iPSK für BTR und MDU: Ein umfassender Leitfaden für Unternehmen

Executive Summary

Für Build-to-Rent (BTR) Betreiber, Immobilienentwickler und MDU-Vermieter ist WiFi kein reines Extra mehr. Es ist die grundlegende Versorgungseinrichtung, die Mieter prüfen, bevor sie einen Mietvertrag unterschreiben. Traditionelle Ansätze scheitern im großen Stil: Gemeinsam genutzte PSK-Netzwerke setzen die Geräte eines Mieters allen Nachbarn aus, die 802.1X Enterprise-Authentifizierung blockiert die Smart Home-Geräte, auf die Mieter angewiesen sind, und ein physischer Router in jeder Wohneinheit verursacht massive Funkinterferenzen (RF), welche die Geschwindigkeiten im gesamten Gebäude beeinträchtigen.

Identity PSK (iPSK) löst alle drei Probleme. Es vergibt ein einzigartiges WiFi-Passwort für jeden Haushalt in einem einzigen, gebäudeweiten Netzwerk. Jedes Passwort ist einem isolierten VLAN zugeordnet, was eine private "WiFi-Blase" pro Mieter schafft. Geräte innerhalb dieser Blase finden einander - Telefone streamen auf Fernseher, Konsolen verbinden sich mit dem Internet, Smart Speaker reagieren auf Sprachbefehle - während sie für Nachbarn absolut unsichtbar bleiben. Purple liefert dies als hardwareunabhängiges Cloud-Overlay, das auf den bereits vorhandenen Access Points von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet läuft. Das Ergebnis ist ein Mietaufschlag von 15 bis 30 £ pro Wohneinheit und Monat, 5 bis 10 Tage kürzere Leerstandszeiten und eine Reduzierung der Konnektivitätskosten pro Tür um 30 bis 50 % im Vergleich zu einzelnen Breitbandverträgen.

Technischer Deep-Dive

Was iPSK wirklich tut

iPSK (Identity Pre-Shared Key) - von HPE Aruba als PPSK bezeichnet, von Cisco Meraki als Personal Private Network und von Cambium und Juniper Mist als ePSK - ermöglicht es einer einzelnen SSID, Tausende von verschiedenen Passwörtern gleichzeitig zu akzeptieren. Jedes Passwort ist für einen Mieter oder Haushalt einzigartig. Das Netzwerk nutzt dieses Passwort als Identitätssignal, nicht nur als Türschlüssel.

Wenn sich das Gerät eines Mieters verbindet, prüft der Access Point (AP) nicht einfach nur, ob das Passwort korrekt ist. Er leitet die Authentifizierungsanfrage an einen RADIUS-Server (Remote Authentication Dial-In User Service) weiter. Der RADIUS-Server validiert das Passwort mit dem Profil des Mieters und sendet eine Access-Accept-Nachricht zurück, die spezifische Richtlinienattribute enthält - vor allem die dem Mieter zugewiesene VLAN-ID. Der AP markiert dann den gesamten Datenverkehr dieses Geräts mit dem korrekten VLAN und platziert es im isolierten Netzwerksegment des Mieters.

Diese dynamische VLAN-Zuweisung ist der Mechanismus, der die WiFi-Blase pro Mieter erzeugt. Das Telefon, der Laptop und der Smart TV von Mieter A nutzen alle dasselbe VLAN und können über Multicast- und Broadcast-Protokolle (mDNS für AirPlay und Chromecast, SSDP für DLNA) uneingeschränkt miteinander kommunizieren. Die Geräte von Mieter B befinden sich in einem völlig separaten VLAN und sind für Mieter A unsichtbar, obwohl beide Haushalte dieselben physischen Access Points nutzen.

Warum 802.1X für Wohnanlagen nicht funktioniert

IEEE 802.1X ist der Goldstandard für die Netzwerkauthentifizierung in Unternehmen. Es erfordert, dass jedes Gerät über einen EAP-Austausch (Extensible Authentication Protocol) einen Benutzernamen und ein Passwort oder ein digitales Zertifikat an einen RADIUS-Server übermittelt. Das Problem in Wohnumgebungen ist die Gerätekompatibilität. Smart-Bulbs, Sprachassistenten, Spielekonsolen und die meisten IoT-Sensoren verfügen über keinen 802.1X-Supplicant. Sie können nicht an einem EAP-Austausch teilnehmen. Die Erzwingung von 802.1X in einem Wohnnetzwerk bedeutet, dass die Bewohner ihre Smart-Home-Geräte nicht verbinden können, was zu einer Flut von Support-Anrufen und erheblicher Unzufriedenheit führt.

iPSK verwendet WPA2-Personal oder WPA3-Personal auf Client-Ebene, was von jedem Endgerät unterstützt wird. Die Identitätslogik auf Enterprise-Niveau läuft vollständig im Backend zwischen dem AP und dem RADIUS-Server ab, unsichtbar für das verbindende Gerät.

