Du checkst ein, verbindest dich mit dem Gäste-WLAN, das Anmeldefenster springt auf. Zimmernummer, Nachname, Haken bei den Nutzungsbedingungen. Und dann steht da: „Ihr Browser muss aktualisiert werden.“ Genau an dieser Stelle entscheidet sich, ob dein Urlaub digital sauber bleibt.
Microsoft hat Anfang August vor einer Angriffswelle auf Hotelnetze gewarnt. Die Kampagne heißt CaptiveCrunch, und sie nutzt etwas aus, das du bei jeder Reise mindestens einmal machst: das Einwählen ins Gäste-WLAN.
Wie der Angriff funktioniert
Beim Verbinden mit einem öffentlichen Netz öffnet sich ein sogenanntes Captive Portal – die Anmeldeseite des Hotels. Angreifer manipulieren im Hotelnetz die DNS- und HTTP-Einstellungen und leiten den Datenverkehr ausgewählter Gäste auf eine nachgebaute Seite um. Statt der Anmeldung erscheint dort eine Aufforderung: Erst noch ein Browser-Update installieren. Oder ein Windows-Update. Oder einen „Sicherheitscheck“ durchlaufen.
Wer klickt, holt sich Schadsoftware aufs Gerät. Die schneidet Tastatureingaben mit, sammelt Dateien und Zugangsdaten ein, macht Bildschirmfotos und greift auf Kamera und Mikrofon zu. Getarnt als harmloser Systemdienst bleibt sie auch dann noch drauf, wenn du längst wieder zu Hause bist.
Warum dich das angeht, auch wenn du kein Ziel bist
Microsoft ordnet die Kampagne der Gruppe Storm-2945 zu, einem Ableger von Midnight Blizzard. Westliche Sicherheitsbehörden verbinden diese Akteure seit Jahren mit dem russischen Auslandsgeheimdienst. Im Visier stehen entsprechend keine Pauschalreisenden, sondern Menschen mit Zugang zu interessanten Informationen: Behörden, Diplomatie, Forschung, Technologieunternehmen.
Klingt weit weg. Ist es aber nur bedingt. Im selben Hotelnetz sitzt die Familie aus dem Nachbarzimmer, und was einmal funktioniert, landet erfahrungsgemäß schnell bei ganz normalen Kriminellen. Sicherheitsforscher beobachten seit Juni eine zweite Kampagne, bei der manipulierte WLAN-Gateways in Hotels gefälschte Microsoft-365-Anmeldeseiten einblenden. Dabei wird sogar die Zwei-Faktor-Absicherung teilweise ausgehebelt, weil die Angreifer den Anmeldevorgang über Gerätecodes umleiten.
Die praktische Konsequenz: Behandle jedes öffentliche Netz als unsicher. In Hotels, Ferienanlagen, am Flughafen, im Kongresszentrum.
Die eine Regel, die du dir merken musst
Es gibt einen Satz, der den größten Teil des Risikos abdeckt: Updates kommen nie über eine WLAN-Anmeldeseite.
Nicht von Windows. Nicht von macOS. Nicht von Chrome oder Firefox. Kein Betriebssystem und kein Browser meldet sich beim Einwählen in ein Gästenetz. Wenn du dort eine Aufforderung zum Aktualisieren siehst, ein Download-Fenster oder die Bitte, einen Befehl zu kopieren und auszuführen, dann hast du kein Update vor dir, sondern einen Angriff.
Was du dann machst: Fenster schließen, WLAN trennen, nichts installieren. Fertig.
Der eigene Hotspot schlägt jedes Hotel-WLAN
Der beste Schutz kostet dich nichts extra. Nutz statt des Hotelnetzes einfach den mobilen Hotspot deines Smartphones. Innerhalb der EU gilt Roaming zu Inlandskonditionen, außerhalb hilft eine vorab gebuchte eSIM fürs Zielland – die bekommst du für wenige Euro und aktivierst sie in fünf Minuten.
