Du klappst dein Laptop in einem Hotelzimmer oder Konferenzsaal auf, klickst auf das WLAN-Symbol, und ein Browserfenster fordert dich auf, dich anzumelden oder Nutzungsbedingungen zu akzeptieren, bevor du online gehen kannst. Meistens ist das völlig normal — man nennt es Captive Portal, und Hotels, Flughäfen und Konferenzzentren nutzen es, um den Zugang zu ihrem Netzwerk zu kontrollieren. Aber genau diese Login-Seite ist auch eine nahezu perfekte Tarnung für einen Angreifer, denn du rechnest damit, eine solche Seite zu sehen, du bist in Eile, und du hast keine Möglichkeit, unabhängig zu überprüfen, wer die Seite, die du vor dir hast, tatsächlich erstellt hat.

Forscher von Microsoft haben kürzlich eine Kampagne offengelegt, die unter dem Namen „CaptiveCrunch“ verfolgt wird, bei der sich Angreifer in Hotel- und Konferenz-WLAN-Netzwerken positionierten und den Datenverkehr manipulierten, den Reisende in genau diesem Moment sahen — sie leiteten Captive-Portal-Sitzungen auf gefälschte Login-Seiten um (darunter überzeugend nachgebaute Microsoft-Anmeldebildschirme), die darauf ausgelegt waren, Passwörter, Gerätecodes und OAuth-Tokens abzugreifen, oder sie ließen gefälschte „Update erforderlich“-Dialoge aufpoppen, die Remote-Access-Malware installierten, mit der Tastatureingaben mitgelesen und Webcam oder Mikrofon aktiviert werden konnten. Es geht nicht darum, dass jede Hotel-WLAN-Anmeldung eine Falle ist — die allermeisten sind es nicht. Es geht darum, dass genau dieser Moment, in dem von dir erwartet wird, etwas in eine unbekannte Seite einzugeben, bevor du überhaupt online bist, ein leichtes Ziel darstellt, und dass es sich lohnt, dafür eine feste Routine zu haben.

Warum dieser Moment sich von gewöhnlichem Phishing unterscheidet

Übliche Phishing-Schulungen sagen dir, du sollst den Absender prüfen, über Links hovern, nach einem Vorhängeschloss-Symbol suchen. Captive Portals hebeln die meisten dieser Gewohnheiten aus. Du bist nicht selbst zu der Seite navigiert — dein Gerät wurde automatisch dorthin umgeleitet. Es gibt keine „Von:“-Adresse zu prüfen. Die Seite lädt oft ohne sichtbare normale Adressleiste (manche Betriebssysteme öffnen sie in einem abgespeckten Browserfenster), und du befindest dich möglicherweise in einem Netzwerk, das du weder kontrollierst noch überprüfen kannst — sodass selbst ein korrekt aussehendes HTTPS-Schloss dir nur sagt, dass die Verbindung zu dieser Seite verschlüsselt ist, nicht dass die Seite selbst legitim ist oder dass das Netzwerk nicht manipuliert, was du siehst.

Wonach ein legitimes Captive Portal fragen sollte — und wonach nicht

Nutze das als deinen Basisfilter, jedes Mal, wenn eine solche Seite erscheint:

  • Normal: dein Nachname und deine Zimmernummer, ein Konferenzausweis oder Anmeldecode, das Akzeptieren der Nutzungsbedingungen, eine E-Mail-Adresse für eine Quittung oder ein per SMS zugesandter Einmalcode, um zu bestätigen, dass du ein zahlender Gast bist.
  • Nicht normal: eine Aufforderung, dich mit deinem Microsoft-, Google-, Apple- oder Firmen-Konto anzumelden. Ein echtes WLAN-System eines Veranstaltungsorts hat keinen legitimen Grund, dein Microsoft-Passwort zu benötigen, um dir Internetzugang zu gewähren.
  • Nicht normal: eine Aufforderung, einen „Gerätecode“ einzugeben, der dir anderswo angezeigt wurde, oder eine Seite, auf der sinngemäß steht: „Gehe zu microsoft.com/devicelogin und gib diesen Code ein.“ Das ist eine echte Microsoft-Funktion (die zum Anmelden bei Geräten wie Smart-TVs verwendet wird), die Angreifer gezielt missbrauchen, weil sie es ihnen ermöglicht, dein Konto zu übernehmen, ohne jemals dein Passwort zu sehen. Wenn dich eine WLAN-Login-Seite durch einen Gerätecode-Ablauf führt, stopp — schließe den Browser und mach nicht weiter.
  • Nicht normal: jedes Pop-up, das dir mitteilt, dein Browser oder Windows benötige dringend ein Update, insbesondere eines, das dich auffordert, einen Befehl zu kopieren und in ein „Ausführen“-Fenster oder ein Terminal einzufügen, um die Verbindung zu „reparieren“. Dieses Muster (manchmal ClickFix genannt) ist eine gängige Methode, um Menschen dazu zu bringen, sich selbst Malware zu installieren, und kein legitimes WLAN-Portal muss dich jemals einen Befehl ausführen lassen.

