In vielen Firmen genügt ein Netzwerkkabel, um im internen Netz zu sein: in den Besprechungsraum, Kabel in die Wanddose, und der Laptop eines Besuchers bekommt eine Adresse im selben Netz wie der Dateiserver. Netzwerkzugangskontrolle nach dem Standard IEEE 802.1X ändert das: Ein Gerät darf erst dann ins Netz, wenn es nachgewiesen hat, wer es ist. Dieser Beitrag erklärt, wie das funktioniert, was der Standard mit NAC zu tun hat, welche Entscheidungen Sie treffen müssen und wie Sie die Einführung so planen, dass am ersten Tag nicht die Drucker ausfallen.
Was 802.1X macht
Der Standard beschreibt ein Verfahren zur Anmeldung am Netzwerk, bevor überhaupt Datenverkehr fließt. Drei Rollen sind beteiligt:
- Das Gerät (in der Fachsprache „Supplicant“), etwa ein Laptop, das sich anmelden will.
- Der Switch oder WLAN-Access-Point, der den Zugang zunächst sperrt und die Anmeldung weiterreicht.
- Der RADIUS-Server, der prüft, ob das Gerät hinein darf, und dem Switch sagt, was er mit ihm tun soll.
Der Ablauf ist immer gleich: Der Switch hält den Port geschlossen und fragt das Gerät nach seiner Identität. Das Gerät antwortet über das Protokoll EAP (Extensible Authentication Protocol), der Switch reicht die Antwort an den RADIUS-Server weiter, und der entscheidet über Zulassung und Netzzuweisung. Erst danach öffnet der Switch den Port.
RADIUS ist ein bewährtes Protokoll für genau diese Entscheidung. Unter Windows Server übernimmt das in der Regel der Netzwerkrichtlinienserver (NPS). Daneben gibt es freie Lösungen wie FreeRADIUS und kommerzielle Produkte mit grafischer Oberfläche und Geräteerkennung.
Im WLAN kennen Sie das Prinzip vielleicht als „WPA2/WPA3-Enterprise“. Das ist 802.1X über Funk. Der große Gewinn entsteht aber im kabelgebundenen Netz, das in vielen Firmen bisher völlig offen ist.
Zertifikat oder Passwort?
Die wichtigste Entscheidung ist, womit sich Geräte ausweisen.
Anmeldung mit Benutzername und Passwort (PEAP-MSCHAPv2)
Lange war das der bequeme Weg: Der Benutzer meldet sich mit seinem Windows-Konto an, das Gerät reicht die Daten automatisch weiter. Dieses Verfahren basiert auf MS-CHAPv2, einem alten Protokoll, das Microsoft selbst als anfällig für ähnliche Angriffe wie NTLMv1 einstuft.
In der Praxis ist es zunehmend ein Auslaufmodell. Ist auf Windows-Rechnern Credential Guard aktiv (bei Windows 11 ab 22H2 auf geeigneten Geräten mit Enterprise- oder Education-Lizenz standardmäßig), funktioniert die automatische Anmeldung per MS-CHAPv2 nicht mehr. Seit dem Sicherheitsupdate vom Oktober 2026 blockieren Windows 11 ab 24H2 und Windows Server 2025 zudem standardmäßig die automatische Anmeldung mit NTLMv1-abgeleiteten Anmeldedaten, was genau solche WLAN-, LAN- und VPN-Anmeldungen betrifft. Microsoft empfiehlt ausdrücklich den Umstieg auf zertifikatbasierte Verfahren.
Anmeldung mit Gerätezertifikat (EAP-TLS)
Jedes Firmengerät erhält ein eigenes digitales Zertifikat, das automatisch ausgestellt wird, etwa von einer internen Zertifizierungsstelle oder über die Geräteverwaltung wie Microsoft Intune. Der RADIUS-Server prüft das Zertifikat. Kein Passwort wird übertragen, und ein privates Gerät ohne Firmenzertifikat kommt nicht ins Firmennetz, auch wenn der Benutzer sein Passwort kennt.
Für die meisten Unternehmen ist EAP-TLS heute die richtige Wahl. Der Aufwand liegt einmalig im Aufbau der Zertifikatsverteilung. Danach läuft die Anmeldung für Benutzer unsichtbar.
Geräte ohne 802.1X: MAB für Drucker und Telefone
Drucker, IP-Telefone, Zeiterfassungsterminals, Kameras und Maschinensteuerungen beherrschen das Verfahren oft nicht. Für sie gibt es MAC Authentication Bypass (MAB). Dabei meldet der Switch das Gerät anhand seiner Hardwareadresse (MAC-Adresse) beim RADIUS-Server an.
