Öffentliches WLAN und Zwei-Faktor-Authentifizierung: Was jeder Nutzer wissen sollte
Eine vertraute Situation: die Nutzung des WLANs am Flughafen
Stell dir vor: Du bist am Flughafen, wartest auf deinen Flug, und dir fällt ein, dass du noch schnell eine Überweisung erledigen oder dich in dein geschäftliches E-Mail-Konto einloggen musst. Auf dem Display siehst du „Airport_FreeWiFi – offenes Netzwerk”. Ein Klick, und schon bist du verbunden. Bequem, schnell, kostenlos.
Aber ist es auch sicher?
Diese Situation wiederholt sich täglich millionenfach auf der ganzen Welt: in Cafés, Hotels, Einkaufszentren und Bibliotheken. Öffentliches WLAN gehört heute fast schon zur Grundausstattung. Doch was bequem ist, ist nicht immer sicher, und das gilt insbesondere für offene Netzwerke.
Warum ist öffentliches WLAN so attraktiv und welche Gefahren birgt es?
Der große Vorteil von öffentlichem WLAN liegt auf der Hand: Man muss kein mobiles Datenvolumen verbrauchen, die Verbindung ist in der Regel schnell und kostenlos verfügbar. Auf Reisen, nach Feierabend oder während einer langen Wartezeit kann das eine echte Hilfe sein.
Das Problem beginnt damit, dass diese Netzwerke meistens sind nicht verschlüsselt, oder sie sind durch ein allgemein bekanntes Passwort geschützt, was fast so ist, als wären sie völlig offen. Das bedeutet, dass jeder, der sich im selben Netzwerk befindet, mit der entsprechenden Technologie den Datenverkehr abhören kann.
Stell dir das wie ein Telefongespräch in einem überfüllten Café vor: Wenn du laut sprichst, können auch die Leute am Nachbartisch hören, was du sagst.
Wie können Angreifer ein öffentliches Netzwerk ausnutzen?
Die Fachliteratur zum Thema Cybersicherheit und Organisationen wie die CISA (die US-Behörde für Cybersicherheit und Infrastrukturschutz) oder die OWASP Es wurden mehrere typische Angriffsmethoden identifiziert, die in öffentlichen WLAN-Umgebungen zum Einsatz kommen. Die wichtigsten davon fassen wir hier in leicht verständlicher Form zusammen.
Man-in-the-Middle-Angriff
Die häufigste und schwerwiegendste Bedrohung. Ein Angreifer „schiebt sich” zwischen dein Gerät und das Internet: Alle Daten, die du sendest oder empfängst, werden über den Rechner des Angreifers geleitet, ohne dass du es merkst. Stell dir das so vor, als würde ein Postbote deinen Brief öffnen, ihn lesen, wieder verschließen und weiterleiten, ohne dass du davon etwas mitbekommst.
Falsche Netzwerke (Evil Twin)
Der Angreifer richtet ein Netzwerk ein, dessen Name fast mit dem eines echten, vertrauenswürdigen Netzwerks übereinstimmt. In einem Café können beispielsweise „CaféWifi” und „CafeWifi” nebeneinander existieren. Wenn Sie sich versehentlich mit dem gefälschten Netzwerk verbinden, läuft Ihr gesamter Datenverkehr über den Angreifer.
Session-Hijacking
Dies ist die Angriffsform, auf die man besonders achten sollte und die auch in unserem Video zu diesem Thema ausführlich vorgestellt wird.
Wenn du dich auf einer Website oder in einer App anmeldest, weist der Server deinem Gerät eine eindeutige, temporäre Kennung zu, ein sogenanntes Session-Token. Diese „aktive Verbindung” hält deinen Anmeldestatus aufrecht. Ein Angreifer benötigt oft gar nicht Ihr Passwort: Es reicht aus, wenn er dieses aktive Session-Token erbeutet. Anschließend kann er sich in Ihr Konto einloggen, als wären Sie es selbst – ohne Ihr Passwort und Ihren 2FA-Code zu kennen.
Um es mit einem Vergleich zu veranschaulichen: Es ist wie bei einem geöffneten Tresor – wenn jemand ihn mit bereits geöffneter Tür in die Hände bekommt, braucht er die Kombination nicht mehr, auch wenn ein Schloss daran ist.
Schon eine kurze Anmeldung über das Gäste-WLAN eines Cafés während der Mittagspause kann ausreichen, damit dies geschieht – und du glaubst die ganze Zeit, du hättest deine Angelegenheiten sicher geregelt.
Warum bietet die Zwei-Faktor-Authentifizierung allein keinen vollständigen Schutz?
