Was ist PPSK: Ein Vergleich von Funktionen und Bereitstellungsmodellen
Dieser Leitfaden bietet eine definitive technische Referenz zur Private Pre-Shared Key (PPSK) WiFi Architektur für Bauträger, BTR-Betreiber und Vermieter. Er vergleicht PPSK mit gemeinsam genutzten PSK- und 802.1X-Bereitstellungen und deckt die VLAN-Isolierung pro Wohneinheit, die Kompatibilität mit IoT-Geräten und das automatisierte Schlüssel-Lifecycle-Management ab. IT-Manager und Netzwerkarchitekten finden hier praxisnahe Anleitungen zur Bereitstellung, herstellerspezifische Implementierungshinweise und praxisnahe Fallstudien, die messbare betriebliche Ergebnisse aufzeigen.
Diesen Leitfaden anhören
Podcast-Transkript ansehen
Executive Summary
Für IT-Manager und Netzwerkarchitekten, die WiFi in Multi-Tenant-Umgebungen bereitstellen, bestimmt die Wahl der Authentifizierungsarchitektur sowohl das Sicherheitsniveau als auch den betrieblichen Aufwand. Dieser Leitfaden untersucht die PPSK-Technologie (Private Pre-Shared Key) - was sie ist, wie sie funktioniert und wo sie das richtige Werkzeug ist. Durch die Zuweisung eines eindeutigen kryptografischen Schlüssels für jeden Bewohner oder jede Gerätegruppe ermöglicht PPSK eine VLAN-Isolierung pro Einheit auf einer einzigen SSID. Dies eliminiert den Auswirkungsbereich eines gemeinsamen Passworts, bietet nahtlose Unterstützung für kopflose IoT-Geräte, die keinen 802.1X-Supplicant ausführen können, und automatisiert den Lebenszyklus von Schlüsseln vom Einzug bis zum Auszug. Wir bieten herstellerneutrale Bereitstellungsrichtlinien für Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Die Multi-Tenant-WiFi-Lösung von Purple lässt sich über ein Cloud-RADIUS-Overlay in all diese Plattformen integrieren und bietet BTR-Betreibern und Vermietern die Orchestrierungsebene zur skalierbaren Verwaltung von Schlüsseln, VLANs und dem Onboarding von Bewohnern. Purple wurde 2012 gegründet, betreut über 80.000 Live-Standorte, verarbeitete im Jahr 2024 440 Millionen Logins und hält eine Betriebszeit von 99,999 % aufrecht.
Technischer Deep-Dive
Was ist PPSK?
Private Pre-Shared Key (PPSK) - auch bezeichnet als iPSK (Cisco Meraki), MPSK (HPE Aruba), DPSK (Ruckus) und ePSK (Juniper Mist) - ist eine WiFi-Authentifizierungsmethode, bei der jedem Benutzer oder jeder Gerätegruppe ein eindeutiges Passwort auf einer gemeinsamen SSID zugewiesen wird. Der Access Point oder Cloud-Controller ordnet jeden Schlüssel einem bestimmten VLAN zu und erstellt so ein privates, isoliertes Netzwerksegment für diesen Benutzer. Aus der Sicht des Bewohners geben sie ein Passwort ein und stellen eine Verbindung her. Aus der Sicht des Netzwerks wird ihr Datenverkehr einem dedizierten VLAN zugeordnet, das für alle anderen Bewohner auf derselben physischen Infrastruktur völlig unsichtbar ist.
Das standardmäßige Pre-Shared-Key-Modell (PSK), wie es unter WPA2/WPA3-Personal definiert ist, verwendet ein einziges gemeinsames Geheimnis für alle Geräte in einem Netzwerk. Dies ist betrieblich unkompliziert, schafft jedoch ein flaches, undifferenziertes Netzwerk. In einem Build to Rent-Objekt mit 200 Einheiten bedeutet ein einziges gemeinsames Passwort, dass jeder Bewohner die Geräte aller anderen Bewohner sehen kann. Das Sperren des Zugangs für einen ausziehenden Mieter erfordert eine gebäudeweite Passwortänderung, und ein einziger kompromittierter Anmeldewert gefährdet das gesamte Netzwerk.
PPSK löst dies auf der Association-Ebene. Wenn sich ein Gerät verbindet, präsentiert es seinen Pre-Shared Key während des vierfachen WPA2- oder WPA3-Handshakes. Der Wireless Controller fängt die Verbindung ab und validiert den Schlüssel entweder lokal (Controller-lokales PPSK) oder leitet die MAC-Adresse des Geräts zur Abfrage an einen RADIUS-Server weiter. Der RADIUS-Server gibt das korrekte PPSK für diesen Benutzer zusammen mit einem VLAN-Zuweisungsattribut zurück. Wenn die Schlüssel übereinstimmen, wird das Gerät authentifiziert und in sein dediziertes VLAN verschoben. Der gesamte Prozess ist für den Endbenutzer transparent und erfordert keine spezielle Software auf dem Gerät.
PPSK vs. 802.1X vs. Shared PSK
Um zu verstehen, wo PPSK einzuordnen ist, bedarf es eines klaren Vergleichs mit den beiden Alternativen, zwischen denen es sich positioniert.
Shared PSK ist das einfachste Modell: ein Passwort, alle Geräte im selben Netzwerk. Es erfordert außer dem Access Point selbst keine Infrastruktur. Die Sicherheitsbeschränkungen sind in jedem mandantenfähigen Kontext schwerwiegend. Es gibt keine Isolierung pro Benutzer, keine individuelle Nachverfolgbarkeit, und das Entziehen des Zugriffs für einen einzelnen Benutzer erfordert die Änderung des Schlüssels für alle.
802.1X (WPA2/3-Enterprise), wie im IEEE-802.1X-Standard definiert, bietet die höchste Sicherheit. Es erfordert einen RADIUS-Server, einen Identity Provider (Microsoft Entra ID, Okta oder Google Workspace) und einen Supplicant auf jedem Client-Gerät. Der Supplicant übernimmt den Austausch über das Extensible Authentication Protocol (EAP). Jedes verwaltete Notebook und jedes Firmen-Smartphone verfügt über einen Supplicant. Headless-IoT-Geräte - Smart-TVs, WLAN-Lautsprecher, HVAC-Steuerungen, Sicherheitskameras - haben dies nicht. Dies macht 802.1X als einzige Authentifizierungsmethode für Wohnungsnetzwerke unbrauchbar.
PPSK liegt zwischen diesen beiden Modellen. Es bietet Isolierung pro Benutzer und sofortigen Widerruf des Zugriffs, ohne dass ein Supplicant auf dem Client-Gerät erforderlich ist. Es unterstützt jedes IoT-Gerät, das Ihre Bewohner besitzen. Es bietet zwar nicht die individuelle zertifikatsbasierte Nachverfolgbarkeit von 802.1X, weshalb die empfohlene Architektur für BTR- und MDU-Bereitstellungen PPSK für Bewohner und IoT und 802.1X für das Hausverwaltungspersonal vorsieht.
| Dimension | Shared PSK | PPSK | 802.1X Enterprise |
|---|---|---|---|
| Sicherheitsstufe | Niedrig - gemeinsam genutzter statischer Schlüssel | Mittelhoch - eindeutiger Schlüssel pro Benutzer | Hoch - individuelle dynamische Schlüssel |
| IoT-Geräteunterstützung | Ja | Ja | Nein - erfordert Supplicant |
| Komplexität der Bereitstellung | Sehr einfach | Einfach | Komplex - RADIUS, PKI, IdP |
| Isolierung pro Benutzer | Nein | Ja - VLAN pro Wohneinheit | Ja - pro Benutzer |
| Widerruf des Zugriffs | Erfordert vollständigen Austausch | Sofortige Schlüssellöschung | Sofort via Verzeichnisdeaktivierung |
| Idealer Anwendungsfall | Kleine Heimnetzwerke | BTR, MDU, Studentenwohnheime | Netzwerke für Unternehmensmitarbeiter |
Wie die PPSK-Authentifizierung funktioniert
Auf technischer Ebene arbeitet PPSK innerhalb des WPA Personal-Authentifizierungs-Frameworks. Wenn sich ein Gerät mit der SSID verbindet, initiiert der Access Point den Vier-Wege-Handshake. Bei einer Standard-PSK-Bereitstellung validiert der AP den Schlüssel lokal. Bei einer PPSK-Bereitstellung fängt der AP oder der Cloud-Controller die Verbindung ab und führt je nach Bereitstellungsmodell eine von zwei Operationen aus.
Bei einer Controller-lokalen PPSK-Bereitstellung wird die Schlüsseldatenbank direkt auf dem Wireless-Controller gespeichert. Der Controller gleicht den präsentierten Schlüssel mit seinem lokalen Speicher ab und weist das entsprechende VLAN zu. Dieses Modell erfordert keinen externen RADIUS-Server und eignet sich für Bereitstellungen von bis zu ca. 200 Geräten, abhängig von der lokalen Schlüsselkapazität der Controller-Plattform.
Bei einer RADIUS-gestützten PPSK-Bereitstellung leitet der Controller die MAC-Adresse des Geräts an einen externen RADIUS-Server weiter. Der RADIUS-Server sucht die MAC-Adresse in seinem Identitätsspeicher, ruft den zugewiesenen PPSK ab und sendet ihn über eine RADIUS Access-Accept-Antwort an den Controller zurück. Der Controller validiert den vom Gerät präsentierten Schlüssel mit dem zurückgegebenen Schlüssel. Wenn sie übereinstimmen, enthält die RADIUS-Antwort auch die VLAN-Zuweisung als Tunnel-Private-Group-ID-Attribut. Das Gerät wird authentifiziert und automatisch im richtigen VLAN platziert. Dieses Modell lässt sich auf Tausende von Geräten skalieren und ist die empfohlene Architektur für große BTR- und MDU-Bereitstellungen.
Weitere Informationen darüber, wie PPSK im Vergleich auf bestimmten Hardwareplattformen abschneidet, finden Sie in unserem PPSK-Verzeichnis: Funktions- und Bereitstellungsmodelle im Vergleich .
-
Implementierungshandbuch
Eine erfolgreiche Bereitstellung von PPSK erfordert eine präzise Planung der VLAN-Architektur, des DHCP-Bereichs, der Hardwareauswahl und des Schlüssel-Lebenszyklus-Managements. Befolgen Sie diese Reihenfolge für eine produktionsbereite Implementierung.
