Network AccessControl.
NAC entscheidet beim Eintritt ins Netzwerk, welches Gerät unter welchen Bedingungen welche Verbindung erhält. Es verbindet Identität, Gerätezustand, Netzsegment und Reaktion. Seine Qualität zeigt sich nicht an einer Geräteliste, sondern an einer durchsetzbaren Entscheidung für unbekannte und nicht konforme Endpunkte.
Verbindung nur mit Kontext.
NAC arbeitet typischerweise an kabelgebundenen, drahtlosen und teils VPN-Zugängen. Es ordnet Geräte zu, prüft Richtlinien und kann segmentieren, einschränken oder einen Zugang verweigern. Das ist besonders relevant für BYOD, IoT, OT und verwaltete wie unverwaltete Geräte.
Nicht nur Inventar.
Asset Discovery beantwortet, was vorhanden ist. IAM prüft Benutzer und Berechtigungen. NAC setzt die Netzwerkentscheidung im Moment der Verbindung durch. Eine Segmentierungslösung begrenzt später mögliche Wege innerhalb des Netzes.
Wer darf ins Netz, und wohin.
Network Access Control (NAC) entscheidet in dem Moment, in dem ein Gerät mit einem Switch-Port, einem WLAN oder einem VPN verbunden wird, ob es Zugang erhält und in welches Netzsegment es kommt. Der Standard dafür ist IEEE 802.1X, die portbasierte Netzzugangskontrolle. Drei Rollen wirken zusammen: das Gerät als Supplicant, der Switch oder Access Point als Authenticator und ein RADIUS-Server als Authentisierungsserver. Bis die Anmeldung mit Zertifikat oder Zugangsdaten erfolgreich ist, lässt der Port nur Authentisierungsverkehr durch. Für die Anmeldung von Administratoren an Netzgeräten bieten manche Produkte zusätzlich TACACS+ an.[1,2,3]
Viele Geräte beherrschen 802.1X nicht: Drucker, Kameras, Medizingeräte oder Steuerungen. Für sie gibt es MAC Authentication Bypass (MAB), bei dem die Hardwareadresse als Kennung dient. Weil sich MAC-Adressen fälschen lassen, ergänzt die Profilierung das Bild. Sie bestimmt den Gerätetyp aus Merkmalen wie DHCP-Anfragen, Protokollverhalten oder TLS- und SSH-Fingerprints und erkennt so, ob hinter einer MAC-Adresse tatsächlich ein Drucker steckt. Einige Produkte erkennen Geräte auch ohne 802.1X über Netzwerksensoren auf Layer 2 und setzen Entscheidungen über ARP oder DHCP durch.[4,5,6]
Die Zustandsprüfung (Posture) bewertet zusätzlich, ob ein Gerät die Vorgaben erfüllt, etwa aktiver Virenschutz, eingeschaltete Firewall oder aktuelle Patches. Das geschieht über einen Agenten, über Daten aus MDM- oder EDR-Systemen oder agentenlos. Nicht konforme Geräte landen in einem Quarantänenetz mit einem Portal, das zur Selbstbehebung anleitet. Gäste und private Geräte durchlaufen eigene Abläufe mit Selbstregistrierung oder Freigabe durch eine Kontaktperson.[7,8]
Das Ergebnis der Entscheidung setzt der Switch durch: Er weist dynamisch ein VLAN, eine Zugriffsliste oder eine Sicherheitsgruppe zu. Damit wird NAC zur Grundlage der Segmentierung im Campus. Über Schnittstellen tauscht NAC Kontext mit Firewalls, SIEM und NDR aus; meldet eines dieser Systeme ein kompromittiertes Gerät, kann NAC es auch nachträglich in Quarantäne verschieben. Bereitgestellt wird NAC als Appliance oder virtuelle Maschine im eigenen Rechenzentrum, als Cloud-Dienst mit RADIUS aus der Cloud oder hybrid mit einer lokalen Komponente, die bei Ausfall der Internetverbindung weiterarbeitet.[9,10,11,7]
Typische Probleme
| Problem | Wie man es löst |
|---|---|
| Fehlendes Geräteinventar | Ohne Liste der Geräte im Netz blockiert eine scharf geschaltete Richtlinie Unbekanntes, auch Produktives. Zuerst im Überwachungsmodus Geräte erfassen und klassifizieren, dann Segment für Segment durchsetzen.[9] |
