Was ist PPSK: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser Leitfaden bietet eine definitive technische Referenz zur Private Pre-Shared Key (PPSK) WiFi-Architektur für Immobilienentwickler, BTR-Betreiber und Vermieter. Er vergleicht PPSK mit gemeinsam genutzten PSK- und 802.1X-Bereitstellungen und deckt die VLAN-Isolierung pro Wohneinheit, die Kompatibilität mit IoT-Geräten und das automatisierte Schlüssel-Lebenszyklus-Management ab. IT-Manager und Netzwerkarchitekten finden hier praxisnahe Bereitstellungsrichtlinien, herstellerspezifische Implementierungshinweise und reale Fallstudien, die messbare betriebliche Ergebnisse belegen.
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Executive Summary
Für IT-Manager und Netzwerkarchitekten, die WiFi in Multi-Tenant-Umgebungen bereitstellen, bestimmt die Wahl der Authentifizierungsarchitektur sowohl das Sicherheitsniveau als auch den betrieblichen Aufwand. Dieser Leitfaden untersucht die Private Pre-Shared Key (PPSK)-Technologie – was sie ist, wie sie funktioniert und wo sie das richtige Werkzeug ist. Durch die Zuweisung eines eindeutigen kryptografischen Schlüssels an jeden Bewohner oder jede Gerätegruppe ermöglicht PPSK eine VLAN-Isolierung pro Wohneinheit auf einer einzigen SSID. Dies eliminiert das Risiko eines gemeinsam genutzten Passworts, bietet nahtlose Unterstützung für bildschirmlose IoT-Geräte, die keinen 802.1X-Supplicant ausführen können, und automatisiert den Lebenszyklus der Schlüssel vom Einzug bis zum Auszug. Wir bieten herstellerneutrale Bereitstellungsrichtlinien für Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Die Multi-Tenant WiFi-Lösung von Purple lässt sich über ein Cloud-RADIUS-Overlay in all diese Plattformen integrieren. Dies bietet BTR-Betreibern und Vermietern die Orchestrierungsebene, um Schlüssel, VLANs und das Onboarding von Bewohnern skalierbar zu verwalten. Purple wurde 2012 gegründet, bedient über 80.000 Live-Standorte, verarbeitete im Jahr 2024 440 Millionen Logins und hält eine Betriebszeit von 99,999 % aufrecht.
Technischer Deep-Dive
Was ist PPSK?
Private Pre-Shared Key (PPSK) – auch bezeichnet als iPSK (Cisco Meraki), MPSK (HPE Aruba), DPSK (Ruckus) und ePSK (Juniper Mist) – ist eine WiFi-Authentifizierungsmethode, bei der jedem Benutzer oder jeder Gerätegruppe eine eindeutige Passphrase auf einer gemeinsam genutzten SSID zugewiesen wird. Der Access Point oder Cloud-Controller ordnet jeden Schlüssel einem bestimmten VLAN zu und erstellt so ein privates, isoliertes Netzwerksegment für diesen Benutzer. Aus Sicht des Bewohners gibt er ein Passwort ein und verbindet sich. Aus Sicht des Netzwerks wird sein Datenverkehr mit einem dedizierten VLAN getaggt, das für jeden anderen Bewohner auf derselben physischen Infrastruktur völlig unsichtbar ist.
Das standardmäßige Pre-Shared Key (PSK)-Modell, wie es unter WPA2/WPA3-Personal definiert ist, verwendet ein einziges gemeinsam genutztes Geheimnis für alle Geräte in einem Netzwerk. Dies ist betrieblich unkompliziert, schafft jedoch ein flaches, undifferenziertes Netzwerk. In einer BTR-Wohnanlage mit 200 Einheiten bedeutet ein einziges gemeinsam genutztes Passwort, dass jeder Bewohner die Geräte aller anderen Bewohner sehen kann. Der Entzug des Zugangs für einen ausziehenden Mieter erfordert eine gebäudeweite Passwortänderung, und ein einziger kompromittierter Anmeldedaten-Satz gefährdet das gesamte Netzwerk.
PPSK löst dies auf der Zuordnungsebene (Association Layer). Wenn sich ein Gerät verbindet, präsentiert es seinen Pre-Shared Key während des WPA2- oder WPA3-Vier-Wege-Handshakes. Der Wireless-Controller fängt die Verbindung ab und validiert den Schlüssel entweder lokal (Controller-lokales PPSK) oder leitet die MAC-Adresse des Geräts zur Abfrage an einen RADIUS-Server weiter. Der RADIUS-Server gibt den korrekten PPSK für diesen Benutzer zusammen mit einem VLAN-Zuweisungsattribut zurück. Wenn die Schlüssel übereinstimmen, wird das Gerät authentifiziert und in sein dediziertes VLAN verschoben. Der gesamte Prozess ist für den Endbenutzer transparent und erfordert keine spezielle Software auf dem Gerät.
PPSK vs. 802.1X vs. gemeinsam genutztes PSK
Um zu verstehen, wo PPSK hineinpasst, ist ein klarer Vergleich mit den beiden Alternativen erforderlich, zwischen denen es angesiedelt ist.
Gemeinsam genutztes PSK ist das einfachste Modell: ein Passwort, alle Geräte im selben Netzwerk. Es erfordert keine Infrastruktur über den Access Point selbst hinaus. Die Sicherheitsbeschränkungen sind in jedem Multi-Tenant-Kontext gravierend. Es gibt keine Isolierung pro Benutzer, keine individuelle Zurechenbarkeit, und der Entzug des Zugangs für einen einzelnen Benutzer erfordert die Änderung des Schlüssels für alle.
