Ist öffentliches WLAN sicher? Was am Flughafen wirklich passiert, wenn du dich verbindest

Du landest nach einem langen Flug in Frankfurt. Akku bei 18 Prozent, kein mobiles Datenvolumen, und dein Anschlussgate wurde gerade ans andere Ende des Terminals verlegt. Du öffnest die WLAN-Liste, und da steht es: Airport_Free_WiFi. Kein Passwort. Ein Tippen, und du bist online.

Fast jeder tippt. Und fast jedes Mal passiert nichts — genau deshalb hält sich die Gewohnheit so hartnäckig.

Aber "fast jedes Mal" trägt in diesem Satz eine ziemliche Last. Flughäfen, Hotels und Bahnhöfe gehören zu den wenigen Orten, an denen sich ein völlig Fremder unbemerkt zwischen dich und das Internet stellen kann. Und wenn es schiefgeht, ist der Preis keine langsam ladende Seite, sondern ein leergeräumtes Konto oder ein gekaperter E-Mail-Zugang, mit dem du monatelang beschäftigt bist.

Dieser Text soll ehrlich sein. Vieles, was über öffentliches WLAN geschrieben wird, ist zehn Jahre alt, und ein Teil davon war nie etwas anderes als Angstmarketing von Firmen, die VPN-Abos verkaufen. Schauen wir uns also an, was sich wirklich geändert hat, welche Risiken 2026 noch bestehen — und was davon tatsächlich einen Unterschied macht.

Warum öffentliches WLAN etwas völlig anderes ist als dein Netz zu Hause

Zu Hause arbeiten drei Dinge unbemerkt für dich. Du weißt, wem der Router gehört. Die Verbindung zwischen deinen Geräten und diesem Router ist mit einem Passwort verschlüsselt, das nur dein Haushalt kennt. Und außer euch ist niemand im Netz.

Offenes öffentliches WLAN wirft alle drei über Bord.

Du kannst nicht überprüfen, ob das Netz wirklich das ist, was es behauptet. Das ist der entscheidende Punkt, und er überrascht die meisten. Ein WLAN-Name ist nichts weiter als ein Etikett, das jedes beliebige Gerät aussenden kann. Es gibt kein Register, keine Prüfung, kein Zertifikat. Wenn dein Handy ein Netz namens Flughafen_Muenchen_Gast anzeigt, hat das genau so viel Aussagekraft wie ein Fremder in Warnweste, der behauptet, er arbeite hier.

In einem wirklich offenen Netz ist der Funkverkehr unverschlüsselt. Jeder in Reichweite mit der passenden Software sieht die Umrisse dessen, was die Leute ringsum tun — welche Dienste, welche Apps, wie viele Daten, zu welcher Zeit. Nicht zwingend die Inhalte, aber mehr, als dir lieb wäre.

Wer das Netz betreibt, sieht deinen Verkehr durchlaufen. Selbst ein völlig seriöser Betreiber sitzt technisch in der Mitte deiner Verbindung. Ob das ein Problem ist, hängt allein davon ab, wer er ist und was seine Nutzungsbedingungen ihm erlauben.

Was sich geändert hat: Die Hälfte der alten Ratschläge ist heute falsch

Um 2010 herum veröffentlichte ein Entwickler eine Firefox-Erweiterung namens Firesheep. Damit konnte jeder im Café einen Namen in einer Seitenleiste anklicken und die Facebook-Sitzung dieser Person übernehmen. Das war technisch nicht anspruchsvoll. Es funktionierte, weil die meisten Websites damals nur die Login-Seite verschlüsselten und danach alles im Klartext übertrugen.

Diese Welt gibt es nicht mehr. Die ganz überwiegende Mehrheit des Web-Verkehrs ist heute per HTTPS Ende-zu-Ende verschlüsselt. Dein Browser warnt lautstark, wenn eine Seite es nicht ist. Apps prüfen ihre Zertifikate selbst. Auch DNS-Anfragen laufen zunehmend verschlüsselt. Das klassische Bild — jemand mit Kapuze am Nebentisch, der dein Banking-Passwort aus der Luft mitliest — ist 2026 weitgehend ein historisches Motiv.

Der entscheidende Punkt ist aber: Das Risiko ist nicht verschwunden, es hat sich verlagert. Angreifer haben aufgehört, verschlüsselten Verkehr belauschen zu wollen — das ist inzwischen wirklich mühsam. Stattdessen tun sie etwas viel Einfacheres: Sie bringen dich dazu, ihnen die Daten freiwillig zu geben.

