🔐 Enterprise Security

MDM • CLS • RADIUS • WPA Enterprise

Vorbereitung AP2 - IHK Prüfung

Moderne Sicherheitsinfrastruktur für Unternehmensnetzwerke

Themenübersicht:

  • Mobile Device Management (MDM)
  • Certificate Lifecycle Services (CLS)
  • RADIUS-Authentifizierung
  • WPA Enterprise / 802.1X
  • Integration und Zusammenspiel
  • Praktische Beispiele
Folie 1 von 12

📱 Mobile Device Management (MDM)

Was ist MDM?

Zentrale Verwaltung und Absicherung mobiler Endgeräte (Smartphones, Tablets, Laptops)

Hauptfunktionen:

  • Geräte-Enrollment
  • Konfigurationsmanagement
  • App-Verteilung
  • Sicherheitsrichtlinien
  • Remote-Wipe
  • Compliance-Überwachung

Bekannte Lösungen:

  • Microsoft Intune
  • VMware Workspace ONE
  • Jamf (Apple)
  • MobileIron
  • Citrix Endpoint Management
In der Prüfung werden oft Szenarien zur Geräteverwaltung und Sicherheitsrichtlinien abgefragt!
Folie 2 von 12

📱 MDM - Detaillierte Funktionen

1. Enrollment (Geräteregistrierung)

  • BYOD (Bring Your Own Device) oder COPE (Corporate Owned, Personally Enabled)
  • Automatische Konfiguration nach Registrierung
  • Zertifikatsbasierte Identifikation

2. Sicherheitsrichtlinien

  • Passwort-Komplexität erzwingen
  • Verschlüsselung aktivieren
  • Bildschirmsperre konfigurieren
  • Jailbreak/Root-Erkennung

3. Remote Management

  • Remote Lock: Gerät aus der Ferne sperren
  • Remote Wipe: Alle Daten löschen bei Verlust/Diebstahl
  • Selective Wipe: Nur Firmendaten entfernen
Unterschied zwischen Remote Wipe und Selective Wipe oft in Prüfungsfragen!
Folie 3 von 12

🔑 Certificate Lifecycle Services (CLS)

Was ist CLS?

Verwaltung des gesamten Lebenszyklus digitaler Zertifikate

Zertifikats-Lebenszyklus:

1. Anforderung (Request) ↓ 2. Validierung & Ausstellung (Issuance) ↓ 3. Verteilung (Distribution) ↓ 4. Nutzung (Usage) ↓ 5. Verlängerung (Renewal) oder Sperrung (Revocation) ↓ 6. Archivierung (Archival)

Verwendungszwecke:

Authentifizierung:
  • Benutzer-Login
  • Geräte-Identifikation
  • WLAN-Zugang
  • VPN-Verbindungen
Lizenzierung:
  • Software-Lizenzen
  • Zugriffsberechtigung
  • Ressourcen-Nutzung
  • Service-Aktivierung
Folie 4 von 12

🔐 PKI - Public Key Infrastructure

Komponenten einer PKI:

  • CA (Certificate Authority): Stellt Zertifikate aus und signiert sie
  • RA (Registration Authority): Prüft Identität vor Ausstellung
  • CRL (Certificate Revocation List): Liste gesperrter Zertifikate
  • OCSP (Online Certificate Status Protocol): Echtzeit-Prüfung des Zertifikatsstatus

Zertifikatsinhalt (X.509):

Subject: CN=max.mustermann@firma.de Issuer: CN=Firmen-CA Serial Number: 123456789ABC Valid From: 01.01.2024 Valid To: 31.12.2025 Public Key: [RSA 2048-bit] Key Usage: Digital Signature, Key Encipherment Extended Key Usage: Client Authentication
Wichtig: Unterschied zwischen CA, RA und die Funktion von CRL/OCSP kennen!
Folie 5 von 12

💿 Software-Lizenzierung über Zertifikate

Traditionelle Lizenzierung vs. Zertifikatsbasiert:

Aspekt Lizenzschlüssel Zertifikat
Verwaltung Manuell, dezentral Zentral über CLS
Sicherheit Weitergabe möglich An Gerät/User gebunden
Widerruf Schwierig Sofort per CRL/OCSP
Automatisierung Begrenzt Vollständig

Ablauf Zertifikatsbasierte Lizenzierung:

1. Software startet ↓ 2. Prüft lokales Zertifikat ↓ 3. Validiert Signatur gegen CA ↓ 4. Prüft Gültigkeit (Datum, OCSP) ↓ 5. Liest Lizenzinformationen aus Zertifikat ↓ 6. Aktiviert entsprechende Features
Vorteil: Bei Kündigung wird Zertifikat gesperrt → Software deaktiviert sich automatisch
Folie 6 von 12

🌐 RADIUS - Remote Authentication Dial-In User Service

Was ist RADIUS?

