PPSK WiFi: Vergleich von Funktionen und Bereitstellungsmodellen

Willkommen beim Purple Technical Briefing. Heute geht es um PPSK WiFi - Private Pre-Shared Key - was es ist, wie es im Vergleich zu den Alternativen abschneidet und wo der Einsatz tatsächlich sinnvoll ist. [medium pause] Beginnen wir mit dem Problem, das es löst. In einem herkömmlichen WPA2-Personal-Netzwerk nutzt jedes Gerät im Netzwerk denselben Schlüssel. Für ein Zuhause ist das in Ordnung. Für ein Build-to-Rent-Objekt mit 200 Wohneinheiten, ein Studentenwohnheim oder ein Hotel mit 300 Zimmern ist es ein Sicherheitsrisiko. Wenn ein Bewohner auszieht, müssen Sie entweder das Passwort für alle ändern - was den Smart-TV, das Thermostat und die Konsole jedes anderen Bewohners unbrauchbar macht - oder Sie lassen dem ehemaligen Bewohner den Zugang. Beide Optionen sind inakzeptabel. [short pause] PPSK löst dieses Problem, indem jeder Bewohner, jede Wohnung oder jede Gerätegruppe einen eigenen, eindeutigen WiFi-Schlüssel erhält. Alle verbinden sich mit derselben SSID - demselben Netzwerknamen - aber jeder Schlüssel ist einem separaten VLAN zugeordnet. Wohnung 12 befindet sich im VLAN 10. Wohnung 13 im VLAN 20. Die IoT-Geräte befinden sich im VLAN 99. Der Access Point übernimmt die Zuordnung von Schlüssel zu VLAN automatisch. Kein RADIUS-Server erforderlich. Keine Zertifikatsinfrastruktur. Kein 802.1X-Supplicant auf dem Gerät. [medium pause] Sprechen wir nun über die Terminologie, da diese je nach Hersteller variiert und für Verwirrung auf dem Markt sorgt. Aruba nennt es PPSK - Private Pre-Shared Key. Cisco Meraki nennt es iPSK - Identity PSK oder Personal Private Network. Juniper Mist verwendet ePSK. Extreme Networks, die das Konzept ursprünglich unter der Marke Aerohive entwickelt haben, nennen es Private PSK. Ubiquiti UniFi nennt es einfach PPSK. Cambium verwendet ebenfalls ePSK. Der zugrunde liegende Mechanismus ist bei allen identisch: eine SSID, mehrere eindeutige Schlüssel, wobei jeder Schlüssel an ein VLAN oder eine Richtliniengruppe gebunden ist. [short pause] Technisch passiert auf der Zuordnungsebene Folgendes: Wenn sich ein Gerät verbindet, präsentiert es seinen Pre-Shared Key während des WPA2-Four-Way-Handshakes. Der Access Point - oder der dahinter liegende Cloud-Controller - schlägt diesen Schlüssel im PPSK-Speicher nach, identifiziert, welchem VLAN er zugeordnet ist, und kennzeichnet den Datenverkehr des Geräts ab diesem Zeitpunkt entsprechend. Das Gerät sieht eine ganz normale WiFi-Verbindung. Es hat keine Ahnung, dass es in ein isoliertes Segment verschoben wurde. Der Chromecast funktioniert. Der Smart-Speaker lässt sich koppeln. Die Konsole erhält den richtigen NAT-Typ. Alles verhält sich wie ein Heimnetzwerk - weil es aus der Perspektive des Geräts genau das ist. [medium pause] Dies ist der entscheidende Unterschied zu 802.1X, dem Enterprise-Standard für Mitarbeiternetzwerke und Unternehmensumgebungen. 