Ein gemeinsames WLAN-Passwort für alle Mitarbeitenden ist im Unternehmensumfeld keine tragfähige Lösung mehr. Mit der Vielzahl an Endgeräten (BYOD, IoT, betriebliche Spezialgeräte), wachsenden Compliance-Anforderungen (ISO 27001, DSGVO, NIS2) und immer gezielteren Angriffen hat sich die Authentifizierung über 802.1X mit einem RADIUS-Server als Standard für Unternehmens-WLANs etabliert: Jeder Nutzer und jedes Gerät weist seine Identität individuell nach.
PSK vs. 802.1X: Worin liegt der Unterschied?
Die meisten kleinen Netzwerke arbeiten im PSK-Modus (Pre-Shared Key): Ein einziges Passwort wird von allen geteilt. Das ist einfach – hat aber im Unternehmenskontext einen entscheidenden Makel: Ist der Schlüssel einmal kompromittiert (ein ausgeschiedener Mitarbeiter, ein weitergegebenes Passwort), ist das gesamte Netz kompromittiert – und das Passwort muss auf jedem Gerät geändert werden.
IEEE 802.1X löst das Problem durch individuelle Authentifizierung: Jeder Nutzer oder jedes Gerät meldet sich mit eigenen Zugangsdaten oder einem digitalen Zertifikat an, geprüft durch einen RADIUS-Server, der ein Unternehmensverzeichnis (z. B. Active Directory / LDAP) abfragt. Das bringt drei zentrale Vorteile:
- Sofortige Sperrung: Ein deaktiviertes Nutzerkonto verliert augenblicklich den WLAN-Zugang – ohne Passwortwechsel auf den Access Points.
- Nachvollziehbarkeit: Jede Verbindung wird mit Identität, Zeitpunkt, Access Point und zugewiesenem Netzsegment protokolliert – ein Baustein für Compliance-Nachweise.
- Dynamische Segmentierung: Über dynamische VLANs landet jedes Profil automatisch im passenden Netzsegment – Mitarbeitende, Gäste, Kameras oder Diagnosegeräte bleiben sauber getrennt.
Wie funktioniert 802.1X im WLAN?
Das Protokoll basiert auf drei Rollen, die über das EAP-Framework (Extensible Authentication Protocol) kommunizieren:
- Supplicant: das Endgerät (PC, Smartphone, Tablet, Spezialgerät) mit nativem 802.1X-Client.
- Authenticator: der Access Point – er blockiert jeglichen Netzwerkverkehr, bis die Authentifizierung bestätigt ist, und reicht die EAP-Nachrichten an den RADIUS-Server weiter.
- Authentication Server: der RADIUS-Server – er prüft die Zugangsdaten gegen das Verzeichnis und antwortet mit Access-Accept oder Access-Reject.
Wichtig zu wissen: Die Anmeldephase läuft vollständig ab, bevor das Gerät Zugang zum Netz erhält. Bei der zertifikatsbasierten Variante (EAP-TLS) entfallen Passwörter ganz – der aktuell robusteste Ansatz, auch gegen Phishing.
Für welche Geräte lohnt sich 802.1X besonders?
Überall dort, wo sensible oder betriebskritische Geräte ins WLAN müssen: Kassensysteme, Videoüberwachung, IP-Telefonie, Mess- und Diagnosegeräte, Maschinensteuerungen. Solche Geräte erhalten über RADIUS eine eigene Identität und ein eigenes, isoliertes Netzsegment – kompromittierte Gästegeräte oder Mitarbeiter-Smartphones kommen gar nicht erst in ihre Nähe. Genau diese Trennung fordern auch NIS2 und gängige Sicherheitsstandards.
Einführung ohne eigenes Sicherheitsteam: RADIUS als Managed Service
Der Betrieb eines RADIUS-Servers – Zertifikatsverwaltung, Verzeichnis-Anbindung, Ausfallsicherheit, Protokollierung – erfordert Spezialwissen, das viele IT-Teams im Alltag nicht vorhalten können. Im Managed-Modell ist der RADIUS-Server Teil der gemanagten WLAN-Infrastruktur: Bei CityPassenger bringen die Managed WiFi Pro Access Points die RADIUS-Authentifizierung für sensible Geräte mit, direkt integriert in das Edge Gateway, mit WPA3, dynamischen VLANs und 24/7-Überwachung – im Abonnement, inklusive Hardware.
Sprechen Sie mit einem Netzwerkexperten – wir zeigen Ihnen, wie 802.1X in Ihrem Bestand eingeführt werden kann, ohne den Betrieb zu unterbrechen.