Per-Device-PSK nach Hersteller: iPSK, DPSK, MPSK und PPSK im Vergleich (und WPA3-Support)

Per-Device-PSK nach Hersteller: iPSK, DPSK, MPSK und PPSK im Vergleich und WPA3-Support. Ein technisches Briefing von Purple. Einführung und Kontext. Willkommen zur technischen Briefing-Reihe von Purple. Ich werde Sie heute durch eines der praktisch wichtigsten – und am häufigsten missverstandenen – Themen im Bereich Enterprise-WiFi führen: Per-Device Pre-Shared Keys. Konkret vergleichen wir, wie die einzelnen führenden Hersteller diese Funktion implementieren, wie sie sie nennen, wie sie unter der Haube funktioniert und – ganz entscheidend – was passiert, wenn Sie versuchen, auf WPA3 umzustellen. Wenn Sie IT-Manager, Netzwerkarchitekt oder Betriebsleiter sind und WiFi in einem Hotelbestand, einer Einzelhandelskette, einem Stadion oder einem Campus im öffentlichen Sektor betreiben, ist dieses Briefing genau das Richtige für Sie. Sie haben wahrscheinlich schon von der Abkürzungssuppe gehört: iPSK, DPSK, MPSK, PPSK. Sie alle beziehen sich auf dasselbe Konzept – jedem Gerät oder Benutzer sein eigenes, eindeutiges Passwort auf einer einzigen SSID zu geben –, aber die Implementierungen unterscheiden sich erheblich, und diese Unterschiede sind wichtig, wenn Sie Ihre nächste Infrastruktur-Modernisierung planen. Beginnen wir mit den Grundlagen, gehen dann die einzelnen Hersteller durch und schließen mit der WPA3-Frage ab, mit der sich derzeit alle beschäftigen. Technischer Deep-Dive. Was also ist Per-Device-PSK und warum gibt es das? Das herkömmliche WPA2-Personal verwendet eine einzige gemeinsame Passphrase für eine gesamte SSID. Jeder in Ihrem Gästenetzwerk nutzt dasselbe Passwort. Das führt zu zwei Problemen. Erstens können Sie den Zugriff für ein Gerät nicht widerrufen, ohne das Passwort für alle anderen zu ändern. Zweitens haben Sie keine Sichtbarkeit pro Gerät oder Richtliniendurchsetzung. Per-Device-PSK löst beides. Jedes Gerät oder jeder Benutzer erhält eindeutige Anmeldedaten. Sie können einen Schlüssel widerrufen, ohne die anderen zu beeinträchtigen. Sie können pro Schlüssel verschiedene VLANs, Bandbreitenrichtlinien oder Zugriffszeitpläne zuweisen. Es ist der Mittelweg zwischen der Einfachheit von WPA2-Personal und der Komplexität einer vollständigen 802.1X-Enterprise-Authentifizierung. Sehen wir uns nun an, wie die einzelnen Hersteller dies implementieren. Cisco Meraki nennt dies iPSK – Identity Pre-Shared Key. Meraki unterstützt zwei Modi. Ohne RADIUS konfigurieren Sie bis zu fünf eindeutige PSKs direkt im Meraki-Dashboard, die jeweils einem VLAN zugeordnet sind. Das ist schnell eingerichtet und erfordert keine externe Infrastruktur. Mit RADIUS – typischerweise Cisco ISE – können Sie auf Tausende von Schlüsseln skalieren. Der Client verbindet sich, der AP sendet die MAC-Adresse und einen PSK-Hinweis an den RADIUS-Server, der Server gibt den korrekten gerätespezifischen Schlüssel zurück, und der standardmäßige WPA2-Vier-Wege-Handshake wird mit diesem Schlüssel als Pairwise Master Key abgeschlossen. Die entscheidende Erkenntnis hierbei ist, dass der RADIUS-Server die Abfrage durchführt, nicht der AP. Der AP erleichtert lediglich den Austausch. HPE Aruba nennt dies MPSK – Multiple Pre-Shared Key. Aruba Central und Aruba Instant unterstützen MPSK in zwei Modi: MPSK Local, bei dem die Schlüssel auf dem Controller oder AP-Cluster gespeichert werden, und MPSK mit ClearPass, der RADIUS- und Richtlinien-Engine von Aruba. ClearPass kann Zehntausende von Schlüsseln verwalten, dynamische VLANs zuweisen und rollenbasierte Richtlinien pro Schlüssel anwenden. Der Authentifizierungsfluss ist im Wesentlichen derselbe wie im RADIUS-Modus von Meraki – eine MAC-basierte Abfrage gibt den gerätespezifischen Schlüssel vor dem Vier-Wege-Handshake