Öffentliche WLAN-Hacks, böse Zwillings-Hotspots und Juice Jacking¶

Flughäfen, Hotels, Cafés, Konferenzzentren und Verkehrsknotenpunkte sind erstklassige Jagdgründe für zwei eng verwandte physische Cyberangriffe: Rogue-WLAN-Hotspots von Evil Twin und Juice Jacking (kompromittierte öffentliche USB-Ladeanschlüsse). Wenn Sie Ihr Telefon oder Laptop mit einem von einem Angreifer kontrollierten drahtlosen Netzwerk verbinden oder Ihr Kabel an einen modifizierten USB-Anschluss anschließen, geben Sie einem Angreifer eine direkte physische oder Netzwerkbrücke, um Ihren Datenverkehr abzufangen, Ihre Anmeldedaten abzufangen oder aktive Authentifizierungscookies zu kapern.

Wenn Sie gerade erst bemerkt haben, dass Sie Ihre E-Mail-Adresse, Ihr Firmen-Login oder Ihre Kreditkartendaten in ein verdächtiges Hotel- oder Flughafen-Captive-Portal eingegeben haben, oder wenn auf Ihrem Telefon die Aufforderung „Diesem Computer vertrauen“ erscheint, während es an einen öffentlichen Ladeautomaten angeschlossen ist, kann eine sofortige Eindämmung verhindern, dass ein Angreifer Sie aus Ihren Konten aussperrt.

Tun Sie dies jetzt¶

1. Trennen Sie sofort die Verbindung zum WLAN-Netzwerk oder ziehen Sie das USB-Kabel ab. Schalten Sie WLAN auf Ihrem Laptop oder Smartphone vollständig aus oder ziehen Sie Ihr Ladekabel sofort physisch aus dem öffentlichen USB-Anschluss.
2. Vergessen Sie das betrügerische WLAN-Netzwerk, damit Ihr Gerät nicht automatisch wieder eine Verbindung herstellt. Öffnen Sie Ihre WLAN-Einstellungen, wählen Sie den verdächtigen Netzwerknamen (SSID) aus und tippen Sie auf Dieses Netzwerk ignorieren oder deaktivieren Sie Auto-Join.
3. Wechseln Sie zu einer vertrauenswürdigen Mobilfunk-Datenverbindung (4G/5G), um kompromittierte Konten einzudämmen. Verwenden Sie kein lokales WLAN-Netzwerk, während Sie Ihre Anmeldeinformationen zurücksetzen. Nutzen Sie die Mobilfunkverbindung Ihres Telefons oder ein sekundäres, störungsfreies Gerät.
4. Widerrufen Sie alle aktiven Anmeldesitzungen und ändern Sie die Passwörter für alle von Ihnen eingegebenen oder verwendeten Konten. Wenn Sie ein Passwort in ein gefälschtes Captive-Portal eingegeben oder sich über das betrügerische Netzwerk bei einem Konto angemeldet haben, gehen Sie zu den Sicherheitseinstellungen dieses Kontos, klicken Sie auf Von allen Geräten abmelden / Aktive Sitzungen widerrufen und ändern Sie das Passwort sofort.
5. Überprüfen Sie Ihre E-Mail-Weiterleitungsregeln und MFA-Geräte (Multi-Faktor-Authentifizierung). Überprüfen Sie Ihre Gmail-, Outlook- oder Unternehmens-E-Mail-Einstellungen auf nicht autorisierte automatische Weiterleitungsregeln oder neu hinzugefügte Wiederherstellungstelefonnummern und Authentifizierungs-Apps.
6. Starten Sie Ihr Mobilgerät neu und überprüfen Sie es, wenn Sie auf einem öffentlichen USB-Ladegerät auf „Vertrauen“ geklickt haben. Wenn Sie auf „Diesem Computer vertrauen“ getippt oder die USB-Dateiübertragung/Debugging an einem öffentlichen Kiosk aktiviert haben, trennen Sie alle Netzwerke, suchen Sie nach nicht autorisierten Konfigurationsprofilen oder seitlich geladenen Apps und bereiten Sie sich darauf vor, wichtige Fotos zu sichern und einen Werksreset durchzuführen, wenn eine böswillige Manipulation bestätigt wird.