802.1X erfordert einen RADIUS-Server, einen Identitätsanbieter - Microsoft Entra ID, Okta oder Google Workspace - und einen Supplicant auf jedem Gerät. Dieser Supplicant ist die Softwarekomponente, die den EAP-Authentifizierungsaustausch abwickelt. Jedes verwaltete Notebook, jedes Unternehmenstelefon besitzt einen. Der smarte Kühlschrank Ihres Bewohners jedoch nicht. Die HLK-Steuerung Ihres Gebäudes ebenfalls nicht. Ihre IoT-Sensoren auch nicht. PPSK funktioniert mit allen, da es auf der WPA-Personal-Ebene und nicht auf der WPA-Enterprise-Ebene arbeitet. [short pause] Dennoch ist PPSK kein Ersatz für 802.1X in Unternehmensumgebungen. Es ist ein anderes Werkzeug für ein anderes Problem. Wenn Sie ein Mitarbeiternetzwerk betreiben, bei dem es auf die individuelle Zurechenbarkeit ankommt - bei dem Sie wissen müssen, dass sich eine bestimmte Person zu einer bestimmten Zeit authentifiziert hat, und Sie deren Zugriff in dem Moment sperren müssen, in dem sie das Unternehmen verlässt -, ist 802.1X die richtige Antwort. Wenn Sie ein Wohnnetzwerk betreiben, bei dem Sie eine Isolierung pro Haushalt, IoT-Unterstützung und betriebliche Einfachheit im großen Stil benötigen, ist PPSK die richtige Antwort. [medium pause] Sehen wir uns die Bereitstellungsmodelle an. Es gibt heute drei primäre Muster in der Praxis. [short pause] Das erste ist das Cloud-Controller-Modell, das bei neuen Bereitstellungen am häufigsten anzutreffen ist. Ihre Access Points - ob von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks oder Fortinet - verbinden sich mit einer Cloud-Management-Plattform. Der PPSK-Schlüsselspeicher befindet sich im Cloud-Controller. Wenn Sie einen neuen Bewohner anlegen, erstellen Sie einen Schlüssel im Portal, weisen ihn einem VLAN zu, und der Controller überträgt die Richtlinie an jeden Access Point im Gebäude. Der Bewohner erhält seinen Schlüssel - per E-Mail, SMS oder über einen QR-Code in einem Begrüßungspaket - und verbindet sich. Wenn er auszieht, löschen Sie den Schlüssel. Seine Geräte verbinden sich nicht mehr. Niemand sonst ist davon betroffen. [short pause] Das zweite Modell ist PPSK mit einem lokalen RADIUS-Backend. Einige Unternehmensbereitstellungen nutzen einen RADIUS-Server zur Speicherung und Validierung von PPSK-Anmeldedaten, was Ihnen eine zentrale Protokollierung, Audit-Trails und die Integration in Ihre Identity-Management-Plattform bietet. Dies erhöht zwar den Aufwand für die Infrastruktur, bietet Ihnen jedoch die Zurechenbarkeit von 802.1X bei gleichzeitiger Gerätekompatibilität von PPSK. Es ist das richtige Modell für gemischte Umgebungen - wie etwa einen Coworking-Space, in dem Sie sowohl verwaltete Unternehmensgeräte als auch im Besitz von Mitgliedern befindliche IoT-Geräte haben. [short pause] Das dritte Modell ist hybrid: PPSK für Bewohner und IoT, 802.1X für Mitarbeiter und Managementsysteme. Dies ist die Architektur, die Purple für Build-to-Rent- und Mehrfamilienhaus-Bereitstellungen empfiehlt. Bewohner erhalten PPSK. Gebäudemanagementsysteme, Videoüberwachung und Zutrittskontrolle erhalten ihr eigenes IoT-VLAN mit PPSK. Die Geräte des Hausverwaltungsteams nutzen 802.1X gegen Microsoft Entra ID oder Okta. Drei verschiedene Authentifizierungsmodelle, drei verschiedene VLANs, eine physische Infrastruktur. Kommen wir nun zur Implementierung. Wenn Sie PPSK für ein Build-to-Rent-Projekt oder ein Mehrfamilienhaus bereitstellen, ist dies die Abfolge, die funktioniert. [short pause] Beginnen Sie mit Ihrem logischen Design, bevor Sie die Hardware anfassen. Erfassen Sie Ihre Bewohnerzahl, Ihre IoT-Gerätekategorien und alle Mitarbeiter- oder Managementsysteme. Weisen Sie VLANs zu. Eine typische BTR-Bereitstellung sieht so aus: VLAN 10 bis zu der Nummer, die Ihre Wohneinheitenanzahl für Bewohner erfordert - ein VLAN pro Wohnung oder ein VLAN pro Etage, je