Öffentliches WLAN: Ist es Sicher? Risiken und Schutzmaßnahmen 2026

Ob im Café, am Flughafen, im Hotel oder in der Deutschen Bahn – kostenloses öffentliches WLAN ist allgegenwärtig. Doch wie sicher ist die Nutzung dieser offenen Netzwerke wirklich? In diesem ausführlichen Leitfaden erklärt das Lunyb Sicherheitsteam, welche Gefahren tatsächlich existieren, welche Mythen überholt sind und mit welchen konkreten Maßnahmen Sie Ihre Daten schützen.

Ist öffentliches WLAN sicher? Die kurze Antwort

Öffentliches WLAN ist heute deutlich sicherer als noch vor fünf Jahren, weil über 95 % aller Webseiten HTTPS-Verschlüsselung verwenden. Dennoch bleiben reale Risiken bestehen: bösartige Hotspots, manipulierte DNS-Einträge, veraltete Geräte und Phishing-Captive-Portals können Ihre Daten kompromittieren. Sicher wird die Nutzung erst, wenn Sie aktiv Schutzmaßnahmen treffen.

Wie funktioniert öffentliches WLAN technisch?

Ein öffentliches WLAN ist ein drahtloses Netzwerk, das ohne individuelle Zugangsdaten oder mit einem geteilten Passwort von beliebigen Personen genutzt werden kann. Der Datenverkehr läuft über einen Access Point des Betreibers (Café, Hotel, Stadt) und von dort weiter zum Internet.

Anders als bei Ihrem Heim-WLAN haben Sie keine Kontrolle über:

Die Firmware und Konfiguration des Routers
Andere Geräte im selben Netzwerk
Die DNS-Server, die für die Namensauflösung verwendet werden
Mögliche Protokollierung Ihrer Verbindungsdaten durch den Betreiber

Genau aus dieser Kontrollasymmetrie ergeben sich die Sicherheitsrisiken.

Die 7 größten Risiken in öffentlichen WLAN-Netzen

1. Evil-Twin-Hotspots

Angreifer richten einen WLAN-Hotspot mit einem vertrauenswürdig klingenden Namen ein, etwa „Free_Hotel_WiFi" oder „Flughafen_Gast". Verbinden Sie sich damit, läuft Ihr gesamter Datenverkehr über das Gerät des Angreifers. Diese Methode ist 2026 weiterhin eines der häufigsten Angriffsszenarien.

2. Manipulierte Captive Portals

Die Anmeldeseite, die nach dem Verbinden erscheint, kann gefälscht sein und Login-Daten, Kreditkarteninformationen oder Telefonnummern abgreifen. Besonders perfide: viele Nutzer geben aus Gewohnheit echte Daten ein.

3. DNS-Spoofing

Wenn der Betreiber oder ein Angreifer die DNS-Antworten manipuliert, werden Sie beim Aufruf von „meinebank.de" auf eine täuschend echte Phishing-Seite umgeleitet – obwohl Sie die richtige Adresse eingetippt haben.

4. SSL-Stripping bei unverschlüsselten Seiten

Ruft Ihr Browser eine Webseite zunächst über HTTP auf, kann ein Angreifer im Netzwerk die Weiterleitung zu HTTPS verhindern. Sie sehen dann ungesicherte Inhalte und ggf. eine täuschend echte Anmeldemaske.

5. Automatische Verbindungen mit alten SSIDs

Ihr Smartphone speichert bekannte Netzwerke und verbindet sich automatisch. Angreifer können diese Namen klonen („KarlhotelGast", „Telekom_Hotspot") und Ihr Gerät verbindet sich, ohne dass Sie es bemerken.

6. Geräte-zu-Geräte-Angriffe im selben Netz

Ist die Client-Isolation des Routers deaktiviert, sehen alle Geräte im WLAN einander. Schlecht gesicherte Drucker, Notebooks mit aktiver Dateifreigabe oder veraltete Betriebssysteme können angegriffen werden.