802.1X (WPA2/3-Enterprise), wie durch den Standard IEEE 802.1X definiert, bietet die höchste Sicherheit. Es erfordert einen RADIUS-Server, einen Identity Provider (Microsoft Entra ID, Okta oder Google Workspace) und einen Supplicant auf jedem Client-Gerät. Der Supplicant übernimmt den Austausch des Extensible Authentication Protocol (EAP). Jeder verwaltete Laptop und jedes geschäftliche Smartphone verfügt über einen Supplicant. Bildschirmlose IoT-Geräte – Smart-TVs, kabellose Lautsprecher, HLK-Steuerungen, Sicherheitskameras – tun dies nicht. Dies macht 802.1X als einzige Authentifizierungsmethode für Wohnnetzwerke unpraktikabel.
PPSK liegt zwischen diesen beiden Modellen. Es bietet eine Isolierung pro Benutzer und einen sofortigen Entzug des Zugangs, ohne dass ein Supplicant auf dem Client-Gerät erforderlich ist. Es unterstützt jedes IoT-Gerät, das Ihre Bewohner besitzen. Es bietet nicht die individuelle, zertifikatsbasierte Zurechenbarkeit von 802.1X. Daher verwendet die empfohlene Architektur für BTR- und MDU-Bereitstellungen PPSK für Bewohner und IoT und 802.1X für das Immobilienverwaltungspersonal.
| Dimension | Gemeinsam genutztes PSK | PPSK | 802.1X Enterprise |
|---|---|---|---|
| Sicherheitsniveau | Niedrig – gemeinsam genutzter statischer Schlüssel | Mittelhoch – eindeutiger Schlüssel pro Benutzer | Hoch – individuelle dynamische Schlüssel |
| Unterstützung für IoT-Geräte | Ja | Ja | Nein – erfordert Supplicant |
| Komplexität der Bereitstellung | Sehr einfach | Einfach | Komplex – RADIUS, PKI, IdP |
| Isolierung pro Benutzer | Nein | Ja – VLAN pro Wohneinheit | Ja – pro Benutzer |
| Entzug des Zugangs | Erfordert vollständige Änderung | Sofortige Schlüssellöschung | Sofort über Deaktivierung im Verzeichnis |
| Idealer Anwendungsfall | Kleine Heimnetzwerke | BTR, MDU, Studentenwohnheime | Unternehmensnetzwerke für Mitarbeiter |
Wie die PPSK-Authentifizierung funktioniert
Auf technischer Ebene arbeitet PPSK innerhalb des WPA Personal-Authentifizierungs-Frameworks. Wenn sich ein Gerät mit der SSID verbindet, initiiert der Access Point den Vier-Wege-Handshake. Bei einer standardmäßigen PSK-Bereitstellung validiert der AP den Schlüssel lokal. Bei einer PPSK-Bereitstellung fängt der AP oder Cloud-Controller die Verbindung ab und führt je nach Bereitstellungsmodell eine von zwei Operationen aus.
Bei einer Controller-lokalen PPSK-Bereitstellung wird die Schlüsseldatenbank direkt auf dem Wireless-Controller gespeichert. Der Controller validiert den präsentierten Schlüssel mit seinem lokalen Speicher und weist das entsprechende VLAN zu. Dieses Modell erfordert keinen externen RADIUS-Server und eignet sich für Bereitstellungen von bis zu ca. 200 Einheiten, abhängig von der lokalen Schlüsselkapazität der Controller-Plattform.
Bei einer RADIUS-gestützten PPSK-Bereitstellung leitet der Controller die MAC-Adresse des Geräts an einen externen RADIUS-Server weiter. Der RADIUS-Server sucht die MAC in seinem Identitätsspeicher, ruft den zugewiesenen PPSK ab und gibt ihn über eine RADIUS Access-Accept-Antwort an den Controller zurück. Der Controller validiert den vom Gerät präsentierten Schlüssel mit dem zurückgegebenen Schlüssel. Wenn sie übereinstimmen, enthält die RADIUS-Antwort auch die VLAN-Zuweisung als Tunnel-Private-Group-ID-Attribut. Das Gerät wird automatisch authentifiziert und dem richtigen VLAN zugewiesen. Dieses Modell lässt sich auf Tausende von Einheiten skalieren und ist die empfohlene Architektur für große BTR- und MDU-Bereitstellungen.
Weitere Einzelheiten zum Vergleich von PPSK auf verschiedenen Hardwareplattformen finden Sie in unserem PPSK-Verzeichnis: Vergleich von Funktionen und Bereitstellungsmodellen .
Implementierungsleitfaden
Eine erfolgreiche Bereitstellung von PPSK erfordert eine sorgfältige Planung der VLAN-Architektur, der DHCP-Bereiche, der Hardwareauswahl und des Schlüssel-Lebenszyklus-Managements. Befolgen Sie diese Schritte für eine produktionsbereite Bereitstellung.
