PPSK umpsa: Vergleich von Funktionen und Bereitstellungsmodellen

[0:00 - 1:00] Einführung & Kontext Willkommen beim Purple Technical Briefing. Heute befassen wir uns mit PPSK – Private Pre-Shared Key – insbesondere im Kontext von Multi-Tenant-Wohngebäuden und gemischt genutzten Objekten. Wenn Sie Projektentwickler, Build-to-Rent-Betreiber oder Verwalter eines Portfolios von Studentenwohnheimen sind, ist dies direkt relevant für Entscheidungen, die Sie in diesem Jahr treffen werden. Beginnen wir mit den Grundlagen, denn die Terminologie ist hier wirklich verwirrend. PPSK hat je nach Anbieter verschiedene Namen. Aruba nennt es PPSK. Cisco Meraki nennt es Personal Private Network. Extreme Networks verwendet den Begriff Private PSK. Juniper Mist und Cambium nutzen ePSK. Ubiquiti UniFi nennt es Private Pre-Shared Keys. Sie alle beschreiben dasselbe Konzept: Anstatt dass sich alle Benutzer ein einziges Passwort teilen, erhält jeder Benutzer oder jede Gruppe eigene, eindeutige Anmeldedaten. [1:00 - 6:00] Technischer Deep-Dive Warum ist das wichtig? Denken Sie an ein herkömmliches gemeinsam genutztes Passwort für ein Gebäude-WiFi. Jeder Bewohner nutzt denselben Schlüssel. Wenn jemand auszieht, haben Sie zwei Möglichkeiten: Entweder Sie lassen den Zugang aktiv, was ein Sicherheitsrisiko darstellt, oder Sie ändern das Passwort für alle, was die Geräte aller anderen Bewohner trennt, bis sie sich neu verbinden. Keine der beiden Optionen ist im großen Stil akzeptabel. PPSK löst dieses Problem vollständig. Sie entziehen einen Schlüssel, ein Bewohner verliert den Zugang. Alle anderen sind völlig unbeeinträchtigt. Es gibt hier drei verschiedene Bereitstellungsmodelle, die man kennen sollte. Die Wahl des falschen Modells für Ihren Kontext wird Sie im Betrieb teuer zu stehen kommen. Das erste ist der standardmäßige, gemeinsam genutzte PSK – das traditionelle, einzige Passwort für alle. Es ist am einfachsten einzurichten und für ein Heimnetzwerk völlig in Ordnung. In einem Multi-Tenant-Gebäude ist es in jedem nennenswerten Umfang praktisch unbrauchbar. Ein einziges durchgesickertes Passwort gefährdet das gesamte Netzwerk. Keine VLAN-Isolierung zwischen den Bewohnern. Kein individueller Entzug. Vermeiden Sie es. Das zweite Modell ist PPSK auf Gruppenebene. Hier weisen Sie jeder Gruppe ein eindeutiges Passwort zu – vielleicht jeder Etage, jeder Abteilung in einem Bürogebäude oder jeder Immobilie in einem Portfolio. Dies ermöglicht Ihnen eine VLAN-Segmentierung und einen Entzug auf Gruppenebene. Es eignet sich gut für Veranstaltungen, Konferenzen und Büroumgebungen, in denen Sie eine Trennung nach Abteilungen ohne die Komplexität pro Benutzer wünschen. Der betriebliche Aufwand ist gering, und Sie benötigen nicht zwingend einen RADIUS-Server – viele Access Points unterstützen Gruppen-PPSK nativ. Das dritte Modell – und dasjenige, das wir für BTR, Studentenwohnheime und alle Wohnprojekte empfehlen – ist iPSK pro Benutzer. Identity Pre-Shared Key. Jeder einzelne Bewohner erhält seine eigenen, eindeutigen Anmeldedaten. Alle seine Geräte nutzen diese Anmeldedaten, was sie in ihr eigenes privates VLAN einordnet – ihre eigene WiFi-Blase. Ihr Smartphone sieht