PPSK für Geräte im Einzelhandel: Eine Bereitstellungs-Checkliste für Kassen, Scanner und CCTV auf Cisco Meraki und Juniper Mist

Private Pre-Shared Keys (PPSK) geben jeder Kasse, jedem Scanner, Drucker und Bildschirm einen eigenen WiFi Schlüssel auf einer einzigen SSID. Jeder Schlüssel ist einem VLAN (Virtual LAN), einer Richtlinie und einer Bandbreitenbegrenzung zugeordnet, sodass Kassen getrennt von digitaler Beschilderung und Überwachungskameras bleiben. Verknüpfen Sie Schlüssel mit MAC-Adressen und widerrufen Sie gezielt den Schlüssel eines einzelnen verlorenen Geräts. Cisco Meraki nennt dies Identity PSK; Juniper Mist nennt es Multi PSK.

Was bewirkt PPSK konkret für Geräte im Einzelhandel?

In den meisten Filialnetzen entsteht das Geräte-WiFi eher zufällig. MDE-Geräte verbinden sich mit der Mitarbeiter-SSID. Signage-Player nutzen das Netzwerk, das der Installateur gerade gesehen hat. Eine drahtlose Kamera landet im Gäste-Netzwerk. Alle teilen sich ein einzelnes Passwort, das seit der Eröffnung der Filiale nicht geändert wurde.

PPSK behebt dies, ohne dass am Gerät etwas geändert werden muss. Das Gerät sieht weiterhin eine SSID und gibt eine WPA2-Personal Passphrase ein. Die Änderung erfolgt auf Netzwerkseite. Jedes Gerät erhält eine andere Passphrase. Der Access Point ordnet jede Passphrase einer Identität zu, entweder lokal oder durch Abfrage eines RADIUS-Servers. Anschließend wendet er das VLAN, die Firewall-Regeln und die Bandbreitenbegrenzung an, die dieser Identität zugewiesen sind. RADIUS ist das Protokoll, mit dem ein Access Point einen zentralen Server fragt, um welches Gerät es sich handelt und worauf es zugreifen darf.

Drei Auswirkungen sind in einer Filiale entscheidend:

• Trennung nach Identität. Eine Kasse und ein Signage-Player auf derselben SSID landen in unterschiedlichen VLANs mit verschiedenen Firewall-Regeln.
• Eindämmung. Unter IEEE 802.11i leitet jedes Gerät seine Sitzungsschlüssel aus seiner eigenen Passphrase ab. Wer eine gemeinsame Passphrase besitzt und einen Handshake abfängt, kann die Sitzungsschlüssel eines anderen Geräts ableiten. Mit PPSK kann ein durchgesickerter Signage-Schlüssel den Kassendatenverkehr nicht entschlüsseln.
• Zentraler Widerruf. Löschen Sie einen Schlüssel, verliert genau ein Gerät den Zugriff. Alles andere in der Filiale läuft unverändert weiter.

Wo PPSK zwischen Ihren drei Netzwerken eingeordnet ist

Purple Access betreibt drei Netzwerke auf einer Plattform, und die Identität bestimmt das VLAN in jedem einzelnen. Das offene Netzwerk bedient Kunden über ein Captive Portal, wie in unserem Leitfaden für Captive Portals beschrieben. Das sichere Netzwerk bedient Mitarbeiter mit IEEE 802.1X und EAP-TLS. 802.1X ist der Standard für die Authentifizierung jedes Geräts vor dem Netzwerkbeitritt. EAP-TLS ist die Methode, die ein Zertifikat auf dem Gerät nutzt. Mitarbeiter können sich auch mit Microsoft Entra ID, Okta oder Google Workspace anmelden, wie in Okta WiFi Authentication: Setup Steps, Options and Fixes gezeigt.

