Du sitzt im Hotel, im Zug oder im Café und findest ein WLAN mit dem erwarteten Namen. Genau dieser vertraute Name kann jedoch zu einem gefälschten Zugangspunkt gehören. Ich zeige, wie ein Evil-Twin-Angriff funktioniert, welche Warnzeichen ernst zu nehmen sind und wie du Smartphone, Laptop und Smart-Home-Geräte wirksam schützt.
Ein gefälschter Hotspot wirkt vertraut, ist aber nicht automatisch sicher
- Prinzip: Ein Angreifer kopiert den Namen eines bekannten WLANs und lockt Geräte in sein Netz.
- Ziel: Häufig geht es um Zugangsdaten, Sitzungs-Cookies, persönliche Daten oder manipulierte Webseiten.
- Warnzeichen: Doppelte Netzwerknamen, unerwartete Anmeldeseiten und Zertifikatswarnungen solltest du ernst nehmen.
- Schutz: Automatische WLAN-Verbindungen deaktivieren, HTTPS nutzen und sensible Vorgänge über mobile Daten erledigen.
- Im Heimnetz: WPA3 oder WPA2, aktuelle Firmware und ein getrenntes Gäste- oder IoT-Netz senken das Risiko deutlich.
Was bei einem Evil-Twin-Angriff genau passiert
Ein sogenannter Evil-Twin-Angriff, international oft als evil twin attack bezeichnet, beginnt mit einem manipulierten WLAN-Zugangspunkt. Der Angreifer gibt ihm denselben oder einen sehr ähnlichen Netzwerknamen wie dem echten Hotspot, etwa „Flughafen-WLAN“ oder „Hotel-Gäste-WLAN“.
Der Name eines WLANs, die sogenannte SSID, ist kein Identitätsnachweis. Ein Smartphone kann nicht allein anhand dieser Bezeichnung erkennen, ob der Zugangspunkt tatsächlich zum Hotel, Café oder Bahnhof gehört. Wird das gefälschte Signal stärker ausgestrahlt oder erscheint das echte Netz kurzzeitig nicht, verbindet sich ein Gerät unter Umständen automatisch.
Vom WLAN zur gefälschten Anmeldeseite
Nach der Verbindung kann eine sogenannte Captive-Portal-Seite erscheinen. Sie sieht der echten Login-Seite täuschend ähnlich und fordert beispielsweise eine E-Mail-Adresse, ein WLAN-Passwort oder sogar Zahlungsdaten. Besonders gefährlich wird es, wenn Nutzer dasselbe Passwort auch für andere Dienste verwenden.
Der Angreifer kann den Datenverkehr beobachten, DNS-Anfragen manipulieren oder auf nachgeahmte Webseiten umleiten. HTTPS schützt viele Inhalte, verhindert aber nicht jede Täuschung. Sichtbar bleiben unter anderem Verbindungsmetadaten, und eine gefälschte Seite kann trotz verschlüsselter Verbindung versuchen, Zugangsdaten abzugreifen.
Warum öffentliche WLANs besonders attraktiv sind
In öffentlichen Netzen kennt kaum jemand die exakte technische Konfiguration. Außerdem erwarten Nutzer dort Anmeldeseiten und wechselnde Netzwerknamen. Das macht es leichter, einen falschen Zugangspunkt plausibel erscheinen zu lassen. Nach Einschätzung der Verbraucherzentrale sind öffentliche WLAN-Verbindungen häufig nicht ausreichend geschützt, weshalb sensible Vorgänge dort besondere Vorsicht erfordern.
