FortiAP (Wi-Fi 6/6E/7)

FortiAP ist die Enterprise-WLAN-Access-Point-Familie von Fortinet. Sie umfasst Indoor-, Outdoor- und ruggedized Modelle über die Generationen Wi-Fi 6, Wi-Fi 6E und Wi-Fi 7 hinweg. Ohne den Kauf separater WLAN-Controller-Hardware arbeiten sie in einem von drei Verwaltungsmodellen: dem integrierten WLAN-Controller der FortiGate, dem Provisionierungsportal FortiEdge Cloud oder FortiSASE (Fortinet FortiAP Series Data Sheet, 2026). Im Ergebnis verschmelzen kabelgebundene und drahtlose Sicherheit zu einem einzigen Regelwerk.

Warum diese Zusammenführung wichtig ist, zeigen die Bedrohungsdaten. Laut dem Data Breach Investigations Report 2025 von Verizon erreichten Edge-Geräte und VPNs einen Anteil von 22 % an den Zielen von Exploit-Aktivitäten – nahezu das Achtfache der 3 % des Vorjahres (Verizon DBIR, 2025). Jedes Gerät am Netzwerkrand – Access Points eingeschlossen – ist heute eine aktiv gescannte Angriffsfläche. Dass Access Points aus derselben Policy-Engine heraus verwaltet werden wie die Firewall, ist deshalb weniger eine betriebliche Bequemlichkeit als eine Sicherheitsanforderung.

Was ist FortiAP und worin unterscheidet es sich von der klassischen Controller-Architektur?

Kurze Antwort: FortiAP ist eine Enterprise-WLAN-Familie, die die Management-Ebene weder im Access Point selbst noch in einer separaten Controller-Box belässt, sondern in das Fortinet Security Fabric verlagert. In der traditionellen Enterprise-WLAN-Architektur kauft man eine WLAN-Controller-Hardware (meist ein redundantes Paar), verwaltet sie über eine eigene Oberfläche und schreibt die WLAN-Sicherheitsrichtlinien unabhängig von der Firewall auf der kabelgebundenen Seite. Bei FortiAP entfällt diese Zwischenschicht: Die Access Points registrieren sich am WLAN-Controller innerhalb der FortiGate Firewall, und auf den WLAN-Verkehr werden die Sicherheitsprofile der FortiGate angewendet.

Das FortiAP-Datenblatt von Fortinet beschreibt diesen Ansatz ausdrücklich: Die Access Points werden zentral über die im marktführenden FortiGate-Gerät integrierte WLAN-Controller-Funktion verwaltet; die eingebaute Firewall, IPS, Anwendungskontrolle und der Webfilter schützen das WLAN vor aktuellen Bedrohungen (Fortinet, 2026).

Diese Architektur bringt dem Netzwerkteam drei konkrete Vorteile. Erstens stammt die Richtlinie, die ein WLAN-Client sieht, aus derselben Quelle wie die des kabelgebundenen Clients; ein separates Regelwerk je SSID muss nicht gepflegt werden. Zweitens erfolgt die Vorfallsuntersuchung in einem einzigen Log-Strom – welcher Benutzer über welche SSID auf welche Anwendung zugegriffen hat, landet in FortiAnalyzer in derselben Korrelations-Engine wie die kabelgebundenen Ereignisse. Drittens entfallen auf der Beschaffungsseite die Controller-Hardware, deren Software-Wartung und das Hochverfügbarkeitspaar dieser Hardware aus dem Budget.

Das passt auch zur Produktstrategie von Fortinet. Fortinet gibt an, dass das Security Fabric neben den eigenen Produkten in einem Ökosystem mit mehr als 500 Drittanbieterlösungen einheitliche Sichtbarkeit schafft, und laut offizieller Unternehmensseite nutzen mehr als 1.000.000 Kunden Fortinet-Lösungen (Fortinet, 2026). Das Firewall-Standbein der Plattform wurde im Bericht Gartner Magic Quadrant for Hybrid Mesh Firewall 2025 als Leader positioniert (Fortinet, 2025). FortiAP ist das WLAN-Standbein dieser Architektur und keine isolierte Produktinsel.

