WLAN-Verschlüsselung richtig einstellen: WPA3, WPA2 oder gemischter Modus?

Am Router oder Access Point entscheidet die Verschlüsselung darüber, wie gut Ihr Netz gegen Mitlesen und Passwort-Raten geschützt ist. Gleichzeitig muss jedes Gerät im Haus noch hineinkommen, vom Smartphone bis zum alten Drucker. Hier steht, was die Modi unterscheidet, wie Sie ältere Geräte weiter anbinden und was Sie bei Verbindungsproblemen prüfen.

Was unterscheidet WPA2, WPA3 und den Übergangsmodus?

WPA2-Personal (PSK) leitet den Schlüssel aus Ihrem Passwort ab. Wer einen Verbindungsaufbau mitschneidet, kann das Passwort offline mit Wörterbüchern und Rechenleistung durchprobieren. Bei einem kurzen oder einfachen Passwort ist das ein reales Risiko. WPA3-Personal ersetzt diesen Austausch durch das Verfahren SAE. Offline-Raten auf mitgeschnittenen Daten entfällt damit, und jeder Rateversuch muss direkt am Access Point stattfinden. Außerdem bekommt jede Verbindung eigene Schlüssel, sodass ein später bekannt gewordenes Passwort alte Mitschnitte nicht entschlüsselt. Zusätzlich ist der Schutz der Verwaltungspakete (PMF) bei WPA3 Pflicht. Der Übergangsmodus (oft "WPA2/WPA3" genannt) bietet beides parallel an: Neue Geräte verbinden sich per WPA3, ältere per WPA2. Das Netz ist dann so sicher wie sein schwächstes Glied, denn ein Angreifer kann sich auf WPA2 berufen.

Welchen Modus sollte ich am Router einstellen?

Wenn alle Geräte WPA3 beherrschen, stellen Sie reines WPA3 ein. Das ist selten der Fall. In der Praxis ist der Übergangsmodus für gemischte Haushalte ein vernünftiger Kompromiss, solange das Passwort stark ist. Reines WPA2 mit AES (CCMP) ist weiterhin brauchbar, wenn Ihr Router kein WPA3 kann oder wenn es keine Alternative gibt. Verzichten Sie auf WPA, WEP und auf TKIP, auch in der Einstellung "WPA/WPA2 gemischt". Diese Verfahren gelten als überholt. Ob Ihr Router WPA3 kann, steht im Datenblatt oder in der Oberfläche unter den WLAN-Sicherheitseinstellungen. Ein Beispiel für einen WiFi-6-Router für Zuhause und Büro ist der D-Link EXO AX AX1500 DIR-X1560. Prüfen Sie vor dem Kauf eines beliebigen Geräts die Angabe zu WPA3 im Datenblatt und halten Sie die Firmware aktuell.

Welche Geräte unterstützen WPA3 überhaupt?

WPA3 ist bei Geräten üblich, die mit WiFi 6 erschienen sind, und bei neueren Smartphones, Notebooks und Tablets mit aktuellem Betriebssystem. Bei Geräten aus der Zeit davor hängt es vom Hersteller ab: Manchmal bringt ein Treiber- oder Systemupdate WPA3 nach, oft aber nicht. Bei WiFi 7 ist WPA3 vorgeschrieben. Bei vielen Smart-Home-Komponenten, Druckern, Kameras und IoT-Steckdosen fehlt die Unterstützung noch, vor allem bei Geräten, die nur das 2,4-GHz-Band nutzen. Am sichersten ist der Blick ins Handbuch oder in die Gerätedaten. Im Zweifel hilft ein Test: Verbindet sich das Gerät im reinen WPA3-Netz nicht, kennt es SAE nicht.

Wie binde ich Smart-Home-Geräte und alte Drucker an, ohne das ganze Netz zu schwächen?

Richten Sie für ältere Geräte ein eigenes Gast- oder IoT-WLAN mit WPA2 (AES) und eigenem, langem Passwort ein. Ihr Hauptnetz mit Notebooks, Smartphones und Datenspeicher bleibt dann bei WPA3 oder im Übergangsmodus. Die meisten Router und Access Points bieten dafür mehrere SSIDs. Aktivieren Sie in diesem Netz, sofern vorhanden, die Client-Isolation. Dann sehen sich die Geräte untereinander nicht, und die Lampe oder der Drucker kann nicht auf das übrige Netz zugreifen. Beachten Sie, dass Drucker dann je nach Einstellung nicht aus dem Hauptnetz erreichbar sind. Ob das für Sie passt, hängt vom Einsatz ab. Alternativ binden Sie den Drucker per LAN-Kabel an und lassen ihn ganz aus dem WLAN heraus. Das ist die stabilste Lösung.

Was tun, wenn sich Geräte nach der Umstellung nicht verbinden?

Gehen Sie schrittweise vor. Prüfen Sie zuerst, ob das Gerät den Modus kennt: Bricht die Verbindung nur bei WPA3 ab, wechseln Sie testweise in den Übergangsmodus. Hilft das nicht, löschen Sie das gespeicherte WLAN-Profil am Gerät und legen es neu an, denn alte Einträge passen oft nicht zum neuen Modus. Achten Sie auf Sonderzeichen im Passwort, die manche Geräte falsch verarbeiten, und prüfen Sie die Schreibweise der SSID. Aktualisieren Sie die Firmware von Router und Gerät. Manche Geräte scheitern mit PMF im Modus "erforderlich" und kommen mit "optional" zurecht, was im Übergangsmodus meist so eingestellt ist. Wenn nichts hilft, bleibt das WPA2-Netz für dieses Gerät.

Was gehört noch zu einem sicheren WLAN: WPS, Passwort und Updates?

Schalten Sie WPS (Tastendruck- und PIN-Verfahren) ab. Das PIN-Verfahren hat bekannte Schwächen und bringt im Alltag kaum Vorteile. Beim Passwort zählt die Länge: Eine Phrase aus mehreren Wörtern mit 16 oder mehr Zeichen ist besser als ein kurzes Passwort mit Sonderzeichen. Verwenden Sie es nirgends sonst. Ändern Sie außerdem das Administratorkennzeichen und das Passwort der Router-Oberfläche, und lassen Sie den Fernzugriff aus, wenn Sie ihn nicht brauchen. Spielen Sie Firmware-Updates ein, sobald der Hersteller sie bereitstellt, denn viele Schwachstellen werden dort behoben. Bei Access Points im Betrieb lohnt eine feste Routine, zum Beispiel alle paar Monate. Falls Sie bei der Konfiguration eines Netzwerkgeräts über die Konsole gehen müssen, hilft ein Konsolenkabel USB auf RJ45, wie es für Cisco- und HP-Geräte üblich ist. Für einen normalen Heimrouter brauchen Sie es nicht.

Bei Fragen zur Auswahl oder Einrichtung hilft Ihnen der Fachbetrieb von wlandepot.de gern weiter.