Ablösung separater Anbieter für Gäste-WiFi, RADIUS und DNS-Filterung: Das Konsolidierungsszenario für Standorte mit mehreren Niederlassungen

Konsolidieren Sie, wenn ein Standortportfolio drei Anbieter bezahlt, um eine einzige Verbindung zu betreiben. Gäste-Anmeldung, Mitarbeiter-RADIUS und DNS-Filterung überschneiden sich beim VLAN-Mapping, bei Identitäten und Protokollen, sodass Fehler regelmäßig die Grenzen einzelner Anbieter überschreiten. Purple führt alle drei Funktionen auf Ihren vorhandenen Access Points aus: Purple Access für Gäste-Anmeldung und Cloud-RADIUS, Purple Shield für DNS-Filterung pro Netzwerk und VLAN.

Sollten Sie Gäste-WiFi, RADIUS und DNS-Filterung auf einer Plattform konsolidieren?

Für die meisten standortübergreifenden Portfolios: ja. Gäste-Anmeldung, Mitarbeiter-Authentifizierung und DNS-Filterung wirken wie drei separate Produkte. Im Netzwerk wirken sie jedoch nacheinander auf eine einzige Verbindung ein und nutzen eine gemeinsame Konfiguration.

Dies ist der Ablauf: Ein Gast verbindet sich mit einer SSID und der Access Point leitet ihn zu einem Captive Portal weiter - der Anmeldeseite, die vor dem Internetzugang angezeigt wird. Der Controller fragt daraufhin einen RADIUS-Server, ob der Zugang gestattet werden soll. RADIUS, definiert in RFC 2865, ist das Protokoll, das Access Points für diese Entscheidung verwenden. Mitarbeitergeräte nutzen dasselbe Protokoll über IEEE 802.1X, den Standard für portbasierte Zugriffskontrolle. Sobald eines der Geräte online ist, durchläuft jede DNS-Abfrage den Filterdienst.

Drei Anbieter bedeuten drei Verträge, drei Konsolen, drei Support-Desks und drei Protokollsätze für ein einziges Ereignis. Das Argument für eine Konsolidierung der WiFi-Anbieter basiert auf der Beseitigung dieser Redundanzen. Unsere Empfehlung:

• Vollständig konsolidieren, wenn ein einziges Team das Gäste- und Mitarbeiter-WiFi an 10 oder mehr Standorten betreibt und Verträge innerhalb von 18 Monaten harmonisiert werden können.
• Konsolidieren und einen Spezialisten beibehalten, wenn eine Anforderung außerhalb des WiFi-Zugangs liegt, wie z. B. kabelgebundene Posture-Checks oder TLS-Inspektion auf verwalteten Laptops.
• Bestehenden Stack bis zur Verlängerung beibehalten, wenn die vorzeitigen Ausstiegsgebühren die Betriebskosten übersteigen, die Sie in der verbleibenden Laufzeit einsparen würden.

Purple führt alle drei Funktionen auf den Access Points aus, die Sie bereits besitzen. Es ist kein Rip-and-Replace erforderlich.

Wo überschneiden sich Anbieter für Gäste-WiFi, RADIUS und DNS-Filterung?

Diese Überschneidungen sind keine reinen Marketingversprechen. Sie entstehen durch Konfigurationen, die an zwei Stellen gepflegt werden, Identitäten, die an drei Orten vorgehalten werden, und personenbezogene Daten, die von allen dreien verarbeitet werden.

Zwei RADIUS-Pfade für eine Organisation

Die meisten Gästeplattformen fungieren bereits als RADIUS-Server. Bei vielen Controllern endet der externe Captive-Portal-Ablauf mit einer RADIUS-Autorisierung, die den Gast für das Netzwerk freischaltet. Ihr Mitarbeiternetzwerk betreibt daraufhin einen zweiten RADIUS-Dienst. Dabei handelt es sich häufig um ein Serverpaar in der Zentrale oder einen separaten Cloud-RADIUS-Vertrag.

Sie bezahlen doppelt für RADIUS, verwalten zwei Sets von Shared Secrets pro Standort und müssen zwei Dienste patchen. Mit Purple nutzen Gäste-WiFi und Mitarbeiter-Authentifizierung dieselbe Cloud-RADIUS. Jeder Access Point verweist auf einen einzigen Dienst.