Zertifikate bleiben der Standard für Personen. Das xPSK-Netzwerk deckt alles ab, was kein Zertifikat speichern kann: Kassen, Handscanner, Belegdrucker, Digital-Signage-Player und drahtlose Überwachungskameras. Dasselbe Modell nutzen wir für Bewohner in Wohngebäuden, wie in Multifamily WiFi: how isolation, xPSK and billing work erklärt. Das vollständige Sicherheitsmodell finden Sie in unserem Leitfaden zur WiFi security.

PPSK im Vergleich zu den Alternativen

Methode	Was das Gerät speichert	Ein einzelnes Gerät sperren	VLAN und Richtlinie pro Gerät	Zusätzliche Infrastruktur	Geeignet für
Gemeinsames PSK	Eine Passphrase, die von jedem Gerät genutzt wird	Alle Geräte auf der SSID neu verschlüsseln	Nein, ein VLAN pro SSID	Keine	Nichts, was mit Zahlungen zu tun hat
PPSK (Meraki Identity PSK, Mist Multi PSK)	Eigene Passphrase, optional an die MAC gebunden	Einen Schlüssel löschen	Ja, pro Schlüssel	Meraki: RADIUS für MAC-Bindung. Mist: keine mit Cloud PSK	Kassen, Scanner, Drucker, Signage, Überwachungskameras
IEEE 802.1X mit EAP-TLS	Ein Client-Zertifikat	Ein Zertifikat widerrufen	Ja, pro Identität	RADIUS-Server und Public-Key-Infrastruktur (PKI)	Laptops und Mikrofone von Mitarbeitern unter MDM
MAC-Authentifizierungs-Bypass	Nichts: Die MAC-Adresse ist die Identität	Eine MAC-Adresse entfernen	Ja, pro MAC-Adresse	RADIUS-Server	Kabelgebundene Geräte, die sonst nichts unterstützen

MDM steht für Mobile Device Management - das System, das Einstellungen auf unternehmenseigene Mikrofone, Scanner und Laptops überträgt.

Was benötigen Sie, bevor Sie PPSK in Ihren Filialen einrichten?

Der Großteil der Arbeit erfolgt, bevor Sie einen einzigen Schlüssel erstellen. Stellen Sie zuerst Folgendes sicher:

• Ein Geräteinventar pro Filiale. Erfassen Sie Geräteklasse, Marke, Modell, MAC-Adresse, ob die MAC fest ist, unterstützte Sicherheitsmodi und Funkbänder.
• Einen Segmentierungsplan. Vereinbaren Sie ein VLAN pro Geräteklasse mit den Verantwortlichen für Zahlungsverkehr, Überwachungskameras und Signage-Verträge.
• VLAN-Trunking zu jedem Access Point. Jeder AP-Uplink-Port muss jedes Segment-VLAN übertragen, da Geräte sich sonst verbinden, aber keine IP-Adresse erhalten.
• Firewall-Regeln pro Segment. Dokumentieren Sie vor der Konfiguration, worauf jedes Segment zugreifen darf.
• Konsolenzugriff. Sie benötigen Administratorrechte auf Organisationsebene im Meraki Dashboard oder im Juniper Mist Portal.
• Eine Entscheidung zum Speicherort der Schlüssel. Schlüssel können auf der SSID selbst, auf einem RADIUS-Server oder in einem Cloud-Schlüsseldienst liegen. Die folgende Tabelle hilft bei der Auswahl für Ihren Bestand.
• MDM-Steuerung für Android-Scanner. Sie benötigen diese, um die MAC-Adresse pro Netzwerk zu fixieren und Schlüssel aus der Ferne zu übertragen.
• Einen Verantwortlichen für das Schlüsselregister. Bei Geräten gibt es Zugänge, Wechsel und Abgänge wie bei Mitarbeitern. Jemand muss jeden ausgestellten und jeden widerrufenen Schlüssel erfassen.