flowchart TD
    A["Mutmaßlich öffentliches WLAN oder USB-Ladekompromittierung"] --> B{"Welche Bedrohung ist aufgetreten?"}
    B -->|"Verbunden mit Evil Twin Wi-Fi oder einem gefälschten Captive-Portal"| C["Schalten Sie WLAN sofort aus und tippen Sie auf „Dieses Netzwerk vergessen“."]
    B -->|"An den öffentlichen USB-Anschluss angeschlossenes Telefon: Juice Jacking"| D["Ziehen Sie sofort das USB-Kabel ab"]
    C --> E{"Haben Sie Passwörter oder Zahlungsdaten eingegeben oder ein Zertifikat akzeptiert?"}
    E -->|"Ja"| F["Wechseln Sie zu 4G/5G-Mobilfunk und widerrufen Sie aktive Sitzungen"]
    F --> G["Passwörter ändern, Zahlungskarten einfrieren, betrügerische Stammzertifikate löschen"]
    E -->|"Nein"| H["DNS-Cache leeren, VPN oder DNS-über-HTTPS aktivieren, Anmeldungen überwachen"]
    D --> I{"Haben Sie auf „Diesem Computer vertrauen“ oder „USB-Debugging zulassen“ getippt?"}
    I -->|"Ja"| J["Aktivieren Sie den Flugmodus, entfernen Sie unbekannte Geräteprofile und setzen Sie bei Bedarf die Werkseinstellungen zurück"]
    I -->|"Nein: Nur Stromversorgung oder blockierte Eingabeaufforderung"| K["Starten Sie das Telefon neu, um den Status der USB-Schnittstelle zu löschen, und verwenden Sie das Netzteil"]

So funktionieren Evil Twin Wi-Fi- und Captive-Portal-Angriffe¶

Ein Evil Twin ist ein betrügerischer drahtloser Zugangspunkt, der von einem Angreifer mithilfe eines Laptops, eines tragbaren Routers (z. B. eines Wi-Fi Pineapple) oder eines mobilen Hotspots eingerichtet wird, um sich als legitimes öffentliches Wi-Fi-Netzwerk auszugeben. Da Wi-Fi-Netzwerknamen (SSIDs) in offenen Netzwerken nicht standardmäßig authentifiziert werden, kann jeder, der in einer Flughafenlounge oder einem Café sitzt, einen Netzwerknamen übertragen Airport_Free_WiFi, Starbucks_Guest, oder Grand_Hotel_Conference.

Wenn der Angreifer sein Antennensignal näher an Ihrem Tisch als am echten Deckenrouter verstärkt, stellt Ihr Telefon oder Laptop automatisch eine Verbindung zum Gerät des Angreifers her. Sobald Sie mit einem Evil Twin verbunden sind, sitzt der Angreifer in einer Man-in-the-Middle-Position (MitM) (auch Adversary-in-the-Middle oder AitM genannt) zwischen Ihrem Gerät und dem Internet.

Die drei Fallen in einem Evil Twin-Netzwerk¶

1. Gefälschtes Captive-Portal-Erfassen von Anmeldeinformationen: Wenn Sie sich mit einem legitimen Hotel- oder Flughafen-WLAN verbinden, werden Sie normalerweise in einem Browser-Popup (einem Captive-Portal) aufgefordert, auf „Bedingungen akzeptieren“ zu klicken oder Ihre Zimmernummer einzugeben. Angreifer klonen diese Splash-Seiten und fügen eine Aufforderung hinzu, die besagt: „Melden Sie sich mit Ihrem Google-, Microsoft 365-, Apple- oder Social-Media-Konto an, um kostenloses Hochgeschwindigkeits-WLAN zu aktivieren“ oder fragen Sie nach einer Kreditkarte für eine „1-Dollar-Identitätsüberprüfung“. Alles, was auf dieser Seite eingegeben wird, geht direkt an den Angreifer, der häufig Echtzeit-Reverse-Proxy-Tools verwendet, um gleichzeitig Ihr MFA-Sitzungstoken (Multi-Factor Authentication) zu stehlen.
2. DNS-Spoofing und SSL-Stripping: Während die moderne HTTPS-Verschlüsselung den größten Teil des Webverkehrs sogar über nicht vertrauenswürdiges WLAN schützt, kann ein Angreifer, der Ihren DNS-Server kontrolliert, von Ihnen eingegebene Domänen umleiten, unverschlüsselte HTTP-Links herabstufen oder Sie dazu verleiten, ein bösartiges Root Certificate Authority (CA)-Profil zu installieren („Installieren Sie unser Hotelsicherheitsprofil, um auf das Internet zuzugreifen“). Wenn Sie das Root-Zertifikat eines Angreifers installieren, kann dieser Ihren gesamten HTTPS-Banking-, E-Mail- und Geschäftsverkehr entschlüsseln und im Klartext lesen.
3. Auto-Join-Probe-Sniffing (KARMA/MANA-Angriffe): Wenn auf Ihrem Telefon oder Laptop „Auto-Join“ für zuvor verwendete offene Netzwerke (z. B attwifi oder Hilton_Honors), sendet Ihr Gerät ständig Sonden, die nach diesen Namen suchen, wohin Sie auch gehen. Betrügerische Zugangspunkte lauschen auf diese Anfragen und geben sich als das Netzwerk aus, nach dem Ihr Gerät fragt, und verbinden Sie so geräuschlos in Ihrem Rucksack oder Ihrer Tasche, ohne dass Sie jemals Ihr WLAN-Menü öffnen müssen.