Doppelt vorgehaltenes VLAN- und Richtlinien-Mapping

Ein VLAN ist ein virtuelles LAN, ein logisches Netzwerksegment auf gemeinsam genutzter Hardware. RADIUS kann bei jeder Accept-Nachricht unter Verwendung der in RFC 3580 beschriebenen Tunnelattribute eine VLAN-Zuweisung zurückgeben. Ihr Anbieter für DNS-Filterung wendet die Richtlinie dann nach VLAN, Subnetz oder Egress-IP-Adresse an.

Die Verknüpfung zwischen „Dies ist das Gästenetzwerk“ und „Dies ist die Gästerichtlinie“ befindet sich daher in zwei Konsolen. Wenn Sie an einem Standort ein Subnetz umnummerieren oder ein VLAN aufteilen, müssen beide am selben Tag geändert werden. Wenn sich nur eine Konsole ändert, erhalten Mitarbeiter die Gästerichtlinie oder Gäste erhalten überhaupt keine Filterung.

Drei Identitätsdatensätze, die nie zusammenfinden

Die Gästeplattform weiß, wer sich angemeldet hat und worin eingewilligt wurde. Der RADIUS-Dienst weiß, welche Mitarbeiteridentität authentifiziert wurde. Der DNS-Filter weiß, welche IP-Adresse welche Domain angefordert hat.

Keine dieser Komponenten teilt einen Schlüssel mit den anderen. Die Beantwortung der Frage „Wer befand sich in welchem Netzwerk, als diese Domain blockiert wurde?“ erfordert drei Exporte. Anschließend gleichen Sie drei Zeitstempelformate ab und führen den Abgleich anhand von IP-Adresse und Uhrzeit durch. Auf einer einzigen Plattform befindet sich der Anmeldedatensatz, der WiFi Analytics speist, direkt neben der Authentifizierungs- und Filterrichtlinie.

Drei Auftragsverarbeiter für dieselben personenbezogenen Daten

Jeder Anbieter verarbeitet personenbezogene Daten: Namen, E-Mail-Adressen, MAC-Adressen von Geräten, IP-Adressen und angeforderte Domains. Gemäß UK GDPR Artikel 28 benötigt jeder einen eigenen Vertrag zur Auftragsverarbeitung. Gemäß Artikel 30 erscheint jeder in Ihrem Verzeichnis von Verarbeitungstätigkeiten. Ein Anbieter für Gäste-WiFi und RADIUS plus ein Filteranbieter bedeutet drei Einträge für einen einzigen Dienst.

Was kostet jede Übergabe zwischen Anbietern?

Eine Übergabe ist jeder Punkt, an dem ein Ticket die Warteschlange eines Anbieters verlässt und in die eines anderen gelangt. Jede Übergabe verursacht zusätzliche Wartezeiten, erneute Erklärungen und Beweiserhebungen. Diese fünf Übergaben treten in Umgebungen mit drei Anbietern immer wieder auf.

1. Gäste können die Anmeldeseite nicht erreichen. Der DNS-Filter blockiert eine Domain, von der das Captive Portal abhängt, oder den Hostnamen zur Captive-Portal-Erkennung eines Betriebssystems. Der Portalanbieter meldet, dass die Seite erreichbar ist. Der Filteranbieter meldet, dass die Richtlinie korrekt ist. Ihr Netzwerkteam muss den Fehler zwischen beiden nachweisen.
2. Mitarbeiter landen im falschen VLAN. RADIUS gibt ein unerwartetes VLAN zurück, und der DNS-Filter wendet die Gästerichtlinie auf Mitarbeitergeräte an. Zwei Anbieter teilen sich ein Symptom.
3. Ein ausscheidender Mitarbeiter behält den WiFi-Zugriff. Der RADIUS-Dienst ist nicht an Ihren Identity-Provider angebunden, sodass sich ein deaktiviertes Konto weiterhin authentifiziert. Der Fehler liegt zwischen der Personalabteilung, der IT und dem RADIUS-Anbieter.
4. Ein Besucher beschwert sich über eine blockierte Website. Für eine Antwort sind der Anmeldedatensatz, die Netzwerkzuweisung und das DNS-Protokoll erforderlich. Das bedeutet drei Exporte von drei Anbietern.
5. Eine RADIUS-Zertifikatserneuerung unterbricht das Mitarbeiter-WiFi. Geräte, die das alte Serverzertifikat validieren, lehnen das neue ab. Der RADIUS-Anbieter, Ihr Device-Management-Team und die Access-Point-Konfiguration liegen alle im Fehlerpfad.

