Managed WiFi für Serviced Offices und Coworking: Mieterisolierung und Abrechnung

Serviced-Office- und Coworking-Betreiber isolieren Mandanten, indem sie jedem Mitgliedsunternehmen eine eigene Netzwerkidentität zuweisen. Diese Identität ist ein privater WiFi-Schlüssel oder ein 802.1X-Login in einem gemeinsamen Netzwerk, das einem eigenen VLAN zugewiesen ist. Besucher, Tagespass-Inhaber und Meetingräume nutzen ein separates Captive Portal. Bandbreiten-Stufen sind an die jeweilige Identität gekoppelt und werden über Ihr Workspace-Managementsystem abgerechnet.

Welches Modell zur Mandantenisolierung sollte Ihr Serviced Office wählen?

Für die meisten Betreiber ist ein mehrschichtiges Design aus drei Komponenten die richtige Lösung:

• Weisen Sie jedem Mitgliedsunternehmen einen privaten Schlüssel in einem gemeinsamen Mitgliedernetzwerk zu.
• Überführen Sie Enterprise-Mandanten mit verwalteten Laptops in ein 802.1X-Netzwerk.
• Leiten Sie alle Besucher, Tagespass-Inhaber und Meetingraum-Buchungen über ein separates Captive Portal-Netzwerk.

Dieses Konzept löst das Kernproblem von WiFi in Serviced Offices: Dutzende von Unternehmen teilen sich dieselben Access Points, erwarten jedoch ein Netzwerk, das sich wie ihr eigenes Büro verhält. Mitglieder möchten ihren eigenen Drucker und Dateiserver sehen - und sonst niemanden. Sie wiederum möchten eine einzige Infrastruktur verwalten und nicht ein Netzwerk pro Mandant.

Warum eine SSID pro Unternehmen an ihre Grenzen stößt

Eine SSID (Service Set Identifier) ist der Netzwerkname, den ein Gerät sieht. Die naheliegende Lösung wäre eine SSID pro Unternehmen - was im größeren Maßstab jedoch scheitert. Jede SSID sendet ihre eigenen Beacon-Frames aus, nach IEEE 802.11 standardmäßig alle 102,4 Millisekunden. Beacons werden mit der niedrigsten Basisdatenrate übertragen und verbrauchen daher viel Sendezeit. Zehn Mandanten bedeuten zehn Beacon-Sätze auf jedem Funkkanal. Diese Sendezeit geht direkt von der Kapazität ab, für die Ihre Mitglieder bezahlen.

Ein gemeinsames Passwort mit Client-Isolierung ist die andere verbreitete Abkürzung. Die Client-Isolierung blockiert jedoch die Kommunikation zwischen den Geräten - einschließlich der Laptops eines Unternehmens mit seinem eigenen Drucker. Wenn ein Mitglied das Unternehmen verlässt, müssen Sie das Passwort ändern, woraufhin jedes andere Unternehmen jedes einzelne Gerät neu konfigurieren muss.

Das skalierbare Modell: Identität in einem gemeinsamen Netzwerk

Das skalierbare Modell trennt den Netzwerknamen von der Netzwerkidentität. Jedes Mitgliedsunternehmen verbindet sich mit derselben SSID. Die vorgelegten Anmeldedaten entscheiden darüber, wo das Gerät landet.

Zwei Methoden übertragen diese Identität:

• Identity Pre-Shared Key (iPSK). Jedes Unternehmen oder jedes Gerät erhält sein eigenes Passwort für eine einzige SSID. Die Anbieter verwenden hierfür unterschiedliche Bezeichnungen: Cisco Meraki nennt es iPSK, HPE Aruba nennt es MPSK und Ruckus nennt es DPSK. Der generische Begriff lautet PPSK (Private Pre-Shared Key).
• IEEE 802.1X. Jede Person oder jedes Gerät authentifiziert sich individuell. PEAP (Protected Extensible Authentication Protocol) nutzt Benutzername und Passwort. EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) nutzt ein digitales Zertifikat.