Welche Hinweise auf einen gefälschten Zugangspunkt hindeuten
Ein einzelnes Warnzeichen beweist noch keinen Angriff. Mehrere Auffälligkeiten gleichzeitig sollte ich jedoch nicht ignorieren. Das gilt besonders dann, wenn das WLAN an einem Ort plötzlich anders reagiert als bei früheren Besuchen.
| Beobachtung | Mögliche Bedeutung | Meine Empfehlung |
|---|---|---|
| Der gleiche WLAN-Name erscheint zweimal | Es kann ein zweiter Zugangspunkt in der Nähe aktiv sein. | Nicht automatisch verbinden und beim Betreiber nachfragen. |
| Das Netz verlangt unerwartet ein Passwort | Der Hotspot könnte eine gefälschte Anmeldeseite verwenden. | Keine Zugangsdaten eingeben und Verbindung trennen. |
| Das Sicherheitsverfahren passt nicht | Ein bekanntes WPA2- oder WPA3-Netz wird plötzlich als offen angezeigt. | Das Netz meiden, bis die Angaben bestätigt sind. |
| Browser meldet ein ungültiges Zertifikat | Die aufgerufene Seite könnte manipuliert oder nachgeahmt sein. | Warnung niemals einfach wegklicken. |
| Verbindung bricht ab und wird sofort neu angeboten | Ein Gerät könnte zum Wechsel in ein anderes Netz verleitet werden. | WLAN deaktivieren und die Verbindung manuell prüfen. |
Auch ein ungewöhnlich starkes Signal ist kein Beweis für Sicherheit. Ein Angreifer kann seinen Zugangspunkt näher am Zielgerät platzieren. Entscheidend ist für mich daher nicht die Signalstärke, sondern wer das Netz betreibt und ob die Verbindung technisch plausibel bleibt.
So schützt du Smartphone, Laptop und Smart Home
Die wirksamste Maßnahme ist oft erstaunlich unspektakulär. Ich verlasse mich unterwegs nicht auf den Namen eines WLANs, sondern kombiniere mehrere Schutzschichten. Keine einzelne Einstellung macht einen öffentlichen Hotspot automatisch vertrauenswürdig.
- Automatische WLAN-Verbindungen abschalten. Deaktiviere das automatische Verbinden mit offenen Netzwerken und lösche alte Hotspots, die du nicht mehr benötigst.
- Sensible Vorgänge verschieben. Online-Banking, wichtige Passwortänderungen und den Zugriff auf geschäftliche Konten erledige ich bevorzugt über mobile Daten oder ein bekanntes VPN.
- VPN realistisch einordnen. Ein seriöses VPN verschlüsselt den Weg vom Gerät zum VPN-Server. Es schützt aber nicht vor einer gefälschten Login-Seite und ersetzt weder Updates noch einen wachsamen Blick auf die Adresse.
- HTTPS-Warnungen beachten. Eine Zertifikatswarnung ist kein Schönheitsfehler. Ich breche den Vorgang ab, statt die Warnung zu bestätigen.
- Mehrfaktor-Authentifizierung verwenden. Selbst wenn ein Passwort abgefangen wird, erschwert ein zweiter Faktor den direkten Kontozugriff. Noch besser sind Passkeys, sofern der Dienst sie anbietet.
- Geräte aktuell halten. Betriebssysteme, Browser und Sicherheitssoftware sollten zeitnah aktualisiert werden. Veraltete Geräte reagieren oft anfälliger auf Manipulationen im Netzwerk.
Besondere Regeln für das Heimnetz
Zu Hause ist ein Evil Twin weniger wahrscheinlich als in einem Café, aber nicht unmöglich. Verwende für den Router WPA3 oder mindestens WPA2, ein langes eigenes WLAN-Passwort und aktuelle Firmware. Die Standard-Zugangsdaten des Routers gehören sofort geändert.
Für Smart-TVs, Kameras, Lautsprecher und andere IoT-Geräte empfehle ich ein separates Gäste- oder IoT-Netz. So kann ein kompromittiertes Gerät nicht ohne Weiteres auf Computer, NAS oder Routerverwaltung zugreifen. Das BSI empfiehlt ebenfalls, vernetzte Geräte und Gästezugänge getrennt vom eigentlichen Heimnetz zu betreiben.
Lesen Sie auch: DoS-Angriff erkennen und abwehren - Schutz für Netzwerke
Was Unternehmen zusätzlich brauchen
In Firmen reicht ein gemeinsames WLAN-Passwort nicht aus. WPA2-Enterprise oder WPA3-Enterprise mit 802.1X und geprüften Serverzertifikaten ermöglicht eine gegenseitige Authentifizierung. Wichtig ist, dass Mitarbeitende Zertifikatswarnungen nicht einfach bestätigen und die IT verdächtige Zugangspunkte überwacht.