Ein praxisnahes Modell, das Sie auf Ihre eigenen Ticketdaten anwenden können

Sie benötigen keine Branchendurchschnitte, da Ihr Service Desk die Zahlen bereits vorliegen hat. Filtern Sie 12 Monate an WiFi-Tickets nach Vorgängen, in denen mehr als ein Anbieter genannt wurde. Wenden Sie dann dieses Modell an.

Die folgenden Angaben dienen der Veranschaulichung und stellen keine gemeldeten Ergebnisse dar. Ersetzen Sie diese durch Ihre eigenen Daten:

• 30 Multi-Vendor-Tickets pro Monat über den gesamten Bestand hinweg.
• Durchschnittlich zwei Übergaben pro Ticket.
• 40 Minuten Technikerzeit pro Übergabe, einschließlich Protokollierung, Wartezeit, erneuter Erläuterung und Teilnahme an Telefonaten.

Das ergibt 30 × 2 × 40 = 2.400 Minuten bzw. 40 Technikerstunden pro Monat. Auf ein Jahr hochgerechnet sind das 480 Stunden. Auf einer einzigen WiFi-Plattform entfallen diese anbieterübergreifenden Übergaben. Der Fehler muss zwar weiterhin behoben werden, befindet sich jedoch in einer einzigen Warteschlange mit einem einzigen Protokoll.

Bei einem Vorfall spielt die verstrichene Zeit eine größere Rolle als die reine Technikerzeit. Jede Übergabe addiert die Reaktionszeit des nächsten Anbieters zu Ihrer Lösungszeit hinzu. Ihre Gäste müssen die gesamte Zeit über warten.

Wie verändert eine einzige Plattform Ihre Audit-Nachweise?

Auditoren stellen zwei Arten von Fragen zu WiFi. Wird der Service kontrolliert? Werden die Anbieter kontrolliert? Drei Anbieter verdreifachen die Antworten auf die zweite Frage und fragmentieren die Antworten auf die erste.

Die Maßnahmen 5.19 bis 5.22 aus Anhang A der ISO/IEC 27001:2022 behandeln Lieferantenbeziehungen. Sie umfassen die Sicherheit in Lieferantenvereinbarungen, die IKT-Lieferkette sowie die Überwachung und Überprüfung von Lieferantendiensten. Jeder WiFi-Anbieter fällt für jede Maßnahme in den Geltungsbereich.

Die Anforderung 11.4.5 des PCI DSS v4.0 verlangt die Überprüfung von Segmentierungskontrollen, sofern Sie sich auf eine Segmentierung zur Reduzierung des Geltungsbereichs für Karteninhaberdaten verlassen. Für Einzelhändler oder Hotels umfasst dieser Test die Zuweisung von RADIUS VLAN und die Filterrichtlinie für jedes Segment.

Nachweisobjekt	Drei Anbieter	Einheitliche Purple-Plattform
Sicherheitsbewertungen der Anbieter (ISO 27001 A.5.19 bis A.5.21)	3	1
Überprüfungen der Anbieterdienste (ISO 27001 A.5.22)	3	1
Auftragsverarbeitungsverträge gemäß Artikel 28 GDPR	3	1
Im WiFi-Verarbeitungsverzeichnis genannte Auftragsverarbeiter	3	1
Admin-Konsolen in Ihren Zugriffsüberprüfungen	3	1
Systeme mit VLAN-zu-Richtlinien-Zuordnung	2	1
Zu korrelierende Protokollquellen für einen einzelnen Vorfall	3	1
Zu erfassende Zertifikate und Nachweise	Ein Satz von jedem der 3 Anbieter	ISO 27001- und Cyber Essentials-Zertifikate von Purple

Purple ist seit 2012 am Markt und wird an über 80.000 aktiven Standorten in mehr als 90 Ländern eingesetzt. Die Lösung ist nach ISO 27001 und Cyber Essentials zertifiziert, konform mit GDPR und CCPA und ein zertifizierter B Corp. Eine einzige Anbieterbewertung deckt Anmeldung, Authentifizierung und Filterung ab. Wenn Sie die Filterung für ein Gäste-VLAN ändern, wird in Ihrem Änderungsprotokoll nur ein einziges System anstelle von zweien aufgeführt.