Beide Methoden übergeben an einen RADIUS-Server (Remote Authentication Dial-In User Service). RADIUS prüft die Anmeldeinformationen und teilt dem Access Point mit, welches VLAN verwendet werden soll. Ein VLAN (Virtual Local Area Network) ist ein logisch getrenntes Netzwerksegment. RFC 3580 definiert die Standard-RADIUS-Attribute für diese VLAN-Zuweisung. Der Datenverkehr im VLAN eines Unternehmens kann das eines anderen nicht erreichen, ohne Ihre Firewall zu passieren.

Purple Multi-Tenant WiFi führt dieses Modell als Cloud-Overlay auf Access Points aus, die Sie bereits besitzen. Jedes Mitgliedsunternehmen erhält ein Private Area Network, eine private Netzwerkblase auf einer gemeinsam genutzten Infrastruktur. Der Cloud RADIUS von Purple prüft die Identität und gibt das VLAN zurück, sodass Sie keinen RADIUS-Server vor Ort betreiben müssen.

Wo sich unternehmensspezifische PSK, 802.1X und Captive Portal-Zugänge wirklich unterscheiden

Die Tabelle vergleicht die vier Modelle, die Betreiber in Betracht ziehen, anhand der Kriterien, die über den Einsatz in einer Multi-Tenant-Umgebung entscheiden.

	Gemeinsames Passwort	Unternehmensspezifischer iPSK	802.1X (PEAP oder EAP-TLS)	Captive Portal
Wie sich ein Gerät verbindet	Ein Passwort für jeden Mandanten	Ein Passwort pro Unternehmen oder pro Gerät	Persönliches Login oder Gerätezertifikat	Web-Anmeldeseite nach dem Beitritt
Was Mandanten trennt	Nur Client-Isolierung	RADIUS-zugewiesenes VLAN pro Unternehmen	RADIUS-zugewiesenes VLAN pro Unternehmen oder Rolle	Client-Isolierung in einem Gast-VLAN
Drucker, Bildschirme und IoT	Unterstützt	Unterstützt	Eingeschränkt bei Geräten ohne Bildschirm	Nicht geeignet
Onboarding eines neuen Unternehmens	Das bestehende Passwort teilen	Einen Schlüssel erstellen	Konten erstellen oder Zertifikate ausstellen	Keines, Besucher bedienen sich selbst
Wenn ein Unternehmen auszieht	Das gesamte Gebäude neu verschlüsseln	Einen Schlüssel löschen	Konten im Verzeichnis deaktivieren	Sitzung läuft nach einem Timer ab
Sicherheitsstandard	WPA2 oder WPA3-Personal	WPA2-Personal, WPA3-Personal, sofern vom Anbieter unterstützt	WPA2 oder WPA3-Enterprise	Offen oder OWE, zuzüglich Portal
Beste Eignung	Nicht empfohlen für Multi-Tenant-Nutzung	Kleine und mittelgroße Mitgliedsunternehmen	Enterprise-Mandanten mit verwalteten Geräten	Besucher, Tageskarten, Tagungsräume, Veranstaltungen

OWE (Opportunistic Wireless Encryption, RFC 8110) verschlüsselt ein offenes Netzwerk ohne Passwort. Es schützt Besucher auf der Gast-SSID vor passivem Abhören.

Was das VLAN-Design hinter den Access Points benötigt

Purple steuert die Identität und die VLAN-Zuweisung. Ihre Switches und Ihre Firewall setzen die Trennung weiterhin durch, daher ist das kabelgebundene Design genauso wichtig wie das drahtlose.

• Ein VLAN pro Mitgliedsunternehmen, jedes mit einem eigenen DHCP-Bereich (Dynamic Host Configuration Protocol) für IP-Adressen.
• Standardmäßige Verweigerung (Default-deny) zwischen VLANs an der Firewall. Erlauben Sie den Internetzugang sowie alle gemeinsam genutzten Dienste, die Sie freigeben möchten, wie z. B. einen Gebäudedrucker.
• Passende kabelgebundene Anschlüsse. Anschlüsse im privaten Büro eines Unternehmens landen im selben VLAN wie dessen WiFi. Dockingstation und Laptop befinden sich dann im selben Netzwerk.
• Client-Isolierung im Gast-VLAN, damit Besucher die Geräte der anderen nicht erreichen können.