Schritt 1: Logisches Netzwerkdesign
Konfigurieren Sie die Hardware erst, wenn das logische Design dokumentiert ist. In einer Multi-Tenant-Umgebung ist die VLAN-Zuweisung die primäre Sicherheitsgrenze. Eine typische BTR-Bereitstellung verwendet die folgende VLAN-Struktur:
- Bewohner-VLANs (10 bis N): Ein eindeutiges VLAN pro Wohnung. Dies schafft das isolierte Netzwerksegment, in dem die Geräte eines Bewohners einander über mDNS erkennen können (was Chromecast, Apple TV und Sonos ermöglicht), aber für Nachbarn unsichtbar bleiben.
- IoT/BMS-VLAN (99): Isoliert Gebäudemanagementsysteme, Videoüberwachung (CCTV) und im Besitz des Vermieters befindliche IoT-Geräte mit strenger Filterung des ausgehenden Datenverkehrs nur ins Internet.
- Mitarbeiter-/Unternehmens-VLAN (100): Verwendet 802.1X gegen Microsoft Entra ID für das Immobilienverwaltungspersonal.
- Gäste-WiFi-VLAN (200): Offener Zugang oder Captive Portal-Zugang für Gemeinschaftsbereiche und Besucher.
Schritt 2: IP-Adressierung und DHCP
Moderne BTR-Haushalte haben im Durchschnitt 15 bis 25 verbundene Geräte. Ein Gebäude mit 200 Einheiten verzeichnet 3.000 bis 5.000 gleichzeitige Geräte im Netzwerk. Dimensionieren Sie Ihre DHCP-Bereiche entsprechend. Verwenden Sie die private Adressierung nach RFC 1918. Ein /24-Subnetz bietet 254 nutzbare Adressen pro VLAN, was für einzelne Wohnungen ausreicht. Zentrale IoT-VLANs erfordern je nach Gerätedichte möglicherweise ein /22 oder /23.
Schritt 3: Hardwareauswahl und PPSK-Konfiguration
PPSK wird auf allen gängigen Enterprise-Access-Point-Plattformen unterstützt, mit herstellerspezifischen Implementierungshinweisen:
- Cisco Meraki (iPSK): Verwaltet über das Meraki Dashboard. Unterstützt bis zu 5.000 iPSK-Einträge pro Netzwerk. Integriert sich in die Meraki API für die automatisierte Schlüsselbereitstellung.
- HPE Aruba (MPSK): Nativ in ArubaOS und Aruba Central implementiert. Unterstützt MPSK auf WPA2- und WPA3-Konfigurationen. Integriert sich in Aruba ClearPass für RADIUS-gestützte Bereitstellungen auf Unternehmensebene.
- Ruckus (DPSK): Unterstützt über SmartZone und Ruckus Cloud. DPSK mit SmartZone lässt sich über externes RADIUS auf Tausende von Schlüsseln skalieren.
- Juniper Mist (ePSK): Cloud-verwaltet mit KI-gestützter HF-Optimierung. ePSK wird pro WLAN im Mist-Portal konfiguriert.
- Ubiquiti UniFi (PPSK): Unterstützt bis zu 1.000 PPSK-Einträge pro Netzwerk. Hinweis: UniFi PPSK ist derzeit nur WPA2 und unterstützt das 6-GHz-Band nicht.
- Cambium und Extreme: Beide unterstützen PPSK über ihre jeweiligen Cloud-Management-Plattformen.
Eine kritische Einschränkung: Die PPSK-Implementierung von UniFi ist nur WPA2. Wenn Sie WiFi 6E-Access-Points spezifizieren und das 6-GHz-Band für PPSK-Clients nutzen möchten, verwenden Sie Aruba, Ruckus oder Meraki, die PPSK auf WPA3-Konfigurationen unterstützen.
Schritt 4: Schlüsselverteilung und Lebenszyklus-Management
Das Generieren von Schlüsseln ist trivial. Sie sicher zu verteilen und ihren Lebenszyklus zu verwalten, ist die betriebliche Herausforderung, die darüber entscheidet, ob PPSK die versprochenen Vorteile bringt.
- Onboarding beim Einzug: Integrieren Sie die WiFi-Bereitstellung in das Immobilienverwaltungssystem. Wenn ein Mietverhältnis beginnt, generieren Sie automatisch den PPSK und senden Sie dem Bewohner einen QR-Code per E-Mail. Der Bewohner scannt den QR-Code, und alle seine Geräte verbinden sich sofort mit dem richtigen VLAN.
- Laufende Verwaltung: Stellen Sie ein Bewohnerportal bereit, in dem diese ihren Schlüssel abrufen und zusätzliche Geräte registrieren können.
- Entzug beim Auszug: Wenn ein Mietverhältnis endet, muss die API den Schlüssel sofort widerrufen. Die Geräte des ausziehenden Bewohners verlieren den Zugang, ohne dass dies Auswirkungen auf andere Mieter hat.
Die Multi-Tenant WiFi-Lösung von Purple bietet das Cloud-RADIUS, die API-Orchestrierung und das Bewohnerportal, die zur Automatisierung dieses Lebenszyklus auf allen unterstützten Hardwareplattformen erforderlich sind. Weitere Informationen finden Sie in den verlinkten Ressourcen zu Gäste-WiFi und WiFi Analytics .