Ihr Bestand	Wo Schlüssel liegen sollten	MAC-Bindung	Warum
Nur Cisco Meraki, ein Schlüssel pro Geräteklasse	Identity PSK ohne RADIUS, Schlüssel auf der SSID gespeichert	Nicht verfügbar	Schnellster Start, aber ein durchgesickerter Schlüssel funktioniert auf jedem Gerät
Cisco Meraki, ein Schlüssel pro Gerät	Identity PSK mit RADIUS, verweist auf einen Cloud RADIUS Service	Ja, Abfrage nach MAC-Adresse	Jeder Schlüssel funktioniert nur für das Gerät, für das er ausgestellt wurde
Nur Juniper Mist	Mist Cloud PSK	Ja, mit Einmalschlüsseln	Nativ in der Mist-Cloud, mit VLAN, Rolle und Ablaufdatum pro Schlüssel
Gemischte Umgebung: Meraki plus HPE Aruba, Ruckus, Mist oder Ubiquiti UniFi	Purple Access xPSK als Cloud RADIUS	Ja	Ein Schlüsselregister über alle Anbieter hinweg, kein Komplettaustausch erforderlich

Wie richten Sie PPSK auf Cisco Meraki und Juniper Mist ein?

Schritt 1: Erstellen Sie die Zuordnung von Schlüsseln zu Segmenten

Planen Sie die Segmente, bevor Sie eine der beiden Konsolen bedienen. Diese Zuordnung hält die WiFi Sicherheit von Zahlungsterminals getrennt von allem, was keine Zahlungsdienste erreichen muss.

Geräteklasse	Segment	Darf zugreifen auf	Bandbreiten-Richtlinie	Schlüsselbereich
Zahlungsterminals und Kassen	Zahlungen	Nur Zahlungsabwickler und Kassenserver	Unbegrenzt, höchste Priorität	Einer pro Gerät, an MAC gebunden
Handscanner	Filialbetrieb	Warenwirtschafts-, Bestell- und Handscanner-Managementsysteme	Limit pro Gerät	Einer pro Gerät, an MAC gebunden
Beleg- und Etikettendrucker	Filialbetrieb	Kassen- und Druckerserver	Niedriges Limit pro Gerät	Einer pro Gerät, an MAC gebunden
Digital-Signage-Player	Beschilderung	Content-Management-System und Update-Server	Limit pro Gerät	Einer pro Gerät, an MAC gebunden
Drahtlose CCTV-Kameras	CCTV	Nur Netzwerk-Videorekorder	Reservierter Spielraum bei Kamera-Bitrate	Einer pro Gerät, an MAC gebunden

Halten Sie die Anzahl der Segmente gering. Fünf Segmente pro Filiale reichen für die meisten Umgebungen aus, und jedes zusätzliche VLAN muss auf jeden AP getrunkt werden.

Schritt 2: Cisco Meraki und Identity PSK

Meraki wendet Richtlinien pro Schlüssel über Gruppenrichtlinien an, erstellen Sie diese also zuerst. Erstellen Sie im Meraki Dashboard eine Gruppenrichtlinie pro Segment. Jede Richtlinie legt das VLAN Tag, das Bandbreitenlimit sowie die Layer 3 und Layer 7 Firewall-Regeln für dieses Segment fest.

Öffnen Sie als Nächstes die Zugriffskontrolleinstellungen für Ihre Geräte-SSID. Meraki bietet zwei Identity PSK Modi:

• Identity PSK ohne RADIUS. Sie geben Schlüssel direkt auf der SSID ein und ordnen jeden Schlüssel einer Gruppenrichtlinie zu. Es ist keine MAC-Bindung verfügbar, sodass jedes Gerät, das einen Schlüssel erfährt, die Richtlinie dieses Schlüssels erhält.
• Identity PSK mit RADIUS. Der Access Point sendet die MAC-Adresse des Geräts an Ihren RADIUS Server. Der Server gibt die Passphrase und die Gruppenrichtlinie für diese MAC-Adresse zurück. Ein Schlüssel funktioniert nur für das Gerät, für das er ausgestellt wurde.

Verwenden Sie für Kassen und alle Geräte im Zahlungssegment den RADIUS Modus. Die Dokumentationsseiten von Cisco "IPSK without RADIUS" und "IPSK with RADIUS Authentication" enthalten die genauen Schritte für den jeweiligen Modus.

Schritt 3: Juniper Mist und Multi PSK

Stellen Sie im Juniper Mist Portal Ihr Geräte-WLAN so ein, dass es mehrere Passphrasen verwendet. Mist bietet Ihnen drei Schlüsselquellen: lokal auf dem WLAN gespeicherte Schlüssel, auf Organisationsebene gehaltene Cloud PSKs oder von einem RADIUS Server zurückgegebene Schlüssel.

Für ein Filialnetz ist Cloud PSK die nativ bevorzugte Wahl. Jedes Cloud PSK verfügt über ein eigenes VLAN, eine eigene Rolle und ein eigenes Ablaufdatum. Stellen Sie Filialgeräte auf Einmalnutzung (single-use) ein, wodurch der Schlüssel an die erste MAC-Adresse gebunden wird, die sich damit verbindet. Verwenden Sie dann die Rolle jedes Schlüssels in Ihren WxLAN-Richtlinien, um zu steuern, was dieses Segment erreichen darf. Wenden Sie Bandbreitenbegrenzungen an, um die Bandbreite für digitale Beschilderung und Scanner zu deckeln. Die Multi PSK-Dokumentation von Juniper deckt die WLAN-Einstellungen und Cloud PSK-Felder vollständig ab.

Schritt 4: Purple Access als zentrales Schlüsselregister über verschiedene Hersteller hinweg

Die meisten Einzelhandelsnetze betreiben nach Übernahmen und Umrüstungen Hardware von mehr als einem Hersteller. Purple Access betreibt das xPSK-Netzwerk als Cloud RADIUS, sodass ein einziges Schlüsselregister jede Filiale bedient. Meraki SSIDs verweisen Identity PSK mit RADIUS auf Purple. Mist WLANs nutzen RADIUS als Schlüsselquelle. Purple liefert den gerätespezifischen Schlüssel, das VLAN und die Richtlinie für jede MAC-Adresse zurück.

Dasselbe Modell funktioniert auf Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie behalten Ihre Access Points und Switches. Der Support-Artikel von Purple für Ihren Hersteller führt die genauen RADIUS-Einstellungen auf.

Die Checkliste für den Filial-Rollout

1. Wählen Sie eine Pilotfiliale aus, die jede von Ihnen betriebene Geräteklasse enthält.
2. Exportieren Sie das Geräteinventar dieser Filiale mit einer verifizierten MAC-Adresse für jedes Gerät.
3. Schalten Sie jedes Segment-VLAN vor dem Umstellungstag auf allen AP-Uplink-Ports als Trunk frei.
4. Erstellen Sie die Segmentrichtlinien: Gruppenrichtlinien auf Meraki, Rollen und WxLAN-Richtlinien auf Mist.
5. Erstellen Sie einen Schlüssel pro Gerät und tragen Sie ihn im Schlüsselregister ein.
6. Übertragen Sie eine Einstellung für feste MAC-Adressen für die Geräte-SSID über MDM auf Android-Scanner.
7. Strahlen Sie die Geräte-SSID parallel zur bestehenden Personal-SSID aus.
8. Stellen Sie die Geräte Klasse für Klasse um: zuerst die digitale Beschilderung, dann Drucker und Scanner, schließlich die Kassen außerhalb der Öffnungszeiten.
9. Führen Sie jeden Test aus dem nächsten Abschnitt durch, bevor Sie die nächste Klasse umstellen.
10. Ändern Sie das alte gemeinsame Personalpasswort ein letztes Mal, damit kein Gerät mehr darauf zurückgreifen kann.
11. Schreiben Sie das Betriebshandbuch für Sperrungen: Gerät verloren, Schlüssel widerrufen, Ersatzgerät mit neuem Schlüssel ausgegeben.
12. Führen Sie den Rollout in Filialwellen durch, wiederholen Sie dabei die Pilotrichtlinien und bewahren Sie die Testergebnisse als Nachweis auf.