Planung für zufällige Geräteadressen

Apple-Geräte ab iOS 14 und Android-Geräte ab Android 10 verwenden standardmäßig eine zufällige MAC-Adresse pro Netzwerk. Jedes Konzept, das Mitglieder anhand der Hardware-Adresse erkennt, schlägt fehl - egal ob bei Tageskarten oder bei der Abrechnung. Verknüpfen Sie Zugang und Abrechnung mit dem Schlüssel oder dem Login, niemals mit der MAC-Adresse.

Wann iPSK pro Unternehmen die richtige Wahl ist

iPSK eignet sich für die meisten Coworking-Mitglieder. Es funktioniert auf jedem Gerät, das WPA2-Personal unterstützt, einschließlich Drucker, Smart-TVs und Konferenzraumsystemen. Die Mitglieder benötigen keine IT-Abteilung und keine Konfiguration, außer der Eingabe eines Passworts. Sie verwalten einen Datensatz pro Unternehmen.

Entscheiden Sie sich frühzeitig zwischen Schlüsseln pro Unternehmen und Schlüsseln pro Gerät. Ein Schlüssel pro Unternehmen ist einfacher auszugeben. Schlüssel pro Gerät oder pro Person ermöglichen es Ihnen, ein einzelnes verlorenes Smartphone zu sperren, ohne das Passwort für alle anderen zu ändern. Viele Betreiber kombinieren beides: einen Unternehmensschlüssel für gemeinsam genutzte Hardware und persönliche Schlüssel für die Mitarbeiter.

Prüfen Sie vor dem Kauf ein Detail: WPA3-Personal ersetzt den PSK-Handshake durch SAE (Simultaneous Authentication of Equals). Bestätigen Sie, ob Ihre Access Points mehrere Schlüssel pro SSID unter WPA3-Personal unterstützen, nicht nur unter WPA2-Personal.

Die folgenden Szenarien sind erprobte Konzepte mit Ergebnissen, die im Netzwerk selbst gemessen wurden.

Erprobtes Szenario: Ein Hotel mit einer Serviced-Office-Etage

Ausgangslage. Ein Stadthotel mit 180 Zimmern wandelte seine erste Etage in 12 Serviced Offices um. Alle 12 Mieter teilten sich ein einziges Passwort, getrennt vom Gäste-Netzwerk. Wenn ein Mieter auszog, änderte das Hotel das Passwort, und 11 andere Unternehmen mussten jedes einzelne Gerät neu konfigurieren. Der Netzwerkdrucker eines Mieters war für die gesamte Etage sichtbar.

Umsetzung. Das Hotel erstellte eine Mitglieder-SSID mit 12 iPSKs, die jeweils einem eigenen VLAN zugewiesen wurden. Die kabelgebundenen Anschlüsse in jedem Büro wurden in das entsprechende VLAN verschoben. Das Hotel behielt Guest WiFi auf einer eigenen Captive Portal-SSID für Gäste in den Zimmern und der Lobby bei.

Ergebnis. Die Anzahl der von einem Auszug betroffenen Unternehmen sank von 12 auf eines. Das Hotel betrieb zwei SSIDs anstelle der 13, die bei einem Konzept mit einem eigenen Netzwerk pro Mieter erforderlich gewesen wären. Jeder Drucker wurde nur noch innerhalb des VLANs des eigenen Unternehmens sichtbar. Das gleiche Muster lässt sich auf alle Hotels anwenden, die ihr Angebot um Arbeitsflächen erweitern.

Wann 802.1X mit Mitglieder-Identität die richtige Wahl ist

Wechseln Sie bei einem Mieter zu 802.1X, wenn dieser über ein eigenes IT-Team und verwaltete Laptops verfügt. Tun Sie dasselbe, wenn seine Sicherheitsrichtlinie einen zertifikatsbasierten Zugriff vorschreibt, wie es bei Mitgliedern aus dem Finanz- und Gesundheitswesen üblich ist.