nach Dichte. VLAN 99 für IoT. VLAN 100 für das Gebäudemanagement. VLAN 200 für das Gäste-WiFi in den Gemeinschaftsbereichen. [short pause] Dokumentieren Sie anschließend Ihr IP-Adressierungsschema. In einem Gebäude mit 200 Einheiten müssen Sie mit 3.000 bis 5.000 Geräten rechnen, die sich zu jedem beliebigen Zeitpunkt im Netzwerk befinden. Das entspricht dem Wert von 15 bis 25 Geräten pro Haushalt laut einer Untersuchung der British Property Federation. Ihre DHCP-Bereiche müssen darauf ausgelegt sein. Verwenden Sie die private Adressierung nach RFC 1918 mit ausreichenden Subnetzgrößen pro VLAN. Ein Slash 24 bietet Ihnen 254 nutzbare Adressen. Ein Slash 23 bietet Ihnen 510. Dimensionieren Sie entsprechend. [medium pause] Zur Hardware-Auswahl: PPSK wird von allen gängigen Enterprise Access Point Plattformen unterstützt. Cisco Meraki nennt es iPSK und verwaltet es über das Meraki Dashboard mit Schlüsselrichtlinien pro SSID. HPE Aruba implementiert es nativ in ArubaOS und Aruba Central. Ruckus unterstützt es über SmartZone und die Ruckus Cloud Plattform. Juniper Mist nutzt ePSK mit KI-gesteuertem RF-Management. Ubiquiti UniFi bietet PPSK seit 2023, allerdings ist zu beachten, dass es derzeit nur WPA2 unterstützt und nicht im 6-Gigahertz-Band funktioniert. Cambium und Extreme unterstützen es beide über ihre jeweiligen Cloud-Plattformen. [short pause] Eine wichtige Einschränkung, die Sie beachten sollten: Die PPSK-Implementierung von UniFi ist auf WPA2 beschränkt. Wenn Sie WiFi 6E Access Points spezifizieren und das 6-Gigahertz-Band für PPSK-Clients nutzen möchten, benötigen Sie eine Plattform, die WPA3-SAE mit PPSK unterstützt, oder Sie müssen PPSK-Clients auf die 2,4- und 5-Gigahertz-Bänder beschränken. Aruba, Ruckus und Meraki unterstützen PPSK in WPA3-Konfigurationen. [medium pause] Sprechen wir nun über die Fallstricke. Das sind die Fehlermuster, die ich in produktiven Bereitstellungen immer wieder sehe. [short pause] Das erste ist die unkontrollierte Ausbreitung von SSIDs. Jede SSID, die Sie ausstrahlen, verbraucht Sendezeit für Beacon-Frames. Wenn Sie in einem dicht besiedelten Wohngebäude sechs oder acht SSIDs pro Access Point ausstrahlen, verschlechtern Sie die Leistung für alle. Beschränken Sie sich auf maximal vier SSIDs pro Funkmodul. Nutzen Sie PPSK, um mehrere Bewohnersegmente über eine einzige SSID zu bedienen, anstatt eine eigene SSID pro Wohnung oder Etage zu erstellen. [short pause] Der zweite Fallstrick ist eine unzureichende Trunk-Port-Konfiguration. Sie entwerfen ein sauberes VLAN-Schema, stellen die Access Points bereit und dann geht Datenverkehr unbemerkt verloren, weil jemand vergessen hat, die entsprechenden VLANs auf einer Trunk-Verbindung zwischen dem Distribution-Switch und dem Access-Layer freizugeben. Validieren Sie jeden Trunk-Port bei der Inbetriebnahme. Dokumentieren Sie es. Testen Sie es mit einem Gerät in jedem VLAN, bevor die Bewohner einziehen. [short pause] Der dritte Fallstrick ist die Schlüsselverteilung. Schlüssel zu generieren ist einfach. Sie den Bewohnern auf eine sichere und betrieblich handhabbare Weise zukommen zu lassen, ist schwieriger. Ein QR-Code im Begrüßungspaket funktioniert am Einzugstag gut. Ein Bewohnerportal, in dem sie ihren Schlüssel abrufen und neue Geräte hinzufügen können, ist für den laufenden Betrieb besser. Erstellen Sie den Workflow zur Schlüsselverteilung vor