PPSK WPA3: Vergleich von Funktionen und Bereitstellungsmodellen

Willkommen beim Purple Technical Briefing. Ich bin Ihr Moderator, und heute widmen wir uns einer Frage, die derzeit auf dem Schreibtisch fast jedes Netzwerkarchitekten liegt, der in den Bereichen Multi-Tenant-Immobilien, Hotellerie oder Einzelhandel arbeitet: Wie schneiden PPSK und WPA3 im direkten Vergleich ab, und welches Bereitstellungsmodell passt zu Ihrer Umgebung? Beginnen wir mit dem Kontext. Wenn Sie Projektentwickler, BTR-Betreiber oder ein Vermieter sind, der einen Wohnblock mit gemeinsamer WiFi-Infrastruktur verwaltet, haben Sie wahrscheinlich schon beide Begriffe gehört: PPSK, was für Private Pre-Shared Key steht, und WPA3, die neueste Generation der WiFi-Sicherheit von der WiFi Alliance. Sie werden oft so diskutiert, als handele es sich um konkurrierende Technologien. Das ist nicht der Fall. Sie lösen unterschiedliche Probleme. Und in vielen Bereitstellungen benötigen Sie beide. Definieren wir also unsere Begriffe klar, bevor wir fortfahren. WPA3 ist ein Sicherheitszertifizierungsstandard, der 2018 von der WiFi Alliance verabschiedet wurde. Es gibt ihn in zwei Hauptvarianten: WPA3-Personal, das den alten Pre-Shared Key-Mechanismus durch ein Verfahren namens SAE (Simultaneous Authentication of Equals) ersetzt, und WPA3-Enterprise, das auf dem 802.1X-Framework aufbaut und eine optionale kryptografische 192-Bit-Suite für Hochsicherheitsumgebungen einführt. Die entscheidende Verbesserung bei WPA3-Personal besteht darin, dass SAE Offline-Wörterbuchangriffe eliminiert. Wenn ein Angreifer bei WPA2 den Vier-Wege-Handshake abfing, während sich ein Gerät mit Ihrem Netzwerk verband, konnte er diese Daten entwenden und unbegrenzt Brute-Force-Cracking-Tools darauf anwenden, ohne Ihr Netzwerk jemals wieder zu berühren. SAE unterbindet das komplett. Jeder Passwort-Errateversuch erfordert eine aktive Interaktion mit dem Access Point. Das macht Offline-Cracking praktisch unmöglich. WPA3 schreibt außerdem Protected Management Frames (PMF) vor, definiert in IEEE 802.11w. Dies schützt den Management-Datenverkehr zwischen Geräten und Access Points vor Spoofing- und Replay-Angriffen. In WPA2 war PMF optional. In WPA3 ist es nicht verhandelbar. Nun zu PPSK. Private Pre-Shared Key ist eine proprietäre Technologie – und dieses Wort „proprietär“ ist wichtig, wir kommen darauf zurück. Das Kernkonzept ist einfach: Anstatt dass jedes Gerät auf einer SSID ein einziges Passwort teilt, erhält jedes Gerät oder jeder Benutzer eine eindeutige Passphrase. Verschiedene Hersteller vermarkten dies unter unterschiedlichen Namen. Cisco nennt es iPSK. Extreme Networks nennt es PPSK. Ruckus nennt es DPSK. Juniper Mist nennt es Multi-PSK. HPE Aruba nennt es MPSK. Cambium nennt es ePSK. Der zugrunde liegende Mechanismus ist bei allen gleich. Und so funktioniert es technisch: Im Standard-WPA2-Personal wird der Pre-Shared Key mithilfe einer im 802.11i-Standard definierten Formel aus Ihrer Passphrase abgeleitet. Jedes Gerät, das dasselbe Passwort verwendet, leitet denselben PSK ab. Bei einer PPSK-Implementierung leitet jede eindeutige Passphrase einen anderen PSK ab. Wenn sich ein Gerät verbindet, gleicht der Access Point oder ein RADIUS-Server jeden gespeicherten PSK mit dem Message Integrity Check im Vier-Wege-Handshake ab, bis eine Übereinstimmung gefunden wird. Damit ist das Gerät identifiziert. Das praktische Ergebnis ist, dass Sie jedem Bewohner in einem BTR-Gebäude, jedem Mitarbeiter in einem Hotel oder jeder IoT-Gerätekategorie eine eigene, eindeutige Passphrase zuweisen und diese Passphrase einem bestimmten VLAN zuordnen können. Der Bewohner in Wohnung 1 erhält Passphrase A, die VLAN 10 zugeordnet