Best Practices
Begrenzen Sie die SSID-Verbreitung (SSID Proliferation). Strahlen Sie maximal drei SSIDs pro Funkmodul aus: eine für Bewohner (PPSK), eine für Mitarbeiter (802.1X) und eine für Gäste (Captive Portal). Jede zusätzliche SSID verbraucht Sendezeit für Beacon-Frames, was die Leistung für alle Benutzer beeinträchtigt. PPSK ermöglicht die Existenz von Hunderten isolierter Netzwerke unter einer einzigen SSID, wodurch SSIDs pro Etage oder Wohnung überflüssig werden. In unserem Leitfaden Drei SSIDs, sie alle zu beherrschen: Gäste-, Passpoint- und IoT-WiFi finden Sie die vollständige Begründung der Architektur.
Berücksichtigen Sie die MAC-Randomisierung vom ersten Tag an. iOS 14+, Android 10+ und Windows 11 verwenden standardmäßig randomisierte MAC-Adressen. Wenn Ihre PPSK-Bereitstellung auf MAC-basierten RADIUS-Abfragen basiert, integrieren Sie einen Vorregistrierungs-Workflow in den Onboarding-Prozess der Bewohner. Weisen Sie die Bewohner an, „Private WLAN-Adresse“ oder „Zufällige MAC-Adresse verwenden“ in ihren Geräteeinstellungen für Ihre spezifische SSID zu deaktivieren, oder implementieren Sie einen Vorregistrierungsschritt über ein Captive Portal, der die permanente Hardware-MAC erfasst.
Validieren Sie Trunk-Ports vor dem Go-Live. Entwerfen Sie ein sauberes VLAN-Schema, stellen Sie die Access Points bereit und überprüfen Sie dann, ob jede Trunk-Verbindung zwischen den Access-Layer-Switches und dem Distribution-Core den gesamten Bereich der Bewohner-VLANs zulässt. Der Datenverkehr wird stillschweigend verworfen, wenn ein VLAN in der Liste der zulässigen Trunks fehlt. Testen Sie vor dem Einzug der Bewohner mit einem Gerät in jedem VLAN.
Aktivieren Sie mDNS-Reflection pro VLAN. Bewohner erwarten, dass ihre Smart-Home-Geräte funktionieren. Chromecast, Apple TV, Sonos, und ähnliche Geräte verlassen sich auf mDNS (Multicast DNS), um einander im lokalen Netzwerk zu finden. Stellen Sie sicher, dass Ihr Wireless-Controller so konfiguriert ist, dass er mDNS-Datenverkehr innerhalb jedes Bewohner-VLANs zulässt, während er ihn zwischen den VLANs blockiert.
Verwenden Sie WPA3, wo Client-Geräte es unterstützen. WPA3-SAE (Simultaneous Authentication of Equals) bietet einen erheblich stärkeren Schutz gegen Offline-Wörterbuchangriffe als WPA2-PSK. Stellen Sie PPSK im WPA3-Übergangsmodus bereit, um sowohl WPA2- als auch WPA3-Clients zu unterstützen. Die Ausnahme ist Ubiquiti UniFi, das für PPSK derzeit nur WPA2 unterstützt.
Hinweise zum Gäste-WiFi-Erlebnis in der Hotellerie finden Sie unter Wie Sie mit Ihrem Gäste-WiFi einen großartigen ersten Eindruck hinterlassen .
Fehlerbehebung und Risikominderung
Fehlermodus 1: Gerät kann nicht authentifiziert werden
Symptom: Das Gerät eines Bewohners kann sich trotz Verwendung des richtigen Schlüssels nicht mit der SSID verbinden.
Wahrscheinlichste Ursache: Das Gerät präsentiert eine randomisierte MAC-Adresse. Der RADIUS-Server führt eine MAC-Abfrage durch, findet keinen passenden Eintrag für die randomisierte Adresse und gibt ein Access-Reject zurück.
Lösung: Weisen Sie den Bewohner an, die WiFi-Einstellungen seines Geräts für Ihre spezifische SSID zu öffnen und „Private WLAN-Adresse“ (iOS) oder „Zufällige MAC-Adresse verwenden“ (Android/Windows) zu deaktivieren. Alternativ können Sie ein Vorregistrierungs-Captive-Portal implementieren, das die permanente Hardware-MAC während des Onboardings erfasst.
Fehlermodus 2: Smart-Home-Geräte können einander nicht finden
Symptom: Der Chromecast, das Apple TV oder der Smart-Speaker eines Bewohners wird von dessen Telefon oder Laptop nicht gefunden, obwohl beide mit derselben SSID verbunden sind.
Wahrscheinlichste Ursache: Die Client-Isolierung ist auf der SSID aktiviert, oder die mDNS-Reflection ist auf dem Wireless-Controller nicht korrekt konfiguriert.
Lösung: Deaktivieren Sie die Client-Isolierung für die Bewohner-SSID. Aktivieren Sie mDNS-Reflection oder -Proxy innerhalb jedes Bewohner-VLANs auf dem Wireless-Controller. Überprüfen Sie, ob der Controller den Multicast-Datenverkehr innerhalb des VLANs blockiert.
Fehlermodus 3: Schlüssel-Limit des Controllers erreicht
Symptom: Neue Bewohner können nicht bereitgestellt werden, da der PPSK-Schlüsselspeicher voll ist.
Wahrscheinlichste Ursache: Die Bereitstellung verwendet Controller-lokales PPSK ohne einen externen RADIUS-Server. Die meisten Controller begrenzen die lokalen PPSK-Einträge auf 500 bis 1.000 Schlüssel.
Lösung: Verwenden Sie bei Bereitstellungen mit mehr als 100 Einheiten immer eine RADIUS-gestützte PPSK-Architektur. Der Cloud-RADIUS-Dienst von Purple lässt sich ohne zu verwaltende Hardware auf Zehntausende gleichzeitige Schlüssel skalieren.