Was du bei einem Verdacht sofort tun solltest
Wenn du dich versehentlich mit einem falschen Hotspot verbunden hast, zählt vor allem ein ruhiges und schnelles Vorgehen. Nicht jede Verbindung bedeutet automatisch, dass ein Konto kompromittiert wurde. Hast du dich aber auf einer verdächtigen Seite angemeldet, solltest du von einem vertrauenswürdigen Gerät aus handeln.
- WLAN sofort deaktivieren und die Verbindung trennen.
- Das Netzwerk auf dem Gerät löschen oder „Dieses Netzwerk ignorieren“ auswählen.
- Wenn du Zugangsdaten eingegeben hast, die betreffenden Passwörter unverzüglich ändern.
- Aktive Sitzungen und angemeldete Geräte im Konto prüfen und unbekannte Sitzungen abmelden.
- Bei Bank- oder Zahlungsdaten die Bank beziehungsweise den Zahlungsdienst informieren.
- Gerät und Browser aktualisieren und mit einer seriösen Sicherheitslösung prüfen.
- Den Betreiber des Ortes und bei einem konkreten Schaden gegebenenfalls die Polizei informieren.
Ein Passwortwechsel über dasselbe verdächtige WLAN wäre keine gute Idee. Ich nutze dafür mobile Daten oder ein nachweislich sicheres Heim- beziehungsweise Firmennetz. Falls Schadsoftware installiert wurde oder Geschäftsdaten betroffen sind, sollte die IT-Abteilung einbezogen werden, bevor das Gerät weiter produktiv genutzt wird.
Gefälschter Hotspot, Rogue AP und Phishing sind nicht dasselbe
Die Begriffe werden häufig vermischt, beschreiben aber unterschiedliche Schwerpunkte. Für die richtige Reaktion hilft eine klare Abgrenzung.
| Bedrohung | Worum es geht | Typische Gegenmaßnahme |
|---|---|---|
| Evil Twin | Ein fremder Zugangspunkt imitiert ein bekanntes WLAN. | Netzwerk manuell prüfen, automatische Verbindung deaktivieren. |
| Rogue Access Point | Ein unerlaubter Zugangspunkt wird in oder nahe einer Organisation betrieben. | WLAN-Überwachung, Netzwerksegmentierung und IT-Meldung. |
| Phishing | Eine gefälschte Webseite oder Nachricht soll Zugangsdaten stehlen. | Adresse prüfen, keine Warnungen ignorieren, Mehrfaktor-Authentifizierung aktivieren. |
| Deauthentifizierungsangriff | Eine bestehende WLAN-Verbindung wird gezielt unterbrochen. | WLAN verlassen, mobile Daten nutzen und verdächtige Vorfälle melden. |
In der Praxis können diese Methoden kombiniert werden. Ein Verbindungsabbruch kann beispielsweise dazu führen, dass ein Gerät anschließend den stärkeren, aber falschen Zugangspunkt auswählt. Deshalb ist eine Unterbrechung allein kein Beweis, aber ein guter Grund für eine manuelle Kontrolle.
Die kleine WLAN-Regel, die unterwegs den größten Unterschied macht
Ein vertrauter Netzwerkname ist bequem, aber kein Sicherheitsbeweis. Meine wichtigste Regel lautet deshalb kein Banking, keine Passwortänderung und kein sensibler Login in einem unbekannten öffentlichen WLAN, wenn mobile Daten verfügbar sind.
Für den Alltag genügt meist eine Kombination aus deaktivierter Auto-Verbindung, aktuellen Geräten, Mehrfaktor-Authentifizierung und einem getrennten Heimnetz für Smart-Home-Technik. Das nimmt dem gefälschten Hotspot seine wichtigste Stärke: die Annahme, dass ein bekannt aussehender Name automatisch Vertrauen verdient.