A Zwei-Faktor-Authentifizierung (2FA) eine der effektivsten und am meisten empfohlenen Sicherheitslösungen. Dies bestätigen alle zuverlässigen Quellen, darunter die NIST (das US-amerikanische Nationale Institut für Standards und Technologie) betont dies ebenfalls. Das Wesentliche an der 2FA ist, dass neben dem Passwort ein zweiter Identifikationsfaktor erforderlich ist: beispielsweise ein per SMS erhaltener Code, eine von einer Authentifizierungs-App generierte Zahl oder ein physischer Sicherheitsschlüssel.
Das bietet in der Tat einen erheblichen Schutz, bietet jedoch nicht in jeder Situation vollständige Sicherheit.
Wann reicht die 2FA nicht aus?
Bei einer Prozessumleitung: Wenn die Anmeldung bereits erfolgt ist und der Angreifer das Sitzungstoken erlangt, bietet die 2FA keinen Schutz mehr. Die Anmeldung ist bereits erfolgt, das Token ist gültig. Genau dieses Szenario lässt sich in öffentlichen WLAN-Netzen am schwersten verhindern.
Im Falle eines Datenabgriffs in Echtzeit: Ein Angreifer kann über ein öffentliches Netzwerk in Echtzeit als „Vermittler” zwischen deinem Gerät und der echten Website fungieren. Du gibst das Passwort und den 2FA-Code ein, und er leitet diese Daten sofort an die echte Website weiter, erlangt das Sitzungstoken und übernimmt dann die Kontrolle über dein Konto. Der gesamte Vorgang dauert nur wenige Sekunden.
Bei einem SIM-Swapping-Angriff: Auch wenn dies nicht direkt mit WLAN zu tun hat, ist es gut zu wissen: Die SMS-basierte 2FA lässt sich umgehen, indem man die Telefonnummer in die Hände bekommt. Daher empfiehlt es sich, anstelle von SMS eine Authentifizierungs-App zu verwenden.
Zusammenfassend lässt sich sagen: Die 2FA ist eine unverzichtbare Sicherheitsmaßnahme, ersetzt jedoch in öffentlichen Netzwerken nicht den umsichtigen Umgang mit dem Netzwerk. Beide zusammen – und nicht anstelle voneinander – funktionieren effektiv.
Welche Konten sind am stärksten gefährdet?
Nicht alle Konten bergen das gleiche Risiko, doch die folgenden sind in öffentlichen WLAN-Netzen besonders anfällig:
- E-Mail-Konten: Die E-Mail-Adresse ist quasi der „Schlüssel” zu fast allen anderen Konten. Ein Großteil der Verfahren zur Passwortwiederherstellung läuft über sie. Ein kompromittiertes E-Mail-Konto kann alle anderen Konten gefährden.
- Bank- und Finanzanwendungen: Es kann zu einem unmittelbaren finanziellen Schaden kommen, wenn ein Angreifer Zugriff auf das Online-Banking oder das Mobile-Banking erhält.
- Social-Media-Konten: Persönliche Daten, Nachrichten und Kontaktnetzwerke können in die falschen Hände geraten. Bei Unternehmen kann ein gehacktes Unternehmensprofil in sozialen Netzwerken erheblichen Reputationsschaden verursachen.
- Unternehmenszugänge (VPN, interne Systeme, E-Mail): In kleinen Unternehmen ist es besonders gefährlich, wenn ein Mitarbeiter über ein öffentliches WLAN auf die Unternehmenssysteme zugreift – dies gefährdet die Daten des gesamten Unternehmens.
Welche Anzeichen können auf ein verdächtiges Netzwerk hindeuten?
Einige Warnzeichen, auf die man achten sollte:
- Ein Netzwerk mit ähnlichem Namen, das jedoch unbekannt ist: Wenn an einem Ort mehrere Netzwerke mit ähnlichen Namen gleichzeitig angezeigt werden (z. B. „HotelWifi” und „Hotel_Wifi”), könnte eines davon gefälscht sein.
- Passwortfreies, offenes Netzwerk: Besonders verdächtig ist es, wenn sich jemand als etwas ausgibt, das normalerweise nicht öffentlich bekannt ist (z. B. der Name einer Bank oder einer staatlichen Einrichtung).
- Sicherheitswarnungen des Browsers: Wenn der Browser eine Warnung wegen einer „unsicheren Verbindung” oder eines Zertifikatsfehlers anzeigt, setze die Arbeit nicht fort.
- Ungewöhnlich langsame Verbindung: Das ist nicht immer ein Anzeichen für einen Angriff, aber bei einem Man-in-the-Middle-Angriff kann es vorkommen, dass der Datenverkehr langsamer ist, da er über einen Zwischenmann geleitet wird.
