Öffentliches WLAN sicher nutzen: Risiken und echter Schutz

Öffentliches WLAN ist 2026 deutlich sicherer als sein Ruf, weil über 95 Prozent des Web-Verkehrs verschlüsselt per HTTPS läuft (die verschlüsselte Verbindung, erkennbar am „https://“ in der Adresszeile). Das eigentliche Risiko ist nicht mehr das Mitlesen deines Passworts, sondern gefälschte Hotspots und nachgebaute Anmeldeseiten. Prüfe den Netzwerknamen beim Personal, schalte die automatische Verbindung aus, aktiviere die Zwei-Faktor-Anmeldung und nutze für sensible Dinge ein VPN.

Was an öffentlichem WLAN wirklich gefährlich ist – und was nicht

Die klassische Warnung lautet seit Jahren: „Im offenen WLAN liest jeder deine Passwörter mit.“ Das stimmt so heute nicht mehr. Weil praktisch jede seriöse Website HTTPS erzwingt, sind deine Eingaben auf dem Weg vom Gerät zum Server verschlüsselt – ein einfaches Mithören des Datenverkehrs (das sogenannte Packet Sniffing, das reine Belauschen der Funkpakete) fördert nur unlesbaren Datensalat zutage. Diese alte Angst ist weitgehend erledigt.

Was bleibt, sind Angriffe, die HTTPS gar nicht erst aushebeln müssen:

• Evil Twin (böser Zwilling): Ein Angreifer stellt einen eigenen Hotspot mit vertrautem Namen auf, etwa „Flughafen_Free_WiFi“. Verbindet sich dein Gerät, läuft dein gesamter Verkehr über seine Hardware. Das ist ein Man-in-the-Middle-Angriff – jemand sitzt unbemerkt zwischen dir und dem echten Netz.
• Captive-Portal-Phishing: Die Anmeldeseite, die sich beim Verbinden öffnet (das Captive Portal), wird täuschend echt nachgebaut und fragt Mailadresse, Passwort oder sogar Kreditkartendaten ab. Wer hier eintippt, verschenkt seine Zugangsdaten freiwillig.
• SSL-Stripping / Downgrade: Ein fortgeschrittener Angreifer versucht, deine Verbindung heimlich von HTTPS auf unverschlüsseltes HTTP herunterzustufen. Gelingt das, sind Eingaben wieder lesbar.
• Metadaten- und DNS-Lecks: Selbst bei HTTPS sieht der Netzbetreiber über die DNS-Anfragen (die Namensauflösung, die aus „meine-bank.de“ eine IP-Adresse macht), welche Seiten du ansteuerst – nur nicht die konkreten Inhalte.
• Veraltete Geräte und offene Freigaben: Ein Notebook mit aktiver Datei- und Druckerfreigabe oder ohne Sicherheitsupdates ist im gleichen Netz ein leichtes Ziel.

Öffentliches WLAN absichern: Schritt für Schritt

1. Netzwerknamen verifizieren. Frag beim Café-, Hotel- oder Flughafenpersonal nach dem exakten WLAN-Namen (SSID). Ein Buchstabe Unterschied oder ein Netz ganz ohne Passwort ist ein Warnsignal für einen Evil Twin.
2. Automatische Verbindung ausschalten. Verhindere, dass sich dein Gerät ungefragt in bekannte oder offene Netze einbucht. Am iPhone unter „Einstellungen → WLAN → (Netz) → Autom. verbinden“, bei Android in den WLAN-Einstellungen des jeweiligen Netzes, unter Windows über den Haken „Automatisch verbinden“ am Netzwerkeintrag.
3. Netz als „öffentlich“ einstufen. Fragt Windows beim Verbinden, ob das Netzwerk öffentlich oder privat ist, wähle öffentlich. Damit deaktiviert das System Datei- und Druckerfreigaben und macht dein Gerät im Netz unsichtbar.
4. HTTPS erzwingen. Aktiviere im Browser den Nur-HTTPS-Modus – in Firefox unter „Einstellungen → Datenschutz & Sicherheit → Nur-HTTPS-Modus“, in Chrome unter „Datenschutz und Sicherheit → Sicherheit → Immer sichere Verbindungen verwenden“. Der Browser warnt dann, bevor er eine ungesicherte Seite lädt, und bremst SSL-Stripping aus.
5. Zwei-Faktor-Authentifizierung einschalten. Für Mail, Cloud und Banking. Selbst ein abgegriffenes Passwort nützt dem Angreifer wenig, wenn zur Anmeldung ein zweiter Faktor (App-Code oder Hardware-Schlüssel) fehlt.
6. Für sensible Dinge ein VPN nutzen. Ein VPN (Virtual Private Network) legt einen verschlüsselten Tunnel um deinen kompletten Datenverkehr – auch um DNS-Anfragen und Apps, die selbst kein HTTPS erzwingen. Für Homeoffice ist das oft das Firmen-VPN, sonst ein seriöser Bezahldienst.
7. Netz nach der Nutzung „vergessen“. Entferne den Hotspot aus der Liste gespeicherter Netze, damit sich dein Gerät später nicht automatisch mit einem gleichnamigen Evil Twin verbindet.