Wie überprüfen Sie, ob PPSK in jeder Filiale funktioniert?

Testen Sie jede Geräteklasse, nicht nur ein einzelnes Gerät. Ein erfolgreicher Test auf einem Scanner sagt nichts über einen Drucker in einem anderen VLAN aus.

• Richtiges Segment. Überprüfen Sie die Client-Liste im Meraki Dashboard oder in den Mist Client Insights. Jedes Gerät sollte das erwartete VLAN und eine IP-Adresse aus dem Subnetz dieses Segments anzeigen.
• Isolierung. Versuchen Sie von einem Testgerät im Segment für digitale Beschilderung aus, den Kassenserver und den Videorekorder zu erreichen. Beide Versuche müssen fehlschlagen.
• MAC-Bindung. Geben Sie den Schlüssel eines Scanners auf einem Test-Smartphone ein. Das Smartphone muss abgelehnt werden.
• Widerruf. Widerrufen Sie einen Testschlüssel und bestätigen Sie, dass das Gerät sich nicht erneut verbinden kann. Falls die bestehende Sitzung bestehen bleibt, trennen Sie den Client über die Konsole. Alle anderen Geräte in der Filiale müssen verbunden bleiben.
• Bandbreite. Führen Sie einen Durchsatztest von einem Signage Player aus und bestätigen Sie, dass die Drosselung greift. Unser Leitfaden zu Bandbreitennutzungsmessung: Methoden, KPIs und Setup deckt die Methode ab.
• Roaming. Gehen Sie mit einem Scanner vom Lager zum entferntesten Ende der Verkaufsfläche. Die Scanning App muss verbunden bleiben.

Bewahren Sie die Nachweise auf. Ihr Schlüsselregister, Ihre Segment-Richtlinien, Widerrufs-Protokolle und Isolationstest-Ergebnisse dienen als Nachweis für PCI-DSS v4.0. Anforderung 1 deckt die Netzwerksicherheitskontrollen zwischen den Segmenten ab. Anforderung 2.3 deckt WLAN-Umgebungen ab, einschließlich des Änderns von Standard-Schlüsseln. Prüfungen auf unangemeldete Access Points unter Anforderung 11.2.1 bleiben eine separate Aufgabe.

Was geht bei PPSK schief und wie beheben Sie es?

Symptom	Wahrscheinliche Ursache	Behebung
Gerät verbindet sich, erhält aber keine IP-Adresse	Segment-VLAN nicht auf den Switch-Port des APs getrunkt	Taggen Sie jedes Segment-VLAN auf jedem AP-Uplink-Port
Scanner wird nach OS-Update abgelehnt	MAC-Randomisierung aktiviert; Android 10 und neuer randomisieren standardmäßig pro Netzwerk	Stellen Sie das SSID-Profil des Geräts über MDM so ein, dass die Geräte-MAC verwendet wird
Ein Schlüssel funktioniert auf zwei Geräten	Schlüssel nicht an eine MAC-Adresse gebunden (Meraki ohne RADIUS, Mist Mehrfachnutzung)	Wechseln Sie zu Identity PSK mit RADIUS oder Einzelschlüsseln von Mist
Älterer Drucker kann sich nicht verbinden	Gerät unterstützt nur 2,4 GHz und WPA2-Personal	Lassen Sie 2,4 GHz und WPA2-Personal auf der Geräte-SSID aktiviert
Scanner bricht zwischen den Gängen ab	802.11r Fast Roaming inkompatibel mit einem Legacy-Client	Testen Sie mit deaktiviertem Fast Transition auf der Geräte-SSID
Kassen verlangsamen sich während der Aktualisierung von Signage-Inhalten	Signage-Richtlinie hat keine Bandbreitenbegrenzung	Wenden Sie eine Begrenzung pro Gerät auf das Signage-Segment an
Verlorenes Gerät nach Schlüssellöschung immer noch online	Bestehende Sitzung bleibt bis zur Neuauthentifizierung bestehen	Trennen Sie den Client nach dem Widerruf in der Konsole

Zwei Probleme verdienen mehr als eine Tabellenzeile.

