Firmen-WLAN ohne gemeinsames Passwort: WPA3, 802.1X und Gastnetz

Die kurze Antwort: Ein von der gesamten Firma gemeinsam genutztes Passwort ist problematisch, weil sich der Zugang nicht nur einer einzelnen Person entziehen lässt. Nach dem Ausscheiden eines Mitarbeiters müssten Sie jeden Laptop, jedes Smartphone, jeden Drucker und jede Kamera neu konfigurieren – und in der Praxis geschieht das meist nicht. WPA3-Personal schützt das Passwort besser vor Rateversuchen, doch das gemeinsame Passwort bleibt gemeinsam. Personenbezogene Zugänge ermöglicht erst 802.1X mit einem RADIUS-Server: Jeder erhält eigene Anmeldedaten, die sich innerhalb einer Minute sperren lassen. Das Gastnetz gehört in eine separate VLAN mit Client-Isolierung und ohne Zugriff auf das Firmennetz.

Zu Leistung und Abdeckung gibt es einen separaten Artikel über schwaches Signal und Verbindungsabbrüche. Hier geht es um etwas anderes: Wer gelangt in Ihr Netzwerk, was kann die Person dort sehen und wie entziehen Sie ihr den Zugang, wenn sie das Unternehmen verlässt?

Warum ein gemeinsames Passwort im Firmen-WLAN problematisch ist

Die Abkürzung PSK steht für Pre-Shared Key, also einen vorab geteilten Schlüssel – ein einziges Passwort für alle, die sich verbinden dürfen. Das funktioniert ohne Server und ohne Benutzerverwaltung, weshalb die meisten kleinen Unternehmen diese Lösung verwenden.

Der Zugang lässt sich nicht nur einer einzelnen Person entziehen. Wenn jemand das Unternehmen verlässt, kennt die Person das Passwort weiterhin. Widerrufen lässt sich der Zugang nur durch eine Änderung für alle. Dafür müssten Sie jeden Laptop, jedes Smartphone, jeden Drucker, jedes Lesegerät, jedes Zeiterfassungsterminal, jede Kamera und jede Kasse neu konfigurieren. Genau deshalb geschieht das meist nicht, und das Passwort bleibt über Jahre unverändert – während es längst auf einem Whiteboard steht, per E-Mail verschickt und sowohl Aushilfen als auch Servicetechnikern mitgeteilt wurde.

Sie wissen nicht, wer verbunden ist, und jeder mit Kenntnis des Passworts kann den Datenverkehr anderer abhören. In der Client-Übersicht sehen Sie eine MAC-Adresse, nicht den Namen einer Person. Wer den anfänglichen Schlüsselaustausch beim Verbindungsaufbau eines fremden Geräts aufzeichnet und das Passwort kennt, kann den Verschlüsselungsschlüssel dieser Sitzung ableiten. Auch RFC 8110 nennt dies als einen Grund für die Entwicklung der Verschlüsselung offener Netzwerke.

Ein gemeinsames Passwort ist keine Grenze zwischen Personen. Es ist der Schlüssel zu einem Tor, den jeder besitzt, der jemals im Unternehmen gearbeitet hat.

WPA2-PSK vs. WPA3-Personal vs. WPA2/WPA3-Enterprise: Vergleich

WPA2-PSKWPA3-Personal (SAE)WPA2/WPA3-Enterprise (802.1X)
Was ist das?ein vorab geteiltes Passwort für das gesamte Netzwerkein gemeinsames Passwort, aber mit einem neuen Schlüsselaustauschverfahren (SAE)jeder hat eigene Anmeldedaten, die ein RADIUS-Server überprüft
Wer erhält Zugang?jeder, der das Passwort kenntjeder, der das Passwort kenntnur ein verifiziertes Konto oder Zertifikat
Zugang einer Person entziehennur durch eine Passwortänderung für allenur durch eine Passwortänderung für alleKonto sperren, alle anderen bleiben unberührt
Im Protokoll sichtbarMAC-AdresseMAC-AdresseKontoname
Abhören zwischen Clientswer das Passwort kennt, kann den Schlüssel einer fremden Sitzung ableitennein, jede Sitzung hat einen eigenen Schlüsselnein, jede Sitzung hat einen eigenen Schlüssel
Passwort aus aufgezeichnetem Datenverkehr erratenoffline möglichSAE erlaubt keine Offline-Rateversuchees gibt kein gemeinsames Passwort zu erraten
Geeignet fürPrivathaushalt, temporäres Netzwerk auf einer Baustellekleines Unternehmen ohne Server, als ZwischenschrittUnternehmen, in denen Mitarbeiter kommen und gehen
Erforderlicher AufwandkeinerUnterstützung durch Access Points und ClientsRADIUS-Server und Benutzerverwaltung

Die letzte Zeile ist entscheidend. Der Umstieg auf WPA3 ist eine Änderung der Konfiguration, der Umstieg auf Enterprise eine Änderung des Betriebs – jemand muss Konten anlegen und löschen. Dafür ist es die einzige Variante, die eine Antwort auf die Frage bietet: „Ein Mitarbeiter hat uns verlassen – was nun?“

Was WPA3 tatsächlich löst – und was nicht

WPA3-Personal ersetzt das alte Verfahren zur Passwortauthentifizierung durch SAE (Simultaneous Authentication of Equals, gleichzeitige Authentifizierung gleichberechtigter Gegenstellen). Aus aufgezeichnetem Datenverkehr lässt sich das Passwort anschließend nicht mehr in Ruhe offline durchprobieren – jeder Versuch erfordert eine neue Interaktion mit dem Access Point. Die Wi-Fi Alliance fasst dies so zusammen, dass Nutzer von WPA3-Personal einen verbesserten Schutz vor Versuchen zum Erraten des Passworts erhalten. Die zweite Neuerung sind geschützte Management-Frames (PMF), die das Fälschen von Steuerungsnachrichten verhindern, mit denen sich Clients früher vom Netz trennen ließen. Laut Wi-Fi Alliance ist PMF für alle neu zertifizierten Geräte verpflichtend.

Was WPA3 nicht löst:

  • Das gemeinsame Passwort bleibt gemeinsam. WPA3-Personal kennt keine einzelnen Benutzer und behandelt das Ausscheiden eines Mitarbeiters genauso unzureichend wie WPA2-PSK.
  • Der Mischbetrieb schwächt das Ergebnis. Wenn auf einer SSID gleichzeitig WPA2 und WPA3 mit demselben Passwort laufen (Transition Mode), entsteht eine zusätzliche Angriffsfläche. Mathy Vanhoef und Eyal Ronen zeigten in ihrer Arbeit Dragonblood, dass ein Angreifer ein gefälschtes Netzwerk aufbauen kann, das nur WPA2 unterstützt, den Client dorthin umleitet und anschließend anhand des aufgezeichneten Teils des Austauschs das Passwort ausprobiert. Ein reines WPA3-Netz ist von diesem Problem nicht betroffen – aktivieren Sie den Mischbetrieb deshalb nur so lange, bis alle Clients entsprechend ausgestattet sind.
  • Nicht aktualisierte Geräte bleiben nicht aktualisiert. Im Jahr 2017 veröffentlichten Vanhoef und Frank Piessens auf der ACM-CCS-Konferenz den Angriff KRACK. Dieser nutzte die erneute Installation eines bereits verwendeten Schlüssels aus und ermöglichte es, Pakete zu entschlüsseln oder einzuschleusen. Die Autoren weisen ausdrücklich darauf hin, dass der Angriff das WLAN-Passwort nicht offenlegt und eine Passwortänderung nicht dagegen hilft – Abhilfe schufen Aktualisierungen der Access Points und Clients. Geräte ohne Updates bleiben unabhängig von der eingestellten Verschlüsselung ein eigenständiges Problem.

802.1X und RADIUS: eigene Anmeldedaten für jeden

802.1X ist ein IEEE-Standard zur Steuerung des Zugangs zu einem Netzwerkport. Dabei gibt es drei Rollen: den Client, den Access Point oder Switch und den RADIUS-Server, der allein über den Zugang entscheidet – der Access Point selbst kennt kein Passwort.

Die Anmeldung ist auf zwei Arten möglich. EAP-TLS verwendet ein vom Unternehmen ausgestelltes Zertifikat. Der Benutzer muss nichts eingeben und kann keine Zugangsdaten preisgeben, dafür müssen Zertifikate ausgestellt und erneuert werden. PEAP mit Benutzername und Passwort lässt sich einfacher einführen. Die Clients müssen jedoch die Überprüfung des Serverzertifikats korrekt konfiguriert haben, da sie sonst in ein gefälschtes Netzwerk mit demselben Namen gelockt werden können.

Das gewinnt das Unternehmen dadurch:

  • Der Zugang lässt sich mit einem einzigen Vorgang entziehen. Sie sperren das Konto, und die Person ist draußen, ohne dass jemand anderes etwas neu konfigurieren muss. Im Protokoll bleibt außerdem der Name erhalten, sodass Sie auch nachträglich wissen, wer wann verbunden war.
  • Netzwerkzuordnung anhand des Kontos. RADIUS kann Geräte abhängig von der Anmeldung einer bestimmten VLAN zuweisen – die Buchhaltung landet in einem anderen Segment als ein Techniker, obwohl sich beide mit derselben SSID verbunden haben.
  • Dieselbe Regel gilt auch für Netzwerkdosen. Derselbe RADIUS-Server kann kabelgebundene Ports an einem Switch verwalten.

Der RADIUS-Server muss kein zusätzlicher Rechner sein: Er kann als Network Policy Server auf Windows Server, als FreeRADIUS unter Linux oder als direkt in eine Netzwerkkomponente integriertes Modul betrieben werden.

Welche gängige Firmenhardware das unterstützt. MikroTik bietet in RouterOS die Authentifizierungstypen wpa2-psk, wpa3-psk, owe, wpa2-eap, wpa3-eap und wpa3-eap-192. Die Access Points leiten die EAP-Authentifizierung an den RADIUS-Server weiter – siehe RouterOS-Dokumentation. TP-Link Omada bietet ein RADIUS-Profil sowie 802.1X für Switches und WLAN, einschließlich der VLAN-Zuweisung anhand des Authentifizierungsergebnisses, siehe Omada-Hilfe. Ubiquiti UniFi unterstützt WPA2/WPA3 Enterprise mit einem externen RADIUS-Profil. Die Hardware im Netzwerkschrank beherrscht diese Technik also meist bereits – üblicherweise fehlt nur der Server.

Geräte ohne 802.1X-Unterstützung – etwa Drucker, Kameras, Lesegeräte und alte Terminals – sollten eine eigene SSID in einer separaten VLAN erhalten. Die Authentifizierung anhand einer MAC-Adresse dient zur Einteilung des Datenverkehrs, stellt aber keine Sicherheitsgrenze dar.

Ein Gast-WLAN, das kein Einfallstor ins Unternehmen ist

Ein Gastnetz ist nicht einfach „eine zweite SSID mit einem schwächeren Passwort“. Damit es seinen Zweck erfüllt, muss es vier Bedingungen gleichzeitig erfüllen:

  1. Eine eigene VLAN und ein eigenes Subnetz ohne Verbindung zum Firmennetz. Gäste dürfen weder auf freigegebene Laufwerke, Drucker, Kameras und den Buchhaltungsserver noch auf die Verwaltung der Netzwerkkomponenten zugreifen können.
  2. Client-Isolierung. Ohne sie befindet sich ein Besucher im selben Segment wie der Laptop eines Geschäftspartners aus einem anderen Unternehmen.
  3. Bandbreitenbegrenzung, damit Downloads auf dem Smartphone eines Besuchers die VoIP-Telefonie nicht beeinträchtigen.
  4. Eine eigene Anmeldung – entweder ein regelmäßig gewechseltes Passwort oder ein Captive Portal, also eine Anmeldeseite, die nach dem Verbindungsaufbau erscheint und beispielsweise gegen einen Code von der Rezeption Zugang gewährt. Das Portal selbst verschlüsselt den Datenverkehr nicht, sondern regelt lediglich den Zugang.

Für Gäste gibt es außerdem Wi-Fi CERTIFIED Enhanced Open, technisch OWE (Opportunistic Wireless Encryption) gemäß RFC 8110. Die Wi-Fi Alliance startete das Programm im Jahr 2018. Das Netzwerk erscheint offen und Gäste müssen nichts eingeben, doch jeder Client erhält über einen Diffie-Hellman-Schlüsselaustausch einen eigenen Verschlüsselungsschlüssel. Dadurch können andere Personen in Reichweite den Datenverkehr nicht mitlesen. Die Einschränkung wird im RFC ausdrücklich genannt: Opportunistische Verschlüsselung bietet keine Authentifizierung. Der Client kann nicht erkennen, ob er sich mit Ihrem Access Point oder mit einem gefälschten Gerät gleichen Namens verbindet. OWE verbessert ein offenes Netzwerk, ersetzt aber keine Anmeldung.

Kameras, Drucker und Buchhaltung im selben Netzwerk

Der typische Zustand in einem kleinen Unternehmen ist ein flaches Netzwerk: eine SSID, ein Adressbereich, alles kann auf alles zugreifen. Das Problem besteht nicht darin, dass eine Kamera von sich aus angreift. Kameras und günstige IoT-Geräte erhalten jedoch oft jahrelang keine Updates. Wer über sie ins Netzwerk eindringt, befindet sich sofort direkt neben den freigegebenen Laufwerken und dem Buchhaltungsserver.

Eine angemessene Aufteilung umfasst fünf Bereiche: Benutzergeräte, Server und Speicher, Drucker, Kameras und IoT sowie Gäste. Erlauben Sie zwischen den Segmenten nur konkreten Datenverkehr in einer festgelegten Richtung – Drucken von der Benutzer-VLAN in die Drucker-VLAN ja, die Gegenrichtung nein. Ein Kamerasystem benötigt in der Regel überhaupt keinen Zugang von außen. Falls doch, sollte der Zugriff über ein VPN erfolgen und nicht über einen aus dem Internet weitergeleiteten Port. Auch das Gastnetz ist keine Abstellfläche: Eine zu den „Gästen“ verschobene Kamera ist für jeden Besucher erreichbar.

Eine Aufteilung in VLANs setzt voraus, dass Sie wissen, wohin jedes Kabel führt. Wenn diese Sicherheit fehlt, beginnen Sie besser mit einem Audit des Netzwerks und der Verkabelung statt mit der Konfiguration. Falls Sie klären möchten, ob NIS2 für Ihr Unternehmen gilt, lesen Sie nach, wen das zákon č. 264/2025 Sb. betrifft.

Audit des Firmen-WLANs Schritt für Schritt

Das dauert einen Nachmittag. Das Ergebnis ist eine Liste konkreter Entscheidungen statt eines bloßen Gefühls.

  1. Listen Sie alle ausgestrahlten SSIDs auf. Dazu gehören auch vergessene Netze: der alte Access Point im Lager, das Netzwerk des Kassensystemanbieters, „Test“ oder „Guest2“. Was niemand verwendet, wird abgeschaltet.
  2. Ermitteln Sie für jede SSID den Sicherheitstyp. Offene Netzwerke ohne triftigen Grund müssen verschwinden, WEP oder altes WPA ohne die 2 müssen sofort ersetzt werden. WPA2-PSK ist ein Kandidat für WPA3 oder Enterprise.
  3. Notieren Sie namentlich, wer das Passwort kennt. Berücksichtigen Sie ehemalige Mitarbeiter, Aushilfen, externe Techniker und Besucher. Prüfen Sie, ob das Passwort auf einem Whiteboard steht, in einer E-Mail liegt oder in einem Gruppenchat geteilt wurde.
  4. Ermitteln Sie, wann das Passwort zuletzt geändert wurde und welchen Aufwand eine Änderung heute verursachen würde. Listen Sie jedes Gerät auf, das neu konfiguriert werden müsste. Die Länge dieser Liste beantwortet die Frage, ob PSK noch praktikabel ist.
  5. Inventarisieren Sie die verbundenen Geräte. Gehen Sie die Listen aus DHCP und Client-Übersicht Punkt für Punkt durch: Laptop, Smartphone, Drucker, Kamera, IoT-Gerät, Server. Identifizieren Sie alles, was Sie nicht erkennen.
  6. Prüfen Sie, wer sich im selben Segment wie die Buchhaltung befindet. Versuchen Sie von einem gewöhnlichen Laptop aus, die Weboberfläche einer Kamera und eines Druckers sowie ein freigegebenes Laufwerk zu öffnen. Wenn alles uneingeschränkt erreichbar ist, ist das Netzwerk nicht segmentiert.
  7. Testen Sie das Gastnetz aus Sicht eines Gastes. Versuchen Sie, auf einen Firmendrucker, ein NAS, eine Kamera und die Routerverwaltung zuzugreifen. Nichts davon darf erreichbar sein. Prüfen Sie außerdem, ob Sie andere Gäste sehen können.
  8. Kontrollieren Sie die Verwaltung der Netzwerkkomponenten. Prüfen Sie voreingestellte Administrationspasswörter, die Erreichbarkeit der Verwaltungsoberfläche aus dem Gastnetz und dem Internet sowie Firmwareversion und Datum der letzten Aktualisierung jeder Komponente.
  9. Dokumentieren Sie das Ergebnis. Halten Sie alle SSIDs, ihren jeweiligen Zweck, die zugriffsberechtigten Personen, den Speicherort des Passworts und den Termin der nächsten Überprüfung fest.

Was Sie mit dem Ergebnis tun sollten

Sofort: Nicht verwendete SSIDs abschalten, Gäste in eine eigene VLAN mit Client-Isolierung verschieben, Firmware aktualisieren, Kameras und IoT-Geräte in ein eigenes Segment verlegen, das Firmenpasswort ändern und statt in einer E-Mail in einem Passwortmanager speichern.

Innerhalb der nächsten Wochen: WPA3 überall dort aktivieren, wo die Clients es unterstützen, Drucker und Bürotechnik abtrennen und die Regeln zwischen den Segmenten dokumentieren.

Zielzustand: 802.1X mit einem RADIUS-Server für Mitarbeiter und ein gemeinsames Passwort nur noch für Geräte, die keine andere Authentifizierung unterstützen – in einer eigenen, getrennten VLAN. Wenn sich im Unternehmen niemand darum kümmern kann, ist das eine Frage des Umfangs der externen Betreuung. Eine erste Orientierung bietet die Übersicht dazu, was die IT-Betreuung für ein kleines Unternehmen kostet.

ITHOPE (Brno) führt Audits und Neuaufbauten von Firmen-WLANs durch: Erfassung der SSIDs und verbundenen Geräte, Planung der Segmentierung in VLANs, Einführung von WPA3 oder 802.1X mit einem RADIUS-Server, Einrichtung eines getrennten Gastnetzes und laufende Netzwerkverwaltung. Daran schließen sich IT-Betreuung und Datensicherung an, denn ein segmentiertes Netzwerk ist erst dann wirklich sinnvoll, wenn auch praxistaugliche Backups vorhanden sind. Weitere Leistungen finden Sie in der Übersicht IT für Unternehmen.

Quellen

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).