Drei Anbieter, eine Plattform oder ein Hybridmodell: Was wo am besten passt

Die Liegenschaften, die am meisten profitieren, teilen ein gemeinsames Merkmal: Dasselbe Team betreut das Gäste- und Mitarbeiter-WiFi über viele Standorte hinweg. Das gilt für Hotels, Einzelhandelsketten mit Kunden-WiFi in jeder Filiale sowie Betreiber, die Fahrgast-WiFi in Zügen bereitstellen.

Multi-Tenant-Standorte passen ebenfalls. Die Designanforderungen in Einkaufszentren WiFi spiegeln sich direkt in separaten Segmenten für Gäste, Mieter und Mitarbeiter wider - jeweils mit einer eigenen Filterrichtlinie.

Achse	Drei Anbieter	Purple als zentrale Plattform	Purple plus ein beibehaltener Spezialist
Verträge und Verlängerungsdaten	3, meist zu unterschiedlichen Terminen	1	2
GDPR Artikel 28-Vereinbarungen für WiFi-Daten	3	1	2
Support-Weg bei Anmeldefehlern	3 Anbieter plus Ihr Netzwerkteam	Purple plus Ihr Netzwerkteam	Purple plus Ihr Netzwerkteam
Administrationskonsolen	3	1	2
Wo das VLAN-to-Policy-Mapping liegt	RADIUS-Dienst und DNS-Filter getrennt	Purple	Purple für WiFi, Spezialist für den eigenen Bereich
Access-Point-Austausch erforderlich	Keine	Keine	Keine
Anbieterprüfungen pro Audit-Zyklus	3	1	2
Geeignet für	Liegenschaften mit Ausstiegskosten über den verbleibenden Betriebskosten	Ein Team, das Gäste- und Mitarbeiter-WiFi an über 10 Standorten betreibt	Liegenschaften mit Filter- oder Zugriffskontrollanforderungen über WiFi hinaus

Welche Betriebskosten entstehen bei den einzelnen Optionen?

Lizenzkosten sind der sichtbare Posten. Der Großteil der Betriebskosten liegt woanders. Erstellen Sie eine Drei-Jahres-Übersicht Ihres aktuellen Stacks anhand dieser sechs Punkte:

• Lizenzen. Drei Anbieter rechnen häufig nach unterschiedlichen Einheiten ab: pro Standort, pro Access Point oder pro Gerät. Standardisieren Sie diese vor dem Vergleich auf Kosten pro Standort.
• Infrastruktur. On-Premises-RADIUS bedeutet Server, Betriebssystem-Patches und Zertifikatsverlängerungen. Die Cloud-RADIUS von Purple macht Server überflüssig.
• Integrationspflege. Jeder Anbieter benötigt eigene Admin-Logins, API-Verbindungen und Geräteverwaltungsprofile.
• Lieferantenmanagement. Due Diligence, Prüfung von Auftragsverarbeitungsverträgen und jährliche Serviceüberprüfungen fallen dreifach an. Berechnen Sie die Stunden, die Ihre Sicherheits- und Beschaffungsteams dafür aufwenden.
• Aufwand bei Störungen. Wenden Sie das oben genannte Hand-off-Modell auf Ihre eigenen Ticketdaten an.
• Asynchrone Vertragsverlängerungen. Drei Verlängerungstermine bedeuten drei Verhandlungen und drei Kündigungsfristen, die Sie im Blick behalten müssen.

Stellen Sie diesem Gesamtaufwand anschließend das Angebot von Purple gegenüber - zuzüglich Migrationsaufwand und etwaiger Ausstiegsgebühren. Hardware spielt beim Vergleich keine Rolle. Purple ist hardwareunabhängig und fungiert als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Unter Warum Ihr nächstes WiFi-Upgrade keine neue Hardware erfordert wird dieses Modell ausführlicher beschrieben.

