Kurzfassung
- Die meisten Websites und Apps verschlüsseln den Datenverkehr zwischen dir und ihnen heute standardmäßig — ein Fremder im Café kann dein Bankpasswort also nicht mehr so leicht mitlesen wie noch vor zehn Jahren.
- Die größten echten Risiken im öffentlichen WLAN sind gefälschte Netzwerke, die dich zum Verbinden verleiten sollen, und Phishing-Seiten, die dir angezeigt werden, sobald du online bist.
- Ein VPN hilft bei manchen Dingen — hauptsächlich beim Schutz deiner Privatsphäre vor dem Netzwerkbetreiber — aber es ist kein Zauberschild. Die mobilen Daten deines Handys sind im Hotel-WLAN oft sicherer und einfacher als jedes VPN.
- Vor der Reise: alles aktualisieren, 2FA für die Konten einschalten, die du brauchen wirst, eine Bildschirmsperre einrichten und entscheiden, was zu Hause bleibt.
- Am Grenzübergang, auf der Durchreise und in Hotels sind die Risiken meist körperlich (Diebstahl) und sozial (Schultersurfen, Betrug) — nicht ausgeklügeltes Hacking.
Was ist das?
Öffentliches WLAN ist jedes drahtlose Netzwerk, das du nicht selbst kontrollierst: Café, Hotel, Flughafen, Airline-Lounge, Konferenz, Einkaufszentrum, öffentliche Verkehrsmittel. Dazu gehört auch das „Free Wi-Fi", das du an Tankstellen, Bahnhöfen und den meisten öffentlichen Plätzen in größeren Städten siehst.
Jahrelang lautete der Standardrat: Nutze öffentliches WLAN niemals für irgendetwas Wichtiges. Der Grund war, dass der Netzwerkbetreiber — oder jede andere Person im gleichen Netzwerk — deinen Datenverkehr sehen konnte. Dieses Risiko ist nicht verschwunden, hat sich aber stark verringert.
Der Grund: Fast jede seriöse Website und App nutzt jetzt HTTPS. Das kleine Schloss in der Browseradressleiste bedeutet, dass die Verbindung zwischen deinem Gerät und der Website verschlüsselt ist. Selbst in einem feindlichen Netzwerk kann ein Fremder zwar sehen, dass du auf deine Bank zugegriffen hast, aber nicht was du dort eingegeben hast. Die meisten mobilen Apps funktionieren unter der Oberfläche genauso.
Was bleibt also noch zu beachten?
Was bei öffentlichem WLAN wirklich schiefläuft
Im Wesentlichen drei Dinge.
1. Gefälschte Netzwerke (Evil Twins). Jeder mit Ausrüstung für rund 30 € kann ein Netzwerk namens „Hotel Lobby Wi-Fi" oder „Free Café Wi-Fi" ausstrahlen — nahe genug am echten, dass du dich versehentlich verbindest. Sobald du verbunden bist, kann der Angreifer gefälschte Anmeldeseiten anzeigen, unverschlüsselten Datenverkehr abfangen und versuchen, deinem Gerät schädliche Updates zu liefern. Die einfachste Abwehr: Bestätige den genauen Netzwerknamen beim Personal, bevor du dich verbindest, und bevorzuge Netzwerke, die ein Passwort erfordern, das im Lokal ausgehängt ist.
2. Phishing-Seiten in Captive Portals. Ein „Captive Portal" ist die Seite, die aufpoppt und dich bittet, sich „einzuloggen", bevor du Internetzugang erhältst. Manche sind legitim (einfach die Bedingungen akzeptieren und weitermachen). Manche fragen nach deiner E-Mail-Adresse — die dann an Datenhändler verkauft wird. Manche verlangen Kreditkartendaten — meistens Betrug. Manche geben vor, ein „Microsoft-Sicherheitscheck" oder ein „Systemupdate" zu sein — definitiv Betrug. Gib niemals ein echtes Passwort in ein Captive Portal ein. Lade niemals ein „Update" herunter, das es dir anbietet.
