Die Sicherheitsvorteile von RADIUS as a Service für hybride Belegschaften

Dieser technische Leitfaden erklärt, wie RADIUS as a Service den Netzwerkzugriff für hybride Belegschaften an verteilten Standorten sichert. Er behandelt die Architektur, die Sicherheitsvorteile und die Bereitstellungsschritte für den Ersatz von On-Premises-RADIUS-Infrastrukturen durch einen cloudverwalteten Authentifizierungsdienst. Für IT-Manager und Netzwerkarchitekten in Hotels, Einzelhandelsketten, Stadien und Organisationen des öffentlichen Sektors liefert dieser Leitfaden die notwendigen Argumente, um eine Migration zu Cloud-RADIUS in diesem Quartal zu bewerten und umzusetzen.

📖 9 Min. Lesezeit📝 2,096 Wörter🔧 2 ausgearbeitete Beispiele❓ 3 Übungsfragen📚 9 Schlüsseldefinitionen

Diesen Leitfaden anhören

Podcast-Transkript ansehen

Willkommen zu diesem technischen Briefing von Purple. Ich bin Ihr Gastgeber, und heute untersuchen wir eine entscheidende Veränderung in der Netzwerkarchitektur von Unternehmen: den Wechsel von On-Premises-RADIUS-Servern zu RADIUS as a Service. Wenn Sie die IT für eine Hotelgruppe, eine Einzelhandelskette, ein Stadion oder einen anderen großen öffentlichen Veranstaltungsort verwalten, wissen Sie, dass die Absicherung des Netzwerkzugriffs für eine hybride Belegschaft kein Randthema mehr ist. Sie ist zentral für Ihre Betriebssicherheit, Ihre Compliance-Richtlinien und, offen gesagt, für Ihren ruhigen Schlaf.

Heute werden wir fünf Bereiche behandeln. Erstens den Kontext: Warum die traditionelle On-Premises-RADIUS-Infrastruktur Schwierigkeiten hat, mit der hybriden Arbeit Schritt zu halten. Zweitens die technische Architektur von RADIUS as a Service und wie sie tatsächlich funktioniert. Drittens die spezifischen Sicherheitsvorteile, die Sie gewinnen. Viertens praktische Anleitungen zur Implementierung und die zu vermeidenden Fallstricke. Und fünftens eine schnelle Fragerunde mit den Fragen, die wir am häufigsten von IT-Managern und Netzwerkarchitekten hören.

Beginnen wir mit dem Kontext. Seit zwei Jahrzehnte stützt sich die 802.1X-Authentifizierung auf physische Server, auf denen FreeRADIUS unter Linux, der Microsoft Network Policy Server unter Windows oder die Cisco Identity Services Engine auf dedizierter Hardware laufen. Diese Systeme haben funktioniert. Sie funktionieren immer noch. Aber sie erfordern ständige Aufmerksamkeit. Sie mussten Betriebssysteme patchen, Zertifikatsketten verwalten, die Hochverfügbarkeit manuell konfigurieren und Redundanz über mehrere Server hinweg aufbauen. In einer Welt, in der sich Mitarbeiter ständig zwischen Büro, Remote-Standorten, Hotelzimmern und Kundenstandorten bewegen, wird diese statische On-Premises-Infrastruktur zu einem echten Risiko.

Das Problem wird durch den Wechsel zu Cloud-Identity-Providern noch verschärft. Microsoft NPS beispielsweise ist eng an das Active Directory gekoppelt. Es bietet keine native Unterstützung für Microsoft Entra ID, Google Workspace oder Okta. Wenn Ihr Unternehmen auf eines dieser Cloud-Verzeichnisse migriert ist, stehen Sie vor einer schwierigen Wahl: Betreiben Sie ein paralleles Active Directory nur zur Unterstützung Ihres RADIUS-Servers, oder investieren Sie erheblichen Entwicklungsaufwand in benutzerdefinierte Integrationen. Keine der beiden Optionen ist attraktiv.

RADIUS as a Service ändert diese Gleichung grundlegend. Es verlagert die Authentifizierungs-Engine in die Cloud. Sie verwalten nicht mehr die Infrastruktur, sondern die Richtlinien. Der Anbieter kümmert sich um die Server, das Patching, die Hochverfügbarkeit und die Integrationen. Sie definieren, wer worauf Zugriff erhält, und der Dienst setzt dies durch.

Kommen wir nun zur technischen Architektur. RADIUS, was für Remote Authentication Dial-In User Service steht, ist das in RFC 2865 definierte Protokoll. Es bietet eine zentrale Authentifizierung, Autorisierung und Benutzerabrechnung – was wir als AAA bezeichnen – für den Netzwerkzugriff. Wenn sich ein Gerät mit Ihrem WiFi-Netzwerk verbindet, fungiert der Access Point als RADIUS-Client. Er leitet die Authentifizierungsanfrage an den RADIUS-Server weiter. Der Server validiert die Anmeldedaten mit Ihrem Identitätsspeicher und gibt entweder ein Access-Accept oder ein Access-Reject zurück.

Bei einer Cloud-RADIUS-Bereitstellung wird der Server vom Anbieter in mehreren geografisch verteilten Rechenzentren gehostet. Ihre Access Points, seien es Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist oder Ubiquiti UniFi, verweisen über sichere, verschlüsselte Tunnel auf die Cloud-RADIUS-Endpunkte. Der Authentifizierungsfluss ist aus Sicht des Access Points identisch mit dem eines On-Premises-RADIUS. Der Unterschied besteht darin, dass der Server selbst vom Anbieter verwaltet, gepatcht und skaliert wird.

Die wichtigste Sicherheitsverbesserung bei modernen Cloud-RADIUS-Bereitstellungen ist der Wechsel zu EAP-TLS, was für Extensible Authentication Protocol mit Transport Layer Security steht. EAP-TLS ist in RFC 5216 definiert und bietet eine gegenseitige Authentifizierung mittels digitaler Zertifikate. Sowohl das Client-Gerät als auch der RADIUS-Server legen sich gegenseitig Zertifikate vor. Dies macht Passwörter im Authentifizierungsprozess völlig überflüssig. Ein Zertifikat ist kryptografisch an das Gerät gebunden und kann nicht wie ein Passwort durch Phishing erlangt, erraten oder gestohlen werden.

Die zweite wichtige Sicherheitsfunktion ist die dynamische VLAN-Zuweisung. Wenn der RADIUS-Server einen Benutzer authentifiziert, gewährt oder verweigert er nicht nur den Zugriff. Er teilt dem Access Point auch mit, in welches virtuelle LAN das Gerät basierend auf der Identität und Rolle des Benutzers platziert werden soll. Ein Hotelrezeptionist authentifiziert sich und wird dem Front-of-House-VLAN mit Zugriff auf das Hotelmanagementsystem zugewiesen. Eine Reinigungskraft wird in ein eingeschränktes VLAN mit reinem Internetzugang eingestuft. Ein Gästegerät wird in das Gäste-VLAN geleitet, das vollständig von allen Unternehmensressourcen isoliert ist. Ein IoT-Gerät wie eine Sicherheitskamera wird in ein dediziertes IoT-VLAN verschoben.

Diese identitätsbasierte Netzwerksegmentierung ist grundlegend für ein Zero Trust-Sicherheitsmodell. Sie vertrauen einem Gerät nicht mehr, nur weil es mit einer bestimmten SSID verbunden ist. Sie gewähren Zugriff auf Basis einer verifizierten Identität und beschränken diesen Zugriff auf das, was für diese Identität erforderlich ist. Dies ist das Prinzip der geringsten Rechte, angewendet auf den Netzwerkzugriff.

Sprechen wir auch über das Thema Compliance. PCI-DSS Version 4.0 erfordert strenge Zugriffskontrollen für jedes Netzwerk, das mit Karteninhaberdaten in Berührung kommt. Anforderung 8 verlangt eine eindeutige Authentifizierung für alle Benutzer. Anforderung 1 erfordert eine Netzwerksegmentierung. Cloud-RADIUS mit EAP-TLS und dynamischer VLAN-Zuweisung erfüllt beide Anforderungen direkt. Für die GDPR bietet die von Cloud-RADIUS bereitgestellte zentrale Audit-Protokollierung eine vollständige Aufzeichnung darüber, wer wann und von welchem Gerät aus auf das Netzwerk zugegriffen hat. Dieser Audit-Trail ist unerlässlich, um die Compliance nachzuweisen und potenzielle Datenpannen zu untersuchen.

Lassen Sie mich Ihnen nun zwei konkrete Implementierungsszenarien vorstellen, die zeigen, wie dies in der Praxis funktioniert.

Das erste Szenario betrifft eine Hotelgruppe. Stellen Sie sich ein Hotel mit 200 Zimmern vor. Derzeit verwenden sie einen gemeinsamen Pre-Shared Key für ihr Mitarbeiter-WiFi. Jeder Mitarbeiter, vom Geschäftsführer bis zur saisonalen Reinigungskraft, nutzt dasselbe Passwort. Wenn ein saisonaler Mitarbeiter am Ende des Sommers das Unternehmen verlässt, wird das Passwort selten geändert, da dies bedeuten würde, jedes Gerät im Hotel zu aktualisieren. Dies ist eine klassische Sicherheitslücke.

Die Lösung besteht darin, RADIUS as a Service integriert in Microsoft Entra ID bereitzustellen. Das Hotel konfiguriert seine Cisco Meraki Access Points so, dass sie WPA3-Enterprise mit 802.1X verwenden. Jeder Mitarbeiter authentifiziert sich mit seinen Entra-ID-Anmeldedaten. Der RADIUS-Server liest seine Rolle aus dem Verzeichnis und weist ihm dynamisch das entsprechende VLAN zu. Reinigungskräfte werden dem VLAN 10 mit Zugriff nur auf das Aufgabenverwaltungssystem der Reinigung zugewiesen. Rezeptionsmitarbeiter werden dem VLAN 20 mit Zugriff auf das Hotelmanagementsystem zugewiesen. Dem Management wird das VLAN 30 mit weitergehendem Zugriff zugewiesen. Wenn der Vertrag eines saisonalen Mitarbeiters endet, wird sein Entra-ID-Konto deaktiviert und sein WiFi-Zugriff wird an jedem Access Point im Hotel sofort entzogen. Es sind keine Passwortänderungen erforderlich.

Das zweite Szenario betrifft eine nationale Einzelhandelskette. Stellen Sie sich eine Kette mit 400 Filialen vor. Derzeit verwalten sie 400 separate FreeRADIUS-Instanzen auf lokalen Filialservern. Jeder Server erfordert individuelles Patchen, Überwachen und Warten. Wenn eine kritische Schwachstelle bekannt wird, muss das Sicherheitsteam 400 Server patchen, oft über einen Zeitraum von Wochen, wodurch die Standorte in diesem Fenster ungeschützt bleiben.

Die Lösung besteht darin, auf eine einzige RADIUS as a Service-Instanz zu migrieren. Alle 400 Filialen verweisen mit ihren HPE Aruba Access Points auf dieselben Cloud-RADIUS-Endpunkte. Point-of-Sale-Terminals werden mittels EAP-TLS mit Gerätezertifikaten authentifiziert, die über die MDM-Plattform verteilt werden. Der RADIUS-Server platziert sie in einem PCI-konformen VLAN, isoliert von jeglichem anderen Netzwerkverkehr. Das Filialpersonal nutzt eine separate SSID, die über Okta authentifiziert wird, was sie in ein allgemeines Mitarbeiter-VLAN einstuft. Das Sicherheitsteam verwaltet nun einen einzigen Satz von Richtlinien über ein einziges Dashboard. Wenn eine Schwachstelle bekannt wird, patcht der Anbieter die Infrastruktur. Das Sicherheitsteam der Einzelhandelskette konzentriert sich auf Richtlinien, nicht auf die Technik.

Now let us cover implementation recommendations and the pitfalls to avoid.

Schritt eins ist die Verbindung des Cloud-RADIUS-Dienstes mit Ihrem Identity Provider. Für Microsoft Entra ID oder Google Workspace beinhaltet dies in der Regel die Autorisierung einer Enterprise-Anwendung. Ordnen Sie Ihre Verzeichnisgruppen bestimmten Netzwerkrichtlinien zu. Überlegen Sie sich Ihre Rollentaxonomie genau, bevor Sie beginnen. Wenn Sie dies von Anfang an richtig machen, sparen Sie später erheblichen Nacharbeitsaufwand.

Schritt zwei ist die Einrichtung der Zertifikatsbereitstellung für Unternehmensgeräte. Konfigurieren Sie Ihre MDM-Plattform so, dass Client-Zertifikate auf verwaltete Geräte verteilt werden. Dies ermöglicht die EAP-TLS-Authentifizierung und macht Passwörter völlig überflüssig. Für Geräte, die Sie nicht verwalten, können Sie PEAP mit Benutzeranmeldedaten als Fallback nutzen, aber EAP-TLS sollte das Ziel für alle firmeneigenen Geräte sein.

Schritt drei ist die Konfiguration Ihrer Netzwerkhardware. Fügen Sie die Cloud-RADIUS-IP-Adressen und Shared Secrets zu Ihren Wireless-Controllern oder Access Points hinzu. Konfigurieren Sie immer sowohl den primären als auch den sekundären Endpunkt, um die integrierte Redundanz des Anbieters zu nutzen.

Schritt vier ist die Definition Ihrer VLAN-Richtlinien. Wenn der RADIUS-Server einen Benutzer authentifiziert, gibt er die korrekte VLAN-ID an den Access Point zurück. Planen Sie dies vor der Bereitstellung. Wissen Sie, in welchem VLAN jede Benutzerrolle landen soll, und testen Sie es gründlich, bevor Sie es in der Produktionsumgebung einführen.