Welche Risiken birgt die Konsolidierung und wie lassen sie sich steuern?

Klumpenrisiko

Ein einziger Anbieter übernimmt nun Gäste-Anmeldung, Mitarbeiter-Authentifizierung und Filterung. Fällt er aus, sind alle drei Bereiche gleichzeitig betroffen. Drei Anbieter beseitigen dieses Risiko jedoch nicht: Die Dienste greifen nacheinander, sodass ein Ausfall eines einzelnen Dienstes verhindert, dass ein Gast online geht.

Steuern Sie dies im Rahmen der Due Diligence. Purple bietet eine Verfügbarkeit von 99,999 % und verarbeitet 500 Millionen Benutzer und Anmeldungen pro Jahr. Fragen Sie nach, wie das Failover für RADIUS und DNS-Auflösung geregelt ist, und testen Sie dieses Verhalten an Ihrem Pilotstandort.

Zertifikatsvertrauen auf Mitarbeitergeräten

PEAP (Protected EAP) kapselt einen Benutzernamen und ein Passwort in einem TLS-Tunnel. EAP-TLS authentifiziert mit Client-Zertifikaten anstelle von Passwörtern. Geräte, die eine der beiden Methoden verwenden, validieren das Zertifikat des RADIUS-Servers, bevor sie Anmeldedaten senden. Wenn sich der RADIUS-Server ändert, müssen die Geräte dem neuen Zertifikat vertrauen, da sie andernfalls die Verbindung verweigern.

Verteilen Sie aktualisierte WiFi-Profile über das Gerätemanagement, bevor der jeweilige Standort umgestellt wird. So richten Sie Enterprise-WiFi auf iOS und macOS mit 802.1X ein behandelt den Profilaufbau für Apple-Umgebungen. Die Umstellung ist auch ein guter Zeitpunkt, um WPA3 auf Mitarbeiter-SSIDs zu überprüfen. WPA2 vs. WPA3 stellt die Vor- und Nachteile gegenüber.

Parität der Filterrichtlinien

Exportieren Sie vor der Migration jede Filterkategorie sowie Allow- und Blocklisten pro Netzwerk. Weisen Sie jede einer Shield-Richtlinie pro VLAN zu. Testen Sie das Ergebnis am Pilotstandort anhand der alten Blockliste.

Vereinbaren Sie Freigabekriterien mit den Verantwortlichen für die Filteranforderungen. Das kann eine Kinderschutzbeauftragte bzw. ein Kinderschutzbeauftragter, die Personalabteilung oder die in einer Betriebserlaubnis genannte Person sein.

Kommerzielle Überschneidungen

Gestaffelte Vertragsverlängerungen bedeuten, dass Sie während der Migration möglicherweise für zwei Dienste bezahlen. Erfassen Sie die Laufzeit, Kündigungsfrist und Ausstiegsgebühren jedes Vertrags. Wenn Vertragsstrafen hoch sind, stimmen Sie die Migration zeitlich auf die Verlängerungstermine ab.

Ausstiegsrisiko

Purple läuft auf Hardware, die Ihnen gehört. Ein späterer Ausstieg erfordert daher lediglich eine Konfigurationsänderung am Controller und keinen Hardwareaustausch. Vereinbaren Sie vor Vertragsunterzeichnung Bedingungen für den Datenexport und die Datenaufbewahrung.

Grenzen, die kein DNS-Filter beseitigt

DNS-Filterung greift bei der Namensauflösung. Geräte, die DNS over HTTPS (RFC 8484) oder fest codierte Resolver verwenden, können jeden DNS-Filter jedes Anbieters umgehen. Blockieren Sie ausgehenden DNS-Datenverkehr zu nicht genehmigten Resolvern an Ihrer Firewall. Blockieren Sie bekannte DNS-over-HTTPS-Endpunkte, sofern Ihre Richtlinie dies erfordert. Da die DNS-Filterung anhand von Domains entscheidet, prüft sie keine Seiteninhalte.

Wann sollten Sie einen spezialisierten Anbieter behalten?