Der Authentifizierungsablauf im Detail

Die folgende Sequenz beschreibt, was ab dem Moment passiert, in dem sich das Gerät eines Bewohners verbindet:

1. Das Gerät sendet einen Probe Request und assoziiert sich mit der SSID.
2. Das Gerät sendet seine Passphrase während des WPA2/WPA3-Vier-Wege-Handshakes.
3. Der AP fängt die Passphrase ab und erstellt einen RADIUS Access-Request, der die MAC-Adresse des Geräts und die Passphrase als Cisco AV-Pair-Attribut (psk-mode und psk-password) enthält.
4. Der Cloud-RADIUS-Server (die RADIUS-as-a-Service-Lösung von Purple) gleicht die Passphrase mit der Bewohnerdatenbank ab.
5. Bei Erfolg gibt der RADIUS-Server ein Access-Accept mit der VLAN-ID, der QoS-Richtlinie und dem Bandbreitenprofil für diesen Bewohner zurück.
6. Der AP weist das Gerät dem angegebenen VLAN zu und schließt die Assoziierung ab.
7. Das Gerät erhält eine IP-Adresse aus dem DHCP-Bereich für dieses VLAN und ist innerhalb seines isolierten Segments online.

Die gesamte Sequenz dauert weniger als 500 Millisekunden und ist für den Bewohner völlig transparent.

Hinweise zur Implementierung der verschiedenen Hersteller

Das Kernkonzept ist standardisiert, aber die Implementierungen der Hersteller unterscheiden sich in Terminologie und Konfiguration:

Die cloudbasierte RADIUS-Ebene von Purple abstrahiert diese herstellerspezifischen Unterschiede und bietet eine einheitliche Verwaltungsoberfläche, unabhängig von der zugrunde liegenden Hardware.

Implementierungshandbuch

Schritt 1: Netzwerksegmentierung und IP-Adressierung

Wohnnetzwerke mit hoher Dichte erfordern eine sorgfältige Subnetzplanung. Ein typischer Haushalt verbindet 15 - 25 Geräte. Ein Gebäude mit 200 Einheiten kann in Spitzenzeiten 3.000 - 5.000 gleichzeitige Geräte hosten. Ein Standard-/24-Subnetz bietet 254 nutzbare IP-Adressen - unzureichend selbst für eine einzige Etage.

Verwenden Sie /20- oder /21-Subnetze für Client-VLANs. Ein /20 bietet 4.094 nutzbare Adressen; ein /21 bietet 2.046. Weisen Sie ein dediziertes Management-VLAN für Ihre Netzwerkinfrastruktur, ein separates VLAN für Gebäude-IoT-Systeme (Zutrittskontrolle, CCTV, HLK) und individuelle Bewohner-VLANs zu, die dynamisch vom RADIUS-Server verwaltet werden.

Aktivieren Sie die Client-Isolierung zwischen VLANs auf AP-Ebene, stellen Sie jedoch sicher, dass die Intra-VLAN-Kommunikation zulässig ist, damit Geräte innerhalb der Blase desselben Bewohners frei kommunizieren können.

Schritt 2: RADIUS-as-a-Service-Integration

Das cloudbasierte RADIUS von Purple macht die Bereitstellung und Wartung einer On-Premises-RADIUS-Infrastruktur überflüssig. Konfigurieren Sie Ihre APs so, dass sie auf die RADIUS-Endpunkte von Purple verweisen (primär und sekundär für Redundanz). Purple arbeitet mit einer Betriebszeit von 99,999 % und gewährleistet so die Verfügbarkeit der Authentifizierung auch während der Wartungsfenster.

Für Immobilien, die Microsoft Entra ID oder Okta als Identitätsanbieter nutzen, lässt sich Purple über SCIM (System for Cross-domain Identity Management) integrieren, um Bewohnerprofile automatisch zu synchronisieren. Das bedeutet: Wenn ein Bewohner in Ihrem Identitätsanbieter hinzugefügt oder entfernt wird, wird sein iPSK ohne manuelles Eingreifen bereitgestellt oder widerrufen.

Schritt 3: Automatisierung des Mieter-Lebenszyklus

Die betriebliche Effizienz von iPSK hängt von der Integration mit Ihrem Property Management System (PMS) ab. Der Workflow sollte wie folgt aussehen:

Bei Mietvertragsunterzeichnung: Das PMS löst einen API-Aufruf an Purple aus. Purple generiert einen eindeutigen iPSK für die Einheit, speichert ihn im Profil des Bewohners und sendet die Passphrase per E-Mail an den Bewohner. Kein manueller IT-Aufwand erforderlich.

