Zum Hauptinhalt springen
Deutsch

Zertifikatsbasierte Authentifizierung für Unternehmensgeräte (EAP-TLS)

Dieses maßgebliche technische Referenzhandbuch behandelt die Architektur, Bereitstellung und bewährte Betriebspraktiken der zertifikatsbasierten EAP-TLS-Authentifizierung für Unternehmensgeräte. Es wurde für IT-Architekten und Betreiber von Veranstaltungsorten entwickelt und bietet einen praktischen Leitfaden zur Eliminierung passwortbasierter Anmeldeinformationsrisiken sowie zur Implementierung einer robusten 802.1X-Netzwerkzugriffskontrolle in standortübergreifenden Unternehmensumgebungen.

📖 13 Min. Lesezeit📝 3,198 Wörter🔧 3 ausgearbeitete Beispiele❓ 3 Übungsfragen📚 8 Schlüsseldefinitionen

Diesen Leitfaden anhören

Podcast-Transkript ansehen
Zertifikatsbasierte Authentifizierung für Unternehmensgeräte — EAP-TLS Ein Purple Technical Briefing | Ca. 10 Minuten --- EINFÜHRUNG UND KONTEXT — ca. 1 Minute Willkommen zur Purple Technical Briefing-Reihe. Ich bin Ihr Gastgeber, und heute kommen wir direkt zu einer der wichtigsten Entscheidungen, vor der ein IT-Team, das ein standortübergreifendes Unternehmensnetzwerk verwaltet, in den Jahren 2025 und 2026 stehen wird: Ob Sie die WiFi-Authentifizierung Ihrer Mitarbeiter von passwortbasierten Methoden auf die zertifikatsbasierte Authentifizierung mittels EAP-TLS umstellen sollten. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO bei einer Hotelgruppe, einer Einzelhandelskette, einem Stadion oder einer Organisation des öffentlichen Sektors sind, ist dieses Briefing genau das Richtige für Sie. Wir erklären, was EAP-TLS unter der Haube eigentlich ist, wie Sie es ohne Betriebsunterbrechungen implementieren, wie es in Ihre Compliance-Strategie passt und welche konkreten Ergebnisse Sie erwarten können. Keine akademische Theorie — nur die praktische Anleitung, die Sie benötigen, um in diesem Quartal eine Entscheidung zu treffen. Legen wir los. --- TECHNISCHER DEEP-DIVE — ca. 5 Minuten Was also ist EAP-TLS? EAP steht für Extensible Authentication Protocol und TLS steht für Transport Layer Security — dasselbe kryptografische Protokoll, das den HTTPS-Verkehr im gesamten Web sichert. EAP-TLS ist unter IEEE 802.1X definiert, dem Standard für die portbasierte Netzwerkzugriffskontrolle, und gilt weithin als die sicherste heute verfügbare Methode zur drahtlosen Authentifizierung. Der grundlegende Unterschied zwischen EAP-TLS und allen anderen Methoden, die Sie möglicherweise verwenden — wie PEAP-MSCHAPv2, EAP-TTLS oder einem Pre-Shared Key —, besteht darin, dass eine gegenseitige zertifikatsbasierte Authentifizierung durchgeführt wird. Sowohl das Client-Gerät als auch der RADIUS-Server weisen während des TLS-Handshakes digitale X.509-Zertifikate vor. Keine der beiden Seiten kann sich als die andere ausgeben. Bei diesem Austausch wird überhaupt kein Passwort verwendet. Lassen Sie mich Ihnen erklären, was tatsächlich passiert, wenn sich ein verwalteter Laptop über EAP-TLS mit Ihrem Unternehmens-SSID verbindet. Schritt eins: Das Gerät verbindet sich mit dem Access Point und der 802.1X-Austausch beginnt. Der Access Point — der als Authentifikator fungiert — leitet EAP-Frames zwischen dem Gerät und Ihrem RADIUS-Server weiter. Der RADIUS-Server sendet sein Serverzertifikat an den Client. Der Client validiert dieses Zertifikat anhand der vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA), die ihm bereits bekannt ist — in der Regel Ihre interne PKI oder eine in der Cloud gehostete CA. Schritt zwei: Der Client sendet sein eigenes Zertifikat — das Gerätezertifikat, das von Ihrem MDM oder Ihrer Gruppenrichtlinie bereitgestellt wurde — an den RADIUS-Server. Der RADIUS-Server validiert dieses Zertifikat anhand derselben CA. Wenn beide Zertifikate gültig, nicht abgelaufen und nicht widerrufen sind, wird der TLS-Tunnel aufgebaut und der RADIUS-Server sendet eine Access-Accept-Nachricht über den Access Point zurück. Das Gerät ist im Netzwerk. Der gesamte Austausch dauert weniger als eine Sekunde. Nun zu den kritischen Infrastrukturkomponenten, die Sie benötigen. Erstens eine Public-Key-Infrastruktur — Ihre PKI. Dies ist die Zertifizierungsstelle (Certificate Authority, CA), die Zertifikate ausstellt und verwaltet. Bei den meisten Unternehmensbereitstellungen handelt es sich hierbei entweder um die Microsoft Active Directory-Zertifikatdienste, eine On-Premises-CA oder eine Cloud-gehostete PKI wie EJBCA, Smallstep oder einen Managed Service. Zweitens ein RADIUS-Server — FreeRADIUS, Cisco ISE, Aruba ClearPass oder ein Cloud-RADIUS-Dienst. Drittens eine MDM- oder Endpoint-Management-Plattform — Intune, Jamf, Workspace ONE —, um Gerätezertifikate auf Ihre verwaltete Flotte zu übertragen. Und viertens Ihre Wireless-Infrastruktur — Access Points, die für WPA2-Enterprise oder WPA3-Enterprise mit 802.1X konfiguriert sind. Die entscheidende architektonische Entscheidung ist der Standort Ihres RADIUS-Servers. Ein On-Premises-RADIUS bietet Ihnen die volle Kontrolle, erhöht jedoch den Aufwand für die Infrastruktur. Cloud-RADIUS — zunehmend die bevorzugte Option für Unternehmen mit mehreren Standorten — macht die Verwaltung von RADIUS-Servern an jedem Standort überflüssig und lässt sich direkt in Ihren Cloud-Identity-Provider integrieren. Wenn Sie tiefer in dieses spezifische Bereitstellungsmuster einsteigen möchten, bietet Purple einen detaillierten Leitfaden zur Implementierung von 802.1X mit Cloud-RADIUS, der die Konfigurationsschritte von Anfang bis Ende abdeckt. Sprechen wir nun über die PKI-Seite, denn hier entscheiden sich die meisten Bereitstellungen für Erfolg oder Stillstand. Ihre CA ist der Vertrauensanker (Root of Trust) für das gesamte System. Jedes von dieser CA ausgestellte Gerätezertifikat wird von Ihrem RADIUS-Server als vertrauenswürdig eingestuft. Jedes von dieser CA ausgestellte RADIUS-Serverzertifikat wird von Ihren Geräten als vertrauenswürdig eingestuft. Wenn ein Gerät außer Betrieb genommen wird, widerrufen Sie sein Zertifikat — via CRL oder OCSP — und es verliert sofort den Netzwerkzugriff. Kein Zurücksetzen des Passworts erforderlich. Kein Helpdesk-Ticket. Das Gerät wird einfach ausgeschlossen. Das Zertifikats-Lifecycle-Management ist die betriebliche Disziplin, die über Erfolg oder Misserfolg einer EAP-TLS-Bereitstellung entscheidet. Zertifikate haben ein Ablaufdatum — in der Regel ein bis zwei Jahre bei Gerätezertifikaten. Wenn Ihr MDM diese nicht vor dem Ablauf automatisch verlängert, erhalten Sie Anrufe von Benutzern, die plötzlich keine Verbindung mehr herstellen können. Die automatische Registrierung über SCEP- oder EST-Protokolle, integriert in Ihr MDM, ist für jede Flotte mit mehr als etwa fünfzig Geräten unverzichtbar. Auf der Seite der Wireless-Infrastruktur funktioniert EAP-TLS mit jedem Access-Point-Anbieter, der WPA2-Enterprise oder WPA3-Enterprise unterstützt — Cisco, Aruba, Ruckus, Meraki, Ubiquiti und andere. Die Konfiguration des Access Points ist relativ einfach: Richten Sie den AP auf Ihren RADIUS-Server aus, konfigurieren Sie das Shared Secret und aktivieren Sie 802.1X auf der SSID. Die Komplexität liegt fast ausschließlich in den PKI- und MDM-Schichten, nicht in der Funkschicht. --- IMPLEMENTIERUNGSEMPFEHLUNGEN UND FALLSTRICKE — ca. 2 Minuten Lassen Sie mich Ihnen die praktische Bereitstellungsreihenfolge vorstellen, die sich in der Praxis bewährt hat. Beginnen Sie mit Ihrer PKI. Wenn Sie keine haben, richten Sie eine zweistufige Hierarchie ein – eine Offline-Root-CA und eine Online-Ausstellungs-CA. Halten Sie die Root-CA offline. Stellen Sie Ihr RADIUS-Serverzertifikat von der Ausstellungs-CA aus. Stellen Sie Geräte-Zertifikate per Auto-Enrolment über Ihr MDM aus. Bevor Sie in die Produktion gehen, führen Sie ein Pilotprojekt mit einer kleinen Gruppe – zwanzig bis dreißig Geräte – auf einer Test-SSID durch. Validieren Sie die vollständige Zertifikatskette, testen Sie den Zertifikatswiderruf und bestätigen Sie, dass Ihr MDM-Erneuerungsprozess durchgängig funktioniert. Erst dann rollen Sie das System auf die gesamte Flotte aus. Die drei Fallstricke, die ich bei Enterprise-Bereitstellungen am häufigsten sehe. Erstens: Fehlkonfiguration des Zertifikats-Vertrauensankers. Wenn Ihre Geräte dem Zertifikat Ihres RADIUS-Servers nicht explizit vertrauen – weil die CA-Kette nicht in den Vertrauensspeicher des Geräts übertragen wurde –, schlägt der TLS-Handshake geräuschlos fehl. Der Benutzer sieht „Verbindung nicht möglich“ ohne nützliche Fehlermeldung. Validieren Sie vor dem Go-Live immer die Vertrauenskette aus beiden Richtungen. Zweitens: BYOD-Scope-Creep. EAP-TLS ist für verwaltete, unternehmenseigene Geräte konzipiert. Wenn Sie versuchen, es auf persönliche Geräte auszuweiten, stoßen Sie sofort auf das Problem, wie Sie Zertifikate auf Geräten bereitstellen, die Sie nicht kontrollieren. Die Antwort lautet: Tun Sie es nicht. Verwenden Sie eine separate SSID mit einer anderen Authentifizierungsmethode – vielleicht PEAP oder ein Captive Portal – für persönliche Geräte. Halten Sie Ihre EAP-TLS-SSID streng für die verwaltete Flotte bereit. Drittens: Zertifikatsablauf im großen Stil. Wenn bei einer Bereitstellung von fünfhundert oder tausend Geräten die automatische Zertifikatserneuerung nicht ordnungsgemäß funktioniert, werden Sie mit einer Welle von Authentifizierungsfehlern konfrontiert, wenn die Zertifikate gleichzeitig ablaufen. Testen Sie Ihren Erneuerungs-Workflow unter Last, bevor Sie die Produktionsskalierung erreichen. Für Organisationen mit mehreren Standorten – Hotelgruppen, Einzelhandelsketten, Stadionbetreiber – wird das Cloud-RADIUS-Modell dringend empfohlen. Es eliminiert die RADIUS-Infrastruktur pro Standort, zentralisiert das Richtlinienmanagement und lässt sich in Ihren bestehenden Cloud-Identity-Stack integrieren. Kombinieren Sie es mit einer in der Cloud gehosteten PKI, und Ihre gesamte Authentifizierungsinfrastruktur wird über eine einzige Benutzeroberfläche betrieblich verwaltbar. --- SCHNELLE FRAGEN UND ANTWORTEN – ca. 1 Minute Einige Fragen, die ich regelmäßig von IT-Teams höre. „Kann EAP-TLS mit WPA3 funktionieren?“ Ja. WPA3-Enterprise mit 192-Bit-Sicherheitsmodus schreibt tatsächlich eine zertifikatsbasierte Authentifizierung vor, was EAP-TLS zur natürlichen Wahl macht. „Müssen wir unsere Access Points austauschen?“ Fast sicher nicht. Jeder in den letzten fünf Jahren erworbene AP unterstützt WPA2-Enterprise mit 802.1X. Überprüfen Sie Ihre Firmware-Version, und Sie können wahrscheinlich direkt loslegen. „Was ist mit IoT-Geräten, die keine Zertifikate unterstützen?“ Diese Geräte sollten sich in einem separaten VLAN mit entsprechender Netzsegmentierung befinden. EAP-TLS ist für Ihre verwaltete Geräteflotte gedacht. IoT ist ein separates Problem. "Wie wirkt sich das auf unsere PCI DSS-Compliance aus?" Positiv. Die PCI DSS-Anforderung 8 schreibt eine starke Authentifizierung für den Zugriff auf Karteninhaber-Datenumgebungen vor. Die zertifikatsbasierte Authentifizierung erfüllt diese Anforderung weitaus robuster als Passwörter. Ihr QSA wird es Ihnen danken. "Wie sieht der typische Zeitplan für die Bereitstellung aus?" Für eine Neuinstallation mit einer neuen Cloud-PKI und MDM-Integration sollten Sie acht bis zwölf Wochen einplanen. Wenn Sie bereits Active Directory-Zertifikatdienste und Intune nutzen, können Sie in drei bis vier Wochen produktiv gehen. --- ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — ca. 1 Minute Lassen Sie mich das zusammenfassen. EAP-TLS ist der Goldstandard für die Authentifizierung im corporate WiFi. Es eliminiert das Risiko passwortbasierter Anmeldedaten vollständig, bietet eine gegenseitige Authentifizierung zwischen Gerät und Netzwerk und liefert Ihnen eine kryptografisch erzwungene Geräteidentität. Der betriebliche Aufwand ist real — Sie benötigen eine PKI, ein MDM und eine RADIUS-Infrastruktur —, aber für jedes Unternehmen, das mehr als fünfzig Firmengeräte an mehreren Standorten verwaltet, überwiegen die Sicherheits- und Compliance-Vorteile die Investition bei Weitem. Ihre nächsten Schritte: Überprüfen Sie Ihre aktuelle Authentifizierungsmethode und stellen Sie fest, ob Sie PEAP oder einen Pre-Shared Key verwenden. Bewerten Sie Ihre MDM-Abdeckung — wenn Sie keine vollständige MDM-Registrierung Ihrer Geräteflotte haben, ist dies die erste Voraussetzung, die Sie angehen müssen. Evaluieren Sie dann Ihre PKI-Optionen — Cloud-gehostete PKI-Dienste haben die Einstiegshürde drastisch gesenkt. Und wenn Sie sehen möchten, wie sich die Plattform von Purple in Ihre 802.1X-Infrastruktur integrieren lässt, um sowohl Ihr Mitarbeiter-WiFi als auch Ihr Gäste-WiFi über eine einzige Plattform zu verwalten, wenden Sie sich an unser Solutions-Team. Vielen Dank fürs Zuhören. Wir sehen uns beim nächsten Briefing.

