Was ist RADIUS-Authentifizierung und wie funktioniert sie?

### Was ist RADIUS-Authentifizierung und wie funktioniert sie? — Purple Technical Briefing **[INTRO — 1 Minute]** Willkommen beim Purple Technical Briefing. Ich bin Ihr Gastgeber, und in den nächsten zehn Minuten werden wir eine der kritischsten Technologien für die Netzwerksicherheit in Unternehmen entmystifizieren: die RADIUS-Authentifizierung. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO sind und die Verantwortung für das WiFi an einem großen Veranstaltungsort tragen – einem Hotel, einer Einzelhandelskette, einem Stadion oder einem Konferenzzentrum –, ist dieses Briefing genau das Richtige für Sie. Wir verzichten auf Fachchinesisch, erklären die Architektur verständlich und geben Ihnen die praktischen Einblicke, die Sie benötigen, um in diesem Quartal fundierte Entscheidungen zu treffen. Beginnen wir mit dem großen Ganzen. Warum ist das überhaupt wichtig? Wenn Sie Ihr Gäste- oder Mitarbeiter-WiFi immer noch mit einem einzigen gemeinsamen Passwort betreiben – einem Pre-Shared Key oder PSK –, gehen Sie ein erhebliches und wachsendes Sicherheitsrisiko ein. Dieses Passwort wird weitergegeben, auf Quittungen geschrieben, auf Whiteboards fotografiert und über Messaging-Apps weitergeleitet. Sobald es im Umlauf ist, haben Sie keine Transparenz darüber, wer sich in Ihrem Netzwerk befindet, keine Möglichkeit, den Zugriff für einen einzelnen Benutzer zu sperren, ohne alle anderen zu beeinträchtigen, und keinen Audit-Trail, falls etwas schiefgeht. Für Organisationen, die PCI DSS, GDPR oder HIPAA unterliegen, ist dies nicht nur ein technisches Problem. Es ist ein Compliance-Risiko. RADIUS ist die Lösung, auf die sich die Branche geeinigt hat, um dieses Problem zu lösen. Lassen Sie uns also genau verstehen, was es ist und wie es funktioniert. **[TECHNISCHER DEEP-DIVE — 5 Minuten]** RADIUS steht für Remote Authentication Dial-In User Service. Der Name ist ein historisches Relikt aus den Anfängen des Dial-up-Internets, aber das Protokoll hat sich erheblich weiterentwickelt und ist auch heute noch das Rückgrat der Netzwerkzugriffskontrolle in Unternehmen. Im Kern ist RADIUS ein zentralisiertes, serverbasiertes System, das den Netzwerkzugriff mithilfe eines Frameworks namens AAA – Authentifizierung, Autorisierung und Abrechnung (Accounting) – verwaltet. Diese drei Säulen sind das Fundament für alles, worüber wir heute sprechen werden. Authentifizierung ist die erste Säule: die Überprüfung, wer jemand ist. Autorisierung ist die zweite: die Bestimmung, was diese Person tun darf. Und die Abrechnung (Accounting) ist die dritte: die Aufzeichnung dessen, was sie tatsächlich getan hat. Lassen Sie uns jede einzelne davon genauer betrachten. Authentifizierung. Wenn ein Benutzer versucht, eine Verbindung zu einem mit WPA2-Enterprise oder WPA3-Enterprise gesicherten WiFi-Netzwerk herzustellen, sendet sein Gerät – das wir als Supplicant bezeichnen – eine Verbindungsanfrage an den Wireless Access Point. Der Access Point, den wir als Authentifikator bezeichnen, trifft die Authentifizierungsentscheidung nicht selbst. Er fungiert als Relay und leitet die Anfrage an den RADIUS-Server weiter. Der RADIUS-Server validiert dann die Identität des Benutzers anhand einer konfigurierten Identitätsquelle. Dies kann Microsoft Active Directory, Azure Active Directory, Google Workspace, Okta oder eine lokale Benutzerdatenbank sein. Die Identitätsquelle ist die einzige Quelle der Wahrheit (Single Source of Truth) dafür, wer auf Ihr Netzwerk zugreifen darf. Der RADIUS-Server kann die Identität auf verschiedene Weise validieren. Die am häufigsten in Unternehmensumgebungen verwendeten Methoden sind anmeldedatenbasierte Methoden, bei denen der