TL;DR: Wi-Fi-Spoofing ist kein Verschlüsselungsangriff. Es ist ein Identitätsangriff: Der Angreifer klont eine SSID, nutzt eine zweite BSSID, wirbt mit stärkerem Signal und schickt — falls nötig — Deauthentifizierungs-Frames, damit Clients sich neu verbinden. Ein Captive Portal fragt dann nach dem Passwort, das die Nutzer ohnehin kennen. WPA3 mit PMF, 802.1X mit Zertifikatsprüfung, Auto-Join aus und Duplicate-SSID-Monitoring machen aus einem überzeugenden Zwilling einen gescheiterten Angriff.
Die Ausgangslage
Ein Standort hat zwei Netze: eine Firmen-SSID mit WPA2-Enterprise und ein Gast-WLAN mit Captive Portal. Handys und Laptops der Mitarbeiter kennen beide. Am Empfang ist das Firmennetz schwach, das Gastnetz stark. Niemand denkt darüber nach — genau das ist der Punkt.
Ein Angreifer mit einem zweiten Funkgerät und einem Laptop sitzt im Parkhaus. Er muss WPA2 nicht knacken. Er braucht nur eine Entscheidung des Clients — und einen Nutzer, der ein Passwort eintippt.
Dieser Artikel beschreibt Mechanik und Verteidigung. Er ist keine Anleitung, fremde Netze anzugreifen. Jeder aktive Test gehört in ein isoliertes Labor oder in ein schriftlich beauftragtes Engagement mit Scope. Ich habe alle identifizierenden Netzwerknamen und Werte entfernt.
Das Muster
Eine SSID ist ein Name, keine Identität
Ein Beacon Frame ist eine öffentliche Anzeige. Er trägt die SSID, die BSSID (die Funk-MAC), den Kanal und die Security-Parameter. Clients speichern ein Profil pro SSID: „Das ist mein Netz, so authentifiziere ich mich.“
Die SSID kann jeder duplizieren. Die BSSID ist eine MAC-Adresse und lässt sich klonen. Die Security-Parameter lassen sich kopieren — oder herabstufen. Nichts in WPA2 beweist dem Client, dass der AP der erwartete ist. Genau das fügen WPA3 und 802.1X hinzu.
Clients wählen nach Signal, Security und Erinnerung
Wenn ein gespeichertes Netz in Reichweite ist, entscheidet der Client, ob er beitritt. Die Eingaben sind ungefähr:
- steht die SSID in meiner Profilliste?
- passt die Security zu dem, was ich gespeichert habe?
- wie stark ist das Signal?
- ist das die BSSID, die ich zuletzt benutzt habe?
Ein Zwilling gewinnt bei der dritten Eingabe: Funkgerät näher hinstellen oder Sendeleistung hochdrehen, und der Client sieht eine bessere Version des Netzes, dem er ohnehin vertraut. Manche Clients roamen automatisch zur stärksten BSSID. Andere brauchen einen Schubs.
Deauth ist der Schubs
Management Frames — Deauthentication und Disassociation — sind in WPA2 nicht verschlüsselt. Ein Angreifer kann sie fälschen und Clients vom echten AP trennen. Die Clients verbinden sich neu, und jetzt ist der stärkere Zwilling der beste Kandidat. Deshalb ist PMF (802.11w) wichtig: Es signiert Management Frames, ein gefälschter Deauth wird abgelehnt. WPA3 erzwingt PMF; WPA2 nicht.
Deauth ist außerdem ein grobes Werkzeug. Es ist sichtbar, es stört, und es ist unnötig, wenn der Zwilling ohnehin das stärkere Signal hat. Die leise Variante ist einfach: besseres Signal, gleicher Name, warten.
Das Captive Portal macht den Rest
Der Zwilling beantwortet DHCP und DNS. Er verteilt sein eigenes Gateway und seinen Resolver, und jeder Name zeigt auf ein lokales Portal. Das Portal sieht aus wie der Gast-Login, den Nutzer hundertmal gesehen haben: „Sitzung abgelaufen, bitte erneut anmelden.“
Der Nutzer tippt das Firmenpasswort. Der Angreifer hat jetzt ein Credential, das er gegen SSO, VPN oder Mail wiederverwenden kann. Auch ohne Portal kann der Zwilling DNS und Klartext-HTTP abgreifen, ein bösartiges Profil ausliefern oder den Client als Einstieg ins Firmen-LAN nutzen.
Was Spoofing nicht ist
- Es ist kein WPA2-Crack. Der Angreifer gewinnt den PSK nicht.
- Es ist kein Router-Exploit. Der Router ist in Ordnung; der Client wird überzeugt.
- Es ist nicht durch ein längeres Passwort besiegt. Der Nutzer gibt das Passwort freiwillig ins Portal.
- Es ist nicht immer laut. Die stärkste Variante ist ein stiller Zwilling mit besserem Signal und ganz ohne Deauth.
Detection-Signale, die wirklich funktionieren
| Signal | Warum es zählt | Was zu tun ist |
|---|---|---|
| Doppelte SSID mit neuer BSSID | Die klassische Zwilling-Signatur | Alarmieren; mit dem autorisierten BSSID-Inventar vergleichen |
| Security-Downgrade (WPA2 zu OPEN) | Ein Client sollte das für ein gespeichertes Profil nie akzeptieren | Als kritisch behandeln; Auto-Join blocken |
| Gleiche SSID auf unerwartetem Kanal | Der echte AP ist nicht umgezogen | Nachprüfen; mit AP-Inventar korrelieren |
| RSSI-Sprung von -70 auf -35 dBm | Ohne neues Funkgerät in der Nähe physikalisch unplausibel | Triangulieren; nach Rogue Device suchen |
| DHCP- oder DNS-Wechsel bei bekannter SSID | Rogue Gateway oder Resolver | Mit erwarteten DHCP-Optionen vergleichen |
| Zertifikatsfehler bei internen Namen | Interception oder Portal | Nicht wegklicken; melden |
| Captive Portal auf einer Firmen-SSID | Firmennetze portalen normalerweise nicht | Bis zum Beweis des Gegenteils als feindlich behandeln |
Ein WIDS macht das kontinuierlich. Ein Laptop kann es im Incident stichprobenartig prüfen — aber manuelles Scannen ist keine Kontrolle.
Verteidigung: Identität, nicht nur Verschlüsselung
- WPA3-SAE mit PMF. Signierte Management Frames stoppen den Deauth-Schubs; SAE entfernt die Offline-Handshake-Fläche.
- 802.1X mit EAP-TLS. Der Client prüft das AP-Zertifikat. Ein geklonter SSID ohne den privaten Schlüssel kommt durch den Handshake nicht durch.
- Server-Zertifikatsprüfung auf den Clients. Wenn der Supplicant jedem Zertifikat vertraut, ist 802.1X Dekoration.
- Auto-Join für sensible SSIDs aus. Der Client soll nicht still einem gespeicherten Firmennetz an einem öffentlichen Ort beitreten.
- VPN oder DNS über HTTPS in Gastnetzen. Schützt den Verkehr, der den Client nach der Assoziation noch verlässt.
- WIDS/WIPS und ein BSSID-Inventar. Man kann nicht auf einen Zwilling alarmieren, wenn man die eigenen BSSIDs nicht kennt.
- Gast-Isolation und kein WPS. Ein Gastclient soll das Firmen-VLAN nicht erreichen; WPS gehört überall aus.
- Nutzer-Schulung, die den Trick benennt. „Wenn das Firmen-WLAN dich erneut nach dem Login fragt: stehen bleiben und IT anrufen“ ist eine bessere Kontrolle als eine weitere Passwortregel.
Das Labor: simulieren, bevor du Funk anfasst
Das Wi-Fi-Audit-Toolkit in diesem Repo läuft standardmäßig in Simulation. WIFI_SIM=1 erzeugt synthetische APs, Clients, Deauth-Zähler und Portal-Credentials; kein Funk wird berührt. Das reicht, um Logik, UI und Report zu testen — und es ist die einzige verantwortungsvolle Art, Spoofing auf einem Laptop zu demonstrieren.
Echte Funkarbeit ist Track B: ein Linux-Host mit USB-Adapter, der AP- und Monitor-Mode kann (oder ein Raspberry Pi), hostapd, dnsmasq und ein Captive Portal. Ein M1-Mac kann auf der internen Wi-Fi weder Monitor-Mode noch Frame-Injection, und airport wurde aus modernen macOS-Versionen entfernt. Simulation zuerst, Hardware danach, Scope immer.
Fazit
Der Zwilling braucht keine Schwachstelle. Er braucht einen Client, der einem Namen vertraut, einen Nutzer, der einem Portal vertraut, und ein Netzteam, das seine eigenen BSSIDs nie inventarisiert hat.
Das Passwort war nie der schwache Punkt. Die Identitätsprüfung war es.
Sobald ein Angreifer Zugriff hat, kann er folgende Aktionen durchführen:
Alle Netzwerknamen und Werte sind synthetisch. Keine Funkaussendung, keine Credential-Erfassung, keine Tests gegen Dritte. Aktives Wi-Fi-Testing erfordert schriftliche Genehmigung und ein isoliertes Labor.