EAP-TLS eliminiert gemeinsam genutzte Passwörter vollständig. Jeder verwaltete Laptop besitzt ein Zertifikat, und durch dessen Widerruf wird der Zugriff dieses Geräts aufgehoben. PEAP nutzt stattdessen die Verzeichnis-Anmeldedaten des Mieters. Das ist einfacher einzuführen, bringt jedoch den Ablauf von Passwörtern und die daraus resultierenden Anrufe beim Helpdesk mit sich.

Purple Identity-Based Networks knüpfen den Netzwerkzugriff an eine Identität statt an ein gemeinsames Passwort. Purple verbindet sich mit Microsoft Entra ID, Okta und Google Workspace. Zugänge für neue, wechselnde und ausscheidende Mitarbeiter werden dann direkt auf der Identitätsebene verwaltet. Ein im Verzeichnis des Tenants deaktivierter ehemaliger Mitarbeiter verliert bei der nächsten Authentifizierung den Zugriff auf das WiFi, ohne dass Ihr Team eingreifen muss.

Persönliche und unternehmensweite Sicherheit können nicht über dieselbe SSID laufen, da sie unterschiedliche Authentifizierungsmethoden nutzen. Enterprise-Tenants benötigen daher eine zweite Mitglieds-SSID. Beschränken Sie sich auf eine einzige SSID, die von jedem 802.1X-Tenant gemeinsam genutzt wird, wobei die VLANs pro Unternehmen zugewiesen werden.

Für Betreiber mit mehreren Standorten empfiehlt sich Passpoint (Hotspot 2.0). Damit kann sich ein Gerät anhand eines gespeicherten Profils automatisch und sicher mit einem Netzwerk verbinden. OpenRoaming ist die auf Passpoint basierende Federation der Wireless Broadband Alliance und wird von Purple unterstützt. Mit beiden Lösungen wechseln Mitglieder zwischen Ihren Standorten, ohne sich erneut anmelden zu müssen.

Praxisbeispiel: Ein kommunales Innovationszentrum

Ausgangslage. Ein von der Kommune betriebenes Innovationszentrum beherbergt 40 Start-ups und ein 25-köpfiges Team der städtischen Wirtschaftsförderung. Die kommunale IT schreibt 802.1X für ihre verwalteten Laptops vor. Das städtische Team hatte eigene Access Points neben denen des Zentrums installiert, was die Hardware auf zwei Etagen verdoppelte.

Umsetzung. Das Zentrum konsolidierte die Infrastruktur auf ein einziges Access-Point-Netz mit drei SSIDs. Die erste ist eine Mitglieds-SSID mit 40 iPSKs, die 40 VLANs zugewiesen sind. Die zweite ist eine 802.1X-SSID, die EAP-TLS gegen das Verzeichnis der Kommune nutzt und dem Kommunal-VLAN zugewiesen ist. Die dritte ist eine Gast-SSID mit einem Captive Portal.

Ergebnis. Die zweite Access-Point-Infrastruktur auf den zwei Etagen wurde abgebaut. Das Zentrum betreibt nun drei SSIDs anstelle von 41 (was einer SSID pro Tenant entsprochen hätte). Ausscheidende Mitarbeiter der Kommune verlieren den WiFi-Zugang, sobald die IT sie im Verzeichnis deaktiviert - ganz ohne Zutun des Zentrumspersonals.

Wie werden Besucher, Tagesgäste und Meetingräume eingebunden?

Besucher gelangen niemals in das Mitgliedernetzwerk. Ein Captive Portal ist die Webseite, die ein Gerät sieht, bevor es einen Internetzugang erhält. Es befindet sich auf einer eigenen Gast-SSID und einem separaten VLAN mit Client-Isolierung.