ist. Der Bewohner in Wohnung 2 erhält Passphrase B, die VLAN 20 zugeordnet ist. Ihr Datenverkehr ist auf Layer 2 isoliert. Sie teilen sich eine SSID, eine Reihe von Access Points, eine Infrastruktur – aber sie können die Geräte der anderen nicht sehen. Hier wird das Spannungsverhältnis zwischen PPSK und WPA3 architektonisch wichtig. Und das ist der Teil, den die meisten Leitfäden übergehen. PPSK läuft in seiner traditionellen Form auf WPA2. Der Multi-PSK-Mechanismus basiert auf dem in 802.11i definierten Vier-Wege-Handshake, dem Standard hinter WPA2. WPA3-Personal ersetzt diesen Handshake durch SAE. Die beiden Mechanismen sind auf Protokollebene grundlegend inkompatibel. Das bedeutet: Wenn Sie heute auf den meisten Access Points eine reine WPA3-Personal-SSID konfigurieren, können Sie PPSK nicht gleichzeitig auf derselben SSID ausführen. Der SAE-Handshake unterstützt den Multi-PSK-Abgleich-Workflow nicht. Aber – und das ist wichtig – die Branche arbeitet aktiv an einer Lösung. Die Access Assurance-Plattform von Juniper Mist unterstützt mittlerweile WPA3-Multi-PSK über einen RADIUS-basierten Ansatz, bei dem der Access Point im WPA3-SAE-Modus arbeitet und der RADIUS-Server die gerätespezifische Schlüsselsuche übernimmt. Die iPSK-Lösung von Cisco unterstützt in ähnlicher Weise WPA3-SAE mit einem externen RADIUS-Server, der die Zuordnungen von MAC-Adressen zu PSKs speichert. Das mit WiFi 6E unter 802.11ax eingeführte 6-GHz-Band schreibt WPA3 vor. Jede Bereitstellung, die auf 6 GHz abzielt, muss daher eine WPA3-kompatible PPSK-Lösung finden. Die praktische Konsequenz für Ihre Bereitstellungsentscheidung lautet: Wenn Sie Hardware von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme oder Fortinet verwenden, prüfen Sie die aktuelle Firmware Ihres Herstellers auf Unterstützung für WPA3 plus Multi-PSK, bevor Sie Ihre Sicherheitsarchitektur festlegen. Die Landschaft verändert sich schnell. Sprechen wir über Bereitstellungsmodelle. Es gibt drei Hauptmuster, die wir in der Praxis sehen. Das erste ist PPSK ohne RADIUS, manchmal auch als lokales PPSK oder Controller-basiertes PPSK bezeichnet. Der PSK-Pool wird direkt auf dem Access Point oder dem Wireless-Controller gespeichert. Dies ist die einfachste Bereitstellung. Es ist kein externer Authentifizierungsserver erforderlich. Es eignet sich gut für kleinere Standorte – eine einzelne Einzelhandelsfiliale, einen Coworking-Space mit weniger als 500 Mitgliedern oder einen kleinen Wohnblock. Die Einschränkung liegt in der Skalierbarkeit. Die meisten Controller-basierten Implementierungen begrenzen die Anzahl der PSKs auf einige hundert bis einige tausend. Die Schlüsselverwaltung erfolgt manuell. Und da die Schlüssel lokal gespeichert werden, erfordert der Widerruf eines kompromittierten Schlüssels den direkten Zugriff auf den Controller. Das zweite Modell ist PPSK mit RADIUS. Hier befindet sich der PSK-Pool auf einem externen RADIUS-Server. Wenn sich ein Gerät verbindet, leitet der Access Point die Authentifizierungsanfrage an RADIUS weiter, das den korrekten PSK für dieses Gerät sucht und an den AP zurückgibt. Dieses Modell lässt sich auf Zehntausende von Geräten skalieren. Es lässt sich in Identitätsanbieter integrieren – Microsoft Entra ID, Okta, Google Workspace –, sodass Sie die Bereitstellung und Deaktivierung automatisieren können. Wenn ein Bewohner aus einem BTR-Gebäude auszieht, entziehen Sie ihm die Berechtigung im Identitätsanbieter, und sein WiFi-Zugang erlischt innerhalb von Sekunden. Keine manuelle Schlüsselrotation. Auf dieser Architektur basiert die Multi-Tenant WiFi-Plattform von Purple. Das dritte Modell ist WPA3-Enterprise mit 802.1X. Komplett ohne PSKs. Jedes Gerät