Wie man den WiFi-Zugriff entzieht, wenn ein Mitarbeiter das Unternehmen verlässt

Willkommen zu diesem technischen Briefing über den Widerruf des WiFi-Zugangs beim Ausscheiden eines Mitarbeiters. Das Problem wirkt oft kleiner, als es ist. Jemand geht am Freitag. Die Führungskraft deaktiviert die E-Mail und nimmt das Laptop zurück. Dennoch kann sich das Telefon oder das persönliche Gerät dieser Person am Montag immer noch mit dem Mitarbeiter-WiFi verbinden. In einem Hotel kann das dazu führen, dass sich ein ehemaliger Mitarbeiter in der Nähe von operativen Systemen aufhält. Im Einzelhandel ermöglicht es möglicherweise den Zugriff auf ein Mitarbeiternetzwerk in vielen Filialen. In einem Stadion oder Konferenzzentrum kann es die Verwaltung eines geschäftigen Veranstaltungstages erschweren. Die unmittelbare Frage ist nicht, ob der Ausscheidende ein Passwort kennt. Sie lautet, ob Ihr WiFi diese Person als eindeutige Identität erkennen und diese Identität sperren kann, ohne den Betrieb für alle anderen zu stören. Ein einzelner, gemeinsam genutzter WPA2-Schlüssel kann das nicht leisten. Jede Person hat dieselbe Anmeldevoraussetzung. Sobald dieser Schlüssel mit einem Ausscheidenden geteilt wurde, hat das Netzwerk keine saubere Möglichkeit, diese Person von allen autorisierten Mitarbeitern zu unterscheiden, die ihn ebenfalls kennen. Die praktische Reaktion ist eine unternehmensweite Änderung des Schlüssels, gefolgt von einer Aktualisierung auf jedem zugelassenen Gerät. Das ist betrieblich teuer, erzeugt Support-Tickets und wird oft verzögert. Für einen verteilten Veranstaltungsort-Komplex ist dies keine praktikable Offboarding-Kontrolle am selben Tag. Es gibt drei bewährte Muster. Das erste ist personengebundenes 802.1X mit EAP-TLS. Das zweite ist iPSK, manchmal auch als individueller vorab freigegebener Schlüssel bezeichnet. Das dritte ist die durch den Identitätsanbieter gesteuerte Deaktivierung mittels SCIM. Sie können diese Muster kombinieren. Die zentrale Designentscheidung bleibt dieselbe: Machen Sie die Zugangsdaten einer Person oder einem verwalteten Gerät zuordenbar und machen Sie die Entfernung zu einem kontrollierten, protokollierten Ereignis. Beginnen wir mit 802.1X und EAP-TLS. IEEE 802.1X ist das Rahmenwerk für die Netzwerkzugriffskontrolle. Es trennt das Gerät, das den Beitritt anfordert, den Authentifikator am Netzwerkrand und den Back-End-Authentifizierungsdienst. EAP-TLS ist eine Methode des Extensible Authentication Protocol, die Zertifikate für die gegenseitige Authentifizierung und Schlüsselableitung verwendet. Einfach ausgedrückt: Das Gerät weist den Besitz eines Zertifikats nach, und das Netzwerk beweist seine eigene Identität im selben Authentifizierungsaustausch. Dieses Modell eignet sich für verwaltete Mitarbeitergeräte und Netzwerke mit hoher Sicherheit. Die Maßnahme beim Ausscheiden eines Mitarbeiters besteht nicht darin, ein gemeinsam genutztes Passwort zu ändern. Sie besteht darin, die Identität zu deaktivieren und das Recht des Zertifikats zur Authentifizierung zu widerrufen, zu verweigern oder anderweitig zu entfernen. Ihr RADIUS- und Zertifikatsprüfungs-Design muss in der Lage sein, diese Änderung zu erkennen, wenn sich ein Gerät authentifiziert. Verwechseln Sie den Ablauf eines Zertifikats nicht mit dem Widerruf eines Zertifikats. Der Ablauf ist geplant. Der Widerruf ist die Offboarding-Maßnahme, die Sie vor dem geplanten Enddatum ergreifen.Das Timing ist entscheidend. Der zertifikatsbasierte WiFi-Zugang wird bei der Authentifizierung überprüft. Ihr praktisches Ziel ist daher klar: Verhindern Sie, dass das Zertifikat beim nächsten Authentifizierungsversuch erfolgreich ist, und testen Sie dieses Ergebnis. Wenn der Mitarbeiter bereits über eine aktive Sitzung verfügt, entscheiden Sie separat, ob Ihre Richtlinie einen Verbindungsabbruch erfordert. Dies ist eine Entscheidung des Netzwerkbetriebs und kein Ersatz für den Widerruf der Identität. Berücksichtigen Sie bei Ihrem Design- und Testprozess