Nun zu den Fallstricken. Der häufigste Fehler ist eine falsch konfigurierte Firewall, die die UDP-Ports 1812 und 1813 blockiert, also die RADIUS-Authentifizierungs- und Accounting-Ports. Überprüfen Sie vor dem Go-Live immer die Konnektivität zwischen Ihren Access Points und den Cloud-RADIUS-Endpunkten. Der zweite Fallstrick ist eine fehlerhafte Zertifikatsvertrauenskette. Wenn Ihre Client-Geräte der Root-Zertifizierungsstelle, die das Zertifikat des RADIUS-Servers ausgestellt hat, nicht vertrauen, lehnen sie die Verbindung stillschweigend ab. Dies kann wie ein Netzwerkausfall aussehen, obwohl es sich tatsächlich um ein PKI-Konfigurationsproblem handelt.

Kommen wir zu den schnellen Fragen.

Frage eins: Was passiert, wenn unsere Internetverbindung ausfällt? Wenn der Standort das Internet verliert, kann er den Cloud-RADIUS nicht erreichen. Wenn der Standort jedoch kein Internet hat, können Benutzer ohnehin nicht auf Cloud-Anwendungen zugreifen. Für geschäftskritische lokale Ressourcen bieten einige Access Points lokale Ausfallsicherheitsmodi. Die primäre Abhängigkeit ist jedoch Ihre WAN-Verbindung, und das gilt für fast jeden Cloud-Dienst, den Ihr Unternehmen nutzt.

Frage zwei: Ist Cloud-RADIUS konform mit GDPR und PCI-DSS? Ja. Eine zentrale Authentifizierung mit verschlüsseltem Transport unterstützt eine starke Compliance-Sicherheitslage. Die Audit-Protokolle erfüllen die PCI-DSS-Anforderungen, und die strengen Zugriffskontrollen unterstützen die GDPR-Prinzipien der Datenminimierung und Zugriffsbeschränkung.

Frage drei: Funktioniert das mit unserer vorhandenen Hardware? Ja. RADIUS ist ein Standardprotokoll, das in RFC 2865 definiert ist. Wenn Ihre Hardware 802.1X unterstützt – und das tut jedes Enterprise-Gerät von Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet –, funktioniert sie mit jedem standardkonformen RADIUS as a Service.

Zusammenfassend die wichtigsten Erkenntnisse. Erstens ersetzt RADIUS as a Service On-Premises-Server durch eine verwaltete Cloud-Plattform, was die Investitionskosten und den Wartungsaufwand reduziert. Zweitens integriert sich Cloud-RADIUS nativ in Microsoft Entra ID, Okta und Google Workspace, wodurch komplexe Middleware überflüssig wird. Drittens ermöglicht es eine dynamische VLAN-Zuweisung, die sicherstellt, dass Benutzer und Geräte basierend auf ihrer verifizierten Identität im richtigen Netzwerksegment landen. Viertens eliminiert der Übergang zu EAP-TLS das Risiko von Passwortdiebstahl und Phishing-Angriffen in Ihrem Netzwerk. Fünftens sorgt das zentrale Cloud-Management für konsistente Sicherheitsrichtlinien über Hunderte von verteilten Standorten hinweg. Sechstens übernehmen Anbieter das Sicherheits-Patching und die Hochverfügbarkeit. Und siebtens unterstützt Cloud-RADIUS die Einhaltung von PCI-DSS und GDPR durch die Durchsetzung strenger, identitätsbasierter Zugriffskontrollen mit vollständiger Audit-Protokollierung.

Ihr nächster Schritt ist die Bewertung Ihrer aktuellen RADIUS-Infrastruktur. Berechnen Sie die tatsächlichen Betriebskosten, einschließlich Lizenzierung, Hardware-Erneuerungszyklen und der für die Wartung aufgewendeten Entwicklungszeit. Führen Sie dann ein Proof of Concept mit einem Cloud-RADIUS-Anbieter durch. Sie werden wahrscheinlich feststellen, dass die Bereitstellung Stunden statt Wochen dauert. Vielen Dank fürs Zuhören. Sichern Sie Ihre Netzwerke, segmentieren Sie Ihren Datenverkehr und hören Sie auf, Server zu verwalten, die Sie nicht besitzen müssen.

Wichtigste Erkenntnisse

✓RADIUS as a Service ersetzt On-Premises-Server durch eine verwaltete Cloud-Plattform, wodurch Hardware-CapEx und Wartungsaufwand entfallen.
✓Cloud-RADIUS integriert sich nativ in Microsoft Entra ID, Okta und Google Workspace, wodurch komplexe Middleware oder parallele Active Directory-Bereitstellungen überflüssig werden.
✓Die dynamische VLAN-Zuweisung stellt sicher, dass Benutzer und Geräte basierend auf ihrer verifizierten Identität automatisch im richtigen Netzwerksegment platziert werden, unabhängig von der SSID, mit der sie verbunden sind.
✓Der Übergang zu EAP-TLS (zertifikatsbasierte Authentifizierung) eliminiert das Risiko von Passwortdiebstahl und Phishing-Angriffen in Ihrem Netzwerk.
✓Zentrales Cloud-Management setzt konsistente Sicherheitsrichtlinien über Hunderte von verteilten Standorten hinweg über ein einziges Dashboard durch.
✓Anbieter übernehmen das Sicherheits-Patching und die Hochverfügbarkeit über mehrere Regionen hinweg, sodass Authentifizierungsdienste auch während Infrastruktur-Updates verfügbar bleiben.
✓Cloud-RADIUS unterstützt die Einhaltung von PCI-DSS v4.0 und GDPR durch die Durchsetzung strenger, identitätsbasierter Zugriffskontrollen mit vollständiger zentraler Audit-Protokollierung.

📚 Teil unserer Kernserie: Enterprise WiFi Security Guide →

Executive Summary

Der Wandel hin zu hybriden Belegschaften hat eine grundlegende Schwachstelle der traditionellen Netzwerksicherheit offengelegt: On-Premises-RADIUS-Server wurden für eine Welt entwickelt, in der Mitarbeiter im selben Gebäude saßen und sich mit demselben Netzwerk verbanden. Diese Welt existiert nicht mehr. Heute authentifizieren sich Ihre Mitarbeiter aus Hotelzimmern, Verkaufsflächen, Remote-Offices und Veranstaltungsorten. Ihre Identity Provider befinden sich in der Cloud. Ihre Access Points sind über Hunderte von Standorten verteilt. Dennoch verlassen sich viele Unternehmen immer noch auf physische RADIUS-Server, die manuell gepatcht werden müssen, sich nicht nativ in Microsoft Entra ID oder Google Workspace integrieren lassen und bei Hardwareausfällen ohne Vorwarnung ausfallen.

RADIUS as a Service ersetzt diese Infrastruktur durch eine cloudnative Authentifizierungs-Engine. Sie leiten Ihre Access Points einfach an Cloud-Endpunkte weiter. Der Anbieter übernimmt die Verwaltung der Server, das Patching und die Hochverfügbarkeit. Sie verwalten die Richtlinien. Für IT-Teams in Hotellerie -Gruppen, Einzelhandels -Ketten und öffentlichen Veranstaltungsorten eliminiert dieser Wechsel den Hardware-Overhead, setzt eine identitätsbasierte Netzwerksegmentierung durch und liefert den für PCI-DSS und GDPR erforderlichen Audit-Trail.