| MAB als Schwachstelle | Gefälschte MAC-Adressen öffnen den Zugang. MAB-Geräte nur in eng begrenzte Segmente lassen und Profilierung mit Verhaltensprüfung kombinieren.[4] |
| Ausfall des RADIUS-Dienstes | Fällt die Authentisierung aus, bleiben Ports geschlossen. Redundante Server oder lokale Komponenten einplanen und das Verhalten des Switches im Fehlerfall festlegen.[7] |
| Zertifikate ohne Lebenszyklus | 802.1X mit Zertifikaten scheitert an abgelaufenen oder nicht verteilten Zertifikaten. PKI und MDM anbinden und Ablaufdaten überwachen.[4] |
| Gemischte Switch-Landschaft | Ältere Switches unterstützen dynamische VLANs oder Zugriffslisten nicht vollständig. Unterstützte Modelle und Firmwarestände vor der Auswahl prüfen.[12] |
| OT-Geräte reagieren empfindlich | Aktives Scannen kann Steuerungen stören. In OT-Netzen passive Erkennung nutzen und Eingriffe mit dem Anlagenbetrieb abstimmen.[13] |
Auswahlfragen
| Frage | Worauf die Antwort hinweisen sollte |
|---|---|
| Welche Switches und Access Points welcher Hersteller werden unterstützt, und mit welchen Durchsetzungsarten? | Liste mit Modellen, VLAN-, ACL- und Gruppenzuweisung. |
| Wie werden Geräte ohne 802.1X erkannt und abgesichert? | Profilierungsmerkmale, Genauigkeit und Umgang mit gefälschten MAC-Adressen. |
| Was passiert bei Ausfall des NAC-Dienstes oder der Internetverbindung? | Lokaler Weiterbetrieb, Redundanz und definiertes Verhalten der Ports. |
| Woher stammt der Gerätezustand? | Eigener Agent, agentenlos oder über MDM- und EDR-Anbindung, mit Aktualisierungsintervall. |
| Wie läuft das Gäste- und Dienstleister-Onboarding? | Selbstregistrierung, Sponsorfreigabe, Zeitbegrenzung und Protokollierung. |
| Welche Daten verarbeitet ein Cloud-NAC und wo? | Speicherort, Aufbewahrung und Zugriff des Anbieters auf Geräte- und Benutzerdaten. |
Betrieb und Verantwortung
Das Netzwerkteam betreibt NAC und die Switch-Konfiguration, die Sicherheitsabteilung legt die Zugangsrichtlinie fest, und die Fachbereiche benennen, welche Geräte in welches Segment gehören. Der Service Desk braucht klare Abläufe für gesperrte Geräte und Gäste. Sinnvolle Kennzahlen sind Anteil der Ports mit Durchsetzung, Anteil unbekannter Geräte, Anteil der Geräte über MAB statt 802.1X und Zahl der Quarantänefälle pro Monat.
Regulatorischer Bezug
ISO/IEC 27001:2022 adressiert das Thema in Annex A über 5.15 «Access control», 8.1 «User endpoint devices», 8.20 «Networks security» und 8.22 «Segregation of networks». NIS2 verlangt in Art. 21 Abs. 2 Bst. i Konzepte für Zugriffskontrolle und Verwaltung von Anlagen, DORA in Art. 9 Abs. 4 Bst. c Richtlinien, die den physischen und logischen Zugang zu Informations- und IKT-Assets auf das Nötige beschränken. Der IKT-Minimalstandard verlangt unter PR.AC-1 einen Prozess für Berechtigungen und Zugangsdaten und unter PR.AC-5 den Schutz der Netzwerkintegrität.[14,15,16,17,18,19,20]
Quellen: [1] standards.ieee.org · [2] portnox.com · [3] portnox.com · [4] hpe.com · [5] belden.com · [6] genians.com · [7] static.opswat.com · [8] hpe.com · [9] portnox.com · [10] cisco.com · [11] progress.com · [12] fortinet.com · [13] forescout.com · [14] isms.online · [15] isms.online · [16] isms.online · [17] isms.online · [18] nis-2-directive.com · [19] digital-operational-resilience-act.com · [20] ncsc.admin.ch
Elf Werkzeuge im Vergleich.