3. Geräte, die sich melden. Dein Handy, Laptop und deine Uhr melden sich bei Netzwerken, die sie kennen („Bist du das WLAN zuhause?"). Ein Angreifer in der Nähe kann den Namen deines Heimnetzwerks vortäuschen, und dein Gerät verbindet sich bereitwillig damit. Die Lösung ist einfach, aber wichtig: Vergiss Netzwerke, die du nicht mehr brauchst, und aktiviere die automatische Verbindung für kein verstecktes oder offenes Netzwerk.
Beachte, was nicht auf dieser Liste steht: jemand am Nachbartisch, der dein Passwort liest, während du es tippst. Das ist eine alte Sorge. Heute kommt viel mehr Schaden von einer Phishing-E-Mail, die du überall erhalten hättest, als vom Netzwerk, mit dem du verbunden bist.
Was ist mit VPNs?
Ein VPN (Virtual Private Network) leitet deinen Datenverkehr durch einen verschlüsselten Tunnel zu einem Server woanders und von dort ins normale Internet. Es ist nützlich für:
- Verbergen der Tatsache, dass du bestimmte Dienste nutzt vor dem lokalen Netzwerk oder deinem Internetanbieter — nützlich in Ländern, die bestimmte Seiten sperren, oder in einem Hotel-Netzwerk, das du nicht möchtest, dass es deinen Datenverkehr nach Ziel aufzeichnet.
- So tun, als ob du in einem anderen Land wärst — für Streaming oder für den Zugang zu regional gesperrten Diensten.
- Eine zusätzliche Schicht, wenn du wirklich nicht vertrauenswürdigen Netzwerken bist — aber der Großteil dieses Schutzes wird bereits von HTTPS geboten, das standardmäßig aktiv ist.
Ein VPN ist kein Zauberschild. Es schützt dich nicht vor Phishing-Seiten, Schadsoftware, schwachen Passwörtern, Captive-Portal-Betrug oder jemandem, der bereits Zugriff auf deine Konten hat. Der VPN-Anbieter sieht denselben Datenverkehr, den das Café gesehen hätte — du hast das Vertrauen verlagert, nicht beseitigt. Wähle ein VPN mit einer klaren No-Logs-Richtlinie, die unabhängig geprüft wurde (Mullvad, Proton VPN, IVPN und einige wenige andere werden häufig empfohlen; viele der am meisten beworbenen Marken haben weniger saubere Geschichten). Kostenlose VPNs sind meistens kostenlos, weil du das Produkt bist.
Für die meisten Menschen auf den meisten Reisen ist die einfachste und sicherste Antwort: Nutze die mobilen Daten deines Handys für sensible Dinge, und nutze öffentliches WLAN nur für Dinge, die nicht so wichtig sind.
Wie man ein Problem erkennt
- Das Captive Portal fragt nach vollständigen persönlichen Daten (Name, Adresse, Kreditkarte) — fast sicher nicht legitim.
- Das Netzwerk fordert dich auf, eine App zu installieren oder ein Zertifikat zu akzeptieren. Ein legitimes Netzwerk in einer Einrichtung fordert dich nie auf, etwas zu installieren. Ablehnen und gehen.
- Dein Browser warnt vor einem ungültigen Sicherheitszertifikat. Nicht durchklicken. Netzwerk wechseln.
- Browser-Popups, die wie Windows/macOS-Systemwarnungen aussehen. Echte Systemwarnungen erscheinen nicht in Browsern.
- Das Netzwerk ist offen und die Einrichtung hat normalerweise ein passwortgeschütztes. Vor dem Beitreten beim Personal nachfragen.
- Zwei Netzwerke mit ähnlichen Namen — „Hotel Marriot", „Marriott_GUEST", eines mit einem Tippfehler. Nicht raten.
Vor der Reise
Zwanzig Minuten Vorbereitung ersparen dir eine Woche Wiederherstellungsarbeit.