Behalten Sie einen Spezialisten für Bereiche außerhalb des WiFi-Zugriffs und konsolidieren Sie alles innerhalb dieses Bereichs. Vier Situationen rechtfertigen das Beibehalten eines Anbieters oder einen verzögerten Wechsel:

• Verwaltete Endgeräte benötigen mehr als Kontrolle auf DNS-Ebene. Wenn Unternehmens-Laptops eine TLS-Inspektion oder eine Filterung benötigen, die auch außerhalb des Standorts greift, behalten Sie diesen Dienst für diese Endgeräte bei. Betreiben Sie Purple Shield in Ihren WiFi-Netzwerken.
• Kabelgebundene Ports benötigen eine zustandsbasierte Zugriffskontrolle. Behalten Sie Ihre kabelgebundene Netzwerkzugriffskontrolle für Unternehmens-Ports bei. Nutzen Sie Purple Access für Gäste- und Mitarbeiter-WiFi.
• Klinische oder betriebliche Geräte laufen über eine dedizierte Zugriffskontrolle. Im Gesundheitswesen sollten Sie Kontrollen für klinische Geräte beibehalten. Konsolidieren Sie das WiFi für Patienten, Besucher und Mitarbeiter auf Purple.
• Ausstiegsgebühren übersteigen die Einsparungen. Wenn die Vertragsstrafen höher sind als die in der restlichen Laufzeit entfallenden Betriebskosten, bleiben Sie bis zur Verlängerung. Wechseln Sie erst dann.

Ein gesetzlich vorgeschriebener Filterstandard ist ein Prüfschritt, kein Grund zum Verbleib. Schulen in England folgen beispielsweise „Keeping Children Safe in Education“, was eine angemessene Filterung und Überwachung vorsieht. Validieren Sie die Kategorien von Shield an Ihrem Pilotstandort anhand der Anforderungen und konsolidieren Sie anschließend.

Wie die Konsolidierung in der Praxis aussieht

Dies sind praxisnahe Beispiele, die auf dargelegten Annahmen basieren. Sie verdeutlichen die rechnerischen Vorteile einer Konsolidierung, stellen jedoch keine tatsächlichen Ergebnisse namentlich genannter Veranstaltungsorte dar.

Gastgewerbe: eine Gruppe mit 60 Hotels auf Basis von Cisco Meraki

Situation. Die Gruppe nutzt einen Anbieter für Gäste-WiFi für die Anmeldung und zwei RADIUS-Server in der Zentrale für das Mitarbeiter-PEAP. Ein dritter Anbieter filtert das DNS im Gäste-VLAN. Die Verträge verlängern sich in drei verschiedenen Quartalen.

Vorgehensweise. Purple Access ersetzt die Gästeanmeldung und den RADIUS für Mitarbeiter auf den vorhandenen Meraki-Access-Points. Purple Shield übernimmt die Filterung in den Gäste- und Mitarbeiter-VLANs. Der Rollout erfolgt in sechs regionalen Phasen mit jeweils 10 Hotels. Mitarbeiter-WiFi-Profile werden vor jeder Phase über die Geräteverwaltung neu zugewiesen.

Messbares Ergebnis. Die Anzahl der Verträge sinkt von drei auf einen und die Anzahl der Auftragsverarbeitungsverträge nach Artikel 28 von drei auf einen. Zwei RADIUS-Server in der Zentrale werden außer Betrieb genommen. Bei 30 Tickets pro Monat, an denen mehrere Anbieter beteiligt sind, spart das oben beschriebene Übergabemodell 480 Technikerstunden pro Jahr ein.

Öffentlicher Sektor: eine Kommunalverwaltung mit 25 Bibliotheken und Freizeitzentren

Situation. Das öffentliche WiFi für Besucher muss jugendgefährdende und illegale Inhalte filtern. Das Mitarbeiter-WiFi authentifiziert sich über 802.1X gegenüber Microsoft Entra ID über einen separaten RADIUS-Anbieter. Ein dritter Anbieter filtert das DNS anhand der Egress-IP jedes Standorts. Das jährliche Audit verlangt Nachweise von allen drei Anbietern.

