WLAN-Sicherheit: WPA2, WPA3 und wie du dein WLAN richtig absicherst

Ein Netzwerkkabel liegt hinter einer Wand, und wer Daten abgreifen will, muss ins Gebäude. Funkwellen dagegen hören nicht an der Wand auf. Wer vor dem Haus, im Treppenhaus oder auf dem Parkplatz steht, kann die Signale empfangen. Ohne Schutz könnte jeder mitlesen, was du im WLAN überträgst, oder sich selbst in dein Netz hängen.

Im Beitrag WLAN-Grundlagen hast du gesehen, wie die Funkstrecke funktioniert. Jetzt geht es darum, sie abzusichern. Das ist in der Praxis eine der häufigsten Aufgaben, und die Antwort ist zum Glück gut standardisiert.

Was soll ein WLAN schützen?

Drei Ziele stehen im Vordergrund:

• Vertraulichkeit: Niemand Unbefugtes soll den Datenverkehr lesen können. Das erreicht man durch Verschlüsselung.
• Zugriffskontrolle: Nur berechtigte Geräte und Personen dürfen ins Netz. Das leistet die Authentifizierung.
• Integrität: Die Daten sollen unterwegs nicht unbemerkt verändert werden.

Die Verfahren im Überblick

Im Lauf der Jahre gab es mehrere Sicherheitsverfahren. Das erste war so schwach, dass es heute nur noch als warnendes Beispiel taugt:

Verfahren	Jahr (ca.)	Verschlüsselung	Bewertung
WEP	1999	RC4, schwache Schlüsselbehandlung	Gebrochen, nie mehr verwenden
WPA	2003	TKIP (auf RC4 aufbauend)	Veraltet, nur als Übergang gedacht
WPA2	2004	AES mit CCMP	Weit verbreitet, mit starker Passphrase brauchbar
WPA3	2018	AES, bei Enterprise bis 192 Bit	Aktueller Stand, neue Netze sollten es verwenden

Die einfache Regel für die Praxis: WPA3, sonst WPA2 mit AES. WEP, WPA und TKIP sollten in keinem Netz mehr aktiv sein. Das gilt auch dann, wenn ein sehr altes Gerät sonst nicht mehr verbinden würde. Dieses Gerät ersetzt man besser, als das ganze Netz zu schwächen.

Personal und Enterprise

Unabhängig vom Verfahren gibt es zwei Betriebsarten, die sich in der Anmeldung unterscheiden:

	Personal	Enterprise
Anmeldung	Ein gemeinsames Passwort (Pre-Shared Key, PSK) für alle	Individuelle Zugangsdaten oder Zertifikate pro Benutzer oder Gerät
Standard	WPA2-PSK, bei WPA3 mit SAE	IEEE 802.1X mit RADIUS-Server
Aufwand	Gering	Höher, braucht Server und Benutzerverwaltung
Typischer Einsatz	Zuhause, kleine Büros, Gäste	Firmen, Schulen, Hochschulen
Passwort ändern	Auf allen Geräten neu eingeben	Pro Benutzer, ohne andere zu stören

WPA2-Personal: Wie das gemeinsame Passwort wirkt

Beim Personal-Modus gibt es eine Passphrase, die alle kennen. Aus ihr und der SSID berechnet jedes Gerät einen Schlüssel. Beim Verbinden handeln Client und Access Point in einem Vier-Wege-Handshake (4-Way-Handshake) einen eigenen Sitzungsschlüssel aus. Dabei wird das Passwort nicht übertragen. Jeder Client bekommt seinen eigenen Sitzungsschlüssel, mit dem seine Daten verschlüsselt werden.

Zwei Folgen sind wichtig:

• Wer die Passphrase kennt, kann bei WPA2-Personal unter Umständen den Verkehr anderer Teilnehmer entschlüsseln, sofern er deren Handshake mitgehört hat. Alle im selben Netz mit demselben Passwort müssen sich also vertrauen. In einem Gäste-WLAN oder einem Café ist das nicht gegeben.
• Die Passphrase ist das schwächste Glied. Wird der Handshake mitgeschnitten, kann ein Angreifer offline durchprobieren, welche Passphrase dazu passt. Ein kurzes oder erratbares Passwort fällt dabei schnell.