Fehlermodus 4: VLANs werden nicht über Trunk-Verbindungen weitergeleitet
Symptom: Geräte in bestimmten Bewohner-VLANs können sich mit der SSID verbinden, erreichen jedoch nicht das Internet oder andere Dienste.
Wahrscheinlichste Ursache: Die VLAN-IDs für diese Bewohner sind auf der Trunk-Verbindung zwischen dem Access-Layer-Switch und dem Distribution- oder Core-Switch nicht zugelassen.
Lösung: Überprüfen Sie jeden Trunk-Port im Pfad vom Access Point zum Internet-Gateway. Stellen Sie sicher, dass alle Bewohner-VLAN-IDs in der Liste der zugelassenen VLANs auf jedem Trunk enthalten sind. Dokumentieren Sie die Trunk-Konfiguration und nehmen Sie sie in die Inbetriebnahme-Checkliste auf.
ROI und geschäftliche Auswirkungen
Die Bereitstellung von PPSK verwandelt WiFi von einer problematischen Dienstleistung in eine sichere, verwaltete Annehmlichkeit. Für BTR-Betreiber und Vermieter sind die geschäftlichen Auswirkungen in drei Dimensionen messbar.
Reduzierter Support-Aufwand. Die Eliminierung von Passwortänderungen bei gemeinsam genutzten Passwörtern und die Lösung von IoT-Konnektivitätsproblemen reduzieren WiFi-bezogene Support-Tickets in der Regel um 40 % bis 60 %. Ein BTR-Betreiber mit 180 Einheiten, der von einem gemeinsam genutzten PSK zu HPE Aruba MPSK migrierte, meldete in den ersten sechs Monaten des Betriebs eine Reduzierung der Support-Tickets um 50 %. Der Haupttreiber war die Behebung der Probleme bei der Kopplung von Smart-Home-Geräten, die die Bereitstellung mit gemeinsam genutztem PSK beeinträchtigt hatten.
Höhere Bewohnerbindung. Die Bereitstellung eines sicheren, heimähnlichen Netzwerkerlebnisses, das Smart-Home-Geräte unterstützt, ist ein messbares Differenzierungsmerkmal im Premium-BTR-Markt. Bewohner, die am Einzugstag ihr gesamtes Geräte-Ökosystem – einschließlich Smart-Speaker, Streaming-Sticks und Spielekonsolen – verbinden können, berichten von deutlich höheren Zufriedenheitswerten als diejenigen, die auf Verbindungsprobleme stoßen.
Einhaltung gesetzlicher Vorschriften. Die GDPR verlangt, dass Sie die Rechenschaftspflicht für die Datenverarbeitung nachweisen können. Im WiFi-Kontext bedeutet dies, dass Sie identifizieren können müssen, welcher Bewohner welchen Netzwerkverkehr verursacht hat, und auf eine Auskunftsanfrage mit genauen, bewohnerspezifischen Daten antworten können. Bei einem gemeinsam genutzten PSK ist jedes Gerät im Netzwerk aus Sicht des RADIUS-Servers ununterscheidbar. Bei PPSK ist jede Verbindung an einen bestimmten Bewohnerschlüssel gebunden, der wiederum mit einem bestimmten Mietvertrag verknüpft ist. Ihr Audit-Trail ist vollständig.
Branchenspezifische Richtlinien dazu, wie WiFi-Intelligence geschäftliche Ergebnisse fördert, finden Sie in unseren Ressourcen für das Gastgewerbe und den Einzelhandel .
Schlüsseldefinitionen
PPSK (Private Pre-Shared Key)
Eine WiFi-Authentifizierungsmethode, bei der jedem Benutzer oder jeder Gerätegruppe eine eindeutige Passphrase auf einer gemeinsam genutzten SSID zugewiesen wird. Jeder Schlüssel wird einem bestimmten VLAN zugeordnet, was eine Netzwerkisolierung ermöglicht, ohne dass ein Supplicant auf dem Client-Gerät erforderlich ist.
Das primäre Authentifizierungsmodell für Multi-Tenant-Wohnumgebungen, in denen 802.1X zu komplex oder inkompatibel mit IoT-Geräten ist. Bekannt als iPSK (Cisco Meraki), MPSK (HPE Aruba), DPSK (Ruckus) und ePSK (Juniper Mist).
802.1X
Ein IEEE-Standard für die portbasierte Netzwerkzugriffskontrolle. Er verwendet einen RADIUS-Server, um Benutzer über individuelle Anmeldedaten oder Zertifikate zu authentifizieren, und bietet dynamische Verschlüsselungsschlüssel pro Benutzer sowie einen sofortigen Entzug des Zugangs.
Das richtige Authentifizierungsmodell für Unternehmensnetzwerke für Mitarbeiter. Erfordert einen Supplicant auf jedem Client-Gerät, was es als einzige Authentifizierungsmethode für Wohnumgebungen oder IoT-intensive Umgebungen ungeeignet macht.
VLAN (Virtual Local Area Network)
Eine logische Gruppierung von Netzwerkgeräten, die sich so verhalten, als befänden sie sich im selben physischen Netzwerk, definiert durch den Standard IEEE 802.1Q. VLANs erstellen separate Broadcast-Domänen auf einer gemeinsam genutzten physischen Infrastruktur.