7. Tracking und Datensammlung durch Betreiber

Viele öffentliche Hotspots, vor allem in Einkaufszentren und Hotels, protokollieren MAC-Adresse, Aufenthaltsdauer, Bewegungsmuster und besuchte Domains. Aus Sicht der DSGVO ist das oft grenzwertig, technisch aber Realität.

Was Sie heute nicht mehr fürchten müssen

Einige Schreckensszenarien aus älteren Ratgebern sind durch moderne Browser- und Betriebssystem-Technik deutlich entschärft worden:

Mitlesen von HTTPS-Verkehr: Praktisch unmöglich, solange Sie Zertifikatswarnungen ernst nehmen.
Einfaches „Mitschnüffeln" durch Nachbarn am Tisch: Funktioniert nur noch bei unverschlüsselten Webseiten – die seltener werden.
Passwort-Diebstahl beim Online-Banking: Banken nutzen durchgängig HTTPS, HSTS und Zertifikats-Pinning.

Wachsamkeit bleibt trotzdem nötig, denn die meisten Angriffe zielen heute auf Sie als Person – nicht auf die Verschlüsselung.

Risiko-Vergleich: Welche Netze sind wie sicher?

Netzwerktyp	Risikoniveau	Typische Gefahren	Empfehlung
Eigenes Heim-WLAN (WPA3)	Sehr niedrig	Nur bei schwachem Passwort	Unbedenklich
Mobile Daten (4G/5G)	Niedrig	Standortdaten beim Anbieter	Sehr gut für unterwegs
Hotel-WLAN mit Zimmercode	Mittel	Tracking, Captive Portal	Mit Vorsicht nutzen
Café- oder Restaurant-WLAN	Mittel bis hoch	Evil Twin, DNS-Spoofing	Nur für unkritisches Surfen
Flughafen / Bahnhof	Hoch	Massen-Phishing, falsche Portale	Mobile Daten bevorzugen
Komplett offenes WLAN ohne Passwort	Sehr hoch	Alle genannten Risiken	Wenn möglich vermeiden

10 Schutzmaßnahmen für sicheres Surfen in öffentlichen WLANs

Folgen Sie dieser Checkliste, bevor und während Sie ein öffentliches Netzwerk nutzen:

Automatisches Verbinden deaktivieren: Schalten Sie in den WLAN-Einstellungen Ihres Smartphones „Automatisch verbinden" für alle öffentlichen Netze aus.
Verschlüsseltes DNS aktivieren: Nutzen Sie DNS-over-HTTPS (DoH) oder DNS-over-TLS (DoT) in Ihrem Browser oder Betriebssystem. Das schützt vor DNS-Manipulation.
HTTPS-only-Modus einschalten: Sowohl Firefox, Chrome als auch Edge bieten einen reinen HTTPS-Modus, der unverschlüsselte Verbindungen blockiert.
Dateifreigabe und AirDrop ausschalten: Deaktivieren Sie in fremden Netzen jede Form der Datei- und Drucker-Freigabe.
Firewall aktivieren: Windows Defender Firewall, macOS Firewall oder vergleichbare Lösungen sollten immer aktiv sein.
System und Browser aktuell halten: Sicherheitsupdates schließen genau die Lücken, die in offenen Netzen ausgenutzt werden.
Zwei-Faktor-Authentifizierung nutzen: Selbst wenn ein Passwort abgefangen wird, schützt 2FA Ihren Account.
Sensible Aktionen aufschieben: Banking, Steuererklärung oder Versand vertraulicher Dokumente besser über mobile Daten oder zu Hause erledigen.
Auf URL-Verkürzer in fremden Netzen achten: Prüfen Sie verkürzte Links vorher. Mit einem seriösen Anbieter wie Lunyb sehen Empfänger ein vertrauenswürdiges Linkziel mit Vorschau – das reduziert das Risiko von Phishing-Klicks erheblich.
Nach der Sitzung Netzwerk vergessen: Lassen Sie das Smartphone das Hotspot-Profil gleich wieder löschen, damit es sich nicht später automatisch verbindet.