header_image.png

Executive Summary

In der modernen Unternehmensnetzwerk-Landschaft stellt die passwortbasierte drahtlose Authentifizierung einen der anfälligsten Vektoren für Anmeldedaten-Diebstahl, Man-in-the-Middle-Angriffe und unbefugten Netzwerkzugriff dar. Veraltete Protokolle wie PEAP-MSCHAPv2, die in der Vergangenheit aufgrund ihrer geringen Einstiegshürde beliebt waren, verlassen sich auf Benutzer-Anmeldedaten, die leicht über gefälschte Access Points abgefangen oder durch Social Engineering kompromittiert werden können. Für IT-Manager, Netzwerkarchitekten und CTOs, die Multi-Site-Standorte wie Hotels, Einzelhandelsketten, Stadien und Büros des öffentlichen Sektors verwalten, ist die Absicherung des „Mitarbeiter-WiFi“ eine geschäftskritische Priorität, die sich direkt auf die Betriebskontinuität, das Markenvertrauen und die Einhaltung gesetzlicher Vorschriften auswirkt.

Dieser Leitfaden liefert das technische Konzept für die Migration von unternehmenseigenen Geräten auf EAP-TLS (Extensible Authentication Protocol - Transport Layer Security). EAP-TLS ist das branchenübliche kryptografische Protokoll für die gegenseitige zertifikatsbasierte Authentifizierung gemäß IEEE 802.1X. Durch den Ersatz flüchtiger Benutzerpasswörter durch kryptografisch gebundene digitale X.509-Zertifikate eliminiert EAP-TLS anmeldedatenbasierte Angriffsflächen vollständig. Die Implementierung von EAP-TLS stellt sicher, dass sich nur verifizierte, vom Unternehmen verwaltete Geräte mit dem internen Netzwerk verbinden können. Dies vereinfacht die Einhaltung strenger Standards wie PCI DSS und GDPR und reduziert gleichzeitig Helpdesk-Tickets im Zusammenhang mit dem Ablauf und Zurücksetzen von Passwörtern drastisch.

Obwohl die Sicherheitsvorteile von EAP-TLS unbestreitbar sind, erfordert eine erfolgreiche Bereitstellung einen strukturierten Ansatz für die Public-Key-Infrastruktur (PKI), die Integration von Mobile Device Management (MDM) und die Automatisierung des Zertifikatslebenszyklus. Dieses Dokument bietet die praktischen technischen Anleitungen und Architekturmuster, die für die Bereitstellung, Skalierung und Wartung einer robusten EAP-TLS-Infrastruktur in komplexen Multi-Site-Unternehmensumgebungen erforderlich sind.

Technical Deep-Dive

Kryptografische Grundlagen & Gegenseitige Authentifizierung

Das Herzstück von EAP-TLS ist der Transport Layer Security (TLS)-Handshake, der für die Netzwerkzugriffskontrolle im Rahmen des in RFC 5216 [1] definierten Extensible Authentication Protocol (EAP)-Frameworks angepasst wurde. Im Gegensatz zu passwortbasierten EAP-Methoden (wie PEAP oder EAP-TTLS), die einen Tunnel aufbauen, um einen veralteten Austausch von Anmeldedaten zu schützen, nutzt EAP-TLS TLS zur Durchführung einer gegenseitigen kryptografischen Authentifizierung.

Während eines EAP-TLS-Handshakes müssen sowohl der Client (in der 802.1X-Terminologie als Supplicant bezeichnet) als auch der RADIUS-Server (der Authentication Server) gültige digitale X.509-Zertifikate vorlegen. Der Authentifizierungsablauf gestaltet sich wie folgt:

  1. Server-Authentifizierung: Der RADIUS-Server präsentiert sein Serverzertifikat dem Client. Der Client validiert dieses Zertifikat mit seinem lokalen Trust Store und überprüft, ob das Zertifikat von einer vertrauenswürdigen Root-Zertifizierungsstelle (CA) signiert wurde, nicht abgelaufen ist und mit der erwarteten Serveridentität (Common Name/Subject Alternative Name) übereinstimmt.
  2. Client-Authentifizierung: Sobald die Identität des Servers verifiziert ist, präsentiert der Client sein eindeutiges Gerätezertifikat dem RADIUS-Server. Der Server validiert dieses Zertifikat mit seinem Trust Store und überprüft dessen Signatur, Ablaufdatum und Sperrstatus.
  3. Schlüsselableitung: Nach der gegenseitigen Verifizierung leiten beide Parteien kryptografisch eindeutige Pairwise Master Keys (PMK) und Group Temporal Keys (GTK) ab. Diese Schlüssel werden verwendet, um den drahtlosen Datenverkehr über die Luft mittels WPA2-Enterprise oder WPA3-Enterprise zu verschlüsseln. Dadurch wird sichergestellt, dass jede Sitzung eindeutige, nicht wiederverwendbare Verschlüsselungsschlüssel verwendet.

Da die Authentifizierung vollständig auf asymmetrischer Kryptografie (RSA oder Elliptic Curve Cryptography) basiert, werden niemals Passwörter, Hashes oder Shared Secrets über die Luft übertragen oder auf dem Authentifizierungsserver gespeichert. Dieses Design immunisiert das Netzwerk vollständig gegen Offline-Brute-Force-Angriffe, Wörterbuchangriffe und das Abgreifen von Anmeldedaten über Rogue Access Points.

architecture_overview.png

Architektur-Komponenten

Eine produktionsreife EAP-TLS-Bereitstellung umfasst vier zentrale Infrastruktursäulen, von denen jede eine eigene Rolle in der Vertrauenskette übernimmt:

Säule Komponente Technische Funktion Enterprise-Optionen
PKI Zertifizierungsstelle (CA) Stellt digitale X.509-Zertifikate für Server und Geräte aus, signiert sie und verwaltet deren Lebenszyklus. Active Directory Certificate Services (AD CS), Cloud PKI (Sectigo, EZCA, Smallstep), EJBCA
RADIUS Authentifizierungsserver Beendet den EAP-TLS-Handshake, validiert Zertifikate und trifft 802.1X Access-Accept/Reject-Entscheidungen. Cisco ISE, Aruba ClearPass, FreeRADIUS, Cloud RADIUS (JoinNow, Foxpass)
MDM Endpoint-Management Automatisiert die Bereitstellung von Root-CA-Vertrauensprofilen und stößt die SCEP/EST-Zertifikatsregistrierung auf Geräten an. Microsoft Intune, Jamf Pro, Ivanti Neurons (MobileIron), VMware Workspace ONE
WLAN Netzwerkinfrastruktur Fungiert als 802.1X-Authenticator und leitet EAP-Frames über RADIUS-over-UDP/TCP zwischen dem Client und RADIUS weiter. Cisco Catalyst, Aruba APs, Ruckus Wireless, Mist Systems, Meraki APs
Identität Identity Provider (IdP) Verwaltet die Single Source of Truth für Benutzer- und Gerätekonten, auf die RADIUS bei der Richtlinienauswertung verweist. Microsoft Entra ID, Okta, Active Directory, Google Workspace

Vergleich der EAP-Methoden

Um zu verstehen, warum EAP-TLS der zwingende Standard für firmeneigene Geräte ist, ist ein Vergleich mit alternativen EAP-Methoden erforderlich, die in Unternehmensumgebungen häufig anzutreffen sind:

comparison_chart.png

Wie oben dargestellt, ist EAP-TLS die einzige Methode, die ein hohes Sicherheitsniveau erreicht und gleichzeitig passwortbasierte Risiken vollständig eliminiert. Methoden wie PEAP-MSCHAPv2 sind nach wie vor sehr anfällig für den Diebstahl von Anmeldedaten über einfache Toolsets wie Hostapd-WPE, was sie für die Absicherung sensibler Unternehmensressourcen in modernen Bedrohungsumgebungen ungeeignet macht.

Implementierungsleitfaden

Die Bereitstellung von EAP-TLS in einem standortübergreifenden Unternehmensnetzwerk erfordert eine systematische Ausführung auf den Ebenen der PKI-, MDM-, RADIUS- und Wireless-Infrastruktur. Die folgenden Schritte beschreiben ein herstellerneutrales, in der Praxis erprobtes Bereitstellungs-Framework.

Schritt 1: Aufbau der Public-Key-Infrastruktur (PKI)

Die PKI ist das kryptografische Fundament von EAP-TLS. Für die Sicherheit von Unternehmen wird eine zweistufige CA-Hierarchie dringend empfohlen:

  1. Offline-Root-CA: Eine hochgradig gesicherte, Offline-Zertifizierungsstelle, die ausschließlich zum Signieren des Zertifikats der ausstellenden CA verwendet wird. Der private Schlüssel der Root-CA muss über Hardware-Sicherheitsmodule (HSM) oder strenge physische Zugriffskontrollen geschützt werden.
  2. Online-Issuing-CA: Eine aktive Online-Zertifizierungsstelle, die in Ihre Netzwerk- und MDM-Plattformen integriert ist, um Zertifikate für RADIUS-Server und Client-Geräte auszustellen.

Konfiguration des RADIUS-Serverzertifikats:

  • Stellen Sie ein Serverzertifikat für Ihren/Ihre RADIUS-Server von der ausstellenden CA aus.
  • Stellen Sie sicher, dass das Zertifikat die Extended Key Usage (EKU) OID für Server-Authentifizierung (1.3.6.1.5.5.7.3.1) enthält.
  • Konfigurieren Sie den Subject Alternative Name (SAN) so, dass er mit dem Fully Qualified Domain Name (FQDN) des RADIUS-Servers übereinstimmt.

Schritt 2: Automatisierung der Client-Zertifikatsregistrierung via MDM

Die manuelle Zertifikatsinstallation ist nicht skalierbar und birgt erhebliche Sicherheitsrisiken. Bereitstellungen in Unternehmen müssen eine MDM-Plattform nutzen, um die Zertifikatsbereitstellung mithilfe des Simple Certificate Enrollment Protocol (SCEP) oder Enrollment over Secure Transport (EST) zu automatisieren.

+-------------+         1. SCEP Profile Push         +------------+
|             | -----------------------------------> |            |
|     MDM     |                                      |   Client   |
|  (Intune/   | <----------------------------------- |   Device   |
|    Jamf)    |    3. SCEP Challenge Validation      |            |
+-------------+                                      +------------+
       ^                                                   |
       | 2. Challenge Get                                  | 4. SCEP Request
       v                                                   v
+-------------+                                      +------------+
|  SCEP/EST   | <----------------------------------- |  Issuing   |
|   Gateway   |       5. Certificate Issuance        |     CA     |
+-------------+                                      +------------+

MDM-Profil-Bereitstellungsreihenfolge:

  1. Root-CA-Profil: Stellen Sie ein Profil für vertrauenswürdige Zertifikate (Trusted Certificate Profile), das die öffentlichen Zertifikate der Root-CA und der ausstellenden CA enthält, im Speicher für vertrauenswürdige Stammzertifizierungsstellen des Geräts bereit. Dies stellt sicher, dass das Gerät dem RADIUS-Serverzertifikat vertraut.
  2. SCEP/EST-Profil: Konfigurieren Sie ein SCEP-Zertifikatsprofil, das auf das SCEP-Gateway Ihrer ausstellenden CA verweist. Konfigurieren Sie das Profil mit:
    • Subject Name Format: CN={{DevicePhysicalIds:AADDeviceId}} oder CN={{UserPrincipalName}}, um das Zertifikat an eine eindeutige Geräte- oder Benutzeridentität zu binden.
    • Extended Key Usage (EKU): Muss Client-Authentifizierung (1.3.6.1.5.5.7.3.2) enthalten.
    • Key Usage: Digitale Signatur, Schlüsselverschlüsselung (Key Encipherment).
    • Key Size: Mindestens RSA 2048-Bit oder ECC SECP256R1.
  3. WiFi-Profil: Stellen Sie ein Profil für drahtlose Netzwerke bereit, das für WPA3-Enterprise (oder WPA2-Enterprise als Fallback) konfiguriert ist, mit:
    • EAP-Typ: EAP-TLS.
    • Vertrauenswürdige Serverzertifikate: Geben Sie die FQDNs Ihrer RADIUS-Server explizit an und wählen Sie das in Schritt 1 bereitgestellte Root-CA-Profil als vertrauenswürdigen Anker aus. Dies verhindert, dass sich Geräte mit gefälschten RADIUS-Servern verbinden.
    • Authentifizierungsmethode: Verwenden Sie das über das SCEP-Profil registrierte Zertifikat.

Schritt 3: Konfigurieren Sie die RADIUS-Policy-Engine

Ihr RADIUS-Server (z. B. Cisco ISE, Aruba ClearPass oder Cloud RADIUS) muss so konfiguriert sein, dass er die eingehenden 802.1X-Authentifizierungsanfragen von Ihren Access Points verarbeitet.

  1. Konfiguration des Trust-Stores: Importieren Sie die öffentlichen Zertifikate der Root-CA und der ausstellenden CA in den Trust-Store für Zertifikate des RADIUS-Servers. Aktivieren Sie die Zertifikatsvalidierung für die Client-Authentifizierung.
  2. Identitätsquellen-Zuordnung: Konfigurieren Sie die RADIUS-Richtlinie so, dass die aus dem Subject oder SAN des Client-Zertifikats extrahierte Identität (z. B. UPN oder Azure AD-Geräte-ID) Ihrem Identitätsanbieter (z. B. Microsoft Entra ID oder Okta) zugeordnet wird. Dies ermöglicht es dem RADIUS-Server zu überprüfen, ob das Benutzer- oder Gerätekonto im Verzeichnis noch aktiv ist, bevor der Netzwerkzugriff gewährt wird.
  3. Autorisierungsregeln: Erstellen Sie granulare Autorisierungsrichtlinien basierend auf Zertifikatsattributen und der Verzeichnisgruppenmitgliedschaft. Zum Beispiel:
    • Regel 1: Wenn Certificate:Issuer gleich Corporate Issuing CA ist UND EntraID:DeviceStatus gleich Compliant ist, weisen Sie VLAN 10 (Unternehmensdatennetzwerk) zu und wenden Sie eine hochpriorisierte rollenbasierte ACL an.
    • Regel 2: Wenn Certificate:Issuer gleich Corporate Issuing CA ist UND EntraID:UserGroup gleich Finance ist, weisen Sie VLAN 20 (Finanzsegment) zu.

Schritt 4: Konfigurieren Sie die Wireless LAN (WLAN)-Infrastruktur

Konfigurieren Sie Ihre Wireless-Controller oder Cloud-verwalteten Access Points (wie Cisco Catalyst, Aruba oder Meraki) so, dass sie die 802.1X-Authentifizierung auf der Unternehmens-SSID erzwingen.

  1. RADIUS-Server definieren: Fügen Sie die IP-Adressen Ihrer RADIUS-Server hinzu und konfigurieren Sie ein starkes, eindeutiges Shared Secret für jeden AP oder Wireless-Controller.
  2. WPA3-Enterprise aktivieren: Konfigurieren Sie die Unternehmens-SSID für die Verwendung von WPA3-Enterprise. WPA3 bietet robusten Schutz vor Offline-Wörterbuchangriffen und schreibt Protected Management Frames (PMF) vor, was den Kontrollverkehr über die Luft sichert. Bieten Sie WPA2-Enterprise nur dann als Übergangsmodus an, wenn ältere Unternehmens-Clients vorhanden sind.
  3. 802.1X/EAP-Konfiguration: Stellen Sie den Authentifizierungstyp auf 802.1X ein. Aktivieren Sie die dynamische VLAN-Zuweisung, wenn Ihr RADIUS-Server so konfiguriert ist, dass er VLAN-Attribute im Access-Accept-Paket zurückgibt.

Best Practices

Um Betriebsstabilität, hohe Verfügbarkeit und robuste Sicherheit zu gewährleisten, müssen EAP-TLS-Bereitstellungen in Unternehmen die folgenden branchenüblichen Best Practices einhalten:

1. Überprüfung des Zertifikatswiderrufs

Die Echtzeit-Überprüfung der Zertifikatsgültigkeit ist unverzichtbar. Wenn ein Firmen-Laptop verloren geht oder gestohlen wird, muss sein Netzwerkzugriff sofort gesperrt werden. Konfigurieren Sie Ihren RADIUS-Server so, dass er eine strenge Widerrufsprüfung erzwingt mittels:

  • Online Certificate Status Protocol (OCSP): Dringend empfohlen für die Echtzeit-Validierung einzelner Zertifikate mit geringer Latenz.
  • Zertifikatssperrlisten (CRL): Konfigurieren Sie das lokale Caching von CRLs auf dem RADIUS-Server mit häufigen Aktualisierungen (z. B. alle 2 bis 4 Stunden), um Authentifizierungsausfälle zu verhindern, falls die CA offline geht.
  • Fail-Safe-Richtlinie: Definieren Sie das Verhalten von RADIUS, wenn der Widerrufsserver nicht erreichbar ist. Für Hochsicherheitsumgebungen gilt standardmäßig "Zugriff verweigern" (Hard Fail). Für die Betriebskontinuität in verteilten Einzelhandels- oder Hospitality-Standorten kann eine "Soft Fail"-Richtlinie angewendet werden, bei der der Zugriff vorübergehend auf ein isoliertes Quarantäne-VLAN beschränkt wird.

2. Strikte Client-Vertrauensvalidierung

Um Man-in-the-Middle-Angriffe (MitM) abzuwehren, bei denen ein Angreifer einen gefälschten Access Point einrichtet, der die Unternehmens-SSID imitiert, müssen Client-Geräte strikt so konfiguriert sein, dass sie die Identität des RADIUS-Servers validieren. Dies wird über das MDM-WLAN-Profil erzwungen:

  • Benutzeraufforderungen deaktivieren: Stellen Sie sicher, dass die Option "Benutzer auffordern, neuen Servern oder Zertifizierungsstellen zu vertrauen" deaktiviert ist. Wenn eine Diskrepanz beim Serverzertifikat auftritt, muss das Gerät die Verbindung im Hintergrund trennen, ohne dem Benutzer zu erlauben, die Warnung zu umgehen.
  • Expliziter Domain-Abgleich: Beschränken Sie vertrauenswürdige Server auf bestimmte FQDNs (z. B. radius01.purple.ai oder radius02.purple.ai).

3. Netzwerkersegmentierung & rollenbasierte Zugriffskontrolle (RBAC)

Eine erfolgreiche 802.1X-Authentifizierung sollte keinen uneingeschränkten lateralen Zugriff auf das Unternehmensnetzwerk gewähren. Implementieren Sie die Netzwerkersegmentierung am Wireless Edge:

  • Verwenden Sie RADIUS-Attribute (wie Tunnel-Private-Group-ID für VLANs oder Filter-Id für ACLs), um Clients basierend auf ihrer Rolle (z. B. Management, Entwicklung, HR, Finanzen) dynamisch isolierten Netzwerksegmenten zuzuweisen.
  • Nutzen Sie die Integration mit modernen Network Access Control (NAC)-Lösungen, um die Geräte-Compliance kontinuierlich zu überwachen. Wenn ein aktives Gerät in Ihrem MDM die Compliance verliert (z. B. Firewall deaktiviert, Malware erkannt), sollte das MDM eine Zertifikatsrückrufung auslösen oder die NAC benachrichtigen, um das Gerät dynamisch einem Quarantäne-VLAN zuzuweisen. Für eine umfassende Übersicht führender Zugriffskontrollsysteme konsultieren Sie unseren Leitfaden über die 10 Best Network Access Control (NAC) Solutions for 2026 .

4. Hochverfügbarkeit & Geo-Redundanz

Bei standortübergreifenden Betrieben bedeutet ein RADIUS-Ausfall den sofortigen Betriebsstillstand für Mitarbeitergeräte. Stellen Sie sicher, dass Ihre Architektur vollständig redundant ist:

  • Stellen Sie mindestens zwei RADIUS-Server pro Region hinter einem Enterprise-Load-Balancer bereit oder konfigurieren Sie diese als primäre/sekundäre Ziele im Wireless-Controller.
  • Nutzen Sie bei globalen Implementierungen (z. B. internationalen Hotelketten oder Einzelhandelsmarken) Cloud RADIUS-Architekturen mit geografisch verteilten Points of Presence (PoPs), um Handshakes mit geringer Latenz und lokale Ausfallsicherheit zu gewährleisten. Dieses Muster wird in unserem technischen Leitfaden How to Implement 802.1X Authentication with Cloud RADIUS ausführlich beschrieben.

Fehlerbehebung & Risikominderung

Die Bereitstellung von EAP-TLS eliminiert passwortbezogene Probleme, führt jedoch kryptografische und infrastrukturelle Abhängigkeiten ein. Das Verständnis häufiger Fehlermuster und die Einrichtung strukturierter Protokolle zur Fehlerbehebung sind für Betriebsteams von entscheidender Bedeutung.

Häufige Fehlermuster & Workflows zur Behebung

1. Handshake-Fehler: "Unknown CA" oder "Certificate Untrusted"

  • Symptom: Das Client-Gerät versucht eine Verbindung herzustellen, bricht diese jedoch während des TLS-Handshakes sofort ab. Die RADIUS-Protokolle zeigen TLS Alert: Alert Certificate Unknown.
  • Fehlerursache: Der Client vertraut der Zertifizierungsstelle (CA) nicht, die das Zertifikat des RADIUS-Servers signiert hat, oder der RADIUS-Server vertraut der CA nicht, die das Client-Zertifikat signiert hat.
  • Behebung: Überprüfen Sie über das MDM, ob die öffentlichen Schlüssel der Root-CA und der ausstellenden CA korrekt im Trusted-Root-Speicher des Clients installiert sind. Stellen Sie sicher, dass der RADIUS-Server das Zertifikat der ausstellenden CA des Clients in seinem vertrauenswürdigen Speicher hinterlegt hat und dass die Zertifikatskette auf dem RADIUS-Serverzertifikat selbst vollständig ist.

2. SCEP-Registrierungsfehler

  • Symptom: Neue Unternehmensgeräte können keine Verbindung zum WiFi herstellen, da sie kein Client-Zertifikat besitzen. Die MDM-Protokolle weisen SCEP-Registrierungsfehler auf.
  • Fehlerursache: Das SCEP-Gateway ist nicht erreichbar, das SCEP-Challenge-Passwort ist abgelaufen oder der NDES-Server (Network Device Enrollment Service) verfügt über keine Ressourcen mehr.
  • Behebung: Überprüfen Sie die Netzwerkkonnektivität zwischen dem Client, dem MDM und dem SCEP-Gateway. Starten Sie den NDES-IIS-Anwendungspool neu und stellen Sie sicher, dass der SCEP-Challenge-Validierungsdienst funktioniert. Vergewissern Sie sich, dass das MDM-Dienstkonto über die entsprechenden Berechtigungen in der CA verfügt.

3. Stille Handshake-Timeouts

  • Symptom: Der Client versucht sich zu authentifizieren, aber die Verbindung läuft in ein Timeout. Die RADIUS-Protokolle zeigen keinen Eintrag für den Versuch oder weisen auf einen unvollständigen, abgebrochenen Handshake hin.
  • Ursache: Fragmentierte IP-Pakete. Der EAP-TLS-Austausch beinhaltet große Zertifikats-Payloads, wodurch EAP-Pakete die Standard-MTU-Größe von 1500 Bytes überschreiten. Wenn zwischengeschaltete Switches oder Router fragmentierte Pakete verwerfen, kommt es zum Timeout des Handshakes.
  • Lösung: Konfigurieren Sie das Attribut Framed-MTU auf dem RADIUS-Server und dem Wireless-Controller. Die Einstellung der Framed-MTU auf 1344 oder 1300 zwingt den RADIUS-Server, EAP-Nachrichten in kleinere Pakete zu fragmentieren, die das Netzwerk problemlos ohne Fragmentierung auf der IP-Ebene durchqueren.

Strukturiertes Diagnoseprotokoll

Bei der Behebung von Authentifizierungsproblemen sollten Netzwerktechniker diesem sequenziellen Diagnoseprotokoll folgen:

+-------------------------------------------------------------+
| Schritt 1: Physische/Funk-Assoziierung am Access Point prüfen|
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Schritt 2: RADIUS-Live-Logs auf aktive EAP-TLS-Sitzungen prüfen|
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Schritt 3: TLS-Handshake-Details & Zertifikats-EKU-OIDs prüfen|
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Schritt 4: CRL/OCSP-Erreichbarkeit und Latenzstatus validieren|
+-------------------------------------------------------------+
                               |
                               v
+-------------------------------------------------------------+
| Schritt 5: Endpunkt-Verzeichnisstatus im Identity Provider prüfen|
+-------------------------------------------------------------+

ROI & geschäftliche Auswirkungen

Der Übergang zu EAP-TLS stellt einen bedeutenden technologischen Wandel dar, aber der Return on Investment (ROI) ist in sicherheitstechnischer, operativer und finanzieller Hinsicht schnell und messbar.

1. Eliminierung anmeldedatenbasierter Risiken

Passwortbasierte Netzwerke sind von Natur aus anfällig für die Weitergabe von Zugangsdaten, Brute-Force-Angriffe und Social Engineering. In Branchen mit hoher Personalfluktuation wie dem Gastgewerbe und dem Einzelhandel ist die Verwaltung der Passwortsicherheit ein betrieblicher Albtraum. Wenn ein Mitarbeiter das Unternehmen verlässt, ist die Änderung eines gemeinsam genutzten WPA2-Passworts auf Hunderten von Geräten praktisch unmöglich, was zu einer dauerhaften Bedrohung durch Insider führt. EAP-TLS bindet den Netzwerkzugriff an das physische Gerät. Wenn ein Mitarbeiter ausscheidet oder ein Gerät außer Betrieb genommen wird, wird das Zertifikat im MDM widerrufen, wodurch der Netzwerkzugriff an allen physischen Standorten sofort beendet wird, ohne dass andere Geräte davon betroffen sind.

2. Senkung der Betriebskosten

Branchenstatistiken zufolge stehen bis zu 30 % aller IT-Helpdesk-Tickets im Zusammenhang mit Passwort-Resets, Sperrungen und Problemen mit der drahtlosen Konnektivität, die durch abgelaufene Zugangsdaten verursacht werden. EAP-TLS arbeitet vollständig im Hintergrund. Nach der Bereitstellung über das MDM erfolgt die Verbindung automatisch, geräuschlos und dauerhaft. Der automatische Erneuerungsprozess von Zertifikaten stellt sicher, dass Geräte ohne Benutzereingriff verbunden bleiben. Dies verhindert Tausende von Stunden an Produktivitätsverlusten und reduziert den Helpdesk-Aufwand drastisch. In Großumgebungen wie dem Gesundheitswesen oder an Transportknotenpunkten führt diese betriebliche Effizienz direkt zu Einsparungen bei den Supportkosten in Höhe von Hunderttausenden Pfund jährlich.

3. Compliance und Einhaltung gesetzlicher Vorschriften

Für Standorte, die mit sensiblen Daten umgehen, ist eine strenge Netzwerkzugriffskontrolle gesetzlich vorgeschrieben. EAP-TLS erfüllt und beschleunigt direkt die Einhaltung wichtiger regulatorischer Rahmenbedingungen:

  • PCI DSS 4.0 (Anforderung 8): Schreibt eine starke kryptografische Authentifizierung und eindeutige Zugangsdaten für alle Systemkomponenten vor, die auf Karteninhaber-Datenumgebungen zugreifen. EAP-TLS bietet eindeutige, kryptografisch gebundene Geräteidentitäten und erfüllt diese Anforderung für Unternehmensnetzwerke im Einzelhandel und im Gastgewerbe vollständig.
  • GDPR: Verpflichtet Organisationen zur Implementierung geeigneter technischer und organisatorischer Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Die gegenseitige TLS-Authentifizierung bietet den höchsten Schutz vor unbefugtem Zugriff auf Unternehmenssysteme, die personenbezogene Daten enthalten.
  • ISO/IEC 27001 (Kontrolle A.8): Erfordert eine strenge Zugriffskontrolle und sichere Authentifizierung. EAP-TLS liefert einen kryptografisch prüfbaren Nachweis darüber, welches physische Gerät zu welcher Zeit und von welchem Access Point aus auf das Netzwerk zugegriffen hat.

Business Value Matrix

Um den Übergang vor der Geschäftsführung zu rechtfertigen, können IT-Leiter die folgende Business Value Matrix nutzen:

Business-Treiber Vor EAP-TLS (Passwörter/PEAP) Nach EAP-TLS (Zertifikate) Finanzielle & betriebliche Auswirkungen
Sicherheit der Anmeldedaten Hohes Risiko von Credential Harvesting, Weitergabe und Brute-Force-Angriffen. Kryptografisch sicher. Null Risiko von Diebstahl der Anmeldedaten über die Luft. Reduziert das Risiko von Datenpannen (durchschnittliche Kosten einer Panne übersteigen 3,4 Mio. £).
Onboarding-Aufwand Manuelle Eingabe von Anmeldedaten, Benutzerschulung, häufige Fehlerbehebung bei Verbindungen. Zero-Touch-Bereitstellung im Hintergrund via MDM. Sofortige Verbindung. 90 % Reduzierung von WiFi-bezogenen Onboarding-Tickets.
Offboarding/Widerruf Erfordert das Ändern gemeinsam genutzter Schlüssel oder das manuelle Deaktivieren von Konten über mehrere Systeme hinweg. Sofortiger Zertifikatswiderruf mit einem Klick via MDM/RADIUS. Eliminiert Insider-Bedrohungsvektoren und unbefugten Gerätezugriff sofort.
Compliance-Auditing Schwieriger Nachweis der exakten Geräteidentität; Protokolle hängen von flüchtigen Benutzerdaten ab. Kryptografisch verifizierbarer Audit-Trail, der das physische Gerät an die Sitzung bindet. Nahtlose Compliance-Audits für PCI DSS, GDPR und SOC 2.
Helpdesk-Volumen Hohes Ticketaufkommen für Passwort-Resets, abgelaufene Anmeldedaten und Sperrzustände. Nahezu null Tickets. Zertifikate verlängern sich geräuschlos im Hintergrund. Setzt IT-Mitarbeiter für wertschöpfende strategische Initiativen frei.

