Per-Device PSK nach Hersteller: iPSK, DPSK, MPSK und PPSK im Vergleich (und WPA3 Support)

Per-Device PSK nach Hersteller: iPSK, DPSK, MPSK und PPSK im Vergleich, und WPA3-Support. Ein technisches Briefing von Purple. Einführung und Kontext. Willkommen zur Reihe der technischen Briefings von Purple. Ich werde Sie durch eines der praktisch wichtigsten - und am häufigsten missverstandenen - Themen im Bereich Enterprise-WiFi führen: gerätespezifische Pre-Shared Keys. Konkret vergleichen wir, wie die einzelnen großen Hersteller diese Funktion implementieren, wie sie sie nennen, wie sie unter der Haube tatsächlich funktioniert und - ganz entscheidend - was passiert, wenn Sie auf WPA3 umsteigen möchten. Wenn Sie IT-Manager, Netzwerkarchitekt oder Leiter des Standortbetriebs sind und WiFi in einem Hotelkomplex, einer Einzelhandelskette, einem Stadion oder einem Campus im öffentlichen Sektor betreiben, ist dieses Briefing genau das Richtige für Sie. Sie haben wahrscheinlich schon den Buchstabensalat gehört: iPSK, DPSK, MPSK, PPSK. Sie alle beziehen sich auf dasselbe Konzept - jedem Gerät oder Benutzer sein eigenes, eindeutiges Passwort auf einer einzigen SSID zuzuweisen - aber die Implementierungen unterscheiden sich erheblich, und diese Unterschiede spielen eine Rolle, wenn Sie Ihre nächste Infrastrukturaktualisierung planen. Lassen Sie uns mit den Grundlagen beginnen, uns dann durch die einzelnen Hersteller arbeiten und mit der WPA3-Frage abschließen, mit der sich derzeit alle beschäftigen. Technischer Deep-Dive. Was also ist ein gerätespezifischer PSK und warum gibt es ihn? Klassisches WPA2-Personal verwendet eine einzige gemeinsame Passphrase für eine gesamte SSID. Jeder in Ihrem Gastnetzwerk nutzt dasselbe Passwort. Das führt zu zwei Problemen. Erstens können Sie den Zugriff für ein einzelnes Gerät nicht widerrufen, ohne das Passwort für alle anderen zu ändern. Zweitens haben Sie keine gerätespezifische Sichtbarkeit oder Richtliniendurchsetzung. Ein gerätespezifischer PSK löst beide Probleme. Jedes Gerät oder jeder Benutzer erhält eigene Anmeldedaten. Sie können einen Key widerrufen, ohne die anderen zu beeinträchtigen. Sie können pro Key verschiedene VLANs, Bandbreitenrichtlinien oder Zugriffszeiten zuweisen. Es ist der Mittelweg zwischen der Einfachheit von WPA2-Personal und der Komplexität einer vollständigen 802.1X-Enterprise-Authentifizierung. Sehen wir uns nun an, wie die einzelnen Hersteller dies umsetzen. Cisco Meraki nennt es iPSK - Identity Pre-Shared Key. Meraki unterstützt zwei Modi. Ohne RADIUS konfigurieren Sie bis zu fünf eindeutige PSKs direkt im Meraki-Dashboard, die jeweils einem VLAN zugeordnet sind. Das ist schnell eingerichtet und erfordert keine externe Infrastruktur. Mit RADIUS - in der Regel Cisco ISE - können Sie auf Tausende von Keys skalieren. Der Client stellt eine Verbindung her, der AP sendet die MAC-Adresse und einen PSK-Hinweis an den RADIUS-Server, der Server gibt den korrekten gerätespezifischen Key zurück, und der standardmäßige WPA2-Vier-Wege-Handshake wird mit diesem Key als Pairwise Master Key abgeschlossen. Die entscheidende Erkenntnis hierbei ist, dass der RADIUS-Server die Abfrage durchführt, nicht der AP. Der AP ermöglicht lediglich den Austausch. HPE Aruba nennt es MPSK - Multiple Pre-Shared Key. Aruba Central und Aruba Instant unterstützen MPSK in zwei Modi: MPSK Local, bei dem die Schlüssel auf dem Controller oder AP-Cluster gespeichert werden, und MPSK mit ClearPass, der RADIUS- und Policy-Engine von Aruba. ClearPass kann Zehntausende von Schlüsseln verwalten, dynamische VLANs zuweisen und rollenbasierte Richtlinien pro Schlüssel anwenden. Der Authentifizierungsablauf entspricht im Wesentlichen dem RADIUS-Modus von Meraki - ein MAC-basierter Lookup gibt den gerätespezifischen Schlüssel vor dem