Die Risiken, die real geblieben sind

Der Evil Twin: ein gefälschtes Netz mit dem Namen des Flughafens

Die Hardware, um ein WLAN auszustrahlen, kostet weniger als ein anständiges Abendessen und passt in eine Jackentasche. Stell sie im Wartebereich auf, gib ihr einen plausiblen Namen — Free_Airport_WiFi, Terminal2_Guest, oder den echten Netznamen mit einem verschobenen Unterstrich — und warte ab. Handys, die nach dem stärksten offenen Signal suchen, finden sie. Manche verbinden sich von allein.

Sobald du in diesem Netz bist, bestimmt dessen Betreiber, was dein Handy für "das Internet" hält. Er entscheidet, welche Seite lädt, wenn du eine Adresse eingibst. Er entscheidet, was deinem Gerät geantwortet wird, wenn es nach Updates fragt. HTTPS kann er nicht brechen — aber das muss er auch nicht. Er braucht nur eine einzige vertrauensvolle Entscheidung von dir.

Gefälschte Anmeldeseiten: der wirksamste Angriff am Flughafen

Ein Captive Portal ist jene Anmeldeseite, die aufspringt, sobald du dich mit einem öffentlichen Netz verbindest. Echte fragen meist nach einer E-Mail-Adresse, einer Zimmernummer oder einfach nach einem Klick auf "Ich stimme zu".

Gefälschte fragen nach etwas mehr. Kreditkartendaten, "nur zur Altersverifikation, es wird nichts abgebucht". Reisepassnummer oder Buchungsreferenz. Oder, am schädlichsten, ein "Mit Google anmelden"-Button, der auf eine täuschend echte Kopie der Google-Anmeldeseite führt.

Das funktioniert so gut, weil es deine Instinkte auf den Kopf stellt. Normalerweise würde eine unerwartete Frage nach Kartendaten sofort Alarm auslösen. Hier aber erwartest du eine Anmeldeseite. Du hast sie selbst ausgelöst. Sie erscheint genau dann, wann sie soll. Deine Deckung ist ohnehin unten, du bist müde, und dein Gate schließt in zwanzig Minuten.

Kein seriöses Netz an einem Flughafen, in einem Hotel oder in einem Café braucht deine Kartennummer, deine Passnummer oder dein E-Mail-Passwort, um dir Internet zu geben. Kein einziges. Wenn ein Portal danach fragt, ist das Netz entweder feindlich oder so aggressiv kommerziell, dass du ohnehin weitergehen solltest.

"Lade unsere App, um dich zu verbinden"

Manche echten Hotelketten machen das tatsächlich, was ärgerlich ist, weil es Menschen daran gewöhnt. Am Flughafen gilt: sofortiges Nein. Software zu installieren, die dir ein Netz reicht, das du nicht überprüfen kannst, hebelt jede andere Vorsichtsmaßnahme in diesem Artikel aus.

Zertifikatswarnungen, die du wegklicken möchtest

Wenn ein feindliches Netz versucht, eine verschlüsselte Verbindung abzufangen, merkt dein Browser das und wirft eine bildschirmfüllende Warnung — meist rot, meist eindringlich, meist mit einem kleinen "Trotzdem fortfahren" ganz unten versteckt.

Diese Warnung ist der Beweis, dass das System funktioniert. In einem öffentlichen Netz ist sie ein hartes Stoppschild, jedes Mal. Es gibt keinen legitimen Grund für einen Zertifikatsfehler auf der Seite deiner Bank in einer Flughafenlounge.

Netze, die dich völlig legal auswerten

Nicht jedes Risiko ist kriminell. Ein erheblicher Teil des "kostenlosen" öffentlichen WLANs wird von Werbeunternehmen betrieben. Der Handel steht offen in Nutzungsbedingungen, die niemand liest: Du bekommst Bandbreite, sie bekommen deine E-Mail-Adresse, deine Gerätekennung, deinen ungefähren Aufenthaltsort über die Zeit — und die Erlaubnis, daraus ein Profil zu bauen und den Zugriff darauf zu verkaufen.

Innerhalb der EU zieht die DSGVO hier gewisse Grenzen, und du hast Auskunfts- und Löschrechte. Nur nützt dir das wenig, wenn du im Vorbeigehen zugestimmt hast und der Betreiber seinen Sitz außerhalb Europas hat. Gestohlen wurde nichts. Du hast eingewilligt. Der Preis war nur eben nicht null — und er stand nicht auf dem Schild.

Hotel-WLAN, das leiser und oft schlechter ist als das am Flughafen

Hotels bekommen weniger Aufmerksamkeit als Flughäfen und hätten oft mehr verdient. Die Zugangsdaten sind häufig Zimmernummer und Nachname — Informationen, die auf dem Umschlag deiner Schlüsselkarte stehen. Die Technik ist manchmal zehn Jahre alt und wird selten aktualisiert. Und in vielen Hotelnetzen sehen sich Gastgeräte gegenseitig, das heißt: der virenverseuchte Laptop drei Etagen höher hängt im selben Segment wie dein Handy.

