Ist ein öffentliches WLAN ohne Passwort immer gefährlich?

Nicht automatisch, aber es bietet keinen vertrauenswürdigen Funkzugang. Nutzen Sie HTTPS, ein geprüftes VPN, das öffentliche Netzwerkprofil und vermeiden Sie unbekannte Portale oder Zertifikatswarnungen.

Reicht HTTPS im Hotel-WLAN aus?

HTTPS schützt Inhalte und authentisiert die Website. Ein VPN ergänzt den Schutz, indem es den lokalen Datenweg und DNS-Anfragen bündelt. Beide schützen nicht vor Phishing oder einem kompromittierten Gerät.

Wann soll ich das VPN im Hotspot einschalten?

Nach einer eventuell nötigen Anmeldung am offiziellen Hotspot-Portal und bevor Sie andere Apps oder sensible Seiten verwenden. Ein Kill Switch kann direkten Verkehr bei einem Abbruch verhindern.

Kann der WLAN-Betreiber trotz VPN etwas sehen?

Ja. Sichtbar bleiben unter anderem die Verbindung zum VPN-Server, Zeitpunkte und Datenmengen. Einzelne Ziele innerhalb eines korrekt eingerichteten Tunnels sind jedoch nicht ohne Weiteres erkennbar.

Ist Mobilfunk sicherer als öffentliches WLAN?

Für alltägliche Nutzung ist der eigene Mobilfunkzugang oft die einfachere vertrauenswürdige Wahl, weil Sie keinen unbekannten lokalen Betreiber wählen. Auch Mobilfunk ersetzt HTTPS, Updates und Kontoschutz nicht.

Was mache ich bei einer Zertifikatswarnung?

Brechen Sie die Verbindung zur betroffenen Seite ab. Bestätigen Sie keine Ausnahme. Wechseln Sie auf Mobilfunk oder ein bekanntes Netz und prüfen Sie Domain, Datum und Geräteeinstellungen.

Öffentliches WLAN sicher nutzen: Risiken und Schutz

Die kurze Antwort

Sie können ein öffentliches WLAN nutzen, sollten es aber als fremdes Netzwerk behandeln. Prüfen Sie den Namen des Netzes, halten Sie Gerät und Apps aktuell, verwenden Sie HTTPS und aktivieren Sie für sensible oder regelmäßige Nutzung ein vertrauenswürdiges VPN. Deaktivieren Sie automatische Verbindungen und Freigaben.

Panik ist ebenso unangebracht wie Sorglosigkeit. Moderne Websites und Apps verwenden meist Transportverschlüsselung. Dadurch kann ein anderer WLAN-Teilnehmer nicht einfach jedes Passwort im Klartext mitlesen. Das fremde Netz sieht jedoch weiterhin Metadaten, kann Verbindungen stören und kann Teil eines Täuschungsversuchs sein.

Was „öffentlich“ tatsächlich bedeutet

Ein öffentliches WLAN kann offen sein, ein gemeinsames Passwort verwenden oder nach der Verbindung ein Anmeldeportal zeigen. Keine dieser Varianten beweist, wer den Zugang betreibt oder wie der Verkehr behandelt wird.

Sie wissen normalerweise nicht:

ob der angezeigte Netzwerkname zum Hotel, Café oder Flughafen gehört
ob Geräte untereinander isoliert sind
welche DNS-Resolver verwendet werden
wie lange Verbindungsdaten gespeichert werden
ob der Router und das Portal aktuell gepflegt sind
ob ein Angreifer einen ähnlich benannten Zugang betreibt

Ein Passwort auf einem Schild schützt hauptsächlich den Funkzugang vor Außenstehenden. Wenn alle Gäste dasselbe Passwort kennen, entsteht daraus kein persönliches Vertrauensverhältnis.

