Öffentliches WLAN: Was am Hotel-Netz 2026 wirklich gefährlich ist

Öffentliches WLAN ist ein Funknetz, das ein Betreiber ohne persönliche Zugangsdaten für fremde Geräte öffnet — und das größte Risiko daran ist 2026 nicht mehr das Mitlesen, sondern die Umleitung. Microsoft Threat Intelligence hat am 31. Juli 2026 eine Kampagne namens CaptiveCrunch beschrieben, bei der Angreifer die Anmeldeseiten von Hotel- und Konferenznetzen manipulieren und Gäste auf gefälschte Update- und Anmeldeseiten schicken. Wer weiß, woran er das erkennt, kann ein Hotel-WLAN weiter nutzen; wer jedem Update-Hinweis folgt, wäre auch im eigenen Mobilfunknetz angreifbar. Stand: September 2026.

Das Wichtigste in Kürze

• Die Warnung stammt aus dem Microsoft Security Blog vom 31. Juli 2026. Angegriffen werden nicht die Gäste, sondern die Netze selbst: Wer sich anmeldet, landet über manipulierte DNS- und HTTP-Antworten auf Servern der Angreifer.
• Microsoft rät nicht pauschal zum Verzicht, sondern zu Misstrauen. Wörtlich sollen Reisende Gästenetze in Hotels, auf Konferenzen und an Flughäfen als nicht vertrauenswürdig behandeln und eine eigene Verbindung vorziehen, wo das praktikabel ist.
• Das klassische Mitlesen ist die kleinere Gefahr geworden. Eigene Messung vom 21. September 2026: 193 von 196 Domains, die wir in unseren Ratgebern verlinken, leiten eine unverschlüsselte Anfrage sofort auf HTTPS um — aber nur 125 sichern das per HSTS ab.
• Ein VPN verschlüsselt die Strecke, prüft aber keine Inhalte. Gegen ein gefälschtes Anmeldeformular, ein untergeschobenes Update oder eine Phishing-Seite hilft es nicht.
• Drei Geräteeinstellungen bringen mehr als jede App: Netzwerkprofil auf öffentlich, automatisches Verbinden aus, zufällige Hardwareadresse an. Windows 11 stellt neue Netze von sich aus auf öffentlich.

Anzeige / Transparenz: Dieser Artikel enthält keine Partner-Links zu Anbietern und empfiehlt bewusst kein einzelnes VPN-Produkt. Sollten wir auf Angebote verweisen, erhalten wir beim Kauf über einen solchen Link eine kleine Provision. Für euch bleibt der Preis identisch.

Wie sicher ist öffentliches WLAN wirklich?

Symbolbild — KI-generiert / MonsterDealz

Sicher genug für den Alltag, solange Gerät und Nutzer mitspielen — und schlagartig unsicher, sobald das Netz selbst manipuliert ist. Genau diesen Fall beschreibt Microsoft Threat Intelligence in einem Beitrag vom 31. Juli 2026: Seit Anfang Mai 2026 greift eine Gruppe, die Microsoft als Storm-2945 führt, weltweit Netze im Gastgewerbe an, die mit einer Anmeldeseite arbeiten.

Wer unterwegs arbeitet und Angst um Zugangsdaten und Kundendaten hat, bekommt von den meisten Ratgebern genau einen Satz zu hören: Nimm ein VPN. Der Satz ist nicht falsch, beantwortet aber die falsche Frage. Die Angriffe, die 2026 laufen, brechen keinen verschlüsselten Verkehr auf — sie bewegen euch zu einem Klick.

Dieser Artikel trennt deshalb zwei Dinge, die in Schlagzeilen verschmelzen: das Mitlesen im Funkkanal und die Manipulation des Netzzugangs. Das erste ist durch verschlüsselte Verbindungen weitgehend entschärft, das zweite ist die eigentliche Baustelle — und dagegen helfen Einstellungen, keine App.

Warum öffentliches WLAN als unsicher gilt

Der Ruf stammt aus einer Zeit, in der der Funkweg selbst offen lag. Das Bundesamt für Sicherheit in der Informationstechnik führt den Satz „Das Surfen in öffentlichen WLANs spart nicht nur Kosten, sondern ist auch sicher“ bis heute als Sicherheits-Irrtum und begründet das so: „Die Datenübertragung zwischen dem mobilen Gerät und dem Router erfolgt zumeist unverschlüsselt.“ Ein offenes Netz hat keinen individuellen Schlüssel — jedes Gerät in Funkreichweite empfängt dieselben Pakete.

Dazu kommt ein zweiter Punkt, den viele unterschätzen: In einem Gästenetz hängt ihr mit lauter unbekannten Geräten im selben Segment. Ein veralteter Laptop mit offenen Freigaben ist dort kein theoretisches Risiko, sondern ein Nachbar. Die Verbraucherzentrale schreibt dazu in ihrem Ratgeber mit Stand 26. Januar 2026: „Schalten Sie daher die Datei- oder Verzeichnisfreigabe vor der Einwahl in Hotspots ab, falls sie aktiv sein sollte.“

Welche Daten sind im offenen WLAN gefährdet?

