WPA3 (Wi-Fi Protected Access 3) ist die dritte Generation der WLAN-Sicherheitsstandards. Die Wi-Fi Alliance veröffentlichte sie 2018 als Nachfolger von WPA2. WPA3 behebt die bekannten Schwächen von WPA2: Die Passphrase-Übergabe ersetzt das neue Verfahren SAE (Simultaneous Authentication of Equals), und der Schutz von Verwaltungsframes (Protected Management Frames, PMF) ist Pflicht statt Option.
SAE statt PSK-Handshake
WPA3-Personal authentifiziert sich über SAE (im IEEE-Standard 802.11-2016 definiert, auch Dragonfly genannt). SAE nutzt ein kryptografisches Schlüsselaustauschverfahren auf Basis diskreter Logarithmen: Beide Seiten beweisen ihr Passwort-Wissen, ohne es zu übertragen. Dadurch sind Offline-Wörterbuchangriffe auf abgehörte Handshakes praktisch ausgeschlossen — der Angreifer muss bei jedem Rateversuch mit dem echten Netz interagieren. Zusätzlich liefert SAE Perfect Forward Secrecy: Selbst mit der Passphrase lassen sich vergangene Sitzungen nicht entschlüsseln.
Enterprise- und Sondermodi
- WPA3-Enterprise bietet mit dem 192-Bit-Modus (Suite B) eine besonders starke Variante für Behörden und Unternehmen: AES-GCMP-256 für Daten, HMAC-SHA-384 für die Integritätssicherung — kombiniert mit EAP-Verfahren wie EAP-TLS auf Basis von Zertifikaten.
- WPA3-Transition-Modus erlaubt älteren Geräten den Betrieb mit WPA2, während neue Clients WPA3 nutzen. Gemischte Netze sind dadurch aber nur so stark wie die schwächste Verbindung.
- OWE (Opportunistic Wireless Encryption) verschlüsselt offene Gastnetze einzeln pro Client — ohne Passwort, aber mit Schutz vor passivem Mithören.
Verbreitung
WPA3 ist seit 2018 Pflicht für neue Wi-Fi-zertifizierte Geräte, setzte sich im Bestand aber nur langsam durch. Viele Heimrouter bieten WPA2/WPA3-Transition an; der 2020 veröffentlichte Dragonblood-Forschungsangriff zeigte Schwächen in frühen SAE-Implementierungen, die durch Updates behoben wurden. Für neue Netze empfiehlt das BSI WPA3 bzw. den Transition-Modus mit starkem Passwort.
Verwandte Grundlagen: hostapd-Befehle, WPA2, Access Point, 802.1X.