authentifiziert sich über ein Zertifikat oder Anmeldedaten via EAP-TLS oder PEAP. Dies ist der Goldstandard für Unternehmensumgebungen, das Gesundheitswesen und alle Bereiche mit strengen Compliance-Anforderungen wie PCI-DSS oder ISO 27001. Der Aufwand ist höher – Sie benötigen eine Public-Key-Infrastruktur für die Zertifikatsverwaltung, und jedes Gerät muss registriert werden. Für ein BTR-Gebäude, in dem Bewohner ihre eigenen Geräte mitbringen, ist dies selten praktikabel. Für das Mitarbeiter-WiFi eines Hotels oder die klinische Geräteflotte eines Krankenhauses ist es die richtige Lösung. Sehen wir uns nun zwei reale Szenarien an, um dies zu verdeutlichen. Szenario eins: Eine BTR-Wohnanlage mit 200 Einheiten. Der Betreiber möchte, dass jeder Bewohner sein eigenes privates Netzwerksegment hat, ohne Einblick in die Nachbarwohnungen. Außerdem müssen Smart-Home-Geräte unterstützt werden – Thermostate, Video-Türklingeln, intelligente Lautsprecher –, die in der Regel nur WPA2 unterstützen. Und der Aufwand für die Netzwerkverwaltung soll so gering wie möglich sein. Die richtige Architektur ist hier PPSK mit RADIUS auf einer SSID im WPA2- oder WPA2/WPA3-Übergangsmodus. Jeder Bewohner erhält beim Einzug eine eindeutige Passphrase, die automatisch über das in den RADIUS-Server integrierte Immobilienverwaltungssystem bereitgestellt wird. Seine Geräte – Telefone, Laptops, Smart-TVs – verbinden sich mit dieser Passphrase und landen in seinem dedizierten VLAN. Seine IoT-Geräte verbinden sich über eine separate IoT-Passphrase, die einem eingeschränkten IoT-VLAN ohne Zugriff auf das Hauptsegment der Wohnung zugeordnet ist. Beim Auszug stößt das Immobilienverwaltungssystem die Deaktivierung an. Die Passphrase wird widerrufen. Der Zugang endet. Die Multi-Tenant WiFi-Plattform von Purple übernimmt genau diesen Workflow und lässt sich in Hardware von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet integrieren. Dank des Cloud-Overlays verwalten Sie den gesamten Bestand über ein einziges Dashboard, unabhängig davon, welche Hardware vor Ort im Einsatz ist. Szenario zwei: Ein Hotelbetrieb mit 150 Zimmern. Das Hotel benötigt drei verschiedene Netzwerksegmente: Gäste-WiFi für Hotelbesucher, Mitarbeiter-WiFi für betriebliche Geräte und ein Gebäudemanagement-Netzwerk für Videoüberwachung, Türzugang und HLK. Das Gästenetzwerk muss reibungslos funktionieren. Das Mitarbeiternetzwerk muss sicher und überprüfbar sein. Das Gebäudemanagement-Netzwerk muss vollständig isoliert sein. Hier ist die Architektur als Drei-SSID-Design ausgelegt. Die Gäste-SSID verwendet WPA3-Personal mit SAE oder Enhanced Open mit Opportunistic Wireless Encryption für ein echtes passwortloses WiFi-Erlebnis, kombiniert mit dem Captive Portal von Purple für ein einwilligungsbasiertes Onboarding. Die Mitarbeiter-SSID verwendet WPA3-Enterprise mit 802.1X, authentifiziert über Microsoft Entra ID. Die Gebäudemanagement-SSID verwendet PPSK mit einem dedizierten VLAN, das an der Firewall von allen anderen Datenströmen isoliert ist. Lassen Sie mich nun die häufigsten Fallstricke bei der Implementierung ansprechen, denn hier laufen Bereitstellungen oft schief. Der erste ist die PMF-Kompatibilität. WPA3 schreibt Protected Management Frames vor. Wenn Sie ältere Geräte haben – ältere Barcodescanner, Point-of-Sale-Terminals, einige medizinische Geräte –, die PMF nicht unterstützen, können sie keine Verbindung zu einer reinen WPA3-SSID herstellen. Das Symptom ist, dass das Gerät das Netzwerk sieht, sich aber nicht verbinden kann. Die Lösung ist entweder der WPA3-Übergangsmodus, der sowohl WPA2- als auch WPA3-Clients auf derselben SSID zulässt, oder eine dedizierte WPA2-SSID in einem isolierten VLAN für