Technische Tiefenanalyse

Warum On-Premises-RADIUS an seine Grenzen stößt

RADIUS, definiert in RFC 2865, bietet eine zentrale Authentifizierung, Autorisierung und Benutzerabrechnung (AAA) für den Netzwerkzugriff. Jedes Unternehmen, das WPA2-Enterprise oder WPA3-Enterprise WiFi nutzt, verlässt sich darauf. Das Protokoll selbst ist robust. Das Problem liegt in dem Infrastrukturmodell, das sich darum herum entwickelt hat.

Die Bereitstellung, Absicherung und Wartung von FreeRADIUS auf Linux erfordert tiefgehendes Fachwissen. Der Microsoft Network Policy Server (NPS) ist eng an das Active Directory gebunden und bietet keine native Unterstützung für Microsoft Entra ID, Okta oder Google Workspace. Die Cisco Identity Services Engine (ISE) bietet Richtlinienfunktionen der Enterprise-Klasse, erfordert jedoch dedizierte Hardware, eine komplexe Lizenzierung und ein spezialisiertes Team für den Betrieb. Bei allen drei Optionen müssen Sie die Hochverfügbarkeit manuell einrichten und verwalten, in der Regel durch den Betrieb von zwei Servern mit Datenbankreplikation und einem davor geschalteten Load Balancer.

Für ein Einzelstandort-Unternehmen mit einem stabilen Active Directory ist dieses Modell handhabbar. Für eine Hotelgruppe mit 50 Standorten, eine Einzelhandelskette mit 400 Filialen oder eine Universität mit einem weitläufigen Campus wird es jedoch unmöglich. Entweder zentralisieren Sie die RADIUS-Server und akzeptieren Authentifizierungslatenzen an entfernten Standorten, oder Sie stellen an jedem Standort Server bereit und verwalten diese einzeln. Keine der beiden Optionen ist skalierbar.

Die Architektur von RADIUS as a Service

RADIUS as a Service ist ein cloudbasiertes Bereitstellungsmodell für das RADIUS-Protokoll. Das Protokoll selbst bleibt unverändert und entspricht RFC 2865 und seinen Erweiterungen. Was sich ändert, ist die Frage, wer die Infrastruktur wartet.

Wenn sich ein Gerät mit Ihrem WiFi-Netzwerk verbindet, leitet der Access Point (der RADIUS-Client) die Authentifizierungsanfrage über einen sicheren, verschlüsselten Tunnel an die Cloud-RADIUS-Endpunkte weiter. Der Cloud-Dienst überprüft die Anmeldedaten über Ihren Identity Provider und sendet eine Access-Accept- oder Access-Reject-Nachricht zurück, die Richtlinienattribute wie dynamische VLAN-Zuweisungen enthält. Aus Sicht des Access Points ist der Authentifizierungsfluss identisch mit dem eines On-Premises-RADIUS.

Der Cloud-Anbieter betreibt RADIUS-Server in mehreren, geografisch verteilten Rechenzentren. Das Failover erfolgt automatisch. Wenn ein Endpunkt nicht verfügbar ist, wird der Datenverkehr ohne Eingreifen Ihres Teams zum nächsten aktiven Endpunkt umgeleitet. Für Unternehmen mit Niederlassungen in mehreren Regionen erfolgt die Authentifizierung am nächstgelegenen Cloud-Endpunkt, wodurch die Latenz unabhängig vom geografischen Standort minimal bleibt.

IEEE 802.1X und EAP-Methoden

IEEE 802.1X ist der Standard für portbasierte Netzwerkzugriffskontrolle (NAC). Er zwingt ein Gerät dazu, sich zu authentifizieren, bevor es eine IP-Adresse erhält und Datenverkehr zulassen darf. Bei einer 802.1X-Bereitstellung fungiert RADIUS als Authentierungsserver.

Das Extensible Authentication Protocol (EAP) definiert, wie Anmeldedaten ausgetauscht werden. Cloud-RADIUS unterstützt alle gängigen EAP-Methoden:

EAP-Methode	Authentifizierungstyp	Sicherheitsstufe	Empfohlene Nutzung
EAP-TLS	Gegenseitig zertifikatsbasiert	Höchste	MDM-verwaltete Unternehmensgeräte mit Zertifikaten
PEAP-MSCHAPv2	Benutzername und Passwort	Mittel	Ältere Geräte oder BYOD ohne MDM
EAP-TTLS	Getunnelte Anmeldedaten	Mittel	Gemischte Umgebungen
MAC Authentication Bypass	Geräte-MAC-Adresse	Niedrig	IoT-Geräte, die 802.1X nicht unterstützen

Das in RFC 5216 definierte EAP-TLS gilt als Goldstandard. Sowohl das Client-Gerät als auch der RADIUS-Server weisen sich gegenseitig durch digitale Zertifikate aus. Diese gegenseitige Authentifizierung macht Passwörter beim Netzwerkzugriff überflüssig. Ein Zertifikat ist kryptografisch an das Gerät gebunden und kann im Gegensatz zu Passwörtern nicht durch Phishing erlangt, erraten oder gestohlen werden. Für Unternehmen, die von passwortbasierten Datenpannen betroffen waren, ist dies die direkteste technische Gegenmaßnahme.

Dynamische VLAN-Zuweisung

Neben der Authentifizierung setzt der RADIUS-Server auch die Autorisierung durch. Wenn er eine Verbindung akzeptiert, sendet er Richtlinienattribute an den Access Point zurück, einschließlich der VLAN-ID, die dem Gerät zugewiesen werden soll. Diese dynamische VLAN-Zuweisung ist der Kernmechanismus für identitätsbasierte Netzwerke.

Ein Rezeptionist im Hotel authentifiziert sich und wird dem Front-of-House-VLAN mit Zugriff auf das Hotelmanagementsystem zugewiesen. Eine Reinigungskraft wird in ein eingeschränktes VLAN mit reinem Internetzugang eingestuft. Das Gerät eines Gastes wird in das Gäste-WiFi-VLAN geleitet, das vollständig von den Unternehmensressourcen isoliert ist. Ein IoT-Gerät wie eine Sicherheitskamera wird in ein dediziertes IoT-VLAN verschoben. All dies geschieht automatisch auf Basis der vom RADIUS-Server verifizierten Identität, ohne dass eine manuelle VLAN-Konfiguration für jedes einzelne Gerät erforderlich ist.

Dies ist das Prinzip der geringsten Rechte (Least Privilege), angewendet auf den Netzwerkzugriff. Sie vertrauen einem Gerät nicht einfach deshalb, weil es mit einer bestimmten SSID verbunden ist. Sie gewähren Zugriff auf Basis einer verifizierten Identität und beschränken diesen Zugriff auf das, was für diese Identität absolut notwendig ist. Weitere Informationen darüber, wie sich dies in eine umfassendere Netzwerkzugriffskontrollstrategie einfügt, finden Sie in unserem Leitfaden zu Netzwerkzugriffskontrollsystemen .

