WPA2 oder WPA3: Welche WLAN-Verschlüsselung ist besser?

Wenn du die WLAN-Einstellungen deines Routers öffnest, findest du meistens mehrere Sicherheitsoptionen. Dabei stellt sich schnell die Frage: WPA2 oder WPA3 – welche Verschlüsselung solltest du für dein Heimnetzwerk verwenden? Beide Standards schützen deine WLAN-Verbindung vor unbefugtem Zugriff, unterscheiden sich aber bei der Sicherheit und der Unterstützung älterer Geräte.

WPA3 ist der modernere Standard und bietet einige wichtige Verbesserungen. Allerdings unterstützen längst nicht alle Smartphones, Drucker, Fernseher oder Smart-Home-Geräte diese Technik. Wer einfach auf WPA3 umstellt, riskiert deshalb, dass einzelne Geräte plötzlich keine Verbindung mehr herstellen können.

Viele Router bieten aus diesem Grund einen Mischmodus an, bei dem WPA2 und WPA3 parallel genutzt werden können. Das klingt zunächst nach der perfekten Lösung, bringt aber ebenfalls einige Besonderheiten mit sich.

Welche Einstellung für dein WLAN sinnvoll ist, hängt daher vor allem von deinen Geräten ab. Mit ein paar grundlegenden Informationen kannst du die passende Verschlüsselung auswählen, ohne unnötige Verbindungsprobleme zu verursachen.

Was bedeuten WPA2 und WPA3 überhaupt?

WPA steht für Wi-Fi Protected Access. Dahinter steckt ein Sicherheitsverfahren, das WLAN-Verbindungen vor dem Mitlesen und vor unberechtigtem Zugriff schützen soll.

Wenn du dein Smartphone oder deinen Laptop mit einem geschützten WLAN verbindest, wird die Datenübertragung zwischen dem Gerät und dem WLAN-Zugangspunkt verschlüsselt. Andere Personen in Funkreichweite sollen dadurch nicht einfach den übertragenen Datenverkehr mitlesen können.

WPA2 wurde 2004 eingeführt und hat sich über viele Jahre als Standard für private WLAN-Netzwerke etabliert. Auch heute wird WPA2 von zahlreichen Routern und Endgeräten unterstützt.

WPA3 wurde 2018 eingeführt und verbessert vor allem die Sicherheit bei der Anmeldung am WLAN. Der neue Standard erschwert bestimmte Angriffe auf WLAN-Passwörter und bietet zusätzliche Schutzmechanismen.

Für private Heimnetzwerke sind insbesondere diese beiden Varianten interessant:

• WPA2-Personal: Der verbreitete Sicherheitsstandard für Heimnetzwerke, normalerweise mit AES-basierter CCMP-Verschlüsselung.
• WPA3-Personal: Der modernere Standard, der ein verbessertes Anmeldeverfahren namens SAE verwendet.

Daneben gibt es Enterprise-Varianten für Unternehmensnetzwerke. Diese arbeiten mit einer zentralen Benutzeranmeldung und spielen für ein gewöhnliches Heimnetzwerk meistens keine Rolle.

Wichtig ist außerdem die Unterscheidung zwischen WLAN-Verschlüsselung und WLAN-Geschwindigkeit. WPA2 und WPA3 bestimmen in erster Linie, wie die Verbindung abgesichert wird. Ob dein WLAN Wi-Fi 5, Wi-Fi 6 oder Wi-Fi 7 verwendet, ist eine andere Frage.

WPA2 oder WPA3: Die wichtigsten Unterschiede

Der größte Unterschied zwischen WPA2 und WPA3 liegt im Schutz des WLAN-Passworts und im Verfahren, mit dem sich Geräte am Netzwerk anmelden.

Bei WPA2-Personal wird üblicherweise ein Verfahren mit einem gemeinsamen WLAN-Passwort eingesetzt. Angreifer können unter bestimmten Voraussetzungen Daten des Verbindungsaufbaus aufzeichnen und anschließend offline versuchen, das Passwort zu erraten.

WPA3-Personal verwendet dagegen das Verfahren SAE (Simultaneous Authentication of Equals). Dabei wird die Anmeldung so gestaltet, dass ein aufgezeichneter Verbindungsaufbau nicht mehr für dieselbe Art von Offline-Passwortangriff genutzt werden kann.

