Was ist WPA3?

WPA3 einfach erklärt

WPA steht für „Wi-Fi Protected Access“. Der Standard regelt, wie sich Geräte am WLAN anmelden und wie der Funkverkehr verschlüsselt wird. Herausgeber ist die Wi-Fi Alliance, ein Zusammenschluss der WLAN-Branche. WPA3 wurde 2018 vorgestellt und löst WPA2 schrittweise ab.

Der wichtigste Unterschied betrifft das WLAN-Passwort. Bei WPA2 kann ein Angreifer den Anmeldevorgang eines Geräts aus der Luft mitschneiden und danach in aller Ruhe am eigenen Rechner beliebig viele Passwörter durchprobieren. Fachleute sprechen von einem Wörterbuch- oder Brute-Force-Angriff. Bei WPA3 funktioniert das nicht mehr.

Ein Vergleich: Bei WPA2 kann ein Einbrecher einen Abdruck Ihres Schlosses mitnehmen und zu Hause so lange Schlüssel feilen, bis einer passt. Bei WPA3 muss er für jeden einzelnen Versuch persönlich an Ihre Tür – das macht Raten extrem mühsam.

So funktioniert WPA3

WPA3 bringt mehrere Verbesserungen:

1. Neue Anmeldung (SAE): Im Modus WPA3-Personal gibt es weiterhin ein gemeinsames WLAN-Passwort, doch die Anmeldung läuft anders ab: Das Verfahren SAE (Simultaneous Authentication of Equals) ersetzt die bisherige Anmeldung per Pre-Shared Key (WPA2-PSK). Ein mitgeschnittener Anmeldevorgang liefert nichts mehr, womit sich das Passwort offline knacken ließe.
2. Vorwärtsgeheimnis: Selbst wer das Passwort später erfährt, kann zuvor aufgezeichneten Funkverkehr nicht nachträglich entschlüsseln.
3. Geschützte Steuerbefehle: WLAN-Geräte tauschen Verwaltungsnachrichten aus, etwa zum Abmelden. Unter WPA3 sind diese „Management Frames“ verpflichtend geschützt. Angreifer können Geräte so nicht mehr mit gefälschten Abmeldebefehlen aus dem Netz werfen.
4. Enterprise-Modus: WPA3-Enterprise für Firmennetze mit persönlicher Anmeldung je Nutzer bietet optional eine besonders starke 192-Bit-Sicherheitsstufe.

Für offene Netze ohne Passwort, etwa Gäste-WLANs, gibt es mit „Enhanced Open“ ein ergänzendes Verfahren, das den Funkverkehr trotzdem verschlüsselt.

Ein Beispiel aus der Praxis

Ein Großhandelsunternehmen stellt sein Firmen-WLAN auf WPA3 um. Weil einige ältere Handscanner im Lager WPA3 nicht beherrschen, bleibt der Mischbetrieb mit WPA2 aktiv, der sogenannte Transition Mode. Das Passwort ist kurz und seit Jahren unverändert.

Bei einem WLAN-Penetrationstest baut das Prüfteam auf dem Parkplatz einen gefälschten Zugangspunkt mit gleichem Netzwerknamen auf, der nur WPA2 anbietet – einen sogenannten Evil Twin. Einige Geräte verbinden sich darüber im älteren Verfahren. Aus dem mitgeschnittenen Anmeldeversuch lässt sich das kurze Passwort offline knacken – trotz WPA3.

Die Lösung: ein eigenes, abgeschottetes Netz für die Altgeräte, reines WPA3 für alle anderen und ein langes, neues Passwort.

Warum ist das für Unternehmen wichtig?

Funk endet nicht an der Grundstücksgrenze. Ein Angreifer muss Ihr Gebäude nicht betreten – oft reicht ein Platz auf dem Parkplatz. Wer das WLAN-Passwort kennt, steht unter Umständen mitten im Firmennetz.

WPA3 schließt die größte Schwäche von WPA2 im Personal-Modus. Viele ältere Geräte beherrschen den Standard jedoch nicht, deshalb laufen zahlreiche Netze noch im Mischbetrieb – und genau dort bleiben Angriffe möglich. Kurz nach der Einführung wiesen Forschende zudem Schwächen in frühen Umsetzungen nach, die Hersteller per Update beheben mussten.

Auch WPA3 schützt nicht vor allem. Schwache oder weitergegebene Passwörter bleiben ein Risiko. In Unternehmens-WLANs mit persönlicher Anmeldung müssen die Geräte zudem das Serverzertifikat prüfen – den digitalen Ausweis des Anmeldeservers. Fehlt diese Prüfung, können Angreifer mit einem gefälschten Zugangspunkt Anmeldedaten abgreifen. Und gegen heimlich angeschlossene Zugangspunkte im eigenen Netz (Rogue Access Point) hilft WPA3 ebenfalls nicht.

So schützen Sie sich

• Reines WPA3 nutzen: Betreiben Sie Ihr Hauptnetz möglichst ohne WPA2-Mischbetrieb.
• Altgeräte abschotten: Geräte, die nur WPA2 beherrschen, gehören in ein eigenes, streng begrenztes Netz – oder werden ersetzt.
• Lange Passwörter: Wählen Sie ein langes, zufälliges WLAN-Passwort und ändern Sie es, wenn Personen mit Kenntnis des Passworts ausscheiden.
• Enterprise-Modus für Firmennetze: Setzen Sie auf persönliche Anmeldungen (WPA3-Enterprise) und erzwingen Sie auf allen Geräten die Prüfung des Serverzertifikats.
• Updates einspielen: Halten Sie die Firmware Ihrer WLAN-Zugangspunkte (Access Points) aktuell.
• Gäste trennen: Gästenetze dürfen keinen Zugriff auf interne Systeme haben.
• Funk überwachen: Prüfen Sie regelmäßig, ob fremde oder gefälschte Zugangspunkte auftauchen.

Wie Rootsektor unterstützt

Im WLAN-Penetrationstest prüfen wir, ob Ihre Funknetze in der Praxis so sicher sind wie geplant: Verschlüsselung und Mischbetrieb, Passwortstärke, Enterprise-Anmeldung und Zertifikatsprüfung, die Trennung von Gästenetzen sowie gefälschte und nicht autorisierte Zugangspunkte. Sie erhalten konkrete Maßnahmenempfehlungen, nach der Behebung einen kostenlosen Retest und eine Prüfbescheinigung. Ihr Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot.