Ist öffentliches WLAN sicher? Die tatsächlichen Risiken heute und wie Sie sich schützen

Ist öffentliches WLAN sicher?

Für die meisten alltäglichen Zwecke ja. Die US-Handelsbehörde Federal Trade Commission (FTC) erklärt, öffentliches WLAN sei früher riskant gewesen, weil die meisten Websites Daten nicht verschlüsselten und Angreifer im selben Netzwerk sie abfangen konnten; da inzwischen die meisten Websites Verschlüsselung nutzen, sei die Verbindung über ein öffentliches WLAN in der Regel sicher ^[1]. Verschlüsselung macht Daten zwischen Ihrem Gerät und der Website so unkenntlich, dass andere im Netzwerk sie nicht lesen können.

Die Electronic Frontier Foundation (EFF), eine Organisation für digitale Bürgerrechte, kommt zum selben Schluss: Früher lautete der Standardrat, in Cafés oder Flughäfen ein VPN zu nutzen, doch das ist nicht mehr für jeden so notwendig, weil der Großteil des Webverkehrs inzwischen per HTTPS verschlüsselt ist ^[2].

Um eine Verbindung im Browser zu prüfen, sollten Sie laut FTC links neben der Webadresse auf ein Schloss-Symbol oder „https“ achten, auch in mobilen Browsern ^[1]. Bei Apps ist die Prüfung schwieriger, doch laut FTC nutzen die meisten Verschlüsselung ^[1].

Was ist also noch riskant?

Verschlüsselung schützt Daten bei der Übertragung, nicht Ihr Urteilsvermögen. Die verbleibenden Risiken sind gefälschte Netzwerke, Informationen, die Verschlüsselung nicht verbirgt, Geräte, die Dateien freigeben oder veraltet sind, und gefälschte Websites, die ebenfalls Verschlüsselung nutzen ^[1][2][3]. Die folgenden Abschnitte erklären jedes davon.

Was können andere in einem öffentlichen WLAN sehen?

HTTPS schützt den Inhalt der Kommunikation, nicht die Metadaten ^[2]. Laut EFF können Beteiligte entlang des Übertragungswegs beim Besuch von HTTPS-Websites in der Regel die Domainnamen, zum Beispiel wikipedia.org, und den Zeitpunkt Ihrer Besuche sehen, außerdem die Größe der Seiten und Dateien, die Sie laden oder senden ^[2]. Nicht sehen können sie die konkreten Seiten auf diesen Websites, Ihren Anmeldenamen oder die Nachrichten, die Sie senden ^[2].

In einem öffentlichen WLAN könnten Personen in Reichweite des Netzwerks mithören und dieselben Metadaten sehen, so wie es zu Hause Ihr Internetanbieter könnte ^[2]. Nach Ansicht der EFF sollten Sie sich keine Sorgen um öffentliches WLAN machen, wenn dieses Risiko für Sie akzeptabel ist ^[2].

Der Netzwerkbetreiber kann zudem die Hardwareadresse Ihres Geräts sehen, die sogenannte MAC-Adresse (Media Access Control). Apple erklärt, dass ein Gerät, das stets dieselbe WLAN-MAC-Adresse verwendet, es Netzwerkbetreibern und Beobachtern ermöglicht, diese Adresse über die Zeit mit Aktivitäten und Standort des Geräts zu verknüpfen ^[8]. Apple-Geräte verwenden daher in jedem Netzwerk eine andere private WLAN-Adresse und können sie wechseln ^[8], und Android 10 und neuer nutzen standardmäßig eine zufällige MAC-Adresse ^[9].

Was ist ein Evil-Twin-Angriff auf WLAN?

Bei einem Evil-Twin-Angriff, wie ihn die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) beschreibt, sammelt ein Angreifer Informationen über einen öffentlichen Zugangspunkt und richtet ein eigenes System ein, das sich als dieser ausgibt; mit einem stärkeren Sendesignal sorgt er dafür, dass ahnungslose Nutzer sich mit der Fälschung verbinden ^[3]. Da der Internetverkehr des Opfers dann über das System des Angreifers läuft, kann dieser mit speziellen Werkzeugen Daten mitlesen, die das Opfer sendet, darunter möglicherweise Kartennummern, Benutzernamen und Passwörter ^[3].