ihren Smart-TV, ihr Laptop sieht ihren Chromecast, ihr Smart Speaker koppelt sich mit ihren Lampen. Aber sie können die Geräte anderer Bewohner nicht sehen, obwohl sich alle auf demselben physischen Access Point und derselben SSID befinden. Dies ist die Architektur, mit der verwaltetes WiFi als Wohnkomfort wirklich funktioniert. Das Bewohnererlebnis ist identisch mit dem eines eigenen Breitband-Routers zu Hause. Der Betreiber behält die volle Kontrolle über die Infrastruktur. Lassen Sie mich Ihnen die technische Architektur erläutern, denn dieses Verständnis hilft Ihnen, Anbietern und Integratoren die richtigen Fragen zu stellen. Bei einer PPSK-Bereitstellung ohne RADIUS hält der Access Point selbst eine lokale Datenbank mit Schlüsseln und den zugehörigen VLAN-Zuweisungen. Wenn sich ein Gerät verbindet, schlägt der AP den Schlüssel nach, ermittelt, welchem VLAN er zugeordnet ist, und platziert das Gerät dort. Dies funktioniert gut bei kleineren Bereitstellungen – bis zu einigen hundert Schlüsseln auf den meisten Enterprise-Access-Points. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet unterstützen alle eine Variante davon. Für größere Bereitstellungen – ein BTR-Gebäude mit zweihundert Wohneinheiten, ein Studentenwohnheim mit tausend Betten – benötigen Sie ein RADIUS-gestütztes PPSK. Der Access Point leitet die Anmeldedaten an den RADIUS-Server weiter, der sie mit einem Verzeichnis abgleicht, die entsprechende VLAN-Zuweisung zurückgibt und der AP platziert das Gerät entsprechend. Dies lässt sich auf Zehntausende von Schlüsseln skalieren, lässt sich in Identitätsanbieter wie Microsoft Entra ID, Okta oder Google Workspace integrieren und bietet Ihnen eine zentrale Audit-Protokollierung – was für die GDPR-Compliance wichtig ist. Apropos Compliance – dies ist ein Bereich, in dem die Wahl des Bereitstellungsmodells echte rechtliche Auswirkungen hat. Gemäß der GDPR sind Sie verpflichtet, die Daten der Bewohner zu schützen. Wenn Bewohner A den Netzwerkverkehr von Bewohner B sehen kann, ist das ein Datenschutzproblem. Die über iPSK bereitgestellte VLAN-Isolierung pro Benutzer ist der technische Mechanismen, der diese Verpflichtung erfüllt. Das ist kein nettes Extra, sondern eine Compliance-Anforderung in jedem Wohnkontext, in dem Sie personenbezogene Daten verarbeiten. PCI-DSS ist relevant, wenn Sie Zahlungsabwicklungen auf derselben Netzwerkinfrastruktur durchführen – beispielsweise bei einem Einzelhandelsbereich in einem gemischt genutzten Objekt. Die VLAN-Segmentierung isoliert den Zahlungsverkehr vom Wohnungsverkehr, was eine Kernanforderung von PCI-DSS ist. IEEE 802.1X ist der zugrunde liegende Standard für die portbasierte Netzwerkzugriffskontrolle. Während das vollständige 802.1X mit EAP-TLS und Zertifikaten der Goldstandard für die Unternehmenssicherheit ist, stellt PPSK mit RADIUS einen pragmatischen Mittelweg dar, der die meisten Sicherheitsvorteile bei deutlich geringerer Bereitstellungskomplexität bietet. [6:00 - 8:00] Empfehlungen zur Implementierung & Fallstricke Lassen Sie mich Ihnen nun zwei konkrete Szenarien vorstellen, da die Theorie nur bis zu einem gewissen Punkt hilft. Szenario eins: Ein Build-to-Rent-Turm