NAC-Produkte entscheiden beim Verbinden eines Geräts mit LAN, WLAN oder VPN, ob und in welches Netzsegment es darf, und stützen sich dafür auf 802.1X mit RADIUS, MAC-Authentisierung für Geräte ohne 802.1X, Geräteprofilierung und Zustandsprüfungen. Netzwerkhersteller bieten NAC als Teil ihrer Switch- und WLAN-Plattformen an, herstellerunabhängige Anbieter steuern über Schnittstellen zu Switches und Access Points vieler Marken und betonen die agentenlose Erkennung von IoT- und OT-Geräten. Neben klassischen Appliances und virtuellen Maschinen im eigenen Rechenzentrum gibt es cloudbasierte NAC-Dienste mit RADIUS aus der Cloud, teils mit lokalen Komponenten für den Weiterbetrieb bei Ausfall der Internetverbindung. Mit PacketFence steht eine quelloffene Lösung unter GPL zur Verfügung, die auch als verwalteter Cloud-Dienst angeboten wird. Eigentum und Namen ändern sich: Juniper Networks ist seit 02.07.2025 Teil von HPE, das Produkt macmon NAC wird heute als Belden NAC geführt, und OPSWAT hat MetaAccess in MetaDefender Access umbenannt.
Agentenlos: agentenlos · 802.1X: 802.1X · Profilierung: Geräteprofilierung · IoT/OT: IoT/OT-Erkennung · Gäste/BYOD: Gäste/BYOD-Portal · Zustandsprüfung: Zustandsprüfung vor Zugang · SaaS: Cloud-Bereitstellung. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Cisco Identity Services Engine (ISE)
Cisco
Zugangskontrolle für Benutzer und Geräte über kabelgebundene, drahtlose und VPN-Verbindungen mit 802.1X, RADIUS und MAB, Gästediensten, Profiling, BYOD und Compliance-Prüfung (Posture).
Vor der Zulassung bewertet ISE Identität, Gerätetyp, Zustand und Standort und weist danach Berechtigungen zu.
Erkennt und profiliert verwaltete und unverwaltete IoT- und OT-Geräte ohne Software auf dem Endpunkt; Security Group Tags unterstützen die Segmentierung.
Kontextaustausch mit anderen Sicherheitsprodukten über pxGrid und offene APIs.
Betrieb auf Cisco Secure Network Server Appliances, als virtuelle Appliance auf Hypervisoren oder in unterstützten Cloud-Umgebungen.
Grosses Campusnetz mit Cisco-Switches und WLAN, das Benutzer, Gäste und IoT-Geräte mit einer Richtlinie steuern will.
Breiter Funktionsumfang von 802.1X über Gästeportale bis zur Segmentierung mit Security Group Tags in einer Plattform.
Der Funktionsumfang verlangt Fachwissen in Planung und Betrieb; 802.1X und Gästedienste beschreibt Cisco im Administrationshandbuch statt auf der Produktseite.
HPE Aruba Networking ClearPass Policy Manager
HPE (Aruba Networking)
Richtlinienbasierte Zugangskontrolle für Unternehmensgeräte, BYOD, Gäste und IoT-Geräte.
Machine-Learning-basiertes Fingerprinting erkennt und profiliert jedes verbundene Gerät; Device Insight liefert die Sichtbarkeit.
ClearPass OnGuard führt erweiterte Zustandsprüfungen der Endpunkte durch; ClearPass OnConnect bietet 802.1X-Schutz.
Anbindung an rund 150 IT-Systeme von Drittanbietern und an bestehende Sicherheitstechnik.