Native Cloud-Identitätsintegration

Der größte betriebliche Vorteil von Cloud-RADIUS ist seine native Integration in moderne Identity Provider. Cloud-RADIUS verbindet sich direkt mit Microsoft Entra ID, Okta und Google Workspace über Standardprotokolle wie OIDC, SAML und LDAP. Wenn Sie einen neuen Mitarbeiter in Ihrem Identity Provider anlegen, kann sich dieser sofort im WiFi-Netzwerk authentifizieren. Wenn ein Mitarbeiter das Unternehmen verlässt und Sie sein Konto im Verzeichnis deaktivieren, wird sein WiFi-Zugriff an jedem Access Point an jedem Standort sofort entzogen.

Diese Echtzeitsynchronisierung schließt eine der kritischsten Sicherheitslücken im Enterprise-WiFi: ehemalige Mitarbeiter, die immer noch im Besitz des gemeinsamen PSK sind oder deren RADIUS-Konto nach dem Ausscheiden nicht manuell gelöscht wurde. Mit Cloud-RADIUS und einem Cloud-Identity-Provider ist das Offboarding eines Mitarbeiters ein einziger Vorgang mit sofortiger, netzwerkweiter Wirkung.

Implementierungsleitfaden

Schritt 1: Verbinden Sie Ihren Identity Provider

Verbinden Sie den Cloud-RADIUS-Dienst mit Ihrem Identity Provider. Für Microsoft Entra ID oder Google Workspace umfasst dies in der Regel die Autorisierung einer Enterprise-Anwendung über OAuth oder die Konfiguration eines LDAP-Connectors. Ordnen Sie Ihre Verzeichnisgruppen bestimmten Netzwerkrichtlinien zu. Definieren Sie Ihre Rollentaxonomie, bevor Sie beginnen: Welche Gruppen werden welchen VLANs zugeordnet und welche Zugriffsrechte gelten für das jeweilige VLAN. Wenn Sie dies von Anfang an richtig aufsetzen, sparen Sie später erheblichen Aufwand.

Schritt 2: Zertifikate für Unternehmensgeräte bereitstellen

Konfigurieren Sie für firmeneigene Geräte Ihre Mobile-Device-Management-Plattform (MDM) wie Microsoft Intune oder Jamf so, dass Client-Zertifikate auf die Geräte verteilt werden. Dies ermöglicht die EAP-TLS-Authentifizierung. Stellen Sie sicher, dass alle Client-Geräte der Root-Zertifizierungsstelle (Root-CA) vertrauen, die das Zertifikat des RADIUS-Servers ausgestellt hat. Eine unvollständige Vertrauenskette ist die häufigste Ursache für fehlgeschlagene Authentifizierungen.

Schritt 3: Konfigurieren Sie Ihre Netzwerkhardware

Fügen Sie die Cloud-RADIUS-IP-Adressen und Shared Secrets in Ihren Wireless-Controllern oder Access Points hinzu. Konfigurieren Sie immer sowohl den primären als auch den sekundären Endpunkt, um die integrierte Redundanz des Anbieters zu nutzen. Stellen Sie sicher, dass die UDP-Ports 1812 (Authentifizierung) und 1813 (Accounting) von Ihren Access Points zu den Cloud-RADIUS-Endpunkten ausgehend geöffnet sind. Überprüfen Sie dies vor dem Go-Live. Fehlerhafte Firewall-Regeln sind die zweithäufigste Ursache für Fehler bei der Bereitstellung.

Cloud-RADIUS funktioniert nahtlos mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Die Konfigurationsschritte variieren je nach Hersteller, aber das RADIUS-Protokoll ist standardisiert, sodass die Kernparameter (Server-IP, Shared Secret, Authentifizierungsport) einheitlich sind.

Schritt 4: VLAN-Richtlinien definieren

Konfigurieren Sie die dynamische VLAN-Zuweisung in Ihrer RADIUS-Policy-Engine. Ordnen Sie jede Benutzerrolle oder jeden Gerätetyp einer bestimmten VLAN-ID zu. Testen Sie jede Richtlinie, bevor Sie sie in der Produktionsumgebung einführen. Eine einfache Testmatrix – ein Gerät pro Rolle, ein VLAN pro Rolle zur Überprüfung der Zuweisung – fängt die meisten Konfigurationsfehler ab, bevor sie sich auf die Benutzer auswirken.

Best Practices

Erzwingen Sie EAP-TLS für alle Unternehmensgeräte. Deaktivieren Sie PEAP-MSCHAPv2, sobald Ihr MDM-Rollout dies zulässt. PEAP basiert auf Passwörtern, die kompromittiert werden können. EAP-TLS basiert auf Zertifikaten, die nicht kompromittiert werden können.

Segmentieren Sie alles. Platzieren Sie Mitarbeiter, Gäste und IoT-Geräte niemals im selben Subnetz. Nutzen Sie RADIUS, um strikte VLAN-Grenzen durchzusetzen. Dies ist für Einzelhandels -Umgebungen, die Zahlungskartendaten gemäß PCI-DSS verarbeiten, und für Gesundheitswesen -Umgebungen, die Patientendaten schützen, absolut unerlässlich.

Setzen Sie auf WPA3-Enterprise. WPA3-Enterprise, der aktuelle WiFi-Sicherheitsstandard, erfordert eine 802.1X-Authentifizierung. Stellen Sie sicher, dass Ihre Access Points WPA3-Enterprise unterstützen, und konfigurieren Sie es als Mindestsicherheitsstandard für Mitarbeiternetzwerke.

Auditieren Sie Ihre RADIUS-Protokolle regelmäßig. Cloud-RADIUS bietet zentrale Audit-Logs. Überprüfen Sie Authentifizierungsfehler wöchentlich. Ein plötzlicher Anstieg von Fehlern an einem bestimmten Gerät oder Standort ist oft ein frühes Anzeichen für eine Fehlkonfiguration oder einen potenziellen Angriff.

Führen Sie Failover-Tests durch. Simulieren Sie mindestens einmal pro Quartal den Ausfall des primären RADIUS-Endpunkts und überprüfen Sie, ob die Authentifizierung über den sekundären Endpunkt nahtlos fortgesetzt wird. Dokumentieren Sie das Ergebnis. Dies ist ein einfacher Test, den die meisten Teams erst dann durchführen, wenn ein Ernstfall eintritt.

Für Standorte, die WiFi in komplexen Umgebungen wie maritimen oder abgelegenen Gebieten bereitstellen, finden Sie in unserem Leitfaden zur Einrichtung eines Captive Portals auf Starlink wichtige Hinweise zu WAN-Abhängigkeiten.

Fehlerbehebung und Risikominderung

Authentifizierungs-Timeouts

Wenn die Authentifizierung eines Geräts fehlschlägt, überprüfen Sie zuerst die Konnektivität zwischen Ihren Access Points und den Cloud-RADIUS-Endpunkten. Stellen Sie sicher, dass die UDP-Ports 1812 und 1813 für ausgehenden Datenverkehr geöffnet sind. Deep Packet Inspection auf modernen Firewalls kann RADIUS-Pakete verzögern oder verwerfen. Wenn Timeouts auftreten, überprüfen Sie Ihre Firewall-Richtlinien auf Regeln, die den UDP-Datenverkehr zu den RADIUS-Endpunkten prüfen oder drosseln könnten.