Auf wie viele Arten lässt sich FortiAP verwalten und welche passt zu wem?

Kurze Antwort: Es gibt drei Modelle – den integrierten WLAN-Controller der FortiGate, das Provisionierungs- und Verwaltungsportal FortiEdge Cloud sowie FortiSASE (Fortinet FortiAP Series Data Sheet, 2026). Die Auswahl richtet sich danach, ob vor Ort eine FortiGate vorhanden ist, wie viele Standorte es gibt und ob lokale IT-Ressourcen zur Verfügung stehen. Die drei Modelle sind Alternativen zueinander, können aber ebenso gut für unterschiedliche Standorttypen kombiniert werden.

In der Praxis fällt die Wahl am häufigsten auf das erste Modell. Steht in der Filiale bereits eine FortiGate 80F oder in der Campus-Distributionsschicht eine FortiGate 200F, ist keine zusätzliche Investition in einen WLAN-Controller nötig. Hier gehört Ehrlichkeit dazu: Wie viele FortiAPs eine FortiGate verwalten kann, hängt vom Modell ab, und die im Netz kursierende pauschale Aussage „jede FortiGate verwaltet Hunderte APs“ ist falsch. Diese Zahl verifizieren wir in der Projektierungsphase anhand des offiziellen Datenblatts des gewählten FortiGate-Modells und dimensionieren mit Wachstumsreserve.

Das dritte Modell wird für verteilte und kleine Standorte immer häufiger nachgefragt. Das FortiAP-Datenblatt hält fest, dass der Access Point im Mikrofilial-Szenario als SASE-Endpunkt arbeiten kann und die Provisionierung über die Oberfläche von FortiSASE erfolgt; im Homeoffice-Szenario belässt Split Tunneling den lokalen Verkehr lokal und leitet nur den zu inspizierenden Verkehr an die Zentrale weiter (Fortinet, 2026).

Worin unterscheiden sich Wi-Fi 6, Wi-Fi 6E und Wi-Fi 7 und welche Generation sollte ich wählen?

Kurze Antwort: Der Unterschied liegt im verfügbaren Spektrum und in der Kanalbreite. Wi-Fi 6 (802.11ax) nutzt dasselbe Spektrum in den Bändern 2,4 und 5 GHz effizienter; Wi-Fi 6E bringt dasselbe 802.11ax-Funkmodul in das 6-GHz-Band, das aufgrund seiner relativen Neuheit noch nicht überfüllt ist; Wi-Fi 7 (802.11be) zielt zusätzlich zur 6-GHz-Unterstützung mit breiteren Kanälen und Multi-Link Operation auf Latenzstabilität ab. Im Unternehmensumfeld entscheidet nicht die Spitzengeschwindigkeit, sondern die Stabilität unter hoher Last.

Das FortiAP-Portfolio deckt alle drei Generationen gemeinsam ab: Wi-Fi-7-Modelle für Innen- und Außenbereiche, ruggedized Wi-Fi-6E-Outdoor-Modelle (FAP-432G und FAP-234G) sowie Wi-Fi-6-Modelle gehören zur selben Familie; der PoE-Bedarf beträgt je nach Modell 802.3at oder 802.3bt (Fortinet FortiAP Series Data Sheet, 2026). Die Wi-Fi-7-Flaggschiffe der Familie, FAP-441K und FAP-443K, bieten vier Funkmodule und vier Spatial Streams, unterstützen das 6-GHz-Band und verfügen über 10-Gigabit-Ethernet-Ports sowie 802.3bt-PoE; die im Datenblatt angegebene maximale Datenrate beträgt mit 4x4 MU-MIMO 1,148 Gbps im 2,4-GHz-Band, 8,648 Gbps im 5-GHz-Band und 11,53 Gbps im 6-GHz-Band (Fortinet, 2026).