Schritt 1: Logisches Netzwerkdesign
Konfigurieren Sie keine Hardware, bevor das logische Design dokumentiert ist. In einer mandantenfähigen Umgebung ist die VLAN-Zuweisung die primäre Sicherheitsgrenze. Eine typische BTR-Bereitstellung nutzt die folgende VLAN-Struktur:
- Resident-VLANs (10 bis N): Ein eindeutiges VLAN pro Wohnung. Dadurch entsteht ein isoliertes Netzwerksegment, in dem sich die Geräte eines Bewohners über mDNS gegenseitig erkennen können (was Chromecast, Apple TV und Sonos ermöglicht), aber für Nachbarn unsichtbar bleiben.
- IoT/BMS-VLAN (99): Isoliert Gebäudemanagementsysteme, CCTV und IoT-Geräte des Vermieters mit strikter Filterung nur für den Internetzugang.
- Mitarbeiter/Corporate-VLAN (100): Nutzt 802.1X gegen Microsoft Entra ID für das Immobilienmanagement-Personal.
- Gast-WiFi-VLAN (200): Offener oder Captive Portal-Zugang für Gemeinschaftsbereiche und Besucher.
Schritt 2: IP-Adressierung und DHCP
Moderne BTR-Haushalte verfügen im Durchschnitt über 15 bis 25 verbundene Geräte. Ein Gebäude mit 200 Einheiten verzeichnet 3.000 bis 5.000 gleichzeitige Geräte im Netzwerk. Dimensionieren Sie Ihre DHCP-Bereiche entsprechend. Verwenden Sie die private Adressierung nach RFC 1918. Ein /24-Subnetz bietet 254 nutzbare Adressen pro VLAN, was für einzelne Wohnungen ausreicht. Zentrale IoT-VLANs erfordern je nach Gerätedichte möglicherweise ein /22 oder /23.
Schritt 3: Hardwareauswahl und PPSK-Konfiguration
PPSK wird auf allen gängigen Enterprise-Access-Point-Plattformen unterstützt, mit herstellerspezifischen Implementierungshinweisen:
- Cisco Meraki (iPSK): Verwaltet über das Meraki Dashboard. Unterstützt bis zu 5.000 iPSK-Einträge pro Netzwerk. Integriert mit der Meraki API für die automatisierte Schlüsselbereitstellung.
- HPE Aruba (MPSK): Nativ implementiert in ArubaOS und Aruba Central. Unterstützt MPSK auf WPA2- und WPA3-Konfigurationen. Integriert mit Aruba ClearPass für RADIUS-gestützte Bereitstellungen auf Enterprise-Ebene.
- Ruckus (DPSK): Unterstützt über SmartZone und Ruckus Cloud. DPSK mit SmartZone skaliert über externes RADIUS auf Tausende von Schlüsseln.
- Juniper Mist (ePSK): Cloud-verwaltet mit KI-gestützter RF-Optimierung. ePSK wird pro WLAN im Mist-Portal konfiguriert.
- Ubiquiti UniFi (PPSK): Unterstützt bis zu 1.000 PPSK-Einträge pro Netzwerk. Hinweis: UniFi PPSK ist derzeit nur mit WPA2 kompatibel und unterstützt das 6-GHz-Band nicht.
- Cambium und Extreme: Beide unterstützen PPSK über ihre jeweiligen Cloud-Management-Plattformen.
Eine kritische Einschränkung: Die PPSK-Implementierung von UniFi ist auf WPA2 beschränkt. Wenn Sie WiFi 6E Access Points spezifizieren und das 6-GHz-Band für PPSK-Clients nutzen möchten, verwenden Sie Aruba, Ruckus oder Meraki, die PPSK auf WPA3-Konfigurationen unterstützen.
Schritt 4: Schlüsselverteilung und Lifecycle-Management
Das Generieren von Schlüsseln ist einfach. Die sichere Verteilung und das Verwalten ihres Lebenszyklus ist die betriebliche Herausforderung, die darüber entscheidet, ob PPSK die versprochenen Vorteile bringt.
- Onboarding beim Einzug: Integrieren Sie die WiFi-Bereitstellung mit dem Immobilienverwaltungssystem. Wenn ein Mietverhältnis beginnt, generieren Sie automatisch den PPSK und senden Sie einen QR-Code per E-Mail an den Bewohner. Der Bewohner scannt den QR-Code, und alle seine Geräte verbinden sich sofort mit dem richtigen VLAN.
- Laufende Verwaltung: Stellen Sie ein Bewohnerportal bereit, in dem diese ihren Schlüssel abrufen und zusätzliche Geräte registrieren können.
- Widerruf beim Auszug: Wenn ein Mietverhältnis endet, muss die API den Schlüssel sofort widerrufen. Die Geräte des ausziehenden Bewohners verlieren den Zugriff, ohne dass dies Auswirkungen auf andere Mieter hat.
Die Multi-Tenant-WiFi-Lösung von Purple bietet das Cloud-RADIUS, die API-Orchestrierung und das Bewohnerportal, die zur Automatisierung dieses Lebenszyklus über alle unterstützten Hardwareplattformen hinweg erforderlich sind. Weitere Informationen zu Guest WiFi und WiFi Analytics finden Sie in den verlinkten Ressourcen.