Die wichtigsten Unterschiede lassen sich übersichtlich gegenüberstellen:

Eigenschaft	WPA2-Personal	WPA3-Personal
Einführung	2004	2018
Sicherheit	Gut bei richtiger Konfiguration	Verbesserter Schutz
Anmeldeverfahren	Üblicherweise PSK	SAE
Offline-Passwortangriffe	Bei schwachen Passwörtern möglich	Deutlich erschwert
Schutz von Management-Frames	Optional	Verpflichtend
Unterstützung älterer Geräte	Sehr gut	Eingeschränkt
Für moderne Heimnetzwerke	Weiterhin geeignet	Bevorzugte Wahl

WPA3 schützt besser vor Passwortangriffen

Bei WPA2 können Angreifer unter bestimmten Bedingungen einen sogenannten Handshake aufzeichnen. Das ist ein Teil des Datenaustauschs, der beim Aufbau einer geschützten WLAN-Verbindung stattfindet.

Anschließend können sie mit geeigneter Software zahlreiche Passwortkandidaten ausprobieren, ohne dafür ständig eine neue Verbindung zum Router herstellen zu müssen.

Besonders gefährdet sind einfache WLAN-Passwörter, die aus bekannten Wörtern, Namen oder häufig verwendeten Zahlenkombinationen bestehen.

WPA3 verhindert durch SAE diese klassische Form des Offline-Wörterbuchangriffs auf den aufgezeichneten Anmeldevorgang. Die Wi-Fi Alliance erläutert die technischen Verbesserungen von WPA3 und das zugrunde liegende SAE-Verfahren ausführlicher.

Ein Angreifer kann also nicht einfach denselben Handshake sammeln und anschließend beliebig viele Passwortversuche offline durchführen.

Das bedeutet allerdings nicht, dass ein schwaches Passwort plötzlich sicher wird. Auch WPA3 kann keine schlecht gewählten Zugangsdaten vollständig ausgleichen.

Geschützte Management-Frames bei WPA3

Ein weiterer Unterschied betrifft sogenannte Management-Frames. Das sind Steuerinformationen, die WLAN-Geräte beispielsweise beim Verbindungsaufbau und bei der Verwaltung bestehender Verbindungen austauschen.

Bei älteren WLAN-Konfigurationen konnten bestimmte Steuerinformationen manipuliert werden. Dadurch war es unter anderem möglich, Geräte mit gefälschten Abmeldesignalen aus einer WLAN-Verbindung zu werfen.

WPA3 schreibt deshalb den Schutz bestimmter Management-Frames durch Protected Management Frames (PMF) vor.

Auch WPA2 kann PMF unterstützen. Dort ist die Funktion allerdings nicht grundsätzlich verpflichtend.

WPA3 bietet damit einen verbindlicheren Schutz gegen bestimmte Manipulationen der WLAN-Verbindung. Vollständig verhindern lassen sich Funkstörungen oder sämtliche Angriffe dadurch aber nicht.

Welche WLAN-Verschlüsselung solltest du verwenden?

Für die meisten Heimnetzwerke würde ich WPA3 bevorzugen, sofern alle regelmäßig verwendeten Geräte diesen Standard unterstützen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt WPA3 und sieht WPA2 weiterhin als Alternative, wenn WPA3 noch nicht unterstützt wird.

In vielen Haushalten sieht die Situation allerdings anders aus. Neben aktuellen Smartphones und Computern sind häufig ältere Drucker, Smart-TVs, WLAN-Steckdosen oder andere Geräte im Einsatz.

Deshalb gibt es drei typische Möglichkeiten.

WPA3-Personal für moderne Geräte

Wenn dein Router und sämtliche WLAN-Geräte WPA3 unterstützen, ist WPA3-Personal die sinnvollste Einstellung.

Du nutzt damit das modernere Anmeldeverfahren und die zusätzlichen Sicherheitsfunktionen, ohne Rücksicht auf ältere WLAN-Hardware nehmen zu müssen.

Das bietet sich besonders an, wenn du dein Heimnetzwerk erst vor Kurzem eingerichtet hast und ausschließlich aktuelle Geräte verwendest.

Achte darauf, dass die Einstellung tatsächlich WPA3-Personal beziehungsweise WPA3-SAE lautet. Die genaue Bezeichnung hängt vom Router ab.

WPA2/WPA3-Mischmodus für unterschiedliche Geräte

In vielen Haushalten ist der WPA2/WPA3-Mischmodus die praktischste Lösung.

Dabei stellt der Router beide Sicherheitsverfahren bereit. Neuere Geräte können WPA3 verwenden, während ältere Geräte weiterhin über WPA2 verbunden werden.