der Bereitstellung, nicht danach. [short pause] Die vierte Falle, die speziell für IoT gilt, besteht darin, Smart Home-Geräte auf das PPSK-Segment des Bewohners zu legen, ohne die Auswirkungen zu bedenken. Ein kompromittiertes IoT-Gerät im VLAN eines Bewohners kann potenziell andere Geräte in demselben VLAN angreifen. Ziehen Sie für IoT-Kategorien mit hohem Risiko ein separates IoT-VLAN mit Egress-Filterung in Betracht, selbst wenn dies bedeutet, dass Bewohner ihre Smart Home-Apps für die Nutzung eines anderen Netzwerks konfigurieren müssen. [medium pause] Sehen wir uns zwei reale Szenarien an. [short pause] Szenario eins: ein Build to Rent-Projekt mit 180 Einheiten in einem Stadtzentrum. Der Betreiber wollte WiFi als Annehmlichkeit in die Miete einbeziehen, mit Aktivierung am Einzugstag und vollständigem Smart Home-Support. Sie installierten HPE Aruba Access Points, die über Aruba Central verwaltet werden. Jede Wohnung erhält einen eindeutigen PPSK-Schlüssel, der bei der Unterzeichnung des Mietvertrags generiert wird. Der Schlüssel wird dem Bewohner per E-Mail mit einem QR-Code zugeschickt. Sie scannen ihn, alle ihre Geräte verbinden sich und ihr Chromecast, Smart Speaker und ihre Konsole funktionieren sofort. Wenn ein Bewohner auszieht, löscht der Hausverwalter den Schlüssel im Portal. Der neue Bewohner erhält beim Einzug einen neuen Schlüssel. Kein Drama mit Passwortrotationen mehr. Der Betreiber meldet eine Reduzierung der WiFi-bezogenen Support-Tickets um 30 % im Vergleich zu seiner vorherigen Bereitstellung mit gemeinsam genutzten Passwörtern. [short pause] Szenario zwei: ein zweckgebundener Studentenwohnheimblock mit 400 Betten. Die Herausforderung hierbei ist die Einzugswoche, in der Hunderte von Studenten gleichzeitig ankommen und versuchen, Dutzende von Geräten auf einmal zu verbinden. Der Betreiber nutzte Ruckus Access Points mit SmartZone und setzte PPSK mit einem Schlüssel pro Zimmer ein. Die Schlüssel wurden vorab generiert und dem vor der Ankunft versandten Willkommenspaket beigelegt. Die Studenten scannten bei der Ankunft den QR-Code und waren innerhalb von Sekunden verbunden. Das Netzwerk bewältigte den Einzugsansturm ohne Leistungseinbußen, da der Datenverkehr jedes Studenten auf sein eigenes VLAN-Segment isoliert war. [medium pause] Kommen wir nun zu einer schnellen Fragerunde zu den Fragen, die am häufigsten gestellt werden. [short pause] Wie viele PPSK-Schlüssel kann ein einzelner Access Point verarbeiten? Die meisten Enterprise-Plattformen unterstützen Tausende von Schlüsseln pro SSID. Cisco Meraki unterstützt bis zu 5.000 iPSK-Einträge pro Netzwerk. Aruba unterstützt eine ähnliche Größenordnung. Ubiquiti UniFi unterstützt bis zu 1.000 PPSK-Einträge pro Netzwerk. Für ein Gebäude mit 200 Einheiten liegen Sie auf jeder Plattform weit innerhalb der Grenzen. [short pause] Funktioniert PPSK mit WPA3? Ja, auf den meisten Enterprise-Plattformen. WPA3-SAE bietet im Vergleich zu WPA2-PSK einen stärkeren Schutz vor Offline-Wörterbuchangriffen. Daher ist der Einsatz von PPSK auf WPA3, sofern Ihre Client-Geräte dies unterstützen, der richtige Ansatz. Die Ausnahme ist UniFi, das derzeit nur WPA2 für PPSK unterstützt. [short pause] Kann ich PPSK in mein Immobilienverwaltungssystem integrieren? Ja, über die API des Herstellers. Aruba Central, Meraki, Ruckus und Mist stellen alle REST APIs für das PPSK-Schlüsselmanagement