WPA3 vs. WPA2: Was sollten Sie nutzen?

Der WLAN-Einstellungsbildschirm Ihres Routers hat jetzt einen WPA3-Schalter, und jede Anleitung, die Sie gelesen haben, sagt "einfach aktivieren". Dann fällt Ihnen die fünf Jahre alte Smart-Steckdose in der Küche ein, und Sie sind sich nicht sicher, was passiert, wenn Sie umschalten.

Das ist ein Baustein in unserem Werkzeugkasten für Online-Datenschutz — die WLAN-Verschlüsselung ist eine einzelne Maßnahme darin, verdient aber eine eigene Erklärung, denn "einfach WPA3 nutzen" ist zwar richtiger Rat, überspringt aber genau das, was Menschen wirklich zum Stolpern bringt: Kompatibilität. Ich betreibe selbst ein gemischtes Netzwerk, auf demselben Proxmox-Homelab-Aufbau, genau weil nicht alles, was ich besitze, bereits WPA3 unterstützt.

TL;DR

WPA3 ersetzt den Handshake von WPA2 durch SAE (Simultaneous Authentication of Equals), was Offline-Wörterbuchangriffe gegen abgefangenen WLAN-Traffic blockiert — WPA2s größte reale Schwachstelle.
Unterstützen alle Geräte in Ihrem Netzwerk WPA3, aktivieren Sie es. Es gibt keinen echten Nachteil.
Unterstützt auch nur ein Gerät kein WPA3, fällt es bei einem reinen WPA3-Netzwerk stillschweigend heraus — keine Fehlermeldung, es verbindet sich einfach nicht mehr.
Die Lösung ist ein WPA2/WPA3-"Übergangs-" oder "Mixed"-Modus, den die meisten Router der letzten Jahre unterstützen, statt einer Alles-oder-nichts-Umstellung.
WPA2-AES (CCMP, nicht das veraltete TKIP) ist für den Heimgebrauch weiterhin echt sicher, falls Ihre Hardware WPA3 gar nicht unterstützt.

KEY-STAT: 0 — erfolgreiche Offline-Wörterbuchangriffe gegen einen abgefangenen WPA3-SAE-Handshake möglich — jeder Authentifizierungsversuch erfordert eine Live-Interaktion mit dem Access Point, anders als beim PSK-Handshake von WPA2.

Was sich zwischen WPA2 und WPA3 wirklich geändert hat

Der zentrale Unterschied liegt im Authentifizierungs-Handshake, nicht in der Datenverschlüsselung selbst.

	WPA2	WPA3
Handshake	4-Wege-PSK-Handshake	SAE (Simultaneous Authentication of Equals)
Offline-Wörterbuchangriffe	Möglich gegen einen abgefangenen Handshake	Blockiert — jeder Versuch erfordert Live-Interaktion mit dem AP
Forward Secrecy	Nein — ein geleaktes Passwort entschlüsselt vergangenen erfassten Traffic	Ja — jede Sitzung nutzt eindeutige, danach verworfene Schlüssel
Schutz in offenen Netzen	Keiner (öffentliches WLAN ist vollständig im Klartext)	Individualisierte Datenverschlüsselung auch in "offenen" WPA3-Netzen
Empfohlene Mindest-Chiffre	AES (CCMP) — niemals TKIP	AES (CCMP), verpflichtend

Die Schwachstelle von WPA2 war nie die AES-Verschlüsselung selbst — es ist der PSK-Handshake. Wer diesen Handshake abfängt (mit gängigen Tools trivial, wenn man bereits in Reichweite des Netzwerks ist), kann Passwort-Vermutungen offline dagegen testen, so schnell die eigene Hardware es zulässt, ohne jede Rate-Begrenzung durch den Router. Der SAE-Handshake von WPA3 schließt genau diese Lücke: Jeder Authentifizierungsversuch erfordert einen Live-Austausch mit dem Access Point, es gibt also nichts Brauchbares, das man später abfangen und knacken könnte.

Die Kompatibilitätsfalle, vor der niemand warnt

Das habe ich auf die ärgerliche Art herausgefunden. Nachdem ich meinen Router nach demselben "einfach aktivieren"-Rat, den alle geben, auf reines WPA3 umgestellt hatte, verschwand eine Smart-Steckdose, die seit drei Jahren lief, stillschweigend aus dem Netzwerk. Keine Fehlermeldung, kein Log-Eintrag, der auf WLAN hindeutete — sie ging einfach offline, und ich habe zwanzig Minuten die Steckdose selbst geprüft, bevor mir klar wurde, dass der Router das eigentliche Problem war.

Ältere IoT-Geräte — Smart-Steckdosen, manche Smart-TVs, günstige Überwachungskameras, alles mit WLAN-Firmware von vor etwa 2020 — unterstützen häufig gar kein WPA3. Richtet man sie auf ein reines WPA3-Netzwerk aus, stufen sie nicht sanft herab; sie scheitern schlicht daran, sich zu verbinden.

Warning

Bevor Sie Ihr gesamtes Netzwerk auf reines WPA3 umstellen, prüfen Sie jedes Gerät, das sich damit verbindet — besonders alles, das Sie einmal eingerichtet und danach nie wieder beachtet haben (Smart-Steckdosen, Drucker, ältere Kameras). Ein stiller Ausfall ist deutlich schwerer zu diagnostizieren als eine Fehlermeldung, weil nichts am Gerät selbst Ihnen sagt, dass WLAN das Problem ist.

