Im Hotel, im ICE, beim Kunden oder im Café: Wer unterwegs arbeitet, landet schnell in einem fremden Netz. Öffentliches WLAN sicher nutzen ist möglich, wenn Geräte richtig eingestellt sind und der Firmenverkehr durch ein VPN läuft. Dieser Beitrag zeigt, welche Risiken heute realistisch sind und wie Sie Mitarbeiter im Außendienst wirksam schützen.

Wie groß ist das Risiko heute?

Die gute Nachricht zuerst: Der Großteil des Internetverkehrs läuft inzwischen über HTTPS (Hintergründe im Beitrag HTTP vs. HTTPS). Ein Angreifer im selben WLAN kann den Inhalt dieser Verbindungen nicht einfach mitlesen. Die Zeiten, in denen man im Café mit einem einfachen Programm Passwörter abgreifen konnte, sind weitgehend vorbei.

Ungefährlich sind öffentliche Netze trotzdem nicht. Die Risiken haben sich verlagert:

• Gefälschte Hotspots („Evil Twin“): Ein Angreifer stellt ein WLAN mit dem Namen „Hotel-Gast“ oder „Telekom“ auf. Wer sich verbindet, schickt seinen gesamten Verkehr über das Gerät des Angreifers. Er kann Nutzer auf gefälschte Anmeldeseiten umleiten, etwa eine nachgebaute Microsoft-365-Anmeldung.
• Gefälschte Vorschaltseiten: Viele Hotspots verlangen vor der Nutzung eine Anmeldung oder Zustimmung auf einer Webseite. Diese Seite ist ein idealer Ort für Phishing, weil Nutzer dort ohnehin Daten eingeben.
• Unverschlüsselte Dienste: Alte Webanwendungen, Mailabruf ohne TLS oder interne Programme, die über das Internet erreichbar sind, übertragen Daten teils noch im Klartext.
• Angriffe auf das Gerät selbst: Im selben Netz sind andere Geräte direkt erreichbar. Offene Dateifreigaben, ungepatchte Dienste oder eine abgeschaltete Firewall werden so zum Problem.
• Metadaten: Auch bei verschlüsselten Verbindungen ist sichtbar, welche Dienste Sie ansprechen. Für Wettbewerber oder gezielte Angriffe kann das bereits aufschlussreich sein.

Der wichtigste Schutz: ein Firmen-VPN

Ein VPN baut einen verschlüsselten Tunnel vom Notebook bis zur Firewall in Ihrem Unternehmen auf. Das fremde WLAN sieht dann nur noch verschlüsselten Verkehr zu einer einzigen Adresse. Für Mitarbeiter im Außendienst und im Homeoffice ist das die zentrale Maßnahme. Achten Sie auf diese Punkte:

• Firmen-VPN statt kommerziellem Anbieter: Werbe-VPNs für Privatnutzer verschieben das Vertrauen nur auf einen anderen Dienstleister. Für Firmendaten ist ein VPN zur eigenen Firewall die richtige Wahl.
• Zwei-Faktor-Anmeldung: Der VPN-Zugang ist das Tor zu Ihrem Netz und muss entsprechend geschützt sein.
• Automatischer Verbindungsaufbau: Am besten baut sich das VPN selbstständig auf, sobald das Gerät außerhalb des Firmennetzes ist. Was Mitarbeiter manuell starten müssen, wird im Alltag oft vergessen.
• Aktuelle Firmware: VPN-Gateways stehen regelmäßig im Fokus von Angreifern. Sicherheitsupdates der Firewall müssen zeitnah eingespielt werden.

Eine Managed Firewall von Interate-IT kann genau das übernehmen: Einrichtung der VPN-Zugänge, Überwachung und laufende Updates.