Benutzer einen Benutzernamen und ein Passwort angibt, und zertifikatsbasierte Methoden, bei denen das Gerät des Benutzers ein digitales Zertifikat vorlegt. Wir werden gleich über die Sicherheitsauswirkungen der einzelnen Methoden sprechen. Autorisierung. Sobald der Benutzer authentifiziert ist, sagt der RADIUS-Server nicht einfach Ja und tritt beiseite. Er teilt dem Access Point auch genau mit, was mit diesem Benutzer zu tun ist. Er sendet eine Reihe von Attributen zurück – im Wesentlichen Anweisungen –, die das Netzwerkerlebnis des Benutzers definieren. Das wichtigste davon ist in der Regel die VLAN-Zuweisung. Der RADIUS-Server könnte beispielsweise sagen: Dieser Benutzer ist Mitglied der Gruppe der Unternehmensmitarbeiter, weisen Sie ihn VLAN 10 zu, das Zugriff auf interne Dateiserver und Drucker hat. Oder: Dieser Benutzer ist ein Gast, weisen Sie ihn VLAN 20 zu, das nur über einen Internetzugang verfügt und vollständig vom Unternehmensnetzwerk isoliert ist. Diese dynamische VLAN-Zuweisung ist eine der leistungsstärksten Funktionen von RADIUS und der Mechanismus, der eine ordnungsgemäße Netzwerksegmentierung ermöglicht. Abrechnung (Accounting). Die dritte Säule wird oft übersehen, ist aber für Compliance und Betrieb von entscheidender Bedeutung. Während der Sitzung eines Benutzers protokolliert der RADIUS-Server wichtige Informationen: den Zeitpunkt der Verbindung, den Zeitpunkt der Trennung, die Gesamtdauer der Sitzung, die übertragene Datenmenge und die MAC-Adresse des Geräts. Dies erstellt einen detaillierten Audit-Trail für jede Verbindung in Ihrem Netzwerk. Unter PCI DSS 4.0 ist diese Art der Protokollierung nicht optional – sie ist eine strikte Anforderung. Und im Falle eines Sicherheitsvorfalls sind diese Protokolle für forensische Untersuchungen von unschätzbarem Wert. Sprechen wir nun über den technischen Standard, der all dies ermöglicht: IEEE 802.1X. 802.1X ist the standard that enables RADIUS to work with WiFi access points, blocking all network traffic from a device until the RADIUS server has confirmed authorisation. Die Kommunikation zwischen dem Gerät des Benutzers und dem Access Point nutzt ein Protokoll namens EAP – das Extensible Authentication Protocol. EAP ist im Wesentlichen ein Framework, das mehrere Authentifizierungsmethoden unterstützt. Die drei am häufigsten verwendeten EAP-Methoden im WiFi von Unternehmen sind: PEAP, was für Protected Extensible Authentication Protocol steht, EAP-TTLS und EAP-TLS. PEAP und EAP-TTLS sind anmeldedatenbasierte Methoden. Sie erstellen einen verschlüsselten Tunnel zwischen dem Gerät und dem RADIUS-Server, und anschließend werden der Benutzername und das Passwort des Benutzers innerhalb dieses Tunnels überprüft. Sie sind relativ einfach bereitzustellen und funktionieren gut in Umgebungen, in denen Sie noch nicht für eine vollständige Zertifikatsinfrastruktur bereit sind. EAP-TLS ist der Goldstandard. Es ist zertifikatsbasiert, was bedeutet, dass sowohl der Server als auch das Client-Gerät digitale Zertifikate vorlegen, um sich gegenseitig zu authentifizieren. Es ist überhaupt kein Passwort im Spiel. Dies eliminiert das Risiko von Diebstahl von Zugangsdaten, Phishing-Angriffen und Man-in-the-Middle-Angriffen vollständig. Für Unternehmensgeräte ist EAP-TLS die Authentifizierungsmethode, auf die Sie hinarbeiten sollten. **[IMPLEMENTIERUNG UND FALLSTRICKE — 2 Minuten]** Wie stellt man das alles also konkret bereit? Lassen Sie mich Sie durch die wichtigsten Schritte führen. Erstens: Wählen Sie Ihren RADIUS-Server. Sie können einen On-Premise-Server bereitstellen – Microsofts Network Policy Server ist eine häufige Wahl in Windows-Umgebungen – oder einen cloudbasierten RADIUS-Dienst nutzen. Cloud-RADIUS-Plattformen, wie