Warum Gäste-WiFi im Hotel-Stil in Wohngebäuden scheitert

Gäste-WiFi im Hotel-Stil scheitert in Wohngebäuden, weil es von einem kurzen Aufenthalt, einem Smartphone und einem Browser ausgeht. Eine möblierte Wohnung kann 10 oder mehr vernetzte Geräte beherbergen, von denen viele keinen Browser zur Vervollständigung eines Captive Portals haben - und die Bewohner erwarten, dass Casting und Smart-Home-Geräte funktionieren. Geben Sie stattdessen jedem Haushalt seinen eigenen iPSK-Schlüssel und sein eigenes privates Netzwerksegment.

Wie sieht das Scheitern von Gäste-WiFi in einem Wohngebäude aus?

Der Fehler äußert sich selten als totes Netzwerk. Er zeigt sich als ein ständiger Strom kleiner Beschwerden von Bewohnern, die Miete zahlen und nicht nur auf der Durchreise sind.

Typische Symptome in einem Build-to-Rent-Block (BTR), einem Studentenwohnheim oder einer Mehrfamilienhaus-Einheit (MDU):

• Der Smart-TV, der Lautsprecher oder das Thermostat lassen sich nicht verbinden. Diese Geräte haben keinen Browser, sodass sie kein Captive Portal ausfüllen können - die Web-Anmeldeseite, die ein Gästenetzwerk anzeigt, bevor der Zugriff gewährt wird.
• Casting schlägt fehl. Das Smartphone eines Bewohners kann den eigenen Chromecast- oder AirPlay-Empfänger nicht finden, oder es findet den des Nachbarn.
• Alle müssen sich jeden Tag neu anmelden. Die Portal-Sitzung läuft nach einem 24-Stunden-Timer ab, was für einen Hotelgast in Ordnung ist, aber jemanden, der dort wohnt, verärgert.
• Geräte verlieren nach einem Software-Update die Verbindung. Smartphones, die ihre Hardware-Adresse rotieren, wirken wie neue Geräte, sodass das Netzwerk sie vergisst.
• Auszüge hinterlassen aktiven Zugriff. Der Laptop eines ehemaligen Bewohners verbindet sich noch Wochen nach dem Ende des Mietverhältnisses.

Wenn Sie Hotels betreiben und Ihr Angebot auf Serviced Apartments oder Langzeitaufenthalte ausweiten, werden Sie diese Symptome zuerst auf den Etagen für Langzeitgäste feststellen.

Warum funktioniert das Gäste-WiFi im Hotel-Stil nicht für Bewohner?

Vier Design-Annahmen, die hinter dem Hotel-Gäste-WiFi stehen, treffen nicht mehr zu, sobald jemand einzieht.

Die Anzahl der Geräte ist anders

Ein Hotel-Gästenetzwerk ist für ein Smartphone und einen Laptop für ein oder zwei Nächte ausgelegt. Zählen Sie stattdessen die Geräte in einer Einzimmerwohnung: zwei Smartphones, zwei Laptops, ein Smart-TV, ein Streaming-Stick, ein Lautsprecher, eine Video-Türklingel, ein Thermostat und ein Drucker. Das sind 10 Geräte, noch bevor Besuch kommt. Jedes einzelne davon muss sich verbinden, und die meisten haben keinen Bildschirm zur Eingabe.

Headless-Geräte können kein Captive Portal nutzen

Ein Captive Portal funktioniert, indem es eine Browser-Anfrage abfängt und eine Anmeldeseite anzeigt. Ein Smart-Speaker öffnet nie einen Browser, sieht die Seite also nie und authentifiziert sich nie. Der übliche Workaround ist die Registrierung der MAC-Adresse, bei der der Bewohner die Hardware-Adresse jedes Geräts in ein Formular eintippt. Auch das funktioniert nicht zuverlässig.

Die MAC-Randomisierung hebelt die Geräte-Erkennung aus

Apple hat mit iOS 14 private Adressen pro Netzwerk eingeführt, und Android 10 randomisiert die Hardware-Adresse standardmäßig. Ein Portal, das sich Geräte anhand der MAC-Adresse merkt, verliert sie, sobald sich die Adresse ändert. Die Bewohner müssen sich neu authentifizieren und Ihr Helpdesk erhält den Anruf.

