Öffentliches WLAN: Echte Risiken und wie Sie sich schützen

Die Sicherheit in öffentlichen WLANs ist heute besser als früher, weil die meisten Websites und Apps ihre Verbindungen verschlüsseln. Zum normalen Surfen ist öffentliches WLAN einigermaßen sicher, doch das Netz selbst kann gefälscht, neugierig oder schlecht eingerichtet sein. Mit ein paar Gewohnheiten, etwa den Netzwerknamen prüfen, für Bankgeschäfte mobile Daten nutzen und Freigaben abschalten, nutzen Sie kostenloses WLAN mit geringem Risiko.

Warum ist das wichtig? Ein gefälschtes Netz oder eine unachtsame Einstellung kann Ihre Passwörter, persönliche Daten oder die Dateien auf Ihrem Gerät preisgeben. Kriminelle setzen darauf, dass Menschen sich mit dem ersten kostenlosen Netz verbinden und ungelesen auf „OK“ tippen.

Die echten Risiken öffentlicher WLANs heute

Gefälschte Doppelgänger-Netze (Evil Twin)

Ein „Evil Twin“ ist ein Netz, das jemand in der Nähe mit einem Namen einrichtet, der dem echten zum Verwechseln ähnlich ist, zum Beispiel „Flughafen_Free_WiFi“ neben „Flughafen Free WiFi“. Verbinden Sie sich damit, kontrolliert der Angreifer Ihre Verbindung und kann Ihnen gefälschte Anmeldeseiten zeigen oder Sie auf falsche Websites leiten. Ihr Handy verbindet sich womöglich sogar automatisch.

Anmeldeseiten, die zu viel verlangen

Ein Captive Portal ist die Seite, die erscheint, bevor Sie online gehen, und auf der Sie Nutzungsbedingungen akzeptieren oder Ihre Zimmernummer eingeben. Viele sind harmlos, manche fragen aber nach vollem Namen, Telefonnummer, Geburtsdatum oder einem Social-Media-Login, der Ihr Profil teilt. Geben Sie nur an, was wirklich nötig ist.

Eine gefälschte Anmeldeseite fragt eventuell auch nach einem Passwort, einer Kartennummer oder fordert Sie auf, eine App, ein „Sicherheitszertifikat“ oder ein Profil zu installieren. Echtes WLAN im Café oder Hotel braucht nichts davon.

Unverschlüsselte Websites

Die meisten Websites nutzen inzwischen HTTPS, einige ältere Seiten und kleine Angebote aber noch nicht. In einem offenen Netz kann alles, was Sie auf einer unverschlüsselten Seite eintippen, von anderen im Netz oder vom Betreiber mitgelesen werden.

Automatisches Verbinden und Freigaben

Geräte verbinden sich gern automatisch wieder mit bekannten Netzen, und bei gängigen öffentlichen Namen ist das riskant. Freigabefunktionen, etwa die Dateifreigabe am Laptop oder der Empfang von Dateien von jedem in der Nähe, können Fremden Ihr Gerät zeigen oder ihnen erlauben, Ihnen unerwünschte Inhalte zu schicken.

Was HTTPS schützt und was nicht

Ein Schloss oder „https://“ in der Adressleiste bedeutet, dass die Verbindung zwischen Ihrem Gerät und dieser Website verschlüsselt ist.

HTTPS schützt:

• Passwörter, Nachrichten und Kartennummern, die Sie auf dieser Seite eingeben
• Den Inhalt der Seiten, die Sie öffnen

HTTPS schützt nicht:

• Welche Websites Sie besuchen. Der Netzbetreiber sieht meist weiterhin die Namen der Websites, wenn auch nicht die einzelnen Seiten.
• Vor gefälschten Websites. Auch eine Betrugsseite kann ein Schloss haben. Das Schloss bedeutet „verschlüsselt“, nicht „vertrauenswürdig“.
• Vor Ihren eigenen Entscheidungen. Schickt Sie ein Evil Twin auf eine nachgemachte Anmeldeseite und Sie tippen Ihr Passwort ein, hilft HTTPS nicht.

