Ob Geschäftsreise, Urlaub oder Konferenz: Das WLAN im Hotel gehört für viele inzwischen so selbstverständlich zum Aufenthalt wie die Zimmerkarte. Genau diese Routine macht öffentliche Netze für Angreifer interessant. Ende Juli 2026 berichtete Microsoft Threat Intelligence über eine Kampagne mit dem Namen „CaptiveCrunch“. Dabei wurden in bestimmten Szenarien Netzwerkzugänge in Hotels, Konferenzzentren und vergleichbaren öffentlich zugänglichen Umgebungen manipuliert, um Nutzer auf gefälschte Seiten umzuleiten, Zugangsdaten abzugreifen und Schadsoftware zu verbreiten. Microsoft ordnet die Aktivität der Gruppe Storm-2945 zu, die als Subcluster von Midnight Blizzard beschrieben wird und in Verbindung mit russischstaatlich unterstützten Akteuren steht.

Die Lehre daraus lautet dennoch nicht, Hotel-WLAN grundsätzlich zu meiden. Eine Verbindung mit einem öffentlichen Netz führt nicht automatisch zu einer Infektion. Gefährlich wird es vor allem dann, wenn Angreifer den Datenverkehr aktiv manipulieren, Nutzer auf täuschend echte Seiten lenken oder sie zur Installation von Software oder vermeintlichen Updates verleiten.

Wenn das Captive Portal zum Einfallstor wird

Viele Hotels und Flughäfen arbeiten mit sogenannten Captive Portals. Nach dem Verbinden öffnet sich eine vorgeschaltete Webseite, auf der Nutzer etwa Nutzungsbedingungen akzeptieren, einen Zugangscode eingeben oder sich mit Zimmernummer und Nachnamen identifizieren. Weil dieser Ablauf normal wirkt, eignet er sich gut für Social Engineering.

Microsoft beschreibt, dass in beobachteten Fällen DNS- und HTTP-Anfragen in solchen Umgebungen manipuliert wurden, sodass Nutzer auf Infrastruktur der Angreifer umgeleitet werden konnten. Dabei traten unter anderem gefälschte Browser- oder Systemupdates sowie Phishing-Seiten auf, die bekannte Dienste imitierten. Teilweise wurden auch legitime Anmeldeverfahren wie Device-Code-Logins missbraucht, um Nutzer zur Autorisierung zu bewegen.

ReliaQuest berichtet in eigenen Analysen ebenfalls über Angriffe auf WLAN-Infrastrukturen in Hospitality- und Veranstaltungsumgebungen in verschiedenen Regionen. Diese Beobachtungen zeigen vor allem eines: Auch scheinbar alltägliche Geschäftsreisen können ein attraktives Ziel sein, wenn darüber Zugang zu E-Mail, Cloud-Diensten oder Unternehmenssystemen möglich wird.

Öffentliches WLAN ist nicht automatisch unsicher

Die Vorstellung, in einem offenen WLAN könne jeder Angreifer sämtliche Passwörter im Klartext mitlesen, ist heute in dieser Form nicht mehr zutreffend. HTTPS schützt die Verbindung zwischen Browser und Webseite in den meisten Fällen wirksam vor dem direkten Mitlesen des Inhalts.

Die US-Verbraucherschutzbehörde FTC weist jedoch darauf hin, dass Verschlüsselung allein kein Vertrauensbeweis ist. Auch betrügerische Webseiten können HTTPS nutzen. Das Schloss-Symbol im Browser bestätigt lediglich die verschlüsselte Verbindung zur aufgerufenen Domain – nicht deren Echtheit oder Seriosität.

Gleichzeitig verhindert HTTPS nicht, dass Nutzer durch Täuschung selbst aktiv Schadsoftware installieren oder Zugangsdaten auf gefälschten Seiten eingeben. Moderne Angriffe setzen daher weniger auf das Abhören von Daten, sondern auf Manipulation des Nutzerverhaltens.