Drei Besuchertypen erfordern unterschiedliche Regeln:

• Besucher von Mitgliedern. Kunden und Bewerber, die ein Mitgliedsunternehmen besuchen, erhalten an der Rezeption oder über das Portal einen zeitlich begrenzten Gastzugang. Sie erhalten nicht den Schlüssel des Unternehmens.
• Inhaber von Tageskarten. Stellen Sie beim Check-in Zugangsdaten aus, die mit Betriebsschluss ablaufen. Wenn ein Tagesgast zu einer Hot-Desk-Mitgliedschaft wechselt, erhält er einen persönlichen Schlüssel auf der Mitglieds-SSID.
• Buchende von Meetingräumen. Externe Buchende erhalten einen Code, der für das gebuchte Zeitfenster gültig ist. Mitglieder, die einen Raum buchen, verfügen bereits über ihr eigenes Netzwerk und benötigen keine zusätzlichen Zugangsdaten.

Besucher-Logins sind personenbezogene Daten gemäß GDPR. Erfassen Sie daher nur die wirklich benötigten Daten. Holen Sie Marketing-Einwilligungen über eine bewusste Auswahl (Opt-in) ein und nutzen Sie keine vorausgewählten Kontrollkästchen. Legen Sie bereits vor dem Go-live Aufbewahrungsfristen für Login-Datensätze und Netzwerk-Logs fest. GDPR data retention for shared WiFi operators: how long you can keep guest login data and network logs erläutert die entsprechenden Vorgaben.

Tagespass und Konferenzraum-Besucher sind Ihre zukünftigen Mitglieder. Einwilligungspflichtige Besucherdaten liefern Ihrem Vertriebsteam First-Party-Daten darüber, wer zu Besuch kommt, wie oft und welche Räume gebucht werden. WiFi Analytics zeigt die Besuchshäufigkeit und Verweildauer in Lounges und Tagungsräumen, was Aufschluss über Preisgestaltung und Raumaufteilung gibt.

Praxisszenario: Ein Veranstaltungsbereich im Workspace

Situation. Ein flexibler Workspace mit einem Veranstaltungssaal für 300 Personen veranstaltet wöchentliche Abendevents. Das Empfangspersonal gab den Teilnehmern das Passwort für Mitglieder, da das Gäste-Netzwerk über keinen Event-Modus verfügte.

Was getan wurde. Jedes Event erhielt seinen eigenen Zugangscode auf der Gäste-SSID, gültig von 17:00 bis 23:00 Uhr. Eine Drosselung auf 10 Mbps pro Gerät schützte den Datenverkehr der Mitglieder auf gemeinsam genutzten Uplinks. Das Portal bot den Teilnehmern eine bewusste Opt-in-Möglichkeit für spätere Kontaktaufnahmen durch den Veranstalter.

Ergebnis. Kein Teilnehmer erhielt von diesem Zeitpunkt an das Passwort für Mitglieder. Der Zugriff endete um 23:00 Uhr ohne manuelle Anpassungen. Jedes Opt-in wurde zu First-Party-Daten, die das Event-Team für seine nächste Buchung nutzen konnte.

Was die einzelnen Modelle im Betrieb kosten und wie die Abrechnung funktioniert

Betriebskosten nach Modell

Abgesehen von den Lizenzgebühren bestehen die tatsächlichen Kosten jedes Modells aus der Arbeitszeit des Personals und der unterstützenden Infrastruktur.

• iPSK hat die niedrigsten Verwaltungskosten pro Mieter: ein Schlüssel pro Unternehmen, eine Löschung pro ausscheidendem Mitarbeiter. Cloud RADIUS ersetzt den Server, den Sie sonst hosten und patchen müssten.
• 802.1X mit PEAP hängt vom Verzeichnis des Mieters ab. Rechnen Sie mit Helpdesk-Anrufen, wenn Passwörter ablaufen und Geräte die Verbindung zum Netzwerk verlieren.
• 802.1X mit EAP-TLS benötigt eine PKI (Public-Key-Infrastruktur) zur Ausstellung von Zertifikaten sowie ein Gerätemanagement zu deren Installation. Die Einrichtungskosten sind am höchsten, das laufende Risiko am geringsten.
• Captive Portal erfordert fast keine Administration pro Besucher. Ihre Hauptkosten liegen in der GDPR-Compliance-Arbeit bezüglich Speicherung und Einwilligung.

Hardware ist selten der Kostentreiber. Ein Cloud-Overlay läuft auf Ihren vorhandenen Access Points, wie in Warum Ihr nächstes WiFi Upgrade keine neue Hardware benötigt beschrieben.

Abrechnungsmodelle, die das Netzwerk durchsetzen kann

Eine Abrechnung ist nur dann vertretbar, wenn das Netzwerk das durchsetzt, was auf der Rechnung steht. Jedes der folgenden Modelle ordnet eine Gebühr einer Steuerung und den entsprechenden Nachweisdaten zu.

Abrechnungsmodell	Wie Sie abrechnen	Was es durchsetzt	Benötigte Daten
Inbegriffen	WiFi in der Mitgliedsgebühr enthalten	Unternehmensschlüssel oder Login aktiv, solange die Mitgliedschaft läuft	Aktiver oder widerrufener Status pro Unternehmen
Bandbreiten-Stufen	Monatliches Add-on, zum Beispiel 100 Mbps, 500 Mbps oder 1 Gbps	Der Unternehmensidentität zugewiesene Ratenbegrenzung	Durchsatz pro Unternehmens-VLAN
Dedizierter Uplink	Weiterleitung einer dedizierten Leitung zuzüglich einer Marge	Policy-Routing leitet das Unternehmens-VLAN an seinen eigenen Uplink weiter	Uplink-Auslastung pro Monat
Tagespass	Pro Tag, an der Rezeption oder online	Anmeldeinformationen, die zur Schließzeit ablaufen	Ausstellungs- und Ablaufprotokoll pro Anmeldeinformation
Besprechungsraum	In den Raumbuchungspreis integriert	Code gültig für das Buchungsfenster	Buchungsreferenz mit jedem Code verknüpft

Ratenbegrenzungen werden pro Identität über herstellerspezifische RADIUS-Attribute oder Richtlinien pro Gruppe auf den Access Points zugewiesen. Der Mechanismus unterscheidet sich je nach Hersteller. Testen Sie daher jede Stufe auf Ihrer eigenen Hardware, bevor Sie die Preise festlegen.

Onboarding über Ihr Workspace-Managementsystem

Ihre Workspace-Management-Plattform enthält bereits die Mitgliedschaftsdaten. Das Ziel besteht darin, dass jedes Mitgliedschaftsereignis das entsprechende Netzwerkereignis auslöst:

1. Ein unterzeichneter Vertrag erstellt den Schlüssel des Unternehmens oder das Enterprise-VLAN.
2. Ein Tarif-Upgrade ändert die Ratenbegrenzung für diese Identität.
3. Ein Auszugsdatum widerruft den Schlüssel am Ende der Laufzeit.

Auf diese Weise eingerichtet, verliert ein Abgänger den Zugriff an dem Tag, an dem der Vertrag endet - nicht an dem Tag, an dem sich jemand erinnert. Bitten Sie jeden Anbieter, einschließlich Purple, diesen Ablauf mit Ihrer Plattform zu demonstrieren, bevor Sie unterschreiben. Weitere Informationen zum Betrieb von Netzwerken für Unternehmen finden Sie unter WiFi in business.

So entscheiden Sie für Ihren Workspace: Design- und Käufer-Checkliste

Entscheidungsmatrix

Ihre Situation	Empfehlung
Bis zu 50 kleine Mitgliedsunternehmen mit unterschiedlichen Geräten	Eine iPSK-Mitglieder-SSID plus eine Guest-Portal-SSID
Enterprise-Mieter mit eigener IT und verwalteten Laptops	Eine 802.1X-SSID mit EAP-TLS hinzufügen, VLAN pro Mieter
Mehrere Standorte mit Mitgliedern, die roamen	Identische SSIDs an jedem Standort, plus Passpoint oder OpenRoaming
Große Veranstaltungen und hohes Aufkommen in Besprechungsräumen	Zeitlich begrenzte Codes auf der Guest-SSID mit Obergrenzen pro Gerät
Mieter, die Kartenzahlungen akzeptieren	Dediziertes VLAN und dokumentierte Firewall-Regeln zur Einschränkung des PCI-DSS-Umfangs

