31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Wifi Pentest: Wat een Draadloos Netwerk Pentest Onderzoekt, Waarom Het Ertoe Doet en Hoe U Hem Scopet
Uw draadloze netwerk is het enige deel van de bedrijfsperimeter dat doorloopt tot op de parkeerplaats, in de lobby en bij de buren. Deze gids legt uit wat een wifi pentest onderzoekt, wat de uitkomst zegt over uw risico en hoe u zich voorbereidt, geschreven voor CISO's en IT-managers die de opdracht scopen.
Wat een wifi pentest is, en waarom hij in 2026 nog steeds nodig is
Een wifi pentest is een handmatig onderzoek naar de draadloze toegangswegen tot uw organisatie: het zakelijke wifi-netwerk, het gastnetwerk, de netwerken waarop printers, camera's en gebouwsystemen draaien, en de technieken op korte afstand daaromheen, zoals Bluetooth Low Energy en RFID-toegangspassen. De vraag die hij beantwoordt is eenvoudig te formuleren. Kan iemand binnen radiobereik, zonder account en zonder door de voordeur te lopen, bij gegevens of systemen komen die alleen bedoeld zijn voor geauthenticeerde medewerkers op beheerde apparaten?
Veel organisaties gaan ervan uit dat het antwoord nee is, omdat zij jaren geleden zijn overgestapt op WPA2-Enterprise of WPA3. In de praktijk is het protocol zelden de zwakke plek. Wat wij aantreffen zijn ontwerp- en configuratiekeuzes: laptops en telefoons die verbinding maken zonder te controleren met wiens authenticatieserver zij praten, verouderde EAP-methoden die blijven bestaan voor één oude scanner, gastnetwerken die nog steeds een interne beheerinterface kunnen bereiken, en één gedeelde sleutel die al zes jaar elke printer en camera in het pand beschermt. Geen van deze punten komt naar boven in een externe penetratietest, en de meeste zijn onzichtbaar voor een kwetsbaarheidsscanner.
Draadloos testen is bovendien een verwachting in meerdere kaders. PCI DSS v4.0.1 Requirement 11.2.1 vereist dat organisaties geautoriseerde en niet-geautoriseerde draadloze access points minimaal elke drie maanden detecteren en beheren. NIST SP 800-153 geeft richtlijnen voor het beveiligen van draadloze lokale netwerken, en de ISO/IEC 27001:2022-maatregelen 8.20 (netwerkbeveiliging) en 8.22 (scheiding van netwerken) in Annex A zijn de plek waar een auditor zoekt naar bewijs dat draadloze segmentatie is ontworpen en geverifieerd, en niet alleen aangenomen.
Wat een draadloos netwerk pentest omvat
Een goed gescopete wifi pentest kijkt naar het volledige draadloze oppervlak van een locatie, niet alleen naar het zakelijke SSID. Dit zijn de onderdelen die wij in een scopinggesprek bespreken.
Zakelijke wifi-authenticatie
Hoe WPA2-Enterprise of WPA3-Enterprise en 802.1X zijn ingericht: welke EAP-methoden zijn toegestaan, of clients het certificaat van de RADIUS-server valideren, en of een buitgemaakte inloggegeven volstaat om op het bedrijfsnetwerk te komen.
Rogue en nagemaakte access points
Of een ongeautoriseerd access point in een wandcontactdoos onopgemerkt zou blijven, en of uw apparaten verbinding zouden maken met een netwerk dat uw bedrijfsnaam nabootst. In gedeelde panden en drukke openbare ruimtes zijn beide reële risico's.
Gastnetwerken en captive portals
Of het gastnetwerk werkelijk gescheiden is van zakelijke VLAN's, beheerinterfaces en andere gasten, en of de captive portal te omzeilen is of meer over uw omgeving prijsgeeft dan bedoeld.
IoT-, OT- en printernetwerken
Netwerken met een gedeelde sleutel voor printers, camera's, vergaderschermen, gebouwbeheer en productieapparatuur: sterkte en leeftijd van de sleutel, wie hem kent, en wat een apparaat op dat netwerk kan bereiken.