Best Practices
Begrenzen Sie die SSID-Verbreitung. Strahlen Sie maximal drei SSIDs pro Funkmodul aus: eine für Bewohner (PPSK), eine für Mitarbeiter (802.1X) und eine für Gäste (Captive Portal). Jede zusätzliche SSID verbraucht Sendezeit für Beacon-Frames, was die Leistung für alle Nutzer beeinträchtigt. PPSK ermöglicht es, Hunderte von isolierten Netzwerken unter einer einzigen SSID zu betreiben, wodurch SSIDs pro Etage oder Wohnung überflüssig werden. In unserem Leitfaden Drei SSIDs, um sie alle zu beherrschen: Gast, Passpoint und IoT WiFi finden Sie die vollständige Begründung der Architektur.
Berücksichtigen Sie die MAC-Randomisierung vom ersten Tag an. iOS 14+, Android 10+ und Windows 11 verwenden standardmäßig randomisierte MAC-Adressen. Wenn Ihre PPSK-Bereitstellung auf MAC-basierten RADIUS-Abfragen basiert, integrieren Sie einen Vorregistrierungs-Workflow in den Onboarding-Prozess der Bewohner. Weisen Sie die Bewohner an, "Private WiFi-Adresse" oder "Randomisierte MAC verwenden" in ihren Geräteeinstellungen für Ihre spezifische SSID zu deaktivieren, oder implementieren Sie einen Vorregistrierungsschritt über ein Captive Portal, der die permanente Hardware-MAC erfasst.
Validieren Sie Trunk-Ports vor der Inbetriebnahme. Entwerfen Sie ein sauberes VLAN-Schema, stellen Sie die Access Points bereit und überprüfen Sie dann, ob jede Trunk-Verbindung zwischen den Access-Layer-Switches und dem Distribution-Core den gesamten Bereich der Bewohner-VLANs zulässt. Der Datenverkehr wird stillschweigend verworfen, wenn ein VLAN in der Liste der zugelassenen Trunks fehlt. Testen Sie dies mit einem Gerät in jedem VLAN, bevor die Bewohner einziehen.
Aktivieren Sie mDNS-Reflection pro VLAN. Bewohner erwarten, dass ihre Smart-Home-Geräte funktionieren. Chromecast, Apple TV, Sonos und ähnliche Geräte verlassen sich auf mDNS (Multicast DNS), um sich gegenseitig im lokalen Netzwerk zu finden. Stellen Sie sicher, dass Ihr Wireless-Controller so konfiguriert ist, dass er mDNS-Datenverkehr innerhalb jedes Bewohner-VLANs zulässt, ihn jedoch zwischen den VLANs blockiert.
Verwenden Sie WPA3, wo Client-Geräte dies unterstützen. WPA3-SAE (Simultaneous Authentication of Equals) bietet einen deutlich stärkeren Schutz gegen Offline-Wörterbuchangriffe als WPA2-PSK. Stellen Sie PPSK im WPA3-Übergangsmodus bereit, um sowohl WPA2- als auch WPA3-Clients zu unterstützen. Die Ausnahme ist Ubiquiti UniFi, das derzeit nur WPA2 für PPSK unterstützt.
Leitfäden für das Gast-WiFi-Erlebnis im Gastgewerbe finden Sie unter Wie Sie mit Ihrem Gast-WiFi einen großartigen ersten Eindruck hinterlassen .
Fehlerbehebung und Risikominderung
Fehlerbild 1: Gerät kann sich nicht authentifizieren
Symptom: Das Gerät eines Bewohners kann trotz des richtigen Schlüssels keine Verbindung zur SSID herstellen.
Wahrscheinlichste Ursache: Das Gerät zeigt eine randomisierte MAC-Adresse. Der RADIUS-Server führt eine MAC-Abfrage durch, findet keinen passenden Eintrag für die randomisierte Adresse und gibt ein Access-Reject zurück.
Lösung: Weisen Sie den Bewohner an, die WiFi-Einstellungen seines Geräts für Ihre spezifische SSID zu öffnen und "Private WiFi-Adresse" (iOS) oder "Randomisierte MAC verwenden" (Android/Windows) zu deaktivieren. Alternativ können Sie ein Vorregistrierungs-Captive-Portal implementieren, das die permanente Hardware-MAC während des Onboardings erfasst.
Fehlerbild 2: Smart-Home-Geräte können sich nicht gegenseitig finden
Symptom: Ein Chromecast, Apple TV oder Smart Speaker eines Bewohners kann von dessen Telefon oder Laptop nicht gefunden werden, obwohl beide mit derselben SSID verbunden sind.
Wahrscheinlichste Ursache: Die Client-Isolierung ist auf der SSID aktiviert, oder mDNS-Reflection ist auf dem Wireless-Controller nicht korrekt konfiguriert.
Behebung: Deaktivieren Sie die Client-Isolierung für die Bewohner-SSID. Aktivieren Sie mDNS-Reflection oder den Proxy innerhalb jedes Bewohner-VLANs auf dem Wireless-Controller. Stellen Sie sicher, dass der Controller den Intra-VLAN-Multicast-Verkehr nicht blockiert.
Fehlerbild 3: Limit für Controller-Schlüssel erreicht
Symptom: Neue Bewohner können nicht bereitgestellt werden, da der PPSK-Schlüsselspeicher voll ist.
Wahrscheinlichste Ursache: Die Bereitstellung nutzt controller-lokale PPSK ohne einen externen RADIUS-Server. Die meisten Controller begrenzen lokale PPSK-Einträge auf 500 bis 1.000 Schlüssel.
