Ratgeber
Die klassische Gruselgeschichte — jemand im Café fängt Ihr Passwort aus der Luft — ist weitgehend überholt, denn HTTPS verschlüsselt den Inhalt fast aller Ihrer Verbindungen längst. Was im öffentlichen WLAN bleibt, ist subtiler: sichtbare Metadaten wie Domainnamen, gefälschte Zugangspunkte, Captive Portals — und fremde Geräte, die das Netz mit Ihnen teilen.
Fast jede ernsthafte Website und App verschlüsselt ihren Verkehr Ende zu Ende. Passwörter, Nachrichten und Kartennummern reisen in TLS — ein Lauscher im Café-WLAN sieht Chiffretext, nicht Ihre Daten. Dieser Teil der alten Bedrohung ist weitgehend verschwunden.
Verschlüsselung verbirgt, was Sie sagen — nicht, mit wem Sie sprechen. DNS-Abfragen und die Servernamen in TLS-Handshakes verraten, welche Seiten und Dienste Sie nutzen, und der Netzbetreiber oder jeder mit Position im Netz kann diese Liste einsammeln.
Jeder kann einen Hotspot ausstrahlen, der nach dem Café oder Flughafen benannt ist. Ihr Gerät wählt das stärkste vertraut wirkende Signal — und von da an ist der Angreifer Ihr Gateway. Das, nicht Passwort-Schnüffeln, ist der realistische moderne Angriff.
Weniger, als die Folklore behauptet — mehr als null. Vor einem Jahrzehnt lief ein Großteil des Webs unverschlüsselt, und ein Laptop in der Ecke konnte Logins tatsächlich aus der Luft fischen. Heute steckt nahezu aller relevante Verkehr in TLS: Banken, Mail, Messenger und Shops verschlüsseln die Inhalte zwischen Ihrem Gerät und ihren Servern — egal, in welchem Netz Sie sitzen.
Was übrig bleibt, ist ein anderes Bündel Risiken: Metadaten, die die Verschlüsselung nicht abdeckt, Zugangspunkte, die nicht sind, was sie vorgeben, Portalseiten, die persönliche Daten abfragen — und die schlichte Tatsache, dass Sie ein lokales Netz mit Fremden teilen.
TLS verbirgt den Inhalt Ihres Verkehrs, nicht seine Ziele. Löst Ihr Gerät einen Hostnamen auf, ist diese DNS-Abfrage für das Netz oft mitlesbar, und beim Aufbau einer TLS-Verbindung steht der Servername meist im Klartext im Handshake — dem SNI-Feld. Wer den Hotspot betreibt oder beobachtet, kann eine saubere, zeitgestempelte Liste jeder Seite und App anlegen, die Sie angefasst haben.
Für die meisten ist das eher ein Privatsphäre-Problem als ein Notfall: Die Liste Ihrer besuchten Domains sagt eine Menge über Sie aus, und in einem öffentlichen Netz haben Sie keine Ahnung, wer sie sammelt und wozu. Verschlüsseltes DNS verkleinert das Leck, beseitigt SNI aber nicht.
Genau diese Lücke schließt ein VPN in feindseligen Netzen vollständig: Im Tunnel sind DNS und Handshakes für den Hotspot unsichtbar — er sieht nur, dass Sie mit einem VPN-Server verbunden sind.
Nichts hindert irgendwen daran, ein WLAN auszustrahlen, das nach dem Café, Hotel oder Flughafen benannt ist, in dem Sie gerade sitzen. Geräte springen bereitwillig auf das stärkste Signal mit vertrautem Namen, und Handys, die alte Netze gespeichert haben, verbinden sich automatisch mit einem Doppelgänger — ohne dass Sie irgendetwas antippen.
Sitzen Sie erst einmal auf dem Zugangspunkt eines Angreifers, ist er Ihr Gateway: Er weist Ihnen das DNS zu, routet jedes Paket und kann versuchen, Sie auf überzeugende Fälschungen umzuleiten. TLS schützt sauber abgesicherte Seiten weiterhin — der Browser warnt lautstark, wenn sich jemand als sie ausgibt —, aber alles Unverschlüsselte, jede App, die Zertifikatsfehler ignoriert, und alles, was Sie in eine vom Angreifer ausgelieferte Seite eintippen, liegt offen.