Die CISA rät, Namen und Passwort eines öffentlichen Hotspots vor der Nutzung immer zu überprüfen, damit Sie sich mit einem vertrauenswürdigen Zugangspunkt verbinden ^[3]. HTTPS begrenzt weiterhin, was ein Evil Twin auf ordnungsgemäß verschlüsselten Websites lesen kann ^[1][2]. Die verbleibende Gefahr besteht darin, auf eine gefälschte Website gelenkt zu werden, und die FTC warnt, dass Betrüger gefälschte Websites erstellen und verschlüsseln, damit sie sicher wirken: Ihre Daten sind dann zwar auf dem Weg verschlüsselt, aber nicht vor den Betrügern sicher, die die Website betreiben ^[1].

Kann jemand im selben Netzwerk meinen Datenverkehr umleiten?

Ja, in manchen Fällen. Die 2024 veröffentlichte Technik TunnelVision (CVE-2024-3661) zeigte, dass ein Angreifer im selben lokalen Netzwerk eine Funktion von DHCP, dem Protokoll zur Vergabe von Netzwerkeinstellungen, nutzen kann, um Datenverkehr, der eigentlich durch ein VPN geschützt sein sollte, mitzulesen, zu stören oder möglicherweise zu verändern ^[7]. Die Forscher, die sie entdeckten, folgerten, dass VPNs nicht dafür konzipiert sind, Angriffe auf das physische lokale Netzwerk abzuwehren ^[10].

Sind offene Netzwerke riskanter als passwortgeschützte?

Die CISA weist darauf hin, dass viele öffentliche Zugangspunkte nicht gesichert sind und der übertragene Datenverkehr nicht verschlüsselt ist, sodass „im Klartext“ gesendete Daten mit Sniffing-Werkzeugen abgefangen werden können; sie rät zu Zugangspunkten mit mindestens WPA2-Verschlüsselung ^[3]. WPA2 und WPA3 sind WLAN-Sicherheitsprotokolle, die den Datenverkehr zwischen Ihrem Gerät und dem Zugangspunkt verschlüsseln ^[3].

Ein gemeinsames Passwort an der Wand eines Cafés macht ein Netzwerk nicht privat, denn jeder, der es kennt, kann sich verbinden; neuere WLAN-Standards gehen einen Teil dieses Risikos an. Die Wi-Fi Alliance, der Branchenverband, der WLAN-Produkte zertifiziert, erklärt, dass WPA3 für Wi-Fi CERTIFIED-Geräte verpflichtend ist und Nutzern von WPA3-Personal besseren Schutz vor dem Erraten von Passwörtern bietet ^[4]. Sie bietet außerdem Wi-Fi Enhanced Open an, das in offenen Netzwerken eine Datenverschlüsselung ohne Authentifizierung bereitstellt, eine Verbesserung gegenüber herkömmlichen offenen Netzwerken ganz ohne Schutz, und so konzipiert ist, dass es mit älteren Netzwerken zusammenarbeitet, selbst mit solchen, die ein Captive Portal nutzen (die Anmeldeseite, die viele Hotspots anzeigen) ^[4].

WLAN-Verschlüsselung ist eine nützliche zusätzliche Schutzschicht, doch es ist die HTTPS-Verschlüsselung der Websites selbst, die Ihre Daten auf dem ganzen Weg bis zur Website schützt ^[1][6].

Kann WLAN selbst gehackt werden?

Ja, und die Geschichte zeigt, warum Updates wichtig sind. 2017 legte der Forscher Mathy Vanhoef KRACK (Key Reinstallation Attacks) offen, gravierende Schwächen in WPA2, die es einem Angreifer in Reichweite erlaubten, als sicher verschlüsselt geltende Informationen zu lesen und je nach Konfiguration Daten einzuschleusen ^[5]. Um den Angriff zu verhindern, mussten Nutzer betroffene Produkte aktualisieren, sobald Sicherheitsupdates verfügbar waren ^[5].

