Stand der Technik WLAN

Informationen und Assets SOLLTE ein Inventar der IT-Systeme einschließlich Identifikationsbezeichnung und letztem bekannten Verbleib dokumentieren.

Das Inventar führt Access Points, zentrale Steuerungen, Authentisierungsdienste, Managementplattformen und fest zugeordnete Funkkomponenten mit eindeutiger Kennung, Standort, Verantwortlichkeit, Softwarestand und Betriebsstatus. Automatisierte Bestandsdaten werden mit freigegebenen Sollbeständen abgeglichen, damit Änderungen, Schwachstellen und außer Betrieb genommene Geräte nachvollziehbar bleiben.

Architektur SOLLTE ein Inventar der Netze einschließlich interner Segmente, externer Netzanschlüsse und deren Verwendungszweck dokumentieren.

Das Netzinventar beschreibt Access Points, Funkzellen, SSIDs, VLANs, Controller, Authentisierungsdienste, Uplinks und Übergänge mit Zweck und Verantwortlichkeit. Änderungen an Standort, Adressierung, Roaming, Segmentzuordnung oder Betriebsstatus werden zeitnah nachgeführt und mit automatisiert ermittelten Daten abgeglichen.

Architektur für Netze SOLLTE einen Netzplan dokumentieren.

Der Netzplan stellt die WLAN-Infrastruktur mit Funkzellen, zentralen Komponenten, logischen Segmenten, Sicherheitsübergängen, Managementpfaden und externen Abhängigkeiten nachvollziehbar dar. Detailtiefe und Zugriffsschutz werden so gewählt, dass Planung, Störungsanalyse und Sicherheitsprüfung möglich sind, ohne unnötige sensible Betriebsinformationen offenzulegen.

Architektur für WLANs SOLLTE die Netzabdeckung testen.

Eine Funkfeldplanung und wiederholbare Ausleuchtung prüfen Abdeckung, Zellüberlappung, Kanalnutzung, Kapazität und Störeinflüsse in den vorgesehenen Frequenzbändern. Messungen umfassen benötigte Versorgungsbereiche ebenso wie Zonen, in denen Funkversorgung begrenzt sein soll; regulatorische Einsatzbedingungen werden eingehalten.

Architektur für Netze SOLLTE eine bedarfsgerechte Netzanbindung installieren.

Kapazität und Qualität werden aus Gerätedichte, Nutzerzahl, Anwendungen, Roaming, Funkumgebung, IoT-Verhalten und Spitzenlasten abgeleitet. Funkplanung und Messung berücksichtigen Airtime, Kanalbelegung, Backhaul, Latenz, Paketverlust und Zellüberlappung; Telemetrie und Lasttests steuern die Nachdimensionierung.

Architektur für Netze SOLLTE eine Unterteilung des internen Netzes in Netzsegmente unter Berücksichtigung der Anforderungen der Institution und des Schutzbedarfes verankern.

Unternehmens-, Gast-, Administrations- und IoT-Zugänge werden als getrennte Sicherheitszonen geplant. Die Zuordnung von SSID, VLAN, Identität und Schutzbedarf wird an kontrollierten Übergängen konsistent umgesetzt; eine bloße Trennung der Funknamen gilt nicht als Segmentierung.

Architektur für Netze SOLLTE Verbindungen zwischen Netzsegmenten anhand von {{ Kriterien }} einschränken.

Verbindungen zwischen WLAN-Segmenten folgen dokumentierten, standardmäßig restriktiven Regeln. Freigaben berücksichtigen Schutzbedarf, Nutzer- und Geräteidentität, Dienst, Richtung und Betriebszustand; Gast- und IoT-Zugänge erhalten keinen pauschalen Zugriff auf interne oder administrative Netze.

Architektur für Interne Netzsegmente SOLLTE den Zugriff von IT-Systemen auf das Netzsegment im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren.

Der WLAN-Zugang wird vor der regulären Netznutzung anhand belastbarer Nutzer- oder Geräteidentitäten autorisiert. Für verwaltete Unternehmenszugänge werden IEEE 802.1X, gegenseitige zertifikatsbasierte Authentisierung und zentrale Richtlinien bevorzugt; MAC-Adressen allein gelten nicht als ausreichender Identitätsnachweis.

Architektur für Netze SOLLTE Routing-Verbindungen durch {{ eine zuständige Person oder Rolle }} autorisieren.

Routing- und Weiterleitungsänderungen zwischen WLAN-Zonen werden vor Aktivierung durch eine zuständige, vom technischen Ändernden angemessen getrennte Rolle freigegeben. Die Genehmigung bezieht sich auf Quelle, Ziel, Dienst, Richtung, Schutzbedarf und Laufzeit und wird mit der tatsächlich ausgerollten Konfiguration abgeglichen.

