Sicherheit im öffentlichen WLAN-Hotspot, der nicht sicher sein kann

Es hat sich hier eine schlechte Angewohnheit eingebürgert! Wir achten nicht mehr darauf, welche Seiten wir öffnen und wo wir Passwörter eingeben, wenn wir in öffentlichen WLAN-Netzen angemeldet sind. In letzter Zeit ist der Trend aufgekommen, in Cafés zu arbeiten. Wenn nötig, fragen wir beim Personal nach dem WLAN-Passwort und los geht’s. Wir melden uns bei den paar E-Mail-Konten an, die wir nutzen, werfen einen Blick in die Firmendatenbank, bezahlen ein paar Rechnungen, kaufen im Netz ein paar Kleinigkeiten, trinken den Kaffee aus und schon sind wir weg. Öffentliche WLAN-Netze begleiten uns auch den Rest des Tages. Wir verbinden uns im Zug, im Einkaufszentrum, wenn wir die Straße entlanggehen – das Telefon verbindet sich abwechselnd mit allen WLANs, die wir „treffen“ ... Und so vertrauen wir den ganzen Tag. Es stellt sich jedoch die Frage: Sollten wir das? Ist öffentliches WLAN sicher?

Leider nein, ohne VPN ist es nicht sicher. Bevor wir zu allem kommen, was uns bei der Nutzung öffentlicher WLAN-Netze bedrohen kann, schauen wir uns an, wie die Verbindung funktioniert.

WLAN (kurz für Wireless Fidelity) steht für drahtlose Kommunikation in Computernetzen, die im lizenzfreien Frequenzband 2,4 GHz oder 5 GHz stattfindet (das bedeutet, dass der Anbieter für deren Betrieb keine Gebühren zahlen muss, er muss lediglich die Regeln der Tschechischen Telekommunikationsbehörde (ČTÚ) einhalten). WLAN-Netze können auf zwei Arten aufgebaut werden. Wir befassen uns mit öffentlichen WLAN-Netzen, deshalb interessiert uns das Infrastrukturnetz. Dieses enthält einen oder mehrere AP (Access Points), die ein Signal in die weitere Umgebung senden. Dieses Signal empfangen die AP einzelner Nutzer. Damit die Nutzer die gesendeten Netze finden und unterscheiden können, senden die AP das Signal über eine Kennung, die SSID (in der Praxis bedeutet das, dass das WLAN eine eindeutige Nummer hat, die bei der Suche angezeigt wird).

Verschlüsselung von Webseiten

Vielleicht haben Sie die Verschlüsselung von Webseiten bemerkt, vielleicht auch nicht. Manche Webseiten beginnen mit http, andere mit https. In der URL-Zeile sehen wir auch oft ein Schloss und den Hinweis „Sicher“. Was bedeutet das und worin liegen die Unterschiede?

HTTP

Wenn die Adresszeile mit diesem Protokoll beginnt, ist die Webseite nicht verschlüsselt. Die gesamte Kommunikation, die darüber stattfindet, kann abgefangen und verändert werden. Ein Angreifer kann nicht nur Anmeldedaten abfangen, sondern auch Cookies, die die Anmeldung auf der Webseite aufrechterhalten.

HTTPS

Webseiten, die mit dem Protokoll https beginnen, sind zum Beispiel mit einem Schloss und dem Hinweis „Sicher“ gekennzeichnet. Das bedeutet, dass die Webseite verschlüsselt ist und die eingegebenen Daten nicht mitgelesen werden können. Wenn Sie sich auf einer Webseite anmelden, sollten Sie stets prüfen, ob die Adresszeile mit https beginnt. Ist das nicht der Fall, stellt die Seite ein Risiko für Sie dar. Leider ist auch die Absicherung durch das Protokoll HTTPS nicht hundertprozentig. Ein eventueller Hacker kann trotzdem Cookies abfangen, die auf der Webseite verbleiben und die Anmeldung aufrechterhalten. Die Kommunikation selbst bleibt jedoch verborgen, und ihre Entschlüsselung wäre schwierig. 

Welche Gefahren bestehen bei der Nutzung ungesicherter öffentlicher WLAN-Netze?

Angriff MITM (Man In The Middle)

MITM-Angriffe funktionieren so, dass sich der Angreifer in den Weg des Datenstroms stellt, den Sie eingeben (zum Beispiel zwischen Ihren Computer und den E-Mail-Server), und die Daten nicht nur mitliest, sondern auch verändern kann. Würde er beispielsweise die Daten abfangen, die Sie beim Online-Banking eingeben, könnte er am Ende Geld auf ein ganz anderes Konto überweisen. Angreifen lässt sich zum Beispiel über Viren, die Sie auf Ihr Gerät herunterladen, oder auch über das Antivirenprogramm selbst. Einen MITM-Angriff erkennt ein normaler Nutzer nur sehr schwer, es gibt aber verschiedene Plugins, die sich im Browser installieren lassen und bei der Erkennung eines Angriffs helfen können. Das Online-Banking ist jedoch gut geschützt, deshalb versuchen Betrüger, die Anmeldeseite selbst nachzubilden und Sie dazu zu bringen, Ihre Zugangsdaten einzugeben. Einen solchen Angriff nennt man Phishing, also das „Angeln“ nach Passwörtern. Solche Angriffe drohen allerdings unabhängig von der Art der Verbindung. 

Angriff Session Hijacking

Dieser Angriffstyp droht vor allem auf Webseiten mit ungesichertem Protokoll http. Wenn Sie sich auf einer Seite anmelden, wird eine sogenannte Session erstellt. Gelingt es dem Angreifer, Ihre Anmeldung abzufangen (dazu muss er nur die Cookies abfangen), kann er sich als Sie ausgeben. Einen laufenden Angriff erkennt man auch hier nur sehr schwer, vorbeugen lässt er sich durch die Nutzung eines VPN (siehe unten).

„Gefälschtes“ WLAN

Der Angreifer richtet ein öffentliches WLAN ein, das so aussieht, als würde es zum Beispiel von einem Bahnhof, einem Flughafen oder einem Café bereitgestellt. Nachdem Sie sich damit verbunden haben, spioniert er Ihre Zugangsdaten und weitere Daten aus. Schutz vor diesem Angriff bietet, nur mit Netzen eine Verbindung herzustellen, für die Sie ein Passwort erhalten haben.

Sicher im nichtöffentlichen WLAN

Wie kann man sich vor solchen Angriffen aus öffentlichen, ungesicherten WLAN-Netzen schützen? Lässt sich in dieser gefährlichen Welt öffentlicher WLAN-Netze wenigstens eine etwas sichere „Oase“ schaffen? Die folgenden Schritte helfen dabei.

Aktualisieren Sie

Achten Sie darauf, dass das von Ihnen verwendete System stets aktuell ist, ebenso die Programme auf Ihrem Computer oder die Apps, die auf Ihren Mobiltelefonen installiert sind. Vergessen Sie auch nicht die Aktualisierung des Antivirenprogramms. Achten Sie beim Herunterladen jeglicher Anwendungen immer darauf, dass sie aus originalen Quellen stammen.

Schalten Sie die automatische WLAN-Verbindung aus

Schalten Sie auf Computern und mobilen Geräten die Möglichkeit aus, dass sich das Gerät selbstständig mit verfügbaren öffentlichen WLAN-Netzen verbindet. Unterstützen können Sie das auch, indem Sie die WLAN-Suche ausschalten, die auf Telefonen praktisch ständig eingeschaltet ist. Sie sparen nicht nur Akku, sondern schützen auch Ihre Privatsphäre und Ihr Gerät.

Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung funktioniert so, dass Sie sich, wenn Sie sich zum ersten Mal von einem neuen Gerät aus auf einer Seite anmelden, neben der Eingabe von Benutzername und Passwort zusätzlich auf eine andere Weise bestätigen müssen. Ein Beispiel ist die Eingabe eines Codes, den Sie per SMS erhalten. Nutzen Sie sie dort, wo Sie Ihr Konto stärker schützen möchten. Beginnen Sie gleich bei Ihrer E-Mail. Wenn ein Angreifer die Zugangsdaten zu Ihrer E-Mail erlangt, braucht er keine Passwörter für andere Webseiten oder Apps mehr, er kann diese einfach über die E-Mail zurücksetzen.