Das bedeutet allerdings nicht, dass jede Verbindung automatisch mit WPA3 geschützt ist. Welches Verfahren tatsächlich genutzt wird, hängt vom jeweiligen Gerät und der Aushandlung beim Verbindungsaufbau ab.

Der Mischmodus hat außerdem eine Einschränkung: Weil WPA2 weiterhin erlaubt ist, gelten die Sicherheitsvorteile von WPA3 nicht automatisch für das gesamte WLAN. Auch der Schutz durch PMF kann im Mischbetrieb anders konfiguriert sein als bei reinem WPA3.

Einige Geräte reagieren zudem empfindlich auf den Mischbetrieb und können Verbindungsprobleme verursachen.

Trotzdem halte ich diese Einstellung für einen guten Kompromiss, wenn moderne und ältere Geräte gemeinsam im Heimnetz verwendet werden.

WPA2-Personal für ältere WLAN-Geräte

Unterstützt dein Router oder ein wichtiges Endgerät kein WPA3, kannst du weiterhin WPA2-Personal verwenden.

Entscheidend ist dabei, dass WPA2 mit AES beziehungsweise CCMP genutzt wird. Diese Kombination bietet mit einem starken WLAN-Passwort weiterhin einen brauchbaren Schutz für private Netzwerke.

Vermeiden solltest du dagegen veraltete Einstellungen wie WEP, WPA mit TKIP oder Mischmodi, die diese alten Verfahren weiterhin zulassen.

WPA2 ist also nicht automatisch unsicher, nur weil WPA3 inzwischen verfügbar ist. Bei einem ausreichend starken Passwort und einer aktuellen Router-Firmware kann WPA2 für ein normales Heimnetz weiterhin eine vernünftige Lösung sein.

Wenn dein bisheriger Router keine WPA3-Unterstützung bietet, musst du ihn deshalb nicht sofort austauschen. Falls du ohnehin über neue Hardware nachdenkst, solltest du vorher prüfen, unter welchen Voraussetzungen du deinen Provider-Router ersetzen kannst.

WPA3 im Router aktivieren: So gehst du vor

Wenn du WPA3 nutzen möchtest, musst du die Sicherheitseinstellung in der Benutzeroberfläche deines Routers ändern.

Die genaue Vorgehensweise unterscheidet sich zwischen FRITZ!Box, Speedport, Kabelroutern und anderen Geräten. Auch die installierte Firmware kann Einfluss darauf haben, welche Optionen angezeigt werden.

Grundsätzlich funktioniert die Umstellung folgendermaßen:

1. Öffne die Benutzeroberfläche deines Routers im Browser.
2. Melde dich mit deinen Zugangsdaten an.
3. Suche den Bereich für WLAN, Funknetz oder WLAN-Sicherheit.
4. Öffne die Einstellungen für die WLAN-Verschlüsselung.
5. Wähle WPA3-Personal oder den WPA2/WPA3-Mischmodus, sofern verfügbar.
6. Speichere die Änderungen und warte, bis das WLAN wieder bereitsteht.
7. Prüfe anschließend, ob sich deine Geräte problemlos verbinden können.

Bei einer FRITZ!Box findest du die entsprechende Einstellung bei vielen Modellen unter WLAN → Sicherheit. Die verfügbaren Auswahlmöglichkeiten hängen vom Modell und der FRITZ!OS-Version ab.

Bei anderen Routern können die Menüpunkte anders heißen. Manche Provider-Router bieten außerdem nur eine begrenzte Auswahl an Sicherheitseinstellungen.

Nach einer Änderung der WLAN-Verschlüsselung werden bestehende Verbindungen möglicherweise kurzzeitig unterbrochen. Das ist normal, weil sich die Geräte anschließend neu anmelden müssen.

Ich würde deshalb nach der Umstellung zunächst die wichtigsten Geräte testen. Dazu gehören beispielsweise der Laptop, das Smartphone und Geräte, die dauerhaft eine WLAN-Verbindung benötigen.

Funktioniert alles wie gewohnt, kannst du die neue Einstellung beibehalten.

Unterstützen deine Geräte überhaupt WPA3?

Bevor du vollständig auf WPA3 umstellst, solltest du prüfen, ob deine WLAN-Geräte den Standard unterstützen.

Bei aktuellen Smartphones und Computern stehen die Chancen gut. Eine Garantie ist das allerdings nicht, denn neben dem Betriebssystem muss auch die WLAN-Hardware WPA3 beherrschen.

Bei älteren Geräten fehlt diese Unterstützung häufig.