Ein Einwand kommt an dieser Stelle immer: Der Hotspot frisst zu viel Datenvolumen. Stimmt fürs Streaming, nicht für den Alltag. Mails, Messenger, Karten und Buchungsapps brauchen erstaunlich wenig. Und für den Serienabend im Hotelzimmer kannst du das Gäste-WLAN ruhig nehmen – solange du dich dort nirgendwo anmeldest und nichts installierst.
Wenn es doch das Hotel-WLAN sein muss, dann nur mit aktivem VPN. Und Online-Banking, Behördenzugänge und dienstliche Konten lässt du dort besser komplett außen vor.
Zweite Falle: Nachrichten, die deinen Namen kennen
Der Angriff aufs Netz ist nur eine Seite. Die andere kommt per Mail, SMS oder WhatsApp. Das BSI zählt gefälschte Hotel-Mails, Zahlungsaufforderungen per SMS und Messenger-Nachrichten zu den größten Risiken für Reisende.
Und die sind gut gemacht. In diesen Nachrichten steht oft dein vollständiger Name, dein Reisedatum, deine Buchungsnummer, manchmal sogar der Name der Unterkunft. Der Grund: Datenlecks bei Buchungsportalen und Dienstleistern. Gestohlene Reisedaten lassen sich noch Jahre später verwenden. Genau deshalb wirkt die Aufforderung, eine angeblich offene Restzahlung binnen zwölf Stunden zu überweisen, so echt.
Die Gegenmaßnahme ist unspektakulär: Klick keinen Link aus der Nachricht an, scann keinen QR-Code, ruf keine Nummer an, die dort steht. Öffne stattdessen die App des Anbieters oder tipp die Adresse des Portals selbst ein. Steht dort keine offene Forderung, gibt es auch keine.
Die halbe Stunde vor der Abreise
Der wichtigste Teil deiner digitalen Reisevorbereitung passiert zu Hause. Vier Punkte, die du in einer halben Stunde abhakst:
Updates einspielen, solange du im sicheren Heimnetz bist. Wer unterwegs nichts installieren muss, klickt auch nichts Falsches an.
Zwei-Faktor oder Passkeys aktivieren für E-Mail-Postfach, Reiseportale und Bezahldienste. Das Postfach hat Vorrang – wer da reinkommt, setzt alle anderen Passwörter zurück.
Backup ziehen. Dann ist ein verlorenes Handy nur ein finanzieller Schaden und kein persönlicher.
Reiseunterlagen offline verfügbar halten, als PDF oder ausgedruckt. Hilft auch, wenn schlicht das Netz fehlt.
Dritte Falle: Kleinkram mit großer Wirkung
Zwei Dinge, die kaum jemand auf dem Zettel hat. Erstens die öffentlichen USB-Ladestellen an Flughäfen und Bahnhöfen: Nimm ein reines Ladekabel ohne Datenleitungen mit oder gleich eine eigene Powerbank. Zweitens die Urlaubsfotos. Wenn du live postest, weiß nicht nur dein Freundeskreis, wo du gerade bist, sondern auch, wo du gerade nicht bist. Der Rückblick nach der Heimkehr reicht völlig.
Und nach dem Urlaub?
Typisch für die ersten Wochen danach sind Nachrichten über angebliche Mahnungen, gesperrte Konten oder eingeleitete Ermittlungen. Die setzen auf den Stress der ersten Arbeitstage, wenn du sowieso hundert Mails abarbeitest.
Nimm dir deshalb zehn Minuten: einmal durch die Kontoauszüge und Kreditkartenabrechnungen der Reisezeit, und ein Passwortwechsel für alle Konten, die du unterwegs in fremden Netzen genutzt hast.
Fazit
Das klingt alles wenig spektakulär – und genau das ist der Punkt. Ein gefälschtes Update-Fenster im Hotel-WLAN erkennst du sofort, sobald du weißt, dass es dort nichts zu suchen hat. Eine Zahlungsaufforderung mit echter Buchungsnummer verliert ihre Wirkung, sobald du sie in der App gegenprüfst. Und die vier Handgriffe vor der Abreise dauern kürzer als das Kofferpacken.
Reisesicherheit beginnt eben nicht am Gate. Sie beginnt auf dem Sofa.