Dazu kommt, dass du im Hotel entspannter bist. Du packst aus, setzt dich hin und erledigst endlich die Überweisung, die du seit Tagen vor dir herschiebst. Es ist ausgerechnet die Umgebung, in der Menschen ihre sensibelsten Dinge über ihre unzuverlässigste Verbindung erledigen.

So nutzt du öffentliches WLAN, ohne dir die Finger zu verbrennen

Wenn du dich ohnehin verbindest — und manchmal führt kein Weg daran vorbei — sind das die Gewohnheiten, die wirklich zählen, ungefähr sortiert nach ihrem Nutzen.

1. Halte die Zwei-Faktor-Authentifizierung überall aktiv. Das ist mit Abstand der wertvollste Punkt auf dieser Liste. Fast jeder realistische Angriff endet damit, dass jemand ein Passwort besitzt, das er nicht benutzen kann, weil ihm dein zweiter Faktor fehlt. Wenn du sonst nichts umsetzt, dann das.
2. Frag beim Personal nach dem exakten Netznamen. Zehn Sekunden am Servicecounter erledigen den Evil Twin vollständig. Wichtig ist das Wort exakt — Angreifer verlassen sich darauf, dass dir ein zusätzlicher Unterstrich nicht auffällt.
3. Schalte das automatische Verbinden mit offenen Netzen ab. Beim iPhone unter Einstellungen → WLAN → "Auf Netze hinweisen", dazu Auto-Verbinden für einzelne Netze deaktivieren. Bei Android findest du es in den WLAN-Einstellungen. Das verhindert, dass sich dein Handy in der Hosentasche stillschweigend mit irgendetwas im Flur verbindet.
4. Behandle jede Anmeldeseite als feindlich, bis das Gegenteil bewiesen ist. E-Mail-Adresse oder Zimmernummer: in Ordnung. Kartendaten, Passnummer oder ein Social-Login-Button: schließen und weitergehen.
5. Klick niemals eine Zertifikatswarnung weg. Nicht einmal, nicht "nur dieses eine Mal".
6. Verschiebe alles wirklich Sensible. Banking, Behördenportale, alles mit Zahlung. Das hält eine Stunde aus.
7. Vergiss das Netz, wenn du fertig bist. Sonst sucht dein Handy in jeder weiteren Stadt danach — und den Namen kann jeder aussenden.
8. Deaktiviere Dateifreigaben und stell AirDrop auf "Nur Kontakte". Zehn Sekunden, und eine ganze Kategorie von Ärgernissen ist weg.
9. Halte dein Betriebssystem aktuell. Langweilig, unspektakulär — und der Grund, warum die meisten bekannten Angriffe bei dir nicht funktionieren.

Bringt ein VPN wirklich etwas?

Ja, für genau eine Sache. Und es lohnt sich, präzise zu sein, welche das ist.

Ein VPN packt alles, was dein Gerät verlässt, in einen verschlüsselten Tunnel zu einem Server anderswo. Für das Flughafennetz — oder für einen Evil Twin — wird dein Verkehr zu bedeutungslosem Rauschen. Passives Mitlesen und Abfangen sind damit tatsächlich erledigt.

Wichtiger ist aber, was ein VPN nicht leistet:

• Es hilft nicht, wenn du deine Kartennummer in ein gefälschtes Portal tippst. Du hast die Daten herausgegeben — wie gut der Transportweg verschlüsselt war, spielt dann keine Rolle mehr.
• Es hindert dich nicht daran, Schadsoftware zu installieren.
• Es macht dich nicht anonym, egal was die Werbeblöcke behaupten.
• Es verschiebt dein Vertrauen, statt es überflüssig zu machen — vom Flughafenbetreiber zum VPN-Anbieter. Bei einem kostenlosen VPN ist das in aller Regel eine Verschlechterung. Gratis-VPN-Apps haben eine lange, gut dokumentierte Geschichte darin, genau den Verkehr zu protokollieren und zu verkaufen, den sie zu schützen versprachen.

Ein seriöser, bezahlter Dienst ist ein vernünftiges Werkzeug. Er ist kein Schutzschild, das öffentliches WLAN sicher macht — und wer ihn dafür hält, wird erfahrungsgemäß unvorsichtiger statt vorsichtiger.

Die einfachste Lösung: öffentliches WLAN gar nicht erst nutzen

Alle beschriebenen Risiken haben dieselbe Wurzel: Du hast dich mit einem Netz verbunden, das du nicht überprüfen konntest, betrieben von jemandem, den du nicht identifizieren kannst.