Der grundlegende Mechanismar zur Isolierung des Mieterdatenverkehrs in einer Multi-Tenant-Bereitstellung. Jeder PPSK-Schlüssel eines Bewohners wird einem eindeutigen VLAN zugeordnet, wodurch die „WiFi-Blase“ entsteht, die verhindert, dass Bewohner die Geräte der anderen sehen.
RADIUS (Remote Authentication Dial-In User Service)
Ein Netzwerkprotokoll, das eine zentrale Verwaltung von Authentifizierung, Autorisierung und Accounting bietet. Bei einer PPSK-Bereitstellung speichert der RADIUS-Server die Schlüsseldatenbank und gibt VLAN-Zuweisungsattribute an den Wireless-Controller zurück.
Erforderlich für PPSK-Bereitstellungen mit mehr als ca. 200 Einheiten, bei denen der lokale Schlüsselspeicher des Controllers nicht ausreicht. Purple bietet einen Cloud-RADIUS-Dienst, der eine lokale RADIUS-Infrastruktur überflüssig macht.
Supplicant
Die Softwarekomponente auf einem Client-Gerät, die den EAP-Austausch (Extensible Authentication Protocol) in einem 802.1X-Authentifizierungsfluss verarbeitet. Sie präsentiert dem Authentifikator (Access Point) Anmeldedaten oder Zertifikate.
Auf jedem verwalteten Laptop und geschäftlichen Smartphone vorhanden. Fehlt auf bildschirmlosen IoT-Geräten, weshalb 802.1X nicht die einzige Authentifizierungsmethode für Wohnnetzwerke sein kann.
SSID proliferation
Die Praxis, zu viele Netzwerknamen (SSIDs) von einem einzigen Access Point auszustrahlen. Jede SSID erfordert Beacon-Frames, die mit der niedrigsten Basisrate übertragen werden, was Sendezeit verbraucht und die Leistung für alle Benutzer beeinträchtigt.
Ein häufiger Fehler bei Multi-Tenant-Bereitstellungen, bei dem Betreiber eine separate SSID pro Etage oder Mieterkategorie erstellen. PPSK löst dies, indem es Hunderte von isolierten Netzwerken unter einer einzigen SSID ermöglicht.
mDNS (Multicast DNS)
Ein Protokoll, das Hostnamen innerhalb eines lokalen Netzwerks ohne dedizierten DNS-Server in IP-Adressen auflöst, indem es Multicast-UDP-Pakete auf Port 5353 verwendet.
Unerlässlich für Consumer-IoT-Geräte, um einander im VLAN eines Bewohners zu finden. Chromecast, Apple TV, Sonos und ähnliche Geräte verlassen sich auf mDNS. Muss innerhalb jedes Bewohner-VLANs aktiviert und zwischen den VLANs blockiert werden.
MAC randomisation
Eine Datenschutzfunktion in modernen Betriebssystemen (iOS 14+, Android 10+, Windows 11) die für jedes WiFi-Netzwerk eine temporäre, randomisierte MAC-Adresse generiert und so das Tracking über Netzwerke hinweg verhindert.
Verursacht Authentifizierungsfehler bei PPSK-Bereitstellungen, die für RADIUS-Abfragen auf permanente Hardware-MAC-Adressen angewiesen sind. Erfordert einen Vorregistrierungs-Workflow oder eine Konfiguration auf Geräteebene, um dies für bestimmte SSIDs zu deaktivieren.
WPA3-SAE (Simultaneous Authentication of Equals)
Das Authentifizierungsprotokoll, das in WPA3-Personal-Netzwerken verwendet wird. Es ersetzt den WPA2-Vier-Wege-Handshake durch einen Dragonfly-Schlüsselaustausch und bietet Perfect Forward Secrecy sowie Schutz vor Offline-Wörterbuchangriffen.
Der empfohlene Verschlüsselungsstandard für neue PPSK-Bereitstellungen. Unterstützt auf Cisco Meraki, HPE Aruba und Ruckus. Für PPSK auf Ubiquiti UniFi mit Stand 2025 noch nicht unterstützt.
Captive portal
Eine Webseite, die ein Netzwerknutzer anzeigen und mit der er interagieren muss, bevor ihm Zugriff auf ein öffentliches WiFi-Netzwerk gewährt wird. Sie setzt Nutzungsbedingungen durch, erfasst Marketingdaten und verwaltet Sitzungsparameter.
Wird in offenen oder Gäste-WiFi-Netzwerken in Gemeinschaftsbereichen von BTR-Gebäuden, Hotels und Einzelhandelsumgebungen verwendet. Eine geschäftliche Kontrollebene, keine Sicherheitskontrolle – verschlüsselt den WiFi-Datenverkehr nicht.
Ausgearbeitete Beispiele
Ein BTR-Betreiber mit 150 Einheiten verwendet derzeit ein einziges gemeinsam genutztes WiFi-Passwort im gesamten Gebäude. Bewohner beschweren sich, dass ihre Smart-Speaker nicht funktionieren, der Betreiber kann den Zugang nicht entziehen, wenn ein Mieter auszieht, und ein ausziehender Mieter hat kürzlich das Passwort öffentlich im Internet geteilt. Sie haben HPE Aruba Access Points spezifiziert. Was ist die richtige Architektur?