mit zweihundertfünfzig Wohneinheiten in einer Innenstadt. Der Entwickler möchte, dass WiFi als Premium-Service in der Monatsmiete enthalten ist. Die Bewohner erwarten, dass ihre Smart-Home-Geräte funktionieren – Sonos, Philips Hue, Amazon Echo, Smart-TVs, Spielekonsolen. Sie erwarten, neue Geräte hinzufügen zu können, ohne den Helpdesk anrufen zu müssen. Und sie erwarten, dass ihr Nachbar ihren Netzwerkverkehr nicht sehen kann. Die richtige Architektur ist hier eine einzige SSID im gesamten Gebäude, gestützt durch iPSK mit RADIUS. Jeder Bewohner erhält beim Einzug einen eindeutigen Schlüssel – übermittelt per Bewohner-App oder QR-Code im Willkommenspaket. Alle seine Geräte nutzen diesen Schlüssel. Der RADIUS-Server ordnet den Schlüssel einem dedizierten VLAN pro Wohneinheit zu. Beim Auszug wird der Schlüssel in der Verwaltungsplattform entzogen. Der nächste Bewohner erhält einen neuen Schlüssel. Keine Passwortänderungen, keine Störungen für andere Bewohner. Die Hardware läuft auf den bereits spezifizierten Access Points – Cisco Meraki, HPE Aruba, Ruckus, oder Ubiquiti UniFi sind in diesem Sektor weit verbreitet. Die Plattform von Purple fungiert als Cloud-Overlay, das den Lebenszyklus der Schlüssel, die VLAN-Zuweisungen und das Onboarding der Bewohner verwaltet, ohne dass ein kompletter Austausch der physischen Infrastruktur erforderlich ist. Szenario zwei: Ein gemischt genutztes Objekt mit Einzelhandel im Erdgeschoss, einem Coworking-Bereich im zweiten und dritten Stock und Wohnungen ab dem vierten Stock. Sie haben drei verschiedene Benutzergruppen mit völlig unterschiedlichen Netzwerkanforderungen. Der Einzelhandel benötigt eine PCI-konforme Zahlungsisolierung. Coworking-Mitglieder benötigen Zuverlässigkeit auf Business-Niveau und VPN-Kompatibilität. Bewohner benötigen das soeben beschriebene Heimnetzwerk-Erlebnis. Hier würden Sie typischerweise drei SSIDs betreiben – eine pro Gruppe – oder eine einzige SSID mit PPSK und rollenbasierter VLAN-Zuweisung verwenden, um die drei Gruppen zu trennen. Der Ansatz mit drei SSIDs ist betrieblich sauberer und lässt sich natürlicher auf die verschiedenen Onboarding-Prozesse übertragen. Die Mitarbeiter im Einzelhandel nutzen 802.1X mit Unternehmens-Anmeldedaten. Coworking-Mitglieder erhalten Gruppen-PPSK pro Unternehmen. Bewohner erhalten iPSK pro Wohneinheit. Alle drei Gruppen teilen sich dieselbe physische Access-Point-Infrastruktur, aber ihr Datenverkehr überschneidet sich nie. Lassen Sie mich auf die häufigsten Implementierungsfehler eingehen, da ich immer wieder dieselben Fehler sehe. Der erste ist die Unterschätzung der Gerätedichte. Ein Gebäude mit zweihundert Wohneinheiten hat nicht zweihundert Geräte im WiFi. Es sind drei- bis fünftausend. Fünfzehn bis fünfundzwanzig Geräte pro Haushalt sind der aktuelle Durchschnitt, und diese Zahl wächst jedes Jahr mit der zunehmenden Verbreitung von Smart Homes. Ihr DHCP-Bereich, Ihre VLAN-Subnetzgröße und Ihre Access-Point-Kapazitätsplanung müssen dies berücksichtigen. Der zweite Fallstrick besteht darin, sich bei einer großen Bereitstellung aus Kostengründen für PPSK ohne RADIUS zu entscheiden und dann festzustellen, dass die lokale Schlüsseldatenbank