Man muss auch sagen, was diese Zahlen nicht sind. Es handelt sich um theoretische PHY-Raten je Band, nicht um den Durchsatz, den ein einzelner Nutzer sieht. Das reale Ergebnis bestimmen die Generation des Client-Bestands, der Kanalplan, Störungen aus Nachbargebäuden, das Wandmaterial und die Uplink-Kapazität. Auf der Kapazitätsseite veröffentlicht das Datenblatt lediglich zwei Obergrenzen: Die maximale Client-Zahl je Funkmodul beträgt je nach Modell 128, 256 oder 512, und bei den meisten Modellen lassen sich je clientbedienendem Funkmodul höchstens 8 SSIDs ausstrahlen – ist der Hintergrund-Scan aktiv, sinkt diese Zahl auf 7 (Fortinet, 2026). Das sind Hardware-Obergrenzen, keine Designziele; der Hersteller veröffentlicht keine Abdeckungsangaben nach dem Muster „dieses Modell deckt so und so viele Quadratmeter ab“. Deshalb nennen wir auf dieser Seite keine Zahlen zu Abdeckung und realer Nutzerdichte; beides wird projektspezifisch über eine Standortbegehung und einen HF-Plan bestimmt.

Unsere praktische Empfehlung lautet: Entsteht ein neues Gebäude oder steht eine umfassende Erneuerung an, sollten Wi-Fi-7-Modelle unter Einbeziehung der Verkabelungsplanung gewählt werden, denn die Verkabelung ist eine deutlich langlebigere Investition als die Access Points. Läuft eine bestehende Wi-Fi-6-Installation störungsfrei, ist ein flächendeckender Austausch allein wegen des Generationssprungs nicht nötig; zuerst werden gezielt die Bereiche mit Dichteproblemen (Konferenzetagen, Hörsäle, Kantine) auf Wi-Fi 6E/7 gehoben. Ältere Clients verbinden sich weiterhin mit der von ihnen unterstützten Generation zu den neuen Access Points.

Wie wird ein Campus-Netzwerk mit FortiAP und FortiSwitch aufgebaut?

Kurze Antwort: Die FortiGate stellt zentral Richtlinien und WLAN-Controller bereit, FortiSwitch übernimmt in der Zugangsschicht PoE und Segmentierung, und FortiAP bildet den drahtlosen Rand. Da alle drei dieselbe Verwaltungsoberfläche teilen, lässt sich das Campus-Netz wie ein einziges logisches Gerät betreiben. Das FortiLink-Protokoll macht FortiSwitch zu einer logischen Erweiterung der FortiGate; je nach FortiGate-Modell lassen sich zwischen 8 und 300 Switches verwalten (Fortinet FortiSwitch Secure Access Data Sheet, 2026).

Auf der Zugangsschicht skaliert die Serie FortiSwitch Secure Access im 1-HE-Gehäuse auf bis zu 48 Zugangsports, bietet 10GE-Uplinks und lässt sich in den Modi Standalone, FortiLink oder FortiEdge Cloud verwalten (Fortinet, 2026). Die FortiLink-Integration liefert zudem ohne Aufpreis eine grundlegende Netzwerkzugangskontrolle (NAC): Profilierung der angeschlossenen Geräte, automatische Segmentierung für IoT, Quarantäne im Verstoßfall und virtuelles Patching gehören dazu (Fortinet, 2026).

Auch auf FortiAP-Seite sind NAC-Funktionen enthalten, doch das FortiAP-Datenblatt weist in einer Fußnote darauf hin, dass diese Funktionen ausschließlich in FortiGate-verwalteten Installationen gelten (Fortinet, 2026). Diese Unterscheidung wirkt sich unmittelbar auf die Architekturentscheidung aus: Werden Geräteprofilierung und automatische Segmentierung erwartet, müssen die Access Points an der FortiGate registriert werden.

In einem typischen Campus-Aufbau ordnen sich die Schichten so an: FortiGate im Core oder in der Distributionsschicht; auf jeder Etage per FortiLink angebundene FortiSwitches; an der Decke die nach HF-Plan positionierten FortiAPs. Benutzer-, Gast-, IoT- und Management-Verkehr werden in getrennte VLANs aufgeteilt; der Übergang zwischen den VLANs läuft über die FortiGate-Richtlinie. Auf der WLAN-Seite erfolgt dieselbe Trennung auf SSID-Ebene, und die SSIDs werden im Tunnelmodus zur FortiGate transportiert. Damit hängt es nicht mehr von einer fehlerhaften Switch-Konfiguration, sondern von der zentralen Richtlinie ab, ob ein Gast-Smartphone das Server-Netz des Unternehmens erreicht.