auch das schnelle Wiederverbindungsverhalten und zwischengespeicherte Sitzungen. Ein Design, das in einer Testumgebung korrekt aussieht, kann eine Schwachstelle darstellen, wenn Ihr Authentifizierungspfad in der Produktion die Änderung nicht wie beabsichtigt validiert. Die betriebliche Checkliste für EAP-TLS ist unkompliziert. Bestätigen Sie erstens den Identitätsdatensatz der Person und die letzte Arbeitszeit. Deaktivieren Sie zweitens die Quellidentität. Widerrufen oder verweigern Sie drittens das entsprechende Zertifikat gemäß dem Prozess Ihrer Zertifizierungsstelle und Ihres RADIUS-Prozesses. Beenden oder entfernen Sie viertens eine aktive Sitzung, falls Ihre Richtlinie dies erfordert. Versuchen Sie fünftens eine neue Verbindung mit dem verwalteten Gerät des ehemaligen Mitarbeiters oder einem kontrollierten Äquivalent. Dokumentieren Sie schließlich die Anfrage, die Änderung, das Ergebnis, die Zeit und den zuständigen Verantwortlichen. Das zweite Muster ist iPSK. Anstelle einer gemeinsamen Passphrase für die gesamte Belegschaft verfügt jede Person oder jedes Gerät über einen eigenen Schlüssel im selben Staff WiFi-Netzwerk. Das macht die Entfernung zielgerichtet. Löschen Sie den mit dem Ausscheidenden verknüpften Schlüssel, bestätigen Sie, dass ein neuer Verbindungsversuch fehlschlägt, und lassen Sie alle anderen Schlüssel unverändert. iPSK kann dort gut funktionieren, wo Sie Geräte haben, die keine Zertifikate verwenden können, wo sich ein Programm für verwaltete Geräte noch in der Entwicklung befindet oder wo Sie einen praktischen Übergang von einer gemeinsamen Passphrase weg benötigen. iPSK ist nicht dasselbe wie ein allgemeines Mitarbeiterpasswort mit einem anderen Namen. Der Schlüssel muss an einen Identitäts- oder Gerätedatensatz gebunden sein. Führen Sie ein Inventar über den Schlüsselbesitzer, das Ausstellungsdatum, die Geräte- oder Personenzuordnung, die Netzwerkrolle und den Entfernungsstatus. Gestalten Sie den Schlüssel so individuell, dass ein Löschereignis dem Ausscheidenden zugeordnet werden kann. Wenn derselbe iPSK von einem Team, einer Auftragnehmergruppe oder einer Schicht wiederverwendet wird, haben Sie das Problem des gemeinsamen Geheimnisses in einem kleineren Rahmen repliziert. Das dritte Muster ist die SCIM-gesteuerte Deaktivierung. SCIM ist ein standardisiertes HTTP-basiertes Protokoll für das Provisioning und die Verwaltung von Identitätsdaten über Systeme hinweg. In einem gut funktionierenden Prozess für neue, wechselnde und ausscheidende Mitarbeiter deaktiviert die HR- oder IT-Abteilung das Konto in Ihrem Identitätsanbieter, der deaktivierte Status wird an den WiFi-Zugangsdienst übertragen und eine spätere WiFi-Authentifizierung wird verweigert. Purple verknüpft den WiFi-Zugang über SCIM mit dem Identitätsanbieter. Die relevanten Identitätsanbieter sind Microsoft Entra ID, Okta und Google Workspace. Der betriebliche Vorteil ist keine Magie. Es ist eine einzige Quelle der Wahrheit (Single Source of Truth): Das Ereignis, das das Arbeitsverhältnis beendet, startet auch die WiFi-Entfernung. Betrachten Sie SCIM als Kontrollpfad, nicht als Slogan. Sie benötigen eine eindeutige Kennung, die das Identity-Provider-Konto dem WiFi-Zugriffsdatensatz zuordnet. Sie benötigen ein vereinbartes Deaktivierungsereignis. Sie müssen wissen, welchen Fehler der empfangende Dienst erzeugt, wenn eine Deaktivierungsanforderung fehlschlägt. Und Sie benötigen eine Testidentität, die beweist, dass Ihre Überwachung diesen Fehler erfasst. Gehen Sie nun vom Entwurf zur Implementierung über. Beginnen Sie mit einem Zugriffsbestand. Listen Sie jedes Mitarbeiter-WiFi-Netzwerk, seinen Sicherheitsmodus, die Identitätsquelle, den RADIUS-Pfad (falls vorhanden), die Zertifizierungsstelle (falls vorhanden), den iPSK-Besitzerdatensatz (falls vorhanden), die Funktion zur Sitzungstrennung und das Protokollziel auf. Tun Sie dies nach Standortgruppe, nicht als eine flache Unternehmensliste. Ein Hotel, ein Geschäft in der Einkaufsstraße und