- Aktualisiere die Betriebssysteme deines Handys, Laptops und Tablets. Aktualisiere wichtige Apps (Banking, Passwort-Manager, E-Mail).
- Schalte 2FA ein für jedes Konto, auf das du auf der Reise zugreifen musst. Füge Backup-Codes zu deinem Passwort-Manager hinzu, bevor du abreist — im Ausland ausgesperrt zu sein ist ein besonders unangenehmer Tag.
- Stelle sicher, dass dein Passwort-Manager offline funktioniert — öffne ihn einmal zu Hause ohne Netzwerk und bestätige, dass der Tresor angezeigt wird.
- Richte eine starke Bildschirmsperre auf deinem Handy ein — mindestens sechsstellige PIN, Biometrie aktiviert, automatische Sperre unter einer Minute.
- Aktiviere „Gerät suchen" / „iPhone suchen", einschließlich Fernlöschung.
- Deaktiviere die automatische Verbindung für unbekannte Netzwerke. Vergiss alte Netzwerke, denen du nicht mehr vertraust.
- Trage eine aufgeladene Powerbank. Ein sterbendes Handy in einem fremden Land ist ein echtes Sicherheitsproblem, nicht nur ein Ärgernis.
- Entscheide, was zu Hause bleibt. Ein älterer Laptop ist sicherer als dein Hauptgerät. Ein leeres Reise-E-Mail-Konto ist sicherer als dein alltägliches. Weniger Daten am Grenzübergang bedeutet weniger Risiko.
Am Grenzübergang
Grenzbeamte in vielen Ländern sind gesetzlich berechtigt, deine Geräte zu inspizieren. Die Regeln variieren stark — was in einem Land akzeptabel ist, muss es in einem anderen nicht sein.
- Lüge nicht über den Inhalt deiner Geräte. Das ist eine separate Straftat zusätzlich zu allem anderen.
- Nutze eine starke PIN, nicht nur einen Fingerabdruck oder dein Gesicht. In vielen Ländern können Behörden Biometrie rechtlich erzwingen, aber keine auswendig gelernten Codes — aber das ist länderspezifisch und ändert sich; konsultiere bei Bedarf einen Anwalt.
- Reise mit einem sauberen Gerät, wenn du Grenzen überquerst, an denen das Risiko einer Gerätedurchsuchung hoch ist. Sauberkeit bedeutet hier: minimale Daten, keine sensiblen Kundeninformationen, keine journalistischen Quellen usw.
- Schalte Geräte aus, bevor du durch den Zoll gehst — sie sind auf vielen Plattformen aus einem Kaltstartzustand schwerer zum Entsperren zu zwingen.
Im Hotel
- Nutze den „Business-Center"-PC nicht für irgendetwas, das ein Passwort erfordert. Keylogger sind häufig.
- Drucke keine Bordkarten oder sensiblen PDFs vom Hotel-Drucker aus, wenn er eine Festplatte hat. Wenn du es musst, lösche den Druckauftrag danach.
- Vertraue USB-Ladestationen an öffentlichen Orten nicht — „Juice Jacking" ist real, aber selten. Ein USB-Kabel, das nur die Stromleitungen verbindet, oder dein eigenes Netzteil ist die einfache Lösung.
- Achte auf deine Umgebung. Hotelzimmer in manchen Ländern wurden für organisierten Einbruch genutzt — die Tür ist wichtiger als das WLAN.
Was man NICHT tun sollte
- Logge dich niemals von einem Hotel-Business-PC bei deiner Bank ein. Niemals.
- Verbinde dich nicht mit einem offenen Netzwerk ohne Captive-Portal-Verifizierung in einem Lokal, das normalerweise ein Passwort erfordert.
- Poste deinen Standort nicht in Echtzeit („bin gerade in Bali gelandet!") öffentlich, während du von einem leeren Zuhause weg bist.
- Teile keine Fotos deiner Bordkarte — der Barcode enthält Buchungsdetails, mit denen dein Flug geändert oder storniert werden kann.