Auch die Access Points selbst unterstützen mehrere SSID-Modi: Im FortiAP-Datenblatt sind die unterstützten SSID-Typen als Local-Bridge, Mesh und Tunnel aufgeführt (Fortinet, 2026). Der Local-Bridge-Modus belässt den Verkehr lokal und eignet sich, wenn niedrige Latenz gefragt ist; der Tunnel-Modus transportiert den gesamten Verkehr zum Controller und eignet sich für zentrale Inspektion; der Mesh-Modus richtet für Punkte ohne Kabelmöglichkeit einen drahtlosen Uplink ein.

Wie werden PoE-Budget und Verkabelung geplant?

Kurze Antwort: Die PoE-Klasse des Access Points muss zu der Klasse passen, die der Switch-Port liefern kann. Der PoE-Bedarf der FortiAP-Modelle beträgt je nach Modell 802.3at oder 802.3bt (Fortinet, 2026). Die Wi-Fi-7-Flaggschiffe mit vier Funkmodulen, FAP-441K und FAP-443K, gehören zur Klasse 802.3bt, und das Datenblatt listet für diese Modelle zwei Speisemodi tabellarisch auf: Im Modus Full (802.3bt, 2x802.3at oder DC-Netzteil) arbeiten alle Funkmodule mit maximaler Sendeleistung in 4x4-Ketten und der USB-Port ist aktiv; erfolgt die Speisung nur über 802.3at oder 2x802.3af, fällt das Gerät in den Modus High – die Funkmodule gehen auf die niedrige Sendeleistung von 17 dBm zurück, die Kettenzahl halbiert sich auf 2x2 und USB wird deaktiviert (Fortinet, 2026). Die maximale Leistungsaufnahme derselben Modelle ist mit 41,7 W angegeben. Ein an einen älteren 802.3at-Switch angeschlossener Wi-Fi-7-Access-Point funktioniert also, doch ein Teil der gekauften Kapazität bleibt ungenutzt; das ist die häufigste Überraschung in WLAN-Projekten.

Auf der Speiseseite unterstützen alle Modelle der Familie FortiSwitch Secure Access PoE+; ausgewählte Modelle liefern mit 802.3bt bis zu 90 W je Port – in der Bestelltabelle findet sich beispielsweise eine Konfiguration mit 8 Ports 802.3bt (90 W) und 16 Ports 802.3af/at (30 W) (Fortinet, 2026). Das gesamte PoE-Budget eines Schranks variiert dagegen je Modell; diesen Wert schreiben wir nicht ins Projekt, ohne ihn zuvor im offiziellen Datenblatt des gewählten Modells verifiziert zu haben.

Bei der Verkabelung sind zwei Entscheidungen wichtig. Erstens verfügen die Wi-Fi-7-Flaggschiffe über einen 10-Gigabit-Ethernet-Port (Fortinet, 2026); fehlen im Zugangs-Switch Multi-Gig- oder 10GE-Ports, kann der Access Point seine Kapazität nicht ausschöpfen, und der Engpass entsteht nicht im WLAN, sondern im Kabel. Zweitens die Redundanz: FAP-441K und FAP-443K besitzen zwei Multi-Gigabit-RJ45-Ports (100M/1G/2,5G/5G/10G), beide Ports können 802.3bt-Speisung aufnehmen, und das Datenblatt markiert für diese Modelle die unterbrechungsfreie PoE-Umschaltung (Hit-less PoE Failover) als unterstützt (Fortinet, 2026). Den zweiten Port an einen anderen Switch oder eine separate PoE-Quelle anzuschließen, verhindert, dass ein einzelner Switch- oder Port-Ausfall den Access Point lahmlegt. In Neubauprojekten empfiehlt es sich, die Verkabelung eine Kategorie höher zu planen, um sie beim nächsten AP-Generationswechsel nicht neu ziehen zu müssen; das erhöht die Erstinvestition nur begrenzt und spart langfristig.