Architektur für Netze SOLLTE Änderungen an Routing-Tabellen im Einklang mit den zugehörigen Anforderungen des Identitäts- und Berechtigungsmanagements authentifizieren.

Routingprotokolle in den an WLAN angebundenen Netzen akzeptieren Nachbarschaften und Aktualisierungen nur aus freigegebenen, authentisierten Quellen. Schlüssel und Vertrauensanker werden geschützt und erneuert; unerwartete Routenänderungen, Nachbarschaften oder Authentisierungsfehler werden protokolliert und alarmiert.

Architektur für WLANs KANN in Sicherheitsbereichen die Ausstrahlung einschränken.

In Sicherheitsbereichen wird die Funkabstrahlung auf den betrieblich notwendigen Raum und die erforderliche Leistung begrenzt. Standort, Antennencharakteristik, Sendeleistung und bauliche Dämpfung werden durch Messungen verifiziert; verbleibende Außenreichweite fließt in Zugangskontrolle und Überwachung ein.

Architektur für WLANs SOLLTE institutionsspezifische SSIDs aktivieren.

SSID-Namen werden institutionell festgelegt, eindeutig zugeordnet und ohne unnötige interne Detailinformationen vergeben. Veraltete, temporäre und für den Betrieb nicht benötigte SSIDs werden entfernt; ähnlich benannte fremde Netze und unerwartete Konfigurationsabweichungen werden überwacht.

Architektur für WLANs SOLLTE die Netzanbindung {{ WPA3 }} verschlüsseln.

Die Funkstrecke verwendet WPA3; institutionelle Zugänge nutzen bei technischer Eignung WPA3-Enterprise mit IEEE 802.1X und EAP-TLS 1.3 sowie geschützten Management-Frames. Ausnahmen für Gast- oder IoT-Geräte werden auf getrennte Zonen begrenzt, risikobasiert dokumentiert und dürfen keine veralteten Verfahren wie WEP oder WPA als Zielzustand etablieren.

Beschaffungsmanagement für Einkäufe SOLLTE den Bedarf für die Kompatibilität im Hinblick auf die Netzanbindung dokumentieren.

Beschaffungsvorgaben prüfen die Anschlussfähigkeit an Funk-, Zugangs- und Managementarchitektur vor der Auswahl. Bewertet werden insbesondere unterstützte Frequenzbänder, WPA3, IEEE 802.1X mit geeigneten EAP-Verfahren, RADIUS-Anbindung, Segmentierung, sichere Administrationsprotokolle, zentrale Protokollierung, Updatefähigkeit und die Trennung von Unternehmens-, Gast- und IoT-Zugängen.

Architektur für Netze SOLLTE Verbindungen zwischen IT-Systemen einschränken.

Übergänge zwischen WLAN-Zonen und zu externen Netzen beschränken Verbindungen auf den dokumentierten Geschäftsbedarf und prüfen sie entsprechend dem Risiko. Regeln werden aus zulässigen Datenflüssen abgeleitet, vor der Freigabe getestet, protokolliert und regelmäßig um nicht mehr benötigte Ausnahmen bereinigt.

Architektur für Netze SOLLTE für das Kernnetz redundante Netzkomponenten installieren.

Kritische WLAN-Dienste vermeiden einzelne Ausfallpunkte in Controllern, Authentisierungs- und Verzeichnisdiensten, Switching, Stromversorgung und Uplinks. Redundante Pfade werden standort- und dienstbezogen getrennt, kapazitiv ausreichend dimensioniert und durch kontrollierte Failover-Tests mit definiertem sicheren Restbetrieb verifiziert.

Architektur für Netze KANN Schutzmaßnahmen gegen volumetrische DoS-Angriffe aktivieren.

Schutz gegen volumetrische Angriffe umfasst Internetübergänge, Controller, Authentisierungsdienste und gemeinsam genutzte WLAN-Ressourcen. Ratenbegrenzung, vorgelagerte Abwehr, verteilte Dienste und abgestufte Notfallmaßnahmen werden getestet, damit legitime Unternehmens-, Gast- und IoT-Kommunikation möglichst erhalten bleibt.

Architektur für Netze SOLLTE die Einhaltung der Netzarchitektur {{ kontinuierlich }} überprüfen.

Topologie, Erreichbarkeit und Zuordnung der WLAN-Komponenten werden kontinuierlich überwacht. Der Soll-Ist-Abgleich erkennt ausgefallene oder versetzte Access Points, unerwartete Uplinks, geänderte Nachbarschaften und nicht freigegebene Segmentbeziehungen; bestätigte Abweichungen lösen einen geregelten Klärungsprozess aus.