Die PCI-DSS-Richtlinien erkennen die Netzwerksegmentierung als eine Möglichkeit an, den Umfang einer Bewertung zu verringern. Dokumentieren Sie die Firewall-Regeln, die das VLAN eines Anbieters mit Zahlungsabwicklung isolieren, da dessen Auditor danach fragen wird.

Design-Checkliste

1. Beschränken Sie die Umgebung auf drei SSIDs: Mitglieder-iPSK, Mitglieder-802.1X und Guest.
2. Erstellen Sie ein VLAN und einen DHCP-Bereich pro Mitgliedsunternehmen.
3. Richten Sie Default-Deny zwischen den VLANs ein, mit expliziten Allow-Regeln für gemeinsam genutzte Dienste.
4. Ordnen Sie kabelgebundene Anschlüsse in Einzelbüros dem VLAN des jeweiligen Unternehmens zu.
5. Aktivieren Sie die Client-Isolierung und OWE auf der Guest-SSID.
6. Definieren Sie Bandbreitenstufen und testen Sie jede Ratenbegrenzung auf Ihren Access Points.
7. Verknüpfen Sie Tagespässe und Abrechnung mit Anmeldedaten, niemals mit MAC-Adressen.
8. Legen Sie Aufbewahrungsfristen für Besucherdaten und Netzwerkprotokolle vor dem Start fest.

Käufer-Checkliste

1. Hardware-Unterstützung. Läuft die Plattform auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet? Purple ist hardwareagnostisch über alle acht Anbieter hinweg.
2. Eine Plattform für jedes Modell. Kann sie iPSK, 802.1X und Captive Portal-Zugriffe über eine einzige Benutzeroberfläche verwalten?
3. Dynamische VLANs. Liefert der RADIUS ein VLAN pro Identität unter Verwendung von RFC 3580-Standardattributen zurück?
4. Ratenbegrenzungen pro Identität. Können Bandbreitenstufen eher an ein Unternehmen als an eine SSID gebunden werden?
5. Automatisierung des Lebenszyklus. Können Ereignisse bei Mitgliedschaften den Netzwerkzugriff ohne manuelle Schritte erstellen, ändern und widerrufen?
6. Compliance. Achten Sie auf ISO 27001, GDPR, CCPA und Cyber Essentials. Purple erfüllt alle vier Standards und ist eine zertifizierte B Corp.
7. Verfügbarkeit. Welche Betriebszeit garantiert der Anbieter? Die Plattform von Purple läuft mit einer Verfügbarkeit von 99,999 %.
8. Multi-Standort-Steuerung. Können Sie eine Richtlinie über alle Zentren hinweg mit lokalem Branding anwenden? Siehe Multi-site guest WiFi for franchises: central control with local branding.

Skalierbarkeit ist entscheidend, wenn Sie die operative Reife eines Anbieters bewerten. Purple wurde 2012 gegründet und läuft an über 80.000 aktiven Standorten in mehr als 90 Ländern. Unsere eigenen Daten zeigen 440 Millionen Anmeldungen im Jahr 2024.

Häufig gestellte Fragen

Kann Purple Mandantenfähiges WiFi auf den Access Points laufen, die wir bereits besitzen?

Ja. Purple ist hardwareunabhängig und läuft als Cloud Overlay auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie behalten Ihre Access Points, Switches und Firewall. Purple ergänzt dies durch Cloud RADIUS, unternehmensspezifische Identitäten und VLAN-Zuweisung, ohne dass Geräte ausgetauscht werden müssen. Bestätigen Sie, dass Ihr Modell mehrere Pre-Shared Keys auf einer SSID unterstützt, bevor Sie ein iPSK-Rollout planen.

Können Mitglieder ihre eigenen Geräte sicher mitbringen?