Stellen Sie HPE Aruba MPSK (Multiple PSK) bereit, das von einem Cloud-RADIUS-Server gestützt wird. Konfigurieren Sie eine einzige Bewohner-SSID ('Residents_WiFi') im WPA2/WPA3-Übergangsmodus. Ordnen Sie in der RADIUS-Datenbank jede Wohnung einem eindeutigen VLAN zu (VLANs 10 bis 160 für 150 Einheiten). Integrieren Sie die RADIUS-Bereitstellungs-API in das Immobilienverwaltungssystem, sodass zu Beginn eines Mietverhältnisses automatisch ein eindeutiger 16-stelliger MPSK generiert und dem Bewohner als QR-Code per E-Mail zugesendet wird. Aktivieren Sie mDNS-Reflection innerhalb jedes Bewohner-VLANs, damit Chromecast, Apple TV und Sonos korrekt funktionieren. Deaktivieren Sie die Client-Isolierung auf der Bewohner-SSID. Wenn ein Mietverhältnis endet, ruft das Immobilienverwaltungssystem die RADIUS-API auf, um den Schlüssel zu löschen. Die Geräte des ausziehenden Bewohners verlieren innerhalb von Sekunden den Zugang. Kein anderer Bewohner ist davon betroffen.
Ein Anbieter von studentischem Wohnen (PBSA) mit 400 Betten verzeichnet jeden September während der Einzugswoche eine erhebliche Netzwerkbeeinträchtigung. Derzeit werden sechs SSIDs ausgestrahlt, um den Datenverkehr nach Etagen und Unterkunftstypen zu trennen. Es wird Hardware von Cisco Meraki verwendet. Wie sollte das Netzwerk neu gestaltet werden?
Konsolidieren Sie die sechs SSIDs in drei: 'Student_Secure' (iPSK), 'Staff' (802.1X) und 'Guest' (Captive Portal). Implementieren Sie Meraki iPSK auf der SSID 'Student_Secure'. Stellen Sie vor der Einzugswoche 400 eindeutige iPSK-Schlüssel über die Meraki Dashboard-API bereit und ordnen Sie jeden Schlüssel einem bestimmten Zimmer-VLAN zu. Verteilen Sie die Schlüssel während der Registrierung vor der Ankunft über das Studentenportal, wobei ein QR-Code in der Begrüßungs-E-Mail enthalten ist. Dimensionieren Sie die DHCP-Bereiche für 10 Geräte pro Student (ein /25 pro VLAN bietet 126 nutzbare Adressen). Überprüfen Sie vor dem Einzugstag, ob alle Trunk-Ports den gesamten VLAN-Bereich zulassen.
Übungsfragen
Q1. Ein Immobilienentwickler spezifiziert die Netzwerkhardware für ein neues BTR-Gebäude mit 300 Einheiten. Sein IT-Berater empfiehlt, für jede Etage eine separate SSID auszustrahlen, um „die Dinge organisiert zu halten“. Warum ist dies eine schlechte architektonische Entscheidung und was ist der richtige Ansatz?
Hinweis: Berücksichtigen Sie die Auswirkungen von Management-Frames auf die Sendezeit im WLAN und wie PPSK die Notwendigkeit von SSIDs pro Etage eliminiert.
Musterlösung anzeigen
Das Ausstrahlen mehrerer SSIDs führt zu einer SSID-Verbreitung (SSID Proliferation). Jede SSID erfordert, dass der Access Point Beacon-Frames mit der niedrigsten Basisrate (normalerweise 1 Mbit/s) überträgt, was Sendezeit verbraucht, bevor Benutzerdaten übertragen werden. In einem dicht besiedelten Wohngebäude mit 10 oder mehr Access Points pro Etage erzeugt das Ausstrahlen einer SSID pro Etage über 10 Etagen hinweg 100 SSIDs in der HF-Umgebung, was die Leistung für alle Benutzer drastisch verschlechtert. Der richtige Ansatz besteht darin, eine einzige Bewohner-SSID auszustrahlen und PPSK zu verwenden, um jede Wohnung ihrem eigenen isolierten VLAN zuzuweisen. Dies bietet eine Isolierung pro Wohneinheit ohne zusätzlichen Beacon-Overhead über eine einzige SSID hinaus.
Q2. Ein Hotel-IT-Manager möchte 802.1X für alle Gästezimmer bereitstellen, um maximale Sicherheit zu gewährleisten. Er plant, beim Check-in Benutzernamen und Passwörter auszugeben. Welche kritische technische Hürde macht diesen Ansatz für ein Hotelumfeld unpraktikabel und was ist die empfohlene Alternative?
Hinweis: Denken Sie an die Arten von Geräten, die Gäste mitbringen, insbesondere an solche ohne Bildschirm oder Betriebssystem.
Musterlösung anzeigen
802.1X erfordert einen Supplicant auf dem Client-Gerät, um den EAP-Authentifizierungsaustausch zu verarbeiten. Während Laptops und Smartphones über Supplicants verfügen, ist dies bei bildschirmlosen IoT-Geräten – Smart-TVs, Spielekonsolen, Streaming-Sticks und kabellosen Lautsprechern – nicht der Fall. Gäste wären nicht in der Lage, diese Geräte mit dem Netzwerk zu verbinden. Die empfohlene Alternative ist PPSK: Jedem Gast wird beim Check-in (über die Integration des Immobilienverwaltungssystems) ein eindeutiger Schlüssel zugewiesen, der alle seine Geräte mit einem dedizierten VLAN verbindet. Wenn der Gast auscheckt, wird der Schlüssel automatisch widerrufen.
