Wie sicher ist öffentliches WLAN und wann brauchen Sie ein VPN?

von

Öffentliches WLAN im Café, Hotel oder Zug ist heute weniger gefährlich als noch vor zehn Jahren, weil fast alle Webseiten und Apps ihre Verbindungen selbst verschlüsseln. Riskant bleiben gefälschte Hotspots, Anmeldeseiten, die nach Passwörtern fragen, und Geräte, die sich ungefragt mit bekannten Netznamen verbinden. Ein VPN brauchen Sie vor allem dann, wenn Sie regelmäßig in fremden Netzen arbeiten oder vertrauliche Daten abrufen müssen. Für gelegentliches Surfen reichen meist ein paar Verhaltensregeln.

Kurz zusammengefasst

Die meisten öffentlichen Hotspots sind unverschlüsselt, andere Nutzer im selben Netz können also grundsätzlich mitlesen. HTTPS schützt Inhalte wie Passwörter und Nachrichten trotzdem, sofern die Seite es nutzt. Die größere Gefahr sind gefälschte Hotspots mit vertrautem Namen und Anmeldeseiten, die Zugangsdaten abgreifen. Schalten Sie automatisches Verbinden ab, geben Sie im Hotspot keine Passwörter auf Portalseiten ein und nutzen Sie für Sensibles lieber den Hotspot Ihres Handys. Ein VPN verschlüsselt den Weg bis zum VPN-Server, schützt aber nicht vor Phishing, Schadsoftware oder einem unseriösen Anbieter.

Wie gefährlich ist öffentliches WLAN wirklich?

Öffentliches WLAN ist ein Risiko, aber ein kleineres, als viele Ratgeber vermitteln. Das BSI warnt, dass in fremden Netzen, deren Betreiber man nicht kennt, Daten abgegriffen oder Schadsoftware eingeschleust werden können. Die Verbraucherzentrale NRW weist darauf hin, dass öffentliche Netze meist nicht verschlüsselt sind und theoretisch jeder im selben Netz mitlesen kann.

Entscheidend ist das Wort „theoretisch“. Was ein Mitleser tatsächlich sieht, hängt davon ab, ob die einzelne Verbindung zusätzlich verschlüsselt ist. Und das ist heute die Regel: Webseiten mit https, Mail-Programme, Messenger und Banking-Apps verschlüsseln ihre Daten selbst, unabhängig vom WLAN. Ein Angreifer im Café sieht dann zwar, dass Sie mit einem bestimmten Dienst verbunden sind, aber nicht, was Sie dort tun.

Gefährlich wird es vor allem in drei Situationen: wenn Sie sich mit einem gefälschten Hotspot verbinden, wenn Sie auf einer Anmeldeseite Zugangsdaten eingeben, die dort nichts zu suchen haben, und wenn Ihr Gerät im Netz für andere sichtbar ist und Dateien freigibt. Gegen alle drei helfen einfache Maßnahmen.

Was schützt HTTPS heute schon?

HTTPS verschlüsselt die Verbindung zwischen Ihrem Browser und der Webseite, sodass Mitleser im WLAN weder Passwörter noch Formulareingaben oder Seiteninhalte lesen können. Laut Google laufen in Chrome seit etwa 2020 zwischen 95 und 99 Prozent aller Seitenaufrufe über HTTPS. 2015 waren es noch etwa 30 bis 45 Prozent. Das ist der Hauptgrund, warum das Mitlesen im Hotspot heute deutlich weniger bringt als früher.

Google hat außerdem angekündigt, ab Chrome 154 im Oktober 2026 standardmäßig zu warnen, bevor eine öffentliche Seite ohne HTTPS geöffnet wird. Die Einstellung „Always Use Secure Connections“ lässt sich auch jetzt schon in den Sicherheitseinstellungen des Browsers einschalten, andere Browser bieten einen vergleichbaren HTTPS-Modus. Wenn Ihr Browser vor einer unverschlüsselten Seite warnt, nehmen Sie das in einem fremden WLAN ernst.

Was HTTPS nicht leistet: Es sagt nichts darüber aus, ob eine Seite seriös ist. Auch Betrüger nutzen verschlüsselte Seiten, darauf weist die Verbraucherzentrale ausdrücklich hin. Und HTTPS verbirgt nicht, welche Adressen Sie aufrufen. Wie Verschlüsselung grundsätzlich funktioniert, erklärt unser Beitrag Was bedeutet Verschlüsselung?