Netzwerkprotokoll zur zentralen Authentifizierung, Autorisierung und Accounting (AAA)

Funktionen:

  • Authentication: Wer bist du?
  • Authorization: Was darfst du?
  • Accounting: Was hast du getan?

Einsatzgebiete:

  • WLAN (802.1X)
  • VPN-Zugang
  • Switch-Ports (Port Security)
  • Remote Access

RADIUS Komponenten:

┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │ Client │─────→│ NAS │─────→│ RADIUS │ │ (Endgerät) │ │ (Access Point│ │ Server │ │ │←─────│ / Switch) │←─────│ │ └──────────────┘ └──────────────┘ └──────────────┘ │ ↓ ┌──────────────┐ │ Backend │ │ (AD, LDAP, │ │ CLS/PKI) │ └──────────────┘
NAS = Network Access Server (z.B. WLAN Access Point, Switch) - nicht zu verwechseln mit Storage-NAS!
Folie 7 von 12

📡 WPA Enterprise / 802.1X

WLAN-Sicherheit im Vergleich:

Standard Authentifizierung Einsatz
WPA2-PSK (Personal) Gemeinsames Passwort Heimnetzwerke
WPA2-Enterprise Individuelle Zertifikate/Accounts Unternehmen
WPA3-Enterprise 192-bit Verschlüsselung Hochsicherheit

802.1X Authentifizierung:

1. Client verbindet mit Access Point ↓ 2. AP fordert Authentifizierung (EAP Request) ↓ 3. Client sendet Zertifikat/Credentials ↓ 4. AP leitet an RADIUS weiter ↓ 5. RADIUS prüft gegen CLS/PKI/AD ↓ 6. RADIUS sendet Accept/Reject ↓ 7. AP erlaubt/verweigert Zugang ↓ 8. Bei Erfolg: Verschlüsselter Datentransfer
Vorteil: Jeder Benutzer hat eigene Credentials - keine gemeinsamen Passwörter!
Folie 8 von 12

🔐 EAP-Methoden (Extensible Authentication Protocol)

Wichtigste EAP-Varianten für WPA Enterprise:

EAP-TLS (Transport Layer Security)

  • Höchste Sicherheit!
  • Client UND Server benötigen Zertifikate
  • Gegenseitige Authentifizierung
  • Keine Passwörter nötig
  • ✅ Empfohlen für Unternehmen mit PKI

PEAP (Protected EAP)

  • Nur Server benötigt Zertifikat
  • Client authentifiziert mit Benutzername/Passwort
  • Geschützter Tunnel für Credentials
  • ✅ Gut für BYOD-Szenarien

EAP-TTLS (Tunneled TLS)

  • Ähnlich wie PEAP
  • Flexibler bei Backend-Systemen
  • Unterstützt Legacy-Authentifizierung
In Prüfungen: EAP-TLS = höchste Sicherheit, PEAP = guter Kompromiss für gemischte Umgebungen
Folie 9 von 12

🔄 Integration: Alle Komponenten zusammen

Das komplette Sicherheits-Ökosystem:

┌─────────────────────────────────────────────────┐ │ MDM System (Intune) │ │ • Geräteregistrierung │ │ • Policy-Verteilung │ │ • Zertifikatsinstallation │ └────────────┬────────────────────────────────────┘ │ ├──→ Anforderung Zertifikate │ ┌────────────▼────────────────────────────────────┐ │ CLS / PKI System │ │ • Zertifikatsausstellung │ │ • Lifecycle Management (Renewal, Revocation) │ │ • Software-Lizenzverwaltung │ └────────────┬────────────────────────────────────┘ │ ├──→ Zertifikate zurück an MDM ├──→ CRL/OCSP für Validierung │ ┌────────────▼────────────────────────────────────┐ │ RADIUS Server │ │ • Prüft Zertifikate gegen PKI │ │ • AAA (Authentication, Authorization, Acct.) │ │ • Protokollierung │ └────────────┬────────────────────────────────────┘ │ ├──→ Accept/Reject │ ┌────────────▼────────────────────────────────────┐ │ WLAN Access Point (WPA Enterprise) │ │ • 802.1X Port-basierte Authentifizierung │ │ • EAP-TLS/PEAP │ └────────────┬────────────────────────────────────┘ │ ↓ ┌─────────────┐ │ Client │ │ (Gerät mit │ │ Zertifikat)│ └─────────────┘
Folie 10 von 12

