Ist öffentliches WLAN sicher?

„Ist öffentliches WLAN sicher?" ist eigentlich zwei Fragen im selben Mantel. Trennt man sie, verschwindet die Panik, denn die beiden Hälften haben sehr unterschiedliche Antworten.

• Der eigene Datenverkehr: weitgehend gelöst. Etwa 95 % des Web-Traffics sind Ende-zu-Ende verschlüsselt. Das Café kann weder das Postfach noch die Banking-Sitzung noch die Nachrichten mitlesen.
• App-Daten: weitgehend gelöst. Banking-, Messaging- und Mail-Apps pinnen oder prüfen ihre Verbindungen. Die Demo von 2012, bei der Logins über offenes WLAN abgegriffen wurden, funktioniert auf einem aktuellen Smartphone nicht mehr.
• Zertifikatswarnungen wirken noch. Ein Netz, das versucht, sich in eine moderne HTTPS-Sitzung zu schalten, löst einen Alarm aus, statt unbemerkt zu gelingen.

• Die eigene Identität: schlechter denn je. Bevor man online geht, muss man sich einloggen, und diese Seite will einen Nachnamen, eine Zimmernummer, eine E-Mail-Adresse oder eine Telefonnummer.
• Die lokale Angreifbarkeit: unverändert. Man tritt einem Netz bei, das sich nicht überprüfen lässt, geteilt mit allen anderen im Gebäude.
• Die eigene Anwesenheit: protokolliert. Eine Verbindung ist ein zeitgestempelter Nachweis, dass ein bestimmtes Gerät — und oft eine bestimmte Person — in diesem Gebäude war.

Am Ende zählt nur eines: Die Gefahr ist von Inhalt zu Metadaten gewandert. Verschlüsselung hat das Erste gelöst. An einem kostenlosen Hotspot ändert sich am Zweiten nichts.

Die Horrorgeschichte über öffentliches WLAN, die alle kennen, stammt aus einer bestimmten Ära. Um 2010 war der Großteil des Web unverschlüsselt, Session-Cookies reisten im Klartext, und ein Laptop im selben Café konnte sie mit einer Browser-Erweiterung einfach aus der Luft fischen. Diese Ära ist vorbei.

Drei Änderungen haben das beendet, und alle drei sind standardmäßig aktiv:

• Verschlüsselung überall. Browser behandeln reines HTTP inzwischen als Ausnahme, vor der gewarnt wird, nicht mehr als normalen Weg, eine Seite zu laden.
• Strikte Transportregeln. Große Websites teilen dem Browser im Voraus mit, niemals eine unverschlüsselte Version von sich selbst zu akzeptieren — der klassische Downgrade-Trick scheitert damit, bevor er beginnt.
• Verschlüsselte Namensauflösung. Moderne Browser und Smartphones lösen Domainnamen zunehmend innerhalb eines verschlüsselten Kanals auf, wodurch der Router des Betreibers außen vor bleibt.

Vier Dinge sind nicht behoben, weil keines davon mit Verschlüsselung zu tun hat.

Keines davon ist exotisch. Es sind die gewöhnlichen Folgen, einem nicht authentifizierten Netz beizutreten, das jemand betreibt, den man nie getroffen hat — genau das bedeutet „kostenloses WLAN". Was das meistens kostet, ist kein Geld; es ist das Thema des nächsten Abschnitts.

Kostenloses WLAN ist nicht kostenlos. Der Preis ist ein Identifikator, der an der Tür eingesammelt wird, und meist einer, der sich nicht austauschen lässt: der Nachname, die Zimmernummer, die echte Telefonnummer.

Diese letzte Zeile lohnt einen zweiten Blick. In einem Land mit Pflicht zur SIM-Registrierung ist „Verifizierung per SMS" kein Komfortschritt — es ist eine Identitätsprüfung obendrauf auf eine bereits bestehende Identitätsprüfung. Der Ratgeber zur SIM-Registrierungspflicht listet auf, in welchen Ländern das gilt und woran der gescannte Pass dort tatsächlich hängt.