Vorgehensweise. Purple Access übernimmt die Besucheranmeldung und den cloudbasierten RADIUS für Mitarbeiter. Die Identity-Based Networks von Purple verknüpfen den Mitarbeiterzugriff mit Microsoft Entra ID, sodass Ein-, Um- und Austritte von Mitarbeitern den dort vorgenommenen Änderungen folgen. Shield wendet eine strenge Richtlinie auf das öffentliche VLAN und eine separate Richtlinie auf das Mitarbeiter-VLAN an.

Messbares Ergebnis. Die Lieferantenbewertungen für den WiFi-Dienst sinken von drei auf eine. Die Protokollquellen für Beschwerden bezüglich der Filterung reduzieren sich von drei auf eine. Die Zuordnung von VLAN zu Richtlinien sinkt von 50 Einträgen auf zwei Systemen auf 25 Standorte in einem System.

Veranstaltungen: ein Stadion und Konferenzzentrum setzt weiterhin auf einen Spezialisten

Situation. Der Veranstaltungsort bezieht Fan-WiFi, Mitarbeiter-RADIUS und DNS-Filterung von drei Anbietern. Die Konzern-IT betreibt außerdem ein Secure Web Gateway mit TLS-Inspektion für verwaltete Laptops.

Vorgehensweise. Purple Access deckt die Anmeldung für Fans und Besucher sowie den RADIUS für Mitarbeiter ab. Shield filtert die Fan- und Mitarbeiter-WiFi-VLANs. Das Secure Web Gateway bleibt für verwaltete Laptops vor Ort und außerhalb des Standorts im Einsatz.

Messbares Ergebnis. Die Anzahl der Verträge für WiFi sinkt von drei auf einen. Die sicherheitsrelevanten Verträge für den gesamten Standort reduzieren sich von vier auf zwei.

So treffen Sie die Entscheidung für Ihre Standorte

Beginnen Sie mit Ihrer Vertragsübersicht und Ihren Ticketdaten, und wählen Sie dann die passende Zeile unten aus.

Ihre Situation	Empfehlung
Alle drei Verträge enden innerhalb von 18 Monaten	Konsolidieren Sie auf Purple in einem einzigen Programm: Ein Pilotstandort, dann regionale Rollouts
Verträge enden über einen Zeitraum von zwei bis drei Jahren	Übertragen Sie jede Funktion bei ihrer Verlängerung auf Purple - Gäste-Anmeldung und Gäste-Filterung zuerst
Ein Team verwaltet Gäste- und Mitarbeiter-WiFi an mehr als 10 Standorten	Konsolidieren Sie auf Purple; Einsparungen bei Übergaben und Audits steigen mit der Standortanzahl
Verwaltete Laptops erfordern TLS-Inspektion oder standortunabhängige Filterung	Hybrid: Behalten Sie den Endgerätedienst für Laptops bei und betreiben Sie Purple Shield auf WiFi-VLANs
Kabelgebundene Ports erfordern zustandsbasierte Zugriffskontrolle	Hybrid: Behalten Sie die kabelgebundene Zugriffskontrolle bei und nutzen Sie Purple Access für Gäste- und Mitarbeiter-WiFi
Ausstiegsgebühren übersteigen die laufenden Kosten der Restlaufzeit	Bis zur Verlängerung beibehalten, dann auf Purple konsolidieren
Die Filterung muss einem benannten gesetzlichen Standard entsprechen	Validieren Sie die Shield-Kategorien am Pilotstandort und konsolidieren Sie anschließend

Welche Zeile auch zutrifft: Wenden Sie das Übergabemodell zunächst auf Ihre eigenen Tickets der letzten 12 Monate an. Diese Kennzahl, zusammen mit der Nachweisübersicht für Audits, liefert üblicherweise die geschäftliche Begründung für DNS-Filterung und Gäste-WiFi in einem einzigen Vertrag.

Häufig gestellte Fragen

Funktioniert Purple mit unseren vorhandenen Access Points?

Ja. Purple ist hardwareunabhängig und läuft als Cloud-Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie leiten Ihre SSIDs für die Gäste-Anmeldung und RADIUS auf Purple um, ohne dass Access Points ausgetauscht werden müssen. Die Konsolidierung von drei Anbietern auf Purple ist eine Konfigurationsänderung auf Ihrem Controller oder Cloud-Dashboard, kein Hardwareprojekt.

Kann Purple unseren aktuellen RADIUS-Server für Mitarbeiter-WiFi ersetzen?

