WLAN-Sicherheit: WEP, WPA2, WPA3 Protokolle

Warum die Wahl des WLAN-Protokolls wichtig ist

Wenn du dich mit einem WLAN-Netzwerk verbindest, reist alles, was du über dieses Netzwerk sendest — Webseiten, Passwörter, Nachrichten, Dateien — als Radiowellen durch die Luft. Ohne Verschlüsselung kann jeder in Reichweite mit einem WLAN-Adapter und kostenloser Software diesen Datenverkehr abfangen und lesen. WLAN-Sicherheitsprotokolle bestimmen, ob diese Daten geschützt sind und wie stark.

Die Entwicklung von WEP zu WPA3 umfasst fast 30 Jahre kryptografischer Entwicklung, die größtenteils durch die Entdeckung angetrieben wurde, dass der vorherige Standard gebrochen war.

WEP: Wired Equivalent Privacy (1997–2004)

Status: Gebrochen. Nicht verwenden.

WEP war der ursprüngliche WLAN-Verschlüsselungsstandard, der 1997 entwickelt wurde. Sein Ziel war es, eine Sicherheit gleichwertig einem kabelgebundenen Netzwerk zu bieten. Es scheiterte katastrophal an diesem Ziel.

WEP verwendet RC4-Stromchiffre mit einem 40-Bit- oder 104-Bit-Schlüssel, kombiniert mit einem 24-Bit-Initialisierungsvektor (IV). Der IV ist der fatale Fehler: Er ist nur 24 Bit lang, was bedeutet, dass er in stark genutzten Netzwerken häufig wiederholt wird. Wenn IVs sich wiederholen, enthüllt eine statistische Analyse des Chiffretexts den Schlüssel.

Im Jahr 2001 veröffentlichten Forscher einen Angriff, der den WEP-Schlüssel durch das Sammeln genügender Pakete wiederherstellt — ein Prozess, der mit modernen Tools Minuten dauert. FMS und nachfolgende Angriffe machten WEP vollständig nutzlos. Tools wie Aircrack-ng können WEP in unter fünf Minuten auf einem modernen Laptop knacken.

Wenn du WEP als Option auf einem Router siehst, ist das ein Zeichen, dass der Router sehr alt ist. Ersetze den Router.

WPA: Wi-Fi Protected Access (2003–2004)

Status: Schwach. Wenn möglich vermeiden.

WPA war eine schnelle Notfallreaktion auf WEPs Zusammenbruch, die für vorhandene Hardware entwickelt wurde. Es verwendete das Temporal Key Integrity Protocol (TKIP), das das IV-Wiederholungsproblem durch dynamisches Ändern von Schlüsseln pro Paket löste.

TKIP war ein Übergangslösung. Es behielt RC4 als zugrunde liegende Chiffre bei und war auf Rückwärtskompatibilität mit WEP-Hardware ausgelegt. Dieses Erbe brachte Schwächen mit sich. Die TKIP Michael-Nachrichtenintegritätsprüfung war anfällig für Angriffe, die die Injektion kurzer Pakete ermöglichten. WPA mit TKIP wurde 2012 verworfen und sollte nicht verwendet werden.

WPA kam auch in zwei Versionen:

• WPA-Personal (WPA-PSK): verwendet eine gemeinsame Passphrase
• WPA-Enterprise: verwendet einen RADIUS-Server für benutzerspezifische Authentifizierung

WPA2: Wi-Fi Protected Access 2 (2004–heute)

Status: Sicher, wenn richtig konfiguriert. Noch weit verbreitet und akzeptabel.

WPA2 ersetzte TKIP durch AES-CCMP (Advanced Encryption Standard im Counter-Modus mit CBC-MAC-Protokoll). AES ist eine starke, gut untersuchte Blockchiffre. WPA2-AES hat keine praktischen kryptografischen Schwächen — die Verschlüsselung selbst bleibt solide.

WPA2-Schwachstellen sind Implementierungs- und Protokollprobleme:

KRACK (Key Reinstallation Attack, 2017)

Forscher entdeckten, dass der WPA2-Vier-Wege-Handshake — der Prozess, bei dem ein Gerät und ein Access Point Verschlüsselungsschlüssel aushandeln — manipuliert werden konnte, um einen bereits verwendeten Schlüssel neu zu installieren und dabei Nonces und Replay-Zähler zurückzusetzen. Dies ermöglichte die Entschlüsselung des Datenverkehrs und in einigen Implementierungen die Einschleusung von Datenverkehr.

Patches wurden für alle wichtigen Plattformen veröffentlicht. Wenn du Sicherheitsupdates von 2017 oder später angewendet hast, sind deine Geräte geschützt. Der Angriff erfordert, dass der Angreifer in Funkreichweite ist.

PMKID-Angriff (2018)

Eine neue Technik ermöglicht Offline-Brute-Force-Angriffe gegen WPA2-PSK ohne Erfassung des Vier-Wege-Handshakes — nur das PMKID-Feld aus einem einzigen Frame wird benötigt. Dies macht Wörterbuchangriffe gegen schwache Passwörter viel schneller.

Implikation: Wenn deine WPA2-Passphrase ein Wörterbuch-Wort, ein Name oder ein einfacher Satz ist, kann sie offline geknackt werden. Verwende eine zufällige Passphrase mit 15+ Zeichen.

WPA2 Best Practices

• Verwende nur WPA2-AES; deaktiviere TKIP- und WEP-Kompatibilitätsmodi
• Setze eine Passphrase mit mindestens 15 zufälligen Zeichen (kein Wort oder Satz)
• Verwende für Unternehmen WPA2-Enterprise mit benutzerspezifischen Zugangsdaten
• Halte die Router-Firmware aktuell

WPA3: Wi-Fi Protected Access 3 (2018–heute)

Status: Aktueller Standard. Verwende es, wenn deine Hardware es unterstützt.

WPA3 wurde 2018 abgeschlossen und 2020 für Wi-Fi CERTIFIED-Geräte vorgeschrieben. Es behebt die Kernschwächen von WPA2:

Simultaneous Authentication of Equals (SAE)

WPA3-Personal ersetzt den PSK-Handshake durch SAE, auch als Dragonfly bekannt. SAE bietet Forward Secrecy: Selbst wenn ein Angreifer deinen verschlüsselten Datenverkehr heute aufzeichnet und später dein Passwort erhält, kann er den alten Datenverkehr nicht entschlüsseln. Jede Sitzung verwendet einen einzigartigen abgeleiteten Schlüssel.

SAE eliminiert auch Offline-Wörterbuchangriffe — das Protokoll erfordert die Interaktion mit dem Access Point, um Passwörter zu erraten, was Brute Force unpraktisch langsam macht.

Enhanced Open (OWE)

WPA3 umfasst Opportunistic Wireless Encryption für offene Netzwerke. Café-WLAN kann jetzt Datenverkehr ohne Passwort verschlüsseln und verhindert passives Mithören zwischen Clients, auch in einem öffentlichen Netzwerk.

192-Bit-Sicherheitssuite

WPA3-Enterprise fügt einen optionalen 192-Bit-Sicherheitsmodus mit AES-256 und SHA-384 hinzu, der für Organisationen geeignet ist, die sensible Daten verarbeiten.

WPA3-Übergangsmodus

Die meisten modernen Router unterstützen WPA3 neben WPA2 im Übergangsmodus. WPA3-fähige Geräte verwenden WPA3; ältere Geräte fallen auf WPA2 zurück. Dies ermöglicht eine schrittweise Migration ohne ältere Hardware auszuschließen.

Was du heute auf deinem Router konfigurieren solltest

1. Melde dich im Router-Admin-Panel an (typischerweise 192.168.1.1 oder 192.168.0.1)
2. Navigiere zu den WLAN-Sicherheitseinstellungen
3. Wähle WPA3, falls verfügbar, oder WPA2/WPA3-Übergangsmodus
4. Deaktiviere WEP- und WPA/TKIP-Modi explizit
5. Setze eine starke Passphrase: mindestens 15 zufällige Zeichen, kein Wort oder Satz — etwa donner-kiefer-47-schaltkreis
6. Aktualisiere deine Router-Firmware: Prüfe die Website des Herstellers oder das Admin-Panel auf Updates
7. Deaktiviere WPS (Wi-Fi Protected Setup): Es hat bekannte Schwachstellen und sollte ausgeschaltet sein

Kurzreferenz

Protokoll	Jahr	Chiffre	Bewertung
WEP	1997	RC4	Gebrochen — niemals verwenden
WPA/TKIP	2003	RC4	Veraltet — vermeiden
WPA2-AES	2004	AES-128	Akzeptabel mit starkem Passwort
WPA3-SAE	2018	AES-128/256	Aktuell empfohlene Praxis

Die Protokollstärke ist weniger wichtig, als du vielleicht denkst, wenn dein Passwort schwach ist. WPA3 mit einer schwachen Passphrase ist immer noch anfällig für Angriffe aus nächster Nähe. Beginne mit einem starken Passwort und aktiviere dann das stärkste Protokoll, das deine Geräte unterstützen.