Bluetooth en BLE
Op hoofdlijnen: vindbare apparaten, het koppelgedrag van randapparatuur en gespecialiseerde apparatuur, en BLE-producten die uw organisatie zelf maakt of inzet. Diepgaand apparaatonderzoek valt onder hardware security testing.
RFID-passystemen
Of de gebruikte pastechnologie op afstand uitgelezen of gekopieerd kan worden, en hoe dat samenhangt met fysieke toegang tot netwerkpoorten en serverruimtes. Gedetailleerde analyse van lezers en kaarten scopen wij als hardware security testing.
Segmentatie achter de radio
Wat een aanvaller die wel op een draadloos netwerk komt vervolgens kan bereiken. Hier raakt de wifi pentest aan de interne netwerkpentest: VLAN-scheiding, firewallregels en keuzes in network access control.
Dekking en signaallekkage
Waar uw netwerken buiten het pand te ontvangen zijn, zoals op straat, op de parkeerplaats, bij andere huurders of in de lobby. Dat bepaalt wie al het bovenstaande realistisch gezien kan proberen.
Zakelijke wifi-authenticatie: de vijf keuzes die het zwaarst wegen
De meeste bevindingen in zakelijke draadloze netwerken zijn terug te voeren op een handvol ontwerpkeuzes. Wie die begrijpt, leest het rapport makkelijker en prioriteert het herstel beter.
1. Welke EAP-methode u gebruikt
EAP-TLS, waarbij elk apparaat zich met een certificaat identificeert, is de sterkste gangbare optie, omdat er geen herbruikbaar wachtwoord over de lijn gaat. Methoden op basis van wachtwoorden, zoals PEAP met MSCHAPv2, zijn nog wijdverbreid en alleen aanvaardbaar als clients strikt zijn ingericht. Verouderde methoden die blijven bestaan voor compatibiliteit, vaak voor één oude apparaatgroep, verlagen ongemerkt de lat voor het hele netwerk.
2. Of clients het certificaat van de RADIUS-server valideren
Dit is de meest voorkomende ernstige bevinding in zakelijke wifi. Als laptops of telefoons niet controleren of de authenticatieserver uw certificaat toont, uitgegeven door uw vertrouwde certificaatautoriteit, voor uw servernaam, dan kan een nagemaakt netwerk inloggegevens van die apparaten verzamelen. De oplossing is configuratie, centraal uitgerold via MDM of groepsbeleid, geen nieuwe hardware.
3. Hoe onbeheerde en BYOD-apparaten worden behandeld
Privételefoons die met gebruikersnaam en wachtwoord op het zakelijke SSID inloggen, zijn meestal precies de apparaten die certificaten niet valideren. Of zij überhaupt op het bedrijfsnetwerk thuishoren, of op een apart netwerk met beperkte reikwijdte, is een zakelijke afweging die de test zichtbaar maakt.
4. WPA3-transitiemodus en bescherming van management frames
WPA3 maakt Protected Management Frames (IEEE 802.11w) verplicht, waarmee een categorie verstorings- en downgradeproblemen verdwijnt. Veel netwerken draaien voor compatibiliteit in een gemengde WPA2/WPA3-transitiemodus, waardoor het oudere gedrag beschikbaar blijft. De test stelt vast wat er daadwerkelijk wordt onderhandeld, niet wat het dashboard van de controller suggereert.
5. Sleutelhygiëne voor apparaten die geen 802.1X ondersteunen
Printers, sensoren en OT-apparatuur ondersteunen vaak alleen een gedeelde sleutel. Dat is aanvaardbaar als de sleutel lang en per netwerk uniek is, wordt vervangen wanneer medewerkers of leveranciers vertrekken, en het netwerk alleen bereikt wat die apparaten nodig hebben. Het wordt een wezenlijk risico als dezelfde sleutel al jaren op geeltjes en leverancierslaptops staat.