Die praktischen Abwehrmaßnahmen sind unglamourös: automatisches Verbinden für öffentliche Netze abschalten, nicht mehr genutzte Hotspots vergessen — und in so einem Netz niemals eine Zertifikatswarnung wegklicken.
Die Seite, die Sie im Hotel- oder Flughafen-WLAN begrüßt — mit Frage nach Zimmernummer, E-Mail-Adresse oder Social-Login — verdient selbst gesundes Misstrauen. Sie läuft mit den Rechten des Netzbetreibers und ist auf einem gefälschten Hotspot spielend leicht zu imitieren.
Geben Sie Portalen das Minimum: eine Wegwerf-E-Mail, wenn ein Feld Pflicht ist, nie ein Passwort, das Sie anderswo nutzen, und nie Kartendaten. Ein Portal hat keinen legitimen Grund, für kostenloses WLAN Zahlungsdaten zu verlangen.
Ein praktischer Hinweis: VPN-Apps können sich meist erst verbinden, wenn das Portal abgeschlossen ist, weil das Netz alles andere blockiert. Portal abschließen, dann prüfen, dass der Tunnel steht, bevor Sie irgendetwas Sensibles tun. Auroras Apps verbinden sich automatisch neu, sobald das Netz Verkehr durchlässt.
Im öffentlichen WLAN erledigt ein VPN eine Aufgabe herausragend gut: Es macht das lokale Netz bedeutungslos. Der Hotspot, sein Betreiber und alle anderen darin sehen einen einzigen verschlüsselten Strom zu einem VPN-Server — keine DNS-Abfragen, kein SNI, keine Ziele, nichts zum Umleiten. Protokolle wie WireGuard schaffen das mit wenig Akku- und Tempoverlust, dauerhaft eingeschaltet lassen ist also realistisch.
Was ein VPN nicht tut, zählt ebenso. Es prüft nicht die Portalseite, in die Sie tippen, schützt kein Gerät, dessen Dateifreigabe zum lokalen Subnetz offen steht, und macht keine Phishing-Seite seriös. Es verlagert Ihr Vertrauen vom unbekannten Hotspot zu Ihrem gewählten Anbieter — ein guter Tausch, kein Zaubertrick.
Der Großteil des echten Schutzes kommt aus einer Handvoll Einstellungen, die Sie einmal setzen, plus zwei Gewohnheiten, die Sie beibehalten. Nichts davon verlangt Fachwissen.
Die Einstellungen zählen, weil Angriffe im öffentlichen WLAN opportunistisch sind: Sie ernten, was die sorglose Mehrheit offen liegen lässt. Ein gepatchtes Gerät, das sich mit nichts automatisch verbindet, lokal nichts freigibt und seinen Verkehr tunnelt, ist schlicht kein lohnendes Ziel.
Um Ihre IP-Adresse zu verbergen, leiten Sie Ihren Verkehr über einen anderen Server, sodass Websites dessen Adresse statt Ihrer sehen. Ein VPN tut das für alles auf dem Gerät, ein Proxy für eine einzelne App und Tor für maximale Verschleierung auf Kosten des Tempos. Die IP zu verbergen ändert, was Seiten sehen — nicht, wer Sie sind.
„No Logs“ heißt fast nie, dass ein Dienst gar nichts aufzeichnet. Gemeint sind meist keine Aktivitätsprotokolle: keine Aufzeichnung der besuchten Seiten oder der übertragenen Daten. Verbindungs-Metadaten, Diagnosedaten und Zahlungsunterlagen sind eigene Kategorien, und jeder Anbieter definiert sie anders. Welche davon aufbewahrt werden, verrät die Datenschutzerklärung — nicht der Slogan.
Ein VPN-Protokoll legt fest, wie Ihr Gerät und der Server den verschlüsselten Tunnel aufbauen. WireGuard ist das schnellste und einfachste, OpenVPN das ausgereifteste und flexibelste, IKEv2/IPsec übersteht Netzwerkwechsel auf dem Handy am besten, und Xray/VLESS über TLS lässt Tunnelverkehr wie gewöhnliches HTTPS aussehen. Jedes tauscht etwas gegen seine Stärke ein.
14 Tage Geld-zurück-Garantie. Bis zu 7 Geräte mit einem Abo.
Meine Geräte schützen