Kurz gesagt

• Der ESP32 verbindet sich nicht mit dem Schul-WLAN, weil Schulnetze Dinge verlangen, die ein Mikrocontroller nicht liefern kann: eine WPA2-Enterprise-Anmeldung (Benutzername plus Zertifikat nach eduroam-Art), ein Captive Portal, das einen Browser braucht, oder MAC-Registrierung und Zwei-Faktor-Richtlinien. Firmware, die nur SSID + Passwort kennt, scheitert schon im ersten Schritt. Es liegt an Richtlinien und Protokollen, nicht an einem defekten Board.
• Die schnellste legitime Lösung ist, die IT-Abteilung um eine PSK-Gast-SSID, ein IoT-VLAN oder einen Eintrag in einer MAC-Positivliste zu bitten. Die passende Formulierung steht weiter unten.
• Handy-Hotspots und Reise-Router bringen eine Vorführung über die Runden, umgehen aber die Richtlinien, verstoßen unter Umständen gegen die Nutzungsordnung und fallen aus, sobald das Handy in den Ruhezustand geht.
• Die dauerhafte Antwort ist Architektur: ein ESP-NOW-Mesh mit einem einzigen Bridge-Knoten, BLE-Provisionierung, LoRa für Reichweite oder Offline-first-Protokollierung mit späterer Synchronisierung. Nur ein einziges Gerät – oder gar keines – berührt jemals das Schulnetz.
• Dieselbe Not in der Variante für Zuhause und Bauernhof: Router, die nur WPA1/TKIP beherrschen, scheitern ebenfalls an moderner ESP32-Firmware. Der Scan sieht den Access Point, doch der Verbindungsversuch endet mit NO_AP_FOUND. Router auf WPA2 umstellen.

Die häufigste Mauer im Klassenzimmer-IoT

Wer in einem beliebigen Maker-Forum nach „ESP32 Schul-WLAN“ sucht, findet immer wieder dieselbe Geschichte: Das Projekt läuft zu Hause tadellos, kommt in der Schule an und geht nicht mehr online. Es trifft Lehrkräfte, Schüler und sogar Dozenten, die den Kurs leiten:

„Ich bin derzeit Dozent an einem Community College, und die IT-Abteilung lässt uns das installierte WLAN nicht nutzen, um mit WLAN-Boards (ESP32 oder anderen) zu unterrichten. … Müssen wir uns einen eigenen WLAN-Dienst kaufen, oder übertreibt die IT-Abteilung einfach?“

— r/esp32, Januar 2025

„Ich baue eine Hydroponik-Steuerung … läuft super … verbunden mit einem gesicherten 2,4-GHz-Hotspot. Die beiden Netze, die für den Dauerbetrieb zur Verfügung stehen, sind allerdings Eduroam und ein Netz, das durch ein Captive Portal gesichert ist.“

— r/esp32, Dezember 2024

„Das WLAN meiner Schule verlangt Benutzername, Passwort und eine Zwei-Faktor-Authentifizierung per Duo, damit man sich verbinden kann, also kann ich kein einfaches wifi(ssid, password) nutzen. Hatte schon mal jemand ein ähnliches Problem?“

— r/esp32, März 2023

Lehrkräfte, die Ausstattung für den Unterricht einkaufen, haben die Lektion gelernt und fragen inzwischen von vornherein danach:

„Ich hätte gern etwas mit eigenem Bedienfeld, das nicht darauf angewiesen ist, sich mit dem Schul-WLAN zu verbinden“

— eine Lehrerin beim Kauf einer Hydroponik-Anlage fürs Klassenzimmer, r/Hydroponics, Dezember 2023

Der Standard-Behelf, der sich über mehr als sieben r/esp32-Threads zieht, ist stets derselbe: einen eigenen Hotspot oder einen Reise-Router kaufen. Mit anderen Worten: Menschen geben Geld für zusätzliche Hardware aus, nur um das Schulnetz zu umgehen. Bevor Sie das tun, lohnt es sich zu verstehen, warum das Board überhaupt abgewiesen wird.

