Fehlerbehebung bei Problemen mit der Windows 11 802.1X-Authentifizierung

[Introduction & Context] Hallo und herzlich willkommen zu diesem technischen Briefing von Purple. Ich bin Ihr Gastgeber, und heute befassen wir uns mit einem speziellen, folgenschweren Problem, das IT-Teams in der gesamten Unternehmenslandschaft Kopfzerbrechen bereitet: Windows 11-Upgrades, die die drahtlose 802.1X-Authentifizierung stören. Wenn Sie ein Unternehmensnetzwerk verwalten – sei es ein weitläufiger Krankenhauscampus, ein Einzelhandelsbetrieb mit mehreren Standorten oder ein großer öffentlicher Veranstaltungsort – verlassen Sie sich auf 802.1X, um Ihre drahtlose Infrastruktur zu sichern. Es ist der Goldstandard. Doch in letzter Zeit haben wir einen sprunghaften Anstieg von Support-Tickets beobachtet, bei denen Geräte auf Windows 11 aktualisiert werden und plötzlich die Verbindung zum sicheren Wi-Fi verlieren. Heute werden wir genau analysieren, warum dies geschieht, wie man es schnell diagnostiziert und welche Schritte Sie unternehmen müssen, um das Problem zu beheben und zu verhindern, dass es in zukünftigen Rollout-Phasen erneut auftritt. Legen wir los. [Technical Deep-Dive] Was genau geht also kaputt, wenn ein Rechner auf Windows 11 aktualisiert wird? Um den Fehler zu verstehen, müssen wir uns den Authentifizierungs-Handshake ansehen. Die meisten Unternehmen nutzen entweder PEAP-MSCHAPv2 oder EAP-TLS für ihre 802.1X-Netzwerke. Beide basieren stark auf Zertifikatsvertrauen. Wenn ein Windows-Client versucht, eine Verbindung herzustellen, präsentiert der RADIUS-Server – oft ein Network Policy Server oder NPS – sein Zertifikat. Der Client prüft dann, ob er der Root Certification Authority vertraut, die das NPS-Zertifikat ausgestellt hat. Hier liegt der Kern des Windows 11-Problems: Bei einigen Upgrade-Pfaden oder aufgrund verschärfter Sicherheitsstandards in Windows 11 werden die Bindungen des vertrauenswürdigen Root-Zertifikats für das drahtlose Profil entfernt oder nicht korrekt migriert. Darüber hinaus wurde in Windows 11 standardmäßig Credential Guard auf kompatibler Hardware aktiviert, was die Speicherung und den Zugriff auf NTLM- und MS-CHAPv2-Anmeldedaten ändert und manchmal ältere PEAP-Konfigurationen stört. Wenn der Client das Zertifikat des Servers nicht validieren kann, bricht die Verbindung sofort ab. Der Benutzer sieht lediglich die Meldung „Keine Verbindung mit diesem Netzwerk möglich“, aber im Hintergrund handelt es sich um einen harten Fehler beim Aufbau des TLS-Tunnels. [Implementation Recommendations & Pitfalls] Wie beheben wir das? Die sofortige Behebung umfasst das Verteilung eines aktualisierten Group Policy Objects (GPO) an Ihre Endpunkte. Erstens müssen Sie sicherstellen, dass Ihr Root-CA-Zertifikat explizit im Speicher für „Vertrauenswürdige Stammzertifizierungsstellen“ auf allen Client-Geräten hinterlegt ist. Zweitens – und diesen Schritt übersehen viele –, müssen Sie Ihre Richtlinien für Drahtlosnetzwerke (IEEE 802.11) im GPO aktualisieren. Sie müssen die vertrauenswürdige Root-CA in den PEAP- oder EAP-TLS-Eigenschaften des WLAN-Profils explizit auswählen. Wenn dieses Kontrollkästchen nicht aktiviert ist, verweigert Windows 11 die Verbindung. Eine große Falle, die wir häufig sehen, besteht darin, dass IT-Teams versuchen, das Problem zu umgehen, indem sie die Serverzertifikatsvalidierung vollständig deaktivieren. Tun Sie das nicht. Das Deaktivieren der Zertifikatsvalidierung öffnet Ihr Netzwerk für Evil-Twin-Angriffe und das Abgreifen von Anmeldedaten. Es verstößt gegen PCI-DSS- und GDPR-Compliance-Anforderungen. Reparieren Sie immer die Vertrauenskette; umgehen Sie sie niemals. Für eine langfristige Lösung, insbesondere wenn Sie ein großes Deployment wie in den Bereichen [Retail](/industries/retail) oder [Hospitality](/industries/hospitality) verwalten, sollten Sie in Betracht ziehen, sich vollständig von passwortbasiertem PEAP zu verabschieden. Der Übergang zu EAP-TLS mit Geräte- und Benutzerzertifikaten ist weitaus robuster gegenüber diesen Anmeldedatenänderungen auf OS-Ebene. Mehr darüber erfahren Sie in unserem Leitfaden über [Implementing WPA3-Enterprise for Enhanced Wireless Security](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security). [Rapid-Fire Q&A] Gehen wir kurz ein paar Fragen durch, die wir häufig von Netzwerkarchitekten erhalten. Frage 1: "Wir nutzen eine öffentliche CA für unseren RADIUS-Server. Müssen wir diese trotzdem per GPO verteilen?" Antwort: Ja. Selbst wenn sich die CA standardmäßig im vertrauenswürdigen Windows-Stammzertifikatsspeicher befindet, muss das spezifische Drahtlosprofil so konfiguriert sein, dass es genau dieser CA für die Netzwerkauthentifizierung vertraut. Frage 2: "Können wir die Plattform von Purple nutzen, um dies zu umgehen?" Antwort: Purple zeichnet sich durch [Guest WiFi](/guest-wifi) und das Onboarding über Captive Portals aus. Für Ihre internen Unternehmens-SSIDs, die 802.1X nutzen, müssen Sie das zugrundeliegende Zertifikatsvertrauen auf dem Endpunkt auflösen. Für BYOD oder den Zugriff von Auftragnehmern kann die Weiterleitung über ein Captive Portal von Purple mit OpenRoaming jedoch eine äußerst effektive Alternative zur Verwaltung lokaler Zertifikate sein. [Zusammenfassung & Nächste Schritte] Zusammenfassend lässt sich sagen: Windows 11-Upgrades führen zu Problemen bei 802.1X aufgrund von Fehlern bei der Migration des Zertifikatsvertrauens und der Durchsetzung von Credential Guard. Ihr Aktionsplan: Überprüfen Sie die WLAN-AutoConfig-Protokolle in der Ereignisanzeige auf Fehler 11 oder 15. Aktualisieren Sie Ihre Wireless-GPOs, um der Root-CA Ihres RADIUS-Servers explizit zu vertrauen. Und planen Sie eine Migration zu EAP-TLS für dauerhafte Stabilität. Vielen Dank, dass Sie an diesem technischen Briefing teilgenommen haben. Weitere tiefe Einblicke in das Enterprise-Networking finden Sie in unseren Ressourcen auf Purple.ai.