sie für jede Umgebung wünschen, in der sensible Daten verarbeitet werden: Krankenakten, Zahlungskartendaten, Regierungsinformationen. Zudem gibt es die Protected Management Frames - PMF - definiert unter IEEE 802.11w. Unter WPA2 ist PMF optional. Unter WPA3 ist es zwingend erforderlich. Management-Frames sind die Steuersignale, die die Assoziierung, Deassoziierung und Authentifizierung zwischen Clients und Access Points verwalten. Ohne PMF kann ein Angreifer Deauthentifizierungs-Frames fälschen und so Clients aus dem Netzwerk drängen - entweder als Denial-of-Service-Angriff oder als Vorstufe zu einem Man-in-the-Middle-Angriff. Ein obligatorisches PMF schließt diesen Vektor vollständig aus. Nun zur Konfiguration des RADIUS-Servers. Dies ist der Punkt, an dem die meisten Implementierungen entweder erfolgreich sind oder ins Stocken geraten. Ihr RADIUS-Server - ob Microsoft NPS, FreeRADIUS, Cisco ISE oder Aruba ClearPass - muss so konfiguriert werden, dass er EAP-TLS als primäre Authentifizierungsmethode für WPA3-Enterprise unterstützt. EAP-TLS nutzt eine gegenseitige, zertifikatsbasierte Authentifizierung. Der Client legt ein Zertifikat vor, der Server legt ein Zertifikat vor, und beide validieren sich gegenseitig. Bei diesem Austausch gibt es keine Passwörter. Dadurch werden anmeldedatenbasierte Angriffe vollständig eliminiert. Die Zertifikatsinfrastruktur - Ihre PKI - ist das Rückgrat dieses Prozesses. Sie benötigen eine Zertifizierungsstelle, entweder intern über die Microsoft Active Directory-Zertifikatdienste oder einen Cloud-basierten PKI-Dienst. Auf jedem Client-Gerät muss ein Zertifikat registriert sein, in der Regel über Ihre MDM-Plattform - Intune, Jamf oder ähnliche. Der RADIUS-Server benötigt ein eigenes Serverzertifikat von einer Zertifizierungsstelle, der Ihre Clients vertrauen. Zudem benötigen Sie einen OCSP- oder CRL-Endpunkt, damit Clients die Sperrung von Zertifikaten in Echtzeit überprüfen können. Für Umgebungen, in denen ein vollständiges EAP-TLS nicht sofort realisierbar ist - vielleicht weil Sie eine Mischung aus verwalteten und nicht verwalteten Geräten haben - bleiben EAP-TTLS oder PEAP mit MSCHAPv2 als Übergangsmaßnahme eine Option. Aber ich möchte direkt sein: Anmeldedatenbasierte EAP-Methoden sind ein Zwischenschritt, kein Ziel. Das Sicherheitsniveau von EAP-TLS ist kategorisch überlegen, und Ihre Roadmap sollte darauf ausgerichtet sein. Noch etwas zur technischen Seite: der Übergangsmodus. Die meisten modernen Wireless-Controller unterstützen den WPA3-Übergangsmodus (Transition Mode), der es WPA2- und WPA3-Clients ermöglicht, sich gleichzeitig mit derselben SSID zu verbinden. Dies ist Ihr Migrationspfad. Sie aktivieren den Übergangsmodus, validieren, dass sich die WPA3-Clients korrekt authentifizieren, überwachen Ihre Protokolle und wechseln dann - sobald Sie Vertrauen in den Client-Bestand haben - zu WPA3-only. Versuchen Sie nicht, am ersten Tag eine harte Umstellung vorzunehmen. Der Übergangsmodus existiert genau, um dieses Risiko zu vermeiden. Lassen Sie mich nun die drei häufigsten Fehlerursachen nennen, die ich bei WPA3-Enterprise-Bereitstellungen sehe, und wie man sie vermeidet. Erstens: Das Management des Zertifikatslebenszyklus. Organisationen stellen eine PKI bereit, stellen Zertifikate aus und vergessen dann, dass Zertifikate ablaufen. Ein Ablauf des Zertifikats auf Ihrem RADIUS-Server legt die Authentifizierung für jeden einzelnen Client in Ihrem Netzwerk gleichzeitig lahm. Sie benötigen eine automatisierte Verlängerung, Überwachungswarnungen 90, 60 und 30 Tage vor dem Ablauf sowie ein getestetes Handbuch für die Verlängerung. Dies ist nicht optional. Ich habe erlebt, dass große Hotelgruppen den gesamten drahtlosen Zugriff für Unternehmen verloren haben, weil ein RADIUS-Zertifikat an einem langen Feiertagswochenende abgelaufen ist. Zweitens: Annahmen zur Client-Kompatibilität. Nicht jedes Gerät in Ihrem Bestand wird WPA3 unterstützen. Ältere IoT-Geräte - Gebäudemanagementsysteme, ältere Point-of-Sale-Terminals, einige Videoüberwachungssysteme - unterstützen möglicherweise nur WPA2 oder sogar WPA. Die Lösung lautet Netzwerksegmentierung. Bringen Sie Ihre WPA3-fähigen Unternehmensgeräte in ein reines