Prüfen Sie also immer die Adresse der Website, nicht nur das Schloss. Zeigt Ihr Browser im öffentlichen WLAN „Nicht sicher“ oder eine Zertifikatswarnung, brechen Sie ab.

Wann ein VPN hilft und wie Sie eines auswählen

Ein VPN (virtuelles privates Netzwerk) baut einen verschlüsselten Tunnel von Ihrem Gerät zum Server des VPN-Anbieters auf. Das lokale Netz sieht dann nur, dass Sie ein VPN nutzen, nicht welche Websites Sie besuchen.

Ein VPN schützt nicht vor Phishing, gefälschten Websites, Malware oder Betrugsnachrichten. Außerdem verlagert es das Vertrauen: Statt des Cafés kann nun der VPN-Anbieter Ihre Verbindungsmuster sehen. Wählen Sie also sorgfältig:

• Meiden Sie unbekannte kostenlose VPN-Apps. VPN-Server kosten Geld, und manche Gratis-Apps verdienen es über massive Werbung, das Sammeln Ihrer Daten oder Berechtigungen, die sie gar nicht brauchen.
• Wählen Sie einen etablierten Anbieter mit klarer Datenschutzerklärung und unabhängigen Sicherheitsaudits, oder nutzen Sie für die Arbeit das VPN Ihres Arbeitgebers.
• Installieren Sie es nur aus dem App Store, aus Google Play oder von der offiziellen Website des Anbieters.
• Aktivieren Sie die Option „Immer aktiv“ oder den „Kill Switch“, damit keine Daten ungeschützt fließen, wenn das VPN die Verbindung verliert.

Sichere Gewohnheiten im öffentlichen WLAN

Bevor Sie sich verbinden

• Prüfen Sie den Netzwerknamen. Fragen Sie das Personal oder schauen Sie auf ein offizielles Schild. Sehen zwei Namen sehr ähnlich aus, fragen Sie, welcher der echte ist.
• Nutzen Sie für Bankgeschäfte und Zahlungen lieber mobile Daten oder Ihren eigenen Hotspot. Den kann ein Fremder in der Nähe viel schwerer nachahmen.
• Halten Sie Ihr Gerät aktuell. Updates für iPhone, Android, Windows und macOS schließen Lücken, die Angreifer ausnutzen könnten.

Während Sie verbunden sind

• Nutzen Sie die offiziellen Apps von Bank und Shops statt Links.
• Installieren Sie nichts, was eine WLAN-Seite von Ihnen verlangt.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung, damit ein gestohlenes Passwort allein nicht reicht. Unser Ratgeber zur Zwei-Faktor-Authentifizierung erklärt, wie.

Freigaben prüfen

• iPhone und Mac: Stellen Sie AirDrop auf „Nur für Kontakte“ oder „Empfangen aus“, nicht auf „Für jeden“.
• Android: Stellen Sie die Dateifreigabe in der Nähe (Quick Share) auf Kontakte oder Ihre eigenen Geräte.
• Windows: Markieren Sie Netze in Cafés und Hotels als öffentlich, damit Ihr PC für andere Geräte unsichtbar bleibt, und lassen Sie die Dateifreigabe aus.
• macOS: Schalten Sie in den Freigabe-Einstellungen Dateifreigabe und Bildschirmfreigabe aus, wenn Sie sie nicht brauchen.

Nachdem Sie gegangen sind

• Netz ignorieren. Tippen Sie in den WLAN-Einstellungen auf den Netzwerknamen und wählen Sie „Dieses Netzwerk ignorieren“ bzw. „Entfernen“, damit Ihr Gerät sich später nicht mit einer gefälschten Kopie verbindet.
• Schalten Sie das automatische Verbinden für öffentliche Netze aus, die Sie selten nutzen.
• Lassen Sie die Option für eine private bzw. zufällige WLAN-Adresse eingeschaltet. iPhone und Android aktivieren sie meist standardmäßig, was Ihr Gerät schwerer verfolgbar macht.

