Öffentliches WLAN im Urlaub: Warum kostenlose Hotspots zur Datenfalle werden können

Hand aufs Herz: Wann hast du dich das letzte Mal in ein öffentliches WLAN eingeloggt, ohne nachzudenken? Im Hotel, am Flughafen, im Café um die Ecke — das kostenlose Netz gehört zum Reisen wie der Reisepass. Genau da liegt das Problem. Eine aktuelle Studie aus 2026 bringt es auf eine unbequeme Zahl: 87 Prozent der deutschen Reisenden nutzen öffentliches WLAN, teils sogar für sensible Dinge wie Online-Banking. Bequem? Klar. Konsequenzen? Denken die wenigsten mit. Dieser Ratgeber zeigt die unsichtbaren Risiken hinter dem Gratis-Hotspot — und was du dagegen tun kannst, ganz ohne Technik-Nerd zu sein.

Die unsichtbaren Risiken öffentlicher Hotspots

Man-in-the-Middle-Angriffe

Stell dir vor, jemand sitzt im Café am Nachbartisch und liest still mit, was du tippst. Genau das passiert bei einem Man-in-the-Middle-Angriff — nur digital.

Der Hacker schiebt sich unsichtbar zwischen dein Gerät und das WLAN-Netz und fängt heimlich ab, was du sendest: Passwörter, Kreditkartennummern, Sitzungscookies.

Merkst du davon etwas? Nein. Die Verbindung fühlt sich völlig normal an. Im Klartext: Alles, was du eintippst, kann in fremden Händen landen — ohne jedes Warnsignal.

Gefälschte Hotspots (Evil Twins)

Noch perfider sind die sogenannten Evil Twins: gefälschte Hotspots, die den Namen eines echten Netzwerks imitieren — zum Beispiel das Gratis-WLAN deines Hotels oder des Flughafens. Der Name klingt vertraut, also verbindest du dich.

In Wahrheit gehört die Leitung einem Kriminellen, der Passwörter und Kreditkartennummern abfängt. Wie real die Gefahr ist, zeigt ein dokumentierter Fall auf dem Delta-Flug 591: Ein Passagier betrieb an Bord ein gefälschtes WLAN namens „Delta WiFi Fast“ samt Phishing-Seite für Google-Anmeldedaten — das FBI ermittelte nach der Landung.

Die Verbraucherzentrale warnt zudem vor einem verwandten Trick: Öffentliche Netze speichern Geräte oft automatisch. Kriminelle können einen Router mit exakt demselben Netzwerknamen aufstellen, damit sich dein Smartphone ohne dein Zutun verbindet — und auf schädliche Seiten gelenkt wird.

Malware und Kontoübernahme

Es bleibt nicht beim Mitlesen. Über ungesicherte WLANs lässt sich auch Schadsoftware einschleusen — etwa, wenn du angeblich eine „erforderliche“ App oder ein Plugin installieren sollst, um Zugang zum Netz zu bekommen.

Und gestohlene Sitzungscookies erlauben es Hackern, sich in deine Konten einzuloggen, ohne dein Passwort überhaupt zu kennen.

Die Verbraucherzentrale bringt es nüchtern auf den Punkt: Öffentliche WLANs in Zug, Café oder Hotel sind in der Regel nicht verschlüsselt — im schlimmsten Fall wird dein Gerät aktiv infiziert.

Die Zahlen: Wie verbreitet das Problem wirklich ist

87 Prozent sind nur die Spitze des Eisbergs. Eine Auswertung untersuchte rund 84.000 WLAN-Signale an den Spielorten der WM 2026 in Mexiko: Etwa 17 Prozent verfügten über eine schwache oder gar keine Verschlüsselung.

Lediglich 2,9 Prozent aller analysierten öffentlichen Zugänge nutzen den aktuellen Sicherheitsstandard WPA3 — der Rest setzt auf veraltete Technik.

Dazu passt der Befund von Zimperium: Seit Anfang 2025 haben die Sicherheitsforscher weltweit mehr als fünf Millionen unsichere öffentliche WLAN-Netze entdeckt. Jeder dritte Mobilnutzer wählt sich im Urlaub in solche ungesicherten Hotspots ein.

Das Verhalten macht es den Angreifern leicht. Laut einer Studie aus 2026 nutzen zwei Drittel der Menschen hierzulande öffentliche WLAN-Hotspots — und 20 Prozent glauben tatsächlich, diese Netze seien sicher. Fast 12 Prozent verbinden sich täglich oder mehrmals pro Woche mit offenen Hotspots; 18,4 Prozent erledigen darüber Online-Banking, 10,2 Prozent wickeln Kreditkartenkäufe ab.

Eine Saily-Umfrage vom Oktober 2025 bestätigt den Trend: 71 Prozent der Deutschen surfen auf Reisen über öffentliches WLAN, trotz der bekannten Risiken.

Die Folgen sind messbar: Fast jeder zweite Deutsche ist laut der Studie schon einmal Opfer von Reisebetrug geworden; mehr als ein Drittel der Betroffenen verlor im Schnitt über 500 Euro.

Die vielleicht wichtigste Zahl kommt zum Schluss: Nur 6 Prozent der Befragten verschlüsseln ihre Daten im öffentlichen WLAN mit einem VPN. 87 Prozent nutzen die Hotspots — aber kaum jemand schützt sich. Genau diese Lücke lässt sich schließen.

Konkrete Schutzmaßnahmen: So surfst du im Urlaub sicher

Automatische Verbindungen deaktivieren und Netzwerknamen prüfen

Der erste Schutz dauert keine Minute: Schalte die automatische WLAN-Verbindung auf deinem Gerät aus. Genau das rät auch der Thüringer Datenschutzbeauftragte (TLfDI), der bereits im September 2025 zur Umsicht bei öffentlichen WLANs mahnte.

Frag im Hotel oder Café außerdem nach dem exakten Netzwerknamen — nicht nach dem, der in deiner Liste am stärksten aussieht. Wähle nur passwortgeschützte Netze und vergleiche den Namen mit der Angabe des Personals. So nimmst du gefälschten Hotspots die Grundlage.

Keine sensiblen Transaktionen im offenen WLAN

So verlockend es ist, auf der Hotelterrasse noch schnell die Kreditkartenabrechnung zu prüfen: Lass es. Das BSI empfiehlt, vertrauliche Daten über ein fremdes WLAN am besten gar nicht erst abzurufen — und wenn es unvermeidbar ist, nur über ein VPN.

Konkret heißt das: kein Online-Banking, keine Kreditkartenkäufe, keine Passwort-Logins im offenen Netz. Wirf außerdem einen Blick auf die Adresszeile: „https“ am Anfang verschlüsselt immerhin die Verbindung zur einzelnen Website — mehr aber auch nicht.

Wie du Bankgeschäfte unterwegs generell absicherst, liest du in unserem Ratgeber Sicher unterwegs auf Reisen.

VPN als wirksamster Schutz — und worauf du achten solltest

Ein VPN ist der stärkste Schutz im öffentlichen WLAN — keine Werbebotschaft, sondern die Einschätzung offizieller Stellen. Laut BSI werden bei einem virtuellen privaten Netzwerk sämtliche Daten verschlüsselt übertragen; dadurch sinkt das Risiko unbefugten Zugriffs, Ausspähens oder Datenabflusses.

Die Polizeiliche Kriminalprävention empfiehlt die VPN-Nutzung für öffentliche WLAN-Hotspots ausdrücklich. Und die Verbraucherzentrale bringt es auf den Punkt: Am sichersten surfst du mit einem VPN-Client. Das österreichische Portal onlinesicherheit.gv.at ergänzt, dass öffentliche Netze oft veraltete Verschlüsselungsstandards wie WPA oder WEP nutzen — oder gleich ganz auf Verschlüsselung verzichten.

Eine geeignete Option unter mehreren ist CyberGhost VPN. Der Dienst bringt Server in 100 Ländern mit, verschlüsselt per 256-Bit-AES (Militärstandard), verfolgt eine strikte No-Logs-Richtlinie und bietet einen integrierten Kill-Switch sowie automatischen WLAN-Schutz — auf bis zu 7 Geräten gleichzeitig.