WPA3-SSID. Legen Sie Ihre älteren IoT-Geräte in ein separates, isoliertes VLAN mit WPA2 und strengen Firewall-Regeln, die eine laterale Bewegung verhindern. Gehen Sie keine Kompromisse bei der Sicherheitsstruktur Ihres primären Netzwerks ein, um ältere Geräte zu integrieren. Drittens: Redundanz der RADIUS-Server. Ein einzelner RADIUS-Server ist ein Single Point of Failure. Bei einer Bereitstellung an mehreren Standorten - beispielsweise einer Einzelhandelskette mit 200 Filialen - benötigen Sie mindestens einen primären und einen sekundären RADIUS-Server, wobei das Failover auf der Ebene des Wireless-Controllers konfiguriert ist. Testen Sie Ihr Failover. Testen Sie es aktiv. Simulieren Sie einen Ausfall des primären RADIUS-Servers in einem Wartungsfenster und bestätigen Sie, dass sich die Clients innerhalb Ihrer akzeptablen Zeitüberschreitungsgrenze am sekundären Server authentifizieren. Speziell für das Gastgewerbe - also für alle, die eine Plattform für Gäste-WiFi betreiben - besteht eine doppelte Herausforderung für das Netzwerk. Ihr Unternehmensnetzwerk überträgt die Geräte der Mitarbeiter und Back-Office-Systeme und sollte WPA3-Enterprise mit EAP-TLS nutzen. Ihr Gästenetzwerk ist ein völlig anderes Problem, das in der Regel über ein Captive Portal mit Social-Media- oder E-Mail-Authentifizierung gelöst wird. Dies sind separate SSIDs, separate VLANs und separate Sicherheitsrichtlinien. Vermischen Sie diese nicht. Ein paar Fragen, die mir regelmäßig gestellt werden: Benötige ich neue Access Points? Wahrscheinlich nicht. Die meisten nach 2019 hergestellten Access Points unterstützen WPA3 über ein Firmware-Update. Prüfen Sie die Versionshinweise Ihres Herstellers. Ruckus, Cisco Meraki, Aruba und Ubiquiti bieten in ihrer aktuellen Firmware alle WPA3-Unterstützung. Wie lange dauert eine vollständige Bereitstellung? Planen Sie für ein Einzelhandelsunternehmen mit 50 Standorten, einem bestehenden MDM und Active Directory 12 bis 16 Wochen ein. Der Aufbau der PKI und die Bereitstellung der Zertifikate ist der zeitaufwendigste Teil des Projekts. Was kostet das? Die Infrastrukturkomponenten - RADIUS, PKI, MDM - sind wahrscheinlich bereits vorhanden. Die zusätzlichen Kosten entstehen durch professionelle Dienstleistungen für Konfiguration und Tests sowie durch eventuelle Firmware-Updates oder Austauschkosten für Access Points. Für die meisten Unternehmen rechtfertigt allein die Reduzierung von Compliance-Risiken die Investition. Beeinflusst WPA3 den Durchsatz? Nur minimal. GCMP-256 ist rechnerisch effizient. In der Praxis werden Sie auf moderner Hardware keinen Unterschied beim Durchsatz feststellen. Zusammenfassend lässt sich sagen: WPA3-Enterprise ist kein Zukunftsthema. Es ist eine aktuelle Anforderung für jedes Unternehmen, das Netzwerksicherheit, gesetzliche Compliance und den Schutz der Daten der Personen, die Ihre Standorte nutzen, ernst nimmt. Ihre nächsten Schritte: Überprüfen Sie Ihre aktuellen Firmware-Versionen der Access Points und bestätigen Sie die WPA3-Unterstützung. Bewerten Sie Ihre PKI-Bereitschaft - verfügen Sie über eine interne Zertifizierungsstelle (CA) oder müssen Sie eine aufbauen? Überprüfen Sie Ihre RADIUS-Serverkonfiguration und -Redundanz. Und erfassen Sie Ihren Bestand an Client-Geräten, um ältere Geräte zu identifizieren, die segmentiert werden müssen. Die Plattform von Purple lässt sich direkt in Ihre Wireless-Infrastruktur integrieren, um die Analyse- und Verwaltungsebene auf der Basis Ihres sicheren Netzwerks bereitzustellen. Egal, ob Sie eine Hotelgruppe, eine Einzelhandelskette oder einen öffentlichen Veranstaltungsort betreiben - die Kombination aus WPA3-Enterprise für Ihr Unternehmensnetzwerk und einer ordnungsgemäß abgesicherten Gäste-WiFi-Ebene bietet Ihnen sowohl die Sicherheitsleistung als auch die Datenintelligenz, die Ihr Unternehmen benötigt. Vielen Dank fürs Zuhören. Wenn Sie tiefer in eines dieser Themen einsteigen möchten - Zertifikatsauthentifizierung, RADIUS-Konfiguration oder die Architektur von Gästenetzwerken - steht Ihnen der vollständige schriftliche Leitfaden auf der Purple-Website sowie unsere umfassende Bibliothek an technischen Referenzmaterialien zur Verfügung. Bis zum nächsten Mal.