Beim Einzug: Der Bewohner verbindet seine Geräte mit der per E-Mail erhaltenen Passphrase. Alle Geräte werden sofort in ihr isoliertes VLAN platziert. Die Erfahrung ist identisch mit der Einrichtung eines Heim-Breitbandrouters.

Während der Mietzeit: Der Bewohner nutzt die Purple-App, um neue Geräte hinzuzufügen, den Verbindungsstatus zu überprüfen und sein Netzwerk zu verwalten. Headless-IoT-Geräte (Smart Plugs, Sensoren) können über das Self-Service-Portal per MAC-Adresse registriert werden.

Beim Auszug: Das PMS löst einen API-Aufruf zum Widerruf aus. Purple erklärt den iPSK des Bewohners sofort für ungültig. Kein anderer Bewohner ist davon betroffen. Das VLAN der Einheit wird bereinigt und ist bereit für den nächsten Bewohner.

Schritt 4: RF-Planung und Access Point-Platzierung

Der Ersatz von Routern pro Wohneinheit durch ein verwaltetes Netzwerk reduziert die Anzahl der Funksender im Gebäude drastisch. In einem Gebäude mit 200 Einheiten beseitigt das Entfernen von 200 Consumer-Routern eine erhebliche Quelle von Gleichkanalstörungen. Setzen Sie Enterprise APs in Korridoren oder an speziell dafür vorgesehenen Positionen in den Wohneinheiten ein, um eine Signalstärke von -65 dBm oder besser am weitesten entfernten Punkt in jeder Einheit zu erreichen.

Verwenden Sie bei Gebäuden mit dicken Betonwänden oder komplexen Grundrissen an der Wand montierte APs, die innerhalb der Einheiten installiert werden, anstatt auf Fluren montierter APs. Stimmen Sie sich mit den RF-Planungstools Ihres AP-Anbieters (Cisco Meraki RF Planner, Aruba AirMatch, Ruckus SmartRF) ab, um die Abdeckung vor der Installation zu modellieren.

-

Best Practices

Verwaltung des Broadcast-Verkehrs

Hohe Gerätedichte verstärkt den Broadcast-Verkehr. mDNS-, ARP- und SSDP-Frames von Tausenden von Geräten können erhebliche Sendezeit verbrauchen. Aktivieren Sie die Multicast-to-Unicast-Konvertierung auf Ihren APs, um Broadcast-Frames in gezielte Unicast-Übertragungen umzuwandeln. Dies reduziert die Sendezeitverschwendung und verbessert die Akkulaufzeit von Mobilgeräten.

Speziell für mDNS sollten Sie ein mDNS-Gateway oder einen Proxy bereitstellen (nativ verfügbar auf Cisco Meraki, Aruba und Ruckus), um die Dienstsuche über VLANs hinweg zu verwalten, wo dies erforderlich ist, wie beispielsweise für gebäudeweite Druckdienste in Gemeinschaftsbereichen.

CGNAT und Gaming-NAT-Typen

Die Erschöpfung von IPv4-Adressen in großen Implementierungen erfordert Carrier-Grade NAT (CGNAT). Strikte CGNAT-Konfigurationen unterbrechen jedoch den Peer-to-Peer-Gaming-Verkehr, was zu Strict oder Typ 3 NAT auf PlayStation- und Xbox-Konsolen führt. Konfigurieren Sie Ihr Gateway so, dass es UPnP (Universal Plug and Play) oder PCP (Port Control Protocol) für Resident-VLANs unterstützt. Dies ermöglicht es Konsolen, automatisch offene Port-Mappings auszuhandeln, ohne dass manuelle Firewall-Regeln erforderlich sind.

Sicherheit und GDPR-Konformität

Daten aus dem WiFi für Bewohner befinden sich in einem sensiblen Datenschutzkontext. Bewohner haben eine fortlaufende Beziehung zum Betreiber, und die Datenexposition erstreckt sich über Jahre statt Minuten. Wichtige Überlegungen zur Konformität sind unter anderem:

Isolierung der Bewohner als Datenschutzanforderung: Unter der GDPR haben Betreiber eine Sorgfaltspflicht, um zu verhindern, dass ein Bewohner auf die Daten oder Geräte eines anderen zugreift. Die VLAN-Isolierung von iPSK ist der technische Mechanismus, der diese Anforderung erfüllt.

Datenaufbewahrung: Bewahren Sie personenbezogene WiFi-Verbindungsprotokolle von Bewohnern nur so lange auf, wie es betrieblich notwendig ist. Sechs Monate sind eine übliche Obergrenze für Sicherheits- und Konformitätszwecke.

Datenresidenz: Purple speichert Daten standardmäßig in einer in der EU ansässigen Infrastruktur, mit Optionen für eine UK-spezifische Datenresidenz nach dem Brexit. Purple besitzt Zertifizierungen nach ISO 27001, GDPR und Cyber Essentials.