Behebung: Verwenden Sie bei Bereitstellungen mit mehr als 100 Einheiten immer eine RADIUS-gestützte PPSK-Architektur. Der Cloud-RADIUS-Service von Purple lässt sich auf Zehntausende gleichzeitige Schlüssel skalieren, ohne dass Hardware verwaltet werden muss.
Fehlerbild 4: VLANs werden nicht über Trunk-Links weitergeleitet
Symptom: Geräte in bestimmten Bewohner-VLANs können sich mit der SSID verbinden, erreichen jedoch weder das Internet noch andere Dienste.
Wahrscheinlichste Ursache: Die VLAN-IDs für diese Bewohner sind auf dem Trunk-Link zwischen dem Access-Layer-Switch und dem Distribution- oder Core-Switch nicht zugelassen.
Behebung: Überprüfen Sie jeden Trunk-Port im Pfad vom Access Point zum Internet-Gateway. Stellen Sie sicher, dass alle Bewohner-VLAN-IDs in der Liste der zugelassenen VLANs auf jedem Trunk enthalten sind. Dokumentieren Sie die Trunk-Konfiguration und nehmen Sie diese in die Inbetriebnahme-Checkliste auf.
ROI und geschäftlicher Nutzen
Die Bereitstellung von PPSK verwandelt WiFi von einer problematischen Dienstleistung in eine sichere, verwaltete Annehmlichkeit. Für BTR-Betreiber und Vermieter ist der geschäftliche Nutzen in drei Dimensionen messbar.
Reduzierter Support-Aufwand. Durch den Verzicht auf gemeinsame Passwort-Iterationen und die Behebung von IoT-Konnektivitätsproblemen lassen sich die WiFi-bezogenen Support-Tickets in der Regel um 40 % bis 60 % reduzieren. Ein BTR-Betreiber mit 180 Einheiten, der von einem gemeinsamen PSK zu HPE Aruba MPSK migrierte, verzeichnete in den ersten sechs Monaten des Betriebs einen Rückgang der Support-Tickets um 50 %. Der Hauptgrund war die Beseitigung der Probleme bei der Kopplung von Smart-Home-Geräten, die bei der gemeinsamen PSK-Bereitstellung aufgetreten waren.
Höhere Bewohnerbindung. Das Angebot eines sicheren, wohnlichen Netzwerkerlebnisses, das Smart-Home-Geräte unterstützt, ist ein messbarer Wettbewerbsvorteil im Premium-BTR-Markt. Bewohner, die ihr gesamtes Geräte-Ökosystem - einschließlich Smart Speakern, Streaming-Sticks und Spielekonsolen - am Tag des Einzugs verbinden können, berichten von deutlich höheren Zufriedenheitswerten als diejenigen, die auf Konnektivitätsprobleme stoßen. Einhaltung gesetzlicher Vorschriften. Die GDPR verlangt, dass Sie die Rechenschaftspflicht für die Datenverarbeitung nachweisen können. Im WiFi-Kontext bedeutet dies, dass Sie identifizieren können, welcher Bewohner welchen Netzwerkverkehr verursacht hat, und auf Auskunftsanfragen mit präzisen, bewohnerspezifischen Daten reagieren können. Bei einem gemeinsam genutzten PSK ist jedes Gerät im Netzwerk aus Sicht des RADIUS-Servers ununterscheidbar. Mit PPSK ist jede Verbindung an einen bestimmten Bewohnerschlüssel gekoppelt, der mit einem bestimmten Mietdatensatz verknüpft ist. Ihr Audit-Trail ist lückenlos.
Branchenspezifische Leitfäden dazu, wie WiFi-Intelligence den Geschäftserfolg steigert, finden Sie in unseren Ressourcen für Gastgewerbe und Einzelhandel .
Schlüsseldefinitionen
PPSK (Private Pre-Shared Key)
Eine WiFi-Authentifizierungsmethode, bei der jedem Benutzer oder jeder Gerätegruppe ein eindeutiger Passphrase auf einer gemeinsam genutzten SSID zugewiesen wird. Jeder Schlüssel wird einem bestimmten VLAN zugeordnet, was eine Netzwerkorchestrierung und -isolierung ohne Supplicant auf dem Client-Gerät ermöglicht.
Das primäre Authentifizierungsmodell für Wohnumgebungen mit mehreren Parteien, in denen 802.1X zu komplex oder nicht mit IoT-Geräten kompatibel ist. Bekannt als iPSK (Cisco Meraki), MPSK (HPE Aruba), DPSK (Ruckus) und ePSK (Juniper Mist).
802.1X
Ein IEEE-Standard für die portbasierte Netzwerk-Zugriffskontrolle. Er verwendet einen RADIUS-Server, um Benutzer über individuelle Anmeldedaten oder Zertifikate zu authentifizieren, was dynamische Verschlüsselungsschlüssel pro Benutzer und den sofortigen Entzug des Zugriffs ermöglicht.
Das richtige Authentifizierungsmodell für Firmennetzwerke. Erfordert einen Supplicant auf jedem Client-Gerät, weshalb es als alleinige Authentifizierungsmethode für Wohnbereiche oder IoT-intensive Umgebungen ungeeignet ist.
VLAN (Virtual Local Area Network)
Eine logische Gruppierung von Netzwerkgeräten, die sich so verhalten, als befänden sie sich im selben physischen Netzwerk, definiert durch den IEEE 802.1Q-Standard. VLANs erstellen separate Broadcast-Domänen auf einer gemeinsam genutzten physischen Infrastruktur.