Welche Aktivitäten sind in öffentlichen WLANs unbedenklich?

Nicht jede Nutzung ist riskant. Mit aktivierter HTTPS- und DNS-Verschlüsselung gilt grob:

Aktivität	Risiko	Im öffentlichen WLAN okay?
Nachrichten lesen	Sehr niedrig	Ja
Streaming (YouTube, Spotify)	Niedrig	Ja
E-Mails über App lesen	Niedrig	Ja, mit 2FA
Soziale Netzwerke	Mittel	Ja, aber kein neues Login
Online-Shopping	Mittel	Möglich, mit Vorsicht
Online-Banking	Hoch	Lieber mobile Daten
Behördenportale, ELSTER	Hoch	Nein
Berufliche Cloud-Zugänge	Hoch	Nur mit Firmenrichtlinie

Besondere Situationen in Deutschland

WLAN in der Deutschen Bahn

Das WIFIonICE-Netz ist offen und wird stark frequentiert. Es eignet sich für Unterhaltung und allgemeines Surfen, aber nicht für sensible Vorgänge. Beachten Sie, dass die Verbindung häufig instabil ist und Captive Portals erneut bestätigt werden müssen – ein beliebtes Einfallstor für Phishing.

Hotel- und Ferienwohnungs-WLAN

Hier teilen sich oft Hunderte Gäste dasselbe Netzwerk. Achten Sie darauf, dass Sie das offizielle Netz aus dem Check-in nutzen, nicht ein zufälliges mit ähnlichem Namen. Aktivieren Sie zusätzlich die Firewall im „öffentliches Netzwerk"-Profil.

Eduroam an Universitäten

Eduroam ist mit WPA2-Enterprise verschlüsselt und gilt damit als eines der sichersten öffentlich zugänglichen Netze. Wichtig: nur über das offizielle Konfigurationsprofil Ihrer Hochschule einrichten.

Stadt-WLAN und Behörden

Viele Städte bieten Freifunk oder kommunale Hotspots. Diese sind aus DSGVO-Sicht meist sauber geregelt, technisch aber genauso offen wie ein Café-WLAN. Behandeln Sie sie entsprechend vorsichtig.

Wie Sie einen Evil-Twin erkennen

Vor allem an Flughäfen und in Hotels lauern gefälschte Hotspots. Achten Sie auf diese Warnsignale:

Zwei oder mehr Netze mit fast identischem Namen
Plötzlich ein neues Captive Portal, das Kreditkartendaten verlangt, obwohl es zuvor gratis war
Zertifikatswarnungen auf Webseiten, die sonst einwandfrei laden
Unerwartet langsame Verbindung trotz starken Signals
Aufforderung, eine App oder ein Zertifikat zu installieren

Im Zweifel lieber trennen und den Betreiber persönlich nach dem richtigen Netzwerknamen fragen.

Was tun, wenn Sie sich infiziert haben?

Wenn Sie nach der Nutzung eines öffentlichen WLANs Probleme bemerken – etwa unerwartete Logins, Akkuverbrauch oder Pop-ups – handeln Sie sofort:

Trennen Sie das Gerät vom WLAN und schalten Sie WLAN ganz aus.
Ändern Sie Passwörter wichtiger Konten von einem anderen, sicheren Gerät.
Prüfen Sie mit unserer Checkliste „Ist mein Handy gehackt? 10 Warnzeichen", ob es konkrete Hinweise gibt.
Führen Sie einen vollständigen Virenscan durch.
Aktivieren Sie 2FA überall dort, wo Sie es noch nicht getan haben.

