Implementierung von WPA3-Enterprise für verbesserte Wireless-Sicherheit

Implementierung von WPA3-Enterprise für erhöhte Wireless-Sicherheit. Ein Purple WiFi Intelligence Briefing. Willkommen zur Purple Technical Briefing-Reihe. Heute kommen wir direkt zum Punkt: WPA3-Enterprise — was es tatsächlich für Ihr Netzwerk bedeutet, warum das Timing genau jetzt entscheidend ist und wie Sie von Ihrem heutigen Stand zu einer vollständig konformen, zukunftssicheren Wireless-Infrastruktur gelangen. Wenn Sie eine Hotelgruppe, ein Filialnetz im Einzelhandel, ein Konferenzzentrum oder eine Einrichtung des öffentlichen Sektors betreiben, ist dieses Briefing genau das Richtige für Sie. Wir werden uns nicht mit akademischer Theorie aufhalten. Wir sprechen über reale Entscheidungen, reale Konfigurationen und reale Ergebnisse. WPA3-Enterprise wurde 2020 zur zwingenden Voraussetzung für Wi-Fi CERTIFIED-Geräte, und dennoch läuft die Mehrheit der Enterprise-Umgebungen immer noch mit WPA2. Diese Lücke ist Ihr Risikopotenzial. PCI DSS 4.0, das im März 2024 vollständig in Kraft getreten ist, verweist explizit auf strengere Authentifizierungsstandards. GDPR-Verpflichtungen zum Datenschutz durch Technikgestaltung werden zunehmend so ausgelegt, dass sie auch die Sicherheit auf Netzwerkebene umfassen. Das Zeitfenster, in dem WPA3 als „Nice-to-have“ betrachtet werden konnte, ist geschlossen. Lassen Sie uns ins Detail gehen. Was ändert sich also tatsächlich mit WPA3-Enterprise? Beginnen wir mit der Authentifizierungsebene. WPA2-Enterprise basiert auf IEEE 802.1X mit EAP — Extensible Authentication Protocol — und dieser Teil ändert sich mit WPA3 nicht. Was sich ändert, ist alles drumherum: Der Handshake, die Verschlüsselung und der Schutz der Management-Frames. Unter WPA2 ist der Vier-Wege-Handshake, der zur Ableitung von Sitzungsschlüsseln verwendet wird, anfällig für Offline-Wörterbuchangriffe. Ein Angreifer fängt den Handshake ab, nimmt ihn offline und gleicht ihn mit einer Wortliste ab. Dies ist die Grundlage des KRACK-Angriffs — Key Reinstallation Attack —, der 2017 bekannt wurde. WPA3 ersetzt dies durch SAE — Simultaneous Authentication of Equals —, was ein auf Diffie-Hellman basierender Schlüsselaustausch ist. Der entscheidende Unterschied besteht darin, dass SAE Perfect Forward Secrecy bietet. Selbst wenn ein Angreifer jedes Paket einer Sitzung abfängt und später einen langfristigen Schlüssel kompromittiert, kann er diese Sitzung nicht rückwirkend entschlüsseln. Jede Sitzung verfügt über eigene ephemere Schlüssel. Auf der Verschlüsselungsseite verwendet WPA2 CCMP-128 — Counter Mode with Cipher Block Chaining Message Authentication Code Protocol — basierend auf AES-128. WPA3-Enterprise schreibt GCMP-256 — Galois Counter Mode Protocol mit 256-Bit-Schlüsseln — für seinen 192-Bit-Sicherheitsmodus vor. Dies ist der Modus, den Sie für jede Umgebung benötigen, die sensible Daten verarbeitet: Krankenakten, Zahlungskartendaten, Behördeninformationen. Zudem gibt es die Protected Management Frames — PMF —, definiert unter IEEE 802.11w. Unter WPA2 ist PMF optional. Unter WPA3 ist es obligatorisch. Management-Frames sind die Steuersignale, die die Zuordnung, Trennung und Authentifizierung zwischen Clients und Access Points verwalten. Ohne PMF kann ein Angreifer Deauthentifizierungs-Frames fälschen — und so Clients aus dem Netzwerk werfen —, sei es als Denial-of-Service-Angriff oder als Vorstufe zu einem Man-in-the-Middle-Angriff. Das obligatorische PMF schließt diesen Vektor vollständig.Nun zur Konfiguration des RADIUS-Servers. Hier entscheidet sich bei den meisten Implementierungen der Erfolg oder Misserfolg. Ihr RADIUS-Server – ob Microsoft NPS, FreeRADIUS, Cisco ISE oder Aruba ClearPass – muss so konfiguriert