bereit. Sie können die Erstellung und den Widerruf von Schlüsseln als Teil Ihres Workflows zur Mietverwaltung automatisieren. [short pause] Was ist der Sicherheitsunterschied zwischen PPSK und 802.1X? Der wesentliche Unterschied besteht darin, dass PPSK auf einem Shared-Secret-Modell basiert. Der Key ist eine Zeichenfolge, die geteilt oder abgefangen werden kann. 802.1X mit EAP-TLS verwendet digitale Zertifikate, die nicht auf dieselbe Weise geteilt werden können und eine gegenseitige Authentifizierung bieten. Für Wohnumgebungen, in denen das Bedrohungsmodell in erster Linie die Isolierung zwischen den Bewohnern ist, bietet PPSK ausreichende Sicherheit. Für Netzwerke von Unternehmensmitarbeitern ist 802.1X die richtige Wahl. [medium pause] Zusammenfassend lässt sich sagen: PPSK WiFi ist das richtige Authentifizierungsmodell für Multi-Tenant-Wohnanlagen, IoT-intensive Umgebungen und jedes Szenario, in dem Sie eine Isolierung pro Benutzer oder pro Haushalt benötigen, ohne den Infrastruktur-Overhead von 802.1X. Es läuft auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Es lässt sich über eine API in Property-Management-Systeme integrieren. Und es löst die drei zentralen betrieblichen Probleme, die Netzwerke mit gemeinsam genutzten Passwörtern nicht lösen können: Auszug ohne Beeinträchtigung aller anderen, Unterstützung von Smart-Home-Geräten und Verantwortlichkeit pro Bewohner. [short pause] Das Entscheidungs-Framework ist einfach. Wenn Ihre Geräte 802.1X unterstützen und Sie über eine RADIUS-Infrastruktur verfügen, verwenden Sie 802.1X für Mitarbeiter und verwaltete Geräte. Wenn Sie eine Multi-Tenant-Wohnimmobilie betreiben, verwenden Sie PPSK. Wenn Sie IoT-Geräte haben, die kein 802.1X unterstützen, verwenden Sie PPSK mit einem dedizierten IoT VLAN. Wenn Sie Gäste-WiFi in Gemeinschaftsbereichen benötigen, verwenden Sie ein Standard-PSK oder ein offenes Netzwerk mit einem Captive Portal darüber. [short pause] Für die nächsten Schritte: Prüfen Sie das Architektur-Übersichtsdiagramm im Leitfaden, das den gesamten PPSK-Bereitstellungs-Stack vom ISP-Uplink bis zum Gerät des Bewohners zeigt. Nutzen Sie das Entscheidungsflussdiagramm, um Ihre spezifische Umgebung dem richtigen Authentifizierungsmodell zuzuordnen. Und wenn Sie eine BTR- oder MDU-Bereitstellung planen und verstehen möchten, wie die Multi-Tenant-WiFi-Plattform von Purple auf Ihrer bestehenden Hardware aufsetzt, um die Key-Management-, Bewohnerportal- und Analyse-Ebene bereitzustellen, finden Sie den Link im Leitfaden. [medium pause] Das war's mit dem heutigen Briefing. Vielen Dank fürs Zuhören. Lassen Sie mich tiefer auf das Sicherheitsmodell eingehen, da ich hier die größte Verwirrung im Markt sehe. [short pause] PPSK arbeitet auf der WPA-Personal-Ebene. Jeder Key ist ein Pre-Shared Secret. Die Sicherheitsgarantie, die PPSK bietet, ist die Isolierung zwischen den Bewohnern - Gerät A mit Key A kann nicht mit Gerät B mit Key B kommunizieren, selbst wenn sie mit demselben physischen Access Point verbunden sind. Diese Isolierung wird auf der VLAN-Ebene erzwungen, nicht auf der Verschlüsselungsebene. Die Verschlüsselung zwischen jedem Gerät und dem Access Point verwendet dieselbe WPA2- oder WPA3-Verschlüsselungssuite, unabhängig davon, welchen PPSK-Key das Gerät zur Authentifizierung verwendet hat. [short pause] Was PPSK nicht bietet, ist die gegenseitige