Das erste ist der Schlüssel, der zu einem zweiten geteilten Passwort wird. Ein Techniker schreibt einen Scanner-Schlüssel auf einen Aufkleber, und am Ende nutzen sechs Geräte diesen Schlüssel. Eine MAC-Bindung verhindert dies. Ohne Bindung ist ein Schlüssel pro Gerät nur aus Konvention ein Schlüssel pro Gerät.

Das zweite ist WPA3. Viele Schlüssel-Implementierungen pro Gerät basieren auf WPA2-Personal, und viele Kassen sowie Drucker unterstützen nichts Neueres. Prüfen Sie die Dokumentation von Cisco Meraki und Juniper Mist auf WPA3-Unterstützung für Ihre Firmware, bevor Sie Ihre Architektur darauf ausrichten.

Zwei Praxisszenarien: eine Modekette und ein Stadion

Einzelhandel: eine Modekette mit 150 Filialen auf Cisco Meraki

Situation. Betrachten Sie eine Kette mit 150 Filialen mit sechs Kassen, acht Scannern, zwei Druckern und vier Signage Playern pro Filiale. Alle 20 Geräte teilen sich die Mitarbeiter-SSID und ein Passwort. Das macht 3.000 Geräte mit einem Schlüssel im gesamten Bestand. PCI-DSS-Anforderung 2.3.2 verlangt, dass Sie WLAN-Schlüssel ändern, wenn jemand geht, der sie kennt. Jeder Filialleiter kennt dieses Passwort, sodass jeder Weggang eines Managers 3.000 Neuschlüsselungen auslösen müsste. In der Praxis passiert das nie.

Was gemacht wurde. Die Kette fügt eine Geräte-SSID mithilfe von Identity PSK mit RADIUS hinzu, wobei Purple Access das Schlüsselregister verwaltet. Vier Gruppenrichtlinien trennen Zahlungen, Filialbetrieb, Beschilderung und Drucker. MDM überträgt die Schlüssel auf die Scanner, sodass das Filialpersonal niemals einen Geräteschlüssel zu Gesicht bekommt.

Ergebnis. Ein gestohlener Scanner bedeutet nun, dass ein einziger Schlüssel widerrufen wird und kein einziges anderes Gerät betroffen ist, anstatt 20 in dieser Filiale. Wenn ein Manager das Unternehmen verlässt, löst dies keine Erneuerung mehr aus, da Manager niemals Geräteschlüssel besitzen. Das Zahlungssegment schrumpft von 20 Geräten pro Filiale in einem flachen Netzwerk auf sechs Kassen. Die PCI SSC-Richtlinien besagen, dass eine Segmentierung die Anzahl der betroffenen Systeme reduzieren kann, vorbehaltlich der Validierung durch Ihren Auditor.

Veranstaltungen: Ein Stadion auf Juniper Mist

Situation. Betrachten Sie ein Stadion mit 40 permanenten Konzessionskassen und 120 Werbebildschirmen. Ein Ticketunternehmer bringt zu jeder Veranstaltung 25 Handscanner mit. Dem Unternehmer wurde seit jeher das Mitarbeiterpasswort gegeben, und es wurde nie geändert.