Q3. Während einer PPSK-Bereitstellung auf Juniper Mist berichten Bewohner, dass sie ihre Smartphones mit dem WiFi verbinden können, ihre Smart-Speaker jedoch während des ersten Einrichtungsprozesses keine Verbindung herstellen können. Der Smart-Speaker zeigt an, dass er versucht, eine Verbindung herzustellen, schließt die Authentifizierung jedoch nie ab. Was sind die zwei wahrscheinlichsten Ursachen und wie lösen Sie diese jeweils?
Hinweis: Berücksichtigen Sie sowohl, wie das Netzwerk das Gerät während der ersten Verbindung identifiziert, als auch, ob das Gerät den Authentifizierungs-Handshake abschließen kann.
Musterlösung anzeigen
Die zwei wahrscheinlichsten Ursachen sind die MAC-Randomisierung und das Fehlen eines Vorregistrierungs-Workflows. Erstens wurde das Smartphone möglicherweise mit seiner permanenten Hardware-MAC vorregistriert, während der Smart-Speaker eine randomisierte MAC präsentiert, die mit keinem Eintrag in der RADIUS-Datenbank übereinstimmt. Lösung: Konfigurieren Sie die SSID so, dass permanente MAC-Adressen angefordert werden, oder fügen Sie die permanente MAC des Smart-Speakers zum PPSK-Profil des Bewohners hinzu. Zweitens erfordern einige Smart-Speaker, dass sich das Gerät während der Ersteinrichtung im selben Netzwerk wie das steuernde Telefon befindet. Wenn die Client-Isolierung aktiviert ist, können Telefon und Lautsprecher nicht kommunizieren, selbst wenn beide verbunden sind. Lösung: Deaktivieren Sie die Client-Isolierung auf der Bewohner-SSID und überprüfen Sie, ob mDNS-Reflection innerhalb des Bewohner-VLANs aktiviert ist.
Q4. Ein BTR-Betreiber mit 500 Einheiten hat PPSK unter Verwendung des lokalen Schlüsselspeichers des Controllers auf seiner Ubiquiti UniFi-Infrastruktur bereitgestellt. Nach sechs Monaten Betrieb stellt das Netzwerkteam fest, dass keine neuen Bewohner bereitgestellt werden können, da der Schlüsselspeicher voll ist. Was ist schiefgelaufen und was ist die richtige Abhilfe?
Hinweis: Berücksichtigen Sie die Skalierungsgrenze von Controller-lokalem PPSK und die richtige Architektur für groß angelegte Bereitstellungen.
Musterlösung anzeigen
Der Betreiber hat ein Controller-lokales PPSK bereitgestellt, das die Schlüssel direkt auf dem UniFi-Controller speichert. UniFi unterstützt maximal 1.000 PPSK-Einträge pro Netzwerk. Ein Gebäude mit 500 Einheiten und mehreren Geräten pro Bewohner wird dieses Limit schnell ausschöpfen. Die richtige Abhilfe ist die Migration zu einer RADIUS-gestützten PPSK-Architektur. Ein externer RADIUS-Server – wie der Cloud-RADIUS-Dienst von Purple – speichert die Schlüsseldatenbank und lässt sich auf Zehntausende gleichzeitige Schlüssel skalieren. Die UniFi-Access-Points fragen den RADIUS-Server bei jeder neuen Verbindung ab, wodurch das Limit für lokale Schlüssel auf dem Controller entfällt. Als allgemeine Regel gilt, dass jede Bereitstellung mit mehr als 100 Einheiten von Anfang an RADIUS-gestütztes PPSK verwenden sollte.
Weiterlesen in dieser Reihe
Mitarbeiter-WiFi vs. Gäste-WiFi: Best Practices für die Segmentierung von Unternehmensnetzwerken
Ein umfassender technischer Leitfaden für IT-Führungskräfte zur Segmentierung von Mitarbeiter- und Gäste-WiFi-Netzwerken. Er behandelt VLAN-Architektur, 802.1X-Authentifizierung, Firewall-Richtlinien und die geschäftlichen Auswirkungen eines sicheren Netzwerkdesigns.
iPSK-Leitfaden: Ein umfassender Guide für Unternehmen
Dieser Leitfaden erklärt die Identity Pre-Shared Key (iPSK) Architektur für Bauträger, BTR-Betreiber und Vermieter, die Multi-Tenant-WiFi bereitstellen. Er behandelt RADIUS-Integration, dynamische VLAN-Zuweisung, Layer-2-Isolierung und automatisiertes Lifecycle-Management für Anmeldedaten, um Bewohnern sofort einsatzbereites WiFi in großem Umfang zu bieten. Zudem werden die wirtschaftlichen Vorteile der Abschaffung von Routern in einzelnen Wohneinheiten sowie die betrieblichen Vorteile der iPSK-Integration mit Identity Providern wie Microsoft Entra ID, Okta und Google Workspace erläutert.
Uu PPSK pdf: Funktionen und Bereitstellungsmodelle im Vergleich
Dieser technische Referenzleitfaden vergleicht die Private Pre-Shared Key (PPSK) WiFi-Architektur mit herkömmlichen 802.1X- und Standard-PSK-Bereitstellungen. Er bietet Netzwerkarchitekten und IT-Managern herstellerneutrale Implementierungsstrategien für Multi-Tenant-Wohn-, IoT- und BTR-Umgebungen.