Fehler in der Zertifikatsvertrauenskette

Wenn Sie EAP-TLS verwenden, stellen Sie sicher, dass die Client-Geräte der Root-CA vertrauen, die das Zertifikat des RADIUS-Servers ausgestellt hat. Wenn die Vertrauenskette unterbrochen ist, lehnt das Gerät die Verbindung stillschweigend ab, um einen Man-in-the-Middle-Angriff zu verhindern. Dies äußert sich als Verbindungsfehler ohne klare Fehlermeldung. Überprüfen Sie die RADIUS-Server-Logs auf fehlgeschlagene EAP-TLS-Handshakes. Verteilen Sie das Root-CA-Zertifikat über das MDM auf alle verwalteten Geräte.

WAN-Abhängigkeit

Cloud-RADIUS erfordert eine aktive Internetverbindung. Wenn die WAN-Verbindung ausfällt, können Authentifizierungsanfragen den Server nicht erreichen. Evaluieren Sie für geschäftskritische lokale Ressourcen Access Points, die lokale Ausfallsicherheit oder Authentifizierungscaching unterstützen. Für die meisten Bereitstellungen ist die WAN-Abhängigkeit jedoch akzeptabel, da ein Standort ohne Internet ohnehin nicht auf Cloud-Anwendungen zugreifen kann.

Abweichungen beim Shared Secret

Jeder Access Point oder Wireless-Controller muss als RADIUS-Client mit dem korrekten Shared Secret konfiguriert sein. Eine Abweichung führt dazu, dass alle Authentifizierungsanfragen dieses Geräts stillschweigend verworfen werden. Wenn ein bestimmter Access Point fehlschlägt, während andere funktionieren, überprüfen Sie die Konfiguration des Shared Secrets auf diesem Gerät.

ROI und geschäftliche Auswirkungen

Die geschäftlichen Vorteile von RADIUS as a Service basieren auf drei Säulen: Reduzierung der Investitionskosten (CapEx), geringerer betrieblicher Aufwand (OpEx) und eine verbesserte Sicherheitslage.

In Bezug auf die Investitionskosten sparen Sie die Kosten für die Anschaffung, Lizenzierung und Erneuerung physischer Server vollständig ein. Eine minimale On-Premises-RADIUS-Bereitstellung erfordert für die Hochverfügbarkeit zwei Server, Betriebssystemlizenzen und alle drei bis fünf Jahre eine Hardware-Erneuerung. Für eine Hotelgruppe mit 50 Standorten wäre dies eine erhebliche Hardware-Investition über das gesamte Portfolio hinweg.

Was den betrieblichen Aufwand betrifft, muss Ihr Engineering-Team keine Zeit mehr mit dem Patchen von Windows-Servern, der Fehlerbehebung bei FreeRADIUS-Konfigurationen oder der Verwaltung von Zertifikatsverlängerungen auf physischer Infrastruktur verbringen. Diese Zeit kann stattdessen in die strategische Sicherheitsarbeit fließen, was Ihre Sicherheitslage direkt verbessert.

Mit Blick auf die Sicherheitslage reduziert der Wechsel zu EAP-TLS und dynamischer VLAN-Zuweisung die Angriffsfläche des Netzwerks erheblich. Der Diebstahl von Anmeldedaten ist eine der Hauptursachen für Netzwerkverletzungen. Die Eliminierung von Passwörtern aus dem Netzwerk-Authentifizierungsprozess löst dieses Problem direkt. Die zentrale Audit-Protokollierung erleichtert die Einhaltung von PCI-DSS v4.0 und GDPR, was die Kosten und die Komplexität von Compliance-Audits reduziert.

Für Unternehmen, die Transport -Hubs oder stark frequentierte Veranstaltungsorte verwalten, ist die Möglichkeit, konsistente Sicherheitsrichtlinien über alle Standorte hinweg von einem einzigen Dashboard aus durchzusetzen, eine messbare betriebliche Verbesserung. Purple ist an über 80.000 Live-Standorten im Einsatz und hat im Jahr 2024 440 Millionen Logins verarbeitet (interne Daten von Purple, 2024). Die Infrastruktur, die diese Skalierung unterstützt, ist von Grund auf cloudnative konzipiert.

Für einen umfassenden Überblick darüber, wie WiFi-Analysen und Network Intelligence mit geschäftlichen Ergebnissen verknüpft sind, besuchen Sie unsere WiFi-Analyseplattform .

Referenzen

[1] IEEE Standard for Local and metropolitan area networks - Port-Based Network Access Control. IEEE Std 802.1X-2020. [2] IETF. Remote Authentication Dial In User Service (RADIUS). RFC 2865. 1997. [3] IETF. The EAP-TLS Authentication Protocol. RFC 5216. 2008. [4] IronWiFi. Benefits of a Cloud RADIUS Server: Why Enterprises Are Moving Authentication Online. Februar 2026. [5] SecureW2. Cloud vs. On-Site RADIUS: Which is Better? Mai 2026. [6] Portnox. RADIUS as a Service. 2026. [7] PCI Security Standards Council. PCI DSS v4.0. März 2022. [8] Purple. Interne Plattformdaten: 440 Millionen Logins, 80.000+ Standorte. 2024.

Schlüsseldefinitionen

RADIUS

Remote Authentication Dial-In User Service. Ein in RFC 2865 definiertes Netzwerkprotokoll, das eine zentrale Verwaltung von Authentifizierung, Autorisierung und Benutzerabrechnung (AAA) für Benutzer bietet, die sich mit einem Netzwerkdienst verbinden.

IT-Teams nutzen RADIUS as die zentrale Entscheidungsinstanz, um zu prüfen, ob ein Gerät oder Benutzer berechtigt ist, auf das WiFi-Netzwerk des Unternehmens zuzugreifen. Es befindet sich zwischen dem Access Point und dem Identity Provider.

802.1X

Ein IEEE-Standard für portbasierte Netzwerkzugriffskontrolle. Er bietet einen Authentifizierungsmechanismus für Geräte, die sich mit einem LAN oder WLAN verbinden möchten, und zwingt sie zur Authentifizierung, bevor sie eine IP-Adresse erhalten.

Dies ist der Standard, der die WiFi-Sicherheit in Unternehmen sichert. Ohne 802.1X erhält jedes Gerät, das sich mit der SSID verbindet, Netzwerkzugriff. Mit 802.1X muss jedes Gerät zuerst seine Identität nachweisen.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. Eine in RFC 5216 definierte Authentifizierungsmethode, bei der sowohl das Client-Gerät als auch der RADIUS-Server digitale Zertifikate vorlegen müssen, was eine gegenseitige Authentifizierung ohne Passwörter ermöglicht.

Gilt als Goldstandard für die WiFi-Sicherheit in Unternehmen. Zertifikate werden über MDM auf Unternehmensgeräten bereitgestellt. EAP-TLS eliminiert das Risiko von Passwortdiebstahl und Phishing-Angriffen im Netzwerk.

PEAP

Protected Extensible Authentication Protocol. Eine EAP-Methode, die den Austausch von Benutzernamen und Passwörtern in einer TLS-Sitzung tunnelt. Weniger sicher als EAP-TLS, da sie auf Passwörtern basiert.