des Access Points ein hartes Limit hat. Planen Sie bei allem, was über einhundert Wohneinheiten hinausgeht, von Anfang an das Budget für einen RADIUS-Server ein. Cloud-gehostete RADIUS-Dienste eliminieren den Aufwand für eine Infrastruktur vor Ort. Der dritte Fallstrick ist die Vernachlässigung des 2,4-Gigahertz-Bands. Aus Leistungsgründen möchten Sie die Bewohner auf fünf Gigahertz und sechs Gigahertz lenken. Aber IoT-Geräte – Smart Plugs, ältere Sensoren, einige Smart Speaker – unterstützen oft nur 2,4 Gigahertz. Ihre PPSK-Konfiguration muss beide Bänder unterstützen. Der vierte Fallstrick ist der Auszugsprozess. PPSK bringt seine betrieblichen Vorteile nur dann, wenn der Prozess zum Entzug der Schlüssel beim Auszug auch tatsächlich ausgeführt wird. Wenn Ihr Property-Management-System nicht in Ihre Netzwerkverwaltungsplattform integriert ist, häufen sich die Schlüssel an. Automatisieren Sie den Entzugsprozess durch eine Integration zwischen Ihrem Mieterverwaltungssystem und Ihrer WiFi-Verwaltungsplattform. [8:00 - 9:00] Schnelle Fragerunde Nun zu einigen schnellen Fragen, die mir regelmäßig gestellt werden. Muss ich meine vorhandenen Access Points ersetzen, um PPSK bereitzustellen? In den meisten Fällen nein. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet unterstützen alle PPSK- oder iPSK-Varianten auf aktueller Firmware. Ist PPSK so sicher wie 802.1X mit Zertifikaten? Nein. Vollständiges 802.1X mit EAP-TLS und digitalen Zertifikaten ist sicherer. Aber für Wohnprojekte, bei denen Sie nicht-technische Bewohner mit Consumer-Geräten onboarden, PPSK mit RADIUS ist die pragmatische Wahl, die angemessene Sicherheit bei überschaubarer betrieblicher Komplexität bietet. Was ist mit WPA3? PPSK kann über WPA3-Personal laufen, und Sie sollten es aktivieren, wenn Ihre Access-Point-Hardware dies unterstützt. Die Ausführung eines Transitionsmodus, der sowohl WPA2- als WPA3-Clients auf derselben SSID unterstützt, ist der Standardansatz während der Übergangszeit. [9:00 - 10:00] Zusammenfassung & Nächste Schritte Zusammenfassend lässt sich sagen: Der Entscheidungsrahmen ist einfach. Wenn Sie WiFi in einem Multi-Tenant-Wohnkontext bereitstellen – BTR, Studentenwohnheime, sozialer Wohnungsbau –, benötigen Sie iPSK pro Benutzer mit RADIUS. Wenn Sie für Veranstaltungen, Konferenzen oder die Segmentierung von Büroabteilungen planen, ist PPSK auf Gruppenebene ohne RADIUS oft ausreichend. Wenn Sie in einem Multi-Tenant-Gebäude immer noch ein einziges gemeinsam genutztes Passwort verwenden, muss sich das in diesem Jahr ändern. Die betrieblichen Vorteile sind messbar. Bei einer verwalteten BTR-Bereitstellung mit iPSK sinkt das Support-Ticket-Volumen im Vergleich zu unverwalteten oder gemeinsam genutzten PSK-Bereitstellungen typischerweise um über neunzig Prozent. Die Verwaltung von Anmeldedaten beim Auszug schrumpft von einem störenden, gebäudeweiten Ereignis auf einen einzigen Datenbankeintrag. Vielen Dank für das Zuhören beim Purple Technical Briefing. Wenn Sie tiefer in die Architektur einsteigen möchten, besuchen Sie purple.ai. Wenn Sie Fragen zu Ihrer spezifischen Bereitstellung haben, sprechen Sie mit einem unserer Netzwerkarchitekten.