Der grundlegende Mechanismus zur Isolierung des Datenverkehrs in einer mandantenfähigen Bereitstellung. Jeder PPSK-Schlüssel eines Bewohners wird einem eindeutigen VLAN zugeordnet, wodurch die "WiFi-Blase" entsteht, die verhindert, dass Bewohner die Geräte der anderen sehen.
RADIUS (Remote Authentication Dial-In User Service)
Ein Netzwerkprotokoll, das eine zentrale Verwaltung von Authentifizierung, Autorisierung und Accounting bietet. Bei einer PPSK-Bereitstellung speichert der RADIUS-Server die Schlüsseldatenbank und gibt Attribute für die VLAN-Zuweisung an den Wireless-Controller zurück.
Erforderlich für PPSK-Bereitstellungen mit mehr als ca. 200 Einheiten, bei denen der lokale Schlüsselspeicher des Controllers nicht ausreicht. Purple bietet einen Cloud-RADIUS-Service, der eine lokale RADIUS-Infrastruktur überflüssig macht.
Supplicant
Die Softwarekomponente auf einem Client-Gerät, die den EAP-Austausch (Extensible Authentication Protocol) in einem 802.1X-Authentifizierungsfluss abwickelt. Sie stellt dem Authentifikator (Access Point) Anmeldedaten oder Zertifikate bereit.
Auf jedem verwalteten Laptop und Firmen-Smartphone vorhanden. Fehlt auf Headless-IoT-Geräten, weshalb 802.1X nicht die einzige Authentifizierungsmethode für Wohnungsnetzwerke sein kann.
SSID-Proliferation
Die Praxis, zu viele Netzwerknamen (SSIDs) von einem einzigen Access Point auszustrahlen. Jede SSID erfordert Beacon-Frames, die mit der niedrigsten Basisrate übertragen werden, was Sendezeit verbraucht und die Leistung für alle Benutzer beeinträchtigt.
Ein häufiger Fehler in mandantenfähigen Umgebungen, bei dem Betreiber eine separate SSID pro Etage oder Mandantentyp erstellen. PPSK löst dies, indem hunderte isolierte Netzwerke unter einer einzigen SSID ermöglicht werden.
mDNS (Multicast DNS)
Ein Protokoll, das Hostnamen in IP-Adressen innerhalb eines lokalen Netzwerks ohne dedizierten DNS-Server auflöst, unter Verwendung von Multicast-UDP-Paketen auf Port 5353.
Unerlässlich für Consumer-IoT-Geräte, um sich im VLAN eines Bewohners gegenseitig zu finden. Chromecast, Apple TV, Sonos und ähnliche Geräte basieren auf mDNS. Muss in jedem Bewohner-VLAN aktiviert und zwischen VLANs blockiert werden.
MAC-Randomisierung
Eine Datenschutzfunktion in modernen Betriebssystemen (iOS 14+, Android 10+, Windows 11), die für jedes WiFi-Netzwerk eine temporäre, zufällige MAC-Adresse generiert, um ein Tracking über Netzwerke hinweg zu verhindern.
Verursacht Authentifizierungsfehler bei PPSK-Bereitstellungen, die auf permanenten Hardware-MAC-Adressen für RADIUS-Abfragen basieren. Erfordert einen Vorregistrierungs-Workflow oder eine Konfiguration auf Geräteebene, um sie für bestimmte SSIDs zu deaktivieren.
WPA3-SAE (Simultaneous Authentication of Equals)
Das in WPA3-Personal-Netzwerken verwendete Authentifizierungsprotokoll. Es ersetzt den WPA2-Vier-Wege-Handshake durch einen Dragonfly-Schlüsselaustausch und bietet Perfect Forward Secrecy sowie Schutz vor Offline-Wörterbuchangriffen.
Der empfohlene Verschlüsselungsstandard für neue PPSK-Bereitstellungen. Unterstützt auf Cisco Meraki, HPE Aruba und Ruckus. Für PPSK auf Ubiquiti UniFi mit Stand 2025 noch nicht unterstützt.
Captive Portal
Eine Webseite, die ein Netzwerknutzer sehen und mit der er interagieren muss, bevor ihm Zugriff auf ein öffentliches WiFi-Netzwerk gewährt wird. Sie setzt Nutzungsbedingungen durch, erfasst Marketingdaten und verwaltet Sitzungsparameter.
Wird in offenen oder Gast-WiFi-Netzwerken in Gemeinschaftsbereichen von BTR-Gebäuden, Hotels und Einzelhandelsumgebungen verwendet. Eine geschäftliche Kontrollebene, keine Sicherheitskontrolle - der WiFi-Datenverkehr wird dadurch nicht verschlüsselt.
Ausgearbeitete Beispiele
Ein Build to Rent Betreiber mit 150 Wohneinheiten nutzt derzeit ein einziges, gemeinsam genutztes WiFi-Passwort im gesamten Gebäude. Die Bewohner beschweren sich, dass ihre Smart Speaker nicht funktionieren, der Betreiber kann den Zugang beim Auszug eines Mieters nicht sperren und ein scheidender Mieter hat kürzlich das Passwort öffentlich im Internet geteilt. Als Hardware wurden HPE Aruba Access Points spezifiziert. Wie sieht die richtige Architektur aus?