Four-Way-Handshake zurück. Ruckus - heute Teil von CommScope - nennt es DPSK, Dynamic Pre-Shared Key. Dies ist wohl die ausgereifteste Implementierung auf dem Markt. Ruckus DPSK ist seit den frühen SmartZone-Tagen verfügbar. Im lokalen Modus läuft der DPSK-Dienst auf dem Controller und verwaltet die Schlüsseldatenbank. Im RADIUS-Modus lässt er sich in Cloudpath integrieren, die eigene Netzwerkzugriffskontrollplattform von Ruckus. Was Ruckus besonders macht, ist DPSK3 - ihre WPA3-Erweiterung von DPSK, auf die wir gleich noch zurückkommen werden. DPSK3 ist auf WiFi 6-, 6E- und 7-Access Points mit der Firmware 7.0 oder neuer verfügbar und läuft im WPA2 / WPA3-Mischmodus. Juniper Mist nennt es PPSK - Private Pre-Shared Key - oder manchmal Multi-PSK. Mist speichert Schlüssel in der Cloud, in der Mist-Organisations- oder Standort-Schlüsseldatenbank, mit einem Limit von 5.000 Schlüsseln pro Standort. Schlüssel können pro Benutzer, pro Gerät oder pro Gruppe zugewiesen werden. Mist lässt sich auch in seinen Access Assurance-Dienst - die Cloud-native NAC - integrieren, was einen RADIUS-basierten PSK-Lookup hinzufügt. Entscheidend ist, dass Juniper die WPA3 RADIUS PSK-Unterstützung durch Access Assurance angekündigt hat, sodass eine einzige WPA3-Personal SSID mehrere Passphrasen bedienen kann. Dies ist eine der zukunftsweisendsten Implementierungen auf dem Markt. Extreme Networks - die Aerohive übernommen haben - nennt es PPSK, Private Pre-Shared Key, über ExtremeCloud IQ. Die Implementierung von Extreme unterstützt die lokale Schlüsselspeicherung auf dem AP selbst, was für Filialen oder Außenstellen mit eingeschränkter Konnektivität nützlich ist. Sie unterstützt auch den RADIUS-basierten Lookup über den Cloud-RADIUS-Dienst von ExtremeCloud IQ. Eine MAC-Bindung ist verfügbar, die einen PPSK für zusätzliche Sicherheit an eine bestimmte Geräte-MAC-Adresse bindet. Fortinet nennt es MPSK, Multiple Pre-Shared Key, verwaltet über FortiAP und den drahtlosen Controller FortiGate. Die Implementierung von Fortinet ist bemerkenswert, da sie in ihren MPSK-Profilen - ab der FortiAP-Firmware 8.0 - explizit die Sicherheitsmodi WPA3-SAE und WPA3-SAE-Transition unterstützt. Sie können ein MPSK-Profil mit WPA3-SAE-Schlüsseln erstellen, diese einem VAP zuweisen und eine dynamische VLAN-Zuweisung pro Schlüssel aktivieren. Dies ist eine der saubereren WPA3 MPSK-Implementierungen, die heute verfügbar sind. Ubiquiti UniFi nennt es Private Pre-Shared Keys oder Private PSK. Die Implementierung von UniFi ist nur lokal - die Schlüssel werden im UniFi Network Controller gespeichert und nicht auf einem externen RADIUS-Server. Sie können pro Schlüssel verschiedene VLANs zuweisen und Client-Limits festlegen. Die wesentliche Einschränkung: Seit Mitte 2026 funktioniert UniFi Private PSK nur auf WPA2-Netzwerken mit 2,4 GHz und 5 GHz. WPA3 und 6 GHz werden nicht unterstützt. Für kleinere Implementierungen ist das in Ordnung, aber es ist eine Einschränkung, die man kennen sollte, bevor man sich für eine größere UniFi-Umgebung entscheidet. Nun zur WPA3-Frage. Hier wird es technisch interessant. WPA2-Personal nutzt einen Vier-Wege-Handshake. Der Client und der AP leiten einen Pairwise Transient Key von einem gemeinsamen Pairwise Master Key ab, der wiederum aus dem Passphrase abgeleitet wird. Da die PMK-Ableitung nach dem RADIUS-Lookup erfolgt, kann der AP an diesem Punkt einen gerätespezifischen Schlüssel einsetzen. Dem Standard ist das egal - er sieht einfach einen gültigen PMK. WPA3-Personal ersetzt den Vier-Wege-Handshake durch SAE - Simultaneous Authentication of Equals. SAE ist ein auf Diffie-Hellman basierendes Protokoll. Beide Seiten verpflichten sich auf ein gemeinsames Passwort-Element, das aus dem Passphrase abgeleitet wird, bevor die Zuordnung abgeschlossen ist. Der entscheidende Unterschied: Das Passwort muss beiden Seiten bekannt sein, bevor der SAE-Austausch beginnt. Es gibt im Protokoll keinen Punkt, an dem ein RADIUS-Server einen unterschiedlichen Schlüssel pro Gerät einschleusen kann. Der AP und der Client führen bereits einen kryptografischen Tanz mit einem einzigen gemeinsamen Wert auf. Aus diesem Grund erlaubt WPA3 in seiner Standardform derzeit nur einen Schlüssel pro SSID. Das ist keine Firmware-Einschränkung. Es ist eine Einschränkung des Protokolls. Die Workarounds lassen sich in drei Kategorien einteilen. Erstens: Der WPA3-Übergangsmodus - auch WPA2 / WPA3-Mischmodus genannt. Die SSID signalisiert sowohl WPA2-PSK als auch WPA3-SAE. WPA2-Clients nutzen den Vier-Wege-Handshake und können gerätespezifische Schlüssel über RADIUS erhalten. WPA3-Clients nutzen SAE mit einem einzigen gemeinsamen Passwort. Dies ist der heute am weitesten verbreitete Ansatz und wird unter anderem von Cisco Meraki, HPE Aruba und Ruckus unterstützt. Zweitens: Proprietäre Erweiterungen. Ruckus DPSK3 ist das deutlichste Beispiel. Durch den Betrieb im WPA2 / WPA3-Mischmodus mit Cloudpath als RADIUS-Backend ermöglicht DPSK3 WPA3-fähigen Geräten die Nutzung von SAE, während das System die gerätespezifische Schlüsselbindung über die Cloudpath-Integration verwaltet. Der WPA3 RADIUS PSK von Juniper Access Assurance verfolgt einen ähnlichen Ansatz. Fortinet MPSK mit WPA3-SAE-Übergangsmodus ermöglicht es Ihnen, WPA2-Personal- und WPA3-SAE-Schlüssel im selben MPSK-Profil zu mischen. Drittens: Der Wechsel zu 802.1X. Für verwaltete Endgeräte - Unternehmens-Laptops, Mitarbeitergeräte, alles, worauf Sie ein Zertifikat übertragen können - ist WPA3-Enterprise mit EAP-TLS die saubere Antwort. Es ist vollständig kompatibel mit WPA3 und 6 GHz, bietet eine gerätespezifische Identität und lässt sich in Microsoft Entra ID, Okta und Google Workspace integrieren. Der Kompromiss liegt in der Komplexität der Bereitstellung und der Notwendigkeit einer Zertifikatsinfrastruktur. Implementierungsempfehlungen und Fallstricke. Was sollten Sie also konkret tun? Wenn Sie eine Hotelanlage mit einer Mischung aus Gastgeräten, IoT-Sensoren und Mitarbeitergeräten betreiben, ist die pragmatische Antwort im Jahr 2026 ein hybrides SSID-Design. Behalten Sie eine WPA2-Personal SSID mit iPSK für ältere IoT- und Gastgeräte bei. Betreiben Sie eine WPA3-Enterprise SSID für Mitarbeitergeräte, die Sie kontrollieren. Nutzen Sie den Transition Mode auf Ihrer primären Gast-SSID, um sowohl WPA2- als auch WPA3-Clients zu unterstützen, ohne die Anzahl Ihrer SSIDs zu fragmentieren. Wenn Sie Ruckus verwenden und Wi-Fi 6 oder neuere Hardware betreiben, ist DPSK3 im WPA2 / WPA3 Mixed Mode mit Cloudpath eine Evaluierung wert. Es bietet Ihnen die am nächsten an ein natives WPA3 iPSK herankommende Lösung, die heute verfügbar ist. Wenn Sie Fortinet nutzen, ist das MPSK-Profil mit WPA3-SAE Transition einfach zu konfigurieren und bietet Ihnen einen sauberen Migrationspfad. Wenn Sie UniFi verwenden, machen Sie Ihren Stakeholdern unmissverständlich klar, dass Private PSK nur mit WPA2 funktioniert. Für Standorte, an denen Wi-Fi 6E oder Wi-Fi 7 mit 6-GHz-Funkmodulen bereitgestellt wird, benötigen Sie eine andere Authentifizierungsstrategie für dieses Frequenzband. Die größte Falle, die wir beobachten, ist die Annahme von Teams, dass die Aktivierung von WPA3 auf einer bestehenden iPSK SSID einfach so funktioniert. Das tut es nicht. Testen Sie dies zuerst an einem Pilotstandort. Überprüfen Sie Ihre AP-Firmware-Versionen - DPSK3 erfordert beispielsweise auf Ruckus die Firmware 7.0 oder höher. Und prüfen Sie die Kompatibilität Ihres RADIUS-Servers - Ruckus DPSK3 im Mixed Mode erfordert speziell Cloudpath und keinen generischen RADIUS-Server. Eine zweite Falle ist die unkontrollierte Zunahme von Schlüsseln. iPSK eignet sich hervorragend für die Rechenschaftspflicht, aber nur, wenn Sie einen Prozess haben, um Schlüssel zu widerrufen, wenn Geräte außer Betrieb genommen werden. Ohne Lifecycle-Management enden Sie mit Tausenden von verwaisten Schlüsseln und ohne Audit-Trail. Integrieren Sie Ihre Schlüsselbereitstellung vom ersten Tag an in Ihren Geräte-Management-Workflow. Schnelle Fragen und Antworten. Kann ich iPSK auf einer 6-GHz-SSID verwenden? Nein. 6 GHz schreibt ausschließlich WPA3 vor, und WPA3 unterstützt nativ kein iPSK. Verwenden Sie 802.1X oder eine separate 2,4 / 5 GHz SSID für Geräte, die iPSK benötigen. Erfüllt iPSK die PCI-DSS-Anforderungen? iPSK auf WPA2 kann die Anforderungen der Netzsegmentierung nach PCI-DSS 4.0 erfüllen, wenn jeder Schlüssel einem isolierten VLAN zugewiesen ist. PCI-DSS empfiehlt jedoch dringend 802.1X für Karteninhaber-Datenumgebungen. Stimmen Sie sich mit Ihrem QSA ab. Wie hoch ist die maximale Anzahl an Schlüsseln pro SSID? Dies variiert erheblich. Cisco Meraki mit ISE unterstützt sehr große Bereitstellungen. Ruckus DPSK unterstützt Zehntausende von Schlüsseln. Juniper Mist ist auf 5.000 pro Standort begrenzt. UniFi ist effektiv durch den Speicher des Controllers limitiert. Prüfen Sie immer die Dokumentation des Herstellers für Ihre spezifische Firmware-Version.Wie fügt sich Purple hier ein? Purple fungiert als Cloud-Overlay über Ihrer bestehenden Hardware. Wir integrieren uns mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Bei Implementierungen von Guest WiFi und Staff WiFi übernimmt Purple die Identitätsebene - Authentifizierung, Datenerfassung, Einwilligungsmanagement - und übergibt die entsprechende VLAN- oder Richtlinienzuweisung über RADIUS oder API zurück an Ihre Hardware. Sie behalten Ihre bestehende gerätespezifische PSK-Infrastruktur bei; Purple fügt die Identitäts- und Analyseebene darüber hinzu. Zusammenfassung und nächste Schritte. Fassen wir das Ganze zusammen. Gerätespezifisches PSK - ob Sie es nun iPSK, DPSK, MPSK oder PPSK nennen - ist eine ausgereifte, gut unterstützte Funktion bei allen großen Anbietern von Enterprise WiFi. Die Implementierungen unterscheiden sich darin, wo Schlüssel gespeichert werden, wie sie skalieren und wie sie sich in RADIUS integrieren. Das SAE-Protokoll von WPA3 stellt eine echte technische Einschränkung für gerätespezifisches PSK dar. Der Standard unterstützt dies nicht nativ. Die praktischen Lösungen heute sind der Übergangsmodus, proprietäre Erweiterungen wie DPSK3 oder der Wechsel zu 802.1X für Geräte, die dies unterstützen. Die Zusammenfassung nach Herstellern: Cisco Meraki iPSK funktioniert gut mit ISE im RADIUS-Modus; die WPA3-Unterstützung erfolgt über den Übergangsmodus. HPE Aruba MPSK mit ClearPass ist hochgradig skalierbar; WPA3 MPSK befindet sich in der aktiven Entwicklung. Ruckus DPSK3 ist die ausgereifteste verfügbare WPA3-Lösung für gerätespezifisches PSK. Juniper Mist Access Assurance fügt WPA3 RADIUS PSK hinzu. Fortinet MPSK unterstützt explizit WPA3-SAE in seinen MPSK-Profilen. Extreme PPSK ist solide für lokale und RADIUS-Modi. UniFi Private PSK ist nur für WPA2 und nur lokal verfügbar. Für Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle gerätespezifische PSK-Bereitstellung, identifizieren Sie, welche Geräte WPA3-fähig sind, und entwerfen Sie eine hybride SSID-Strategie, die beide bedient. Wenn Sie eine Hardware-Aktualisierung planen, priorisieren Sie WiFi 6 oder WiFi 7 APs mit bestätigter DPSK3- oder WPA3-MPSK-Unterstützung. Wenn Sie verstehen möchten, wie sich Purple in Ihren spezifischen Hardware-Hersteller integrieren lässt, um eine Identitätsverwaltung und Analyse auf Ihre gerätespezifische PSK-Bereitstellung aufzusetzen, besuchen Sie purple.ai oder sprechen Sie mit Ihrem Account-Team. Das war es für dieses Briefing. Vielen Dank fürs Zuhören.