Für Reisende besonders praktisch: Sobald sich dein Gerät mit einem neuen Netzwerk verbindet, aktiviert sich das VPN automatisch, ganz ohne manuellen App-Start. Reißt die Verbindung ab, blockiert der Kill-Switch den Datenverkehr, damit nichts ungeschützt ins Netz geht.

Die Einstiegshürde ist bewusst niedrig: CyberGhost lässt dich den Dienst vorab testen — kostenlos und ohne Kreditkarte.

Die Testversion läuft 24 Stunden auf Windows und macOS, 3 Tage auf Android und 7 Tage auf iOS; Abonnements kommen mit einer 45-Tage-Geld-zurück-Garantie. Beim Preis hilft Klartext: Das 26-Monats-Abo startet bei 2,19 € im Monat (56,94 € für die ersten 26 Monate), das Monatsabo kostet 11,99 €.

Was sagen Nutzer? Auf Trustpilot kommt CyberGhost auf eine 4-Sterne-Bewertung aus über 24.059 Kundenstimmen (Stand August 2026). In Reddit-Berichten fällt häufig das Wort „einsteigerfreundlich“: Die Oberfläche lasse sich auf einen Satz bringen — großer gelber Knopf, drücken, verbunden.

Ein Reisender berichtet, das VPN habe ihm im öffentlichen WLAN unterwegs ein gutes Gefühl gegeben; andere empfehlen es ausdrücklich als Upgrade gegenüber kostenlosen VPNs.

Kleine Extras, die viel bewirken

Ein paar Handgriffe, die kaum Zeit kosten, aber viel ausmachen:

• Aktiviere die Zwei-Faktor-Authentifizierung überall, wo sie angeboten wird.
• Halte Betriebssystem und Apps aktuell — Updates schließen bekannte Sicherheitslücken.
• Lösche das WLAN nach der Nutzung aus der Liste gespeicherter Netze, damit sich dein Gerät nicht unbemerkt wieder verbindet.
• Schalte bei Nichtgebrauch den Flugmodus ein — das unterbindet automatische Verbindungen zuverlässig.

Was ein VPN nicht kann — ehrliche Grenzen

Fair bleiben: Ein VPN minimiert das Risiko erheblich, aber es eliminiert es nicht vollständig. Das BSI spricht bewusst von „minimieren“, nicht von „verhindern“. Auch bei CyberGhost lohnt ein nüchterner Blick: Die Muttergesellschaft Kape Technologies hat in ihrer Historie eine Adware-Vergangenheit, ein Punkt, der in Reddit-Diskussionen regelmäßig auftaucht.

Zwischen den Plattformen gibt es zudem Feature-Unterschiede; fürs Gaming ist das VPN wegen möglicher Ping-Anstiege nur bedingt geeignet. Auf Trustpilot finden sich vereinzelte Hinweise auf längere Server-Verbindungszeiten.

Grundsätzlich gilt: Kein VPN schützt dich vor Phishing-Mails, zu schwachen Passwörtern oder einem bereits befallenen Gerät. Vorsicht auch bei kostenlosen VPN-Anbietern — dort lauern oft schwache Verschlüsselung oder Datenweitergabe.

Genau deshalb raten viele Nutzer zu einem bezahlten Dienst, statt sich auf Gratis-Lösungen zu verlassen.

Sicher ankommen — auch digital

Öffentliches WLAN bleibt bequem, aber die Bilanz spricht eine klare Sprache: 87 Prozent der Reisenden nutzen die Hotspots, nur 6 Prozent schützen ihre Verbindung mit einem VPN. Drei Maßnahmen reichen, um dein Risiko drastisch zu senken.

Erstens: WLAN-Autoverbindung deaktivieren und den Netzwerknamen beim Personal prüfen. Zweitens: keine sensiblen Logins oder Bankgeschäfte ohne VPN. Drittens: ein VPN mit automatischem WLAN-Schutz und Kill-Switch nutzen — die kostenlose Testversion von CyberGhost macht den Einstieg leicht.

Wer drei Minuten in diese Grundregeln investiert, kommt nicht nur physisch, sondern auch digital sicherer an.