Client-Isolation blockiert das Heimnetzwerk-Erlebnis

Gästenetzwerke isolieren normalerweise die Clients, damit Fremde nicht auf die Geräte der anderen zugreifen können. Das ist in einer Hotellobby auch völlig richtig. Aber Chromecast und AirPlay finden Empfänger über Multicast DNS (mDNS, definiert in RFC 6762) - ein Erkennungsprotokoll, das nur zwischen Geräten im selben Netzwerksegment funktioniert. Bei aktiver Client-Isolierung schlägt das Streaming fehl. Schaltet man die Isolierung in einem gemeinsam genutzten Netzwerk aus, kann jeder Bewohner die Geräte aller anderen Bewohner sehen.

Vertrauen für Kurzaufenthalte ist das falsche Sicherheitsmodell

Hotel WiFi vertraut einem Gerät für die Dauer eines Aufenthalts und vergisst es dann. Resident WiFi muss den Geräten eines Haushalts für die gesamte Dauer eines Mietverhältnisses vertrauen, manchmal über Jahre hinweg. Zudem muss dieses Vertrauen zu einem bestimmten Datum entzogen werden. Ein Timer für die Portalsitzung kann keine dieser Regeln abbilden.

Wie finden Sie heraus, welche Ursache bei Ihnen vorliegt?

Ordnen Sie die Beschwerde der Ursache zu, bevor Sie Änderungen vornehmen. In den meisten Gebäuden gibt es mehr als ein Problem.

Von Bewohnern gemeldetes Symptom	Wahrscheinlichste Ursache	Bestätigungsmethode
Smart-TV oder Lautsprecher verbindet sich nicht	Captive Portal auf einem gerätelosen Display (headless)	Prüfen Sie in Ihren Controller-Protokollen, ob das Gerät jemals die Portal-Seite erreicht
Smartphone findet eigenen Chromecast nicht	Client-Isolierung blockiert mDNS	Testen Sie das Streaming mit deaktivierter Isolierung auf einer einzelnen Test-SSID
Bewohner sieht beim Streaming die Geräte der Nachbarn	Gemeinsames Flat-Netzwerk mit deaktivierter Isolierung	Suchen Sie von einem Bewohnergerät aus nach mDNS-Ankündigungen
Tägliche Logins auf jedem Gerät	Für Kurzaufenthalte konzipiertes Portal-Sitzungs-Timeout	Lesen Sie das Sitzungs-Timeout auf der Gäste-SSID aus
Geräte nach Smartphone-Update "vergessen"	MAC-Randomisierung hebelt MAC-basierten Speicher aus	Vergleichen Sie die Hardware-Adressen der Geräte vor und nach dem Update
Ehemalige Bewohner verbinden sich immer noch	Keine Verknüpfung zwischen Mietende und Netzwerkzugang	Abgleich der aktiven Zugangsdaten mit den aktuellen Mieterakten

Wenn die ersten beiden Zeilen auf Ihr Gebäude zutreffen, hilft eine Behebung des Sitzungs-Timeouts nicht weiter. Sie benötigen ein anderes Authentifizierungsmodell, kein optimiertes Portal.

Welches Authentifizierungsmodell passt zu den Bewohnern?

Die folgende Tabelle vergleicht die vier Optionen, die in Gebäuden tatsächlich genutzt werden.

Ansatz	Onboarding	Geräte ohne Display	Streaming und Smart Home	Sperrung eines Haushalts	Bestens geeignet für
Captive Portal (Hotel-Muster)	Browser-Login auf jedem Gerät, Wiederholung bei Timeout	Schlägt fehl ohne manuelle MAC-Registrierung	Durch Client-Isolierung blockiert	Warten auf das Ablaufen der Sitzungen	Hotelgäste, Einkäufer, Fans, Passagiere
Ein gemeinsames Passwort pro Gebäude	Ein Passwort für alle	Verbinden möglich	Funktioniert, aber jeder Bewohner sieht jedes Gerät	Passwort für das gesamte Gebäude ändern	Keine Mehrparteienhäuser
iPSK pro Haushalt	Ein einzigartiges Passwort pro Wohnung	Verbinden möglich	Funktioniert nur innerhalb des Haushaltssegments	Einzelnen Schlüssel löschen	BTR, Studentenwohnheime, MDU, Langzeitaufenthalte