Ja. Purple Access umfasst Cloud-RADIUS für die Mitarbeiterauthentifizierung über IEEE 802.1X auf Ihren vorhandenen Access Points, sodass lokale RADIUS-Server außer Betrieb genommen werden können. Der Mitarbeiterzugriff ist an Microsoft Entra ID, Okta oder Google Workspace angebunden, sodass Ein-, Um- und Austritte den dort vorgenommenen Änderungen automatisch folgen. Stellen Sie vor der Migration jedes Standorts die WiFi-Profile neu aus, damit die Geräte der Mitarbeiter dem neuen RADIUS-Serverzertifikat vertrauen.

Wie wird die DNS-Filterung parallel zu Gäste-WiFi lizenziert?

Purple Shield ist ein Sicherheits-Add-on zu Ihrem Purple-Tarif, sodass sich die DNS-Filterung im selben Vertrag befindet wie Gäste-Anmeldung und RADIUS. Shield wendet die Filterung pro Netzwerk und pro VLAN an. Ihre Gäste-, Mitarbeiter- und öffentlichen Netzwerke können daher an jedem Standort unterschiedliche Richtlinien haben. Sie verwalten ein einziges Verlängerungsdatum und eine zentrale Lieferantenprüfung anstelle separater Vereinbarungen.

Können wir schrittweise einen Anbieter nach dem anderen umstellen statt aller drei gleichzeitig?

Ja, und das ist für die meisten IT-Landschaften zu empfehlen. Beginnen Sie mit dem Vertrag, der als Erstes verlängert wird, oder mit der Gäste-Anmeldung und der Gäste-VLAN-Filterung, die das geringste Risiko bergen. Migrieren Sie das Mitarbeiter-RADIUS, sobald die Geräteprofile bereit sind. Führen Sie jede Phase zunächst an einem Pilotstandort durch, bevor Sie regionale Wellen starten. Halten Sie die Zuordnung von VLAN zu den Richtlinien zentral an einem Ort dokumentiert, bis der alte Anbieter vollständig abgelöst ist.

Erhöht die Bündelung bei einem einzigen Anbieter unser Ausfallrisiko?

Dadurch werden Abhängigkeiten gebündelt, weshalb Sie dies direkt evaluieren sollten. Purple bietet eine Verfügbarkeit von 99,999 % an über 80.000 Live-Standorten und verarbeitet jährlich 500 Millionen Nutzer und Anmeldungen. Fordern Sie im Rahmen der Due Diligence das Design für das RADIUS- und DNS-Failover an und testen Sie es an Ihrem Pilotstandort. Drei Anbieter bergen jeweils eigene Risiken: Ein Fehler bei einem einzigen von ihnen verhindert bereits, dass ein Gast online geht.

Ist Purple bezüglich Gast- und Mitarbeiterdaten konform mit GDPR?

Ja. Purple ist GDPR- und CCPA-konform und nach ISO 27001 sowie Cyber Essentials zertifiziert. Die Gastanmeldung nutzt Opt-ins nach bewusster Entscheidung, sodass Marketing-Einwilligungen explizit erteilt und erfasst werden. Durch die Konsolidierung auf Purple werden drei Auftragsverarbeitungsverträge nach Artikel 28 durch einen einzigen ersetzt. Ihr WiFi-Verarbeitungsverzeichnis nennt dann nur noch einen Auftragsverarbeiter für Anmelde-, Authentifizierungs- und Filterdaten.

Wann ist es sinnvoller, unseren aktuellen Filtering-Anbieter zu behalten?

Behalten Sie einen Spezialisten nur für Bereiche außerhalb des WiFi-Zugriffs. Wenn verwaltete Laptops eine TLS-Inspektion oder eine Filterung benötigen, die auch außerhalb des Standorts greift, behalten Sie diesen Dienst für diese Endgeräte bei. Nutzen Sie Purple Shield auf Ihren WiFi-Netzwerken. Wenn die Ausstiegsgebühren höher sind als die laufenden Kosten, die Sie einsparen würden, wechseln Sie zur Vertragsverlängerung. Für das Filtern von Gäste- und Mitarbeiter-WiFi pro Netzwerk und pro VLAN deckt Shield die Anforderungen ab.