So richten Sie ein sicheres WPA2/WPA3-Übergangsnetzwerk ein

Die meisten Router der letzten Jahre unterstützen einen "WPA2/WPA3 Mixed"- oder "Übergangs"-Modus, statt eine Alles-oder-nichts-Entscheidung zu erzwingen. Er befindet sich meist auf demselben WLAN-Sicherheitsbildschirm wie der WPA3-Schalter:

Öffnen Sie die WLAN-Sicherheitseinstellungen Ihres Routers.
Suchen Sie nach einer Option namens "WPA2/WPA3 Mixed", "WPA3-Übergang" oder ähnlich — die genaue Bezeichnung variiert je nach Hersteller.
Wählen Sie diese statt "Nur WPA3". Geräte mit WPA3-Unterstützung nutzen es automatisch; ältere Geräte fallen ohne Verbindungsabbruch auf WPA2-AES zurück.
Stellen Sie sicher, dass der Fallback auf WPA2-AES (CCMP) gesetzt ist, niemals auf WPA2-TKIP — ein Übergangsmodus ist nur so sicher wie seine Fallback-Chiffre.

Das ist kein dauerhafter Kompromiss — es ist die richtige Einstellung für nahezu jedes reale Heimnetzwerk, da kaum jemand ausschließlich WPA3-fähige Hardware besitzt. Stellen Sie erst dann auf reines WPA3 um, wenn jedes Gerät, das Sie besitzen, ersetzt wurde oder nachweislich WPA3 unterstützt.

Note

Ein gemischtes Netzwerk schwächt die Verbindungen WPA3-fähiger Geräte nicht — jedes Gerät handelt seinen eigenen Handshake-Typ aus. Ein WPA3-fähiges Smartphone in einem gemischten Netzwerk erhält denselben SAE-Schutz wie in einem reinen WPA3-Netzwerk; nur die älteren Geräte nutzen WPA2.

Wann WPA2-AES noch in Ordnung ist

Unterstützt Ihr Router selbst kein WPA3 — üblich bei Hardware von vor 2020 —, ist WPA2-AES (CCMP) für den Heimgebrauch weiterhin eine vertretbare Wahl. Es ist nicht immun gegen die oben beschriebene Offline-Wörterbuchangriff-Schwäche, aber ein wirklich starkes, individuelles WLAN-Passwort (nicht der Aufkleber auf dem Router) macht diesen Angriff für einen opportunistischen Angreifer unpraktikabel. Die Einstellung, die an diesem Punkt eigentlich mehr zählt, ist alles andere auf der Härtungs-Checkliste — Standardzugangsdaten, WPS, UPnP — nichts davon behebt WPA3 allein.

WLAN-Verschlüsselung ist eine Ebene, nicht das ganze Bild

WPA2/WPA3 richtig einzustellen verhindert, dass jemand Ihren WLAN-Traffic auf Funkebene mitliest oder fälscht. Es betrifft nicht, was passiert, nachdem ein Gerät verbunden ist — dafür zählt auch, welchen DNS-Resolver Ihre Geräte nutzen. Unverschlüsseltes DNS verrät weiterhin jedem am Kabel, welche Domains ein Gerät anfragt, WPA3 hin oder her, denn WLAN-Verschlüsselung und DNS-Verschlüsselung lösen zwei verschiedene Probleme. Betrachten Sie diesen Artikel, die Router-Checkliste und verschlüsseltes DNS als drei getrennte Ebenen desselben Härtungs-Durchgangs — keine ersetzt die andere.

WPA3-vs-WPA2-Entscheidungscheckliste

Jedes Gerät im Netzwerk unterstützt WPA3 → auf reines WPA3 stellen.
Mix aus alten und neuen Geräten → WPA2/WPA3-Übergangs-/Mixed-Modus einstellen, Fallback-Chiffre AES (niemals TKIP).
Router unterstützt WPA3 gar nicht → WPA2-AES mit starkem, individuellem Passwort ist weiterhin vertretbar.
Niemals WPA2-TKIP oder ein offenes Netzwerk wählen, unabhängig davon, welcher der obigen Fälle zutrifft.

Häufig gestellte Fragen

Lohnt sich der Wechsel zu WPA3?

Ja, sofern Router und Geräte es unterstützen — es schließt WPA2s größte praktische Schwachstelle (Offline-Wörterbuchangriffe gegen einen abgefangenen Handshake), ohne echten Nachteil für unterstützte Geräte.

Macht WPA3 meine älteren Smart-Home-Geräte unbrauchbar?

Ein reines WPA3-Netzwerk lässt jedes Gerät, das kein WPA3 unterstützt, stillschweigend fallen — keine Fehlermeldung, es verbindet sich einfach nicht mehr. Nutzen Sie stattdessen einen WPA2/WPA3-Übergangs- oder Mixed-Modus, falls Sie ältere Hardware besitzen.

Was ist der WPA2/WPA3-Übergangsmodus?

Eine Router-Einstellung, die WPA3-fähigen Geräten erlaubt, den SAE-Handshake von WPA3 zu nutzen, während ältere Geräte automatisch auf WPA2-AES zurückfallen — im selben Netzwerk, ohne dass etwas herausfällt.

Ist WPA2-AES 2026 noch sicher?

Für den Heimgebrauch mit einem starken, individuellen Passwort: ja — WPA2-AES (CCMP, nicht TKIP) hat keinen praktischen Bruch. WPA3 ist die bessere Wahl, wenn verfügbar, aber WPA2-AES ist kein gefährlicher Fallback wie WPA2-TKIP oder ein offenes Netzwerk.

Alle Angaben ohne Gewähr. Dieser Beitrag dient allgemeinen Informationszwecken und ersetzt keine individuelle technische Beratung.