Zusätzliche Tools, die Ihre Sicherheit erhöhen

Ein paar Werkzeuge sollten Sie ohnehin im Alltag verwenden – sie wirken in öffentlichen Netzen besonders schützend:

Passwort-Manager: Vermeiden Sie Wiederverwendung von Passwörtern. Unser Vergleich der besten Passwort-Manager 2026 hilft bei der Auswahl.
Verschlüsselter Foto- und Dateispeicher: Damit private Inhalte selbst dann sicher bleiben, wenn ein Gerät kompromittiert wird – siehe Anleitung zum verschlüsselten Tresor.
Datenschutzfreundlicher Browser: Firefox, Brave oder LibreWolf mit aktiviertem Tracking-Schutz reduzieren passives Datensammeln.
Vertrauenswürdige Link-Tools: Wer beruflich viel teilt, profitiert von Lunyb: kurze, sichere Links mit Analytics, ohne Trackingmüll, ideal auch in Verbindung mit einer professionellen Link-in-Bio-Seite.

Rechtlicher Rahmen in Deutschland

Seit dem Wegfall der Störerhaftung 2017 dürfen Betreiber öffentliche WLANs ohne Vorratsdatenspeicherung anbieten. Die DSGVO und die Hinweise des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) verpflichten Betreiber jedoch, transparent über Datenverarbeitung zu informieren. Achten Sie auf eine sichtbare Datenschutzerklärung im Captive Portal – fehlt sie, ist Vorsicht geboten. Mit dem 2026 wirksamen KI-Gesetz der EU werden zudem automatisierte Analysesysteme in Hotspots stärker reguliert.

FAQ: Häufige Fragen zu öffentlichem WLAN

Ist öffentliches WLAN ohne Schutz wirklich gefährlich?

Für reines Surfen auf HTTPS-Webseiten ist das Risiko begrenzt, aber nicht null. Gefährlich wird es, sobald Sie sich einloggen, Zahlungen tätigen oder vertrauliche Dokumente übertragen. Mindestens HTTPS-only-Modus, verschlüsseltes DNS und 2FA sollten immer aktiv sein.

Kann mein Online-Banking im Café-WLAN gehackt werden?

Direkt das Mitlesen der Banking-Sitzung ist durch HTTPS und Zertifikats-Pinning praktisch ausgeschlossen. Das eigentliche Risiko ist Phishing über manipulierte DNS oder gefälschte Portale. Trotzdem empfehlen wir Online-Banking eher über mobile Daten zu erledigen.

Sind passwortgeschützte WLANs automatisch sicherer?

Nur teilweise. Ein geteiltes Passwort, das an jeder Hotelrezeption hängt, schützt nicht gegen Angreifer, die ebenfalls Gast sind. Wichtiger ist, ob der Router „Client-Isolation" aktiviert hat, was Sie als Nutzer nicht prüfen können.

Soll ich mein Smartphone als Hotspot statt öffentliches WLAN nutzen?

Ja, fast immer. Mobile Daten über 4G/5G sind verschlüsselt und Sie kontrollieren den Hotspot selbst. Bei umfangreichen Datenübertragungen kann es teurer sein, aber sicherheitstechnisch ist es die deutlich bessere Wahl.

Wie erkenne ich, ob ein Hotspot legitim ist?

Fragen Sie den Betreiber nach dem exakten Netzwerknamen. Misstrauen Sie Netzen, die plötzlich Zertifikate installieren wollen, Kreditkartendaten verlangen, ohne dass dies angekündigt wurde, oder mehrfach mit ähnlichem Namen auftauchen. Ein einziger Klick auf den falschen Hotspot kann reichen, um Ihre Sitzung zu kompromittieren.

Fazit

Öffentliches WLAN ist 2026 nicht der digitale Wilde Westen früherer Jahre, aber auch kein neutraler Raum. Mit aktiviertem HTTPS-only-Modus, verschlüsseltem DNS, einem Passwort-Manager, 2FA und gesundem Misstrauen gegenüber unbekannten Netzwerknamen können Sie Cafés, Bahnhöfe und Hotels weitgehend bedenkenlos nutzen. Sensible Vorgänge wie Banking oder Behördengänge gehören dennoch ins Heimnetz oder über mobile Daten. Sicherheit ist kein Produkt, sondern eine Gewohnheit – und die richtigen Gewohnheiten kosten Sie keine drei Minuten Setup.