WPA3-Unterstützung unter Windows prüfen

Unter Windows 11 kannst du mit einem einfachen Befehl herausfinden, welche WLAN-Authentifizierungsverfahren dein Netzwerkadapter unterstützt.

Öffne dazu das Windows-Terminal oder die Eingabeaufforderung und gib folgenden Befehl ein:

netsh wlan show drivers

In der Ausgabe findest du den Abschnitt „Unterstützte Authentifizierung und Verschlüsselung im Infrastrukturmodus“ oder eine entsprechend benannte englische Anzeige.

Suche dort nach einem Eintrag wie:

WPA3-Personal beziehungsweise WPA3-Personal SAE

Wird WPA3-Personal aufgeführt, unterstützt dein WLAN-Adapter zusammen mit dem installierten Treiber dieses Verfahren.

Fehlt der Eintrag, kann möglicherweise ein aktueller WLAN-Treiber helfen. Ältere Netzwerkadapter lassen sich allerdings nicht grundsätzlich durch ein Treiberupdate WPA3-fähig machen.

Der Befehl zeigt dir die Fähigkeiten des WLAN-Adapters. Ob dein Router WPA3 unterstützt, musst du separat prüfen.

WPA3 bei Smartphones und anderen Geräten

Bei Smartphones hängt die Unterstützung vom Modell, Betriebssystem und WLAN-Chipsatz ab.

Viele neuere Android-Smartphones und iPhones unterstützen WPA3. Bei älteren Geräten solltest du die technischen Angaben des Herstellers prüfen.

Schwieriger ist es häufig bei Smart-Home-Geräten, WLAN-Druckern und älteren Fernsehern. Gerade günstige Geräte verwenden teilweise WLAN-Chips, die ausschließlich WPA2 beherrschen.

Falls ein Gerät kein WPA3 unterstützt, musst du es deshalb nicht sofort ersetzen. Häufig reicht der WPA2/WPA3-Mischmodus aus, um es weiterhin verwenden zu können.

WLAN-Geräte verbinden sich nach der WPA3-Umstellung nicht mehr

Nach der Aktivierung von WPA3 kann es passieren, dass einzelne Geräte keine Verbindung mehr zum WLAN herstellen.

Typische Anzeichen sind eine wiederholte Passwortabfrage, eine fehlgeschlagene Anmeldung oder eine Verbindung, die direkt nach dem Aufbau wieder getrennt wird.

Das muss nicht bedeuten, dass dein WLAN-Passwort falsch ist. Häufig liegt das Problem an der Unterstützung des gewählten Sicherheitsverfahrens.

Ältere Geräte unterstützen nur WPA2

Die häufigste Ursache ist fehlende WPA3-Unterstützung.

Wenn du deinen Router auf WPA3-Personal umgestellt hast, können sich reine WPA2-Geräte nicht mehr anmelden.

In diesem Fall solltest du zunächst den WPA2/WPA3-Mischmodus ausprobieren.

Damit können ältere Geräte wieder WPA2 verwenden, während kompatible Geräte weiterhin WPA3 nutzen können.

WLAN-Profil auf dem Gerät neu anlegen

Manchmal speichert ein Gerät Informationen über die bisherige WLAN-Verbindung und kommt nach einer Änderung der Sicherheitskonfiguration nicht mehr richtig damit zurecht.

Unter Windows 11 kannst du das gespeicherte WLAN-Profil entfernen.

Öffne dazu:

Einstellungen → Netzwerk und Internet → WLAN → Bekannte Netzwerke verwalten

Wähle dein WLAN aus und klicke auf Nicht speichern.

Verbinde dich anschließend erneut mit deinem WLAN und gib das Passwort ein.

Beachte, dass dadurch die gespeicherten Verbindungsdaten dieses WLANs entfernt werden. Das Netzwerk muss danach neu eingerichtet werden.

Router-Firmware und WLAN-Treiber aktualisieren

Auch veraltete Firmware oder ältere WLAN-Treiber können Probleme mit WPA3 verursachen.

Prüfe deshalb, ob für deinen Router eine neuere Firmware verfügbar ist. Bei Windows-Geräten kann zusätzlich ein aktueller Treiber für den WLAN-Adapter sinnvoll sein.

Installiere Treiber möglichst über Windows Update oder die offizielle Supportseite des Geräteherstellers.

Falls du dabei Unterstützung benötigst, findest du in meiner Anleitung zum Aktualisieren der Netzwerkadapter-Treiber die passenden Schritte für Windows.