Was gemacht wurde. Das Stadion wechselt zu Mist Cloud PSKs. Kassen erhalten Einmalschlüssel im Zahlungs-VLAN. Schlüssel für die Beschilderung tragen eine Rolle mit einer Ratenbegrenzung. Bei jeder Veranstaltung erhalten die 25 Scanner des Unternehmers Einmalschlüssel in ihrem eigenen VLAN, deren Ablaufdatum auf das Ende des Veranstaltungstages festgelegt ist.

Ergebnis. Alle 25 Schlüssel des Unternehmers laufen nach jeder Veranstaltung automatisch ab, ohne dass etwas manuell widerrufen werden muss. Geräte des Unternehmers besitzen niemals einen Schlüssel, der das Kassensegment erreicht. Begrenzungen für die Beschilderung sorgen dafür, dass eine Inhaltsaktualisierung in der Halbzeitpause die Konzessionszahlungen nicht verlangsamen kann.

Was kostet PPSK und was erhalten Sie zurück?

PPSK benötigt keine neue Hardware. Ihre Kosten verteilen sich auf vier Bereiche:

• Designaufwand. Erstellung des Inventars, Abstimmung der Segmente und Schreiben von Firewall-Regeln.
• Switch-Änderungen. Trunking von Segment-VLANs zu jedem AP, was normalerweise über ein Template erfolgt.
• Filialbesuche für unverwaltete Geräte. Drucker und Kameras ohne MDM benötigen eine lokale Änderung.
• Ein Schlüsseldienst für MAC-Bindung. Bei Meraki bedeutet dies einen RADIUS-Dienst wie Purple Access. Überprüfen Sie Ihre Meraki- und Mist-Lizenzstufen mit Ihrem Reseller.

Der Ertrag lässt sich am einfachsten in der Arithmetik erkennen. In der oben genannten Modekette bedeutet das Auswechseln eines gemeinsam genutzten Schlüssels, dass 3.000 Geräte angefasst werden müssen. Geht man von fünf Minuten pro Gerät aus, kostet eine Auswechslung 250 Stunden Filial- und IT-Zeit. Mit PPSK kostet dasselbe Ereignis eine einzige Schlüsseländerung. Der größere Nutzen ist die Eingrenzung: Ein verlorener Scanner legt nur das Segment eines einzelnen Geräts offen, nicht das Zahlungsnetzwerk.

Purple wird an über 80.000 Live-Standorten betrieben und hat im Jahr 2024 440 Millionen Anmeldungen verarbeitet (eigene Daten von Purple). Purple ist nach ISO 27001 zertifiziert. Gast-Marketing im offenen Netzwerk befindet sich in Engage. DNS-Filtering für jedes Segment ist Shield, ein separates Add-on. Für offene und sichere Netzwerke stöbern Sie in unseren Access-Leitfäden.

Häufig gestellte Fragen

Benötigen wir neue Access Points, um PPSK in unseren Filialen auszuführen?

Nein. PPSK läuft auf den Access Points, die Sie bereits besitzen. Cisco Meraki MR Access Points unterstützen es als Identity PSK und Juniper Mist Access Points als Multi PSK. Purple Access ist hardwareunabhängig und legt sich als Cloud-Overlay über Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks und Fortinet. Sie ändern SSID-Einstellungen, VLAN-Trunks und Richtlinien, nicht die Hardware.

Erfüllt PPSK die Anforderungen unseres PCI-DSS-Auditors?

PPSK liefert Ihnen Nachweise für PCI-DSS, stellt aber für sich genommen keinen automatischen Konformitätsnachweis dar. Schlüssel pro Gerät unterstützen Anforderung 2.3.2, die verlangt, WLAN-Schlüssel zu ändern, wenn eine Person mit Kenntnis dieser Schlüssel das Unternehmen verlässt oder ein Schlüssel kompromittiert wurde. Das Verschieben von Kassen auf ein eigenes VLAN unterstützt Anforderung 1 und kann den Umfang der betroffenen Systeme reduzieren. Ihr Qualified Security Assessor entscheidet, was zählt. Exportieren Sie daher Ihr Schlüsselregister, Ihre Richtlinien und Testergebnisse für den Auditor.