Im Mai 2021 legte Vanhoef FragAttacks offen, eine Reihe von Schwachstellen, die alle modernen WLAN-Sicherheitsprotokolle einschließlich WPA3 und sogar das ursprüngliche WEP betreffen ^[6]. Drei davon waren Designfehler im WLAN-Standard, die sich jedoch nur schwer ausnutzen ließen, weil sie eine Interaktion des Nutzers oder ungewöhnliche Einstellungen erfordern; größere Sorge bereiteten mehrere Programmierfehler in WLAN-Produkten, von denen manche trivial auszunutzen waren ^[6]. Updates wurden während einer 9-monatigen koordinierten Offenlegung unter Aufsicht der Wi-Fi Alliance und von ICASI vorbereitet ^[6].

Vanhoef wies darauf hin, dass die übertragenen Daten nicht über diese Schwachstellen gestohlen werden konnten, wenn eine Website HSTS verwendet, eine Einstellung, die HTTPS erzwingt, und dass aktuelle mobile Apps standardmäßig HTTPS nutzen ^[6]. Mit anderen Worten: Die mehrschichtige Verschlüsselung ist der Grund, warum eine WLAN-Schwachstelle nicht automatisch alles offenlegt.

Wie bleiben Sie in öffentlichen WLANs sicher?

1. Bestätigen Sie den Netzwerknamen. Fragen Sie vor dem Verbinden das Personal nach dem genauen Hotspot-Namen und Passwort, um Evil Twins zu vermeiden ^[3].
2. Achten Sie auf HTTPS. Suchen Sie nach dem Schloss-Symbol oder „https“, bevor Sie etwas Sensibles eingeben ^[1].
3. Schalten Sie die Dateifreigabe aus. Laut CISA könnte ein ungesichertes öffentliches Netzwerk in Verbindung mit Dateifreigabe einem böswilligen Nutzer Zugriff auf versehentlich freigegebene Dateien verschaffen; erlauben Sie Freigaben nur in bekannten Heimnetzwerken ^[3].
4. Halten Sie Software aktuell. Aktualisieren Sie Sicherheitssoftware, Betriebssystem und Browser, und schalten Sie auf Ihrem Smartphone automatische Updates ein ^[1].
5. Nutzen Sie starke Passwörter und Zwei-Faktor-Authentifizierung. Die FTC empfiehlt beides, damit ein gestohlenes Passwort allein nicht ausreicht ^[1].
6. Lassen Sie private WLAN-Adressen eingeschaltet. Apple empfiehlt, private Adressen für alle Netzwerke aktiviert zu lassen, die sie unterstützen ^[8].
7. Achten Sie auf Ihre Umgebung. Die CISA warnt, dass Menschen Ihnen beim Tippen einfach über die Schulter schauen können ^[3].

Brauchen Sie in öffentlichen WLANs ein VPN?

Nicht unbedingt. Laut EFF kann ein richtig konfiguriertes VPN unverschlüsselten Datenverkehr schützen und Ihre Metadaten vor jemandem verbergen, der im lokalen Netzwerk mithört, doch dann würde der VPN-Anbieter selbst alles sehen ^[2]. Ein VPN könne nützlich sein, wenn Sie ein öffentliches Netzwerk nutzen müssen, dem Sie nicht vertrauen und bei dem Sie nicht wissen, wer es betreibt, und ein VPN haben, dem Sie vertrauen ^[2].

• Nutzen: verbirgt vor anderen im selben WLAN, welche Websites Sie besuchen ^[2].
• Preis: verlagert diese Einsicht auf das VPN-Unternehmen, das Daten protokollieren oder verkaufen kann, wenn seine Richtlinien es zulassen ^[2].
• Grenze: Ein veraltetes VPN schützt Sie womöglich nicht gut; die EFF nennt TunnelVision als Beispiel ^[2], und in Tests meldete das VPN weiterhin eine bestehende Verbindung, während Datenverkehr austrat ^[10].

Auch praktische Hürden gibt es: Das britische National Cyber Security Centre weist darauf hin, dass manche Netze Dritter IPsec-VPN-Verkehr einschränken oder blockieren und dass das Erzwingen des gesamten Datenverkehrs über ein VPN mit Captive Portals in öffentlichen WLANs kollidieren kann ^[11]. Als allgemeine Vorsichtsmaßnahme bietet sich zudem die mobile Datenverbindung Ihres eigenen Smartphones an, wenn Sie einem Hotspot nicht trauen, weil Sie so kein lokales Netzwerk mit Fremden teilen.