Welchen Bedrohungen ist ein WLAN ausgesetzt und wie begegnet FortiAP ihnen?

Kurze Antwort: Die spezifischen Risiken der WLAN-Schicht (Rogue Access Points, schwache Authentifizierung, unkontrollierter Gastverkehr) überlagern sich mit dem allgemeinen Trend zu Angriffen auf den Netzwerkrand. Im Verizon-Bericht 2025 erreichte die Ausnutzung von Schwachstellen als initialer Zugriffsvektor 20 %; das entspricht einem Anstieg von 34 % gegenüber dem Vorbericht (Verizon DBIR, 2025). Der ENISA Threat Landscape Report 2025 wiederum untersuchte 4.875 Vorfälle und weist Phishing mit 60 % als dominierenden Einstiegsvektor aus (ENISA, 2025) – die Kontrolle nach dem Netzzugang ist also mindestens ebenso wichtig wie die Sicherheit der Verbindung selbst.

Die Antworten auf FortiAP-Seite sind im Datenblatt definiert. Bei der Authentifizierung werden WPA, WPA2 und WPA3 mit 802.1X oder Pre-Shared Key, Web-Captive-Portal und MAC-Listen unterstützt; auf Funkebene lassen sich Rogue-Scanning und WIPS/WIDS im Hintergrund- oder im dedizierten Modus betreiben (Fortinet, 2026). Bei Modellen mit dediziertem Scan-Funkmodul läuft die Überwachung kontinuierlich, ohne den Zugangsdienst zu unterbrechen – FAP-441K und FAP-443K mit vier Funkmodulen sind Beispiele dieser Gruppe.

Den eigentlichen Unterschied macht die Richtlinienseite. Durchläuft der WLAN-Verkehr die FortiGate-Profile, werden IPS, Anwendungskontrolle und Webfilter auch auf den WLAN-Client angewendet. Fortinet gibt an, dass FortiGuard Labs täglich mehr als 100 Milliarden Ereignisse mit KI- und Machine-Learning-Systemen verarbeitet und analysiert (Fortinet, 2026); auch eine DNS-Anfrage aus der Gast-SSID wird gegen diesen Intelligence-Bestand bewertet. Organisationen, die zusätzlich die Endpunktseite absichern wollen, können mit FortiClient die Geräte-Posture in die WLAN-Zugriffsentscheidung einbeziehen.

Was fordern KVKK (türkisches Datenschutzgesetz) und PCI DSS vom WLAN?

Kurze Antwort: Dass Sie das WLAN als eigene Vertrauenszone behandeln und die Kontrolle dazwischen dokumentieren. Anforderung 1.3.3 von PCI DSS v4.0 verlangt, zwischen dem WLAN und der Karteninhaberdatenumgebung (CDE) eine Netzwerksicherheitskontrolle (NSC) zu platzieren und sämtlichen Verkehr vom WLAN in die CDE standardmäßig zu verweigern (PCI Security Standards Council, PCI DSS v4.0). Wird Segmentierung als Methode zur Geltungsbereichsreduzierung eingesetzt, fordert Anforderung 11.4.5, die Segmentierungskontrollen mindestens alle 12 Monate sowie nach jeder Änderung an der Segmentierung einem Penetrationstest zu unterziehen (PCI Security Standards Council, PCI DSS v4.0).

Eine Anmerkung: In PCI DSS v4.0 wurde der Begriff „firewall“ durch „Network Security Controls (NSC)“ ersetzt; Vorsicht ist bei Dokumenten geboten, die die alte Sprache von v3.2.1 als aktuellen Anforderungstext ausgeben. Auch das FortiAP-Datenblatt hält fest, dass das Produkt Schutz vor fortgeschrittenen WLAN-Bedrohungen bietet und darauf abzielt, branchenübliche Compliance-Anforderungen wie PCI DSS zu erfüllen (Fortinet, 2026).