Wichtig ist, MAB ehrlich einzuordnen: Eine MAC-Adresse lässt sich fälschen. Wer das Etikett auf der Rückseite eines Druckers abliest, kann sich als dieser Drucker ausgeben. MAB ist deshalb eine Erleichterung, kein Schutz auf Zertifikatsniveau. Geräte, die per MAB ins Netz kommen, gehören daher in ein eigenes, eng begrenztes Netzsegment: Der Drucker darf mit dem Druckserver sprechen, aber nicht mit dem Dateiserver.
Viele moderne Drucker und Telefone unterstützen inzwischen die Anmeldung mit Zertifikat. Bei der nächsten Neuanschaffung lohnt es sich, darauf zu achten.
VLAN-Zuweisung: das richtige Netz für jedes Gerät
Der RADIUS-Server entscheidet nicht nur „rein oder raus“. Er kann dem Switch mitteilen, in welches virtuelle Netz (VLAN) ein Gerät kommt. So landet:
- das Firmen-Notebook im Büronetz,
- der Drucker im Druckernetz,
- das Telefon im Sprachnetz,
- ein unbekanntes Gerät im Gastnetz mit reinem Internetzugang oder gar nicht im Netz.
Das ist der Punkt, an dem Zugangskontrolle und Segmentierung zusammenkommen. Ohne eine sinnvolle Aufteilung des Netzes bringt die Zugangskontrolle nur halben Nutzen. Wie Sie Netze aufteilen, beschreiben wir in Netzwerksegmentierung, wie Gäste und IoT-Geräte in ein eigenes Netz kommen, in Gastnetz und IoT trennen, und warum der Netzwerkstandort allein kein Vertrauen begründen sollte, in Zero Trust in der Praxis.
Einführung in Stufen
Der häufigste Fehler bei der Einführung ist, die Zugangskontrolle an einem Montagmorgen scharf zu schalten. Dann stellt sich heraus, dass der Etikettendrucker im Lager, die Klimasteuerung und das Faxgerät der Buchhaltung niemandem bekannt waren. Bewährt hat sich ein Vorgehen in vier Stufen.
Stufe 1: Bestandsaufnahme
Welche Geräte hängen an welchem Switchport? Welche beherrschen die Anmeldung mit Zertifikat, welche nur MAB? Eine aktuelle Netzwerkdokumentation spart hier viel Zeit. Wenn sie fehlt, ist dies der Anlass, sie anzulegen.
Stufe 2: Überwachungsmodus
Die meisten Switch-Hersteller bieten einen Modus, in dem Anmeldung und MAB zwar ausgeführt werden, ein Fehlschlag aber noch keine Sperre auslöst. Der Fachbegriff variiert je nach Hersteller, oft ist von „Monitor Mode“ oder „Open Mode“ die Rede. Sie sehen im RADIUS-Protokoll, welche Geräte sich erfolgreich anmelden und welche nicht, ohne dass jemand gestört wird. Diese Phase sollte einige Wochen laufen, damit auch selten genutzte Geräte auftauchen.
Stufe 3: Durchsetzung schrittweise
Zuerst das WLAN und die Ports in Besprechungsräumen und öffentlich zugänglichen Bereichen, dann Büroetage für Büroetage. Produktion und Lager zuletzt, weil dort die meisten Sondergeräte stehen.
Stufe 4: Betrieb
Neue Geräte müssen in einen Prozess: Wer nimmt einen neuen Drucker in die MAB-Liste auf, wer prüft das? Zertifikate laufen ab und müssen automatisch erneuert werden. Und der RADIUS-Server wird zu einem kritischen Dienst. Fällt er aus, kommt niemand mehr ins Netz. Mindestens zwei RADIUS-Server und eine klar festgelegte Regel, was bei Nichterreichbarkeit passiert, gehören deshalb von Anfang an dazu.
Technische Stolperfallen
- Switches: Ältere oder sehr günstige Switches unterstützen den Standard und dynamische VLANs teils nicht oder nur eingeschränkt. Vor der Planung prüfen.
- Mehrere Geräte an einem Port: Ein IP-Telefon mit durchgeschleiftem PC braucht eine Portkonfiguration, die beide Geräte getrennt anmeldet.
- Aufwachen und PXE-Start: Rechner, die über das Netz starten oder per Wake-on-LAN geweckt werden, sind vor der Anmeldung noch nicht authentifiziert. Dafür gibt es Ausnahmeregeln, die bewusst gesetzt werden müssen.