PEAP-MSCHAPv2 ist in Altsystemen weit verbreitet. IT-Teams sollten eine migration zu EAP-TLS für Unternehmensgeräte planen und PEAP nur als Fallback für nicht verwaltete oder BYOD-Geräte nutzen.

Dynamische VLAN-Zuweisung

Ein Prozess, bei dem der RADIUS-Server dem Access Point mitteilt, in welches virtuelle LAN ein Gerät platziert werden soll, basierend auf der verifizierten Identität und Rolle des Benutzers und nicht auf der SSID, mit der es verbunden ist.

Unerlässlich für die Netzwerksegmentierung in Umgebungen mit mehreren Rollen. Eine einzige 'Mitarbeiter'-SSID kann den Datenverkehr von Reinigung, Rezeption und Management sicher in verschiedene VLANs mit unterschiedlichen Zugriffsrechten aufteilen.

AAA

Authentication, Authorisation, and Accounting (Authentifizierung, Autorisierung und Benutzerabrechnung). Die drei von einem RADIUS-Server ausgeführten Funktionen: Überprüfung der Identität (Authentifizierung), Bestimmung des zulässigen Zugriffs (Autorisierung) und Erfassung von Sitzungsdaten für Audit-Zwecke (Benutzerabrechnung).

IT-Teams und Auditoren nutzen AAA als Framework zur Bewertung der Netzwerkzugriffskontrolle. Cloud-RADIUS stellt alle drei Funktionen über einen verwalteten Dienst bereit.

WPA3-Enterprise

Der aktuelle WiFi-Sicherheitsstandard für Unternehmensnetzwerke, der eine 802.1X-Authentifizierung über einen RADIUS-Server erfordert. Er bietet eine verbesserte kryptografische Stärke gegenüber WPA2-Enterprise, einschließlich eines 192-Bit-Sicherheitsmodus für Hochsicherheitsumgebungen.

IT-Manager sollten WPA3-Enterprise als Mindestsicherheitsstandard für Mitarbeiternetzwerke konfigurieren. Gästenetzwerke können WPA2 oder eine offene Authentifizierung mit einem Captive Portal nutzen.

Network Access Control (NAC)

Ein Sicherheitsansatz, der Richtlinien für Geräte durchsetzt, die auf Netzwerkressourcen zugreifen wollen, indem er Endpunktsicherheitsbewertung, Identitätsauthentifizierung und Netzwerkdurchsetzung kombiniert.

RADIUS ist eine grundlegende Komponente von NAC. Cloud-RADIUS erweitert NAC auf verteilte Umgebungen mit mehreren Standorten, ohne dass eine On-Premises-Infrastruktur an jedem Standort erforderlich ist.

Captive Portal

Eine Webseite, mit der ein Benutzer eines öffentlich zugänglichen Netzwerks interagieren muss, bevor ihm der Internetzugang gewährt wird. Wird typischerweise für Gäste-WiFi verwendet, um Einwilligungen einzuholen oder Nutzungsbedingungen anzuzeigen.

Captive Portals regeln den unauthentifizierten Gästezugriff, während 802.1X den authentifizierten Mitarbeiterzugriff steuert. Die beiden Mechanismen arbeiten auf separaten SSIDs und VLANs.

Ausgearbeitete Beispiele

Ein Hotel mit 200 Zimmern muss sein Mitarbeiternetzwerk für Reinigung, Rezeption und Management absichern und gleichzeitig das Gäste-WiFi vollständig getrennt halten. Derzeit verwenden sie einen gemeinsamen PSK für das Mitarbeiternetzwerk, der seit zwei Jahren nicht mehr geändert wurde.

Stellen Sie RADIUS as a Service integriert in Microsoft Entra ID bereit. Konfigurieren Sie die Cisco Meraki Access Points so, dass sie WPA3-Enterprise mit 802.1X verwenden. Das Reinigungspersonal authentifiziert sich mit seinen Entra-ID-Anmeldedaten; der RADIUS-Server liest seine Verzeichnisgruppe aus und weist ihm dynamisch das VLAN 10 zu (Zugriff nur auf das Aufgabenverwaltungssystem der Reinigung). Die Mitarbeiter an der Rezeption werden dem VLAN 20 zugewiesen (Zugriff auf das Hotelmanagementsystem). Dem Management wird das VLAN 30 zugewiesen (weitergehender Zugriff). Das Gäste-WiFi verbleibt auf einer separaten SSID mit einem Captive Portal, isoliert im VLAN 40. Wenn ein saisonaler Mitarbeiter das Unternehmen verlässt, wird sein Entra-ID-Konto deaktiviert, wodurch der WiFi-Zugriff an allen Access Points des Hotels sofort entzogen wird.

Kommentar des Prüfers: Dieser Ansatz eliminiert die Schwachstelle des gemeinsamen PSK und das Risiko, dass ehemalige Mitarbeiter weiterhin Zugriff haben. Die dynamische VLAN-Zuweisung stellt sicher, dass ein kompromittiertes Gerät des Reinigungspersonals nicht auf das Hotelmanagementsystem zugreifen kann. Die Nutzung von Cloud-RADIUS macht einen physischen Server im engen IT-Schrank des Hotels überflüssig. Durch die Integration in Entra ID ist das Offboarding ein einziger Vorgang mit sofortiger, netzwerkweiter Wirkung.

Eine nationale Einzelhandelskette mit 400 Filialen muss die PCI-DSS-Compliance für ihre Point-of-Sale-Terminals sicherstellen. Derzeit verwalten sie 400 separate FreeRADIUS-Instanzen auf lokalen Filialservern, von denen jede einzeln gepatcht werden muss.

Migrieren Sie zu einer einzigen RADIUS as a Service-Instanz. Konfigurieren Sie die HPE Aruba Access Points in allen 400 Filialen so, dass sie POS-Geräte mittels EAP-TLS mit Gerätezertifikaten authentifizieren, die über Microsoft Intune verteilt werden. Der Cloud-RADIUS-Server authentifiziert die Zertifikate und verschiebt die POS-Geräte in ein PCI-konformes VLAN (VLAN 30), das von jeglichem anderen Netzwerkverkehr isoliert ist. Das Filialpersonal nutzt eine separate SSID, die über Okta authentifiziert wird, was sie in ein allgemeines Mitarbeiter-VLAN (VLAN 20) einstuft. Kunden im Gästenetzwerk werden im VLAN 40 isoliert. Das Sicherheitsteam verwaltet alle Richtlinien über ein einziges Dashboard.

Kommentar des Prüfers: Die Zentralisierung der RADIUS-Infrastruktur eliminiert den Wartungsaufwand für das Patchen von 400 lokalen Servern. Die Verwendung von EAP-TLS für POS-Geräte macht Passwörter völlig überflüssig und verhindert den Diebstahl von Anmeldedaten. Diese Architektur erfüllt die PCI-DSS-v4.0-Anforderung 8 (eindeutige Authentifizierung) und Anforderung 1 (Netzwerksegmentierung). Wenn eine Schwachstelle bekannt wird, patcht der Anbieter die Cloud-Infrastruktur, anstatt dass das Sicherheitsteam der Einzelhandelskette über mehrere Wochen hinweg 400 Server patchen muss.

