WPA3 eingeschaltet, Drucker und Scanner weg?

Was sich mit WPA3 ändert: SAE, PMF und der 192-Bit-Modus

Bei WPA2-Personal leiten alle Geräte ihre Schlüssel aus demselben Pre-Shared Key ab. Wer einen Vier-Wege-Handshake mitschneidet, kann das Passwort offline mit Wörterbüchern angreifen. WPA3-Personal ersetzt das durch Simultaneous Authentication of Equals, kurz SAE. Jeder Anmeldeversuch erfordert dabei einen Austausch mit dem Access Point, und ein Mitschnitt allein reicht für einen Offline-Angriff nicht mehr aus.

Für SAE gibt es zwei Verfahren, das Passwortelement zu berechnen. Das ältere Hunting-and-Pecking ist anfälliger. Das neuere Hash-to-Element ist im 6-GHz-Band und für Wi-Fi 7 Pflicht. Am Catalyst 9800 lässt sich ab IOS XE 17.7.1 festlegen, ob eine SSID das eine, das andere oder beide anbietet.

Die zweite Änderung sind Protected Management Frames nach IEEE 802.11w. Sie schützen Verwaltungsrahmen wie Deauthentication gegen Fälschung. Bei WPA3 ist PMF Pflicht, im Transition Mode optional, und im 6-GHz-Band ebenfalls Pflicht. Laut Wi-Fi Alliance ist PMF für alle neu zertifizierten Geräte vorgeschrieben.

WPA3-Enterprise baut auf 802.1X auf und verlangt ebenfalls PMF. Der 192-Bit-Modus geht weiter: Er nutzt GCMP-256 und eine eigene Schlüsselverwaltung und verlangt durchgängig Verfahren dieses Sicherheitsniveaus, auch bei den Zertifikaten. Er ist für Umgebungen mit besonders schutzbedürftigen Daten gedacht und für die meisten Unternehmensnetze nicht nötig.

Transition Mode: warum er nicht alle Altgeräte rettet

Der Transition Mode bietet auf einer SSID beide Verfahren an: WPA2 mit Pre-Shared Key für alte Geräte und WPA3 mit SAE für neue. PMF ist dabei optional, damit Geräte ohne PMF sich verbinden können. In der Theorie gibt es so keinen Stichtag, an dem ein Gerät ausfällt.

In der Praxis scheitert das an Treibern, die das Beacon mit zwei Schlüsselverwaltungen und der PMF-Ankündigung falsch auslesen. Cisco schreibt im WPA3-Leitfaden selbst, dass manche älteren Geräte den Transition Mode nicht unterstützen und sich nicht verbinden können, und empfiehlt ihn nur, wenn er nötig ist. Typisch betroffen sind eingebettete Geräte wie Drucker, Scanner, Messgeräte und Steuerungen, deren WLAN-Modul seit Jahren keine Firmware bekommen hat.

Dazu kommen zwei grundsätzliche Grenzen. Im 6-GHz-Band ist WPA2 nicht erlaubt; seit IOS XE 17.12.1 spielt der Catalyst 9800 bei einer SSID mit WPA2 und WPA3 dort nur die WPA3-Konfiguration aus. Und die WPA2-Geräte im Transition Mode sind nicht sicherer als vorher. Der gemeinsame Pre-Shared Key bleibt für sie angreifbar, und wer ihn kennt, kommt ins Netz. Der Transition Mode ist deshalb ein Übergang, kein Ziel.

Inventur und eine getrennte SSID für Altgeräte

Die Inventur beginnt mit der Liste aller Geräte, die sich per WLAN verbinden, sortiert nach Modell und Firmwarestand. Die Controller-Ansicht der verbundenen Clients liefert die MAC-Adressen und Hersteller, die Gerätemanagement-Systeme liefern Modelle und Betriebssystemstände. Für Windows zeigt netsh wlan show drivers, ob der Adapter WPA3-Personal und WPA3-Enterprise unterstützt. Für eingebettete Geräte bleibt der Blick ins Datenblatt oder eine Anfrage beim Hersteller.

Jedes Gerät landet danach in einer von vier Klassen. Für die beiden unteren Klassen brauchst du eine eigene SSID mit WPA2, die so gebaut ist, dass ein Angreifer mit dem Schlüssel wenig erreicht. Der IT-Grundschutz des BSI verlangt im Baustein NET.2.1 für WPA2 mit Pre-Shared Key einen komplexen Schlüssel mit mindestens 20 Zeichen. Er untersagt Verfahren, die unsicherer sind als WPA2, und Geräte, die auf unsichere Verfahren zurückfallen müssen.

Die Altgeräte-SSID bekommt ein eigenes VLAN mit Zugriffsregeln, die nur die Ziele erlauben, die diese Geräte brauchen: den Druckserver, den Lagerverwaltungsserver, die Datenbank der Messgeräte. Sie läuft nur auf 2,4 und 5 GHz und bekommt ein Enddatum, das mit dem Austausch der Geräte abgestimmt ist. Ohne Enddatum wird aus der Übergangslösung ein Dauerzustand.

• Klasse 1: WPA3 mit SAE, Hash-to-Element und PMF, bereit für reine WPA3-SSIDs und 6 GHz

• Klasse 2: WPA3 mit SAE, aber nur Hunting-and-Pecking, nutzbar auf 2,4 und 5 GHz

• Klasse 3: WPA2 mit funktionierendem Transition Mode, Update oder Austausch einplanen

• Klasse 4: WPA2 ohne Transition Mode oder ohne Update, nur auf der Altgeräte-SSID mit Enddatum

Umstellungsplan in Etappen

Die Umstellung gelingt, wenn jede Etappe messbar ist. Nach jeder Etappe prüfst du am Controller, wie viele Clients mit welchem Verfahren verbunden sind. Erst wenn die Zahl der WPA2-Verbindungen auf der Haupt-SSID gegen null geht, folgt die nächste Etappe.