Nutzt du deine eigenen mobilen Daten, verschwindet diese Wurzel. Nicht abgemildert — weg.

Mobilfunknetze funktionieren genau andersherum als öffentliches WLAN. Deine SIM authentifiziert sich kryptografisch beim Netz, ein Fremder kann also keinen Mobilfunkbetreiber vortäuschen, so wie er einen Hotspot vortäuschen kann. Die Verbindung zwischen Handy und Funkmast ist standardmäßig verschlüsselt. Es gibt keine Anmeldeseite, also lässt sich auch keine fälschen. Und du teilst dir kein Netzsegment mit ein paar hundert Fremden.

Das alte Hindernis war der Preis. Roaming-Gebühren im Ausland waren früher so schmerzhaft, dass kostenloses WLAN als einzig vernünftige Option erschien. Genau das hat sich geändert. Eine Reise-eSIM ist eine digitale SIM-Karte, die du vor der Abreise in wenigen Minuten auf dem Handy einrichtest, ohne die Karte mit deiner normalen Nummer herauszunehmen. Du landest, die Daten laufen bereits, und du gehst am kostenlosen WLAN vorbei, ohne die Liste überhaupt zu öffnen.

Wenn du nicht sicher bist, ob dein Handy das unterstützt, findest du in unserer Liste kompatibler Geräte alle aktuellen Modelle. Und falls die Technik neu für dich ist, ist diese Erklärung ein guter Einstieg.

Der Fairness halber: Mobilfunk ist keine Zauberei. Dein Anbieter sieht weiterhin Metadaten, und keine Verbindung ist über jeden Zweifel erhaben. Aber es beseitigt die gesamte Angriffsklasse, die darauf beruht, dass du dem Netz eines Fremden vertraust — und am Flughafen ist das praktisch alles.

Kurze Antworten

Kann ich am Flughafen-WLAN meinen Kontostand prüfen?

Die App selbst ist gut abgesichert und die Verbindung verschlüsselt, es ist also nicht mehr die Katastrophe, die es einmal war. Wenn du aber warten kannst, bis du im Mobilfunknetz bist, warte. Es gibt keinen Vorteil darin, es in einem Netz zu tun, das du nicht überprüfen kannst.

Ist ein passwortgeschütztes Netz sicherer als ein offenes?

Etwas — der Funkverkehr ist verschlüsselt, beiläufiges Mitlesen fällt damit weg. Steht das Passwort aber auf einem Schild hinter der Theke, hat es jeder im Gebäude, einschließlich der Person, um die es dir geht. Es hebt den Boden an, nicht die Decke.

Kann jemand mein Handy hacken, nur weil wir im selben WLAN sind?

Allein dadurch nicht. Ein modernes, aktuelles Handy nimmt keine unaufgeforderten Verbindungen von anderen Geräten an. Das Risiko entsteht daraus, wozu du überredet wirst — eine gefälschte Seite, eine weggeklickte Warnung, eine installierte App — nicht aus der bloßen Nähe.

Sollte ich statt des Hotel-WLANs den Hotspot meines Handys nutzen?

Ja, und das wird unterschätzt. Wenn du den Laptop ans Handy hängst, läuft alles über deine eigene Mobilfunkverbindung. Wer mit ausreichend Datenvolumen unterwegs ist, hat damit die einfachste Antwort fürs Arbeiten aus dem Hotelzimmer.

Und öffentliche Ladebuchsen?

Angriffe über USB-Ladestationen sind dokumentiert, bleiben aber selten, und moderne Handys fragen nach, bevor sie über USB Datenzugriff gewähren. Sag dort Nein und lade in Ruhe weiter. Eine günstige Powerbank umgeht die Frage ganz.

Die Kurzfassung

• Die alte Angst — jemand liest dein Passwort aus der Luft — ist weitgehend überholt. HTTPS hat das erledigt.
• Das heutige Risiko ist Täuschung: gefälschte Netze, gefälschte Anmeldeseiten und Dinge, die du selbst eintippst.
• Kein seriöses kostenloses Netz braucht deine Kartennummer, Passnummer oder dein E-Mail-Passwort.
• Zwei-Faktor-Authentifizierung schützt dich mehr als alles andere auf dieser Liste.
• Ein VPN verschlüsselt den Weg. Vor deinem eigenen vertrauensvollen Tippen schützt es nicht.
• Eigene mobile Daten beseitigen das Problem an der Wurzel — und eine Reise-eSIM macht das heute bezahlbar, was vor ein paar Jahren noch nicht galt.

Wenn du das nächste Mal irgendwo landest und dieses kostenlose Netz ganz oben in der Liste auftaucht, lautet die richtige Frage nicht, ob es gefährlich ist. Sondern ob du es überhaupt brauchst.