In mehreren Ländern ist die Identitätsprüfung keine Marketingentscheidung des Betreibers vor Ort — sie steht in den Regeln, die öffentlichen Internetzugang überhaupt erst erlauben. Als Besucher trifft man immer auf dasselbe Muster: Das Portal will eine lokale Mobilnummer, die man nicht hat.

• China — öffentliche Hotspots verlangen meist einen SMS-Code an eine chinesische Nummer, die die meisten Besucher nicht empfangen können.
• Russland — öffentliches WLAN verlangt seit 2014 eine Identifizierung der Nutzer, in der Regel per Telefonnummer.
• Indien — Portale an Flughäfen und in Cafés schicken routinemäßig einen Einmalcode an eine indische Nummer.
• Vereinigte Arabische Emirate — der Hotelzugang ist an das Zimmer und den Gästedatensatz gebunden; manche öffentlichen Netze verlangen zusätzlich eine lokale Nummer.
• Türkei, Indonesien und weite Teile des Golfs — SMS-Verifizierung ist hier das Standardmuster für offene Netze.

Das Ergebnis in der Praxis ist ein Teufelskreis: Man braucht Internet, um eine lokale Nummer zu beschaffen, und eine lokale Nummer, um Internet zu bekommen. Ein vor der Abreise installiertes Reiseprofil umgeht das — derselbe Mechanismus, der im Ratgeber zu Zensur und blockierten Apps beschrieben wird. Die Länderseiten zu China, Indien und den Vereinigten Arabischen Emiraten haben die Details.

Ein VPN ist der Standardrat, und es ist ein guter Rat, so weit er reicht. Es lohnt sich, genau zu sein, wie weit das ist.

• Es versteckt den Datenverkehr vor dem Betreiber. Das Netz sieht nur einen verschlüsselten Tunnel zu einer einzigen Adresse statt einer Liste von Zielen.
• Es nimmt den Router des Betreibers aus der Namensauflösung. Das schließt die Umleitungstricks, die einem feindlichen Portal sonst zur Verfügung stünden.
• Es entschärft das Fake-Netz. Steht der Tunnel erst einmal, spielt es kaum noch eine Rolle, wer den Zugangspunkt betreibt.

• Es macht die Angaben nicht ungeschehen. Das Portal kam zuerst. Der Nachname, die Zimmernummer, die Telefonnummer — all das wurde übergeben, bevor der Tunnel überhaupt existierte.
• Es nimmt das Gerät nicht aus dem lokalen Netz. Es bleibt weiterhin angeschlossen, weiterhin auffindbar, weiterhin freigebend, was auch immer der Laptop zu teilen konfiguriert ist.
• Es hilft nicht, solange es aus ist. Captive Portals weigern sich oft, bei laufendem VPN zu laden, sodass daraus eine Routine wird: trennen, einloggen, das Wiederverbinden vergessen.
• Es stoppt nicht die Protokollierung der Anwesenheit. Das Netz zeichnet weiterhin auf, dass sich ein Gerät verbunden hat, wann und wie lange.

Jedes der genannten Probleme beginnt am selben Punkt: dem Beitritt zu einem fremden Netz nach fremden Regeln. Mobile Daten machen diesen Schritt überflüssig. Kein Portal zum Einloggen, kein geteiltes Segment, kein Name, der preisgegeben werden muss — man ist einfach online, sobald man landet.

1. 01
   Vor dem Abflug kaufen

   Reiseziel auswählen, eine Krypto-Rechnung bezahlen, und nach etwa zwei Minuten kommt ein QR-Code zurück. Kein Konto, keine E-Mail, kein Ausweis.

2. 02
   Zu Hause über WLAN installieren

   Den QR-Code scannen, solange man noch in einem vertrauten Netz ist. Die Gültigkeit beginnt mit der ersten Verbindung im Ausland, nicht mit der Installation.

3. 03
   Landen und einschalten

   Die Reise-Leitung für Daten aktivieren und die Heim-SIM für Anrufe und SMS eingelegt lassen. Das Flughafen-WLAN wird zu etwas, an dem man einfach vorbeigeht.

Die vollständige Anleitung steht in eine eSIM mit Krypto kaufen und eSIM installieren & aktivieren. Die eigene Nummer bleibt genau da, wo sie ist — WhatsApp, iMessage und Bank-Codes laufen weiter über die Heim-SIM.

Die ehrliche Lesart dieser Tabelle: Ein VPN über Hotel-WLAN behebt die Spalte Datenverkehr und lässt die Spalte Identität unangetastet. Die eigene Datenverbindung behebt die Spalte Identität — vorausgesetzt, die Verbindung selbst war nie an eine Person gebunden, und genau darum geht es bei einer No-KYC-eSIM. Preise nach Land stehen auf der Übersicht der Reiseziele.

Manchmal gibt es keine Wahl: Die Konferenz streamt nur über ihr eigenes Netz, das Datenpaket ist aufgebraucht, das Hotel ist eine Betonburg ohne Empfang. Eine kurze Liste, die wirklich hilft:

• Dem Portal so wenig wie möglich geben. Will es eine E-Mail-Adresse, dann eine, die nur für Portale existiert. Zimmernummer und Nachname lassen sich kaum vermeiden — der Rest ist in der Praxis meist optional.
• Das Netz beim Verlassen vergessen. Dieser eine Schritt verhindert den stillen Wiedereinstieg Monate später in einem anderen Land.
• Freigaben abschalten, bevor man sich verbindet. AirDrop nur für Kontakte, Datei- und Druckerfreigabe aus, und das Netz unter Windows als „Öffentlich" markieren.
• Niemals eine Zertifikatswarnung wegklicken. Auf einer modernen Seite ist das kein Bug, den man umgeht — es ist der eine Alarm, der noch etwas bedeutet.
• Das VPN an lassen, nachdem das Portal geladen hat. In der Lücke zwischen Einloggen und Wiederverbinden läuft die ganze Sitzung offen.
• Alles Sensible über mobile Daten erledigen. Banking, Dokument-Uploads, Arbeits-Logins — für zwei Minuten auf die eigene Verbindung wechseln und danach zurück.

Das waren sie früher, und genau diese Annahme lässt Leute erst am Flughafen fürs WLAN Schlange stehen. Heute stimmt das nicht mehr. Roaming über den Heimvertrag kostet in vielen Ländern noch immer $5–15 pro Tag, aber ein Prepaid-Reiseprofil kostet ein paar Dollar für die gesamte Reise — und das „kostenlose" WLAN, mit dem man es vergleicht, kostet im Flugzeug oder im Business-Hotel oft $8–25 pro Tag.

• Eine Woche Karten, Messaging und E-Mail passt bequem in 1 GB.
• Videoanrufe und Streaming sind es, die das Datenvolumen wirklich bewegen, nicht das Surfen.
• Hotel-WLAN übernimmt weiterhin die Schwerarbeit bei Backups und Downloads — es geht nicht darum, es nicht mehr zu nutzen, sondern nicht mehr davon abhängig zu sein.

Die Rechnung dazu steht in eSIM vs. Roaming, und die Frage nach der richtigen Größe in wie viel Datenvolumen brauchen Sie im Ausland?.

Dieser Ratgeber wäre unehrlich, würde er beim Verkaufsargument aufhören. Das Café-Netz gegen die eigene Verbindung zu tauschen löst ein bestimmtes Problem und lässt alle anderen genau dort, wo sie vorher waren.

• Das Mobilfunknetz sieht weiterhin ein Gerät an einem Funkmast. Eine grobe Standortangabe gehört zum Mobilfunkdienst dazu; mobile Daten ohne diese Angabe gibt es nicht.
• Die eigenen Konten identifizieren einen weiterhin. Sich über eine neue Verbindung im gewohnten E-Mail-Konto einzuloggen, identifiziert einen bei diesem Anbieter genauso zuverlässig.
• Apps melden sich weiterhin nach Hause. An der Verbindung ändert sich nichts daran, was die Software auf dem Smartphone zu senden entscheidet.
• Es ist keine Verschlüsselung. Eine private Verbindung ersetzt weder TLS noch ein VPN — sie ist die Schicht darunter.

Das vollständige Bedrohungsmodell, einschließlich dessen, was ein Netzbetreiber ableiten kann und was nicht, steht im Ratgeber zu den Grenzen der Privatsphäre und in ist eine eSIM aufspürbar?.