iPSK (Identity Pre-Shared Key) betreibt ein einzelnes WPA2-Personal-Netzwerk, bei dem jeder Haushalt seine eigene Passphrase erhält. Wenn sich ein Gerät anmeldet, identifiziert ein RADIUS-Server - der Authentifizierungsdienst, der die Anmeldedaten überprüft -, welcher Schlüssel verwendet wurde. Das Netzwerk weist das Gerät dann dem VLAN (einem virtuellen Netzwerksegment) dieses Haushalts zu. Jedes Gerät, das ein Bewohner besitzt, ob mit oder ohne Bildschirm, verbindet sich einmalig mit einer Passphrase, die es bereits versteht.

Das Ergebnis ist eine private Netzwerkblase pro Wohnung. Das Smartphone eines Bewohners findet seinen eigenen Chromecast, da sich beide im selben Segment befinden. Es kann die Wohnung nebenan nicht sehen, da dieser Haushalt einen anderen Schlüssel besitzt und sich in einem anderen Segment befindet.

IEEE 802.1X ist pro Person sicherer, aber die meisten Smart-TVs, Lautsprecher und Thermostate können es nicht nutzen. Behalten Sie es für Mitarbeiter-Netzwerke vor.

Wie richten Sie das auf Cisco Meraki, HPE Aruba, Ruckus und anderer Hardware ein?

Sie benötigen keine neuen Access Points. Jeder große Hersteller unterstützt die Authentifizierung pro Schlüssel unter eigenem Namen:

• Cisco Meraki: Identity PSK (iPSK)
• HPE Aruba: MPSK (Multiple Pre-Shared Key)
• Ruckus: DPSK (Dynamic Pre-Shared Key)
• Juniper Mist: Multi PSK
• Ubiquiti UniFi: Private Pre-Shared Keys
• Cambium: ePSK
• Extreme: PPSK (Private Pre-Shared Key)
• Fortinet: MPSK

Prüfen Sie vor dem Wechsel zwei Dinge in der Dokumentation Ihres Herstellers. Bestätigen Sie erstens die maximale Anzahl von Schlüsseln pro SSID auf Ihrer Controller-Version. Bestätigen Sie zweitens, ob WPA3-Personal mit der Authentifizierung pro Schlüssel unterstützt wird, da viele Implementierungen noch auf WPA2-Personal laufen.

Das Multi-Tenant-WiFi von Purple läuft als Cloud-Overlay auf dieser Hardware, sodass kein Austausch der Infrastruktur erforderlich ist. Purple stellt den Cloud-RADIUS-Service bereit, der jeden Schlüssel dem jeweiligen Haushalt zuordnet. Sie verwalten die Schlüssel aller Gebäude über eine einzige Benutzeroberfläche. Purple ist nach ISO 27001 zertifiziert und GDPR-konform, und die Plattform läuft an über 80.000 aktiven Standorten (eigene Daten von Purple).

Nutzen Sie Ihr Gäste-Netzwerk weiterhin für Besucher. Das Guest WiFi von Purple erstellt einen WiFi-Besucherdatensatz für jeden Besucher, der eine Verbindung herstellt. Dieser Datensatz enthält die besuchten Standorte, die Anzahl der Besuche und die Verbindungsmethode gemäß dem WiFi-Besucher-Support-Artikel von Purple. Das eignet sich für eine Lobby oder ein Café im Erdgeschoss, nicht jedoch für die Heimverbindung eines Bewohners.

Praxisbeispiel: Ein Hotel fügt eine Etage für Langzeitaufenthalte hinzu

Situation. Ein Stadthotel mit 180 Zimmern hat eine Etage in 40 Serviced Apartments für Aufenthalte von einem bis sechs Monaten umgewandelt. Langzeitgäste nutzten die vorhandene Gäste-SSID mit einem Captive Portal, Client-Isolierung und einem 24-stündigen Sitzungs-Timeout.Was getan wurde. Das Hotel behielt die Portal-SSID für Kurzaufenthaltszimmer und die Lobby bei. Es fügte eine iPSK-SSID für die Etage mit Langzeitaufenthalten hinzu, mit 40 Keys, von denen jeder seinem eigenen VLAN zugeordnet war. Die Keys wurden beim Check-in ausgegeben und beim Check-out gelöscht.