ClearPass Onboard erstellt BYOD-Abläufe, ClearPass Guest stellt vorkonfigurierte Gästeportale bereit; für cloudbasiertes NAC nennt die Seite HPE Aruba Networking Cloud Auth.
Hochschule oder Spital mit vielen privaten Geräten und Gästen, die über Self-Service-Portale ins Netz kommen sollen.
Ausgebaute Module für Gäste, BYOD-Onboarding und Zustandsprüfung mit vielen Integrationen.
Agentenloser Betrieb und die Bereitstellungsformen der Appliance sind auf der abgerufenen Seite nicht beschrieben; Cloud-NAC läuft über ein separates Produkt.
Juniper Mist Access Assurance
HPE (Juniper Networks)
Zugangskontrolle für Gäste, IoT, BYOD und Unternehmensgeräte im kabelgebundenen Netz und WLAN.
Cloud-natives NAC über globale Points of Presence; Authentisierung über 802.1X, für unbeaufsichtigte IoT- und M2M-Geräte über MAC Authentication Bypass (MAB).
Fingerprinting von Benutzern und Geräten anhand von Zertifikat, Identität und Gerätezustand.
Einbindung externer PKI sowie von MDM- und UEM-Plattformen für den Gerätezustand.
Dienst aus der Cloud, ohne NAC-Server im eigenen Rechenzentrum.
Filialnetz mit Mist-WLAN und -Switches, das NAC ohne lokale Server betreiben will.
Als Cloud-Dienst entfällt beim NAC der Betrieb eigener RADIUS- und Richtlinienserver.
Unterstützung für Switches und Access Points anderer Hersteller ist auf der abgerufenen Seite nicht beschrieben.
ExtremeControl
Extreme Networks
Zugangskontrolle für Benutzer, Gäste, BYOD und IoT im Netz von Extreme und von Drittanbietern.
Profiliert und verfolgt Benutzer und Geräte und setzt rollenbasierte Richtlinien durch.
Überwacht Zustand und Compliance der Geräte vor und nach dem Zugang.
Integration mit Drittlösungen wie NGFW, SIEM und CMDB.
Verwaltung des Netzes in der Cloud, lokal oder kombiniert.
Campusnetz mit gemischter Hardware, das Gäste- und IoT-Zugang aus einer Verwaltung steuern will.
Zustandsprüfung vor und nach dem Zugang und Verwaltung wahlweise aus der Cloud oder lokal.
802.1X und agentenloser Betrieb sind auf der abgerufenen Produktseite nicht ausdrücklich beschrieben.
FortiNAC
Fortinet
Sichtbarkeit und Zugangskontrolle über IT, IoT, OT/ICS und IoMT mit Unterstützung für über 72 industrielle Protokolle und Anwendungen.
Bestimmt die Identität eines Geräts auf 21 verschiedene Arten; agentenloses Scanning erkennt Geräte ohne Bedienoberfläche beim Verbinden.
Automatische Reaktion auf kompromittierte Geräte oder auffällige Aktivitäten.
Steuert und konfiguriert Netzgeräte wie Switches, Access Points und Firewalls von über 150 Herstellern.
Hardware-Appliances, virtuelle Maschinen für VMware, Hyper-V, KVM, AWS und Azure; BYOD-Onboarding mit Gäste- und Dienstleisterverwaltung.
Industriebetrieb mit gemischter Netzhardware, der IoT- und OT-Geräte erkennen und bei Auffälligkeiten isolieren will.
Breite Herstellerunterstützung für Netzgeräte und Erkennung industrieller Protokolle.
802.1X und eine Zustandsprüfung vor dem Zugang sind auf der abgerufenen Produktseite nicht ausdrücklich beschrieben.
Forescout Vistaro Platform
Forescout Technologies
Sichtbarkeit und Zugangskontrolle für Geräte in IT, IoT, IoMT und OT.
Erkennt und klassifiziert alle IP-fähigen Geräte ohne Agenten, herstellerunabhängig.
Die NAC-Funktion prüft Zustand und Compliance der Geräte; für OT gibt es agentenlose Sichtbarkeit und Bedrohungserkennung in Echtzeit.
Integration mit Hunderten Sicherheits- und IT-Produkten laut Hersteller.
Zugang für Dienstleister und Dritte lässt sich steuern; Bereitstellung wird als flexibel beschrieben.
Spital oder Produktionsbetrieb mit vielen Medizin- oder OT-Geräten, die keinen Agenten zulassen.
Agentenlose Erkennung über IT, IoT, IoMT und OT mit sehr vielen Integrationen.
802.1X, Gästeportal und Bereitstellungsformen sind auf der abgerufenen Plattformseite nicht beschrieben.
Portnox Cloud (NAC)
Portnox
Cloud-native Plattform mit NAC, RADIUS, TACACS+ und ZTNA für Unternehmensgeräte, BYOD und IoT/OT über Kabel, WLAN und VPN.
802.1X-Authentisierung vor dem Verbinden, danach dynamische VLAN- oder ACL-Zuweisung; RADIUS als Cloud-Dienst mit 802.1X und MAC Authentication Bypass.
Laufende Zustandsprüfungen mit Firewall-, Antivirus- und Anwendungschecks sowie risikobasierte Zugangskontrolle.
Profilierung verwalteter Geräte, BYOD und IoT; Gäste und Dienstleister erhalten Zugang über Onboarding-Abläufe.
Agentenloser Betrieb möglich; Multi-Region-Cloud-Architektur ohne eigene Hardware.
Mittelständisches Unternehmen mit mehreren Standorten, das NAC ohne lokale Server einführen will.
NAC, RADIUS und TACACS+ kommen als Cloud-Dienst ohne eigene Server.
Die Verfügbarkeit hängt am Cloud-Dienst; das Verhalten bei Ausfall der Internetverbindung ist auf den abgerufenen Seiten nicht beschrieben.
OPSWAT MetaDefender NAC
OPSWAT
Automatisiert Compliance und Zugangsrichtlinien nach Identität und Gerät, auch für mobile, IoT- und Geräte ohne Bedienoberfläche.
Agentenlose Geräteprofilierung, Port-Kontrolle und rollenbasierte Zugangssteuerung; authentisierte Mitarbeitende per 802.1X, Quarantäne für nicht konforme Geräte.
Laufende Compliance-Überwachung; ein Captive Portal führt Benutzer zur Selbstbehebung zurück in den konformen Zustand.
Verbindet Zustandsprüfung, Bedrohungserkennung und Zugangskontrolle; Gäste registrieren sich selbst.
Cloud-nativer RADIUS-Dienst über RadSec, hybrider Betrieb mit lokaler virtueller Appliance, die bei Internetausfall weiterläuft, oder vollständig lokal für air-gapped Netze.
Organisation mit Datenhoheitsvorgaben, die Cloud-Verwaltung mit lokalem Weiterbetrieb kombinieren will.
Drei Betriebsmodelle von SaaS bis vollständig lokal, mit lokalem Weiterbetrieb im hybriden Modell.
Einige Funktionen wie Geräteerkennung nach Typ und Betriebssystem sind laut Datenblatt nur im hybriden und lokalen Modell verfügbar.
Genian NAC
Genians
Sichtbarkeit und Zugangskontrolle für alle IP-fähigen Geräte, einschliesslich verwalteter, unverwalteter und älterer Netzgeräte.
Ein Layer-2-Netzwerksensor erkennt Geräte in Echtzeit ohne Störung des Betriebs; WLAN-Pakete lassen sich über Sensoren oder Agenten überwachen.
Mehrstufige Zugangskontrolle mit 802.1X und integriertem RADIUS-Server, DHCP und ARP-Durchsetzung; Prüfung von Identität und Zustand vor der Zulassung.
Device Platform Intelligence klassifiziert Geräte und kann über die Genians Cloud geteilt werden; gemeinsamer Kontext mit ZTNA und EDR desselben Herstellers.
BYOD- und Gäste-Onboarding sowie IP- und MAC-Verwaltung (IPAM) sind Teil der Lösung.
