Persönliche und Unternehmensauthentifizierung

WPA2 und WPA3 bieten zwei Authentifizierungsmodi: Personal und Enterprise. Bei Personal verwenden alle dasselbe gemeinsame Passwort; bei Enterprise erhält jede Person eigene Zugangsdaten, die von einem zentralen Server überprüft werden. In dieser Lektion erfahren Sie, worin der Unterschied besteht, wie die beiden Modi funktionieren und wann Sie welchen wählen sollten – ein Thema, das regelmäßig in der Network+-Prüfung vorkommt.

Der Personal-Modus, auch PSK (Pre-Shared Key) genannt, verwendet ein einziges Passwort, das alle Personen eingeben müssen, die eine Verbindung herstellen. Das WLAN-Passwort zu Hause auf dem Aufkleber Ihres Routers ist ein PSK. Der Modus lässt sich einfach einrichten und eignet sich ideal für Privathaushalte und kleine Büros. Alle teilen dasselbe Geheimnis, und wer es kennt, kann dem Netzwerk beitreten.

Der gemeinsame Schlüssel ist zugleich die Schwachstelle. Wenn eine Person das Passwort weitergibt, kann jeder dem Netzwerk beitreten. Um den Zugriff zu entziehen, müssen Sie das Passwort für alle ändern und jedes Gerät neu konfigurieren. Es gibt keine Identität pro Benutzer, daher können Sie nicht feststellen, wer wer ist, und auch nicht nur eine einzelne Person deaktivieren. Für eine kleine Anzahl vertrauenswürdiger Personen ist das in Ordnung; für ein Unternehmen lässt sich dieser Ansatz nicht gut skalieren.

Der Enterprise-Modus verwendet die Authentifizierung nach 802.1X. Jede Person erhält einen eigenen Benutzernamen und ein eigenes Passwort (oder ein Zertifikat), statt dass alle denselben Schlüssel verwenden. Wenn eine Person eine Verbindung herstellt, werden ihre Zugangsdaten von einem zentralen Authentifizierungsserver überprüft, bevor der Zugriff gewährt wird. Es gibt kein einzelnes WLAN-Passwort, das weitergegeben oder bekannt werden kann; jede Person authentifiziert sich individuell mit ihrer eigenen Identität.

Die Enterprise-Authentifizierung basiert auf einem RADIUS-Server (Remote Authentication Dial-In User Service). Der Access Point leitet die Zugangsdaten der jeweiligen Person an den RADIUS-Server weiter. Dieser überprüft sie anhand eines Verzeichnisses und weist den AP an, die Verbindung zu erlauben oder abzulehnen. RADIUS ist das zentrale Steuerelement, das eine WLAN-Anmeldung pro Benutzer über viele Access Points in einer Organisation ermöglicht.

Bei 802.1X arbeiten drei Rollen zusammen: der Supplicant (das Gerät der benutzenden Person), der Authenticator (der Access Point oder Switch) und der Authentifizierungsserver (RADIUS). Der Supplicant sendet die Zugangsdaten, der Authenticator leitet sie weiter und der Server entscheidet. Die Kommunikation erfolgt über EAP (Extensible Authentication Protocol), ein flexibles Framework, das Passwörter, Zertifikate und weitere Methoden unterstützt.

Für Organisationen ist der Enterprise-Modus die bessere Wahl. Sie können eine einzelne Person deaktivieren, ohne andere zu beeinträchtigen, sehen, wer eine Verbindung hergestellt hat, Richtlinien pro Benutzer durchsetzen und ein gemeinsames Geheimnis vermeiden, das leicht in falsche Hände geraten kann. Der Modus lässt sich in vorhandene Benutzerverzeichnisse integrieren, sodass Mitarbeitende dieselben Anmeldedaten verwenden wie bisher. Diese individuelle Nachvollziehbarkeit und Kontrolle benötigen Unternehmen für ein sicheres und einfach verwaltbares WLAN.

Der Nachteil des Enterprise-Modus ist seine Komplexität. Sie müssen einen RADIUS-Server einrichten und warten und ihn in ein Benutzerverzeichnis integrieren – deutlich mehr Aufwand, als einen PSK einzugeben. Für einen Privathaushalt oder ein sehr kleines Büro lohnt sich dieser Aufwand nicht. Die Entscheidung ist ein Abwägen: Personal für Einfachheit, Enterprise für Skalierbarkeit, Kontrolle und Nachvollziehbarkeit.

Verwenden Sie Personal (PSK) für Privathaushalte und kleine Netzwerke, in denen ein gemeinsames Passwort für vertrauenswürdige Personen akzeptabel ist. Verwenden Sie Enterprise (802.1X mit RADIUS) für Unternehmen, Schulen und überall dort, wo Sie Anmeldungen pro Benutzer, den individuellen Entzug von Zugriffsrechten und Nachvollziehbarkeit benötigen. Beide Modi können mit WPA2 oder WPA3 betrieben werden. Sie wählen den Verschlüsselungsstandard und den Authentifizierungsmodus also unabhängig voneinander.

Die Enterprise-Authentifizierung kann verschiedene EAP-Methoden verwenden. PEAP und EAP-TTLS überprüfen Benutzerinnen und Benutzer mit einem Benutzernamen und Passwort innerhalb eines geschützten Tunnels – dies ist der häufigste Ansatz. EAP-TLS verwendet digitale Zertifikate auf Client und Server und bietet damit die stärkste passwortfreie Authentifizierung, erfordert jedoch die Verwaltung von Zertifikaten. Sie müssen nicht jedes Detail kennen. Merken Sie sich lediglich, dass EAP das flexible Framework ist und zertifikatbasierendes EAP-TLS die sicherste Option darstellt.

Die Entscheidung zwischen Personal und Enterprise bestimmt, wie Sie den drahtlosen Zugriff verwalten. Personal verwendet einen gemeinsamen Schlüssel – einfach, aber ohne Kontrolle pro Benutzer. Enterprise nutzt 802.1X und einen RADIUS-Server für individuelle Zugangsdaten, Nachvollziehbarkeit und einen einfachen Entzug von Zugriffsrechten. Die Rollen – Supplicant, Authenticator und Authentifizierungsserver – sowie der Begriff PSK gehören zum grundlegenden Network+-Wissen über die WLAN-Authentifizierung.

Testen Sie Ihr Wissen über Authentifizierung.

WPA2/WPA3 bieten zwei Modi. Personal (PSK) verwendet ein gemeinsames Passwort und ist für Privathaushalte einfach, bietet jedoch keine Identität pro Benutzer und macht den Entzug von Zugriffsrechten umständlich. Enterprise verwendet 802.1X mit einem RADIUS-Server, sodass jede Person eigene Zugangsdaten erhält und Nachvollziehbarkeit sowie ein einfacher Entzug von Zugriffsrechten möglich werden. Die Rollen bei 802.1X sind Supplicant (Gerät), Authenticator (AP) und Authentifizierungsserver (RADIUS); sie kommunizieren über EAP. Wählen Sie Personal für Einfachheit und Enterprise für Skalierbarkeit und Kontrolle.