Ergebnis. Die Logins pro Langzeitgast sanken von sieben pro Woche auf einen einzigen bei der Ankunft. Smart-TVs und Streaming-Geräte konnten sich beim ersten Versuch verbinden, da sie nicht mehr auf ein Portal stießen. Beim Check-out entfernte das Löschen eines einzigen Keys jedes Gerät, das in diesem Apartment verbunden war.

Praxisbeispiel: Universitätswohnheime ersetzen MAC-Registrierung

Situation. Eine staatliche Universität betrieb ein Wohnheim mit 600 Betten über ein Captive Portal. Die Studierenden registrierten Spielkonsolen und Smart-Speaker, indem sie jede MAC-Adresse manuell in ein Webformular eintrugen. Randomisierte Adressen auf Smartphones führten dazu, dass in jedem Semester eine Neuregistrierung erforderlich war.

Was getan wurde. Die IT gab pro Studierendenunterkunft einen iPSK-Key auf den bestehenden Access Points aus. Jeder Studierende erhielt seinen Key zusammen mit der Zimmerzuweisung. Die Keys wurden mit dem Enddatum des Mietvertrags verknüpft.

Ergebnis. Die manuellen MAC-Registrierungen sanken auf Null, da Konsolen und Lautsprecher sich jetzt über ein Passwort verbinden. Am Ende des akademischen Jahres sperrte die IT alle 600 Keys in einem einzigen Durchgang, anstatt einzelnen Gerätedatensätzen hinterherzujagen.

Wie verhindert man, dass es wieder passiert?

Gestalten Sie das Bewohnernetzwerk rund um das Mietverhältnis, nicht um den Besuch.

1. Trennen Sie die Netzwerke nach Zielgruppen. Betreiben Sie eine Gäste-SSID mit einem Portal für Besucher und eine iPSK-SSID für Bewohner. Halten Sie die Anzahl der SSIDs gering, da jede zusätzliche SSID den Beacon-Verkehr erhöht und Bandbreite verbraucht.
2. Verknüpfen Sie Keys mit Einzügen, Umzügen und Auszügen. Geben Sie beim Einzug einen Key aus, weisen Sie ihn neu zu, wenn ein Bewohner die Wohneinheit wechselt, und sperren Sie ihn am Enddatum des Mietvertrags. Das Multi-Tenant WiFi von Purple verwaltet diesen Lebenszyklus zentral.
3. Planen Sie die Kapazität pro Apartment, nicht pro Kopf. Dimensionieren Sie jede Einheit für die gesamte Anzahl der Geräte, einschließlich Streaming zu den Spitzenzeiten am Abend.
4. Halten Sie die Datenmodelle getrennt. Gast-WiFi dient unter anderem dazu, First-Party-Daten durch bewusste Opt-ins zu generieren. Bewohner-WiFi ist eine Dienstleistung, die Sie im Rahmen des Mietverhältnisses erbringen, führen Sie daher keine Marketing-Datenerfassung darauf durch. Wenn Sie verstehen möchten, wie Gemeinschaftsflächen genutzt werden, lesen Sie Presence analytics vs engagement analytics. Wenn Sie HPE Aruba nutzen, lesen Sie HPE Aruba Central presence analytics: setup, exports and limits.
5. Wenden Sie dasselbe Muster in gemischt genutzten Objekten an. Ein Gebäude mit Retail-Einheiten im Erdgeschoss oder Personalunterkünften auf einem Healthcare-Campus benötigt ein Portal für die Öffentlichkeit und iPSK für die Menschen, die dort leben.

Häufig gestellte Fragen

Kann ich ein Captive Portal für Bewohner nutzen?

Nein, nicht als Hauptnetzwerk für Bewohner. Ein Captive Portal erfordert einen Browser auf jedem Gerät, und Smart-TVs, Lautsprecher und Thermostate besitzen keinen. Zudem laufen Portal-Sitzungen ab und vergessen Geräte, deren Hardware-Adressen rotieren. Nutzen Sie ein Portal für Besucher und Kurzzeitgäste. Bieten Sie Bewohnern stattdessen einen iPSK-Schlüssel pro Haushalt an, sodass sich jedes Gerät einmalig verbindet und für die gesamte Dauer des Mietverhältnisses verbunden bleibt.