Bleiben die Probleme bestehen, kannst du vorübergehend auf WPA2 mit AES zurückwechseln. So lässt sich feststellen, ob tatsächlich die WPA3-Konfiguration für den Verbindungsfehler verantwortlich ist.

Ist der WPA2/WPA3-Mischmodus wirklich sicher?

Der Mischmodus ist grundsätzlich eine sinnvolle Übergangslösung. Er ermöglicht die Nutzung moderner Sicherheitsverfahren, ohne ältere Geräte sofort aus dem Heimnetz ausschließen zu müssen.

Allerdings darfst du ihn nicht mit einem vollständig auf WPA3 umgestellten Netzwerk gleichsetzen.

WPA2 bleibt im Mischmodus verfügbar. Geräte, die sich darüber anmelden, verwenden weiterhin das ältere Verfahren.

Bei kompatiblen Geräten kann WPA3 mit SAE genutzt werden. Die Unterstützung hängt aber von der jeweiligen Hardware, Software und Konfiguration ab.

Unter bestimmten Umständen können außerdem sogenannte Downgrade-Angriffe eine Rolle spielen. Dabei versucht ein Angreifer, die Verwendung eines schwächeren Sicherheitsverfahrens zu beeinflussen.

Der Mischmodus bietet deshalb nicht dieselbe durchgehend einheitliche Absicherung wie ein reines WPA3-Netzwerk.

Für ein gewöhnliches Heimnetz würde ich daraus trotzdem kein unnötig kompliziertes Problem machen. Wenn du noch ältere WLAN-Geräte verwendest, ist der Mischmodus oft die vernünftigere Wahl.

Entscheidend bleibt, dass WPA2 nur mit zeitgemäßer Verschlüsselung verwendet wird und dein WLAN-Passwort ausreichend stark ist.

Wenn irgendwann alle Geräte WPA3 unterstützen, kannst du auf den reinen WPA3-Betrieb umstellen.

Ein starkes WLAN-Passwort bleibt wichtig

Unabhängig davon, ob du WPA2 oder WPA3 verwendest, solltest du dein WLAN mit einem starken Passwort absichern.

Bei WPA2 ist das besonders wichtig, weil schwache Passwörter durch Offline-Angriffe gefährdet sein können. WPA3 verbessert den Schutz deutlich, macht einfache Passwörter aber nicht empfehlenswert.

Für ein privates WLAN würde ich ein zufällig erzeugtes Passwort mit mindestens 20 Zeichen verwenden. Wie du ein sicheres WLAN-Passwort erstellen kannst und welche Fehler du dabei vermeiden solltest, habe ich in einer eigenen Anleitung erklärt.

Vermeide Namen, Geburtsdaten, einfache Zahlenfolgen oder bekannte Wörter als alleinige Grundlage.

Du musst das Passwort auch nicht ständig ändern. Solange es stark ist und nicht unbefugt bekannt geworden ist, bringt ein regelmäßiger Wechsel ohne konkreten Anlass kaum zusätzlichen Nutzen.

Prüfe außerdem, ob dein Router noch aktuelle Sicherheitsupdates erhält. Selbst eine moderne WLAN-Verschlüsselung kann Sicherheitslücken in veralteter Router-Software nicht ausgleichen.

Fazit: WPA3 ist besser, aber WPA2 bleibt brauchbar

WPA3 ist die bessere Wahl für ein modernes Heimnetzwerk. Der Standard schützt die WLAN-Anmeldung wirksamer gegen bestimmte Passwortangriffe und schreibt zusätzliche Sicherheitsfunktionen vor.

Wenn alle deine Geräte WPA3 unterstützen, würde ich deshalb WPA3-Personal aktivieren.

Für Haushalte mit älteren WLAN-Geräten ist der WPA2/WPA3-Mischmodus häufig der beste Kompromiss. Du kannst moderne Geräte mit WPA3 verbinden, ohne ältere Hardware direkt ersetzen zu müssen.

Auch WPA2-Personal mit AES bleibt bei einem starken Passwort eine brauchbare Lösung. Veraltete Verfahren wie WEP und TKIP solltest du dagegen nicht mehr verwenden.

Wichtig ist letztlich, dass deine WLAN-Verschlüsselung zur vorhandenen Hardware passt und alle Geräte zuverlässig funktionieren.

Welche WLAN-Verschlüsselung ist bei deinem Router aktuell eingestellt: WPA2, WPA3 oder der Mischmodus? Und funktionieren damit alle deine Geräte problemlos?