Authentifizierung, die 802.1X liefert. In einer 802.1X-Bereitstellung mit EAP-TLS authentifiziert sich der Client gegenüber dem Netzwerk und das Netzwerk gegenüber dem Client. Beide Seiten weisen Zertifikate vor. Dies verhindert Angriffe durch gefälschte Access Points. Bei PPSK hat der Client keine Möglichkeit zu überprüfen, ob er mit dem legitimen Netzwerk verbunden ist oder mit einem gefälschten Access Point, der dieselbe SSID ausstrahlt. Für ein Wohngebäude, bei dem das Bedrohungsmodell in erster Linie darin besteht, die Bewohner voneinander zu isolieren, ist dies ein akzeptabler Kompromiss. Für eine Unternehmensumgebung, die sensible Daten verarbeitet, ist dies nicht der Fall. [medium pause] Sprechen wir nun über den WPA3-Upgrade-Pfad. WPA3-SAE, was für Simultaneous Authentication of Equals steht, ersetzt den WPA2-Vier-Wege-Handshake durch ein sichereres Schlüsselaustauschprotokoll namens Dragonfly. Die entscheidende Verbesserung für PPSK-Bereitstellungen ist die Forward Secrecy: Selbst wenn ein Angreifer den WiFi-Verkehr abfängt und später den Pre-Shared Key erhält, kann er den abgefangenen Verkehr nicht entschlüsseln. WPA2-PSK bietet keine Forward Secrecy. WPA3-SAE hingegen schon. Wenn Sie heute neue Hardware bereitstellen, spezifizieren Sie die WPA3-SAE-Unterstützung und aktivieren Sie diese für Ihre PPSK-SSID. Clients, die WPA3 nicht unterstützen, fallen im Übergangsmodus auf WPA2 zurück, sodass Sie keine harte Umstellung erzwingen müssen. [short pause] Der GDPR-Aspekt verdient eine direkte Ansprache. In einer Multi-Tenant-Wohnanlage verarbeiten Sie personenbezogene Daten - konkret die Verknüpfung zwischen einem WiFi-Schlüssel und einem namentlich genannten Bewohner. Diese Verknüpfung ist ein personenbezogenes Datum im Sinne der UK GDPR und der EU GDPR. Sie benötigen eine Rechtsgrundlage für die Verarbeitung. Im BTR-Kontext ist die Rechtsgrundlage in der Regel die Erfüllung eines Vertrags - des Mietvertrags - oder berechtigte Interessen. Sie benötigen eine Datenschutzerklärung, die die Verarbeitung von WiFi-Daten abdeckt. Sie benötigen eine Datenaufbewahrungsrichtlinie für Verbindungsprotokolle. Und Sie müssen in der Lage sein, auf Auskunftsbegehren der betroffenen Personen zu reagieren, was bedeutet, dass Ihre PPSK-Verwaltungsplattform in der Lage sein muss, alle mit dem Schlüssel eines bestimmten Bewohners verknüpften Daten zu exportieren. [short pause] Die Multi-Tenant-WiFi-Plattform von Purple wurde genau für diesen Zweck entwickelt. Die Daten werden in einer nach ISO 27001 zertifizierten Infrastruktur gespeichert. Wir sind konform mit GDPR und CCPA. Der Speicherort der Daten ist wählbar - UK, EU oder US - sodass Sie Ihre regulatorischen Verpflichtungen unabhängig vom Standort Ihrer Immobilien erfüllen können. Und unsere Plattform bietet die Prüfpfade und Datenexportfunktionen, die Sie für die Compliance benötigen. Lassen Sie mich die Frage nach dem ROI beantworten, da diese in jedem BTR-Beschaffungsgespräch aufkommt. [short pause] Untersuchungen der British Property Federation zeigen konsistent, dass die WiFi-Qualität unter den fünf wichtigsten Ausstattungsmerkmalen bei Build-to-Rent-Vermietungsentscheidungen liegt. Betreiber, die verwaltetes WiFi als Zusatzleistung anbieten, berichten von Mietaufschlägen von fünfzehn bis dreißig Pfund pro Wohneinheit und Monat im Vergleich zu gleichwertigen Immobilien ohne integrierte