Ja, vorausgesetzt, die Geräte jedes Unternehmens landen in ihrem eigenen VLAN. Mit iPSK verbinden sich Smartphone, Laptop und Drucker eines Mitglieds über den Unternehmensschlüssel und sehen nur das Netzwerk dieses Unternehmens. Bei 802.1X meldet sich jede Person mit einer persönlichen Anmeldeinformation oder einem Zertifikat an. In jedem Fall kann ein anderer Mandant auf demselben Access Point diese Geräte nicht erreichen, ohne Ihre Firewall zu passieren.

Wie wird WiFi in flexiblen Arbeitsbereichen abgerechnet?

Die meisten Betreiber bündeln Standard-WiFi in der Mitgliedsgebühr und verkaufen Bandbreitenstufen oder dedizierte Uplinks als Add-ons. Tageskarten werden pro Tag abgerechnet, und Meetingraum-WiFi ist im Buchungspreis enthalten. Die Abrechnung funktioniert nur dann zuverlässig, wenn das Netzwerk sie durchsetzt, sodass jede Geschwindigkeitsbegrenzung an die Identität des Unternehmens gebunden sein muss. Der Durchsatz pro Unternehmens-VLAN stützt dann die Rechnungsstellung.

Benötigen wir eine separate SSID für jedes Mitgliedsunternehmen?

Nein. Eine Mitglieds-SSID mit einem Schlüssel pro Unternehmen skaliert auf Dutzende von Mandanten, ohne zusätzlichen Beacon-Overhead zu erzeugen. Fügen Sie eine zweite SSID nur für 802.1X-Enterprise-Mandanten hinzu, da persönliche und unternehmensweite Sicherheit nicht denselben Netzwerknamen teilen können. Fügen Sie eine Gäste-SSID für Besucher hinzu. Drei SSIDs decken die meisten Serviced Offices ab, unabhängig davon, wie viele Unternehmen Sie hosten.

Wie wechseln wir von einem gemeinsam genutzten Passwort, ohne die Mitglieder zu stören?

Betreiben Sie die neue Mitglieds-SSID parallel zur alten und migrieren Sie dann Unternehmen für Unternehmen. Geben Sie jedem Unternehmen seinen Schlüssel, verschieben Sie seine Büro-Ports in das passende VLAN und bestätigen Sie die Funktion der Geräte, bevor Sie mit dem nächsten beginnen. Deaktivieren Sie das gemeinsam genutzte Passwort, sobald das letzte Unternehmen migriert ist. Erfassen Sie Drucker und AV-Geräte pro Büro zuerst, da geräteohne Bildschirm (headless) die meisten Störungen verursachen.

Sind Besucher-Anmeldedaten in einem Coworking-Gästenetzwerk GDPR-konform?

Ja, wenn Sie diese auf einer rechtmäßigen Grundlage erheben und nur so lange aufbewahren, wie Sie sie benötigen. Purple ist GDPR-konform und ISO 27001-zertifiziert, und sein Captive Portal nutzt Opt-ins nach dem Prinzip der bewussten Entscheidung für die Marketing-Einwilligung. Als Betreiber legen Sie weiterhin die Aufbewahrungsfristen für Anmeldedaten und Netzwerk-Protokolle fest. Vereinbaren Sie diese Fristen vor dem Start und veröffentlichen Sie sie in Ihren Datenschutzhinweisen.

Sollten wir iPSK oder 802.1X für Mitgliedsunternehmen wählen?

Wählen Sie iPSK für die meisten Mitgliedsunternehmen und 802.1X für Enterprise-Mieter mit verwalteten Geräten. iPSK funktioniert auf jedem WPA2-Personal-Gerät, einschließlich Druckern und Bildschirmen, und benötigt einen Schlüssel pro Unternehmen. 802.1X mit EAP-TLS gibt jedem Gerät sein eigenes Zertifikat und verknüpft den Zugriff mit dem Verzeichnis des Mieters, auf Kosten der Zertifikatsverwaltung. Viele Serviced Offices betreiben beides auf denselben Access Points.