WLAN mit Zertifikat: Warum Ihr WLAN-Passwort 2026 unsicher ist

Ein WLAN mit Zertifikat abzusichern klingt für viele IT-Verantwortliche zunächst nach Zusatzaufwand für ein Thema, das doch längst gelöst scheint: ein WLAN-Passwort steht an der Wand, jeder Mitarbeiter tippt es einmal ein, fertig. Genau dieses geteilte Passwort ist aber eines der am meisten unterschätzten Sicherheitsrisiken im Mittelstand – und der Umstieg auf zertifikatsbasierte Authentifizierung ist einfacher, als die meisten denken.

Das Grundproblem: Ein Passwort für alle ist kein Zugriffsschutz

Ein klassisches WLAN-Passwort (Pre-Shared Key, kurz PSK) funktioniert wie ein einziger Haustürschlüssel, der an alle Mitarbeitenden verteilt wird – und an Praktikanten, Werkstudenten, gelegentlich auch an Handwerker oder Besucher. Sobald der Schlüssel einmal in Umlauf ist, lässt er sich technisch kaum wieder einsammeln.

Genau das ist das strukturelle Problem, das ein WLAN mit Zertifikat löst. Bei einem geteilten PSK weiß im Zweifel niemand mehr genau, wer eigentlich alles Zugriff hat. Ein geteiltes WPA2-PSK-Passwort bietet keine individuelle Identifikation, ermöglicht die nachträgliche Entschlüsselung von aufgezeichnetem Traffic und erschwert die Zurechenbarkeit nach DSGVO. Damit wird aus einem vermeintlich einfachen IT-Thema schnell ein Compliance-Thema.

Noch konkreter wird es beim Mitarbeiterwechsel. Ohne WLAN mit Zertifikat bleibt einem ausgeschiedenen Mitarbeiter der WLAN-Zugriff oft schlicht deshalb erhalten, weil niemand daran denkt, das Passwort zu ändern – schließlich müssten dann alle anderen Geräte im Unternehmen neu konfiguriert werden.

Die technische Lösung: 802.1X mit RADIUS-Server

Der Enterprise-Standard, um dieses Problem strukturell zu lösen, heißt IEEE 802.1X. Statt eines einzigen geteilten Schlüssels authentifiziert sich dabei jeder einzelne Nutzer individuell gegenüber einem zentralen RADIUS-Server – entweder mit persönlichen Zugangsdaten oder eben mit einem Zertifikat. Der Access Point selbst kennt die Zugangsdaten dabei gar nicht mehr; er ist nur noch die Durchgangsstelle, technisch als “Authenticator” bezeichnet.

Damit lässt sich exakt das Problem lösen, das PSK strukturell nicht lösen kann: Jeder Nutzer besitzt eigene Zugangsdaten im Active Directory oder ein eigenes Zertifikat. Wird das Benutzerkonto gesperrt, ist der WLAN-Zugriff sofort weg – ohne dass ein einziges weiteres Gerät im Unternehmen angefasst werden muss.

Innerhalb von 802.1X gibt es mehrere sogenannte EAP-Methoden (Extensible Authentication Protocol):

Warum EAP-TLS der Goldstandard ist

Wer sich für ein WLAN mit Zertifikat entscheidet, landet in der Praxis fast immer bei EAP-TLS – der einzigen EAP-Methode, bei der sowohl Client als auch Server sich gegenseitig per Zertifikat ausweisen. Bei EAP-TLS erfolgt die Anmeldung mit Client-Zertifikaten, ganz ohne Passwort im Spiel. Das Gerät authentifiziert sich direkt mit seinem Zertifikat gegenüber dem RADIUS-Server.

Der entscheidende Sicherheitsgewinn dabei: Zertifikate verhindern Missbrauch auch bei Passwort-Leaks oder unberechtigter Weitergabe von Zugangsdaten – ein Angriffsvektor, der bei klassischen Phishing-Kampagnen regelmäßig ausgenutzt wird, fällt bei zertifikatsbasierter Authentifizierung schlicht weg.

Der häufigste Einwand: „Das ist uns zu aufwändig”

Der ehrlichste Einwand gegen ein WLAN mit Zertifikat ist der Implementierungsaufwand – und dieser Einwand ist nicht ganz unberechtigt. Wer eine interne Public-Key-Infrastruktur betreibt, etwa mit Active Directory Certificate Services, sollte klar auf EAP-TLS setzen. Der Aufwand ist dabei höher: Zertifikate müssen ausgerollt, erneuert und im Zweifel widerrufen werden. Ohne saubere Prozesse wird das schnell unübersichtlich.

Genau hier hat sich in den letzten Jahren allerdings viel getan. Über Microsoft Intune lässt sich die Zertifikatsverteilung per SCEP oder PKCS weitgehend automatisieren: Neue Geräte erhalten ihr WLAN-Zertifikat automatisch bei der Ersteinrichtung, ohne dass ein Administrator manuell eingreifen muss.