Stellen Sie HPE Aruba MPSK (Multiple PSK) bereit, gestützt durch einen Cloud RADIUS-Server. Konfigurieren Sie eine einzige SSID für Bewohner („Residents_WiFi“) im WPA2/WPA3-Übergangsmodus. Ordnen Sie in der RADIUS-Datenbank jeder Wohnung ein eindeutiges VLAN zu (VLANs 10 bis 160 für 150 Einheiten). Integrieren Sie die RADIUS-Bereitstellungs-API in das Immobilienverwaltungssystem, sodass bei Mietbeginn automatisch ein eindeutiger 16-stelliger MPSK generiert und als QR-Code per E-Mail an den Bewohner gesendet wird. Aktivieren Sie die mDNS-Reflektion innerhalb jedes Bewohner-VLANs, damit Chromecast, Apple TV und Sonos korrekt funktionieren. Deaktivieren Sie die Client-Isolierung auf der Bewohner-SSID. Wenn ein Mietverhältnis endet, ruft das Immobilienverwaltungssystem die RADIUS-API auf, um den Schlüssel zu löschen. Die Geräte des ausziehenden Bewohners verlieren den Zugriff innerhalb von Sekunden. Kein anderer Bewohner ist davon betroffen.
Ein Anbieter von studentischem Wohnen mit 400 Betten verzeichnet jeden September während der Einzugswoche einen schweren Netzwerkeinbruch. Derzeit werden sechs SSIDs ausgestrahlt, um den Datenverkehr nach Etagen und Unterkunftstypen zu trennen. Es wird Cisco Meraki Hardware verwendet. Wie sollte das Netzwerk neu gestaltet werden?
Konsolidieren Sie die sechs SSIDs auf drei: „Student_Secure“ (iPSK), „Staff“ (802.1X) und „Guest“ (Captive Portal). Implementieren Sie Meraki iPSK auf der SSID „Student_Secure“. Stellen Sie vor der Einzugswoche 400 eindeutige iPSK-Schlüssel über die Meraki Dashboard-API bereit und ordnen Sie jeden Schlüssel einem bestimmten Zimmer-VLAN zu. Verteilen Sie die Schlüssel während der Registrierung vor der Ankunft über das Studentenportal, inklusive eines QR-Codes in der Begrüßungs-E-Mail. Dimensionieren Sie die DHCP-Bereiche für 10 Geräte pro Student (ein „/25“ pro VLAN bietet 126 nutzbare Adressen). Stellen Sie vor dem Einzugstag sicher, dass alle Trunk-Ports den gesamten VLAN-Bereich zulassen.
Übungsfragen
Q1. Ein Bauträger spezifiziert die Netzwerk-Hardware für ein neues BTR-Gebäude mit 300 Einheiten. Sein IT-Berater empfiehlt, für jede Etage eine eigene SSID auszustrahlen, um "die Dinge organisiert zu halten". Warum ist dies eine schlechte Architekturentscheidung und was ist der richtige Ansatz?
Hinweis: Berücksichtigen Sie die Auswirkungen von Management-Frames auf die drahtlose Airtime und wie PPSK die Notwendigkeit von SSIDs pro Etage überflüssig macht.
Musterlösung anzeigen
Das Ausstrahlen mehrerer SSIDs führt zu einer SSID-Proliferation. Jede SSID erfordert, dass der Access Point Beacon-Frames mit der niedrigsten Basisrate (typischerweise 1 Mbps) überträgt, was Airtime verbraucht, bevor überhaupt Benutzerdaten übertragen werden. In einem dichten Wohngebäude mit 10 oder mehr Access Points pro Etage erzeugt das Ausstrahlen einer SSID pro Etage über 10 Etagen hinweg 100 SSIDs in der HF-Umgebung, was die Leistung für alle Nutzer drastisch verschlechtert. Der richtige Ansatz besteht darin, eine einzige Bewohner-SSID auszustrahlen und PPSK zu verwenden, um jede Wohnung einem eigenen, isolierten VLAN zuzuweisen. Dies bietet eine Isolierung pro Einheit ohne jeglichen Beacon-Overhead über eine einzelne SSID hinaus.
Q2. Ein Hotel-IT-Manager möchte 802.1X für alle Gästezimmer einführen, um maximale Sicherheit zu gewährleisten. Er plant, beim Check-in Benutzernamen und Passwörter auszugeben. Welche kritische technische Barriere macht diesen Ansatz für ein Hospitality-Umfeld unbrauchbar und was ist die empfohlene Alternative?
Hinweis: Denken Sie an die Arten von Geräten, die Gäste mitbringen, insbesondere an solche ohne Bildschirme oder Betriebssysteme.
Musterlösung anzeigen
802.1X erfordert einen Supplicant auf dem Client-Gerät, um den EAP-Authentifizierungsaustausch abzuwickeln. Während Laptops und Smartphones über Supplicants verfügen, ist dies bei bildschirmlosen IoT-Geräten - wie Smart-TVs, Spielekonsolen, Streaming-Sticks und kabellosen Lautsprechern - nicht der Fall. Gäste wären nicht in der Lage, diese Geräte mit dem Netzwerk zu verbinden. Die empfohlene Alternative ist PPSK: Jedem Gast wird beim Check-in (über die Integration des Hotelmanagementsystems) ein eindeutiger Schlüssel zugewiesen, der alle seine Geräte mit einem dedizierten VLAN verbindet. Wenn der Gast auscheckt, wird der Schlüssel automatisch widerrufen.