zurück. Ruckus – heute Teil von CommScope – nennt dies DPSK, Dynamic Pre-Shared Key. Dies ist wohl die ausgereifteste Implementierung auf dem Markt. Ruckus DPSK ist seit den frühen SmartZone-Tagen verfügbar. Im lokalen Modus läuft der DPSK-Dienst auf dem Controller und verwaltet die Schlüsseldatenbank. Im RADIUS-Modus lässt er sich in Cloudpath integrieren, die eigene Netzwerkzugriffskontrollplattform von Ruckus. Was Ruckus besonders auszeichnet, ist DPSK3 – ihre WPA3-Erweiterung von DPSK, auf die wir gleich noch zurückkommen werden. DPSK3 ist auf WiFi 6-, 6E- und 7-Access-Points mit der Firmware 7.0 oder neuer verfügbar und arbeitet im WPA2/WPA3-Mischmodus. Juniper Mist nennt dies PPSK – Private Pre-Shared Key – oder manchmal Multi-PSK. Mist speichert Schlüssel in der Cloud, in der Mist-Organisations- oder Standort-Schlüsseldatenbank, mit einem Limit von 5.000 Schlüsseln pro Standort. Schlüssel können pro Benutzer, pro Gerät oder pro Gruppe zugewiesen werden. Mist lässt sich auch in seinen Access Assurance-Dienst integrieren – die Cloud-native NAC –, was eine RADIUS-basierte PSK-Abfrage ermöglicht. Entscheidend ist, dass Juniper den WPA3-RADIUS-PSK-Support über Access Assurance angekündigt hat, sodass eine einzige WPA3-Personal-SSID mehrere Passphrasen bedienen kann. Dies ist eine der zukunftsweisendsten Implementierungen auf dem Markt. Extreme Networks – das Aerohive übernommen hat – nennt dies PPSK, Private Pre-Shared Key, über ExtremeCloud IQ. Die Implementierung von Extreme unterstützt die lokale Schlüsselspeicherung auf dem AP selbst, was für Filialen oder Außenstellen mit eingeschränkter Konnektivität nützlich ist. Sie unterstützt auch die RADIUS-basierte Abfrage über den Cloud-RADIUS-Dienst von ExtremeCloud IQ. MAC-Binding ist verfügbar, wodurch ein PPSK für zusätzliche Sicherheit an eine bestimmte Geräte-MAC-Adresse gebunden wird. Fortinet nennt dies MPSK, Multiple Pre-Shared Key, verwaltet über FortiAP und den drahtlosen FortiGate-Controller. Die Implementierung von Fortinet ist bemerkenswert, da sie in ihren MPSK-Profilen explizit die Sicherheitsmodi WPA3-SAE und WPA3-SAE-Transition unterstützt – ab FortiAP-Firmware 8.0. Sie können ein MPSK-Profil mit WPA3-SAE-Schlüsseln erstellen, diese einem VAP zuweisen und die dynamische VLAN-Zuweisung pro Schlüssel aktivieren. Dies ist eine der saubereren WPA3-MPSK-Implementierungen, die heute verfügbar sind. Ubiquiti UniFi nennt dies Private Pre-Shared Keys oder Private PSK. Die Implementierung von UniFi ist rein lokal – die Schlüssel werden im UniFi Network Controller gespeichert, nicht auf einem externen RADIUS-Server. Sie können pro Schlüssel verschiedene VLANs zuweisen und Client-Limits pro Schlüssel festlegen. Die erhebliche Einschränkung: Ab Mitte 2026 funktioniert UniFi Private PSK nur in WPA2-Netzwerken auf 2,4 GHz und 5 GHz. WPA3 und 6 GHz werden nicht unterstützt. Für kleinere Bereitstellungen ist das in Ordnung, aber es ist eine Einschränkung, die man kennen sollte, bevor man sich für eine größere UniFi-Infrastruktur entscheidet. Nun zur WPA3-Frage. Hier wird es technisch interessant. WPA2-Personal verwendet einen Vier-Wege-Handshake. Client und AP leiten einen Pairwise Transient Key aus einem gemeinsamen Pairwise Master Key ab, der wiederum aus der Passphrase abgeleitet wird. Da die PMK-Ableitung nach der RADIUS-Abfrage erfolgt, kann der AP an diesem Punkt einen gerätespezifischen Schlüssel einsetzen. Dem Standard ist das egal – er sieht einfach einen gültigen PMK. WPA3-Personal ersetzt den Vier-Wege-Handshake durch SAE – Simultaneous Authentication of Equals. SAE ist ein Diffie-Hellman-basiertes Protokoll. Beide Seiten legen vor Abschluss der Zuordnung ein gemeinsames Passwortelement fest, das aus der Passphrase abgeleitet wird. Der entscheidende Unterschied: Das Passwort muss beiden Seiten bekannt sein, bevor der SAE-Austausch beginnt. Es gibt im Protokoll keinen Punkt, an dem ein RADIUS-Server einen anderen Schlüssel pro Gerät einspeisen kann. AP und Client führen bereits einen kryptografischen Austausch mit einem einzigen gemeinsamen Wert durch. Aus diesem Grund erlaubt WPA3 in seiner Standardform derzeit nur einen Schlüssel pro SSID. Dies ist keine Firmware-Einschränkung, sondern eine Protokolleinschränkung. Die Workarounds lassen sich in drei Kategorien einteilen. Erstens der WPA3-Übergangsmodus – auch WPA2/WPA3-Mischmodus genannt. Die SSID signalisiert sowohl WPA2-PSK und WPA3-SAE. WPA2-Clients nutzen den Vier-Wege-Handshake und können gerätespezifische Schlüssel über RADIUS erhalten. WPA3-Clients nutzen SAE mit einem einzigen gemeinsamen Passwort. Dies ist der heute am weitesten verbreitete Ansatz und wird unter anderem von Cisco Meraki, HPE Aruba und Ruckus unterstützt. Zweitens proprietäre Erweiterungen. Ruckus DPSK3 ist das deutlichste Beispiel. Durch den Betrieb im WPA2/WPA3-Mischmodus mit Cloudpath als RADIUS-Backend ermöglicht DPSK3 WPA3-fähigen Geräten die Nutzung von SAE, während das System die gerätespezifische Schlüsselbindung über die Cloudpath-Integration verwaltet. Die WPA3-RADIUS-PSK-Lösung von Juniper Access Assurance verfolgt einen ähnlichen Ansatz. Mit dem MPSK-Modus mit WPA3-SAE-Transition von Fortinet können Sie WPA2-Personal- und WPA3-SAE-Schlüssel im selben MPSK-Profil mischen. Drittens der Wechsel zu 802.1X. Für verwaltete Endpunkte – Unternehmens-Laptops, Mitarbeiter-Geräte, alles, worauf Sie ein Zertifikat übertragen können – ist WPA3-Enterprise mit EAP-TLS die sauberste Lösung. Es ist vollständig kompatibel mit WPA3 und 6 GHz, bietet eine gerätespezifische Identität und lässt sich in Microsoft Entra ID, Okta und Google Workspace integrieren. Der Kompromiss liegt in der Komplexität der Bereitstellung und der Notwendigkeit einer Zertifikatsinfrastruktur. Implementierungsempfehlungen und Fallstricke. Was sollten Sie also konkret tun? Wenn Sie einen Hotelbestand mit einer Mischung aus Gäste-Geräten, IoT-Sensoren und Mitarbeiter-Geräten betreiben, ist die pragmatische Antwort im Jahr 2026 ein hybrides SSID-Design. Behalten Sie eine WPA2-Personal-SSID mit Per-Device-PSK für ältere IoT- und Gäste-Geräte bei. Betreiben Sie eine WPA3-Enterprise-SSID für Mitarbeiter-Geräte, die Sie kontrollieren. Verwenden Sie den Übergangsmodus auf Ihrer primären Gäste-SSID, um sowohl WPA2- als auch WPA3-Clients zu unterstützen, ohne die Anzahl Ihrer SSIDs zu fragmentieren. Wenn Sie Ruckus nutzen und WiFi 6- oder neuere Hardware betreiben, DPSK3 im WPA2/WPA3-Mischmodus mit Cloudpath eine Evaluierung wert. Es bietet Ihnen die Lösung, die einem nativen WPA3-Per-Device-PSK heute am nächsten kommt. Wenn Sie Fortinet nutzen, das MPSK-Profil mit WPA3-SAE-Transition einfach zu konfigurieren und bietet Ihnen einen sauberen Migrationspfad. Wenn Sie UniFi nutzen, weisen Sie Ihre Stakeholder explizit darauf hin, dass Private PSK nur für WPA2 verfügbar ist. Für Standorte, die WiFi 6E oder WiFi 7 mit 6-GHz-Funkmodulen bereitstellen, benötigen Sie eine andere Authentifizierungsstrategie für dieses Band. Der größte Fallstrick, den wir sehen, ist die Annahme von Teams, dass die Aktivierung von WPA3 auf einer bestehenden Per-Device-PSK-SSID einfach so funktioniert. Das tut es nicht. Testen Sie dies zuerst an einem Pilotstandort. Überprüfen Sie Ihre AP-Firmware-Versionen – DPSK3 erfordert beispielsweise die Firmware 7.0 oder neuer auf Ruckus. Und überprüfen Sie die Kompatibilität Ihres RADIUS-Servers – Ruckus DPSK3 im Mischmodus erfordert speziell Cloudpath, keinen generischen RADIUS-Server. Ein zweiter Fallstrick ist der Schlüssel-Wildwuchs. Per-Device-PSK eignet sich hervorragend für