- Es wird eine Anmeldeseite für das WLAN angezeigt: Das sogenannte „Captive Portal” ist an sich nicht verdächtig, doch wenn es Sie auf eine unbekannte, seltsam aussehende Seite weiterleitet, sollten Sie vorsichtig sein.
Was kannst du zum Schutz beitragen?
Die gute Nachricht: Mit ein paar einfachen Schritten lassen sich die Risiken erheblich verringern. In Übereinstimmung mit den Empfehlungen der CISA und des NIST empfehlen wir Folgendes:
Nutze bei sensiblen Vorgängen mobiles Internet
Wenn du Bankgeschäfte erledigst, dich in das System deines Arbeitgebers einloggst oder eine wichtige E-Mail versendest, schalte das WLAN aus und nutze das Mobilfunknetz. Das Mobilfunknetz lässt sich wesentlich schwerer abhören als ein offenes WLAN.
Nutze ein VPN
A VPN (Virtual Private Network) Es wird ein verschlüsselter „Tunnel” zwischen Ihrem Gerät und dem Server eingerichtet, sodass selbst wenn jemand den Datenverkehr überwacht, er nur verschlüsselte, unlesbare Daten sieht. Die Nutzung eines zuverlässigen, kostenpflichtigen VPN-Dienstes wird dringend empfohlen, insbesondere für geschäftliche Nutzer.
Deaktiviere die automatische WLAN-Verbindung
Viele Smartphones verbinden sich automatisch mit bekannten oder offenen Netzwerken. Es empfiehlt sich, diese Funktion zu deaktivieren, damit du bewusst entscheiden kannst, wann und mit welchem Netzwerk du dich verbindest.
Vermeiden Sie wichtige Anmeldungen in öffentlichen Netzwerken
Die „Nur-eine-Minute”-Einstellung ist am gefährlichsten. Wenn es nicht unbedingt notwendig ist, solltest du dich über ein öffentliches WLAN nicht in dein Bankkonto, dein Firmenkonto oder dein E-Mail-Konto einloggen.
Nutze die Zwei-Faktor-Authentifizierung sinnvoll
Aktiviere die 2FA auf jeden Fall für alle deine wichtigen Konten, insbesondere für E-Mail, Bankkonten und Systeme am Arbeitsplatz. Wählen Sie, wo immer möglich, eine Authentifizierungs-App (z. B. Google Authenticator, Microsoft Authenticator) anstelle eines SMS-basierten Codes, da die App-basierte Lösung widerstandsfähiger gegen bestimmte Angriffe ist.
Halte deine Geräte und Apps auf dem neuesten Stand
Regelmäßige Updates bringen nicht nur neue Funktionen mit sich: Die Behebung von Sicherheitslücken ist eine ihrer wichtigsten Aufgaben. Ein nicht aktualisiertes Gerät weist bekannte Schwachstellen auf, die Angreifer leicht ausnutzen können – sei es in einem öffentlichen Netzwerk oder auch außerhalb.
Fazit: Achtsamkeit ist der beste Schutz
Öffentliches WLAN ist kein Teufelswerk und muss nicht als Albtraum betrachtet werden. Gleichzeitig ist es wichtig zu verstehen, dass ein offenes Netzwerk immer ein höheres Risiko darstellt als die eigene, passwortgeschützte Verbindung zu Hause oder im Büro.
Die Zwei-Faktor-Authentifizierung ist zwar tatsächlich eines der wirksamsten Schutzmittel, die Sie heute nutzen können, aber sie ist kein Wundermittel. In öffentlichen Netzwerken können zusätzliche Risiken auftreten, insbesondere in Form von Session-Hijacking, gegen die 2FA allein keinen vollständigen Schutz bietet.
Die gute Nachricht: Durch die Einführung einiger einfacher Maßnahmen – z. B. die Nutzung eines VPNs und von mobilem Internet bei sensiblen Vorgängen, das Deaktivieren der automatischen Verbindung, regelmäßige Updates und den durchdachten Einsatz von 2FA – lassen sich die meisten Risiken auf ein überschaubares Maß reduzieren.
Cybersicherheit ist nicht nur ein einziges Schloss am Tor, sondern eine Gesamtheit sich gegenseitig verstärkender Schichten. Je mehr Schichten Sie einsetzen, desto schwieriger wird es für diejenigen, die diese umgehen wollen.
Du hast keine Zeit, alle Details durchzulesen? Wir haben das Thema auch in einem kurzen, umfassenden Video behandelt, in dem wir die wichtigsten Punkte herausgearbeitet haben. Hier kannst du es dir ansehen:
