Öffentliches WLAN 2026: Was wirklich gefährlich ist

Was HTTPS schon heute für dich erledigt

Mehr als 95 Prozent des Web-Traffics laufen inzwischen über HTTPS. Zwischen deinem Browser und dem Server steht also eine verschlüsselte Verbindung, die niemand im selben Netz mitlesen kann. Passwörter, Kreditkartendaten, Chats, Mails, für den Hacker am Nebentisch ist das alles nur unleserlicher Bytesalat.

Moderne Browser bauen darauf noch eine Schicht obendrauf. Chrome und Firefox warnen bei unverschlüsselten Login-Feldern. Strict Transport Security (HSTS) zwingt vertraute Seiten dazu, ausschliesslich über HTTPS aufzumachen, damit ein Angreifer dich nicht auf HTTP herunterstufen kann. DNS-over-HTTPS verschlüsselt sogar die Anfrage, welche Seite du gerade aufrufst.

Damit fällt der klassische „Man in the Middle im Café" auf so gut wie jeder realistischen Seite weg. Worauf du achten musst, ist, dass du Zertifikatswarnungen nicht aktiv wegklickst. Ein beherzter Klick auf „Trotzdem fortfahren" reisst all diese Schutzschichten auf einmal ein.

Die echten Risiken auf öffentlichem WLAN

Captive-Portal-Phishing. Flughäfen, Hotels und Bahnhöfe blenden eine Anmeldeseite ein, auf der du die WLAN-Bedingungen abnickst. Ein Angreifer baut diese Seite nach und fragt dort nach deiner Mailadresse oder gleich nach einem Login zu deiner Hotelbuchung. Das ist kein technischer Angriff, das ist Social Engineering, und es funktioniert hervorragend, weil im WLAN-Popup einfach keiner auf die URL schaut.

Angriffe auf offene Ports. Wenn dein Laptop oder dein Handy Dienste nach aussen anbietet (Dateifreigaben, Drucker, SSH), sehen die anderen Geräte im selben WLAN das mit. Die meisten Betriebssysteme stellen öffentliches WLAN automatisch auf „Öffentliches Profil" und blocken solche Dienste. Wer das umkonfiguriert oder vergisst zurückzustellen, lädt die Nachbarn quasi zum Portscan ein.

DNS-Hijacking in billigen Routern. Nicht jeder Café-Router ist sauber konfiguriert. Manche leiten DNS-Anfragen auf Werbefilter um, andere im schlimmsten Fall auf manipulierte DNS-Server. Ohne DNS-over-HTTPS kann dein Gerät für einzelne Domains so plötzlich die falsche IP bekommen.

Abgefischte Logins auf HTTP-Seiten. Das sind heute Randfälle, aber so manche interne Firmen-App, Router-Weboberfläche oder billiger IoT-Dienst läuft immer noch ohne Verschlüsselung. Wer sich dort aus einem öffentlichen Netz einloggt, sollte zumindest wissen, was er tut.

Evil-Twin-Netze und wann sie funktionieren

Ein Evil Twin ist ein WLAN-Zugangspunkt, der sich wie ein echter ausgibt (oft mit demselben oder einem sehr ähnlichen Namen, etwa „Starbucks_Free") und mit einem stärkeren Signal sendet, damit dein Gerät sich automatisch dort einklinkt. Der Angreifer sieht dann zwar alles, was du raussendest, das ist aber mit aktivem HTTPS erstmal nicht besonders aufregend.

Richtig gefährlich wird der Evil Twin, sobald er mit einem Captive Portal kombiniert wird, das dich zur Installation eines Zertifikats auffordert, oder dich auf eine nachgebaute Login-Seite eines bekannten Dienstes umleitet. In dem Moment, in dem du händisch ein Zertifikat des Angreifers installierst, ist dein TLS-Sicherheitsmodell hinüber. Solche Aufforderungen lehnst du grundsätzlich ab.

Der zweite gefährliche Fall sind Apps, die Zertifikate nicht sauber prüfen, also kein Certificate Pinning machen oder mit den System-Trust-Chains zu lax umgehen. Die grossen Apps sind inzwischen meistens in Ordnung, ältere Apps und Spezialsoftware aus dem Unternehmensumfeld dagegen oft nicht.

Wo ein VPN hilft und wo nicht

Ein VPN nimmt die Kontrolle über deine Verbindung dem Café-Router weg und gibt sie an einen anderen Anbieter weiter. Das hilft, wenn du dem lokalen Netz nicht über den Weg traust oder Geoblockaden umgehen willst. HTTPS ersetzt es nicht, und gegen Captive-Portal-Phishing nützt es ebenfalls nichts, weil die Phishing-Seite noch vor dem VPN-Tunnel sitzt.

Eine isolierte Browser-Session ergänzt das genau dort, wo du einzelne Seiten aufrufst, denen du nicht traust, oder dich irgendwo einloggst und Angst hast, in ein nachgebautes Captive Portal zu tappen. Der Browser läuft dann nicht auf deinem Gerät, sondern in der Cloud, und du bekommst nur das Bild gestreamt. Ein gefälschtes Zertifikat im Evil-Twin-Netz trifft dann den Cloud-Browser und nicht dein Gerät. Den vollständigen Vergleich findest du in Virtual Browsers vs VPNs.

Praktische Regeln, die wirklich zählen

Statt der alten Schreckensliste hier die kurze Version, die 2026 funktioniert.

1. 1

   Öffentliches WLAN auf „Öffentlich“ stehen lassen

   Keine Dateifreigaben, keine Dienste, die nach aussen lauschen. Wenn das Betriebssystem fragt, antwortest du mit „Öffentlich“.
2. 2

   Zertifikatswarnungen nie wegklicken

   Sagt der Browser, die Verbindung sei nicht privat, steigst du aus. Kein öffentliches Netz ist ein schnelles „Trotzdem fortfahren“ wert.
3. 3

   Niemals ein WLAN-Zertifikat installieren

   Echte Café- und Flughafen-Portale verlangen so etwas nicht. Wenn ein Portal auf einer CA-Installation besteht, ist es ein Angreifer.
4. 4

   VPN für den Komfort, isolierter Browser für Logins

   Ein VPN hebt dein Grundniveau gegen neugierige Netze an. Sensible Logins laufen zusätzlich in einem isolierten Browser, der nach der Session wieder verschwindet.