Evil-Twin-WLAN auf Reisen: Fake-Hotspots, Captive Portals und eine australische Verurteilung
Jeder Flughafen, jedes Hotel und jede Flugzeugkabine hat heute sein vertrautes Gratis-Netzwerk, und die meisten Reisenden verbinden sich, ohne zwei Mal darüber nachzudenken. Ein Evil-Twin-Access-Point nutzt genau diese Gewohnheit aus: Er ist ein gefälschter Hotspot, der sich den Namen eines legitimen Netzes ausleiht. Geräte, die früher mit dem echten Netz verbunden waren, verbinden sich automatisch mit der Fälschung wieder, und neue Nutzer erkennen den Unterschied nicht, denn ein WLAN-Name trägt keinen Identitätsnachweis.
Von der Anklage zur Verurteilung
Das deutlichste recente Beispiel kommt aus Australien. Im April 2024 meldete eine Fluggesellschaft der Australian Federal Police (AFP) ein verdächtiges Netzwerk, das während eines Inlandsflugs ihr legitimes WLAN imitierte. Am 19. April 2024 durchsuchten Beamte das Handgepäck eines Passagiers am Flughafen Perth und stellten ein tragbares WLAN-Gerät, einen Laptop und ein Mobiltelefon sicher. Am 28. Juni 2024 klagte die AFP den 42-jährigen Westaustralier in neun Punkten an: Er soll an den Flughäfen Perth, Melbourne und Adelaide, in Inlandsflügen und an anderen Orten gefälschte Netze betrieben haben, die eine Seite mit der Aufforderung zeigten, sich mit einem E-Mail- oder Social-Media-Konto anzumelden; die eingegebenen Zugangsdaten wurden auf seinen Geräten gespeichert (AFP)."Um sich mit einem kostenlosen WLAN zu verbinden, sollte man keine persönlichen Daten eingeben müssen - etwa über ein E-Mail- oder Social-Media-Konto", sagte AFP Detective Inspector Andrea Coleman, als die Anklage bekannt gegeben wurde.Die Geschichte endete nicht mit der Anklageschrift. Im November 2025 meldete die AFP, dass der inzwischen 44-jährige Mann vor dem District Court in Perth in 15 Punkten schuldig plädierte und zu sieben Jahren und vier Monaten Haft verurteilt wurde, mit einer Möglichkeit zur Haftentlassung auf Bewährung nach fünf Jahren. Die forensische Analyse seiner Geräte fand Zugangsdaten anderer Personen sowie tausende intime Bilder und Videos, die aus Frauenkonten gestohlen worden waren. Laut AFP handelte es sich um ein tragbares Penetration-Testing-Gerät, das als "Wi-Fi Pineapple" vermarktet wird: Es lauscht auf Geräte, die nach vertrauten Netzen suchen, und klont eines davon automatisch - und die gefälschten Login-Seiten stellten nie tatsächlich einen Internetzugang bereit. Ihre einzige Funktion war das Abgreifen (AFP).
Warum der Trick funktioniert
Die Mechanik ist einfach. Ein Rogue-Hotspot, der mit stärkerer Sendeleistung als das echte Netz funkt, kann dieses aus der Liste drängen, die ein Telefon anzeigt; Kasperskys Analyse des Falls an Bord hält fest, dass die Opfer nur das gefälschte Netz sahen, weil sein Signal stärker war (kaspersky.com). Captive Portals erledigen den Rest: Die Seite, die ein Reisender erwartet - mit Frage nach Zimmernummer, E-Mail-Adresse oder Social-Login - ist genau die Seite, die ein Angreifer nachbauen kann. Manche Situationen bündeln das Risiko. Airlines streamen Unterhaltung zunehmend auf die eigenen Geräte der Passagiere, sodass die Verbindung zum Netz des Flugzeugs Routine wirkt, und in der Luft gibt es keine Mobilfunk-Alternative. Der Kaspersky-Autor nannte die Erfolgschancen eines solchen Schemas "himmelhoch": Zugangsdaten hergeben oder den Flug ohne Unterhaltung verbringen.Was HTTPS ändert - und was nicht
Das Bild ist weniger düster als noch vor einem Jahrzehnt. Wie die US-Behörde FTC anmerkt, verschlüsseln heute die meisten Websites ihre Verbindungen, was ein großer Teil der Erklärung dafür ist, warum sie öffentliche WLAN-Netze generell für sicherer hält als früher (consumer.ftc.gov). Die Transportverschlüsselung leistet die Hauptarbeit: Ein Evil Twin kann den Datenverkehr weiterleiten, aber eine sauber verschlüsselte Verbindung zur echten Seite bleibt für den Mitleser unlesbar. Die Einschränkungen sind genauso wichtig wie die Regel. Verschlüsselung schützt die Verbindung, nicht die Entscheidung davor: Ein Passwort, das in ein gefälschtes Portal eingetippt wird, wird freiwillig übergeben, noch bevor ein Handshake mit dem echten Dienst zustande kommt. Die FTC warnt zudem, dass das Schloss-Symbol nichts darüber aussagt, wer eine Seite betreibt - Betrüger besorgen Zertifikate für gefälschte Seiten genauso. Und selbst wenn alles verschlüsselt ist, sieht der Rogue-Access-Point weiterhin Metadaten: welche Domains aufgelöst werden und welche Server kontaktiert werden. Bemerkenswert ist, dass weder die australischen Ermittlungen noch die veröffentlichten Analysen solcher Kampagnen auf gebrochener Verschlüsselung beruhen. Sie brauchen sie nicht.Eine praktische Grundhaltung
Das alles verlangt keine Paranoia, nur eine kurze Checkliste, die konsequent angewendet wird:- Jedes Portal, das eine Anmeldung per E-Mail, Social-Media-Konto oder Zahlungsdaten verlangt, ist feindlich zu behandeln; echtes Gratis-WLAN braucht das nicht, wie der AFP-Rat nach dem Fall betonte.
- Den genauen Netzwerknamen vor Ort beim Personal klären und in der Luft mit der Karte am Sitzplatz - dem stärksten Signal vertraut man nicht.
- Wo der Tarif es erlaubt, den eigenen Hotspot des Telefons statt fremder Hotspots nutzen.
- Automatisches Verbinden deaktivieren, Geräte nach der Nutzung Netze vergessen lassen und WLAN ausschalten, wenn es nicht gebraucht wird.
- Eigene Verschlüsselung mitbringen: VPN aktivieren, sobald die Verbindung steht, und das gewohnte Tor-Vorgehen für alles Sensible beibehalten; wenn das VPN nicht verbindet, weder E-Mail noch Banking in diesem Netz nutzen.
- Apps, Plug-ins oder Zertifikate, die ein Portal anbietet, nie installieren; bei einer solchen Aufforderung die Verbindung trennen.