Kurz gesagt: Hotel-WLAN ist heute nicht automatisch unsicher.

Wenn du dich im Hotel, Flughafen oder Café mit einem öffentlichen WLAN verbindest, bedeutet das nicht automatisch, dass andere Gäste deine Passwörter oder Bankdaten mitlesen können. Die meisten Websites verwenden heute HTTPS. Dadurch wird die Verbindung zwischen deinem Browser und der Website verschlüsselt.

Ein VPN kann zusätzlich sinnvoll sein, weil es den Datenverkehr zwischen deinem Gerät und einem VPN-Endpunkt durch einen verschlüsselten Tunnel führt. Es ist aber kein Pflichtwerkzeug für jede Hotelverbindung und kein vollständiger Schutz vor allen Online-Risiken.

Die wichtigste Reihenfolge lautet deshalb: echtes WLAN prüfen, HTTPS und Warnmeldungen ernst nehmen, Gerät und Accounts absichern – und ein VPN als zusätzliche Schutzschicht einsetzen, wenn es zu deinem Szenario passt.

Was HTTPS im Hotel-WLAN bereits schützt

HTTPS basiert auf TLS. TLS soll einen geschützten Kanal zwischen den kommunizierenden Endpunkten herstellen und bietet dabei Vertraulichkeit und Integrität. Vereinfacht gesagt: Bei einer korrekt aufgebauten HTTPS-Verbindung kann ein Beobachter im lokalen WLAN den geschützten Inhalt nicht einfach im Klartext lesen oder unbemerkt verändern.

Das ist ein wichtiger Unterschied zum alten Bild vom „offenen Hotel-WLAN, in dem jeder alles mitlesen kann“. Dieses Szenario trifft vor allem auf unverschlüsselte Dienste oder fehlerhafte Verbindungen zu – nicht pauschal auf moderne HTTPS-Websites.

Achte deshalb besonders auf:

  • https in der Adresse,
  • Browserwarnungen zu Zertifikaten,
  • ungewöhnliche Weiterleitungen,
  • Login-Seiten, deren Adresse nicht zum erwarteten Anbieter passt.

Wichtig: HTTPS bedeutet nur, dass die Verbindung zu der aufgerufenen Website verschlüsselt ist. Eine betrügerische Website kann ebenfalls HTTPS verwenden. Das Schloss-Symbol ist deshalb kein Echtheitsbeweis für die Website selbst.

Schritt 1: Prüfe, ob du wirklich mit dem Hotel-WLAN verbunden bist

Ein realistisches Risiko in öffentlichen Umgebungen ist ein falsches WLAN mit einem ähnlich klingenden Namen. Frage im Zweifel an der Rezeption nach dem korrekten Netzwerknamen und dem vorgesehenen Login-Verfahren.

Wenn dein Smartphone oder Laptop öffentliche Netze automatisch verbindet, schalte diese Funktion ab. Das BSI empfiehlt ausdrücklich, automatisches Verbinden mit öffentlichen WLAN-Netzen zu deaktivieren.

Nach der Reise kannst du das Hotelnetz aus den gespeicherten WLANs entfernen, wenn du es nicht mehr benötigst.

Schritt 2: Halte Gerät, Browser und Apps aktuell

Ein öffentliches WLAN ist nur ein Teil der Sicherheitskette. Ein ungepatchtes Gerät oder eine veraltete App kann unabhängig vom WLAN ein größeres Risiko darstellen.

Vor der Reise beziehungsweise regelmäßig:

  • Betriebssystem aktualisieren,
  • Browser und Apps aktualisieren,
  • automatische Sicherheitsupdates aktivieren,
  • unnötige Datei- und Freigabefunktionen in öffentlichen Netzen deaktivieren,
  • starke Bildschirmsperre verwenden.

Das BSI empfiehlt, Sicherheitsupdates möglichst schnell einzuspielen. Auch die FTC nennt aktuelle Betriebssysteme, Browser und Sicherheitssoftware als zentrale Schutzmaßnahme.

Schritt 3: Schütze wichtige Konten mit Zwei-Faktor-Authentisierung

Ein VPN kann nicht verhindern, dass ein gestohlenes oder durch Phishing preisgegebenes Passwort missbraucht wird. Für E-Mail, Cloud, soziale Netzwerke und andere wichtige Konten ist deshalb Zwei-Faktor-Authentisierung eine wichtige zusätzliche Schutzschicht.

Das BSI empfiehlt 2FA immer dann einzusetzen, wenn ein Dienst sie anbietet. Selbst wenn ein Passwort in falsche Hände gerät, bleibt damit eine weitere Hürde bestehen.

Wann ein VPN im Hotel-WLAN sinnvoll sein kann

Ein VPN ist vor allem eine zusätzliche Transportverschlüsselung zwischen deinem Gerät und dem VPN-Endpunkt. Das kann sinnvoll sein, wenn du einem lokalen Netz nicht vertraust oder deinen gesamten unterstützten Geräteverkehr über einen einheitlich verschlüsselten Tunnel führen möchtest.

Typische Fälle:

  • du nutzt ein öffentliches WLAN und möchtest eine zusätzliche Schutzschicht gegen lokale Netzbeobachtung,
  • du greifst über ein Firmen-VPN auf Unternehmensressourcen zu,
  • du verbindest dich per VPN mit deinem eigenen Heimnetz,
  • du nutzt Anwendungen, bei denen du nicht sicher beurteilen kannst, wie deren Transportverschlüsselung umgesetzt ist.

Das BSI nennt die VPN-Verbindung zum eigenen Heimnetz ausdrücklich als Möglichkeit, sich in öffentlichen WLAN-Hotspots über einen besonders gesicherten Tunnel zu verbinden.