- Nutze kein öffentliches WLAN für die erste Anmeldung auf einem neuen Gerät — dieser Handshake ist einer der Momente, wo es sich am meisten lohnt, stattdessen mobile Daten zu nutzen.
- Unterschätze nicht „die langweiligen Dinge" — eine starke Bildschirmsperre, aktuelle Betriebssystem-Updates und 2FA für E-Mails sind mehr wert als jedes spezielle Reisegerät.
KI zur Hilfe nutzen
Schnelle Reise-Vorbereitungscheckliste:
„Ich reise nach [Land] für [Dauer und Grund]. Ich nehme [Geräte] mit. Ich muss auf [Liste — E-Mail, Bank, Arbeit, Soziale Netzwerke usw.] zugreifen. Bitte gib mir eine Sicherheits-Vorbereitungscheckliste für diese Reise in einfacher Sprache, die vor der Abreise, am Grenzübergang und während des Aufenthalts abdeckt. Nenne länderspezifische Punkte, die mit aktuellen Quellen zu prüfen sind."
WLAN-Schnellcheck:
„Ich stehe kurz davor, mich mit einem öffentlichen WLAN-Netzwerk zu verbinden. Der Einrichtungsname ist [Name], der angezeigte Netzwerkname ist [SSID], und das Captive Portal fragt nach [beschreibe, was es fragt]. Sollte ich vorsichtig sein? Gibt es verdächtige Anzeichen?"
Zur Erinnerung: KI kennt die aktuelle politische oder rechtliche Situation an einem bestimmten Grenzübergang nicht. Für alle Länder mit aktiven Konflikten oder ungewöhnlichen Gerätedurchsuchungspraktiken: überprüfe vor der Abreise die Reisehinweise des Außenministeriums deines Landes.
Wen man anruft
- Deine Bank, sofort, wenn du vermutest, dass deine Kartendaten an einem Captive Portal oder an einem Geldautomaten im Ausland erfasst wurden.
- Deinen Mobilfunkanbieter, um internationales Roaming mit einer Konto-PIN zu aktivieren, damit SIM-Swapping während deiner Abwesenheit schwieriger wird.
- Das Konsulat oder die Botschaft deines Landes im Zielland — notiere dir Adresse und Telefonnummer vor der Abreise.
- Deine Reiseversicherung, die oft rund um die Uhr erreichbar ist und zunehmend auch Cyber-Vorfälle abdeckt.
Wann man über Chat hinaus eskalieren sollte
- Ein Gerät geht im Ausland verloren oder wird gestohlen — lösche es aus der Ferne, wenn möglich; erstattet Anzeige bei der Polizei vor Ort und beim Hotel für den Versicherungsnachweis; ändere Passwörter für die betroffenen Konten von einem bekannt sicheren Gerät aus.
- Du vermutest, dass dein Laptop im Hotelzimmer manipuliert wurde — schalte ihn zu Hause ein und führe einen Antivirenscan durch; erwäge eine saubere Neuinstallation, wenn etwas Sensibles darauf ist; für Journalisten oder Menschen mit besonders sensiblen Daten: behandle das Gerät als kompromittiert und ersetze es.
- Ein Captive Portal hat deine Kartendaten genommen und du siehst seltsame Transaktionen — Betrugshotline der Bank, heute; Karte einfrieren; Abbuchungen schriftlich anfechten.
- Du wirst persönlich verfolgt oder bedroht — die digitalen Ratschläge in dieser Karte sind dann nicht mehr relevant. Lokale Notfalldienste und deine Botschaft haben Vorrang.
Quellen & weiterführende Lektüre
- Mozilla — HTTPS-Einsatzstatistiken im Web
- NCSC UK und BSI für Bürger — Leitfäden zu öffentlichen Netzwerken und Reisen
- Mullvad / Proton — VPN-No-Log-Audits und Bedrohungsmodell-Dokumentation
- EFF — Leitfäden zu Grenzdurchsuchungspraktiken nach Ländern