die Nachvollziehbarkeit, aber nur, wenn Sie über einen Prozess zum Widerrufen von Schlüsseln verfügen, wenn Geräte außer Betrieb genommen werden. Ohne Lebenszyklus-Management enden Sie mit Tausenden von verwaisten Schlüsseln und ohne Audit-Trail. Integrieren Sie Ihre Schlüsselbereitstellung vom ersten Tag an in Ihren Geräteverwaltungs-Workflow. Häufige Fragen und Antworten. Kann ich Per-Device-PSK auf einer 6-GHz-SSID verwenden? Nein. 6 GHz schreibt die ausschließliche Nutzung von WPA3 vor, und WPA3 unterstützt Per-Device-PSK nicht nativ. Verwenden Sie 802.1X oder eine separate 2,4/5-GHz-SSID für Geräte, die Per-Device-PSK benötigen. Erfüllt Per-Device-PSK die PCI-DSS-Anforderungen? Per-Device-PSK auf WPA2 kann die Anforderungen zur Netzwerksegmentierung gemäß PCI-DSS 4.0 erfüllen, wenn jeder Schlüssel einem isolierten VLAN zugeordnet ist. PCI-DSS empfiehlt jedoch dringend 802.1X für Karteninhaber-Datenumgebungen. Sprechen Sie mit Ihrem QSA. Wie hoch ist die maximale Anzahl an Schlüsseln pro SSID? Das variiert erheblich. Cisco Meraki mit ISE unterstützt sehr große Bereitstellungen. Ruckus DPSK unterstützt Zehntausende von Schlüsseln. Juniper Mist begrenzt die Anzahl auf 5.000 pro Standort. UniFi ist praktisch durch den Speicher des Controllers begrenzt. Überprüfen Sie immer die Herstellerdokumentation für Ihre spezifische Firmware-Version. Wie passt Purple hier rein? Purple fungiert als Cloud-Overlay auf Ihrer bestehenden Hardware. Wir integrieren uns mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Bei Bereitstellungen von Gäste-WiFi und Mitarbeiter-WiFi übernimmt Purple die Identitätsebene – Authentifizierung, Datenerfassung, Einwilligungsmanagement – und gibt die entsprechende VLAN- oder Richtlinienzuweisung über RADIUS oder API an Ihre Hardware zurück. Sie behalten Ihre bestehende Per-Device-PSK-Infrastruktur; Purple fügt die Identitäts- und Analyseebene darüber hinzu. Zusammenfassung und nächste Schritte. Fassen wir das zusammen. Per-Device-PSK – ob Sie es nun iPSK, DPSK, MPSK oder PPSK nennen – ist eine ausgereifte, gut unterstützte Funktion bei allen führenden Enterprise-WiFi-Herstellern. Die Implementierungen unterscheiden sich darin, wo die Schlüssel gespeichert werden, wie sie skalieren und wie sie sich in RADIUS integrieren. Das SAE-Protokoll von WPA3 stellt eine echte technische Einschränkung für Per-Device-PSK dar. Der Standard unterstützt dies nicht nativ. Die praktischen Antworten heute sind der Übergangsmodus, proprietäre Erweiterungen wie DPSK3 oder der Wechsel zu 802.1X für Geräte, die dies unterstützen. Die Zusammenfassung nach Herstellern: Cisco Meraki iPSK funktioniert gut mit ISE im RADIUS-Modus; der WPA3-Support erfolgt über den Übergangsmodus. HPE Aruba MPSK mit ClearPass ist hochgradig skalierbar; WPA3-MPSK befindet sich in aktiver Entwicklung. Ruckus DPSK3 ist die ausgereifteste verfügbare WPA3-Per-Device-PSK-Lösung. Juniper Mist Access Assurance fügt WPA3-RADIUS-PSK hinzu. Fortinet MPSK unterstützt WPA3-SAE explizit in seinen MPSK-Profilen. Extreme PPSK ist solide für lokale und RADIUS-Modi. UniFi Private PSK ist rein WPA2- und rein lokal-basiert. Für Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Per-Device-PSK-Bereitstellung, identifizieren Sie, welche Geräte WPA3-fähig sind, und entwerfen Sie eine hybride SSID-Strategie, die beide bedient. Wenn Sie eine Hardware-Modernisierung planen, priorisieren Sie WiFi 6- oder WiFi 7-APs mit bestätigtem DPSK3- oder WPA3-MPSK-Support. Wenn Sie verstehen möchten, wie sich Purple in Ihren spezifischen Hardware-Hersteller integrieren lässt, um Identitätsmanagement und Analysen auf Ihre Per-Device-PSK-Bereitstellung aufzusetzen, besuchen Sie purple.ai oder sprechen Sie mit Ihrem Account-Team. Das war's für dieses Briefing. Vielen Dank fürs Zuhören.