Schritt-für-Schritt-Wiederherstellung, wenn Sie ein Evil Twin-Netzwerk verwendet haben¶

Wenn Sie feststellen, dass Sie eine Verbindung zu einem gefälschten Hotspot hergestellt oder vertrauliche Daten in einen verdächtigen Anmeldebildschirm eingegeben haben, führen Sie die folgenden Schritte aus, um die Verbindung über eine vertrauenswürdige Mobilfunkverbindung herzustellen:

1. Überprüfen und entfernen Sie unerwünschte Zertifikate oder Geräteprofile¶

Wenn das Captive Portal Sie an einer Systemaufforderung dazu auffordert, auf „Zulassen“ oder „Installieren“ zu klicken, bevor Ihnen Internetzugang gewährt wird, überprüfen Sie Ihr Gerät sofort: - Auf dem iPhone / iPad (iOS / iPadOS): Öffnen Sie Einstellungen > Allgemein > VPN & Geräteverwaltung. Wenn Sie ein Konfigurationsprofil sehen, das Sie nicht kennen (außerhalb des offiziellen MDM-Profils Ihres Arbeitgebers), tippen Sie darauf und wählen Sie Profil entfernen. Überprüfen Sie als Nächstes Einstellungen > Allgemein > Info > Zertifikatsvertrauenseinstellungen und stellen Sie sicher, dass keine unbekannten Stammzertifikate aktiviert sind. - Auf Android: Öffnen Sie Einstellungen > Sicherheit und Datenschutz > Weitere Sicherheitseinstellungen > Verschlüsselung und Anmeldeinformationen > Vertrauenswürdige Anmeldeinformationen > Benutzer (Menünamen variieren geringfügig je nach Hersteller). Entfernen Sie alle vom Benutzer installierten Zertifikate, die während Ihrer Sitzung installiert wurden. - Unter Windows / macOS: Öffnen Sie unter macOS Systemeinstellungen > Datenschutz & Sicherheit > Profile (und aktivieren Sie Schlüsselbundzugriff > Systemstämme / Zertifikate). Drücken Sie unter Windows Win + R, Typ certmgr.msc, und überprüfen Sie Vertrauenswürdige Stammzertifizierungsstellen auf neu hinzugefügte Einträge.

2. Widerrufen Sie aktive Cookies und ersetzen Sie kompromittierte Passwörter¶

Wenn Sie sich in einem gefälschten Captive-Portal bei Google, Microsoft, Apple oder einem Unternehmens-SSO angemeldet haben, hat der Angreifer wahrscheinlich Ihr Sitzungscookie zusammen mit Ihrem Passwort gestohlen. Durch einfaches Ändern Ihres Passworts werden sie möglicherweise nicht rausgeschmissen, solange das Sitzungstoken gültig bleibt: - Melden Sie sich über Mobilfunkdaten bei Ihrem Kontosicherheits-Dashboard an, sehen Sie sich Wo Sie angemeldet sind / Aktive Geräte an und beenden Sie jede unbekannte Sitzung. - Ändern Sie Ihr Passwort in eine eindeutige Passphrase und aktualisieren Sie Ihre MFA auf einen Hardware-Sicherheitsschlüssel oder Passkey (FIDO2/WebAuthn), der kryptografisch an den echten Domänennamen bindet und nicht von einem gefälschten Captive-Portal gefälscht werden kann. Sehen Sie sich unseren Leitfaden an MFA-Phishing und Adversary-in-the-Middle-Bypass.

3. Sperren Sie kompromittierte Zahlungskarten¶

Wenn ein WLAN-Portal am Flughafen, an Bord oder in einem Hotel nach Ihrer Kredit- oder Debitkartennummer und Ihrem CVV-Code gefragt wird, öffnen Sie sofort Ihre Mobile-Banking-App für Mobilfunkdaten, sperren oder sperren Sie die Karte und rufen Sie die Nummer auf der Rückseite Ihrer Karte an, um die Kompromittierung zu melden und einen Ersatz mit einer neuen Kartennummer zu bestellen.

Wie Juice Jacking (böswilliges Laden über USB) funktioniert¶

Standard-USB-Kabel (USB-A, Micro-USB und USB-C) enthalten sowohl Stromanschlüsse (die elektrischen Strom zum Laden Ihres Akkus übertragen) als auch Datenanschlüsse (Differenzielle D+/D- und Hochgeschwindigkeits-TX/RX-Leitungen zum Synchronisieren von Dateien, Fotos und Diagnosebefehlen mit einem Computer).

Juice Jacking tritt auf, wenn Kriminelle die Hardware hinter einem öffentlichen USB-Wandanschluss, einer Ladesäule am Flughafen, einem USB-Steckplatz für eine Hotellampe oder einem USB-Datenanschluss eines Mietwagens manipulieren. Durch die Verkabelung eines versteckten Mikrocomputers oder böswilligen Controller-Chips hinter der Frontplatte kann ein Angreifer zwei Kategorien von Angriffen versuchen, wenn Sie Ihr Kabel direkt an den USB-Steckplatz anschließen:

1. Datenexfiltration und Debugging-Missbrauch: Wenn der Port einen Host-Computer emuliert und den Benutzer dazu verleitet, auf "Diesem Computer vertrauen" (auf iOS) zu tippen oder "Dateiübertragung / MTP / USB-Debugging" (auf Android) zu aktivieren, kann der versteckte Computer schnell Ihre Aufnahmen, Kontakte, Notizen und unverschlüsselte lokale Backups kopieren oder bösartige Konfigurationsnutzlasten auf das Gerät übertragen.
2. HID-Tasteneingabe (Human Interface Device) und Hardware-Angriffe: Fortschrittliche bösartige USB-Anschlüsse oder gefälschte Kabel, die an öffentlichen Kiosken angeschlossen bleiben (z. B. O.MG-Kabel oder Hak5-USB-Implantate), enthalten winzige eingebettete Wi-Fi-Chips und Mikrocontroller im Kunststoff-Steckerkopf. Beim Anschließen an einen Laptop oder ein Telefon gibt das Kabel vor, eine externe USB-Tastatur zu sein, die pro Sekunde Hunderte von unsichtbaren Terminal- oder PowerShell-Befehlen eingibt, um eine Remote-Hintertür zu öffnen.

Härten Sie Ihr Telefon und Ihren Laptop vor der Reise ab¶

Nehmen Sie sich fünf Minuten Zeit, bevor Sie zu einem Flughafen, Hotel oder Café aufbrechen, um diese Einstellungen zu konfigurieren, damit sich Ihre Geräte automatisch verteidigen:

1. Verwenden Sie den persönlichen Hotspot Ihres Telefons anstelle von öffentlichem WLAN: Wenn Sie Mobilfunkempfang haben, verbinden Sie Ihren Laptop mit dem Mobilfunk-Hotspot Ihres Telefons (geschützt durch WPA3-Verschlüsselung), anstatt das WLAN eines Hotels oder Cafés zu nutzen. Mobilfunknetze verwenden eine kryptografische Hardware-SIM/eSIM-Authentifizierung, die von einem Bastler-Evil-Twin-Router nicht einfach geklont werden kann.
2. Behalten Sie ein geprüftes VPN mit aktiviertem Kill Switch bei: Wenn Sie öffentliches WLAN nutzen müssen (z. B. in einem Flugzeug oder in einem Konferenzsaal im Keller ohne Mobilfunksignal), schalten Sie ein seriöses Virtual Private Network (VPN) mit WireGuard oder OpenVPN ein, bevor Sie Apps oder Browser öffnen, und aktivieren Sie den Kill Switch des VPN, damit der Datenverkehr blockiert wird, wenn der verschlüsselte Tunnel unterbrochen wird.
3. Encrypted DNS (DNS-over-HTTPS oder DNS-over-TLS) aktivieren: Konfigurieren Sie Ihren Browser und Ihr Betriebssystem für die Verwendung von verschlüsseltem DNS (z. B. Cloudflare). 1.1.1.1 oder Quad9 9.9.9.9), damit ein betrügerischer WLAN-Router die von Ihrem Gerät gesuchten Domänennamen nicht ausspionieren oder fälschen kann. Beachten Sie jedoch, dass Sie das verschlüsselte DNS möglicherweise kurz für 30 Sekunden ausschalten müssen, um eine legitime Hotel-Captive-Portal-Anmeldeseite zu laden, bevor Sie es wieder einschalten.
4. Gespeicherte offene WLAN-Netzwerke löschen und Auto-Join deaktivieren: Alte offene Netzwerke löschen (Airport_Free_WiFi, Hotel_Guest, xfinitywifi) aus Ihrer Liste der gespeicherten Netzwerke, deaktivieren Sie „Nach Netzwerken fragen“ und stellen Sie die Firewall Ihres Laptops auf den Öffentlichen/Stealth-Modus ein (Blockierung eingehender Dateifreigabe, AirDrop von „Jeder“ und Erkennung lokaler Netzwerke).
5. Aktivieren Sie den Sperrmodus oder den erweiterten Datenschutz, wenn Sie ein Hochrisikoziel sind: Journalisten, Führungskräfte, Anwälte und Aktivisten, die an Verkehrsknotenpunkten mit hohem Risiko reisen, sollten den Sperrmodus (auf Apple-Geräten) oder Erweiterten Schutz (auf Android/Google) aktivieren, wodurch kabelgebundene USB-Datenverbindungen vollständig deaktiviert werden, während das Gerät gesperrt ist.