Warum die Länge zählt

Die Zahl der möglichen Passwörter wächst mit jedem Zeichen enorm. Nimmst du Groß- und Kleinbuchstaben und Ziffern, hast du 62 mögliche Zeichen pro Stelle:

8 Zeichen:   62^8  ≈ 2,2 · 10^14
12 Zeichen:  62^12 ≈ 3,2 · 10^21

Vier Zeichen mehr: 62^4 ≈ 14,8 Millionen Mal mehr Möglichkeiten

Diese Rechnung gilt nur, wenn die Zeichen zufällig gewählt sind. Muster wie „Firmenname2024!“ folgen den Gewohnheiten von Menschen und fallen viel schneller als die Rechnung vermuten lässt. Für ein WLAN-Passwort empfiehlt sich deshalb eine lange, zufällige Passphrase mit mindestens 16 bis 20 Zeichen, zum Beispiel mehrere zufällig gewählte Wörter hintereinander. Das Minimum, das WPA2 überhaupt erlaubt, liegt bei 8 Zeichen, und das ist zu wenig. Die Obergrenze liegt bei 63 Zeichen.

WPA3: Was sich verbessert hat

WPA3 behebt Schwächen von WPA2 und bringt vor allem drei Neuerungen:

• SAE statt PSK: Im Personal-Modus ersetzt SAE (Simultaneous Authentication of Equals) den alten Handshake. Mitgeschnittene Daten lassen sich nicht mehr offline auf das Passwort hin ausprobieren. Außerdem hat jede Sitzung eigene Schlüssel, die sich auch bei späterem Bekanntwerden des Passworts nicht rückwirkend knacken lassen (Forward Secrecy).
• Pflicht für geschützte Management-Frames (PMF): Steuernachrichten wie das Abmelden eines Clients werden abgesichert. Das erschwert es, Geräte mit gefälschten Abmeldungen aus dem Netz zu werfen.
• OWE („Enhanced Open“): Für offene Netze ohne Passwort verschlüsselt WPA3 trotzdem jeden Client einzeln. Ein Café-WLAN ist damit vor einfachem Mitlesen geschützt.

Noch sind nicht alle Geräte WPA3-fähig. Deshalb gibt es einen Übergangsmodus (WPA2/WPA3 Mixed), in dem beide Verfahren parallel laufen. Das ist praktisch, aber nur so sicher wie das schwächere Verfahren. Sobald alle Geräte WPA3 können, schaltest du ihn aus.

Enterprise: Anmeldung mit 802.1X und RADIUS

In Firmen bekommt nicht jeder dasselbe Passwort. Stattdessen meldet sich jeder Benutzer mit eigenen Daten an, und ein zentraler Server prüft sie. Das Verfahren heißt IEEE 802.1X, und drei Rollen sind beteiligt:

• der Supplicant, also der Client, der Zugang will,
• der Authenticator, also der Access Point (oder bei Kabelnetzen der Switch), der den Zugang freigibt oder sperrt,
• der Authentifizierungsserver, meist ein RADIUS-Server, der Benutzernamen, Passwörter oder Zertifikate prüft.

Der Ablauf in Kurzform:

1. Der Client verbindet sich mit dem Access Point. Zunächst lässt dieser nur Anmeldedaten durch, keinen sonstigen Verkehr.
2. Der Client schickt seine Identität und ein Anmeldeverfahren (EAP). Der Access Point leitet alles an den RADIUS-Server weiter, üblicherweise über UDP Port 1812.
3. Der Server prüft die Anmeldung, etwa Benutzername und Passwort oder ein Zertifikat.
4. Bei Erfolg meldet er „Zugang erlaubt“ und liefert Schlüsselmaterial. Der Access Point gibt den Client frei, und der Verkehr wird mit individuellen Schlüsseln verschlüsselt.

Der Server kann zusätzlich festlegen, in welches VLAN der Client gehört. So landet ein Mitarbeiter aus der Verwaltung automatisch im Verwaltungs-VLAN, ganz ohne eigenes WLAN pro Abteilung. Wie VLANs funktionieren, kennst du aus dem Beitrag VLAN verstehen.

Ein Vorteil gegenüber dem gemeinsamen Passwort: Verlässt ein Mitarbeiter die Firma, sperrt der Administrator sein Konto, und alle anderen bleiben unberührt. Wichtig ist dabei, dass die Clients das Zertifikat des Servers prüfen. Sonst könnte jemand ein gefälschtes WLAN mit demselben Namen aufstellen und Zugangsdaten abgreifen.

Bedrohungen und passende Gegenmaßnahmen

Die folgenden Angriffe auf WLANs gibt es. Wichtig ist, die Gegenmaßnahme zu kennen:

Bedrohung	Was passiert?	Schutz
Mitlesen in offenen Netzen	Daten laufen unverschlüsselt durch die Luft	Verschlüsseltes WLAN (WPA2/WPA3, OWE), außerdem HTTPS und VPN
Passphrase erraten	Schwaches Passwort wird durch Ausprobieren gefunden	Lange, zufällige Passphrase, WPA3 mit SAE
Gefälschter Access Point („Evil Twin“)	Ein Angreifer stellt ein WLAN mit gleichem Namen auf, Geräte verbinden sich dorthin	Enterprise mit Zertifikatsprüfung, Schulung, WLAN-Überwachung
Gefälschte Abmeldungen	Geräte werden durch manipulierte Steuerpakete vom Netz getrennt	Geschützte Management-Frames (PMF, bei WPA3 Pflicht)
Schwächen in Verfahren oder Geräten	Wie die 2017 bekannt gewordene KRACK-Lücke im WPA2-Handshake	Firmware-Updates für Access Points und Clients
WPS-PIN	Das Schnellverfahren mit achtstelliger PIN lässt sich systematisch durchprobieren	WPS abschalten
Fremde Access Points im Firmennetz	Ein Mitarbeiter schließt einen privaten Router an und öffnet damit das Netz	Port-Sicherheit, 802.1X am Switch, Überwachung

Die Checkliste für ein sicheres WLAN

• WPA3 verwenden, sonst WPA2 mit AES. Keine alten Verfahren zulassen.
• Lange, zufällige Passphrase. Mindestens 16 bis 20 Zeichen, kein Name, kein Geburtsdatum.
• Standardpasswort des Routers ändern. Das Passwort für die Verwaltung des Geräts ist ein anderes als das WLAN-Passwort und muss eigenständig stark sein.
• Firmware aktuell halten. Updates schließen bekannte Lücken.
• WPS abschalten. Es bringt kaum Komfort und ein bekanntes Risiko.
• Gäste in ein eigenes Netz. Ein separates WLAN in einem eigenen VLAN, das nur ins Internet führt.
• Fernzugriff auf den Router von außen abschalten, wenn er nicht gebraucht wird.
• In Firmen Enterprise nutzen, mit Zertifikatsprüfung am Client.

Was nichts bringt

Zwei beliebte Tipps wirken sicherer, als sie sind:

• SSID verstecken. Der Name wird dann nicht mehr in den Beacons gesendet, aber Geräte verraten ihn beim Verbinden trotzdem. Wer mitlauscht, sieht ihn sofort. Außerdem suchen Geräte dann ständig aktiv nach dem versteckten Netz.
• MAC-Filter. MAC-Adressen sind im Funkverkehr sichtbar und lassen sich fälschen, wie im Beitrag MAC-Adresse und IP-Adresse beschrieben. Ein Filter ist höchstens eine kleine Hürde.

Praxisbeispiel: Mitarbeiter und Gäste in der Firma

Die Firma betreibt zwei WLANs an denselben Access Points, die über einen Trunk-Port am Switch hängen (siehe Access Port und Trunk Port):

SSID	Verfahren	VLAN	Rechte
Firma	WPA2- oder WPA3-Enterprise mit RADIUS	Je nach Benutzergruppe, zum Beispiel VLAN 20	Zugriff auf interne Dienste nach Rechten
Gast	WPA3-Personal (oder WPA2) mit eigener Passphrase	Eigenes Gäste-VLAN	Nur Internet, Client-Isolation, interne Netze gesperrt

Ein Mitarbeiter meldet sich mit seinem Firmenkonto an. Der RADIUS-Server prüft es und teilt dem Access Point das passende VLAN mit. Geht das Notebook verloren, sperrt der Administrator das Konto, ohne etwas am WLAN zu ändern.

Für Gäste hängt am Empfang ein Zettel mit dem Gastpasswort, oder ein QR-Code führt direkt ins WLAN. Die Passphrase wird regelmäßig gewechselt. Client-Isolation sorgt dafür, dass die Gäste untereinander keinen Kontakt haben. Eine Firewall-Regel zwischen Gäste-VLAN und den internen VLANs sorgt dafür, dass nur Internetverkehr durchkommt, wie im Beitrag Switch, Router, Access Point und Firewall besprochen. Drucker und Kameras bleiben bewusst am Kabel und gehören nicht ins WLAN.

Die Sicherheit am eigenen Rechner prüfen

Unter Windows zeigt dir die Eingabeaufforderung mit diesem Befehl, mit welchem Verfahren du gerade verbunden bist:

netsh wlan show interfaces

In der Ausgabe stehen bei „Authentifizierung“ das Verfahren (zum Beispiel WPA2-Personal oder WPA3-Personal) und bei „Verschlüsselung“ der Algorithmus (CCMP steht für AES). Welche Netze in der Umgebung welche Sicherheit nutzen, listet unter Linux dieser Befehl in der Spalte SECURITY auf:

nmcli device wifi list

Siehst du dort bei deinem eigenen Netz WEP oder WPA1, ist Handlungsbedarf. Hast du das Passwort deines eigenen WLANs vergessen, kannst du es auf einem Windows-Rechner, der damit verbunden ist, aus dem gespeicherten Profil auslesen. Das geht mit Administratorrechten und mit dem tatsächlichen Namen des Profils:

netsh wlan show profile name="DeinWLAN" key=clear

Das Passwort steht dann unter „Schlüsselinhalt“. Nutze das nur für Netze, die dir gehören oder für die du die Erlaubnis hast.

Typische Fehler und Missverständnisse

• Kurzes oder erratbares Passwort. Die beste Verschlüsselung hilft nichts, wenn die Passphrase aus einem Namen mit Zahl besteht.
• Mixed Mode dauerhaft lassen. Der Übergangsmodus ist nur so stark wie das schwächste Verfahren, das er zulässt.
• Standardpasswort des Routers behalten. Es steht oft auf dem Typenschild oder ist öffentlich bekannt.
• SSID verstecken und MAC-Filter für Sicherheit halten. Beide bremsen nur Gelegenheitsnutzer.
• Gäste im selben Netz wie die Firma. Dann hängen Gastgeräte neben den Servern.
• WPS aktiv lassen. Das Schnellverfahren ist ein bekanntes Risiko.
• „Captive Portal“ mit Verschlüsselung gleichsetzen. Die Anmeldeseite im Hotel oder Café regelt nur den Zugang. Verschlüsselt ist der Verkehr dadurch nicht.
• Öffentliche WLANs ohne Schutz nutzen. HTTPS und ein VPN schützen auch dann, wenn das WLAN selbst es nicht tut.
• Zertifikat des Servers nicht prüfen. Bei Enterprise-Netzen öffnet das die Tür für gefälschte Access Points.

Zum Üben

1. Welche der Verfahren WEP, WPA, WPA2 und WPA3 gelten als unsicher, welche als empfohlen?
2. Worin unterscheiden sich WPA2-Personal und WPA2-Enterprise?
3. Wozu dient SAE bei WPA3?
4. Wie viele Möglichkeiten gibt es bei einem zufälligen Passwort aus 62 möglichen Zeichen mit 8 Zeichen, wie viele bei 12 Zeichen? Um welchen Faktor steigen sie?
5. Bringt es etwas, die SSID zu verstecken? Begründe.
6. Welche Aufgabe hat der RADIUS-Server bei 802.1X?
7. Nenne drei Maßnahmen, mit denen du ein Gäste-WLAN absicherst.

Lösungen: (1) Unsicher: WEP und WPA (TKIP). Empfohlen: WPA3, mit starker Passphrase auch noch WPA2 (AES). (2) Personal nutzt ein gemeinsames Passwort für alle, Enterprise meldet jeden Benutzer einzeln über 802.1X und einen RADIUS-Server an. (3) SAE ersetzt den alten Handshake. Mitgeschnittene Daten lassen sich nicht mehr offline auf das Passwort hin ausprobieren, und jede Sitzung hat eigene Schlüssel (Forward Secrecy). (4) 628 ≈ 2,2 · 1014, 6212 ≈ 3,2 · 1021. Der Faktor ist 624 ≈ 14,8 Millionen. (5) Nein. Der Name wird beim Verbinden trotzdem übertragen, und Geräte verraten ihn. (6) Er prüft die Anmeldung (Benutzername und Passwort oder Zertifikat), gibt den Zugang frei und kann das VLAN zuweisen. (7) Zum Beispiel ein eigenes VLAN, nur Internetzugang per Firewall-Regel, Client-Isolation, eigene Passphrase mit regelmäßigem Wechsel, aktuelle Verschlüsselung (WPA3 oder WPA2 mit AES).

Das solltest du dir merken

• WEP ist gebrochen, WPA mit TKIP veraltet. Verwende WPA3, sonst WPA2 mit AES.
• Personal arbeitet mit einem gemeinsamen Passwort, Enterprise mit 802.1X und RADIUS für jeden Benutzer einzeln.
• Bei WPA2-Personal ist die Passphrase das schwächste Glied: lang und zufällig wählen, mindestens 16 bis 20 Zeichen.
• WPA3 bringt SAE, geschützte Management-Frames und mit OWE verschlüsselte offene Netze.
• SSID verstecken und MAC-Filter bringen keine echte Sicherheit. WPS gehört abgeschaltet.
• Gäste gehören in ein eigenes VLAN mit Zugriff nur auf das Internet.
• Halte Firmware aktuell und schütze auch das Passwort für die Verwaltung des Routers.

Ein Access Point braucht Strom, und er hängt oft an einem Ort, wo keine Steckdose in der Nähe ist. Die Lösung: Strom über das Netzwerkkabel. Wie das funktioniert, zeigt der nächste Beitrag: PoE verstehen.