Der NIS2-Bezug: Zugriffskontrolle ist keine Kür mehr

Für Unternehmen, die unter die NIS2-Richtlinie fallen, ist die Frage nach der WLAN-Authentifizierung längst keine rein technische Detailentscheidung mehr. §30 BSIG verlangt von betroffenen Einrichtungen konkrete Risikomanagementmaßnahmen – Zugriffskontrolle und Konzepte zur Zugangsbeschränkung gehören ausdrücklich dazu. Ein geteiltes WLAN-Passwort, das über Jahre unverändert bleibt, lässt sich vor einem Auditor nur schwer als angemessene Zugriffskontrolle begründen.

Wer ohnehin gerade eine NIS2-Betroffenheitsanalyse durchläuft oder sein Netzwerkdesign überarbeitet, sollte die WLAN-Authentifizierung deshalb direkt mitdenken – nicht als isoliertes IT-Projekt, sondern als Baustein einer umfassenden Netzwerksicherheitsstrategie, die auch Segmentierung, Firewall-Regeln und Monitoring einschließt. Wie Geschäftsleitungen für die NIS2-Umsetzung insgesamt haften, haben wir in unserem Beitrag zur Geschäftsleitungshaftung nach NIS2 eingeordnet.

In 5 Schritten zum WLAN mit Zertifikat

1. Bestandsaufnahme: Welche Access Points, welcher WLAN-Controller ist im Einsatz, und unterstützt die vorhandene Hardware bereits WPA2/WPA3-Enterprise?
2. RADIUS-Server aufsetzen: Meist genügt ein Windows-Server mit Network Policy Server (NPS), alternativ eine dedizierte RADIUS-Appliance.
3. PKI und Zertifikatsvorlage einrichten: Entweder über bestehende Active Directory Certificate Services oder über eine cloudbasierte Zertifikatsverteilung via Intune.
4. Pilotgruppe migrieren: Eine kleine Nutzergruppe testet den Umstieg, während das alte PSK-Netz parallel weiterläuft.
5. Vollständiger Rollout und Abschaltung des PSK-Netzes: Sobald alle verwalteten Geräte über Zertifikate laufen, kann das alte, geteilte WLAN-Passwort endgültig deaktiviert werden.

Häufige Fehler beim Umstieg auf ein WLAN mit Zertifikat

In der Praxis scheitert die Einführung eines WLAN mit Zertifikat selten an der Technik selbst, sondern an typischen Planungsfehlern, die sich mit etwas Vorlauf leicht vermeiden lassen.

• Kein sauberes Zertifikats-Lebenszyklus-Management: Ein WLAN mit Zertifikat ist nur so sicher wie der Prozess dahinter. Ohne definierten Widerrufsprozess (CRL-Prüfung) entsteht am Ende dasselbe Kontrollproblem wie beim alten PSK-Ansatz – nur eine Ebene tiefer versteckt.
• Fehlende Rückfallebene während der Migration: Wer das alte PSK-WLAN zu früh abschaltet, bevor alle Geräte migriert sind, produziert unnötigen Support-Aufwand.
• BYOD- und Gastgeräte werden vergessen: Private Geräte lassen sich meist nicht ohne Weiteres mit einem Unternehmenszertifikat ausstatten. Dafür braucht es ein separates Gäste-WLAN mit eigenem VLAN – niemals dieselbe SSID wie das zertifikatsgesicherte Mitarbeiternetz.
• Veraltete Access Points im Bestand: Nicht jede ältere Hardware unterstützt WPA2/WPA3-Enterprise zuverlässig. Ein Hardware-Check vor dem Rollout erspart spätere Überraschungen.

Der eigentliche Kulturwandel beim Umstieg auf ein WLAN mit Zertifikat liegt weniger in der Technik als im Mindset: Zugriff ist ab diesem Zeitpunkt keine Frage mehr von “kennt jemand das Passwort”, sondern von “ist dieses konkrete Gerät für diese konkrete Person aktuell autorisiert” – jederzeit nachvollziehbar über RADIUS-Protokolle statt über Vermutungen.

Fazit

Ein WLAN mit Zertifikat abzusichern ist kein Luxusprojekt für Großkonzerne, sondern eine der wirksamsten und zugleich am einfachsten automatisierbaren Maßnahmen, um Zugriffskontrolle im Firmennetz ernst zu nehmen. Wer heute noch mit einem einzigen, seit Jahren unveränderten WLAN-Passwort arbeitet, sollte den Umstieg auf ein WLAN mit Zertifikat nicht länger aufschieben – gerade mit Blick auf NIS2 und die Frage, wie sich Zugriffskontrolle im Ernstfall gegenüber Aufsichtsbehörden begründen lässt. Der technische Aufwand ist überschaubar, die automatisierte Zertifikatsverteilung über Intune macht den Rollout heute deutlich einfacher als noch vor wenigen Jahren, und der Sicherheitsgewinn gegenüber einem geteilten Passwort ist erheblich.

Weiterführend: BSI-Empfehlungen zu WLAN und LAN sowie der IT-Grundschutz-Baustein NET.2.1 WLAN-Betrieb.