Detektion für Netze SOLLTE den Netzwerkverkehr auf Anomalien überwachen.

Controller-, RADIUS-, DNS- und Firewallereignisse sowie geeignete Verkehrsmetadaten werden korreliert, um ungewöhnliche Clients, neue Kommunikationsbeziehungen, Scans, Datenabflüsse und auffällige Authentisierungsmuster zu erkennen. Baselines unterscheiden Standorte, SSIDs und Gerätegruppen; Alarme werden priorisiert und mit überprüfbaren Reaktionswegen verbunden.

Detektion für Netze SOLLTE die Verfügbarkeit des Netzes anhand von {{ Schwellwerten }} überwachen.

Die Verfügbarkeit wird Ende zu Ende über Funkzellen, Access Points, Controller, Authentisierungs-, DHCP- und DNS-Dienste, Uplinks und externe Übergänge überwacht. Technische Messwerte und synthetische Verbindungsprüfungen werden gegen dienstbezogene Schwellwerte bewertet; Wartungszustände, Alarmierung und Eskalation sind eindeutig geregelt.

Detektion für Räume KANN diesen nach unautorisierten Sendeanlagen durch {{ Wireless Intrusion Detection System (WIDS) }} überwachen.

Ein Wireless Intrusion Detection System überwacht die relevanten Funkbereiche kontinuierlich auf unbekannte Sender, Rogue Access Points, Evil Twins und nicht freigegebene Client-Hotspots. Funk- und kabelseitige Beobachtungen werden mit dem Inventar abgeglichen und unterstützen die Lokalisierung; bestätigte Funde werden logisch oder physisch eingedämmt und in die Vorfallbearbeitung überführt.

Gebäudemanagement für Netze SOLLTE für die Funktionsfähigkeit des Netzes erforderliche Systeme ausschließlich in Räumen für technische Infrastruktur platzieren.

Zentrale WLAN-Komponenten wie Controller, RADIUS-Dienste und zugehörige Switching-Systeme werden in zugangsgeschützten, technisch geeigneten Bereichen betrieben. Dezentral montierte Access Points sind gegen unbefugtes Abstecken, Zurücksetzen, Austausch und Diebstahl geschützt; Uplink, Stromversorgung und Montageort sind dokumentiert.

Sensibilisierung für Administrierende von Netzen SOLLTE zur strukturierten Verkabelung sensibilisieren.

Die Sensibilisierung für strukturierte Verkabelung bezieht die Ethernet- und Power-over-Ethernet-Anbindungen der Access Points ein. Administrierende erkennen Ports, Patchfelder, VLAN-Zuordnungen, Kabelführung und Stromversorgung eindeutig und dokumentieren Änderungen so, dass Fehlanschlüsse, unbeabsichtigte Netzbrücken und vermeidbare Ausfälle auffallen.

Sensibilisierung für Nutzende von Endgeräten SOLLTE gegen die Risiken der Nutzung öffentlicher WLANs sensibilisieren.

Beschäftigte werden für Evil Twins, manipulierte Anmeldeseiten und Abhörmöglichkeiten in öffentlichen WLANs sensibilisiert. Automatisches Verbinden und lokale Freigaben werden deaktiviert, Netzname und Betreiber geprüft und schutzbedürftige Informationen nur über institutionell freigegebene, zusätzlich abgesicherte Verbindungen übertragen; Zertifikatswarnungen und verdächtige Zugangsdatenabfragen werden gemeldet.

Sensibilisierung für Nutzende von Endgeräten SOLLTE gegen die Risiken der Nutzung unverschlüsselter WLANs sensibilisieren.

Beschäftigte erkennen, dass ein offenes oder lediglich durch ein Captive Portal geschütztes WLAN keine verschlüsselte Funkstrecke bereitstellt. Dienstliche Kommunikation erfolgt dort nur mit einer institutionell freigegebenen Ende-zu-Ende-Absicherung; Warnungen, unerwartete Umleitungen und fehlender zusätzlicher Schutz führen zum Abbruch und zur Meldung.

Sensibilisierung für Nutzende von Endgeräten KANN die Nutzung unautorisierter WLANs untersagen.

Nicht freigegebene Access Points, private Client-Hotspots, Funkbrücken und direkte WLAN-Verbindungen können Segmentierung, Protokollierung und Netzzugangskontrolle umgehen. Beschäftigte kennen das Verbot und das Freigabeverfahren; notwendige Ausnahmen werden zeitlich begrenzt dokumentiert, technisch abgesichert und durch Inventar- sowie Funküberwachung kontrolliert.