Funktioniert iPSK auf den Access Points, die ich bereits besitze?

Ja, sofern Sie einen aktuellen Controller eines führenden Herstellers nutzen. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet unterstützen alle die Authentifizierung pro Schlüssel unter ihren eigenen Funktionsbezeichnungen. Prüfen Sie die Dokumentation Ihres Herstellers bezüglich der maximalen Schlüsselanzahl pro SSID auf Ihrer Controller-Version. Purple läuft als Cloud-Overlay auf dieser Hardware - Sie müssen also keine Access Points austauschen, um Bewohner auf iPSK umzustellen.

Können Gäste-WiFi und Bewohner-WiFi auf denselben Access Points laufen?

Ja. Betreiben Sie diese als separate SSIDs auf denselben Access Points, die jeweils ihren eigenen VLANs zugeordnet sind. Besucher sehen das Gästenetzwerk mit seinem Captive Portal, während Bewohner dem iPSK-Netzwerk mit ihrem Haushaltsschlüssel beitreten. Halten Sie die Gesamtzahl der SSIDs niedrig, da jede zusätzliche SSID Beacon-Traffic verursacht, der auf jedem sendenden Access Point Sendezeit beansprucht.

Was passiert mit den Geräten eines Bewohners, wenn dieser auszieht?

Sie deautorisieren deren Schlüssel und jedes Gerät, das diesen genutzt hat, verliert den Zugriff. Da jeder Haushalt ein eigenes Passwort besitzt, entfernt eine einzige Löschung das Telefon, den Laptop, den Fernseher und den Lautsprecher gemeinsam, ohne andere Bewohner zu beeinträchtigen. Verknüpfen Sie die Deaktivierung des Schlüssels mit dem Enddatum des Mietvertrags, sodass der Zugriff genau am Tag des Vertragsendes erlischt und nicht erst dann, wenn jemand daran denkt, ein Passwort zu ändern.

Ist iPSK so sicher wie 802.1X?

Nein, aber es ist die richtige Lösung für private Geräte von Bewohnern. IEEE 802.1X weist jeder Person ein individuelles Anmeldedatum zu, was sich ideal für Laptops von Mitarbeitern eignet. Die meisten Smart-TVs und Lautsprecher können dies jedoch nicht nutzen, weshalb es in Wohnungen scheitert. iPSK bietet jedem Haushalt einen eindeutigen Schlüssel und isoliert ihn in einem eigenen VLAN - ein kompromittierter Schlüssel gefährdet somit nur eine Wohnung, nicht das gesamte Gebäude. Nutzen Sie 802.1X für Mitarbeiter und iPSK für Bewohner.

Wie unterscheidet sich die DSGVO bei Bewohner-WiFi?

Unter der UK GDPR und DSGVO ist die Verbindung eines Bewohners eine Dienstleistung, die Sie im Rahmen des Mietvertrags erbringen. Die Rechtsgrundlage ist daher wahrscheinlich die Vertragserfüllung gemäß Artikel 6(1)(b) und nicht eine Marketing-Einwilligung. Gäste-WiFi erfasst in der Regel Marketingdaten mit Opt-ins. Halten Sie beides getrennt - führen Sie keine Marketing-Datenerfassung im Bewohnernetzwerk durch. Purple ist ISO 27001 zertifiziert sowie DSGVO-konform und verarbeitet die Daten des Bewohnernetzwerks auf dieser Basis.

Wie viel Aufwand bedeutet der Wechsel von einem Portal zu iPSK?

Es handelt sich um eine Konfigurationsänderung und nicht um ein Hardwareprojekt. Sie erstellen eine iPSK SSID auf Ihrem vorhandenen Controller, verbinden diese mit einem RADIUS-Dienst wie dem Cloud-RADIUS von Purple und ordnen Schlüssel den VLANs der Haushalte zu. Die größere Aufgabe ist betrieblicher Natur: die Ausgabe von Schlüsseln beim Einzug und die Verknüpfung des Widerrufs mit dem Ende des Mietverhältnisses. Betreiben Sie das Portal und die iPSK-Netzwerke während der Umstellung parallel, damit kein Bewohner den Zugang verliert.