Lassen Sie die Firewall eingeschaltet

Eine Firewall haben heute alle Betriebssysteme bereits installiert, daher besteht Ihre einzige Aufgabe darin, sie eingeschaltet zu lassen. Die Firewall ist im Grunde eine Mauer, die zwischen dem Gerät des Nutzers und dem Internet steht. Es handelt sich um ein Softwarewerkzeug, das die gesamte elektronische Datenkommunikation kontrolliert, die in den Computer oder das Computernetz gelangt. So schützt sie den Computer vor Angriffen durch andere Nutzer oder Schadsoftware (Trojaner, Spyware usw.). Sie ist nicht allmächtig, doch die Blockierregeln werden vom Anbieter regelmäßig aktualisiert und filtern bereits bekannte Gefahren heraus. 

VPN

VPN-Dienste funktionieren folgendermaßen: Die Daten Ihres Geräts werden vom VPN-Client auf Ihrem PC verschlüsselt und anschließend über einen verschlüsselten Tunnel an einen VPN-Server gesendet, der irgendwo auf der Welt stehen kann, zum Beispiel in Ihrem Unternehmen, oder kommerziell betrieben wird. Der VPN-Server entschlüsselt die Daten und sendet sie an die Webseite weiter. Die Webseite, auf der Sie sich anmelden, kennt daher Ihre IP-Adresse nicht, sondern nur die des VPN-Servers. Ebenso sieht Ihr Internetanbieter nicht, welche Seiten Sie aufrufen. Alle Daten werden jedoch auf dem VPN-Server gespeichert, daher sollten Sie einen auswählen, dem Sie vertrauen. Dabei stellt sich die Frage: Was ist, wenn jemand einen VPN-Server nur betreibt, um Nutzerdaten abzugreifen? Diesem Risiko können Sie vorbeugen, indem Sie einen geprüften VPN-Dienst herunterladen. Sehr vertrauenswürdig sind VPN-Dienste von Antivirenherstellern. Alternativ lohnt es sich, eigene VPN-Server zu betreiben, auch für ziemlich kleine Unternehmen. Dafür ist keine teure Hardware nötig.

TIPP: Lesen Sie den Artikel Was ist ein VPN, wozu braucht man es und welche Vorteile bietet es?

Passwort-Manager

Beim Erstellen neuer Zugangsdaten stehen wir meist vor dem Problem, dass wir kein wirklich starkes Passwort ausdenken können, weil wir es uns sonst nicht merken würden. Ein großer Teil der Nutzer verwendet deshalb einige wenige Passwörter, die sie auf allen Servern nutzen, auf denen sie sich anmelden. Fortgeschrittene haben ein Passwort, das sie variieren. Die Fortgeschrittensten verwenden jedoch einen Passwort-Manager. Das ist ein kluges Werkzeug, das Ihre Passwörter in einer verschlüsselten Datei auf Ihrem Computer speichert, zu der nur Sie Zugang haben. Der Zugriff erfolgt über ein einziges Passwort, das Sie sich merken müssen. Dank des Passwort-Managers können Sie wirklich widerstandsfähige Passwörter erstellen: Das Werkzeug generiert das Passwort und meldet Sie danach automatisch an. Sie können zwischen kostenpflichtigen und kostenlosen Werkzeugen wählen.

TIPP: Lesen Sie den Artikel Wie man ein richtiges Passwort erstellt

Zur Wahrung der Sicherheit hilft es außerdem, sich im Internet weder allzu vertrauensselig noch leichtsinnig zu verhalten. Auch wenn Sie alles richtig machen, genau so, wie Sie es gerade gelesen haben, bleibt immer ein „Aber“. Hacker versuchen, stets mindestens einen Schritt voraus zu sein, sodass das, was heute funktioniert, morgen nicht unbedingt hundertprozentig sicher sein muss. Es ist daher gut, im Bereich Sicherheit in öffentlichen WLAN-Netzen nicht auf den Lorbeeren auszuruhen, nachdem Sie ein VPN heruntergeladen haben, und sich ständig weiterzubilden.

Autor: Johana Nádvorníková