Öffentliches WLAN im Café, am Flughafen und im Hotel: was der Betreiber sieht und wann ein VPN hilft

Kurz gesagt: Deine Passwörter und Chats liest im Café kaum jemand mit: HTTPS schützt sie, und Messenger verschlüsseln Nachrichten selbst. Der Betreiber des Hotspots sieht aber, welche Seiten du aufrufst, und manche Netze kennen auch deine Telefonnummer. Hier steht, was im offenen Netz wirklich droht, was ein VPN davon abdeckt und wie du dich verbindest, ohne auf ein gefälschtes Netz hereinzufallen.

Was der Betreiber sieht

• Wohin du dich verbindest. Serveradressen, Uhrzeiten und Datenmengen sind immer sichtbar.
• Namen der Seiten. Sie verraten DNS-Anfragen, wenn dein Gerät den DNS des Netzes nutzt, und der Seitenname am Anfang fast jeder HTTPS-Verbindung (das Feld SNI). Encrypted Client Hello verbirgt diesen Namen, ist aber noch selten.
• Inhalte von HTTPS-Seiten: nein. Passwörter, E-Mails, Formulare und Chats in Messengern sieht der Betreiber nicht. Seiten ohne HTTPS sieht er und kann sie verändern, aber davon gibt es kaum noch welche.
• Dein Gerät. Seine Hardware-Adresse (MAC), wenn das System sie nicht verbirgt; ein Windows-PC meldet dem Netz meist auch seinen Namen.

Fast dasselbe sieht zu Hause dein Internetanbieter, ausführlich in was der Anbieter sieht. Der Unterschied: Mit dem Café oder Hotel hast du keinen Vertrag, und ein Netz mit demselben Namen kann jeder aufspannen. Fragt die Anmeldeseite nach Telefonnummer oder E-Mail, kann der Betreiber alles Sichtbare damit verknüpfen. Mit VPN bleibt dahinter nur eine Verbindung zum VPN-Server und ihr Umfang; dass du ein VPN nutzt, ist weiterhin sichtbar.

Welche Gefahren real sind

• Netz-Doppelgänger. Ein Hotspot mit dem Namen des Cafés oder einem ähnlichen, etwa mit angehängtem _Free. Dein Handy verbindet sich von selbst mit einem bekannten Namen, wenn das Netz gespeichert und offen ist.
• Anmeldeseite, die zu viel will. Telefonnummer, Zimmernummer oder ein Code per SMS sind normal. Dein E-Mail- oder Social-Media-Passwort, Kartendaten oder eine App „für den Zugang“ sind Zeichen eines gefälschten Netzes.
• Zertifikatswarnungen. Meldet der Browser nach der Anmeldung im Netz bei einer normalen Seite, die Verbindung sei nicht sicher, mach nicht weiter. Dann steht jemand zwischen dir und der Seite.
• Andere im selben Netz. Freigegebene Ordner, Netzwerkerkennung unter Windows, AirDrop für alle: Im Hotel teilst du das Netz mit den anderen Gästen.
• Alte Apps ohne Verschlüsselung. Selten, aber es gibt sie: Alles, was sie senden, ist sichtbar und veränderbar.

Was ein VPN abdeckt und was nicht

Auch umgekehrt gilt: Mit VPN sieht die Seitennamen nicht mehr das Café, sondern der VPN-Server. Wähle also einen Dienst, dem du vertraust. Was wir speichern, steht in unserer Datenschutzerklärung.

So verbindest du dich, Schritt für Schritt

1. 1Frag beim Personal oder auf einem Schild nach dem Netznamen. Wähl kein Netz nach Signalstärke: Ein Doppelgänger ist oft näher und lauter als das echte.
2. 2Melde dich auf der Anmeldeseite an. Bis dahin lässt das Netz nur diese Seite durch, also kann sich das VPN nicht verbinden. Öffnet sich die Seite nicht und ist in deinem VPN ein Kill Switch aktiv, schalte das VPN für die Anmeldung aus. Erscheint die Seite nicht von selbst, öffne im Browser eine beliebige Adresse, die mit http:// beginnt.
3. 3Gib nur ein, was die Anmeldung braucht: Telefonnummer, SMS-Code, Zimmernummer. Anmeldung über einen anderen Dienst nur, wenn die Adresse im Browser wirklich zu diesem Dienst gehört.
4. 4Schalte gleich nach der Anmeldung das VPN ein und öffne unseren Leak-Test: Er sollte die Adresse des VPN-Servers zeigen, nicht die des Hotspots.
5. 5Schließ die Freigaben. Fragt Windows nach dem Netzwerktyp, wähl „Öffentliches Netzwerk“. Am Mac schalte die Dateifreigabe aus; AirDrop auf iPhone und Mac stell auf „Nur für Kontakte“.
6. 6Wenn du fertig bist, tipp auf „Dieses Netzwerk ignorieren“. Ein gespeicherter offener Netzname lässt dein Handy woanders mit einem Doppelgänger verbinden.

Einstellungen, die immer helfen

• Private WLAN-Adresse auf iPhone und iPad. Einstellungen → WLAN → ⓘ neben dem Netz. Seit iOS 14 standardmäßig an, und seit iOS 18 wechselt die Adresse in offenen Netzen und Netzen mit Anmeldeseite zusätzlich regelmäßig. Schalte sie nur für ein Netz aus, in dem die Anmeldung sonst scheitert.
• Zufällige MAC-Adresse unter Android. Seit Android 10 für jedes Netz standardmäßig an; prüfen kannst du das in den Netzwerkdetails.
• Automatisch mit offenen Netzen verbinden. Schalte es aus und lösch Netze, die du nicht mehr nutzt.
• System- und Browser-Updates. Korrekturen an der Zertifikatsprüfung kommen nur mit ihnen.
• Deine eigenen mobilen Daten. Fürs Banking und Wichtiges ist ein Hotspot vom eigenen Handy sicherer als fremdes WLAN.

Unsere App ProxysVPN gibt es für iPhone, iPad, Android, Mac, Windows und Linux, alle Wege auf der Download-Seite. Die Oberfläche der App gibt es bisher nur auf Englisch und Russisch.

Häufige Fragen