WPA2 & WPA3-Enterprise. Sicheres WiFi, ohne das gemeinsame Passwort.

WPA2-Personal nutzt eine einzige Passphrase für alle Geräte. WPA2- und WPA3-Enterprise authentifizieren jeden Benutzer und jedes Gerät individuell über 802.1X an einem RADIUS-Server – genau das, was SOC 2, ISO 27001 und PCI-DSS vorschreiben. Purple betreibt die RADIUS-Infrastruktur in der Cloud über Ihre bestehenden Access Points und stellt die Zertifikate automatisch aus.

WPA-Enterprise ist der IEEE 802.11-Sicherheitsmodus, der für Organisationen entwickelt wurde. Anstelle eines einzigen gemeinsamen Passworts (WPA-Personal) authentifiziert sich jeder Benutzer oder jedes Gerät einzeln über 802.1X gegenüber einem RADIUS-Server, in der Regel mit einem Zertifikat (EAP-TLS) oder Benutzernamen und Passwort (PEAP). Jede Sitzung erhält einen eindeutigen Verschlüsselungsschlüssel, und der Zugriff kann pro Gerät widerrufen werden, ohne den Rest des Netzwerks zu stören.

WPA3-Enterprise behebt bekannte Schwachstellen in WPA2-Enterprise. Die wichtigsten Änderungen: Die Server-Zertifikatsvalidierung ist jetzt obligatorisch (schließt den Evil-Twin-Angriffsvektor, der WPA2 plagte), Management-Frames sind geschützt und der optionale 192-Bit Suite B Modus bietet Kryptografie auf Verteidigungsniveau. WPA3-Enterprise ist in einem Übergangsmodus abwärtskompatibel mit WPA2-Enterprise, sodass Sie schrittweise upgraden können.

Drei Parteien sind beteiligt. Der Supplicant (Client-Gerät) bittet um Beitritt. Der Authenticator (Access Point) hält den Client in einem Quarantäne-Zustand und leitet seine EAP-Nachrichten an einen Authentifizierungsserver (RADIUS) weiter. Der RADIUS-Server validiert die Anmeldedaten - Zertifikat, Passwort oder Token - und weist den Access Point an, den Zugriff zu gewähren oder abzulehnen. Jede erfolgreiche Sitzung erhält einen eindeutigen Verschlüsselungsschlüssel, der aus der Authentifizierung abgeleitet wird, sodass ein kompromittiertes Gerät ein anderes nicht entschlüsseln kann.

EAP-TLS verwendet einen TLS-Handshake mit gegenseitiger Zertifikatsauthentifizierung. Der Client beweist seine Identität mit einem Gerätezertifikat, der Server beweist seine Identität mit einem Serverzertifikat, und der Sitzungsschlüssel wird innerhalb des verschlüsselten Tunnels ausgehandelt. Es gibt kein Passwort, das per Phishing gestohlen werden kann - man müsste den privaten Schlüssel aus dem Gerät selbst extrahieren. Für verwaltete Flotten mit einem MDM ist EAP-TLS der richtige Standard.

Die meisten Enterprise-Access-Points, die ab 2020 veröffentlicht wurden, unterstützen WPA3-Enterprise in der Firmware. In der Regel aktivieren Sie WPA3-Enterprise auf dem SSID und behalten WPA2 als Fallback während des Übergangs bei. Ältere APs unterstützen möglicherweise nur WPA2-Enterprise - diese sind in Kombination mit Cloud-RADIUS und EAP-TLS weiterhin sicher, sodass ein kompletter Austausch der Hardware selten erforderlich ist.

Ja - WPA-Enterprise ist um einen externen Authentifizierungsserver herum definiert, was in der Praxis RADIUS bedeutet. Sie können ihn lokal betreiben (FreeRADIUS, Microsoft NPS, Cisco ISE) oder als Service nutzen. Purple RADIUS-as-a-Service ist die Cloud-gehostete Option, die die meisten Kunden wählen, wenn sie keine Server betreiben möchten.

Ja, bei korrekter Bereitstellung. Die bekannten Angriffe auf WPA2-Enterprise erfordern entweder einen falsch konfigurierten Client (keine Server-Zertifikatsvalidierung, was WPA3 obligatorisch macht) oder physischen Zugriff auf ein Gerät. Die Erzwingung der Server-Zertifikatsvalidierung über MDM und die Verwendung von EAP-TLS schließen die praktischen Risiken aus. WPA3-Enterprise wird künftig bevorzugt, aber es gibt keinen Grund für eine überstürzte Migration einer funktionierenden WPA2-Enterprise-Bereitstellung.

Zwei gute Optionen. Erstens bietet iPSK (Identity PSK) jedem Gerät einen eindeutigen Pre-Shared Key auf einem einzigen SSID - das Benutzererlebnis von WPA-Personal, der gerätespezische Widerruf von WPA-Enterprise. Zweitens lässt MAC Authentication Bypass (MAB) bekannte MAC-Adressen in ein eingeschränktes VLAN zu. Purple unterstützt beides neben WPA2/3-Enterprise im selben Netzwerk.

Ja – Sie müssen keinen eigenen RADIUS-Server betreiben. WPA2-Enterprise erfordert per Definition einen RADIUS-Authentifizierungsserver. Mit Purple RADIUS-as-a-Service wird dieser Server jedoch in der Cloud gehostet: Sie richten Ihre Access Points einfach auf Purple aus, anstatt FreeRADIUS, Microsoft NPS oder Cisco ISE einzurichten. Sie erhalten weiterhin volles 802.1X mit EAP-TLS oder PEAP für Microsoft Entra ID, Okta oder Google Workspace – ganz ohne On-Premise-Authentifizierungshardware, die Sie installieren, patchen oder hochverfügbar halten müssen.

WPA2-Enterprise uses 802.1X with CCMP-128 encryption. WPA3-Enterprise introduces mandatory Protected Management Frames (PMF) to prevent deauthentication attacks, supports 192-bit cryptographic suites (CNSA / Suite B), and eliminates obsolete fallback ciphers.

Yes. Purple Cloud RADIUS replaces legacy Microsoft NPS and FreeRADIUS servers. Your wireless access points authenticate directly via redundant cloud RADIUS endpoints integrated with Microsoft Entra ID, Okta, or Google Workspace.

Purple syncs with Entra ID using SCIM and OAuth 2.0. When an employee logs in via 802.1X or a client certificate, RADIUS checks user status and group membership in Entra ID in real time. Disabling an account in Entra ID revokes WiFi access immediately.