die von Purple angebotene, bieten eine vollständig verwaltete, hochverfügbare Infrastruktur ohne den betrieblichen Aufwand. Für Organisationen mit mehreren Standorten ist der Cloud-Ansatz fast immer die richtige Wahl. Zweitens: Integrieren Sie Ihre Identitätsquelle. Verbinden Sie Ihren RADIUS-Server mit dem Identitätsverzeichnis Ihres Unternehmens. Die meisten modernen Cloud-RADIUS-Plattformen unterstützen die direkte Integration mit Azure AD, Google Workspace und Okta. Drittens: Konfigurieren Sie Ihre Netzwerkhardware. Erstellen Sie eine neue SSID, die für WPA2-Enterprise oder WPA3-Enterprise konfiguriert ist, und verweisen Sie diese auf Ihren RADIUS-Server. Sie konfigurieren außerdem ein Shared Secret – ein Passwort, das die Kommunikation zwischen dem Access Point und dem RADIUS-Server verschlüsselt. Dieses Shared Secret muss auf beiden Seiten exakt übereinstimmen. Eine Abweichung an dieser Stelle ist eine der häufigsten Ursachen für Authentifizierungsfehler bei der Erstbereitstellung. Viertens: Definieren Sie Ihre Autorisierungsrichtlinien. Ordnen Sie Benutzergruppen Netzwerkrichtlinien zu – Mitarbeiter erhalten vollen Zugriff auf VLAN 10, Gäste erhalten reinen Internetzugang auf VLAN 20. Fünftens: Nehmen Sie das Onboarding Ihrer Benutzer vor. Stellen Sie für Unternehmensmitarbeiter WiFi-Profile über Ihre MDM-Plattform bereit. Nutzen Sie für Gäste ein Captive Portal. Die Plattform von Purple automatisiert den Onboarding-Prozess für Gäste und unterstützt Social-Media-Logins, Registrierungsformulare und Gutscheincodes. **[SCHNELLE FRAGERUNDE — 1 Minute]** Lassen Sie uns eine schnelle Fragerunde zu den Fragen durchführen, die wir am häufigsten hören. Erstens: Was ist der Unterschied zwischen RADIUS und einem Captive Portal? Ein Captive Portal ist die Anmeldeseite, die Gäste sehen, wenn sie sich verbinden. Es arbeitet mit RADIUS zusammen. Das Portal ist die Benutzeroberfläche, RADIUS ist die Backend-Engine. Zweitens: Kann ich RADIUS für kabelgebundene Netzwerke nutzen? Absolut. Der 802.1X-Standard gilt gleichermaßen für kabelgebundenes Ethernet und drahtlose Netzwerke. Drittens: Ist RADIUS schwierig einzurichten? Es hat den Ruf, komplex zu sein, aber moderne Cloud-Plattformen haben dies dramatisch geändert. Mit einem verwalteten Dienst wie Purple können Sie eine produktionsbereite RADIUS-Bereitstellung schnell in Betrieb nehmen. **[ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — 1 Minute]** Zusammenfassend lässt sich sagen: RADIUS ist das zentralisierte Protokoll, das die WiFi-Sicherheit in Unternehmen steuert. Es implementiert das AAA-Framework, um Ihnen eine granulare Kontrolle darüber zu geben, wer auf Ihr Netzwerk zugreifen kann, was diese Personen tun dürfen, und bietet einen vollständigen Audit-Trail ihrer Aktivitäten. Für Betreiber von Veranstaltungsorten, Hoteliers, Einzelhändler und Organisationen des öffentlichen Sektors ist die Bereitstellung von RADIUS der grundlegende Schritt zum Aufbau einer sicheren, konformen und professionell verwalteten WiFi-Infrastruktur. Ihr nächster Schritt ist klar: Wenn Sie immer noch mit Pre-Shared Keys arbeiten, beginnen Sie noch heute mit der Planung Ihrer Migration. Überprüfen Sie Ihre aktuelle Hardware auf WPA3-Enterprise-Unterstützung, bewerten Sie Ihre Optionen für die Integration von Identitätsverzeichnissen und lernen Sie eine Cloud-RADIUS-Plattform kennen, die mit Ihrem Unternehmen skalieren kann. Das ist alles, wofür wir heute beim Purple Technical Briefing Zeit haben. Vielen Dank fürs Zuhören. Um mehr darüber zu erfahren, wie Purple Ihnen bei der Bereitstellung von sicherem, intelligentem WiFi an Ihren Veranstaltungsorten helfen kann, besuchen Sie uns auf purple dot ai. Bis zum nächsten Mal, bleiben Sie sicher.