werden, dass er EAP-TLS als primäre Authentifizierungsmethode für WPA3-Enterprise unterstützt. EAP-TLS nutzt eine gegenseitige, zertifikatsbasierte Authentifizierung. Der Client legt ein Zertifikat vor, der Server legt ein Zertifikat vor, und beide validieren sich gegenseitig. Bei diesem Austausch gibt es keine Passwörter. Dadurch werden anmeldedatenbasierte Angriffe vollständig eliminiert. Die Zertifikatsinfrastruktur – Ihre PKI – ist das Rückgrat dieses Prozesses. Sie benötigen eine Zertifizierungsstelle (Certificate Authority), entweder intern über Microsoft Active Directory Certificate Services oder über einen cloudbasierten PKI-Dienst. Auf jedem Client-Gerät muss ein Zertifikat registriert sein, in der Regel über Ihre MDM-Plattform – Intune, Jamf oder ähnliche. Der RADIUS-Server benötigt ein eigenes Serverzertifikat von einer CA, der Ihre Clients vertrauen. Und Sie benötigen einen OCSP- oder CRL-Endpunkt, damit Clients die Zertifikatssperrung in Echtzeit überprüfen können. Für Umgebungen, in denen ein vollständiges EAP-TLS nicht sofort realisierbar ist – vielleicht weil Sie eine Mischung aus verwalteten und nicht verwalteten Geräten haben –, bleiben EAP-TTLS oder PEAP mit MSCHAPv2 als Übergangsmaßnahme eine Option. Aber um es direkt zu sagen: Anmeldedatenbasierte EAP-Methoden sind nur ein Zwischenschritt, kein Endziel. Das Sicherheitsniveau von EAP-TLS ist kategorisch überlegen, und Ihre Roadmap sollte genau darauf abzielen. Noch ein technischer Aspekt: der Übergangsmodus (Transition Mode). Die meisten modernen Wireless-Controller unterstützen den WPA3 Transition Mode, der es WPA2- und WPA3-Clients ermöglicht, sich gleichzeitig mit derselben SSID zu verbinden. Dies ist Ihr Migrationspfad. Sie aktivieren den Transition Mode, überprüfen, ob sich die WPA3-Clients korrekt authentifizieren, überwachen Ihre Protokolle und wechseln dann – sobald Sie Vertrauen in den Gerätebestand haben – zu reinem WPA3. Versuchen Sie nicht, am ersten Tag eine harte Umstellung zu erzwingen. Der Transition Mode existiert genau dafür, um dieses Risiko zu vermeiden. Lassen Sie mich nun die drei häufigsten Fehlerquellen nennen, die mir bei WPA3-Enterprise-Implementierungen begegnen, und wie Sie diese vermeiden können. Erstens: Das Lifecycle-Management von Zertifikaten. Unternehmen richten eine PKI ein, stellen Zertifikate aus und vergessen dann, dass Zertifikate ablaufen. Der Ablauf eines Zertifikats auf Ihrem RADIUS-Server führt dazu, dass die Authentifizierung für jeden einzelnen Client in Ihrem Netzwerk gleichzeitig ausfällt. Sie benötigen eine automatisierte Verlängerung, Überwachungswarnungen 90, 60 und 30 Tage vor dem Ablauf sowie ein erprobtes Playbook für die Verlängerung. Das ist nicht optional. Ich habe erlebt, dass große Hotelgruppen über ein langes Feiertagswochenende den gesamten drahtlosen Zugriff für Unternehmen verloren haben, weil ein RADIUS-Zertifikat abgelaufen war. Zweitens: Annahmen zur Client-Kompatibilität. Nicht jedes Gerät in Ihrer Infrastruktur wird WPA3 unterstützen. Ältere IoT-Geräte – Gebäudemanagementsysteme, ältere Point-of-Sale-Terminals, einige Videoüberwachungssysteme – unterstützen möglicherweise nur WPA2 oder sogar WPA. Die Lösung lautet Netzwerksegmentierung. Platzieren Sie Ihre WPA3-fähigen Unternehmensgeräte auf einer reinen WPA3-SSID. Bringen Sie Ihre älteren IoT-Geräte in einem separaten, isolierten VLAN mit WPA2 unter, unterstützt durch strenge Firewall-Regeln, die eine laterale Bewegung verhindern. Machen Sie keine Kompromisse bei der Sicherheit Ihres Hauptnetzwerks, um ältere Geräte zu unterstützen. Drittens: Redundanz der RADIUS-Server. Ein einzelner RADIUS-Server ist ein Single Point of Failure. In einer Multi-Site-Bereitstellung – beispielsweise einer Einzelhandelskette