- RADIUS selbst absichern: 2024 wurde mit „Blast-RADIUS“ (CVE-2024-3596) eine Schwachstelle im RADIUS-Protokoll bekannt. Hersteller empfehlen unter anderem, das Attribut „Message-Authenticator“ zu erzwingen. Halten Sie RADIUS-Server und Netzwerkgeräte aktuell.
Checkliste: erste Schritte
- Inventar aller Geräte mit Netzwerkzugang erstellen, inklusive Drucker, Telefone und Haustechnik.
- Switches und Access Points auf Zugangskontrolle und dynamische VLANs prüfen.
- Zielbild der Netzsegmente festlegen: Büro, Drucker, Telefonie, Gäste, Produktion.
- Entscheidung für EAP-TLS treffen und die automatische Zertifikatsverteilung aufbauen.
- Zwei RADIUS-Server einrichten und das Verhalten bei Ausfall festlegen.
- Überwachungsmodus für mehrere Wochen aktivieren und Protokolle auswerten.
- Durchsetzung bereichsweise einschalten, beginnend mit WLAN und öffentlich zugänglichen Ports.
- Prozess für neue Geräte und Zertifikatserneuerung dokumentieren.
Wie DAVINCI unterstützt
Wir planen 802.1X passend zu Ihrer vorhandenen Infrastruktur, prüfen Switches und Access Points, bauen RADIUS und Zertifikatsverteilung auf und begleiten die stufenweise Einführung. Mehr zu unseren Leistungen finden Sie unter Netzwerk und WLAN-Großanlagen. Für ein erstes Gespräch nutzen Sie gern die Kontaktseite.
Häufige Fragen
Ist 802.1X dasselbe wie NAC?
Nicht ganz. NAC (Network Access Control, Netzwerkzugangskontrolle) ist der Oberbegriff für alle Maßnahmen, die regeln, welches Gerät unter welchen Bedingungen ins Netz darf. Der Standard ist das Verfahren, mit dem sich das am Switch und am Access Point technisch durchsetzen lässt, und damit der wichtigste Baustein jeder NAC-Lösung. Kommerzielle NAC-Produkte ergänzen ihn um Geräteerkennung, Prüfung des Gerätezustands, etwa ob Updates und Virenschutz aktuell sind, und um Gästeportale.
Verschlüsselt 802.1X den Datenverkehr, und ersetzt es ein VPN?
Nein. Der Standard regelt nur die Anmeldung am Port oder am Funknetz, nicht die Verschlüsselung der Daten danach. Im WLAN übernimmt das WPA2 oder WPA3, im kabelgebundenen Netz bleibt der Verkehr ohne weitere Maßnahmen unverschlüsselt. Ein VPN verbindet dagegen entfernte Geräte über das Internet mit dem Firmennetz. Beides ergänzt sich, ersetzt sich aber nicht.
Lohnt sich die Zugangskontrolle für ein Unternehmen mit 30 Mitarbeitern?
Das hängt weniger von der Mitarbeiterzahl ab als davon, wer physisch an Ihre Netzwerkdosen kommt. Haben Sie Besucherverkehr, Kundenbereiche oder frei zugängliche Räume, ist der Nutzen hoch. In einem Büro ohne Publikumsverkehr kann zunächst eine gute Segmentierung mit gesperrten freien Ports genügen.
Brauchen wir dafür eine eigene Zertifizierungsstelle?
Für EAP-TLS benötigen Sie eine Stelle, die Gerätezertifikate ausstellt. Das kann eine interne Windows-Zertifizierungsstelle sein oder ein Cloud-Dienst, der mit Ihrer Geräteverwaltung zusammenarbeitet. Eine interne Zertifizierungsstelle muss dann ihrerseits sorgfältig abgesichert werden.
Was passiert, wenn der RADIUS-Server ausfällt?
Ohne Vorkehrungen kommen neue Anmeldungen nicht mehr durch. Deshalb gehören zwei Server an unterschiedlichen Standorten oder auf unterschiedlicher Hardware dazu. Zusätzlich können Sie festlegen, dass bereits angemeldete Geräte bei einem Ausfall im Netz bleiben.
Verwandte Themen: Wer hier weiterdenkt, liest bei WLAN, Netzwerksegmentierung und Wi-Fi 7 weiter.
Im Text erwähnt
Quellen
- Credential Guard considerations (MS-CHAPv2, PEAP, EAP-TLS) · Microsoft Learn
- Upcoming changes to NTLMv1 in Windows 11, version 24H2 and Windows Server 2025 · Microsoft Support
- Blast-RADIUS CVE-2024-3596 Protocol Spoofing · Cisco