Wifi pentest versus interne netwerkpentest versus wifi-survey
Deze drie diensten worden bij inkoop vaak door elkaar gehaald. Ze beantwoorden verschillende vragen en worden door verschillende specialisten uitgevoerd.
| Aspect | Wifi pentest | Interne netwerkpentest | Wifi-survey door een integrator |
|---|---|---|---|
| Vraag | Kan iemand binnen radiobereik binnenkomen, en wat kan hij dan bereiken? | Wat kan een aanvaller met een voet tussen de deur binnen het netwerk bereiken? | Presteert de wifi: dekking, capaciteit, roaming, storing? |
| Startpunt | Buiten het netwerk, binnen radiobereik, zonder inloggegevens | Een apparaat of account dat al op het interne netwerk zit | Plattegronden en plaatsing van access points |
| Focus | Authenticatieontwerp, clientgedrag, rogue AP's, gastisolatie, netwerken met gedeelde sleutel | Active Directory, segmentatie, patching, laterale bewegingspaden | Signaalsterkte, kanaalplanning, doorvoer |
| Uitgevoerd door | Offensive security testers | Offensive security testers | Netwerkintegrator of engineers van de leverancier |
| Op locatie | Ja, fysieke aanwezigheid vereist | Meestal op locatie of via een aangeleverd apparaat of VPN | Ja |
| Resultaat | Beveiligingsbevindingen met bedrijfsimpact, dekkingskaart, herstel | Beveiligingsbevindingen, aanvalspaden, herstel | Heatmaps en plaatsingsadvies |
| Compliancerelevantie | PCI DSS 11.2.1, ISO 27001 A.8.20 en A.8.22, NIS2-risicomaatregelen | ISO 27001, NIS2, DORA, PCI DSS 11.4 | In het algemeen geen voor beveiliging |
Fysieke aanwezigheid, juridische toestemming en spelregels
Een wifi pentest kan niet op afstand worden uitgevoerd. De tester moet binnen radiobereik van uw access points en uw gebruikers zijn, dus op locatie, doorgaans gedurende een of meer werkdagen zodat echte clientapparaten aanwezig zijn. Voor organisaties met meerdere vestigingen spreken wij een representatieve selectie af, meestal het hoofdkantoor plus locaties met een afwijkend draadloos ontwerp of veel gevoelige systemen.
Schriftelijke toestemming is onmisbaar. In Nederland is het zonder toestemming binnendringen in een geautomatiseerd werk strafbaar als computervredebreuk op grond van artikel 138ab van het Wetboek van Strafrecht, en radiosignalen houden zich niet aan erfgrenzen. De opdrachtbevestiging noemt de SSID's, BSSID's en locaties binnen scope, de testvensters, en sluit netwerken van buren, verhuurders en aanbieders in een verzamelgebouw uitdrukkelijk uit. Wordt uw wifi beheerd door de verhuurder of een managed service provider, dan is ook hun schriftelijke toestemming nodig. Handelingen die de dienstverlening kunnen verstoren, zoals alles waardoor clients de verbinding kunnen verliezen, worden vooraf afgesproken en buiten kritieke uren gepland, of uitgesloten.
De spelregels gaan ook over mensen. Bij een wifi pentest wordt soms gekeken naar het gedrag van apparaten van medewerkers, en in gedeelde ruimtes zijn bezoekers binnen bereik. De test is zo ingericht dat alleen apparaten en netwerken van uw organisatie worden onderzocht, en eventuele toevallig waargenomen gegevens van derden worden niet bewaard.
Hoe een wifi pentest aansluit op een interne netwerkpentest en hardwaretesten
Een wifi pentest beantwoordt hoe een aanvaller binnenkomt. Een interne netwerkpentest beantwoordt wat er daarna gebeurt. Samen zijn ze het meest waardevol: als de wifi pentest laat zien dat een gast- of IoT-netwerk een intern subnet kan bereiken, laat de interne penetratietest zien of dat subnet leidt naar domeinbeheerrechten, bestandsshares of productiesystemen. Wie beide als één opdracht scopet, betaalt niet twee keer voor dezelfde dagen op locatie en krijgt één samenhangend aanvalsverhaal voor de directie.
Bluetooth, BLE en RFID komen in een wifi pentest aan bod op het niveau van blootstelling. Gaat de zorg over een specifiek apparaat, bijvoorbeeld een product dat uw bedrijf levert, een deurcontroller of een paslezer, dan is hardware security testing de betere vorm, waarbij het apparaat zelf in een lab wordt onderzocht.