Was ist ein Evil Twin und wie schützen Sie sich?

Ein Evil Twin („böser Zwilling“) ist ein gefälschter Hotspot, der den Namen eines echten oder bekannten WLANs trägt, damit sich Geräte arglos mit ihm verbinden. Die Verbraucherzentrale NRW beschreibt das Prinzip so: Kriminelle betreiben einen Router mit dem Namen eines bekannten Netzes, und das Gerät kann dann unbemerkt auf schädliche Seiten umgeleitet werden.

Wie das in der Praxis aussieht, zeigt ein Fall aus Australien. Ein Mann wurde im November 2025 in Perth zu sieben Jahren und vier Monaten Haft verurteilt. Laut der australischen Bundespolizei AFP hatte er an Flughäfen und auf Inlandsflügen mit einem tragbaren Gerät nach Handys und Laptops gesucht, die bekannte Netze anfragen, und ein WLAN mit genau diesem Namen ausgestrahlt. Die Geräte verbanden sich automatisch. Die Nutzer landeten auf einer Seite, die eine Anmeldung per E-Mail oder Social-Media-Konto verlangte. Diese Zugangsdaten speicherte der Täter. Einen echten Internetzugang gab es nicht.

Der Fall zeigt, dass ein Evil Twin vor allem eine Phishing-Masche ist. HTTPS hilft dagegen nur begrenzt, denn Sie tippen Ihr Passwort freiwillig in die falsche Seite. Drei Regeln schützen zuverlässig:

  • Geben Sie auf der Anmeldeseite eines Hotspots nie das Passwort Ihres E-Mail- oder Social-Media-Kontos ein. Die AFP rät, Netze zu meiden, die solche persönlichen Daten verlangen.
  • Fragen Sie im Zweifel beim Personal nach dem genauen Namen des WLANs. Zwei fast gleich klingende Netze sind ein Warnzeichen.
  • Löschen Sie gespeicherte öffentliche Netze nach der Nutzung, damit Ihr Gerät sich nicht automatisch mit einem gleichnamigen fremden Netz verbindet.

Wie Sie gefälschte Anmeldeseiten generell erkennen, lesen Sie in unserem Ratgeber Phishing erkennen.

Automatisches Verbinden abschalten: So geht es

Entfernen Sie öffentliche Netze nach der Nutzung aus der Liste gespeicherter WLANs, dann verbindet sich Ihr Gerät nicht von selbst mit einem Netz gleichen Namens. Das empfehlen sowohl die Verbraucherzentrale NRW als auch die Cybersicherheitsagentur Baden-Württemberg. Das BSI ergänzt: WLAN nur einschalten, wenn Sie es brauchen. Ein abgeschaltetes WLAN bietet keine Angriffsfläche.

Gerät Gespeichertes Netz entfernen
iPhone, iPad Einstellungen > WLAN > „i“ neben dem Netz > „Dieses Netzwerk ignorieren“ > „Ignorieren“
Android (Google-Standard) Einstellungen > Netzwerk & Internet > Internet > Netzwerknamen gedrückt halten > „Entfernen“
Windows 11 Netzwerk- und Interneteinstellungen > WLAN > „Bekannte Netzwerke verwalten“, dort das Netz auswählen und entfernen. Für fremde Netze unter „Netzwerkprofiltyp“ die Option „Öffentliches Netzwerk (empfohlen)“ wählen

Bei Android-Geräten anderer Hersteller, etwa Samsung oder Xiaomi, heißen die Menüs teils anders. Der Weg führt aber immer über die WLAN-Einstellungen und das gespeicherte Netz.

Auf Laptops sollten Sie zusätzlich die Datei- und Druckerfreigabe im Blick haben. Windows 11 legt neue Netze laut Microsoft standardmäßig als öffentlich fest, was der empfohlenen Einstellung entspricht: Der PC wird für andere Geräte im Netz ausgeblendet. Haben Sie ein Hotel-WLAN irgendwann als „privat“ markiert, stellen Sie es zurück. Auf dem Mac prüfen Sie in den Systemeinstellungen im Bereich für das Teilen, welche Freigaben aktiv sind.

Ist der Hotspot vom eigenen Handy die bessere Alternative?

Ja, für sensible Erledigungen unterwegs ist der persönliche Hotspot Ihres Smartphones meist die sicherere Wahl. Sie kontrollieren das Netz selbst, es ist mit Ihrem eigenen Passwort geschützt, und der Datenverkehr läuft über das Mobilfunknetz statt über einen Router, dessen Betreiber Sie nicht kennen. Ein gefälschter Zwilling Ihres eigenen Hotspots ist wenig wahrscheinlich, solange Sie einen eigenen Namen und ein starkes Passwort verwenden.