Sollten Filialgeräte PPSK oder 802.1X-Zertifikate nutzen?

Nutzen Sie Zertifikate überall dort, wo ein Gerät diese registrieren und erneuern kann, und PPSK für alles andere. IEEE 802.1X mit EAP-TLS bleibt der Standard für Laptops und Smartphones der Mitarbeiter unter MDM. Die meisten Kassen, Drucker, Signage-Player und Kameras können Zertifikate nicht in großem Umfang registrieren, und viele unterstützen nur WPA2-Personal. PPSK verleiht diesen Geräten eine gerätespezifische Identität, ein eigenes VLAN und die Möglichkeit des Widerrufs, ohne das Gerät selbst zu verändern.

Können wir Geräte von einem gemeinsam genutzten Mitarbeiter-Passwort umstellen, ohne jede Filiale zu besuchen?

Ja, für Geräte, die Sie über MDM verwalten. Übertragen Sie die neue Geräte-SSID, den gerätespezifischen Schlüssel und eine feste MAC-Einstellung als ein einziges Profil. Bestätigen Sie anschließend, dass jedes Gerät im richtigen VLAN landet. Geräte ohne MDM, wie viele Drucker und Kameras, benötigen eine lokale Änderung oder das Konfigurationstool des Herstellers. Planen Sie diese in bestehende Filialbesuche ein und lassen Sie die alte SSID aktiv, bis das letzte Gerät umgezogen ist.

Was passiert, wenn ein Scanner seine MAC-Adresse zufällig generiert?

Ein an eine MAC-Adresse gebundener Schlüssel wird das Gerät ablehnen. Deaktivieren Sie daher die Zufallsgenerierung für die Geräte-SSID. Android 10 und neuer verwenden standardmäßig eine zufällige MAC-Adresse pro Netzwerk, und die meisten robusten Scanner laufen mit Android. Stellen Sie das WiFi-Profil über Ihr MDM so ein, dass die Geräte-MAC verwendet wird. Die Anonymisierung schützt die Privatsphäre von Personen in öffentlichen Netzwerken. Für eine verwaltete Kasse oder einen Scanner, der sich mit Ihrem eigenen Netzwerk verbindet, bietet sie keinen Mehrwert.

Deckt Purple Access auch Kunden-WiFi und Inhaltsfilterung ab?

Ja, auf separaten Netzwerken, die über eine einzige Plattform verwaltet werden. Kunden verbinden sich über ein Captive Portal mit dem offenen Netzwerk, wobei Marketing und bewusste Opt-ins über Engage abgewickelt werden. Mitarbeiter verbinden sich mit dem sicheren Netzwerk über Zertifikate oder die Anmeldung über Microsoft Entra ID, Okta oder Google Workspace. DNS-Filterung läuft über Shield, ein separates Add-on. Geräte bleiben auf xPSK, sodass eine Kasse niemals dasselbe Netzwerk wie das Smartphone eines Kunden nutzt.

Wie viel Aufwand erfordert ein PPSK-Rollout über einen gesamten Filialbestand?

Rechnen Sie damit, dass der Hauptaufwand entsteht, bevor der erste Schlüssel erstellt wird. Das Erfassen des Gerätebestands mit MAC-Adressen dauert länger als die Konfiguration in der Konsole. Gleiches gilt für die Abstimmung der Segmente mit den Verantwortlichen für Zahlungssysteme und Überwachungskameras sowie das Trunking der VLANs zu jedem Access Point. Sobald eine Pilotfiliale alle Tests besteht, nutzen spätere Filialen dieselben Richtlinien und Schlüsselvorlagen. Geräte unter MDM werden aus der Ferne umgestellt, während nicht verwaltete Drucker und Kameras das Tempo jeder Rollout-Welle vorgeben.