So schützen Sie Ihre Daten im öffentlichen WLAN

Deshalb sind Daten, die im Klartext über ein solches Netz laufen, grundsätzlich für jeden im selben Netz abfangbar. Im Folgenden: woher dieses Risiko kommt, worin sich WPA2 und WPA3 unterscheiden und was Sie in wenigen Minuten dagegen tun können.

Warum öffentliches WLAN eine eigene Risikokategorie ist

In einem Heim- oder Büronetz gibt es meist einen bekannten Besitzer und ein Passwort, das nicht an Fremde weitergegeben wird. In einem Café oder am Flughafen verbinden sich dagegen gleichzeitig Dutzende fremde Geräte mit demselben Access Point, und der Access Point selbst kann von praktisch jedem eingerichtet worden sein. Daraus ergeben sich drei typische Szenarien:

• Abfangen des Datenverkehrs (Packet Sniffing). Ist das Netz offen oder verwendet ein für alle gleiches Passwort ohne zusätzliche Verschlüsselung auf Sitzungsebene, kann technisch jeder andere Teilnehmer im selben Netz fremden Datenverkehr mit entsprechenden Tools analysieren.
• Gefälschte Access Points (Rogue Hotspots). Ein Angreifer richtet ein eigenes Netz mit ähnlichem Namen ein — etwa "Free_Airport_Wifi" statt des offiziellen Namens der Einrichtung — und leitet den gesamten Datenverkehr der verbundenen Geräte über sich selbst.
• Man-in-the-Middle-Angriffe (MITM). Das Gerät eines Angreifers positioniert sich zwischen Ihnen und dem echten Access Point und kann den Inhalt unverschlüsselter Seiten verändern oder auf gefälschte Login-Formulare umleiten.

Keines dieser Szenarien erfordert einen besonderen Zugriff des Angreifers auf die Ausrüstung der Einrichtung — es genügt, sich im selben öffentlichen Netz zu befinden.

WPA2 und WPA3: was sich für gemeinsam genutzte Netze geändert hat

WPA2 war jahrelang der Standard für WLAN, hat aber gerade im Kontext gemeinsam genutzter Netze Einschränkungen: Das Passwort ist für alle gleich, sodass theoretisch jemand, der es kennt, bei günstigen Bedingungen für das Abfangen des Handshakes versuchen könnte, fremden Datenverkehr im selben Netz zu entschlüsseln. WPA3 schließt einen Teil dieser Lücken — laut einem technischen Bericht der US-amerikanischen National Security Agency (NSA) zu WPA3 verwendet der neue Standard statt des WPA2-Schlüsselaustauschs das SAE-Protokoll, was Offline-Passwortraten erschwert, und ergänzt Forward Secrecy: Jede Sitzung erhält einen eigenen, einmaligen Schlüssel, sodass ein später kompromittiertes Passwort nicht mehr erlaubt, zuvor abgefangenen Datenverkehr im Nachhinein zu entschlüsseln. Eine weitere WPA3-Funktion, Enhanced Open (OWE), verschlüsselt den Kanal zwischen Gerät und Access Point sogar in vollständig offenen Netzen ohne Passwort — etwas, das es bei WPA2 grundsätzlich nicht gab.

Eine wichtige Einschränkung: Viele öffentliche Router in Cafés und Hotels laufen bis heute mit WPA2 oder ganz ohne Verschlüsselung, und die Unterstützung für Enhanced Open wird von den Herstellern der Access Points nur uneinheitlich eingeführt. Man sollte sich also nicht allein auf den Verschlüsselungsstandard des Netzes selbst verlassen — die folgenden Schritte funktionieren unabhängig davon, welchen WLAN-Standard eine bestimmte Einrichtung nutzt.

Checkliste: was vor und während der Verbindung zu tun ist

Jeder Punkt dauert weniger als fünf Minuten und erfordert kein Spezialwissen.