Übungsfragen

Q1. Ihr Universitätscampus nutzt derzeit Microsoft NPS auf Windows Server, um Studenten über PEAP-MSCHAPv2 zu authentifizieren. Die Einrichtung migriert zu Google Workspace und möchte alle On-Premises-Server innerhalb von 12 Monaten stilllegen. Was ist die sicherste und betrieblich effizienteste architektonische Änderung für die WiFi-Authentifizierungsinfrastruktur?

Hinweis: Microsoft NPS unterstützt Google Workspace nicht nativ. Überlegen Sie, was sowohl den Server als auch die Authentifizierungsmethode ersetzt.

Musterlösung anzeigen

Migrieren Sie zu RADIUS as a Service mit nativer Google Workspace-Integration. Der Cloud-RADIUS-Dienst verbindet sich direkt über LDAP oder OIDC mit Google Workspace, wodurch Active Directory oder NPS überflüssig werden. Stellen Sie gleichzeitig verwaltete Geräte von Studenten und Mitarbeitern von PEAP-MSCHAPv2 auf EAP-TLS um, indem Sie Client-Zertifikate über die MDM-Plattform der Einrichtung verteilen. Dies entfernt Passwörter aus dem Authentifizierungsprozess und stellt sicher, dass nur verwaltete, vertrauenswürdige Geräte auf die Mitarbeiter- und Studentennetzwerke zugreifen können. Die Migration kann phasenweise erfolgen: Stellen Sie Cloud-RADIUS parallel zu NPS bereit, migrieren Sie eine SSID nach der anderen und legen Sie NPS still, sobald alle Geräte den neuen Dienst nutzen.

Q2. Ein Stadion mit einer Kapazität von 80.000 Zuschauern benötigt sicheres WiFi für das eigene Personal, Ticket-Terminals, Pressevertreter und externe Dienstleister am Spieltag. Wie sollte das Netzwerk unter Verwendung von Cloud-RADIUS konfiguriert werden, um den angemessenen Zugriff für jede Gruppe durchzusetzen?

Hinweis: Überlegen Sie, wie RADIUS die Autorisierung handhabt, nicht nur die Authentifizierung. Jede Gruppe benötigt unterschiedliche Zugriffsrechte.

Musterlösung anzeigen

Stellen Sie eine einzige 802.1X-SSID für alle authentifizierten Gruppen bereit. Konfigurieren Sie den Cloud-RADIUS-Dienst so, dass er eine dynamische VLAN-Zuweisung basierend auf der Rolle des Benutzers im Identity Provider verwendet. Das eigene Personal wird dem VLAN 10 mit Zugriff auf interne Systeme zugewiesen. Ticket-Terminals, die über Gerätezertifikate (EAP-TLS) authentifiziert werden, werden in ein eingeschränktes VLAN 20 mit Zugriff ausschließlich auf die Ticket-Plattform platziert. Pressevertreter werden dem VLAN 30 mit hoher Internet-Bandbreite, aber ohne Zugriff auf interne Systeme zugewiesen. Externe Dienstleister am Spieltag werden dem VLAN 40 mit reinem, eingeschränktem Internetzugang zugewiesen. Eine separate offene SSID mit einem Captive Portal regelt den Gästezugang für Fans und Besucher im VLAN 50, isoliert von jeglichem anderen Datenverkehr.

Q3. Bei einem Sicherheitsaudit wird festgestellt, dass der FreeRADIUS-Server Ihres Unternehmens seit acht Monaten kein Sicherheits-Patch erhalten hat. Das Team zögerte mit dem Patchen, da das letzte Update zu einem zweistündigen Authentifizierungsausfall führte. Wie löst die Migration zu RADIUS as a Service sowohl das Sicherheits- als auch das Betriebsrisiko?

Hinweis: Berücksichtigen Sie die Aufteilung der Verantwortlichkeiten bei einem Managed-Service-Modell und wie Anbieter das Patchen ohne Ausfallzeiten handhaben.

Musterlösung anzeigen

RADIUS as a Service verlagert die Verantwortung für das Patchen des Betriebssystems und das Schwachstellenmanagement auf den Anbieter. Der Anbieter betreibt hochverfügbare, über mehrere Regionen verteilte Cluster, was es ihm ermöglicht, einzelne Endpunkte zu patchen und Updates schrittweise einzuspielen, ohne Ausfallzeiten bei der Authentifizierung zu verursachen. Ihr Team muss keine Wartungsfenster mehr planen oder das Risiko eines patchbedingten Ausfalls in Kauf nehmen. Das Sicherheitsrisiko wird eliminiert, da der Anbieter die Infrastruktur patcht, sobald Schwachstellen bekannt werden – oft noch bevor die CVE öffentlich bekannt gemacht wird. Das Betriebsrisiko wird eliminiert, da die SLA des Anbieters die Betriebszeit unabhängig von Patch-Aktivitäten garantiert. Die Rolle Ihres Teams wandelt sich von der Infrastrukturwartung hin zur Richtlinienverwaltung.

Weiterlesen in dieser Reihe

Integration von RADIUS as a Service mit Cloud-Verzeichnissen (Azure AD & Google Workspace)

Dieser technische Referenzleitfaden beschreibt detailliert, wie Sie RADIUS as a Service mit Cloud-Verzeichnissen – Microsoft Entra ID und Google Workspace – für die WiFi-Authentifizierung in Unternehmen integrieren. Er behandelt den architektonischen Wechsel von On-Premises-NPS zu Cloud-nativem RADIUS, die Bereitstellung der zertifikatsbasierten EAP-TLS-Authentifizierung sowie die bewährten Betriebsmethoden zur Absicherung des drahtlosen Zugangs in den Bereichen Gastgewerbe, Einzelhandel und im öffentlichen Sektor. Für IT-Manager und Netzwerkarchitekten, die bereits in Cloud-Identitäten investieren, schließt dieser Leitfaden die Lücke zwischen Verzeichnisverwaltung und physischer Netzwerksicherheit.

Wie Sie eine 802.1X-Authentifizierung mit Cloud RADIUS implementieren

Dieser technische Leitfaden bietet einen umfassenden Rahmen für die Implementierung der 802.1X-Authentifizierung mit Cloud RADIUS in verteilten Unternehmensstandorten. Er beschreibt die Architektur, die Auswahl der EAP-Methode, die Bereitstellungssequenzierung und die Strategien zur Risikominderung, die erforderlich sind, um den Netzwerkzugriff zu sichern und gleichzeitig den operativen Aufwand für eine On-Premises-Infrastruktur zu eliminieren.

Was ist Cloud RADIUS? Ein umfassender Leitfaden zu RADIUS-as-a-Service

Dieser umfassende Leitfaden befasst sich mit Cloud RADIUS (RADIUS-as-a-Service) und erläutert dessen Architektur, EAP-Methoden und Implementierungsstrategien. Er bietet IT-Entscheidern praxisnahe Einblicke für die Migration von lokalen Servern zu einem skalierbaren, sicheren und konformen cloudbasierten Authentifizierungsmodell.