Wenn es um Banking und vertrauliche Daten geht

Reine Alltagsnutzung – Fahrplan, Nachrichten, Streaming über HTTPS – ist mit den Schritten oben unkritisch. Bei wirklich sensiblen Vorgängen empfiehlt das BSI trotzdem Zurückhaltung: „Rufen Sie vertrauliche Daten über ein fremdes WLAN-Netz am besten nicht ab.“

• Online-Banking läuft unterwegs sicherer über die mobile Datenverbindung (LTE/5G) als über ein fremdes WLAN – das Mobilfunknetz ist von Haus aus verschlüsselt und lässt sich nicht so leicht fälschen wie ein Hotspot.
• Keine Zahlungs- oder Zugangsdaten in ein Captive Portal eintippen. Eine echte Gäste-Anmeldung will höchstens eine Mailadresse, niemals dein Konto- oder Kreditkartenpasswort.
• Betriebssystem und Browser aktuell halten. Viele Downgrade- und Freigabe-Angriffe zielen auf bekannte, längst gepatchte Lücken – ein aktuelles Gerät schließt sie.
• WLAN aus, wenn nicht gebraucht. Ein deaktiviertes WLAN bietet schlicht keine Angriffsfläche und verhindert das automatische Einbuchen im Vorbeigehen.

Hintergrund: So funktioniert ein Evil-Twin-Angriff

Der Trick ist alltagstauglich und braucht keine Hollywood-Technik. Ein Angreifer betreibt mit einem handelsüblichen Gerät einen Access Point – also einen WLAN-Zugangspunkt – und vergibt einen vertrauenswürdig klingenden Namen. Smartphones und Notebooks bevorzugen oft das Netz mit dem stärksten Signal und einem bekannten Namen, also setzt er sich einfach näher an sein Opfer.

Verbindet sich das Gerät, fließt der Verkehr über seine Hardware. Dort kann er ein gefälschtes Anmeldeportal ausspielen, DNS-Anfragen umbiegen oder per SSL-Stripping versuchen, verschlüsselte Verbindungen aufzuweichen. Genau deshalb wirken die Gegenmaßnahmen so gut: Der Nur-HTTPS-Modus verhindert das heimliche Herunterstufen, die Zwei-Faktor-Anmeldung entwertet abgegriffene Passwörter, und ein VPN verpackt selbst DNS und ungesicherte Apps in einen Tunnel, den der „Zwilling“ nicht öffnen kann. Der wirksamste Schutz ist am Ende Aufmerksamkeit: kein Netz blind vertrauen, keine Daten in fremde Portale tippen.

Häufige Fragen

Kann jemand im öffentlichen WLAN meine Passwörter mitlesen?

In der Praxis kaum noch. Über 95 Prozent des Web-Verkehrs laufen verschlüsselt per HTTPS, deine Eingaben sind auf dem Weg zum Server also unlesbar. Gefährlich sind stattdessen gefälschte Hotspots und nachgebaute Anmeldeseiten, die dir das Passwort direkt entlocken.

Brauche ich im öffentlichen WLAN wirklich ein VPN?

Für normales Surfen über HTTPS ist ein VPN nicht zwingend. Sobald du sensible Dinge erledigst – Firmenzugänge, vertrauliche Dokumente, Konten – lohnt es sich: Ein VPN verschlüsselt den kompletten Datenverkehr inklusive DNS-Anfragen und schützt auch Apps, die selbst kein HTTPS erzwingen.

Anzeige

Ist Online-Banking im öffentlichen WLAN sicher?

Möglich, aber nicht ideal. Sicherer ist Banking über die mobile Datenverbindung (LTE/5G), weil das Mobilfunknetz verschlüsselt ist und sich nicht wie ein Hotspot fälschen lässt. Muss es doch WLAN sein, nutze die Bank-App, aktiviere Zwei-Faktor-Anmeldung und ein VPN.

Woran erkenne ich einen gefälschten Hotspot (Evil Twin)?

Ein sicheres Erkennungsmerkmal gibt es nicht, deshalb hilft nur Nachfragen: Lass dir den exakten Netzwerknamen vom Personal bestätigen. Doppelte Namen, leichte Schreibfehler oder ein offenes Netz ohne Passwort direkt neben dem echten sind typische Warnzeichen.

Reicht HTTPS allein als Schutz?

HTTPS ist die Basis, aber kein Rundumschutz. Es verbirgt die Inhalte, nicht welche Domains du besuchst, und lässt sich per SSL-Stripping heimlich herunterstufen. Kombiniere es deshalb mit dem Nur-HTTPS-Modus im Browser, Zwei-Faktor-Anmeldung und bei Bedarf einem VPN.