1. Deaktivieren Sie die automatische Verbindung mit offenen Netzen. In den WLAN-Einstellungen von Smartphone und Laptop gibt es meist eine Option wie "automatisch mit offenen Netzen verbinden" — schalten Sie sie aus, damit sich Ihr Gerät nicht ohne Ihr Wissen mit zufälligen Access Points verbindet.
2. Erfragen Sie den genauen Netzwerknamen beim Personal. Gefälschte Access Points heißen oft fast genauso wie der echte, nur mit einem kleinen Tippfehler oder einem zusätzlichen Wort.
3. Deaktivieren Sie die Freigabe von Dateien und Ordnern. Solange Sie ein öffentliches Netz nutzen, sollten Sie die Freigabe von Dateien, Druckern und AirDrop/"In der Nähe teilen" deaktivieren — diese Funktionen sind für vertrauenswürdige Netze gedacht.
4. Achten Sie auf HTTPS. Das Schloss-Symbol und eine https://-Adresse bedeuten, dass der Inhalt einer bestimmten Seite zwischen Browser und Website verschlüsselt ist, schützen aber nicht das Netz selbst — die Verbindung lässt sich weiterhin auf Metadatenebene analysieren, und DNS-Anfragen können abgefangen oder manipuliert werden.
5. Nutzen Sie einen verschlüsselten Tunnel für den gesamten Datenverkehr des Geräts, nicht nur für den Browser — mehr dazu im nächsten Abschnitt.
6. Aktivieren Sie die Zwei-Faktor-Authentifizierung für wichtige Konten. Sollte ein Passwort dennoch abgefangen oder über ein Phishing-Formular erbeutet werden, verhindert der zweite Faktor die Anmeldung von einem fremden Gerät.
7. "Vergessen" Sie das Netzwerk nach der Nutzung. So verbindet sich Ihr Gerät beim nächsten Mal in der Nähe nicht automatisch wieder damit.

Wie Verkehrsverschlüsselung den Netzschutz ergänzt

Selbst wenn der Access Point selbst einen veralteten Standard nutzt oder den Kanal gar nicht verschlüsselt, lässt sich die Situation auf Geräteebene korrigieren. Eine App, die einen verschlüsselten Tunnel zwischen Gerät und einem entfernten Server aufbaut, leitet den gesamten Datenverkehr durch diesen Tunnel — nicht nur den des Browsers, sondern auch den aller anderen Apps. Für einen Beobachter im selben öffentlichen Netz ist nur ein verschlüsselter Datenstrom sichtbar, ohne Möglichkeit, den Inhalt zu lesen oder ihn unterwegs zu manipulieren. Mehr zur technischen Funktionsweise der Verkehrsverschlüsselung finden Sie in einem separaten Beitrag — "Was Verschlüsselung von Internetverkehr wirklich bedeutet".

In der Praxis bedeutet das: Eine App griffbereit zu haben, die die Verbindung verschlüsselt und sich mit einem Klick in den Einstellungen aktivieren lässt, ist eine sinnvolle Gewohnheit für den Umgang mit fremden Netzen. HamikVPN ist ein solches Werkzeug: Es verschlüsselt die Verbindung auf Smartphone und Computer und verbindet mit einem Tastendruck; Apps für verschiedene Plattformen finden Sie auf der Download-Seite.

Ein Hinweis zu Android

Ab Android 10 verwendet das System standardmäßig eine zufällige MAC-Adresse für jedes gespeicherte Netzwerk — beschrieben in der offiziellen Dokumentation des Android Open Source Project. Die Randomisierung erschwert es, dasselbe Gerät über verschiedene öffentliche Netze hinweg zu verfolgen, schützt aber nicht den Inhalt des Datenverkehrs — das ist eine eigene Aufgabe, die von der Verschlüsselung auf App-Ebene übernommen wird, nicht von der Kennung des Netzwerkadapters. Eine umfassendere Liste von Einstellungen für den täglichen Schutz eines Android-Smartphones finden Sie in unserer Android-Sicherheits-Checkliste, und die Anforderungen und Funktionen einer mobilen VPN-App für Android sind auf einer eigenen Seite beschrieben.

Was Sie außerdem prüfen sollten

Öffentliches WLAN ist nur einer der Kanäle, über die persönliche Daten abfließen können. Es lohnt sich, zusätzlich allgemeine Grundsätze der digitalen Hygiene zu beachten: unterschiedliche Passwörter für unterschiedliche Dienste verwenden, sie in einem Passwortmanager statt in Notizen speichern und die Zwei-Faktor-Authentifizierung aktivieren — warum das wichtig ist und wie man sie einrichtet, erklären wir im Beitrag zur Zwei-Faktor-Authentifizierung. Wer häufig unterwegs ist, sollte zudem eine umfassendere Checkliste griffbereit haben — etwa unsere Express-Checkliste für Sicherheit auf Reisen.