ein Stadion können sich Richtlinien teilen, während sie unterschiedliche Betriebsteams und Hardware verwenden. Wählen Sie als Nächstes die Steuerung, die den größten Teil der manuellen Arbeit aus dem Ausscheidungsprozess von Mitarbeitern entfernt. Für verwaltete Unternehmensgeräte verwenden Sie 802.1X mit EAP-TLS, sofern Ihre Zertifizierungsstelle, Ihr RADIUS-Entwurf und Ihre Geräteverwaltung dies unterstützen. Für gemischte Umgebungen und Geräte, die keine Zertifikate verwenden können, nutzen Sie iPSK nur dann, wenn jeder Schlüssel eindeutig zugewiesen und löschbar ist. Für eine Umgebung, die bereits Microsoft Entra ID, Okta oder Google Workspace nutzt, verwenden Sie eine SCIM-gesteuerte Deprovisionierung, um die Kontodeaktivierung zum Auslöser für die WiFi-Entfernung zu machen. Purple kann dieses Identitätsereignis mit dem WiFi-Zugangsstatus verknüpfen. Fügen Sie kein zweites manuelles Ticket hinzu, es sei denn, es handelt sich um einen Ausnahmepfad. Erstellen Sie ein Offboarding-Runbook für denselben Tag. Die Personalabteilung bestätigt die Endzeit. Der Identitätsbesitzer deaktiviert das Konto. Der Netzwerkbesitzer bestätigt, dass das entsprechende Zertifikat, der iPSK- oder WiFi-Zugangsdatensatz nicht mehr gültig ist. Das Betriebsteam entscheidet, ob eine aktive Sitzung getrennt werden muss. Ein namentlich genannter Tester führt einen neuen Authentifizierungsversuch durch. Der Fall wird erst geschlossen, wenn das Ergebnis protokolliert wurde. Das ist bewusst unspektakulär. Es ist aber auch der Teil, den ein Auditor rekonstruieren kann. Für den Nachweis nach ISO 27001 oder SOC 2 sollten Sie eine kleine, aber vollständige Kette aufbewahren: die autorisierte Offboarding-Anfrage, die Änderung des Identity-Providers, die WiFi-Änderung, das Verifizierungsergebnis, die Zeitstempel und den Verantwortlichen für jeden Schritt. Vermeiden Sie es, mehr personenbezogene Daten zu erfassen, als die Kontrolle erfordert. Zugriffsdaten können personenbezogene Daten sein, beziehen Sie sie daher in Ihre Entscheidungen zur Aufbewahrung und Zugriffskontrolle ein. Wenn Mitarbeiter-WiFi Auswirkungen auf Zahlungssysteme haben kann, besprechen Sie den Umfang und die Segmentierung mit dem für PCI-DSS zuständigen Team, anstatt den WiFi-Widerruf als eigenständigen Compliance-Anspruch zu behandeln. Achten Sie auf vier Fehlermodi. Erstens: Ein gemeinsam genutztes Passwort wird immer noch auf einer übersehenen SSID verwendet. Zweitens: Der WiFi-Datensatz wird einer veränderlichen E-Mail-Adresse anstelle einer dauerhaften Identität zugeordnet. Drittens: Ein Deaktivierungsereignis erreicht den Identity-Provider, aber nicht den WiFi-Zugangsdienst. Viertens: Sie testen nur den Dashboard-Status und nicht einen echten neuen Beitrittsversuch. Jeder Fehlermodus ist vermeidbar, wenn Sie die Kontrolle inventarisieren, überwachen und testen. Kurze Fragen, schnelle Antworten. Kann ein gemeinsam genutztes WPA2 Passwort für einen einzelnen Ausscheidenden widerrufen werden? Nein. Ändern Sie es für alle oder ersetzen Sie es durch eine identitätsbezogene Kontrolle. Wie schnell kann ein EAP-TLS Zugriff entzogen werden? Bei der nächsten Authentifizierung, vorausgesetzt, Ihr Zertifikats- und RADIUS Validierungsdesign erkennt den Widerruf. Beendet SCIM eine aktive Sitzung? Nicht von selbst. Betrachten Sie die Sitzungssteuerung als eine separate betriebliche Entscheidung. Ist iPSK für jedes Gerät geeignet? Nein. Es ist ein praktisches, identitätsgebundenes Schlüsselmodell für Fälle, in denen eine Zertifikatsauthentifizierung nicht angemessen ist. Der nächste Schritt ist eine kurze Designprüfung. Wählen Sie ein Mitarbeiter-WiFi Netzwerk aus. Verfolgen Sie das Ausscheiden eines Mitarbeiters von der HR-Benachrichtigung bis zur verweigerten Authentifizierung. Finden Sie den manuellen Schritt. Und entfernen Sie ihn. Ein WiFi Anmeldedatensatz sollte dann ungültig werden, wenn der Mitarbeiter das Unternehmen verlässt, und nicht erst beim nächsten Projekt zur Passwortänderung.