💼 Praxisbeispiel: Neuer Mitarbeiter

Szenario: Lisa beginnt ihre Arbeit

Tag 1 - 09:00 Uhr: Enrollment
  • Lisa erhält Firmen-Smartphone (iPhone)
  • IT gibt ihr Enrollment-Code für MDM
  • Lisa registriert Gerät in Microsoft Intune
Tag 1 - 09:15 Uhr: Automatische Konfiguration
  • MDM fordert bei CLS Zertifikate für Lisa an
  • CLS stellt aus: Client-Zertifikat, VPN-Zertifikat, Software-Lizenzzertifikat
  • MDM installiert automatisch:
    • Alle Zertifikate
    • WLAN-Profil (WPA Enterprise mit EAP-TLS)
    • VPN-Profil
    • Firmen-Apps (Outlook, Teams, etc.)
    • Sicherheitsrichtlinien (PIN, Verschlüsselung)
Tag 1 - 09:30 Uhr: Erster WLAN-Zugang
  • Lisa wählt Firmen-WLAN "Company-Secure"
  • Ihr Gerät sendet Client-Zertifikat an Access Point
  • AP leitet an RADIUS-Server weiter
  • RADIUS prüft Zertifikat gegen CLS/PKI
  • ✅ Zertifikat gültig → Zugang gewährt
  • Kein Passwort nötig - alles automatisch!
Tag 1 - 10:00 Uhr: Software-Nutzung
  • Lisa öffnet Adobe Creative Cloud
  • Software prüft Lizenzzertifikat lokal
  • Validiert gegen CLS via OCSP
  • ✅ Lizenz gültig → Alle Features freigeschaltet
6 Monate später - Lisa kündigt:
  • IT sperrt alle Zertifikate in CLS
  • MDM führt Selective Wipe durch
  • RADIUS verweigert WLAN-Zugang
  • Software deaktiviert sich automatisch
  • Alles zentral gesteuert - kein manueller Aufwand!
Folie 11 von 12

📝 Prüfungstipps für die AP2

Wichtige Konzepte die ihr kennen müsst:

MDM:

  • Unterschied zwischen Remote Wipe und Selective Wipe
  • BYOD vs. COPE Szenarien
  • Welche Sicherheitsrichtlinien kann MDM durchsetzen?

CLS / PKI:

  • Aufgaben von CA, RA, CRL, OCSP
  • Zertifikats-Lebenszyklus (Ausstellung bis Sperrung)
  • X.509 Zertifikatsstruktur
  • Verwendung für Authentifizierung UND Lizenzierung

RADIUS:

  • AAA = Authentication, Authorization, Accounting
  • Komponenten: Client, NAS (Access Point), RADIUS Server
  • Zusammenspiel mit 802.1X

WPA Enterprise / 802.1X:

  • WPA-PSK vs. WPA-Enterprise
  • EAP-Methoden: EAP-TLS (höchste Sicherheit), PEAP
  • Port-basierte Zugriffskontrolle

Typische Prüfungsfragen:

"Ein Unternehmen möchte sicheres WLAN ohne gemeinsames Passwort. Welche Technologien werden benötigt?"
Antwort: WPA Enterprise, 802.1X, RADIUS, PKI/CLS für Zertifikate, MDM für Verteilung
"Was passiert bei gesperrtem Zertifikat?"
Antwort: RADIUS verweigert Authentifizierung, Software deaktiviert sich, kein Netzwerkzugang
"Unterschied CLSM vs. VLSM?"
Bonus aus erster Frage: CLSM = Constant Length (gleiche Maske), VLSM = Variable Length (verschiedene Masken)
Folie 12 von 12