WLAN-QR-Codes in Cafés und Hotels

Viele Cafés und Hotels zeigen einen QR-Code, der Sie mit einem Scan mit dem WLAN verbindet. Das ist meist sicher, doch über den echten Code kann ein Aufkleber geklebt werden, der zu einem Evil Twin oder einer Website führt.

• Ein WLAN-QR-Code sollte anbieten, einem Netz beizutreten, und dessen Namen anzeigen, nicht eine Website öffnen.
• Prüfen Sie nach dem Verbinden den Netzwerknamen in den WLAN-Einstellungen und vergleichen Sie ihn mit dem offiziellen Schild.
• Seien Sie misstrauisch bei Codes auf losen Aufklebern oder solchen, die über einen anderen Code geklebt sind.
• Öffnet ein „WLAN“-Code eine Seite, auf der Sie sich anmelden, bezahlen oder etwas herunterladen sollen, schließen Sie sie.

Sind Sie unsicher, können Sie mit QR-TH den QR-Code online scannen und zuerst sehen, was er enthält. Wie Sie Ihr eigenes WLAN sicher teilen, lesen Sie in unserem Ratgeber zum WLAN-QR-Code.

Kurze Checkliste

1. Bestätigen Sie den genauen Netzwerknamen beim Personal oder auf einem offiziellen Schild.
2. Nutzen Sie für Bankgeschäfte und Zahlungen mobile Daten oder Ihren eigenen Hotspot.
3. Geben Sie auf einer WLAN-Anmeldeseite nie Kartennummern ein und installieren Sie dort nichts.
4. Prüfen Sie die Adresse der Website, nicht nur das Schloss.
5. Brechen Sie ab, wenn Ihr Browser eine Sicherheitswarnung zeigt.
6. Stellen Sie AirDrop, Quick Share und Dateifreigabe auf „Nur Kontakte“ oder aus.
7. Nutzen Sie ein vertrauenswürdiges VPN, keine unbekannte Gratis-App.
8. Lassen Sie öffentliche Netze nach der Nutzung ignorieren und schalten Sie automatisches Verbinden aus.
9. Halten Sie Handy und Laptop aktuell.

FAQ

Ist Online-Banking im öffentlichen WLAN sicher?

Banking-Apps verschlüsseln ihre Verbindungen, ein gefälschtes Netz kann aber trotzdem versuchen, Sie hereinzulegen. Für Bankgeschäfte und Zahlungen sind mobile Daten daher die sicherere Wahl.

Kann mein Handy gehackt werden, nur weil ich mich mit öffentlichem WLAN verbunden habe?

Das bloße Verbinden reicht bei einem aktuellen Handy selten aus. Größere Risiken sind gefälschte Anmeldeseiten, offene Freigaben und das Installieren von etwas, das eine gefälschte Anmeldeseite verlangt.

Brauche ich im öffentlichen WLAN ein VPN?

Nicht unbedingt. HTTPS schützt das meiste, was Sie tun, ein vertrauenswürdiges VPN bringt aber zusätzliche Privatsphäre in Netzen, die Sie oft nutzen. Meiden Sie unbekannte kostenlose VPN-Apps.

Wie erkenne ich, ob ein WLAN ein Evil Twin ist?

Auf den ersten Blick oft gar nicht. Bestätigen Sie den genauen Namen beim Personal, seien Sie bei doppelten oder leicht abweichenden Namen vorsichtig und trennen Sie die Verbindung, wenn das Netz Passwörter, Zahlungen oder Downloads verlangt.

Öffentliches WLAN ist nützlich, wenn Sie es mit etwas Vorsicht nutzen. Zeigt Ihnen ein Café oder Hotel das nächste Mal einen WLAN-QR-Code, prüfen Sie mit dem kostenlosen Scanner von QR-TH, was er enthält, und kontrollieren Sie nach dem Verbinden den Netzwerknamen.