Welche Grenzen ein VPN hat

Ein VPN schützt nicht automatisch vor:

  • Phishing und gefälschten Login-Seiten,
  • Schadsoftware oder manipulierten Downloads,
  • einem bereits kompromittierten Gerät,
  • Tracking durch Cookies oder angemeldete Nutzerkonten,
  • unsicheren Browser-Erweiterungen,
  • einem betrügerischen Onlinedienst,
  • gestohlenen Zugangsdaten,
  • Fehlern oder Vertrauensproblemen beim VPN-Anbieter selbst.

Ein VPN verschiebt außerdem einen Teil des Vertrauens: Statt nur dem lokalen Internetzugang vertraust du zusätzlich dem VPN-Anbieter und dessen Infrastruktur. „100 % anonym“ oder „vollständig vor Hackern geschützt“ sind deshalb keine seriösen Zusagen.

Hotel-WLAN blockiert das VPN: So gehst du sinnvoll vor

Viele Hotelnetze verwenden ein Captive Portal. Dabei musst du zuerst eine Login- oder Bestätigungsseite des Hotels aufrufen. Das britische NCSC beschreibt für verwaltete VPN-Konfigurationen denselben technischen Ablauf: Für die Portal-Anmeldung muss vor dem Aufbau der VPN-Verbindung eine direkte Browser-Verbindung zum Captive Portal möglich sein. Wenn die Plattform einen Captive-Portal-Assistenten anbietet, soll dieser bevorzugt werden. Die NCSC-Guidance richtet sich an Organisationen; für diesen Ratgeber dient sie deshalb als technische Ablaufquelle, nicht als pauschale Verbraucherempfehlung.

Sinnvolle Reihenfolge:

  1. Mit dem bestätigten Hotel-WLAN verbinden.
  2. Captive Portal beziehungsweise Hotel-Login abschließen.
  3. Erst danach das VPN aktivieren.
  4. Falls die Verbindung scheitert, in der offiziellen VPN-App ein anderes unterstütztes Protokoll testen.
  5. Wenn das Netz den Dienst weiter blockiert, bei wichtigen Vorgängen auf Mobilfunk ausweichen.

Port 443 ist zwar der übliche Port für HTTPS, daraus folgt aber nicht, dass ein Hotel niemals VPN-Verkehr auf diesem Port blockieren oder erkennen kann. Auch Stealth- oder Obfuskationsfunktionen sind keine Garantie, jede Netzwerkfilterung oder Deep Packet Inspection zu umgehen.

Online-Banking und sensible Logins unterwegs

Für Banking oder besonders wichtige Konten zählt nicht allein die Frage „VPN an oder aus?“.

Prüfe vor allem:

  • nutzt du die offizielle App oder die richtige Website,
  • besteht eine fehlerfreie HTTPS-Verbindung,
  • gibt es eine Zertifikats- oder Browserwarnung,
  • ist 2FA aktiviert,
  • ist dein Gerät aktuell und frei von verdächtigen Apps oder Erweiterungen.

Für Mobile Banking empfiehlt das BSI ausdrücklich, öffentliche WLAN-Hotspots nicht zu verwenden. Nutze dafür besser Mobilfunk oder ein anderes vertrauenswürdiges Netz. Ein VPN ändert an dieser vorsichtigen BSI-Empfehlung nichts.

Schnellentscheidung: Brauchst du im Hotel zwingend ein VPN?

Normales Surfen auf aktuellen HTTPS-Websites

Einordnung: VPN optional. HTTPS schützt den eigentlichen Website-Verkehr bereits.

Öffentliches WLAN, dem du nicht vertraust

Einordnung: VPN sinnvoll als zusätzliche Schutzschicht, wenn du zusätzliche Transportverschlüsselung möchtest.

Firmenzugang oder Zugriff auf das eigene Heimnetz

Einordnung: VPN häufig sinnvoll oder vom Betreiber ausdrücklich vorgegeben.

Gefälschte Login-Seite oder Phishing

Einordnung: VPN hilft nicht gegen den eigentlichen Angriff.

Veraltetes oder kompromittiertes Gerät

Einordnung: VPN behebt das Problem nicht.

Was du im Hotel-WLAN nicht tun solltest

  • Ignoriere keine Zertifikats- oder Browserwarnungen.
  • Verlasse dich nicht allein auf ein Schloss-Symbol, um die Echtheit einer Website zu beurteilen.
  • Stelle ein VPN nicht als vollständigen Hacker-, Phishing- oder Tracking-Schutz dar.
  • Installiere keine dubiosen „Hotel-VPN“-Apps aus unbekannten Quellen.
  • Gehe nicht davon aus, dass Port 443 oder ein Stealth-Modus jede Netzsperre umgeht.
  • Schalte 2FA nicht ab, nur weil du ein VPN verwendest.

Fazit: HTTPS zuerst verstehen, VPN als zusätzliche Schicht einsetzen

Öffentliches Hotel-WLAN ist heute nicht automatisch ein offenes Datenleck. HTTPS/TLS schützt den Inhalt moderner Webverbindungen bereits deutlich besser, als ältere Warntexte vermuten lassen.

Ein VPN kann trotzdem sinnvoll sein – vor allem als zusätzliche Schutzschicht in einem nicht vertrauenswürdigen lokalen Netz oder für den Zugriff auf Firmen- und Heimnetze. Es macht dich aber nicht anonym, erkennt keine Phishing-Seite für dich und repariert kein kompromittiertes Gerät.

Wenn du WLAN-Namen prüfst, automatische Verbindungen deaktivierst, Updates einspielst, HTTPS-Warnungen ernst nimmst und 2FA verwendest, deckst du einen großen Teil der realistischen Risiken ab. Ein VPN ergänzt diese Maßnahmen, ersetzt sie aber nicht.

Quellen