Vor dem Verbinden: Netzwerke bewusst prüfen

Wer ein öffentliches WLAN nutzt, sollte zunächst sicherstellen, dass es tatsächlich zum Hotel, Flughafen oder Veranstalter gehört. Ähnlich benannte oder gefälschte Netzwerke sind ein bekanntes Risiko im Bereich sogenannter „Evil Twin“-Angriffe.

Auch die Anmeldeseite selbst sollte kritisch betrachtet werden. Während die Eingabe von Zimmernummer oder Voucher-Code im Hotelkontext plausibel ist, sind Aufforderungen zur Anmeldung mit Unternehmens-Accounts oder zur Installation von Software ein Warnsignal. Für den Zugang zu einem Gäste-WLAN besteht in der Regel kein technischer Grund, Treiber, Zertifikate oder Sicherheitsprogramme zu installieren.

Microsoft empfiehlt ausdrücklich, Software- oder Updateaufforderungen aus Captive Portals nicht auszuführen. System- und Anwendungsupdates sollten ausschließlich über die offiziellen Update-Mechanismen erfolgen.

Sensible Vorgänge besser über Mobilfunk

Für besonders schützenswerte Aktivitäten ist das eigene Mobilfunknetz oft die sicherere Alternative. Dazu zählen Online-Banking, der Zugriff auf Unternehmenssysteme, Passwortänderungen oder administrative Tätigkeiten in Cloud-Umgebungen.

Ein persönlicher Hotspot, eine eSIM oder ein firmeneigenes Mobilfunkgerät reduziert die Abhängigkeit von fremd verwalteter Netzwerkinfrastruktur deutlich.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt grundsätzlich, öffentliche WLANs nur mit Vorsicht zu nutzen und sensible Daten möglichst nicht darüber zu übertragen. VPN-Verbindungen können dabei eine zusätzliche Schutzschicht darstellen, ersetzen jedoch keine grundlegenden Sicherheitsmaßnahmen auf dem Endgerät.

Gerade für Geschäftsreisende ist eine klare Trennung sinnvoll: Alltägliche Nutzung wie Nachrichten oder Websuche ist weniger kritisch als der Zugriff auf Unternehmensdaten oder administrative Systeme.

VPN: Schutzschicht, aber kein Allheilmittel

Ein Virtual Private Network verschlüsselt den Datenverkehr zwischen Endgerät und VPN-Endpunkt. Dadurch wird es für Dritte im lokalen Netzwerk deutlich schwieriger, Inhalte mitzulesen oder zu manipulieren.

Für Unternehmen kann ein zentral gesteuertes Always-on-VPN sinnvoll sein, insbesondere wenn zusätzlich DNS-Anfragen über den Tunnel geleitet werden. Dies reduziert die Angriffsfläche in unsicheren Netzwerken.

Allerdings schützt ein VPN nicht vor allen Angriffen. Wer auf einer gefälschten Seite Zugangsdaten eingibt oder eine manipulierte Datei ausführt, kann auch bei aktiver VPN-Verbindung kompromittiert werden. Das BSI betont daher, dass VPNs eine ergänzende Schutzmaßnahme sind, aber keine vollständige Sicherheitslösung.

Identitäten werden zum eigentlichen Ziel

Moderne Angriffe zielen zunehmend auf Identitäten statt auf klassische Passwörter. Microsoft beschreibt Szenarien, in denen Device-Code- oder OAuth-Verfahren missbraucht werden, um Nutzer zur Freigabe von Sitzungen zu bewegen.

Das ist besonders kritisch, weil die Anmeldung dabei häufig auf echten Plattformen erfolgt und dadurch vertrauenswürdig wirkt. Wird eine Sitzung oder ein Token übernommen, kann der Angreifer unter Umständen auf Cloud-Dienste zugreifen, ohne das Passwort erneut zu benötigen.

Microsoft empfiehlt daher phishing-resistente Authentifizierungsverfahren wie Passkeys sowie eine Einschränkung von Device-Code-Logins, sofern diese nicht zwingend erforderlich sind. Auch das britische National Cyber Security Centre (NCSC) betont die Bedeutung von Multi-Faktor-Authentifizierung und aktuellen Systemen als Basismaßnahme.