Die wichtigsten Risiken

Gefälschte Zugangspunkte

Ein Angreifer kann ein Netz mit einem plausiblen Namen wie „Hotel Guest“ oder „Airport Free WiFi“ anbieten. Verbindet sich ein Gerät damit, kontrolliert der Angreifer den lokalen Datenweg. HTTPS und ein korrekt geprüftes VPN begrenzen, was er lesen oder verändern kann. Ein gefälschtes Portal kann Sie trotzdem zur Eingabe von Zugangsdaten oder Zahlungsinformationen verleiten.

Fragen Sie im Zweifel nach dem exakten Netzwerknamen. Achten Sie auf kleine Schreibfehler und mehrere fast identische Namen.

Unsichere oder fehlende Transportverschlüsselung

Verschlüsselung muss an der richtigen Stelle wirken. HTTPS schützt die Verbindung zwischen Anwendung und Website. Ein VPN schützt den Weg zwischen Ihrem Gerät und dem VPN-Endpunkt. Eine unverschlüsselte HTTP-Seite bleibt nach dem VPN-Ausgang unverschlüsselt.

Das Schlosssymbol bestätigt eine verschlüsselte Verbindung zu der im Zertifikat genannten Domain. Es bestätigt nicht, dass die Website seriös ist. Phishing-Seiten können ebenfalls gültiges HTTPS verwenden.

Angriffe auf lokale Dienste

Dateifreigaben, Druckdienste, Medienfreigaben und schlecht geschützte Entwicklungsserver können im fremden Netz erreichbar sein. Betriebssysteme unterscheiden deshalb oft zwischen privaten und öffentlichen Netzprofilen. Wählen Sie im Hotel oder Café das öffentliche Profil und deaktivieren Sie unnötige Freigaben.

Manipulierte DNS-Antworten

DNS übersetzt Namen in Adressen. Ein fremdes Netz kann eigene Resolver vorgeben oder Anfragen umleiten. HTTPS-Zertifikate verhindern viele einfache Manipulationen, weil eine falsche Gegenstelle kein gültiges Zertifikat für die echte Domain vorweisen sollte. Warnungen dürfen Sie deshalb nicht wegklicken.

Ein sauber eingerichtetes VPN sendet DNS-Anfragen durch den Tunnel an vorgesehene Resolver. Prüfen Sie das mit unserem DNS-Leak-Test.

Tracking und Metadaten

Der Betreiber kann Verbindung, Geräteadresse, Zeitpunkt und Datenmengen erfassen. Moderne Betriebssysteme verwenden in WLANs häufig wechselnde Hardwareadressen, doch Portallogins, Cookies und andere Merkmale können Sitzungen weiterhin verbinden. Ein VPN reduziert den Einblick in einzelne Ziele, beseitigt aber keine Browser- oder Kontokennung.

Was HTTPS bereits leistet

TLS, die Technik hinter HTTPS, verschlüsselt und authentisiert die Verbindung zur Website. Formulare, Seiteninhalte und viele Pfaddetails sind dadurch vor dem lokalen Netz geschützt. Das ist ein erheblicher Unterschied zu frühen offenen Hotspots, in denen zahlreiche Dienste unverschlüsselt arbeiteten.

Trotzdem bleiben Gründe für zusätzliche Vorsicht:

Nicht jede App erklärt ihre Transportfehler verständlich.
Metadaten und Zieladressen können sichtbar bleiben.
Ein gefälschtes Portal greift vor der eigentlichen Website an.
Fehlkonfigurierte Geräte können lokale Dienste anbieten.
Nutzer können selbst eine falsche Domain oder App öffnen.

HTTPS und VPN sind daher keine Konkurrenten. Sie schützen verschiedene Abschnitte und sollten sich ergänzen.

Was ein VPN im Hotspot schützt

Ein VPN baut einen authentisierten, verschlüsselten Tunnel zum Server auf. Das lokale WLAN sieht dann hauptsächlich die Verbindung zu diesem Endpunkt. Es kann die Verbindung blockieren oder verlangsamen, aber korrekt geschützte Pakete nicht unbemerkt verändern.