Indem IT-Verantwortliche die EAP-TLS-Migration auf Risikominderung, betriebliche Effizienz und regulatorische Compliance ausrichten, können sie ein überzeugendes Business Case präsentieren, das die Netzwerksicherheit direkt mit den finanziellen und strategischen Zielen des Unternehmens verknüpft.

Referenzen

Schlüsseldefinitionen

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. Ein RFC-definiertes Netzwerk-Authentifizierungsprotokoll, das eine gegenseitige zertifikatsbasierte Kryptografie nutzt, um Verbindungen unter IEEE 802.1X zu sichern.

Der absolute Goldstandard für die Sicherheit von Unternehmens-WLANs, der Passwörter komplett überflüssig macht.

Supplicant

Der Software-Client, der auf einem Endgerät (wie einem Laptop, Tablet oder Smartphone) ausgeführt wird, eine 802.1X-Authentifizierungsanfrage initiiert und den EAP-Handshake aushandelt.

Der Supplicant muss über MDM so konfiguriert werden, dass er das richtige Client-Zertifikat vorweist und dem RADIUS-Server vertraut.

Authenticator

Das Netzwerkgerät (in der Regel ein Wireless Access Point oder ein kabelgebundener Switch), das den physischen Zugriff auf das Netzwerk kontrolliert. Es leitet EAP-Pakete zwischen dem Supplicant und dem RADIUS-Server weiter, verarbeitet die Anmeldedaten jedoch nicht selbst.

Der AP fungiert als Gatekeeper und hält den Port so lange blockiert, bis der RADIUS-Server ein Access-Accept zurückgibt.

RADIUS

Remote Authentication Dial-In User Service. Ein Netzwerkprotokoll, das eine zentralisierte Verwaltung von Authentifizierung, Autorisierung und Accounting (AAA) für Benutzer und Geräte bereitstellt, die eine Verbindung zu einem Netzwerk herstellen.

Der RADIUS-Server beendet den EAP-TLS-Handshake, validiert Zertifikate und weist den AP an, den Zugriff zu gewähren oder zu verweigern.

PKI

Public Key Infrastructure. Ein Framework aus Rollen, Richtlinien, Hardware, Software und Verfahren, das erforderlich ist, um digitale Zertifikate zu erstellen, zu verwalten, zu verteilen, zu nutzen, zu speichern und zu widerrufen sowie die Public-Key-Verschlüsselung zu verwalten.

Die PKI fungiert als Root of Trust; ihre Zertifizierungsstelle (Certificate Authority) signiert die Anmeldedaten, die die Identität im Netzwerk nachweisen.

SCEP

Simple Certificate Enrollment Protocol. Ein IP-basiertes Protokoll, das die Absicherung und Bereitstellung digitaler Zertifikate für Netzwerkgeräte automatisiert, was in der Regel über eine MDM-Plattform verwaltet wird.

SCEP ist entscheidend für die Skalierung von EAP-TLS, da es Geräten ermöglicht, Zertifikate ohne Eingreifen der IT im Hintergrund zu registrieren und zu erneuern.

OCSP

Online Certificate Status Protocol. Ein Internetprotokoll, das von Netzwerkgeräten verwendet wird, um den Widerrufsstatus eines digitalen X.509-Zertifikats in Echtzeit abzufragen, und als Alternative zu CRLs dient.

RADIUS-Server nutzen OCSP, um sofort zu überprüfen, ob ein vorgelegtes Client-Zertifikat aufgrund von Geräteverlust oder dem Ausscheiden eines Mitarbeiters widerrufen wurde.

WPA3-Enterprise

Der neueste Sicherheitsstandard der Wi-Fi Alliance für Unternehmensnetzwerke. Er schreibt Protected Management Frames (PMF) vor und bietet einen 192-Bit-Sicherheitsmodus, der an der NSA Suite B Kryptografie ausgerichtet ist.

Die Kombination von WPA3-Enterprise mit EAP-TLS bietet das höchste kommerziell verfügbare Sicherheitsniveau für Wi-Fi.

Ausgearbeitete Beispiele

Eine Luxushotelmarke mit 45 Standorten weltweit möchte ihre Back-of-House-Unternehmensgeräte (Laptops an der Rezeption, Tablets des Housekeepings und Smartphones der Manager) in einer dedizierten SSID sichern. Derzeit verwenden sie an allen Standorten einen einzigen Pre-Shared Key (PSK), der bereits mehrfach durchgesickert ist. Sie nutzen Microsoft Entra ID und Microsoft Intune für die Geräteverwaltung, verfügen jedoch über kein lokales Active Directory oder eine PKI.

Implementieren Sie eine Cloud-native EAP-TLS-Architektur mit Microsoft Intune und einer in der Cloud gehosteten PKI, die in Cloud RADIUS integriert ist.

  1. PKI-Einrichtung: Richten Sie eine in der Cloud gehostete PKI (wie SCEPman oder EZCA) ein, die direkt in Microsoft Entra ID integriert ist. Generieren Sie ein Zertifikat der ausstellenden Zertifizierungsstelle (Issuing CA).
  2. Intune-Konfiguration:
    • Erstellen Sie ein Vertrauenswürdiges Zertifikatsprofil in Intune und laden Sie das öffentliche Zertifikat der Cloud-ausstellenden Zertifizierungsstelle hoch. Weisen Sie dieses Profil "Allen Geräten" (Windows, iOS, Android) zu.
    • Konfigurieren Sie ein SCEP-Zertifikatsprofil in Intune, das auf die SCEP-URL der Cloud-PKI verweist. Legen Sie das Format des Antragstellernamens auf CN={{AADDeviceId}} und den alternativen Antragstellernamen auf UPN fest. Fügen Sie die EKU-OID für "Client-Authentifizierung" (1.3.6.1.5.5.7.3.2) hinzu.
    • Erstellen Sie ein WiFi-Profil in Intune. Legen Sie die SSID auf "Purple-Staff", den Sicherheitstyp auf WPA3-Enterprise und den EAP-Typ auf EAP-TLS fest. Wählen Sie das vertrauenswürdige Zertifikatsprofil als Root-Anker aus und geben Sie die FQDNs der Cloud-RADIUS-Server an. Verknüpfen Sie das SCEP-Zertifikatsprofil als Client-Anmeldeinformation.
  3. RADIUS-Integration: Konfigurieren Sie den Cloud-RADIUS-Dienst (z. B. JoinNow oder Foxpass) so, dass er der Cloud-ausstellenden Zertifizierungsstelle vertraut. Konfigurieren Sie die RADIUS-Richtlinie so, dass Client-Zertifikate mit Entra ID abgeglichen werden. Dabei wird geprüft, ob das Gerät in Intune als "Konform" markiert ist, bevor ein Access-Accept-Paket zurückgegeben wird.
  4. Einrichtung des Wireless-Controllers: Konfigurieren Sie auf dem zentralen Wireless-Controller (oder dem Cloud-Dashboard wie Meraki/Aruba Central) die SSID "Purple-Staff" so, dass sie über 802.1X auf die Cloud-RADIUS-IP-Adressen verweist. Aktivieren Sie WPA3-Enterprise mit dem WPA2-Enterprise-Übergangsmodus.
Kommentar des Prüfers: Dieser Cloud-native Ansatz wird für Betreiber von Standorten mit mehreren Filialen wie Hotelketten dringend empfohlen. Durch den Verzicht auf ein lokales Active Directory und veraltete AD CS eliminiert die Hotelmarke den Aufwand für die lokale Infrastruktur und vermeidet die betriebliche Komplexität der Verwaltung von VPNs oder lokalen Servern an jedem Standort. Die Nutzung von Microsoft Intune SCEP-Profilen stellt sicher, dass Housekeeping-Tablets und Laptops an der Rezeption automatisch mit eindeutigen, nicht exportierbaren Zertifikaten bereitgestellt werden. Die Integration des RADIUS-Servers mit dem Gerätekonformitätsstatus von Entra ID bietet ein dynamisches Sicherheitsniveau: Wenn das Tablet eines Managers aufgrund eines fehlenden Sicherheitspatches als "nicht konform" markiert wird, verweigert RADIUS sofort den Netzwerkzugriff und schützt die Back-of-House-Umgebung vor lateralen Bedrohungen.

Eine Organisation des öffentlichen Sektors, die 12 lokale Ratsbüros verwaltet, möchte 1.500 Unternehmens-Windows-Laptops von PEAP-MSCHAPv2 auf EAP-TLS umstellen. Sie verfügen derzeit über eine lokale Microsoft Active Directory Domain Services (AD DS)-Umgebung mit Active Directory Certificate Services (AD CS), die als ihre Enterprise-Zertifizierungsstelle fungiert. Die Laptops sind in die Domäne eingebunden und werden über Gruppenrichtlinienobjekte (GPOs) verwaltet.

Nutzen Sie die vorhandene AD CS- und Active Directory-Infrastruktur, um EAP-TLS über die automatische Gruppenrichtlinien-Registrierung bereitzustellen.

  1. Zertifizierungsstellen-Konfiguration: Duplizieren Sie auf der AD CS-ausstellenden Zertifizierungsstelle die Standard-Zertifikatvorlage "Arbeitsstationsauthentifizierung". Nennen Sie die neue Vorlage "Unternehmens-WLAN-Authentifizierung". Erteilen Sie auf der Registerkarte "Sicherheit" der Gruppe "Domänencomputer" die Berechtigungen "Lesen", "Registrieren" und "Automatisch registrieren". Stellen Sie sicher, dass die Vorlage die EKU "Client-Authentifizierung" enthält.
  2. Gruppenrichtlinien-Konfiguration:
    • Erstellen Sie ein neues GPO mit dem Namen "Automatische WLAN-Zertifikatsregistrierung". Navigieren Sie zu Computerkonfiguration -> Richtlinien -> Windows-Einstellungen -> Sicherheitseinstellungen -> Richtlinien für öffentliche Schlüssel. Öffnen Sie "Zertifikatdienstclient - Automatische Registrierung", stellen Sie es auf "Aktiviert" ein und aktivieren Sie "Abgelaufene Zertifikate erneuern, ausstehende Zertifikate aktualisieren und widerrufene Zertifikate entfernen".
    • Navigieren Sie im selben GPO zu Drahtlosnetzwerkrichtlinien (802.11). Erstellen Sie eine neue Drahtlosrichtlinie. Konfigurieren Sie den SSID-Namen, stellen Sie die Sicherheit auf WPA3-Enterprise ein, wählen Sie EAP-TLS und aktivieren Sie explizit das AD CS Root-CA-Zertifikat in der Liste der vertrauenswürdigen Zertifikate. Geben Sie den FQDN der lokalen RADIUS-Server (z. B. Cisco ISE) an.
  3. RADIUS-Richtlinie (Cisco ISE): Importieren Sie das AD CS Root-CA-Zertifikat in den Speicher für vertrauenswürdige Zertifikate der Cisco ISE. Konfigurieren Sie eine Authentifizierungsrichtlinie, um EAP-TLS zu akzeptieren. Konfigurieren Sie eine Autorisierungsrichtlinie, die prüft, ob der verbindende Computer zur Active Directory-Gruppe "Domänencomputer" gehört, und weisen Sie ihn in diesem Fall dynamisch dem sicheren Unternehmens-VLAN zu.
Kommentar des Prüfers: Dies stellt ein klassisches lokales Bereitstellungsmuster für Unternehmen dar. Durch die Nutzung von AD CS und Gruppenrichtlinien erreicht die Organisation eine zu 100 % automatisierte Zertifikatsregistrierung, ohne zusätzliche Software von Drittanbietern erwerben zu müssen. Der entscheidende architektonische Vorteil ist die enge Integration mit den Active Directory Domain Services: Wenn ein Laptop aus dem AD gelöscht wird (z. B. bei der Außerbetriebnahme), wird sein Computerkonto inaktiv, und Cisco ISE lehnt seinen EAP-TLS-Handshake automatisch ab, selbst wenn das physische Zertifikat auf dem Gerät noch nicht abgelaufen ist. Das primäre betriebliche Risiko ist die GPO-Replikationslatenz zwischen den 12 Büros. Die Netzwerkteams müssen sicherstellen, dass die automatische Zertifikatsregistrierung über kabelgebundene Verbindungen erfolgreich abgeschlossen wird, bevor sie die WLAN-SSID in den exklusiven EAP-TLS-Modus migrieren.

Ein Unternehmen, das ein großes Messe- und Konferenzzentrum betreibt, möchte sein Unternehmensnetzwerk sichern, das von den Scannern des Veranstaltungspersonals, Ticket-Terminals und Medienproduktionsanlagen genutzt wird. Der Veranstaltungsort ist während der Events starken Funkinterferenzen ausgesetzt und erfordert Roaming-Zeiten von unter einer Sekunde für Mitarbeiter, die sich auf einer Fläche von 50.000 Quadratmetern bewegen. Sie verwenden einen physischen Ruckus SmartZone-Controller und lokale FreeRADIUS-Server.

Implementieren Sie EAP-TLS lokal mit FreeRADIUS, optimiert für Fast Transition (802.11r) und die Reduzierung von Paketfragmentierung.

  1. PKI & Zertifikatserstellung: Verwenden Sie eine lokale Zertifizierungsstelle, um Zertifikate auszustellen. Da Ticket-Terminals und Scanner möglicherweise spezielle Betriebssysteme ausführen (Android Enterprise, benutzerdefiniertes Linux), generieren Sie Client-Zertifikate mit ECC SECP256R1-Schlüsseln, um die Größe der Zertifikatsdatenmenge zu reduzieren, was den kryptografischen Handshake beschleunigt.
  2. FreeRADIUS-Optimierung:
    • Setzen Sie in der eap.conf den Wert fragment_size = 1024. Dies zwingt FreeRADIUS dazu, große Zertifikatsdatenmengen in EAP-Pakete aufzuteilen, die kleiner als die Standard-Netzwerk-MTU sind, was Paketverluste über WAN-Verbindungen oder überlastete WLAN-Kanäle verhindert.
    • Stellen Sie sicher, dass unter dem TLS-Abschnitt cache = yes konfiguriert ist, um die Wiederaufnahme von TLS-Sitzungen zu ermöglichen. Dies erlaubt es Roaming-Clients, sich über einen verkürzten Handshake (ohne erneutes Senden vollständiger Zertifikate) neu zu authentifizieren, wodurch die Roaming-Zeiten auf unter 50 Millisekunden reduziert werden.
  3. Optimierung des Wireless-Controllers (SmartZone):
    • Konfigurieren Sie die Mitarbeiter-SSID mit WPA3-Enterprise und aktivieren Sie 802.11r (Fast BSS Transition). Konfigurieren Sie das Over-the-Air (OTA) Roaming.
    • Ordnen Sie die SSID den primären und sekundären FreeRADIUS-Servern zu.
    • Stellen Sie das RADIUS-Timeout auf dem Controller auf 5 Sekunden mit 3 Wiederholungsversuchen ein, um gelegentliche Funkpaketverluste abzufangen, ohne die Client-Sitzungen zu trennen.

Übungsfragen

Q1. Eine Einzelhandelskette mit 300 Filialen möchte EAP-TLS für ihre mobilen Scanner zur Bestandsaufnahme einführen. Während der Pilotphase stellen sie fest, dass sich Laptops zwar in weniger als einer Sekunde authentifizieren, einige ältere Handscanner jedoch bis zu 10 Sekunden für die Authentifizierung benötigen oder über entfernte WAN-Verbindungen, die die Filialen mit dem zentralen RADIUS-Server verbinden, komplett fehlschlagen. Was ist die wahrscheinlichste technische Ursache für dieses Problem und wie sollte es gelöst werden?

Hinweis: Berücksichtigen Sie die Größe der Zertifikats-Payload sowie die Auswirkungen von WAN-Latenz und Paketfragmentierung auf den UDP-basierten RADIUS-Verkehr.

Musterlösung anzeigen

Das technische Problem wird durch EAP-Paketfragmentierung in Kombination mit WAN-Paketverlusten und Latenzzeiten verursacht. Bei EAP-TLS-Handshakes werden vollständige X.509-Zertifikatsketten übertragen, die häufig die Standard-Netzwerk-MTU (1500 Bytes) überschreiten. Wenn diese Payloads über UDP-basiertes RADIUS gesendet werden, müssen sie fragmentiert werden. Wenn zwischengeschaltete WAN-Router auch nur ein einzelnes Fragment verwerfen, schlägt der gesamte EAP-Handshake fehl, läuft in ein Timeout und muss neu gestartet werden, was sich bei WAN-Verbindungen mit hoher Latenz extrem bemerkbar macht.