Einwilligung: Bewohner sollten bei der Einrichtung einer klaren Richtlinie zur akzeptablen Nutzung zustimmen. Das Self-Service-Portal von Purple enthält konfigurierbare Einwilligungsabläufe.

-

Fallstudien aus der Praxis

Fallstudie 1: BTR-Projekt mit 350 Wohneinheiten

Ein Immobilienentwickler, der einen BTR-Komplex mit 350 Einheiten in einer britischen Großstadt verwaltet, sah sich mit drei Problemen konfrontiert: 350 einzelne Router für Endverbraucher, die erhebliche Funkstörungen verursachten, eine durchschnittliche Wartezeit von 72 Stunden für die Breitbandaktivierung, die den Einzug verzögerte, und ein Support-Team, das 40 % seiner Zeit mit WiFi-bezogenen Tickets verbrachte.

Der Betreiber implementierte das Multi-Tenant WiFi von Purple im gesamten Gebäude unter Verwendung bestehender Cisco Meraki APs. Purple wurde über eine API in das bestehende PMS der Immobilie integriert. Nach der Unterzeichnung des Mietvertrags erhielten die Bewohner ihren eindeutigen iPSK per E-Mail. Am Einzugstag war die Konnektivität sofort verfügbar. Die Funkumgebung verbesserte sich durch den Wegfall der 350 Consumer-Router erheblich, und die Durchschnittsgeschwindigkeiten im gesamten Gebäude stiegen um 35 %. Die mit WiFi zusammenhängenden Support-Tickets gingen in den ersten drei Monaten um 60 % zurück, was auf das Self-Service-Geräteverwaltungsportal und die Behebung von Kopplungsproblemen bei Smart-Geräten zurückzuführen ist.

Fallstudie 2: Studentenwohnheim mit 1.200 Betten

Ein Anbieter von zweckgebundenen Studentenwohnheimen (PBSA) musste zu Beginn des akademischen Jahres 1.200 Studenten an einem einzigen Wochenende an Bord holen. Das vorherige System mit gemeinsam genutztem PSK erforderte, dass die Mitarbeiter Passwörter manuell verteilten und Hunderte von Support-Anrufen von Studenten bearbeiteten, die keine Spielekonsolen und Smart-TVs verbinden konnten.

Mit iPSK, das über Purple auf HPE Aruba Access Points bereitgestellt wurde, erhielt jeder Student bereits vor der Ankunft mit seinem Willkommenspaket ein eindeutiges Passwort. Die Studenten registrierten ihre bildschirmlosen Geräte (Konsolen, Smart-TVs) in der Woche vor dem Einzug über die Purple App. Am Ankunftswochenende bearbeitete das IT-Team weniger als 20 Support-Anrufe zur Konnektivität bei 1.200 Studenten - eine Reduzierung um 94 % im Vergleich zum Vorjahr. Die mDNS-Proxy-Konfiguration löste alle Chromecast- und AirPlay-Kopplungsprobleme, die zuvor das höchste Ticketvolumen verursacht hatten.

ROI und geschäftliche Auswirkungen

Für BTR- und MDU-Betreiber liegt der finanzielle Nutzen von verwaltetem iPSK WiFi auf der Hand. Die Untersuchungen der British Property Federation und die eigenen Daten von Purple aus über 80.000 Live-Standorten belegen die folgenden Benchmarks:

Die Auswirkung auf das Nettobetriebsergebnis (NOI) summiert sich über drei Vektoren: den direkten Mietaufschlag, die Verringerung der Einnahmeverluste während des Leerstands und die Reduzierung des IT-Support-Overheads. In einem Gebäude mit 200 Einheiten und einem Aufschlag von £20 pro Einheit und Monat beträgt der jährliche Umsatzzuwachs £48.000. Der Verzicht auf 200 Consumer-Router bei durchschnittlichen Wiederbeschaffungskosten von je £80 spart über einen Fünfjahreszyklus allein £16.000 an Hardware ein, noch vor Berücksichtigung von Energieeinsparungen und Wartungsaufwand.

Das Preismodell von Purple basiert auf einer Gebühr pro Einheit und Monat ohne gebündelten Breitbandvertrag. Dies bedeutet, dass der Betreiber den vollen Wert des WiFi-Angebots ausschöpft, anstatt ihn mit einem Drittanbieter-ISP zu teilen.

Weiterführende Literatur

Für verwandte Themen zum Netzwerkdesign siehe Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi und das Referenzhandbuch iPSK: una guía completa para empresas . Für die zugrunde liegende Plattform entdecken Sie Guest WiFi und WiFi Analytics . Purple unterstützt Betreiber in den Branchen Gastgewerbe , Einzelhandel , Gesundheitswesen und Transport .