Warum das Schul-WLAN Ihr Board abweist

1. WPA2-Enterprise will eine Identität, kein Passwort

Heim-WLANs nutzen WPA2-Personal: ein gemeinsames Passwort (ein „Pre-Shared Key“, PSK) für alle. Schul- und Hochschulnetze wie eduroam nutzen WPA2-Enterprise: Jede Person authentifiziert sich mit Benutzername, Passwort und oft einem Zertifikat, geprüft gegen einen zentralen RADIUS-Server. Die meisten Hobby-Firmwares und die meisten Block-Programmierumgebungen haben dafür schlicht keine Bedienoberfläche. Das Board versagt nicht; ihm wird eine Frage gestellt, die es gar nicht beantworten kann.

2. Captive Portals brauchen einen Browser, den Ihr Board nicht hat

Gastnetze wirken oft offen, leiten die erste Webanfrage aber auf eine Anmeldeseite um: Nutzungsbedingungen akzeptieren, Gutscheincode eingeben, Schaltfläche klicken. Dieser Ablauf setzt einen Menschen mit Browser und Bildschirm voraus. Ein Mikrocontroller ohne Bildschirm kann sich zwar mit dem Access Point verbinden, aber niemals auf „Akzeptieren“ klicken – und sitzt damit in einem abgeschotteten Bereich ohne echten Internetzugang.

3. Geräteregistrierung, MAC-Filter und Zwei-Faktor-Richtlinien

Viele Schulen verlangen zusätzlich, dass jedes Gerät über seine MAC-Adresse registriert wird, oder schicken vor der Freigabe eine Zwei-Faktor-Abfrage an eine Handy-App. Ein Schülerboard ist ein nicht verwaltetes, nicht registriertes Gerät ohne zugehöriges Handy. Unter diesen Regeln wird es per Konstruktion blockiert – und manche Boards würfeln ihre MAC-Adresse zufällig aus, was Positivlisten selbst dann zerstört, wenn die IT helfen will.

4. Manchmal ist es überhaupt nicht technisch: Die IT sagt Nein

Der oben zitierte Dozent scheiterte nicht an einem Protokoll. Die IT-Abteilung lehnte ab. Diese Ablehnung ist meist vertretbar: Dutzende nicht verwaltete Mikrocontroller in einem Netz, das Schülerdaten und Prüfungsmaterial trägt, sind eine echte Sicherheits- und Supportlast. Behandeln Sie die IT als Beteiligte mit berechtigten Sorgen und nicht als Hindernis – Ihre Chancen steigen dadurch erheblich.

Die Variante für Zuhause und Bauernhof: Router mit ausschließlich WPA1/TKIP

Ein verwandter Fehlschlag trifft Menschen weitab jeder Schule. Ältere Router, die WPA1 mit TKIP-Verschlüsselung fahren, werden von moderner ESP32-Firmware aus Sicherheitsgründen abgewiesen. Das Symptom verwirrt: Das Netz taucht im Scan auf, doch jeder Verbindungsversuch scheitert mit NO_AP_FOUND. Keine Codeänderung hilft dagegen. Stellen Sie den Router auf WPA2 (oder tauschen Sie ihn aus), und das Board tritt dem Netz normal bei. Wer in einem Schuppen auf dem Hof oder einer Einliegerwohnung mit zehn Jahre altem Router installiert, prüft das zuerst.

Was tatsächlich funktioniert

Variante 1: Die IT richtig fragen – in ihrem Vokabular

Die meisten Anfragen scheitern, weil sie klingen wie „bitte schwächt mal die Sicherheit ab“. Fragen Sie stattdessen nach einer von drei standardisierten, abgegrenzten Lösungen, die Netzwerkadministratoren ständig ausrollen:

• Ein separates IoT-VLAN: ein isoliertes Netzsegment für Laborgeräte, per Firewall von Verwaltungs- und Schülersystemen getrennt.
• Eine WPA2-PSK-SSID: ein einfaches passwortgeschütztes Netz, idealerweise versteckt oder mit geringer Sendeleistung, das nur den Robotikraum abdeckt.
• Eine MAC-Positivliste: Sie liefern die festen MAC-Adressen des Klassensatzes; die IT lässt nur diese Geräte zu.

Eine Anfrage, die es zu kopieren lohnt: „Könnten wir für das Robotiklabor eine WPA2-PSK-SSID in einem isolierten VLAN bekommen, nur Internet, kein Zugriff auf interne Systeme, begrenzt auf N bekannte MAC-Adressen, die ich liefere? Gern auch bandbreitenbegrenzt und außerhalb der Unterrichtszeiten abgeschaltet.“ Dieser eine Satz zeigt, dass Sie ihre Sorgen verstehen, und macht aus einer Richtliniendebatte ein Routine-Änderungsticket.