Um dieses Problem zu lösen, muss das Netzwerkteam folgende Maßnahmen ergreifen:

  1. Framed-MTU anpassen: Konfigurieren Sie das Attribut Framed-MTU auf dem RADIUS-Server und dem Wireless-Controller auf einen niedrigeren Wert (z. B. 1300 oder 1200). Dies zwingt den RADIUS-Server, die EAP-Nachrichten auf der Anwendungsschicht in kleinere Pakete zu fragmentieren, die das WAN ohne Fragmentierung auf IP-Ebene durchqueren können.
  2. Zertifikatsgröße optimieren: Stellen Sie die Client-Zertifikate für die Scanner unter Verwendung von Elliptic Curve Cryptography (ECC) mit SECP256R1-Schlüsseln anstelle von RSA 2048 neu aus. ECC-Zertifikate sind erheblich kleiner (ca. 300 Bytes gegenüber 2048 Bytes bei RSA), was die Anzahl der für den Handshake erforderlichen Fragmente reduziert.
  3. TLS Session Resumption aktivieren: Konfigurieren Sie FreeRADIUS/RADIUS so, dass TLS-Sitzungen zwischengespeichert werden. Wenn ein Scanner ein Roaming durchführt oder sich neu verbindet, kann er einen abgekürzten Handshake durchführen, bei dem die vollständige Zertifikatskette nicht übertragen werden muss, wodurch die Authentifizierungszeit auf unter 100 Millisekunden verkürzt wird.

Q2. Ein IT-Sicherheitsadministrator konfiguriert eine EAP-TLS SSID über ein MDM. Er verteilt das Client-Zertifikat und das Wireless-Profil an alle Firmen-Laptops. Bei Tests stellt er jedoch fest, dass sich Laptops gelegentlich immer noch mit einem Rogue Access Point verbinden, der denselben SSID-Namen ausstrahlt, und eine Aufforderung erscheint, in der der Benutzer aufgefordert wird, einem neuen Serverzertifikat zu vertrauen. Welcher Konfigurationsfehler wurde im MDM-Profil gemacht und welches Sicherheitsrisiko besteht?

Hinweis: Überprüfen Sie die Einstellungen zur Vertrauensprüfung in der Konfiguration des Wireless-Profils des MDM.

Musterlösung anzeigen

Der Konfigurationsfehler besteht darin, dass für das über das MDM verteilte Wireless-Profil keine strikte Server-Vertrauensprüfung (Strict Server Trust Validation) erzwungen wird. Konkret hat der Administrator es versäumt, die FQDNs der vertrauenswürdigen RADIUS-Server explizit anzugeben, und die Option "Benutzer auffordern, neuen Servern zu vertrauen" nicht deaktiviert.

Das Sicherheitsrisiko ist ein Man-in-the-Middle (MitM) / Rogue AP-Angriff. Wenn ein Angreifer einen Rogue Access Point einrichtet, der die Firmen-SSID ausstrahlt und ein selbstsigniertes Zertifikat vorweist, versucht das Client-Gerät, sich zu authentifizieren. Da keine strikte Validierung erzwungen wird, fordert das Betriebssystem den Benutzer auf, dem neuen Zertifikat zu vertrauen. Wenn ein nicht-technischer Mitarbeiter auf "Vertrauen" oder "Trotzdem verbinden" klickt, kann der Rogue AP eine Verbindung herstellen. Obwohl EAP-TLS verhindert, dass der Angreifer das Passwort des Benutzers stiehlt (da keines gesendet wird), kann der Angreifer nun unverschlüsselten Netzwerkverkehr abfangen, DNS-Spoofing betreiben oder lokale Exploits auf das Endgerät übertragen.

Q3. Ein Stadionbetreiber hat EAP-TLS für 200 mobile POS-Terminals (Point of Sale) des Personals eingeführt, die während der Spiele verwendet werden. Am Spieltag, als 50.000 Fans das Stadion betraten, kam es bei den POS-Terminals zu häufigen Authentifizierungsabbrüchen und Verbindungsverlusten, was den Verkauf an den Ständen stark beeinträchtigte. Die RADIUS-Protokolle zeigten hohe Raten von Fehlern wie "Handshake Timeout" und "Max Retries Exceeded", aber die CPU- und Speicherauslastung auf den RADIUS-Servern blieb unter 15 %. Welche Faktoren auf der physischen und logischen Schicht haben diesen Ausfall verursacht und wie sollte die Architektur optimiert werden?

Hinweis: Berücksichtigen Sie die Auswirkungen extremer HF-Überlastung auf kryptografische Handshakes und die Rolle von Roaming-Optimierungsprotokollen.

Musterlösung anzeigen

Dieser Ausfall ist ein klassischer Fall von HF-Überlastung, die zu Timeouts beim kryptografischen Handshake führt. EAP-TLS erfordert mehrere Round-Trip-Frames (normalerweise 4 bis 6 Round-Trips), um den gegenseitigen TLS-Handshake abzuschließen. In einer Stadionumgebung mit 50.000 aktiven Client-Geräten kommt es im 2,4-GHz- und 5-GHz-Band zu massiven Paketkollisionen und hohen Wiederholungsraten. Da EAP-TLS über die Luft sehr kommunikationsintensiv ist, führt ein Paketverlust bei einem der Handshake-Frames dazu, dass die EAP-State-Machine in ein Timeout läuft und den gesamten Handshake neu startet, was eine Kaskade von Fehlern nach sich zieht.

Um die Architektur zu optimieren und das Problem zu lösen, muss der Betreiber die folgenden physischen und logischen Optimierungen implementieren:

  1. Fast Roaming (802.11r) aktivieren: Konfigurieren Sie 802.11r (Fast BSS Transition) auf der POS-SSID. Dies ermöglicht es den Terminals, Roaming-Schlüssel auszuhandeln, bevor sie zu einem neuen AP wechseln, was den Datenaustausch über die Luft während des Roamings reduziert.
  2. TLS Session Resumption implementieren: Stellen Sie sicher, dass auf dem RADIUS-Server das Caching von TLS-Sitzungen aktiviert ist. Wenn sich ein Terminal neu verbindet oder ein Roaming durchführt, kann es einen abgekürzten Handshake durchführen (der nur 1-2 Round-Trips und keine Zertifikatsübertragung erfordert), was die Sendezeitnutzung und die Anfälligkeit für HF-Paketverluste erheblich reduziert.
  3. Gezielte HF-Optimierung: Verschieben Sie die POS-Terminals ausschließlich in die 5-GHz- oder 6-GHz-Bänder. Deaktivieren Sie 2,4 GHz auf der POS-SSID. Implementieren Sie eine strikte Kanalplanung, reduzieren Sie die Kanalbreite auf 20 MHz, um die verfügbaren überlappungsfreien Kanäle zu maximieren, und konfigurieren Sie minimale Basisdatenraten (z. B. Deaktivierung von Raten unter 12 Mbps oder 24 Mbps), um den Overhead durch Management-Frames in der Luft zu reduzieren.

Weiterlesen in dieser Reihe

Roaming-Optimierung für VoIP- und Videoanrufe im Corporate-WiFi

Dieser Leitfaden bietet IT-Managern, Netzwerkarchitekten und CTOs ein umfassendes, herstellerneutrales Konzept zur Optimierung des WiFi-Roamings, um nahtlose VoIP- und Videoanrufe in Unternehmensnetzwerken zu unterstützen. Er deckt den IEEE 802.11k/r/v-Protokoll-Stack, die WMM-QoS-Konfiguration, das RF-Zelldesign und das für eine Handoff-Latenz von unter 50 ms erforderliche End-to-End-Wired-QoS-Mapping ab. Diese Referenz ist für das Gastgewerbe, den Einzelhandel, das Gesundheitswesen und Großveranstaltungsbereiche geeignet und enthält reale Implementierungsszenarien, Frameworks zur Fehlerbehebung sowie eine messbare ROI-Analyse.

Leitfaden lesen →

WPA3-Enterprise vs. WPA2-Enterprise: Upgrade für Ihr Mitarbeiter-WiFi

Dieser maßgebliche technische Leitfaden beschreibt die architektonischen Unterschiede, Sicherheitsverbesserungen und Migrationsstrategien für das Upgrade von drahtlosen Mitarbeiternetzwerken von WPA2-Enterprise auf WPA3-Enterprise. Er wurde für leitende IT-Entscheidungsträger und Netzwerkarchitekten entwickelt und bietet praxisnahe Bereitstellungspläne, Fallstudien aus der Praxis im Gastgewerbe und Einzelhandel sowie ein umfassendes Risikominderungs-Framework, um einen nahtlosen Übergang zu gewährleisten und gleichzeitig die Einhaltung von PCI DSS v4.0 und GDPR Artikel 32 zu wahren.

Leitfaden lesen →

Entwurf sicherer Mitarbeiter-WiFi-Netzwerke getrennt vom Gast-Traffic

Ein maßgeblicher technischer Leitfaden für Netzwerkarchitekten und IT-Leiter zur Entwicklung sicherer, leistungsstarker Mitarbeiter-WiFi-Netzwerke. Er beschreibt die logische und physische Segmentierung des betrieblichen Datenverkehrs von öffentlichen Gastnetzwerken mithilfe von VLANs, 802.1X-Authentifizierung und WPA3-Enterprise, um Compliance-Vorgaben (PCI DSS, GDPR) zu erfüllen und Sicherheitsrisiken durch laterale Bewegungen zu eliminieren.

Leitfaden lesen →