Wat een goed rapport van een wifi pentest bevat
Een wifi-rapport moet maandagochtend bruikbaar zijn voor uw netwerkteam en leesbaar voor uw CISO in de stuurgroep. Vraag om deze onderdelen.
- Een managementsamenvatting die in zakelijke termen aangeeft of een buitenstaander binnen bereik bij interne gegevens of systemen kon komen, en vanaf welke plek
- Een dekkingskaart die toont waar elk netwerk binnen scope te ontvangen is, ook buiten het pand
- Een overzicht van waargenomen netwerken en access points, met onbekende of ongeautoriseerde exemplaren gemarkeerd voor opvolging
- Bevindingen gewogen naar bedrijfsimpact en waarschijnlijkheid, elk met bewijs, betrokken SSID's en apparaatgroepen, en een duidelijke eigenaar
- Concreet herstel, zoals migratie naar EAP-TLS, het afdwingen van certificaatvalidatie via MDM of groepsbeleid, het uitfaseren van verouderde EAP-methoden, het vervangen en scheiden van gedeelde sleutels en het aanscherpen van gastisolatie
- Segmentatieresultaten: wat elk draadloos netwerk aan de bekabelde kant kon bereiken, gekoppeld aan de verantwoordelijke VLAN- en firewallregels
- Aanbevelingen voor monitoring, zoals draadloze inbraakdetectie of controllermeldingen bij rogue en nagemaakte access points
- Een hertest om te bevestigen dat het herstel werkt, met bewijs dat geschikt is voor uw PCI DSS-, ISO 27001- of NIS2-dossier
Wat u vooraf gereed moet hebben
Goede voorbereiding verkort de tijd op locatie en maakt de uitkomsten preciezer. Dit vragen wij op bij de kick-off.
- Een lijst van locaties, verdiepingen en draadloze netwerken (SSID's) binnen scope, plus de netwerken waarvan u weet dat derden ze beheren
- Ondertekende toestemming van uw organisatie en, waar van toepassing, van de verhuurder of de beheerder van het wifi-netwerk
- Een korte beschrijving van het authenticatieontwerp: EAP-methoden, RADIUS- of NAC-platform, certificaatautoriteit en de manier waarop clients zijn ingericht
- De beoogde segmentatie: aan welk VLAN elk SSID is gekoppeld en wat gast- en IoT-netwerken mogen bereiken
- Een vaste contactpersoon op locatie, toegang tot het gebouw voor de testers en afgesproken testvensters
- Een testaccount of beheerd testapparaat voor geauthenticeerde controles, als dat binnen scope valt
- Escalatiecontacten in het netwerkteam en het SOC, zodat detectie kan worden waargenomen in plaats van aangezien voor een echt incident
Hoe vaak u draadloos laat testen, en hoe wij het aanpakken
Het draadloze risico verandert eerder met uw omgeving dan met de kalender. Wij adviseren een volledige wifi pentest na een verhuizing of de opening van een nieuwe vestiging, na vervanging van access points of controllers, na elke wijziging in het authenticatieontwerp (een nieuw RADIUS- of NAC-platform, een nieuwe certificaatautoriteit, de overstap naar WPA3) en wanneer gast- of IoT-netwerken opnieuw worden ingericht. Tussen die momenten door moeten organisaties onder PCI DSS nog steeds elk kwartaal op rogue access points controleren, en voor de meeste andere organisaties is een jaarlijkse controle als onderdeel van het interne testprogramma verstandig.
Onze wifi pentests worden op locatie uitgevoerd door hands-on testers met meer dan tien jaar ervaring in offensive security, onder leiding van OSCP-gecertificeerde collega's, en gerapporteerd met bevindingen waar uw netwerkteam direct mee aan de slag kan. Meestal combineren wij draadloos testen met een interne netwerkpentest, zodat het rapport het volledige pad van parkeerplaats tot kritiek systeem laat zien, en de herstelprioriteiten die dat pad afsluiten.
Veelgestelde vragen
Een wifi pentest inplannen?
Wij scopen de wifi pentest samen met uw interne netwerkpentest, zodat het rapport het volledige pad van radiobereik tot kritieke systemen laat zien, en hoe u het afsluit. Plan een gesprek met een van onze testers.