Die Test-SSID mit reinem WPA3 kommt zuerst, damit IT-Personal und Pilotnutzer ihre Geräte prüfen können. Danach geht die Haupt-SSID in den Transition Mode, und die Altgeräte der Klassen 3 und 4 ziehen auf die neue Altgeräte-SSID um. Zuletzt wird die Haupt-SSID auf reines WPA3 gestellt, und erst jetzt lohnt es sich, sie auch im 6-GHz-Band anzubieten.

! Etappe 3: Haupt-SSID im Transition Mode, nur 2,4 und 5 GHz
wlan CORP-PSK 1 CORP-PSK
 shutdown
 no security wpa akm dot1x
 no security ft
 security wpa wpa2 ciphers aes
 security wpa psk set-key ascii 0 <Schlüssel mit mindestens 20 Zeichen>
 security wpa wpa3
 security wpa akm sae
 security wpa akm psk
 security wpa akm sae pwe both
 radio policy dot11 24ghz
 radio policy dot11 5ghz
 no shutdown
!
! Etappe 5: Haupt-SSID nur noch WPA3, PMF ist dann Pflicht
wlan CORP-PSK 1 CORP-PSK
 shutdown
 no security wpa akm psk
 no security wpa wpa2
 security wpa wpa2 ciphers aes
 ! Klasse 2 braucht Hunting-and-Pecking, deshalb beide Verfahren
 security wpa akm sae pwe both
 no shutdown

Prüfpunkte am Controller

Am Catalyst 9800 zeigt die Detailansicht einer SSID, welche Schlüsselverwaltungen, Verschlüsselungen und welcher PMF-Status gelten. Die Detailansicht eines Clients zeigt, mit welchem Verfahren er tatsächlich verbunden ist. Das ist die Grundlage für die Entscheidung, wann eine Etappe abgeschlossen ist.

Scheitert ein Gerät, liefert die Radioactive Trace für seine MAC-Adresse den genauen Schritt: Bleibt es bei der Authentifizierung hängen, ist es meist SAE oder ein falsches Passwort. Bricht es im Vier-Wege-Handshake ab, sind PMF oder der Schlüssel im Spiel. Im Funkmitschnitt erkennst du das an den Authentication-Rahmen mit SAE und an EAPOL-Rahmen, die nach der zweiten Nachricht abbrechen.

! Sicherheitseinstellungen der SSID, auch PMF und AKM
show wlan name CORP-PSK
! Alle Clients mit SSID und Zustand
show wireless client summary
! Ein Client im Detail: AKM, Verschlüsselung, Protokoll
show wireless client mac-address aaaa.bbbb.cccc detail
! Warum Clients gelöscht wurden
show wireless stats client delete reasons

# Windows: kann der Adapter WPA3?
netsh wlan show drivers

Gäste-WLAN: Enhanced Open statt offenem Netz

Das Gäste-WLAN ist oft das letzte offene Netz im Haus. Auch hier gibt es mit WPA3 eine bessere Lösung: Enhanced Open, technisch Opportunistic Wireless Encryption. Der Client handelt mit dem Access Point einen individuellen Schlüssel aus, ohne dass ein Passwort nötig ist. Der Verkehr ist damit gegen Mitlesen in der Luft geschützt, und laut Wi-Fi Alliance funktioniert das auch mit einem Captive Portal für Nutzungsbedingungen.

Für das 6-GHz-Band ist Enhanced Open die einzige Möglichkeit, ein Netz ohne Passwort anzubieten, denn offene Netze sind dort nicht zulässig. Ältere Gästegeräte beherrschen OWE oft nicht. Der Übergang funktioniert deshalb ähnlich wie bei WPA3-Personal: Ein offenes Netz bleibt für alte Geräte bestehen, neue Geräte verbinden sich verschlüsselt. Für den Catalyst 9800 beschreibt Cisco dafür einen eigenen OWE-Transition-Modus.

Eine Grenze solltest du kennen. Enhanced Open verschlüsselt, aber es authentifiziert das Netz nicht. Ein Angreifer kann einen Access Point mit demselben Namen aufstellen, und der Client merkt das nicht. Für interne Netze ersetzt OWE deshalb weder WPA3-Personal noch WPA3-Enterprise. Für Gäste ist es trotzdem ein klarer Gewinn gegenüber einem offenen Netz ohne jede Verschlüsselung.

WPA3-Enterprise: was beim 802.1X-Netz anders ist

In Netzen mit 802.1X ist der Umstieg meist leichter, weil es keinen gemeinsamen Schlüssel gibt. WPA3-Enterprise verlangt die Schlüsselverwaltung 802.1X mit SHA-256 und PMF. Geräte, die WPA2-Enterprise mit aktuellem Treiber beherrschen, können das oft bereits, Ausreißer sind auch hier eingebettete Geräte.

Der 192-Bit-Modus ist der anspruchsvollere Teil. Er verlangt GCMP-256, eine eigene Schlüsselverwaltung und Zertifikate mit passender Stärke auf Server und Clients. Er funktioniert nur mit Access Points, die ihn unterstützen, und am Catalyst 9800 nicht im FlexConnect-Modus. Prüfe deshalb vor der Einführung, ob der Schutzbedarf ihn wirklich verlangt, und plane die Zertifikate gemeinsam mit dem Team der internen Zertifizierungsstelle.

wlan CORP-8021X 8 CORP-8021X
 shutdown
 no security wpa akm dot1x
 no security wpa wpa2
 security wpa akm dot1x-sha256
 security wpa wpa3
 no security ft adaptive
 security dot1x authentication-list dot1x
 no shutdown