Q3. Während einer PPSK-Bereitstellung auf Juniper Mist berichten Bewohner, dass sie ihre Smartphones mit dem WiFi verbinden können, ihre Smart-Speaker jedoch während des ersten Einrichtungsprozesses keine Verbindung herstellen können. Der Smart-Speaker wird als Verbindungsversuch angezeigt, schließt die Authentifizierung jedoch nie ab. Was sind die zwei wahrscheinlichsten Ursachen und wie lösen Sie diese jeweils?
Hinweis: Berücksichtigen Sie sowohl, wie das Netzwerk das Gerät während der ersten Verbindung identifiziert, als auch, ob das Gerät den Authentifizierungs-Handshake abschließen kann.
Musterlösung anzeigen
Die zwei wahrscheinlichsten Ursachen sind MAC-Randomisierung und das Fehlen eines Vorregistrierungs-Workflows. Erstens wurde das Smartphone möglicherweise mit seiner permanenten Hardware-MAC vorregistriert, während der Smart-Speaker eine randomisierte MAC präsentiert, die mit keinem Eintrag in der RADIUS-Datenbank übereinstimmt. Lösung: Konfigurieren Sie die SSID so, dass permanente MAC-Adressen angefordert werden, oder fügen Sie die permanente MAC des Smart-Speakers zum PPSK-Profil des Bewohners hinzu. Zweitens erfordern einige Smart-Speaker, dass sich das Gerät während der Ersteinrichtung im selben Netzwerk wie das steuernde Telefon befindet. Wenn die Client-Isolierung aktiviert ist, können Telefon und Lautsprecher nicht kommunizieren, selbst wenn beide verbunden sind. Lösung: Deaktivieren Sie die Client-Isolierung auf der Bewohner-SSID und überprüfen Sie, ob das mDNS-Reflection innerhalb des Bewohner-VLANs aktiviert ist.
Q4. Ein BTR-Betreiber mit 500 Einheiten hat PPSK unter Verwendung von Controller-lokalem Schlüsselspeicher auf seiner Ubiquiti UniFi-Infrastruktur bereitgestellt. Nach sechs Monaten Betrieb stellt das Netzwerkteam fest, dass keine neuen Bewohner mehr bereitgestellt werden können, da der Schlüsselspeicher voll ist. Was ist schiefgelaufen und was ist die richtige Behebung?
Hinweis: Berücksichtigen Sie die Skalierbarkeitsgrenze von Controller-lokalem PPSK und die richtige Architektur für groß angelegte Bereitstellungen.
Musterlösung anzeigen
Der Betreiber hat ein Controller-lokales PPSK bereitgestellt, das Schlüssel direkt auf dem UniFi-Controller speichert. UniFi unterstützt maximal 1.000 PPSK-Einträge pro Netzwerk. Ein Gebäude mit 500 Wohneinheiten und mehreren Geräten pro Bewohner wird dieses Limit schnell ausschöpfen. Die korrekte Behebung ist die Migration zu einer RADIUS-gestützten PPSK-Architektur. Ein externer RADIUS-Server - wie der Cloud-RADIUS-Service von Purple - speichert die Schlüsseldatenbank und skaliert auf Zehntausende gleichzeitiger Schlüssel. Die UniFi Access Points fragen bei jeder neuen Verbindung den RADIUS-Server ab, wodurch das Controller-lokale Schlüssellimit entfällt. Als Faustregel gilt: Jede Bereitstellung mit mehr als 100 Einheiten sollte von Anfang an RADIUS-gestütztes PPSK verwenden.
Weiterlesen in dieser Reihe
Uu PPSK pdf: Comparing Features and Deployment Models
Dieser technische Leitfaden vergleicht die Private Pre-Shared Key (PPSK) WiFi-Architektur mit herkömmlichen 802.1X- und Standard-PSK-Bereitstellungen. Er bietet Netzwerkarchitekten und IT-Managern herstellerunabhängige Implementierungsstrategien für Wohnanlagen mit mehreren Mietern, IoT- und BTR-Umgebungen.
Uu PPSK 2023: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser technische Referenzleitfaden vergleicht die Unique per-User Private Pre-Shared Key (UU PPSK) WiFi-Architektur mit herkömmlichen gemeinsam genutzten PSK- und 802.1X-Implementierungen, mit einem besonderen Fokus auf der Landschaft der Anbieterimplementierungen und Plattformfunktionen im Jahr 2023. Er bietet Immobilienentwicklern, BTR-Betreibern und MDU-Vermietern umsetzbare Bereitstellungsstrategien, Anleitungen zur VLAN-Architektur und automatisierte Workflows für das Lifecycle-Management. Der Leitfaden deckt drei Bereitstellungsmodellen, Fallstudien aus der Praxis und die Compliance-Auswirkungen des jeweiligen Authentifizierungsansatzes ab.
PPSK xaverius: Vergleich von Funktionen und Bereitstellungsmodellen
Dieser fundierte Leitfaden untersucht die PPSK xaverius-Architektur für mandantenfähige Umgebungen wie Mietwohnanlagen (Build to Rent) und Studentenwohnheime. Er vergleicht Bereitstellungsmodelle, beschreibt Implementierungsstrategien im Detail und erklärt, wie die VLAN-Isolierung pro Wohneinheit ein heimisches WiFi-Erlebnis bietet und gleichzeitig die Enterprise-Sicherheit wahrt.