diese älteren Geräte. Der Übergangsmodus ist eine legitime Migrationsstrategie, aber er ist anfällig für Downgrade-Angriffe. Betrachten Sie ihn daher als Übergangslösung. Der zweite Fallstrick ist der Schlüssel-Wildwuchs. Bei einer PPSK-Bereitstellung ohne ordnungsgemäßes Lebenszyklus-Management sammeln sich veraltete Schlüssel an. Ehemalige Bewohner, Ex-Mitarbeiter, stillgelegte Geräte – sie alle hinterlassen verwaiste PSKs in Ihrer RADIUS-Datenbank. Jeder einzelne ist ein potenzieller Angriffsvektor. Automatisieren Sie die Bereitstellung und Deaktivierung vom ersten Tag an und überprüfen Sie Ihre PSK-Datenbank vierteljährlich. Der dritte Fallstrick ist die 6-GHz-Planung. Wenn Sie WiFi 6E- oder WiFi 7-Access-Points bereitstellen und das 6-GHz-Band nutzen möchten, ist WPA3 zwingend erforderlich. Sie können WPA2 nicht auf 6 GHz betreiben. Wenn Ihre PPSK-Strategie also auf WPA2 basiert, bleiben Ihre 6-GHz-Funkmodule ungenutzt oder müssen auf einer separaten SSID laufen. Planen Sie Ihre Sicherheitsarchitektur, bevor Sie Ihre Hardware-Beschaffung abschließen. Nun zu einer schnellen Fragerunde. Frage: Kann ich PPSK und WPA3 auf derselben SSID betreiben? Antwort: Auf den meisten heutigen Hardware-Plattformen nicht nativ. Aber Juniper Mist und Cisco unterstützen beide WPA3-SAE mit RADIUS-basiertem Multi-PSK. Prüfen Sie die aktuelle Firmware Ihres Herstellers. In den nächsten 12 bis 18 Monaten ist mit einer breiteren Unterstützung durch alle Hersteller zu rechnen. Frage: Ist PPSK konform mit PCI-DSS? Antwort: PPSK kann die Anforderungen an die Netzwerksegmentierung gemäß PCI-DSS erfüllen, wenn sich jedes Gerät in der Karteninhaber-Datenumgebung in einem eigenen, isolierten VLAN befindet und der Zugriff kontrolliert und überprüfbar ist. Für Karteninhaber-Datenumgebungen ist WPA3-Enterprise mit 802.1X und EAP-TLS langfristig die sicherere Wahl. Frage: Was passiert, wenn ein Bewohner sein PPSK mit einem Nachbarn teilt? Antwort: Der Nachbar landet im selben VLAN wie der Bewohner. Der Nachbar kann nicht auf den Datenverkehr anderer Bewohner zugreifen. Es bedeutet jedoch, dass der Immobilienbetreiber einen nicht autorisierten Nutzer versorgt. Steuern Sie dem entgegen, indem Sie PSKs an MAC-Adressen binden, sofern die Hardware dies unterstützt, oder indem Sie eine Nutzungsüberwachung und Anomalie-Warnungen implementieren. Zusammenfassend lässt sich sagen: PPSK und WPA3 ergänzen sich und konkurrieren nicht. PPSK löst das Problem der Multi-Tenant-Isolierung – eine SSID, eindeutige Anmeldedaten pro Bewohner oder Gerät, automatische VLAN-Zuweisung. WPA3 lösung das Problem der Authentifizierungssicherheit – SAE eliminiert Offline-Wörterbuchangriffe, PMF schützt Management-Frames und die 192-Bit-Suite erfüllt hohe Sicherheits- und Compliance-Anforderungen. Für BTR-Betreiber und Vermieter, die heute eine gemeinsame WiFi-Infrastruktur bereitstellen, ist die empfohlene Architektur PPSK mit RADIUS zur Isolierung der Bewohner, betrieben im WPA2- oder WPA3-Übergangsmodus für eine breite Gerätekompatibilität, mit einem klaren Migrationspfad zu WPA3-nativem PPSK, sobald die Herstellerunterstützung ausgereift ist. Kombinieren Sie dies mit einer dedizierten WPA3-Enterprise-SSID für Mitarbeiter und betriebliche Geräte sowie einem isolierten IoT-VLAN für intelligente Gebäudesysteme. Die Multi-Tenant WiFi-Plattform von Purple fungiert über all dem als hardwareunabhängiges Cloud-Overlay. Wir verwalten die RADIUS-Integration, die Bereitstellungs-Workflows, die Analysen und die Compliance-Berichterstattung – über 80.000 Live-Standorte und 350 Millionen eindeutige Nutzer hinweg. ISO 27001-zertifiziert, GDPR- und CCPA-konform, 99,999 % Betriebszeit. Bis zum nächsten Mal.