Konnektivität. Bei einem Gebäude mit 200 Einheiten entspricht das zusätzlichen Mieteinnahmen zwischen sechsunddreißigtausend und zweiundsiebzigtausend Pfund pro Jahr. Verglichen mit den typischen Bereitstellungskosten für PPSK - Hardware über fünf Jahre abgeschrieben plus eine Software-Overlay-Lizenz - liegt die Amortisationszeit in der Regel bei unter 18 Monaten. [short pause] Die betrieblichen Einsparungen sind ebenso signifikant. Ein Netzwerk mit gemeinsam genutztem Passwort in einem Gebäude mit 200 Einheiten erzeugt ein vorhersehbares Volumen an Support-Tickets: Bewohner, die ihren Chromecast nicht verbinden können, Bewohner, deren Smart-Speaker sich nicht koppeln lässt, Bewohner, deren Konsole den NAT-Typ „Strict“ anzeigt. Die Lösung dieser Tickets kostet Zeit und Geld. Ein korrekt implementiertes PPSK-Netzwerk eliminiert die Mehrheit davon. Ein Betreiber, mit dem wir zusammenarbeiten, meldete eine Reduzierung der WiFi-bezogenen Support-Kontakte um 30 % in den ersten sechs Monaten nach der Migration von einem gemeinsam genutzten Passwort zu einer PPSK-Bereitstellung. [short pause] Leerstandszeiten sind der andere Hebel. Ein Gebäude, in dem das WiFi am Einzugstag aktiv und funktionsfähig ist, reduziert Reibungsverluste für neue Bewohner. Ein Gebäude, in dem ein neuer Bewohner auf einen Termin mit einem Breitband-Techniker warten muss - in Großbritannien in der Regel sieben bis vierzehn Tage -, erzeugt einen negativen ersten Eindruck, der sich auf die Mieterbindung auswirkt. PPSK mit Aktivierung am Einzugstag beseitigt diese Hürde vollständig. [medium pause] Ein weiterer Bereich, der abgedeckt werden muss: die Coworking- und Mischnutzungsanwendung. PPSK ist nicht nur für Wohngebäude geeignet. Es ist auch das richtige Modell für Coworking-Spaces, in denen Sie eine Isolierung pro Mitglied oder pro Unternehmen wünschen, ohne den Overhead von 802.1X. Ein Coworking-Betreiber mit 200 Mitgliedern kann jedem Mitglied einen eigenen PPSK-Schlüssel zuweisen, diesen einem dedizierten VLAN zuordnen und sicherstellen, dass die Geräte von Mitglied A für Mitglied B unsichtbar sind. Wenn eine Mitgliedschaft abläuft, wird der Schlüssel widerrufen. Wenn ein neues Mitglied beitritt, wird ein neuer Schlüssel generiert. Das Mitgliedserlebnis ist identisch mit dem eines Heimnetzwerks. [short pause] Für Coworking funktioniert das Hybridmodell besonders gut. Mitglieder erhalten PPSK. Besucher von Mitgliedern - beispielsweise Kunden, die an Besprechungen teilnehmen - erhalten ein separates Gast-WiFi-SSID mit einem Captive Portal. Das Gebäudepersonal erhält 802.1X über den Identity Provider des Betreibers. Drei Authentifizierungsmodelle, eine physische Infrastruktur, saubere Trennung zwischen allen drei Benutzergruppen. [medium pause] Damit ist das Gesamtbild vollständig. PPSK WiFi ist eine ausgereifte, bestens unterstützte Technologie, die ein spezifisches und wichtiges Problem löst: die Isolierung pro Benutzer oder pro Haushalt in Multi-Tenant-Umgebungen, ganz ohne den Infrastruktur-Overhead von 802.1X. Sie ist hardwareunabhängig, API-gesteuert und lässt sich noch heute auf den Access Points bereitstellen, die Sie bereits besitzen. Die Entscheidungskriterien sind eindeutig. Die Bereitstellungsmuster sind erprobt. Und der Business Case, insbesondere im Bereich Build to Rent und bei zweckgebundenen Studentenunterkünften, ist bestens belegt.