Die Alternative: Hotspot vom Diensthandy

Oft ist der einfachste Weg, das fremde WLAN gar nicht zu nutzen. Ein Diensthandy mit ausreichendem Datenvolumen als mobiler Hotspot ist meist sicherer und häufig auch schneller als das Hotel-WLAN. Das Handy-WLAN sollte mit WPA2 oder WPA3 und einem starken Passwort gesichert sein. Das VPN bleibt trotzdem empfehlenswert, weil es den Zugriff auf interne Systeme regelt. Im Ausland außerhalb der EU sollten Sie vorher die Roaming-Konditionen prüfen.

Geräte richtig einstellen

Unabhängig vom VPN sollten Notebooks und Smartphones für fremde Netze vorbereitet sein:

1. Netzwerkprofil „Öffentlich“: Windows fragt bei neuen Netzen danach. In diesem Profil sind Netzwerkerkennung und Dateifreigabe deaktiviert. Per Gruppenrichtlinie lässt sich das für unbekannte Netze vorgeben.
2. Firewall immer aktiv: Die Windows-Firewall darf im öffentlichen Profil nicht abgeschaltet sein.
3. Automatisches Verbinden abschalten: Geräte sollten sich nicht selbstständig mit bekannten Netznamen verbinden, sonst greift ein gefälschter Hotspot mit gleichem Namen sofort.
4. Festplatte verschlüsseln: BitLocker schützt bei Diebstahl im Zug oder Hotel.
5. Updates installieren: Betriebssystem, Browser und VPN-Client aktuell halten.
6. Zertifikatswarnungen ernst nehmen: Meldet der Browser ein ungültiges Zertifikat, Verbindung abbrechen und nichts eingeben.

Zentral verwaltete Geräte, etwa im Rahmen von Managed Workplace, bekommen diese Einstellungen automatisch und behalten sie auch.

Was das für Ihr Unternehmen bedeutet

• Alle Mitarbeiter, die unterwegs arbeiten, mit einem Firmen-VPN und Zwei-Faktor-Anmeldung ausstatten.
• Prüfen, ob das VPN automatisch startet, und Ausnahmen bewusst festlegen.
• Diensthandys mit Hotspot-Funktion und genügend Datenvolumen als Standardlösung einplanen.
• Windows-Netzwerkprofile, Firewall und BitLocker zentral vorgeben.
• Mitarbeiter schulen: keine Anmeldedaten auf Hotspot-Vorschaltseiten, Vorsicht bei ähnlichen Netznamen, Zertifikatswarnungen melden.
• Die Regeln in den IT-Richtlinien festhalten.

Für Gäste und Kunden in den eigenen Räumen gilt übrigens der Umkehrschluss: Ein getrenntes Gäste-WLAN, das keinen Zugriff auf das Firmennetz hat, schützt Ihre Systeme. Das lässt sich mit Managed WLAN sauber umsetzen.

Häufige Fragen

Ist ein WLAN mit Passwort automatisch sicher?

Nicht unbedingt. Wenn alle Gäste dasselbe Passwort kennen, kann es auch ein Angreifer im Raum nutzen. Das Passwort schützt vor allem vor Außenstehenden, nicht vor anderen Nutzern desselben Netzes.

Kann ich im öffentlichen WLAN Online-Banking nutzen?

Mit aktivem VPN und auf der echten, per HTTPS geschützten Bankseite ist das Risiko gering. Ohne VPN ist der mobile Hotspot des eigenen Smartphones die bessere Wahl.

Reicht ein kostenloses VPN aus dem App-Store?

Für Firmendaten nicht. Kostenlose Anbieter finanzieren sich oft über Werbung oder Datenauswertung. Ein VPN zur eigenen Firewall gibt Ihnen die Kontrolle darüber, wer den Verkehr sieht.

Sie möchten Ihre mobilen Mitarbeiter mit VPN, abgesicherten Notebooks und klaren Regeln ausstatten? Interate-IT aus Gensingen ist Ihr Partner für Unternehmen in Rheinhessen und an der Nahe. Sprechen Sie uns an.