Fake-WLAN-Hotspot (Evil Twin): So funktioniert er und so erkennst du ihn

Du setzt dich ins Café, öffnest die WLAN-Liste und siehst Cafe_WiFi. Ein Tipp, vielleicht noch eine Anmeldeseite, und du bist online. Was du nicht siehst: ob dieses Netz dem Café gehört oder jemandem am Nachbartisch mit Laptop und billigem WLAN-Adapter.

Dieses zweite Netz ist ein Evil Twin, ein „böser Zwilling“: ein gefälschter Hotspot, der den Namen eines echten Netzes kopiert. Der Trick ist alt und funktioniert trotzdem noch, weil WLAN so entscheidet, welchem Netz es vertraut.

Warum Handys auf einen kopierten Namen hereinfallen

• WLANs werden über ihren Namen erkannt. In einem offenen Netz beweist nichts, dass der Hotspot namens Cafe_WiFi dem Café gehört. Jeder kann jeden Namen aussenden.
• Handys verbinden sich wieder mit bekannten Namen. Warst du schon einmal im Flughafen_WLAN_Gratis, kann sich dein Handy überall mit jedem Netz dieses Namens verbinden, ohne zu fragen.
• Meist gewinnt das stärkere Signal. Ein Zwilling, der näher an dir steht als der echte Router, wirkt wie die bessere Wahl.
• Ein Passwort an der Wand hilft nicht. Wenn jeder Gast das Passwort kennt, kennt es auch der Angreifer und kann einen Zwilling mit gleichem Namen und gleichem Passwort aufsetzen.

Was ein gefälschter Hotspot sehen und tun kann

Wer einen Hotspot betreibt, ob echt oder gefälscht, sitzt zwischen dir und dem Internet. Bei einem gefälschten ist diese Person feindlich.

Die Tabelle enthält auch die gute Nachricht. Fast alles, was du heute tust, läuft über HTTPS, das den Inhalt der Seiten schützt; deshalb hält die US-Handelsbehörde FTC öffentliches WLAN für diesen Inhalt für „normalerweise sicher“. Viele Websites nutzen außerdem HSTS (RFC 6797): Der Browser lehnt dann unsichere Verbindungen zu ihnen ab und lässt dich Zertifikatsfehler nicht wegklicken. Die eigentliche Macht eines Zwillings liegt im Rest: in der Liste der Orte, die du besuchst, in Seiten ohne HTTPS und in allem, was du auf seinen Seiten eintippst. Was genau der Betreiber sieht, steht in unserem Artikel Was kann der WLAN-Besitzer sehen?, und das Tool Was dein WLAN sieht zeigt es an deiner eigenen Verbindung.

Warnzeichen

Keines davon beweist einen Angriff, aber jedes ist ein Grund, kurz innezuhalten:

• Zwei Netze mit demselben Namen, eines offen und eines mit Schloss, oder derselbe Name zweimal mit unterschiedlicher Signalstärke.
• Eine Anmeldeseite, die zu viel will: dein E-Mail- oder Social-Media-Passwort, eine Kartennummer für „kostenloses“ WLAN, oder eine App oder ein Profil zum Installieren.
• Eine Zertifikatswarnung im Browser auf einer Seite, die sonst funktioniert. Geh raus, klick sie nicht weg.
• Ein fast richtiger Name: Flughafen-WLAN-Gratis, wenn das offizielle Netz Flughafen WLAN Gratis heißt.
• Seiten, die leicht anders aussehen, oder eine Anmeldeseite deiner Bank unter einer Adresse, die du nicht kennst.

So schützt du dich, Schritt für Schritt

1. Frag das Personal nach dem genauen Netznamen und ob es ein Passwort gibt. Aushänge und Kassenbons helfen auch.
2. Lass dein Handy nicht mehr automatisch in offene Netze. Öffne unter Android Einstellungen › Netzwerk & Internet › Internet, tippe auf das Zahnrad neben einem gespeicherten öffentlichen Netz und schalte Automatisch verbinden aus, oder tippe nach der Reise auf Entfernen.
3. Gib nie Konto-Passwörter oder Kartennummern auf einer WLAN-Anmeldeseite ein. Die Seite eines echten Cafés oder Hotels will, dass du Bedingungen akzeptierst, oder fragt nach Zimmernummer oder einem Code vom Bon.
4. Behandle Zertifikatswarnungen als Stoppschild. Oft sind sie das einzige sichtbare Zeichen, dass jemand dazwischensitzt.
5. Nutze für Heikles mobile Daten, etwa Online-Banking oder Passwortänderungen, wenn es geht.
6. Nutze ein VPN, das sich selbst verbindet, in Netzen, denen du nicht traust, mit dem Kill Switch von Android, damit beim Verbinden nichts rausgeht. Wie das geht, steht in unserem Artikel zum Kill Switch unter Android.