Brücke zur deutschen Wirtschaft: Mittelstand im Fokus

Für die deutsche Wirtschaft ist dieses Bedrohungsbild besonders relevant. Deutschland ist stark geprägt von mittelständischen Unternehmen, die international tätig sind und regelmäßig Mitarbeiter auf Geschäftsreisen entsenden. Gerade diese Kombination aus globaler Mobilität und oft dezentraler IT-Struktur erhöht die Angriffsfläche.

Hinzu kommt: Viele Unternehmen befinden sich mitten in der Umsetzung von NIS2-Anforderungen und der allgemeinen Digitalisierung von Geschäftsprozessen. Cloud-Dienste, mobile Arbeitsplätze und hybride Identitätsmodelle sind längst Standard geworden – damit verlagert sich Sicherheit zunehmend auf das Endgerät und die Identität des Nutzers.

Für deutsche Industrieunternehmen, Maschinenbauer, Beratungen und Dienstleister bedeutet das konkret: Ein kompromittiertes Reisegerät ist nicht nur ein individuelles Risiko, sondern kann potenziell Zugang zu Produktionsdaten, Kundeninformationen oder geistigem Eigentum eröffnen.

Besonders kritisch ist dabei, dass Angriffe wie CaptiveCrunch nicht zwingend hochkomplexe Exploits benötigen. Oft reicht die Kombination aus vertrauenswürdiger Umgebung (Hotel, Konferenz), alltäglichem Verhalten (WLAN-Login) und gezielter Täuschung.

Geschäftsreisen brauchen klare Sicherheitsregeln

Unternehmen sollten Reise-IT daher nicht allein der individuellen Vorsicht überlassen. Wer mit Firmenlaptops unterwegs ist, arbeitet regelmäßig außerhalb kontrollierter Netzwerke. Damit werden Endgeräteschutz, Identitätsmanagement und Zugriffssteuerung zu zentralen Sicherheitsfaktoren.

Sinnvoll sind unter anderem:

• zentral verwaltete WLAN- und VPN-Richtlinien
• aktuelle Endpoint-Security und automatische Updates
• Conditional-Access-Regeln für Cloud-Dienste
• Einschränkung nicht vertrauenswürdiger Netzwerke auf Unternehmensgeräten

Microsoft empfiehlt, öffentliche und Hospitality-Netze grundsätzlich als nicht vertrauenswürdig zu behandeln.

Auch Awareness spielt eine wichtige Rolle. Entscheidend ist nicht nur die Warnung vor öffentlichem WLAN, sondern das Verständnis konkreter Angriffsmuster: gefälschte Updates, unerwartete Login-Aufforderungen oder Terminal-ähnliche Anweisungen gehören nicht in den Kontext eines Hotelportals.

Fazit: Öffentliche Netze sind situative Vertrauensräume

Hotel-WLAN ist weder grundsätzlich gefährlich noch grundsätzlich sicher. Entscheidend ist, dass Nutzer die Kontrolle über die Infrastruktur abgeben. Moderne Schutzmechanismen wie HTTPS, MFA und Endpoint-Security bieten eine solide Basis, werden jedoch zunehmend durch Angriffe auf Identitäten und Nutzerverhalten umgangen.

Für Unternehmen – insbesondere in der deutschen Wirtschaft mit hoher internationaler Reisetätigkeit – bedeutet das: Mobile Arbeit ist kein Randthema mehr, sondern ein zentraler Bestandteil der Sicherheitsarchitektur.

Die wirksamste Verteidigung bleibt mehrschichtig: Netzwerke prüfen, keine unerwartete Software installieren, sensible Vorgänge über Mobilfunk abwickeln, VPN gezielt einsetzen, starke Authentifizierung nutzen und Systeme konsequent aktuell halten.

Sicherheit endet nicht im Unternehmensnetzwerk – sie begleitet den Mitarbeiter auf jeder Reise.