WPA3 macht aus einem schlechten Passwort kein gutes. Es macht das Raten zu einem langsamen, lauten und ziemlich langweiligen Hobby.
Kurz gesagt
WPA3 ist die aktuelle Sicherheitszertifizierung der Wi-Fi Alliance und der Nachfolger von WPA2 [1][2]. Für Heimnetze (WPA3-Personal) ersetzt es den alten Handshake mit vorab geteiltem Schlüssel durch SAE (Simultaneous Authentication of Equals), das dem Erraten von Passwörtern widersteht, und es verlangt Protected Management Frames [1][2][3]. Wi-Fi-CERTIFIED-Geräte müssen es unterstützen [1]. Unsere Einschätzung: Schalte den Übergangsmodus „WPA2 + WPA3“ ein, wenn dein Router ihn anbietet, und wechsle erst auf reines WPA3, wenn jedes Gerät damit klarkommt.
So funktioniert’s
- Zwei Varianten. WPA3-Personal ist für passwortbasierte Heim- und Kleinbüronetze, WPA3-Enterprise für Netze mit individuellen Anmeldungen [2]. Dieser Eintrag behandelt Personal.
- SAE statt PSK. SAE ist ein Schlüsselaustausch, der zwei Teilnehmer allein mit einem Passwort authentifiziert. Jeder Client erhält einen frischen Pairwise Master Key. Weder dieser Schlüssel noch das Passwort lassen sich durch einen passiven Angriff, einen aktiven Angriff oder einen Offline-Wörterbuchangriff erlangen, und ein Angreifer kann pro aktivem Versuch nur ein Passwort raten [3].
- Forward Secrecy. Durch die Art des SAE-Handshakes lässt sich eine aufgezeichnete Sitzung später nicht entschlüsseln, selbst wenn das Passwort danach bekannt wird [3]. Unsere Lesart: Für früher aufgezeichneten Datenverkehr zählt ein durchgesickertes Passwort dann deutlich weniger.
- Protected Management Frames. WPA3-Netze nutzen aktuelle Sicherheitsprotokolle, verbieten veraltete Altprotokolle und verlangen PMF. PMF schützt Management-Action-Frames vor Fälschung, die Unicast-Frames zusätzlich vor Mithören [1].
- Übergangsmodus. Im Modus WPA3-Personal Only bietet der Access Point SAE an, aktiviert kein PSK und verlangt PMF [4]. Ein Übergangsmodus lässt WPA2- und WPA3-Geräte denselben Netzwerknamen und dasselbe Passwort teilen [5]. AVM weist darauf hin, dass WPA3-Verbindungen in beiden Fällen gleich sicher sind, WPA2-Geräte dort aber PMF nutzen müssen, was ältere womöglich nicht können [5]. Unsere Lesart: WPA2-Clients in einem gemischten Netz behalten WPA2-Schutz, nicht den von WPA3.
- Enterprise 192 Bit. Ein optionaler Modus für sensible Netze nutzt 256-Bit-GCMP, und ein dafür konfiguriertes Netz verlangt von allen Clients denselben Modus, es gibt also keinen Übergangsmodus [3][4].
Ein Praxisbeispiel
Du willst WPA3 zu Hause. Zuerst aktualisierst du die Router-Firmware, dann stellst du den Router auf „WPA2 + WPA3“ und verbindest die Geräte neu, die danach fragen. AVMs eigene FRITZ!-Seiten sagen, dass ältere WLAN-Geräte und manche WLAN-Drucker PMF nicht unterstützen und sich dann nicht verbinden, und dass ein Firmware-Update helfen kann [6]. Erst wenn kein altes Gerät mehr übrig ist, wechselst du auf reines WPA3. Wir haben nicht dokumentiert, welche Router oder WLAN-Geräte wir nutzen (das Inventar vom 14. bis 16. Okt. 2026 enthält keine WLAN-Daten), deshalb ist das ein allgemeiner Ablauf.
Prüfliste
- Aktualisiere die Router-Firmware, bevor du eine WLAN-Einstellung änderst [6].
- Liste alle WLAN-Geräte auf, auch Drucker, Steckdosen und Konsolen.
- Wähle zuerst „WPA2 + WPA3“ und verbinde Geräte neu, die scheitern [5][6].
- Prüfe die Unterstützung von Betriebssystem und Treiber, denn beide müssen WPA3 kennen [6].
- Wechsle erst auf reines WPA3, wenn jedes Gerät damit verbindet [4].
- Nimm eine lange, einmalige Passphrase; WPA3 bremst das Raten, aber behebt kein schwaches Passwort [3].