Was ein VPN gegen einen Evil Twin tut, und was nicht

Es tut:

• Alles zwischen deinem Handy und dem VPN-Server verschlüsseln, sodass der Zwilling nur eine verschlüsselte Verbindung sieht statt deiner Websites.
• DNS-Anfragen im Tunnel beantworten, damit der Zwilling dich nicht zu falschen Adressen schicken kann.
• Sich nicht auf Betrüger einlassen. WireGuard schließt einen Handshake nur mit einem Server ab, dessen öffentlichen Schlüssel die App bereits kennt; ein gefälschter Hotspot kann sich also nicht als VPN-Server ausgeben.

Es tut nicht:

• Dich schützen, bevor es verbunden ist. Die falsche Anmeldeseite kommt zuerst, und ein VPN kann dich nicht davon abhalten, dort etwas einzutippen.
• Phishing stoppen. Gibst du dein Passwort auf einer gefälschten Seite ein, hilft keine Verschlüsselung.
• Ein bereits infiziertes Handy reparieren.

Und WPA3 und „sichere“ Netze?

Neuere WLAN-Sicherheitsstandards helfen, mit Grenzen. Laut der Wi-Fi Alliance bietet WPA3-Personal „mehr Schutz vor Versuchen, das Passwort zu erraten“, und Wi-Fi Enhanced Open verschlüsselt offene Netze. Keiner von beiden beweist, wer den Hotspot betreibt, wenn das Passwort öffentlich ist oder es keins gibt. Firmennetze mit persönlicher Anmeldung können ihre Identität beweisen, aber nur, wenn dein Handy so eingestellt ist, dass es das Zertifikat des Netzes prüft. Das BSI empfiehlt in seinen Sicherheitstipps für öffentliches WLAN ebenfalls, in fremden Netzen ein VPN zu nutzen und WLAN nur einzuschalten, wenn du es brauchst.

Wie PryVPN im öffentlichen WLAN hilft

• Automatisch verbinden in nicht vertrauenswürdigen WLANs. Schalte unter Einstellungen › Automatisch verbinden und WLAN die Option In nicht vertrauenswürdigen WLANs ein, dann verbindet sich PryVPN in jedem Netz, das du nicht als vertrauenswürdig markiert hast. Details stehen im Hilfeartikel zu öffentlichem WLAN.
• Anmeldeseiten mit Absicht. PryVPN erkennt die Anmeldeseite des Netzes und bittet dich, dich zuerst anzumelden, statt still zu scheitern (WLAN-Anmeldeseiten). Das ist auch dein Moment zu prüfen, ob die Seite nur fragt, was ein Café fragen würde.
• DNS im Tunnel. Anfragen gehen an den Resolver auf unserem Server, der sie aus dem Arbeitsspeicher beantwortet und nicht protokolliert.

Häufige Fragen

Kann ein Fake-Hotspot meine Passwörter stehlen?

Nur, wenn du sie ihm gibst: indem du sie auf seinen Seiten eingibst, eine Zertifikatswarnung wegklickst oder eine Seite ohne HTTPS nutzt. Mit HTTPS und VPN sieht er verschlüsselte Daten, die er nicht lesen kann.

Ist ein passwortgeschütztes Café-WLAN vor Evil Twins sicher?

Nicht wirklich. Steht das Passwort auf der Karte, kann der Angreifer es auch nutzen. Das Passwort hält Fremde draußen; es beweist nicht, welcher Hotspot der echte ist.

Schützt mich HTTPS in einem Fake-WLAN?

Es schützt den Inhalt der Seite, solange du nie eine Zertifikatswarnung wegklickst. Es verbirgt nicht, welche Seiten du besuchst, und hält dich nicht davon ab, auf einer falschen Anmeldeseite etwas einzugeben.

Sollte ich öffentliches WLAN einfach meiden?

Für Heikles sind mobile Daten die einfachste Wahl. Für alltägliches Surfen ist öffentliches WLAN mit HTTPS und VPN in Ordnung. Unser Ratgeber, ob öffentliches WLAN sicher ist, geht weiter ins Detail.

Wenn du ein VPN willst, das sich von selbst einschaltet, sobald du ein unbekanntes Netz betrittst, kannst du bei der Beta von PryVPN mitmachen.

Einen Fehler entdeckt? Schreib uns an support@pryvpn.com. Wir korrigieren ihn und aktualisieren das Datum.