Schritt für Schritt: sicher verbinden

  1. Bevor du reist, schalte den automatischen Beitritt zu offenen Netzwerken aus. Auf deinem Handy: Einstellungen → WLAN → „Automatisch verbinden“ oder „Auto-Join“ für offene/ungesicherte Netzwerke deaktivieren (der genaue Wortlaut variiert je nach Gerät). Das verhindert, dass sich dein Gerät später unbemerkt automatisch wieder mit einem ähnlich benannten, betrügerischen Netzwerk verbindet.
  2. Vergiss alte öffentliche Netzwerke, die du nicht mehr nutzt. Wenn dein Laptop oder Handy „Airport_Free_WiFi“ oder ein altes Hotelnetzwerk gespeichert hat, lösche es. Angreifer können ein Netzwerk mit demselben Namen ausstrahlen (einen „Evil Twin“), und dein Gerät verbindet sich unter Umständen automatisch damit, weil es den Namen wiedererkennt.
  3. Wenn du dem echten Netzwerk beitrittst, markiere es als öffentlich/nicht vertrauenswürdig. Windows und macOS fragen beide, ob ein neues Netzwerk ein „öffentliches“ oder „privates“/„vertrauenswürdiges“ Netzwerk ist — wähle öffentlich. Das deaktiviert Dateifreigabe und Netzwerkerkennung und schränkt ein, was sonst noch in diesem Netzwerk dein Gerät sehen oder erreichen kann.
  4. Lies die Portal-Seite, bevor du irgendetwas eingibst. Gleiche sie mit der obigen Liste „normal vs. nicht normal“ ab. Wenn sie nach einer Anmeldung über einen Identitätsanbieter oder einem Gerätecode fragt oder dich einen Befehl ausführen lassen will, schließe den Tab und frage stattdessen an der Rezeption oder am Anmeldetisch persönlich nach dem korrekten Netzwerknamen und Passwort — vertraue nicht darauf, dass eine Seite dir sagt, wie das Netzwerk heißt.
  5. Gib nur das Minimum ein, das das Portal benötigt — üblicherweise eine Zimmernummer, deinen Nachnamen oder einen Code, den man dir persönlich ausgehändigt hat. Gib niemals dein E-Mail-Passwort oder ein Konto ein, das du anderswo verwendest.
  6. Sobald du das Portal durchlaufen hast, schalte ein VPN ein, bevor du irgendetwas anderes tust. Das ist der mit Abstand wirksamste Schritt, denn er bedeutet, dass selbst wenn das Netzwerk selbst feindselig ist, ab diesem Punkt alles in einem Tunnel verschlüsselt wird, den der Netzbetreiber (oder ein Angreifer darin) weder mitlesen noch umleiten kann. Tu das, bevor du E-Mails abrufst, dich irgendwo anmeldest oder Banking-Apps öffnest.
  7. Falls du kein VPN hast, hebe sensible Anmeldungen für später auf oder nutze stattdessen die mobilen Daten deines Handys. Wenn du dein Handy, auch nur kurz, in einen persönlichen Hotspot verwandelst und dein Laptop damit verbindest, umgehst du das Netzwerk des Veranstaltungsorts für alles Sensible komplett — Banking, dienstliche E-Mails, das Entsperren des Passwort-Managers.
  8. Wenn du gehst, vergiss das Netzwerk (sowohl auf dem Handy als auch auf dem Laptop), anstatt es unbegrenzt in deiner Liste gespeicherter Netzwerke stehen zu lassen.

Falls du glaubst, bereits darauf hereingefallen zu sein

Wenn du ein Microsoft-, Google- oder anderes Kontopasswort in eine WLAN-Login-Seite eingegeben oder eine Gerätecode-Abfrage abgeschlossen hast, die du nicht selbst initiiert hast, behandle das Konto als kompromittiert: Ändere das Passwort sofort von einem vertrauenswürdigen Netzwerk oder Gerät aus, überprüfe die letzten Anmeldeaktivitäten des Kontos sowie verbundene Geräte/Sitzungen und melde alles ab, was du nicht erkennst, und überprüfe verbundene Apps bzw. „Apps mit Zugriff auf dein Konto“ auf alles, was du nicht autorisiert hast — Device-Code-Phishing verschafft einem Angreifer speziell ein Token, ohne jemals dein Passwort zu benötigen, sodass eine bloße Passwortänderung seinen Zugriff möglicherweise nicht entfernt. Wenn du auf ein „Jetzt aktualisieren“ geklickt oder einen Befehl aus einem Pop-up ausgeführt hast, trenne dieses Gerät vom Internet und behandle es als potenziell infiziert, bis es gescannt oder neu aufgesetzt wurde, da die in dieser Art von Kampagne beschriebenen Payloads Tools umfassten, die Tastatureingaben protokollieren und Webcam oder Mikrofon aktivieren konnten.

Das Fazit

Ein Captive Portal ist nicht von sich aus verdächtig — es ist ein normaler, unspektakulärer Teil des Reisens. Was das Risiko verändert, ist, wonach es dich fragt. Eine Seite, die deine Zimmernummer will, tut einfach ihre Arbeit. Eine Seite, die dein Microsoft-Passwort, einen Gerätecode oder einen in ein Terminal eingefügten Befehl will, ist keine WLAN-Login-Seite mehr — sie ist eine Phishing-Seite, die eine solche als Verkleidung trägt. Den Unterschied zu kennen und für alles Sensible zu einem VPN oder dem Hotspot deines Handys zu greifen, schließt genau den Moment, von dem diese Art von Angriff abhängt.