Variante 2: Handy-Hotspot oder Reise-Router – mit offenen Augen

Ein Hotspot funktioniert, weil er ein schlichtes WPA2-PSK-Netz unter Ihrer Kontrolle ist, und Boards der ESP32-Klasse sprechen problemlos 2,4-GHz-WLAN. Für eine einmalige Vorführung ist das in Ordnung. Als Plan für ein ganzes Halbjahr hat es echte Probleme: Das Handy geht in den Ruhezustand oder verlässt den Raum, und das ganze Projekt ist offline; Mobilfunkkosten summieren sich, was in Südafrika spürbar wehtut; und auf vielen Campus verstößt ein privater Access Point gegen die Nutzungsordnung – klären Sie ihn also mit der IT, statt ihn zu verheimlichen. Ein Reise-Router am kabelgebundenen Anschluss des Klassenzimmers ist stabiler, braucht aber ohnehin den Segen der IT – und dann ist Variante 1 meist die bessere Bitte.

Variante 3: So bauen, dass das Schulnetz keine Rolle mehr spielt

Die stärkste Position ist eine Architektur, in der Schülergeräte überhaupt kein Infrastruktur-WLAN brauchen:

• ESP-NOW-Mesh mit einer Bridge: ESP-NOW ist ein Peer-to-Peer-Funkprotokoll zwischen Boards der ESP32-Klasse, das weder Router noch Passwort benötigt. Die Schülerboards reden direkt miteinander; ein einzelner Bridge-Knoten hält die eine Internetverbindung (ein Hotspot, ein LAN-Port im Lehrerzimmer oder die eine MAC-Adresse, die die IT auf die Positivliste gesetzt hat). Ein Gerät absichern statt dreißig.
• BLE für Einrichtung und Steuerung: Bluetooth Low Energy koppelt ein Board mit Handy oder Laptop für Provisionierung und Dashboards, ganz ohne Netz dazwischen.
• LoRa, wo die Entfernung WLAN ausschließt: Für Schulgärten, Wetterstationen und Feldparzellen trägt LoRa kleine Sensorpakete über Kilometer – ganz ohne WLAN.
• Offline-first-Protokollierung: während der Stunde in den Flash-Speicher oder auf eine SD-Karte schreiben und später über ein Netz Ihrer Wahl synchronisieren. Der Lastabwurf macht das in südafrikanischen Schulen unabhängig von der WLAN-Politik zu einer guten Gewohnheit.

Wie sheen darum herum konstruiert

Diese Mauer hat unsere Hardware-Entscheidungen geprägt. Das Board sheenbot∞ trägt WLAN-, BLE- und ESP-NOW-Funk an Bord und funktioniert vollständig offline – ohne Konto, Abo oder Cloud-Abhängigkeit. Im Klassenzimmer bilden die Boards ein routerfreies ESP-NOW-Mesh mit einem einzigen Bridge-Knoten, der die einzige Netzverbindung hält – dieselbe Architektur, die unsere nachrüstbaren Smart-Home-Knoten hinter einer Mainboard-Bridge nutzen. sheenIoT ergänzt BLE-gestütztes Koppeln, sodass Geräte einer Flotte beitreten, ohne das Schul-WLAN zu berühren, und unsere Systeme für netzunabhängige smarte Landwirtschaft setzen auf solarbetriebene LoRa-Feldknoten mit Kilometer-Reichweite, wo WLAN nie eine Option war. Für reine Programmierstunden lassen die Simulatoren sheen canvas und sheen verse echtes MicroPython im Browser der Lehrkraft laufen, sodass Schüler IoT-Logik schreiben und testen können, ohne dass ein einziges Gerät im Netz hängt. Eine ehrliche Einschränkung: Wie bei anderen Boards der ESP32-Klasse ist der Beitritt zu WPA2-Enterprise oder eduroam kein unterstützter Weg für den Unterricht. Wir konstruieren darum herum, statt dagegen anzukämpfen.

Verbindungsoptionen im Vergleich

Option	Einrichtungsaufwand	Freigabe der IT nötig	Reichweite	Eignung fürs Klassenzimmer und größter Nachteil
Schul-WLAN (IoT-VLAN / PSK-SSID)	Gering für Sie, ein Änderungsticket für die IT	Ja, unverzichtbar	Ganzer Campus	Langfristig am besten, sofern genehmigt; die Freigabe kann Wochen dauern oder rundweg abgelehnt werden
Handy-Hotspot	Sehr gering	Formal ja, oft übergangen	Ein Raum	Großartig für Vorführungen; fällt aus, wenn das Handy schläft, Mobilfunkkosten, kann gegen Richtlinien verstoßen
Reise-Router	Gering bis mittel	Ja, er hängt an ihrem Netz	Ein bis zwei Räume	Stabil und günstig; braucht trotzdem dasselbe Gespräch mit der IT und ist daher oft überflüssig
ESP-NOW-Mesh + ein Bridge-Knoten	Mittel (braucht Boards mit ESP-NOW, z. B. sheenbot∞)	Nur für die eine Bridge, oder gar nicht, wenn die Bridge einen Hotspot nutzt	Raum bis Gebäude, das Mesh erweitert sie	Beste Eignung fürs Klassenzimmer; der Internetzugang hängt weiterhin an der einen Bridge-Verbindung
LoRa-Knoten	Mittel bis hoch	Nein	Kilometer	Ideal für Gärten, Höfe, Wetterstationen; geringe Bandbreite, nur Sensordaten, zusätzliche Funkhardware

Häufige Fragen

Kann sich ein ESP32 mit eduroam oder anderem WPA2-Enterprise-WLAN verbinden?

Nicht als praxistauglicher Weg für den Unterricht. WPA2-Enterprise verlangt eine benutzerbezogene Identität, die gegen einen RADIUS-Server geprüft wird, und Hobby-Firmware wie Block-Programmierumgebungen haben dafür keinen unterstützten Ablauf. Eine Handvoll fortgeschrittener Firmware-Builds versucht es, doch die Ergebnisse sind fragil und hängen am jeweiligen Netz. Planen Sie eine Architektur, die nicht darauf angewiesen ist.

Kann ein ESP32 an einem Captive Portal vorbeikommen?

Nein. Ein Captive Portal erwartet einen Menschen im Browser, der Bedingungen akzeptiert oder einen Code eingibt. Ein Board ohne Bildschirm kann sich mit dem Access Point verbinden, schließt die Anmeldung aber nie ab und bleibt im abgeschotteten Bereich. Bitten Sie die IT stattdessen um ein PSK-Netz, oder nutzen Sie ein Bridge-Gerät, das die Verbindung hält.

Warum sieht mein ESP32 mein WLAN im Scan, scheitert aber mit NO_AP_FOUND an der Verbindung?

Passiert das zu Hause oder auf einem Hof, beherrscht der Router wahrscheinlich nur WPA1/TKIP. Moderne ESP32-Firmware verweigert solche Netze aus Sicherheitsgründen, auch wenn der Scan sie weiterhin auflistet. Stellen Sie den Sicherheitsmodus des Routers auf WPA2 um (oder tauschen Sie den Router), dann verbindet sich das Board.

Worum genau soll ich die Schul-IT bitten?

Bitten Sie um eine WPA2-PSK-SSID in einem isolierten IoT-VLAN, nur Internet, beschränkt auf eine von Ihnen gelieferte MAC-Positivliste, bandbreitenbegrenzt und nur während des Unterrichts aktiv. Diese Worte zeigen, dass Sie um eine abgegrenzte Standardkonfiguration bitten und nicht um eine Ausnahme von der Sicherheitsrichtlinie – und sie treffen genau die Werkzeuge, die die IT ohnehin hat.

Können Schüler IoT ganz ohne WLAN lernen?

Ja. Boards können über ein ESP-NOW-Mesh ohne Router live Sensordaten austauschen, offline für eine spätere Synchronisierung protokollieren oder sich per BLE koppeln. Und Browser-Simulatoren wie sheen verse führen echtes MicroPython aus, sodass eine ganze Klasse IoT-Logik bauen und testen kann, bevor auch nur ein Gerät ein Netz braucht.

Ist ein Handy-Hotspot für IoT im Unterricht erlaubt?

Technisch klappt es fast immer, denn es ist ein schlichtes 2,4-GHz-WPA2-PSK-Netz. Ob es erlaubt ist, hängt von der Nutzungsordnung Ihrer Schule ab; viele Campus verbieten private Access Points. Fragen Sie vorher. Ist die IT mit einem Hotspot einverstanden, gibt sie Ihnen meist auch eine richtige PSK-SSID – und die ist besser.