So richten Sie ihn ein:

  • iPhone: Einstellungen > Persönlicher Hotspot (alternativ über „Mobilfunk“) > „Zugriff für andere erlauben“ einschalten. Unter „WLAN-Passwort“ legen Sie das Kennwort fest. Apple verlangt mindestens acht Zeichen, nehmen Sie lieber deutlich mehr.
  • Android: Schnelleinstellungen von oben herunterziehen, die Kachel „Hotspot“ gedrückt halten und „WLAN-Hotspot“ einschalten. Name und Passwort lassen sich dort ändern. Lassen Sie die Sicherheitseinstellung auf dem Standard und wählen Sie nie „Keine“.

Die Nachteile sind praktischer Natur: Der Hotspot verbraucht Datenvolumen und Akku, und manche Mobilfunkverträge schränken Tethering ein oder berechnen es extra. Für den Laptop im Zug oder das schnelle Onlinebanking im Hotel ist er trotzdem die naheliegende Lösung. Was Ihr Smartphone dabei sonst noch an Daten preisgibt, lesen Sie im Beitrag Welche Daten sammelt mein Smartphone?

Was ein VPN kann und was nicht

Ein VPN baut einen verschlüsselten Tunnel von Ihrem Gerät zu einem VPN-Server auf, sodass niemand im Hotspot Ihren Datenverkehr lesen oder sehen kann, welche Dienste Sie nutzen. Das BSI beschreibt den Nutzen so: Bei öffentlichen WLANs wird das Risiko, dass Daten ausgespäht werden oder abfließen, minimiert. Webseiten sehen außerdem die IP-Adresse des VPN-Servers statt Ihrer eigenen.

Ebenso deutlich nennt das BSI die Grenzen. Die Verschlüsselung reicht nur bis zum VPN-Server. Ab dort läuft der Verkehr wie gewohnt weiter, weshalb das BSI zusätzlich HTTPS und verschlüsselte Messenger empfiehlt. Ein VPN ersetzt außerdem keinen Basisschutz der Geräte.

Ein VPN schützt Ein VPN schützt nicht
vor Mitlesern im selben WLAN vor Phishing-Seiten und gefälschten Anmeldeportalen
vor dem Hotspot-Betreiber, der sonst sieht, welche Dienste Sie nutzen vor Schadsoftware, die Sie selbst herunterladen
vor Umleitungen auf Ebene des Netzwerks, solange der Tunnel steht vor dem VPN-Anbieter selbst, der den Verkehr sehen kann
Ihre IP-Adresse gegenüber besuchten Seiten vor Tracking über Cookies, Konten und Gerätemerkmale

Der letzte Punkt wird in der Werbung gern verschwiegen: Wer bei Google, Amazon oder Facebook angemeldet ist, bleibt auch mit VPN erkennbar. Mehr dazu im Beitrag Was ist ein digitaler Fußabdruck?

Wann brauchen Sie ein VPN und welche Art?

Ein VPN lohnt sich, wenn Sie häufig in fremden Netzen unterwegs sind, dort arbeiten oder vertrauliche Daten abrufen müssen. Das BSI rät, vertrauliche Daten über fremde WLANs am besten gar nicht abzurufen und, falls es unvermeidbar ist, nur über ein VPN. Wer einmal im Monat im Café Nachrichten liest, braucht dafür keinen Dienst zu abonnieren.

Es gibt drei Wege, die sich in Aufwand und Vertrauensfrage unterscheiden:

  • Das VPN des Arbeitgebers: Viele Firmen stellen eines bereit. Für dienstliche Arbeit ist es ohnehin Pflicht und die erste Wahl.
  • Ein VPN zum eigenen Router: Viele Heimrouter, darunter die FRITZ!Box, können selbst als VPN-Server dienen. Dann läuft Ihr Verkehr unterwegs verschlüsselt nach Hause und von dort ins Internet. Sie müssen keinem Dritten vertrauen. Laut BSI endet die Verschlüsselung in diesem Fall am Router.
  • Ein kommerzieller VPN-Dienst: Bequem, aber der gesamte Datenverkehr läuft über die Server des Anbieters. Das BSI nennt die Wahl deshalb „immer Vertrauenssache“, weist darauf hin, dass für Server im Ausland kein deutsches Datenschutzrecht gilt, und warnt vor Gratis-Angeboten, die Daten zu Marketingzwecken auswerten. Die Verbraucherzentrale NRW rät, die Datenschutzerklärung genau zu lesen.