Auf KVKK-Seite ist der Referenztext der von der türkischen Datenschutzbehörde veröffentlichte Leitfaden zur Sicherheit personenbezogener Daten (technische und organisatorische Maßnahmen) (Januar 2018). Der Leitfaden definiert Firewall und Gateway als erste Verteidigungslinie gegen unbefugte Zugriffsbedrohungen aus dem Internet; in der Übersichtstabelle der technischen Maßnahmen werden Netzwerksicherheit, Angriffserkennungs- und -abwehrsysteme sowie das regelmäßige Führen von Protokollaufzeichnungen als eigenständige Punkte aufgeführt (KVKK, 2018).

Die Ordnung, die wir in der Praxis aufbauen, lässt sich so zusammenfassen: Gast-SSID in eigenem VLAN mit eigenem Regelwerk; Default-Deny-Regel vom Gastnetz in das Unternehmens-Servernetz; zentrale Erfassung von Authentifizierungs- und Sitzungsaufzeichnungen; Aufbewahrung der WLAN-Authentifizierungsereignisse im selben Archiv wie die kabelgebundenen Ereignisse. Auf der Log-Seite unterstützt die FortiAnalyzer-Hardwarefamilie zwischen 180 und 10.000 Geräte/VDOMs, und es lässt sich ein Hochverfügbarkeitscluster mit bis zu vier Knoten aufbauen (Fortinet FortiAnalyzer Data Sheet, 2026); die Antworten auf Prüfungsfragen entstehen aus diesem Archiv.

Was leistet Sora Yazılım in einem FortiAP-Projekt?

Kurze Antwort: Wir behandeln das WLAN nicht als Hardwareliste, sondern als Designaufgabe. Als autorisierter Fortinet-Channel-Partner liefern wir Lizenzierung, Installation, Migration und Managed Services. Der Umfang eines FortiAP-Projekts besteht in der Regel aus diesen Schritten: Aufnahme des Ist-Zustands und des Client-Bestands, Standortbegehung und HF-Plan, Modell- und Generationsauswahl, Verifizierung von PoE und Verkabelung, Controller-Konfiguration auf der FortiGate, Design von SSID/VLAN/Richtlinien, Gastportal und Registrierungsverfahren, Verifikationsmessungen nach der Installation und Inbetriebnahme.

Die Modellauswahl bestimmt der Client-Bestand. In einem Büro mit überwiegend Wi-Fi-5- und Wi-Fi-6-Geräten ist der Wechsel auf das Wi-Fi-7-Flaggschiff eine ineffiziente Budgetverwendung; umgekehrt bedeutet der Verzicht auf Wi-Fi 7 in einem neuen Campusgebäude, die Verkabelung binnen weniger Jahre erneut anfassen zu müssen. Ruggedized Outdoor-Modelle sind wiederum ein eigenes Thema für Umgebungen wie Lagerhöfe, Häfen, Werksgelände und offene Parkflächen.

Für Organisationen, die das gesamte Campus-Netz aus einer Hand aufbauen wollen, positionieren wir FortiAP gemeinsam mit FortiSwitch und FortiGate und fassen die gesamte Fortinet-Produktfamilie in einer Architektur zusammen. Für Automatisierungs-, Monitoring- und Kontinuitätsbedarf auf Netzwerk- und Systemseite kommen unsere DevOps- und Infrastrukturdienstleistungen ins Spiel. Organisationen, die aus Budget- oder Beschaffungsgründen eine alternative WLAN-Plattform prüfen, bieten wir auch Ruijie Enterprise-Netzwerklösungen an; die Auswahl richtet sich nach der bestehenden Sicherheitsarchitektur der Organisation.

Für WLAN-Erneuerung, WLAN-Design im Neubau, den Umstieg auf Wi-Fi 6E/7 oder einen Gesundheitscheck Ihrer bestehenden FortiAP-Installation sprechen Sie gern mit unserem Team. Wir bestimmen die für Ihren Bedarf passende Kombination aus Modell und Lizenz und erstellen ein projektbezogenes Angebot – für den Einstieg erreichen Sie uns über unsere Kontaktseite; vereinbaren wir eine Standortbegehung.