Der Schutz hat Grenzen:

Vor dem Aufbau des Tunnels kann bereits Verkehr entstehen.
Bei einem Abbruch kann das Gerät auf die direkte Route zurückfallen.
Geteiltes Routing kann einzelne Apps absichtlich ausschließen.
Ein DNS-Leak kann Anfragen außerhalb des Tunnels senden.
Ein kompromittiertes Gerät bleibt kompromittiert.
Der VPN-Betreiber wird zum neuen Vertrauenspunkt.

Aktivieren Sie deshalb nach Möglichkeit „Bei unbekannten WLANs automatisch verbinden“ im VPN-Client und einen Kill Switch. Testen Sie beide Funktionen vor der Reise.

Checkliste vor der Verbindung

Mobilfunk bevorzugen, wenn das Risiko hoch ist. Für eine einzelne Banküberweisung kann der eigene Mobilfunkzugang einfacher sein.
Netzwerknamen bestätigen. Fragen Sie Personal oder prüfen Sie offizielle Hinweise.
Automatische Verbindung deaktivieren. Löschen Sie alte öffentliche Netze, die nicht mehr benötigt werden.
Updates vorher installieren. Aktualisieren Sie Betriebssystem, Browser und VPN-App in einem vertrauenswürdigen Netz.
Dateifreigaben abschalten. Wählen Sie das öffentliche Netzwerkprofil.
VPN erst nach dem Portal aktivieren. Manche Anmeldeportale sind nur vor dem Tunnel erreichbar. Öffnen Sie danach keine sensiblen Seiten, bis das VPN steht.
Zertifikatswarnungen ernst nehmen. Brechen Sie bei unerwarteten Warnungen ab.
Mehrfaktor-Anmeldung verwenden. Sie begrenzt Schäden durch gestohlene Passwörter, ersetzt aber kein sicheres Netz.

Prüfen, ob der Schutz funktioniert

Führen Sie einen kurzen Vorher-Nachher-Test aus:

Öffnen Sie im Hotspot den IP-Check und notieren Sie die sichtbare Zuordnung.
Aktivieren Sie das VPN.
Laden Sie den Check neu. Adresse und Netzbetreiber sollten sich ändern.
Führen Sie den DNS-Leak-Test aus.
Prüfen Sie IPv6 mit dem IPv6-Leak-Test.
Unterbrechen Sie testweise die VPN-Verbindung. Bei aktivem Kill Switch darf keine direkte Internetverbindung entstehen.

Ein Test kann nur den aktuellen Zustand prüfen. Nach einem Wechsel zwischen WLAN und Mobilfunk, einem Serverwechsel oder einem App-Update kann sich das Routing ändern.

Banking und Bezahlen im öffentlichen WLAN

Banking-Apps und seriöse Zahlungsseiten verwenden starke Transportverschlüsselung und zusätzliche Kontrollen. Trotzdem ist ein fremdes Netz ein unnötiger zusätzlicher Faktor, wenn Mobilfunk verfügbar ist. Für dringende Vorgänge gilt:

Öffnen Sie die App selbst und nicht über einen Link im Portal oder in einer Nachricht.
Prüfen Sie Domain und Empfänger sorgfältig.
Verwenden Sie das offizielle Gerät und aktuelle Software.
Nutzen Sie Mobilfunk oder einen geprüften VPN-Tunnel.
Geben Sie keine Bankdaten direkt in ein WLAN-Anmeldeportal ein.

Ein VPN erkennt keine falsche Überweisung und keine Phishing-Domain. Es schützt den Transport, nicht Ihre Entscheidung.

Nach der Nutzung

Trennen Sie die Verbindung, lassen Sie das Gerät das Netz vergessen und deaktivieren Sie WLAN, wenn Sie es nicht benötigen. Melden Sie sich aus besonders sensiblen Websitzungen ab. Prüfen Sie bei einem verdächtigen Portal Konten auf unbekannte Anmeldungen und ändern Sie Passwörter über ein vertrauenswürdiges Netz.

Wenn Sie häufig reisen, lohnt sich eine feste Routine. Unser Passwort-Generator hilft bei einzigartigen Zugangsdaten, der Browser-Fingerprint-Test zeigt zusätzliche Wiedererkennungsmerkmale.