Achten Sie darauf, eine eigene VPN-App für das Gerät zu nutzen. Browser-Erweiterungen verschlüsseln laut BSI nur den Verkehr des Browsers, nicht den der anderen Apps. Vor Reisen ins Ausland sollten Sie prüfen, ob VPNs im Zielland erlaubt sind. Nicht alle Staaten gestatten sie.

Wichtig

Viele Hotspots in Hotels, Zügen und Cafés zeigen nach dem Verbinden eine Startseite, auf der Sie Nutzungsbedingungen bestätigen. Solange diese Seite nicht bestätigt ist, baut die VPN-App oft keinen Tunnel auf. In diesem kurzen Moment sind Sie ungeschützt. Rufen Sie deshalb erst nach der Bestätigung und mit aktivem VPN sensible Dienste auf, und geben Sie auf der Startseite selbst keine Passwörter ein.

Was tun, wenn Sie Ihre Daten in einem verdächtigen WLAN eingegeben haben?

Ändern Sie sofort das Passwort des betroffenen Kontos, und zwar über eine sichere Verbindung, etwa über das Mobilfunknetz. Haben Sie dasselbe Passwort auch woanders verwendet, ändern Sie es dort ebenfalls. Schalten Sie, wo möglich, die Zwei-Faktor-Anmeldung ein.

  • Prüfen Sie in den Kontoeinstellungen, welche Geräte und Sitzungen angemeldet sind, und melden Sie unbekannte ab.
  • Kontrollieren Sie bei E-Mail-Konten, ob Weiterleitungsregeln eingerichtet wurden, die Sie nicht kennen.
  • Haben Sie Bankdaten eingegeben, rufen Sie Ihre Bank an oder lassen Sie Karte und Zugang über den Sperr-Notruf 116 116 sperren.
  • Löschen Sie das verdächtige Netz aus der Liste gespeicherter WLANs.
  • Ist ein finanzieller Schaden entstanden oder wurde Ihr Konto missbraucht, erstatten Sie Anzeige bei der Polizei. Viele Bundesländer bieten dafür eine Onlinewache an.

Wenn Sie auf einer gefälschten Seite eine Datei heruntergeladen haben, prüfen Sie Ihr Gerät mit einem aktuellen Virenscanner. Hinweise dazu gibt der Beitrag Computervirus erkennen.

Häufige Fragen

Kann ich im öffentlichen WLAN Onlinebanking machen?

Das BSI rät, Bankgeschäfte in öffentlichen WLANs zu vermeiden und zu warten, bis Sie wieder in einer vertrauenswürdigen Umgebung sind. Banking-Apps und Webseiten sind zwar verschlüsselt, doch ein gefälschter Hotspot kann Sie auf eine nachgemachte Seite lenken. Wenn es nicht warten kann, nutzen Sie das Mobilfunknetz oder ein VPN.

Ist ein WLAN mit Passwort im Café sicherer?

Nur eingeschränkt. Ein Passwort verschlüsselt den Funkverkehr, aber alle Gäste kennen es. Andere Nutzer im selben Netz bleiben ein Risiko, und auch ein Angreifer kann einen Hotspot mit demselben Namen und demselben Passwort einrichten.

Reicht der Inkognito-Modus im Browser?

Nein. Der Inkognito-Modus verhindert nur, dass Verlauf und Cookies auf Ihrem Gerät gespeichert bleiben. Er verschlüsselt nichts und schützt nicht vor Mitlesern oder gefälschten Hotspots.

Sind kostenlose VPN-Apps eine gute Idee?

Eher nicht. Ein VPN-Anbieter kann Ihren gesamten Datenverkehr einsehen. Das BSI warnt ausdrücklich, dass manche Gratis-VPNs Nutzerdaten zu Marketingzwecken auswerten, Sie also mit Ihren Daten bezahlen.

Erkenne ich einen gefälschten Hotspot am Namen?

Meist nicht, denn der Name ist ja kopiert. Verdächtig sind zwei Netze mit sehr ähnlichem Namen, ein offenes Netz, wo eigentlich ein Passwort üblich ist, und Anmeldeseiten, die nach E-Mail- oder Social-Media-Zugangsdaten fragen.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren