Öffentliches WLAN auf Reisen: reale Risiken, klare Routine

Du sitzt im Zug Richtung Küste, der Kunde wartet auf das Angebot, und das Bord-WLAN fragt nach deiner E-Mail-Adresse. Im Hostel hängt das WLAN-Passwort neben dem Kühlschrank, im Café steht es auf der Tafel. Wer ortsunabhängig arbeitet, hängt jeden Tag in Netzen, die anderen gehören.

Die alten Ratgeber machen daraus ein Gruselkabinett: Jeder Hotspot ein Minenfeld, jeder Klick ein mögliches Datenleck, und am Ende steht immer ein Abo-Angebot. Die Wirklichkeit von 2026 ist unspektakulärer und interessanter zugleich. Das meiste, wovor diese Texte warnen, hat das Web selbst längst repariert. Die Risiken, die dich wirklich treffen können, stehen selten drin: ein gestohlener Laptop, ein Konto ohne zweiten Faktor und ein Arbeitstag ohne funktionierendes Internet.

Dieser Text sortiert das Thema deshalb neu: erst der ehrliche Blick auf das, was im offenen WLAN heute noch passieren kann, dann die Geräteebene, dann die Frage, die im Alltag am meisten entscheidet: Was machst du, wenn gar kein Netz da ist?

Was HTTPS heute schon abdeckt

Die Horrorgeschichte vom Angreifer, der im Café-WLAN deine Passwörter mitschneidet, stammt aus einer Zeit, in der Websites ihre Daten unverschlüsselt übertragen haben. Diese Zeit ist vorbei. Nach dem Transparenzbericht von Google laufen, je nach Plattform, mehr als 9 von 10 Seitenaufrufen in Chrome über HTTPS, also über eine Verbindung, die zwischen deinem Browser und der Website verschlüsselt ist. Auch die US-Verbraucherschutzbehörde FTC schreibt inzwischen ausdrücklich, dass die klassischen Mitlese-Risiken öffentlicher Netze durch diese Verschlüsselung weitgehend entschärft sind.

Konkret heißt das: Wer im selben Netz sitzt wie du, kann den Inhalt deiner Verbindungen zu HTTPS-Seiten nicht lesen. Nicht dein Passwort, nicht deine Kreditkartennummer, nicht deine Mails, sofern Website und App sauber verschlüsseln. Moderne Browser warnen zudem deutlich, bevor du Zugangsdaten in eine unverschlüsselte Seite tippst.

Ehrlich ist deshalb nur diese Aussage: Das offene WLAN ist heute viel weniger gefährlich, als die Werbetexte der VPN-Branche behaupten. Wer dir das Gegenteil erzählt und im nächsten Absatz ein Produkt verkauft, argumentiert gegen den Stand der Technik.

Wo öffentliche Netze real riskant bleiben

Entschärft heißt nicht harmlos. Vier Restrisiken sind real, und sie funktionieren anders als das alte Mitlese-Szenario.

Evil-Twin-Hotspots. Ein Angreifer spannt ein eigenes Netz mit vertrauenswürdig klingendem Namen auf, etwa ein zweites “Airport_Free_WiFi”. Dein Gerät verbindet sich, der Angreifer sitzt als Betreiber dazwischen. An den Inhalt von HTTPS-Verbindungen kommt auch er nicht heran, aber er kontrolliert das Portal, das dir beim Einbuchen angezeigt wird, und sieht, mit welchen Diensten du sprichst. Die NSA hat dieses Angriffsmuster in ihrer Guidance zu drahtlosen Geräten in öffentlichen Umgebungen beschrieben, mitsamt der wirksamsten Gegenwehr: automatische Verbindungen zu bekannten Netzen deaktivieren und Netze nach der Nutzung vergessen, damit sich dein Gerät nicht ungefragt in einen gleichnamigen Nachbau einbucht.

Captive Portals. Die Anmeldeseite eines Hotspots erscheint, bevor irgendeine Verschlüsselung deiner eigentlichen Ziele greift, und sie kann beliebig gestaltet sein. Ein Portal darf nach Zimmernummer oder E-Mail-Adresse fragen. Ein Portal, das Zugangsdaten zu anderen Diensten oder Kartendaten sehen will, ist keine Anmeldeseite, sondern ein Phishing-Formular. Dort brichst du ab.

DNS. Bevor dein Gerät eine Website aufruft, fragt es im Klartext nach deren Adresse, sofern du nichts änderst. Der Netzbetreiber sieht damit nicht, was du auf einer Seite tust, aber welche Dienste du ansteuerst. Wenn dich das stört, aktivierst du im Browser oder Betriebssystem verschlüsseltes DNS, etwa DNS-over-HTTPS, das seit RFC 8484 standardisiert ist und in aktuellen Browsern nur einen Schalter entfernt liegt.

Altlasten und Nachbarn im Netz. Ältere Apps, schlecht gebaute Geräte und interne Firmensysteme kommunizieren manchmal doch unverschlüsselt oder prüfen Zertifikate nicht sauber. Und im selben Netz stehen fremde Geräte direkt vor deiner Tür: Datei- und Druckerfreigaben gehören unterwegs aus, das Netzwerkprofil auf “öffentlich”, damit die Firewall des Betriebssystems dicht macht.

Session-Hijacking, in alten Ratgebern das Standardschreckgespenst, gehört heute überwiegend in die vierte Kategorie: Gegen sauber gesetzte, verschlüsselt übertragene Sitzungs-Cookies moderner Dienste läuft der Angriff aus dem Café-WLAN ins Leere. Er lebt dort weiter, wo Software veraltet ist. Deine Update-Disziplin schützt dich hier mehr als jedes Zusatzprodukt.

VPN: nüchtern erklärt, ohne Verkaufsprospekt

Ein VPN baut einen verschlüsselten Tunnel von deinem Gerät zu einem VPN-Server. Alles, was zwischen dir und diesem Server liegt, also auch der Hotspot-Betreiber und der Evil Twin, sieht nur noch verschlüsselten Datenverkehr und nicht mehr, welche Dienste du nutzt. Das ist der reale Nutzen: Transportverschlüsselung für Netze, denen du nicht traust, inklusive der DNS-Anfragen.

Genauso klar sind die Grenzen. Ein VPN macht dich nicht anonym, schützt nicht vor Phishing, nicht vor Schadsoftware und nicht vor einem schwachen Passwort. Und es verschiebt Vertrauen, statt es abzuschaffen: Statt dem Café-Betreiber muss der VPN-Betreiber vertrauenswürdig sein, denn bei ihm läuft dein Verkehr zusammen. Auch das BSI ordnet VPN in fremden Netzen genau so ein, als sinnvolle Zusatzschicht für vertrauliche Inhalte, nicht als Rundum-Schutz. Ob du eines brauchst, hängt von deinem Bedarf ab. Wer nur mit aktuellen Apps auf HTTPS-Dienste zugreift, ist auch ohne gut unterwegs. Wer Firmenzugänge nutzt oder Metadaten für sich behalten will, nimmt eines. Eine Produktempfehlung bekommst du hier bewusst nicht.

Das realere Risiko: dein Gerät, nicht das Netz

Die Wahrscheinlichkeit, dass jemand im Hostel deinen Laptop aus dem Sechserzimmer ohne Schließfach trägt, ist um Größenordnungen höher als ein gezielter Funkangriff auf deine Person. Der Dieb im Zug ist das realistische Szenario, der Hacker am Nachbartisch die Ausnahme. Deshalb gehört die Geräteebene vor jede WLAN-Debatte:

• Vollverschlüsselung einschalten. FileVault auf dem Mac, BitLocker unter Windows, auf Smartphones ist Verschlüsselung mit gesetzter Displaysperre Standard. Ein verschlüsseltes Gerät ist für den Dieb Hardware, kein Aktenschrank.
• Displaysperre mit kurzer Frist, auch am Laptop. Der Gang zur Café-Theke dauert länger, als ein Griff in deine offene Sitzung braucht.
• Updates sofort statt später. Betriebssystem und Apps aktuell zu halten schließt genau die Lücken, über die Angriffe in fremden Netzen praktisch funktionieren.
• Ortung und Fernlöschung aktivieren, bevor etwas wegkommt, nicht danach.

Das vollständige Prozedere für den Ernstfall, von Sperr-Notruf bis Backup-Wiederherstellung, steht im Datensicherheits-Leitfaden für digitale Nomaden. Die beiden Texte ergänzen sich: dort das komplette Sicherheits-Setup, hier der Netz- und Ausfall-Blick.

Redundanz: Ausfall ist wahrscheinlicher als Angriff

Die häufigste WLAN-Katastrophe unterwegs ist keine gehackte Verbindung, sondern gar keine. Das Hotel-WLAN bricht vor dem Kundencall zusammen, der Coworking-Router hängt, das Bordnetz im Zug war nie ernst gemeint. Wer von unterwegs arbeitet, braucht deshalb zwei Wege ins Netz, über zwei verschiedene Betreiber.

Der zweite Weg ist heute billig: eine lokale SIM oder eSIM mit Datenpaket, in Minuten aktiviert, dazu das Smartphone als Hotspot für den Laptop. Fällt das WLAN aus, wechselst du in unter einer Minute auf Mobilfunk. Innerhalb der EU trägt dich übergangsweise auch das Roaming deines Heimatvertrags, allerdings mit Fair-Use-Grenzen aus der EU-Roaming-Verordnung, die für monatelanges Arbeiten im Ausland nicht gedacht sind. Für längere Aufenthalte ist der lokale Tarif fast immer die bessere Basis, und als Nebeneffekt ist die eigene Mobilfunkverbindung zugleich deine saubere Alternative zum fremden WLAN für alles Sensible.

Zwei unscheinbare Bausteine machen die Redundanz komplett. Eine Powerbank, denn der zweite Uplink nützt nichts, wenn das Smartphone nach zwei Stunden Hotspot-Betrieb leer ist. Und Offline-Fähigkeit: Karten für die Region heruntergeladen, die aktuellen Arbeitsdokumente lokal synchronisiert, die 2FA-App funktionsfähig ohne Netz. Dann ist eine Stunde Funkloch ein Ärgernis und kein Arbeitsausfall. Wer dauerhaft so lebt und arbeitet, etwa als Perpetual Traveler, plant diese Ebene nicht als Notbehelf, sondern als Normalzustand.

Banking und Kundenzugriffe: die Kontenebene entscheidet

Für Bankgeschäfte und Kundenlogins unterwegs gilt eine einfache Rangfolge. Erstens: sensible Vorgänge bevorzugt über die eigene Mobilfunkverbindung statt über fremdes WLAN, nicht weil das WLAN sie wahrscheinlich kompromittiert, sondern weil du damit die Restrisiken komplett aus dem Spiel nimmst. Zweitens, und wichtiger: Die Sicherheit deiner Konten entsteht auf der Kontenebene, nicht auf der Netzebene.

Das heißt konkret: Passkeys, wo immer ein Dienst sie anbietet. Ein Passkey ist an die echte Adresse des Dienstes gebunden und lässt sich auf einer Phishing-Seite schlicht nicht verwenden, die US-Standardbehörde NIST stuft das Verfahren deshalb als phishing-resistent ein. Danach kommt die Authenticator-App, die auch offline Codes erzeugt, und erst am Ende die SMS, die im Ausland zudem am Empfang deiner Heimatnummer hängt. Welche Konten und Karten sich für dieses Leben überhaupt eignen, ist ein eigenes Thema: Banking für digitale Nomaden geht die Kontenfrage komplett durch.

Deine Routine in fünf Handgriffen

Wenn du dir aus diesem Text nur eine Liste mitnimmst, dann diese:

1. Auto-Connect aus, Netze nach Nutzung vergessen. Das entschärft Evil Twins wirksamer als jede Bauchentscheidung am Flughafen.
2. Freigaben aus, Netzwerkprofil “öffentlich”. Deine Firewall regelt den Rest.
3. Updates und Festplattenverschlüsselung an. Das Gerät ist das wahrscheinlichere Ziel, nicht der Funkverkehr.
4. Sensibles über die eigene eSIM, nicht über das Portal-WLAN. Und in kein Captive Portal jemals Zugangsdaten oder Kartendaten eintippen.
5. Zweiter Uplink plus Powerbank plus Offline-Kopien. Ausfallsicherheit ist der Teil der Sicherheit, den du am häufigsten brauchst.

Damit kannst du das nächste “Free Wi-Fi” nehmen, wie es gemeint ist: als Bequemlichkeit, deren Grenzen du kennst, mit einem Plan B in der Hosentasche.