Häufig gestellte Fragen¶

Schützt mich ein VPN vor einem Evil Twin Wi-Fi-Netzwerk?¶

Ein seriöses VPN verschlüsselt den gesamten Internetverkehr, der Ihr Gerät verlässt, sodass ein Evil Twin-Betreiber Ihre Datenströme nicht lesen oder unverschlüsselte Verbindungen kapern kann. Ein VPN kann Sie jedoch nicht schützen, wenn Sie Ihr E-Mail-Passwort oder Ihre Kreditkartennummer manuell in eine gefälschte Captive-Portal-Begrüßungsseite eingeben, bevor das VPN eine Verbindung herstellt, und es stoppt auch keine Malware, wenn Sie manuell ein betrügerisches Stammzertifikat installieren.

Wie kann ich feststellen, welches Flughafen- oder Café-Wi-Fi-Netzwerk das echte ist?¶

Sie können die Authentizität eines Wi-Fi-Netzwerks nicht allein anhand des Namens in Ihrem Menü überprüfen, da ein Angreifer einen Evil Twin-Hotspot genauso benennen kann wie das echte Netzwerk. Fragen Sie immer einen Mitarbeiter nach dem genauen Netzwerknamen und Passwort, vermeiden Sie nach Möglichkeit Netzwerke ohne WPA2/WPA3-Passwortverschlüsselung und schalten Sie Ihr VPN sofort ein, sobald die Verbindung hergestellt ist.

Was wäre, wenn ich mein Telefon an einen USB-Anschluss am Flughafen anschließe, „Diesem Computer vertrauen“ sehe und auf „Nicht vertrauen“ tippe?¶

Wenn Sie auf „Nicht vertrauen“ getippt haben (oder die Aufforderung ignoriert haben, während Ihr Bildschirm gesperrt blieb) und Ihr Telefon sofort vom Stromnetz getrennt haben, hat Ihr Betriebssystem die USB-Datenleitungen daran gehindert, Ihren Speicher bereitzustellen. Starten Sie Ihr Telefon einfach neu, um den temporären USB-Controller-Speicher zu löschen, und wechseln Sie zu einer Standard-Steckdose oder einer tragbaren Batteriebank.

Sind die USB-Anschlüsse eines Mietwagens sicher, an die ich mein Telefon anschließen kann?¶

Infotainmentsysteme für Mietwagen synchronisieren automatisch Ihre Kontaktliste, Anrufprotokolle, Textnachrichten und Bluetooth-Gerätekennungen, wenn Sie das Gerät an den USB-Datenanschluss des Armaturenbretts anschließen und die Erlaubnis erteilen. Anstatt den Daten-USB-Anschluss des Fahrzeugs zu verwenden, schließen Sie einen 12-Volt-Zigarettenanzünder-Autoadapter an die Zusatzsteckdose an oder verwenden Sie einen physischen USB-Datenblocker und löschen Sie Ihr Profil aus dem Infotainment-Menü des Fahrzeugs, bevor Sie das Fahrzeug zurückgeben.

Verwandte Leitfäden¶

• MFA-Phishing und Adversary-in-the-Middle-Bypass
• Reaktion auf Datenschutzverletzungen und Passwortlecks
• Arbeiten Sie remote und sicher von einem Hotel aus
• Flughafenbetrug und Transitsicherheit
• Globale Notrufnummern