Netz mit vielen älteren Geräten, das ohne Umbau der Switch-Landschaft Sichtbarkeit und Zugangskontrolle einführen will.
Durchsetzung auch ohne 802.1X über Layer-2-Sensoren, ARP und DHCP, dadurch einsetzbar in älteren Netzen.
Ein Cloud-Betrieb des NAC selbst ist auf der abgerufenen Seite nicht beschrieben.
Belden NAC (früher macmon NAC)
Belden
Netzzugangskontrolle für IT- und OT-Umgebungen, unabhängig vom Hersteller der Netzinfrastruktur.
Arbeitet auch ohne Agent; Authentisierung über den integrierten RADIUS-Server und Fingerprinting über SSH und TLS.
Durchsetzung von Endpunktsicherheit und Compliance über Technologien von Drittanbietern.
BYOD-Lösung und delegierte Freigaben über ein Sponsorenportal.
Als physische und virtuelle Appliance verfügbar; Support-Team in Berlin; laut Herstellerseite BSI-zertifiziert (Common Criteria EAL2+).
Mittelständischer Betrieb in der DACH-Region mit gemischter Netzhardware und OT-Anteil.
Herstellerunabhängige Lösung mit Support aus Berlin und Bezug zum BSI.
Nach der Umbenennung in Belden NAC sollten Produktfahrplan und Lizenzmodell geprüft werden; ein eigener Cloud-Dienst ist auf der abgerufenen Seite nicht beschrieben.
PacketFence
Akamai Technologies
Network Access Control mit Funktionen für Zugangssteuerung, Authentisierung, Gäste und BYOD sowie Compliance.
Der selbst gehostete Betrieb setzt Kenntnisse in FreeRADIUS voraus; die Seite verweist auf über 20 Jahre Open-Source-Geschichte.
Stellt sicher, dass nur zugelassene Geräte in die passenden Netze gelangen; Gerätekonformität als Funktionsbereich.
Breite Switch-Unterstützung, laut Seite mit Einsätzen über mehr als 10 000 Switches.
Wahl zwischen PacketFence Cloud als verwaltetem Dienst und selbst gehostetem Betrieb als freie Software.
Schule, Hochschule oder Verwaltung, die NAC ohne Lizenzkosten selbst betreiben will.
Quelloffene NAC-Lösung, die sich selbst betreiben oder als verwalteter Dienst beziehen lässt.
Selbstbetrieb erfordert RADIUS- und Linux-Fachwissen; Profilierung und IoT-Funktionen sind auf der abgerufenen Seite nicht beschrieben.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Arista CloudVision AGNI: cloudbasiertes NAC von Arista
- OPSWAT MetaDefender Access (früher MetaAccess): heute Schwerpunkt Gerätezustand für Zero-Trust-Zugriff, die NAC-Funktion liegt bei MetaDefender NAC (oben verglichen)
- Ivanti Policy Secure: NAC-Produkt von Ivanti
- Auconet BICS: deutscher Anbieter für IT/OT-Netzinventar und NAC; abgerufene Seite mit Stand 2017, aktueller Produktstand nicht prüfbar
- Microsoft Intune mit Entra ID (Conditional Access): Gerätezustand für Anwendungszugriff; steuert keinen Port- oder WLAN-Zugang im Sinn von NAC
Mit einem unbekannten Gerät.
Der Pilot beginnt mit einer realen Netzgrenze und drei Fällen: verwaltetes Gerät, nicht konformes Gerät und unbekanntes Gerät. Erst wenn Owner, Regel, Entscheidung und nachvollziehbare Aufhebung der Einschränkung zusammenpassen, ist der Prozess belastbar.
- 802.1X, Gästezugang und Ausnahmen mit einem realen Switch testen
- Unbekanntes Gerät korrekt entdecken und begrenzen
- Fehlende Endpoint-Kontrolle bis zur Wiederherstellung verfolgen
- Notfallzugang und Rückfallverhalten dokumentieren
Security Tool Navigator · Gebiet 05
Im Gebiet Network Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Network Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.