mit 200 Filialen – benötigen Sie mindestens einen primären und einen sekundären RADIUS-Server, wobei das Failover auf Ebene des Wireless-Controllers konfiguriert ist. Testen Sie Ihr Failover. Testen Sie es aktiv. Simulieren Sie während eines Wartungsfensters den Ausfall des primären RADIUS-Servers und stellen Sie sicher, dass sich die Clients innerhalb Ihrer akzeptablen Timeout-Schwelle am sekundären Server authentifizieren. Speziell für das Gastgewerbe – also alle, die eine Guest-WiFi-Plattform betreiben – besteht eine doppelte Netzwerkherausforderung. Ihr Unternehmensnetzwerk überträgt Daten von Mitarbeitergeräten und Backoffice-Systemen und sollte mit WPA3-Enterprise und EAP-TLS gesichert sein. Ihr Gästenetzwerk ist ein völlig anderes Problem, das in der Regel über ein Captive Portal mit Social-Media- oder E-Mail-Authentifizierung gelöst wird. Dies sind separate SSIDs, separate VLANs und separate Sicherheitsrichtlinien. Vermischen Sie diese nicht. Ein paar Fragen, die mir regelmäßig gestellt werden: Benötige ich neue Access Points? Wahrscheinlich nicht. Die meisten nach 2019 hergestellten Access Points unterstützen WPA3 über ein Firmware-Update. Überprüfen Sie die Release Notes Ihres Herstellers. Ruckus, Cisco Meraki, Aruba und Ubiquiti bieten in ihrer aktuellen Firmware alle WPA3-Unterstützung. Wie lange dauert eine vollständige Bereitstellung? Für ein Einzelhandelsunternehmen mit 50 Standorten, einem vorhandenen MDM und Active Directory sollten Sie 12 bis 16 Wochen einplanen. Der Aufbau der PKI und der Zertifikats-Rollout sind dabei die zeitintensivsten Schritte. Was kostet das? Die Infrastrukturkomponenten – RADIUS, PKI, MDM – sind bei Ihnen wahrscheinlich schon vorhanden. Die zusätzlichen Kosten entstehen durch Professional Services für Konfiguration und Tests sowie durch eventuelle Firmware-Updates oder Ersatzkosten für Access Points. Für die meisten Unternehmen rechtfertigt allein die Minimierung von Compliance-Risiken diese Investition. Beeinflusst WPA3 den Durchsatz? Unwesentlich. GCMP-256 arbeitet rechnerisch hocheffizient. In der Praxis werden Sie auf moderner Hardware keinen Unterschied beim Durchsatz bemerken. Zusammenfassend lässt sich sagen: WPA3-Enterprise ist keine Option für die Zukunft. Es ist eine aktuelle Notwendigkeit für jedes Unternehmen, das Netzwerksicherheit, die Einhaltung gesetzlicher Vorschriften und den Schutz der Daten der Personen, die Ihre Standorte nutzen, ernst nimmt. Ihre nächsten Schritte: Überprüfen Sie Ihre aktuellen Firmware-Versionen der Access Points und stellen Sie die WPA3-Unterstützung sicher. Bewerten Sie Ihre PKI-Bereitschaft – verfügen Sie über eine interne CA oder müssen Sie eine aufbauen? Überprüfen Sie Ihre RADIUS-Serverkonfiguration und deren Redundanz. Und erfassen Sie Ihre Client-Geräte, um ältere Geräte zu identifizieren, die segmentiert werden müssen. Die Plattform von Purple lässt sich direkt in Ihre Wireless-Infrastruktur integrieren, um die Analyse- und Verwaltungsebene auf Ihrem sicheren Netzwerfundament bereitzustellen. Unabhängig davon, ob Sie eine Hotelgruppe, eine Einzelhandelskette oder einen öffentlichen Veranstaltungsort betreiben: Die Kombination aus WPA3-Enterprise für Ihr Unternehmensnetzwerk und einer ordnungsgemäß gesicherten WiFi-Ebene für Gäste bietet Ihnen sowohl die Sicherheitsstruktur als auch die Datenintelligenz, die Ihr Unternehmen benötigt. Vielen Dank fürs Zuhören. Wenn Sie tiefer in eines dieser Themen einsteigen möchten – sei es Zertifikatsauthentifizierung, RADIUS-Konfiguration oder die Architektur von Gästenetzwerken –, finden Sie den vollständigen schriftlichen Leitfaden sowie unsere umfassende Bibliothek an technischen Referenzmaterialien auf der Website von Purple. Bis zum nächsten Mal.