Praktisch alles, was euer Gerät unverschlüsselt sendet — und das sind heute vor allem Metadaten. Sichtbar bleiben trotz HTTPS die Namen der Server, die ihr ansprecht, Menge und Zeitpunkt des Verkehrs sowie der Netzwerkname jedes Funknetzes, nach dem euer Gerät im Hintergrund sucht. Inhalte von Webseiten, Chats und Banking-Sitzungen sind dagegen in aller Regel verschlüsselt.

Gefährdet ist außerdem alles, was ihr aktiv herausgebt: das Formular auf der Anmeldeseite, ein Passwort auf einer nachgebauten Login-Seite, ein Bestätigungscode. Und alles, was auf einem Gerät liegt, dessen Freigaben offen stehen. Wer das schon einmal am eigenen Router durchgespielt hat, kennt die Mechanik — wir haben sie im Ratgeber Router absichern Einstellung für Einstellung beschrieben.

Was Microsoft im Juli 2026 über Hotel-WLANs veröffentlicht hat

Die Primärquelle ist ein Beitrag im Microsoft Security Blog vom 31. Juli 2026 mit dem Titel „CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft“. Er beschreibt eine seit Anfang Mai 2026 laufende Kampagne der Gruppe Storm-2945, die Microsoft als Untergruppe von Midnight Blizzard einordnet und dem russischen Auslandsnachrichtendienst zurechnet.

Der Ablauf ist unspektakulär. Die Angreifer kompromittieren nicht euer Gerät, sondern die Netzinfrastruktur hinter dem Anmeldeportal, manipulieren DNS- und HTTP-Antworten und leiten den Verkehr über eigene Server. Dort warten zwei Wege: eine nachgebaute Microsoft-Anmeldung, die den Gerätecode-Anmeldefluss missbraucht, oder ein angebliches Browser- oder Systemupdate, das Schadsoftware installiert.

Wichtig für die Einordnung: Microsoft schreibt nirgends, dass verschlüsselter Verkehr aufgebrochen wurde. Die Manipulation sitzt eine Ebene darunter — bei der Namensauflösung und beim unverschlüsselten ersten Aufruf. Deutschland wird nicht namentlich genannt.

Die Empfehlung für Reisende lautet im Original: „When traveling, users should treat hotel, conference, airport, and other guest wireless networks as untrustworthy.“ Und weiter: „Prefer private connectivity (including mobile hotspots, satellite, and eSIM-based cellular data connections) over public Wi-Fi whenever practical.“ Übersetzt: Gästenetze als nicht vertrauenswürdig behandeln und eine eigene Verbindung vorziehen, wo es praktikabel ist. Das ist etwas anderes als „meiden“ — und auffällig ist, was fehlt: Ein VPN empfiehlt Microsoft privaten Reisenden an dieser Stelle nicht. Der dritte Rat ist der konkreteste: keine Software-Updates, Zertifikate, Browser-Updates oder Diagnosewerkzeuge installieren, die über ein Anmeldeportal angeboten werden.

Kann jeder in öffentlichen Netzwerken mitlesen?

Symbolbild — KI-generiert / MonsterDealz

Nein — die Inhalte eurer Verbindungen sind heute fast durchgehend verschlüsselt, die Lücke liegt beim allerersten Kontakt mit einer Adresse. Wir haben das am 21. September 2026 an unserem eigenen Quellenbestand gemessen: 215 externe Domains werden aus den Magazin-Ratgebern von MonsterDealz verlinkt, 196 davon antworteten im Test auf HTTPS, und 193 dieser 196 schicken eine unverschlüsselte Anfrage sofort per Weiterleitung auf die verschlüsselte Adresse.

Diese Weiterleitung ist genau der Moment, den ein manipuliertes Netz abfangen kann, denn sie kommt selbst noch unverschlüsselt an. Dagegen gibt es einen Mechanismus: HTTP Strict Transport Security, kurz HSTS. Der Server teilt dem Browser einmalig mit, dass er diese Domain künftig nur noch verschlüsselt ansprechen darf. In unserer Messung senden nur 125 der 196 Domains einen solchen Header — 71 verzichten darauf.

Noch dünner wird es beim Vorladen. Nur wenn der Header eine Mindestlaufzeit von 31.536.000 Sekunden trägt, Subdomains einschließt und das Kennzeichen „preload“ führt, kann eine Domain in die Vorladeliste der Browser aufgenommen werden, die laut hstspreload.org von Chrome gepflegt und von Firefox, Safari und Edge übernommen wird. Auf unsere Liste bezogen: 100 von 196 Domains erreichen die Mindestlaufzeit, aber nur 43 tragen das Kennzeichen — knapp 22 Prozent. Selbst gesetze-im-internet.de, unsere meistverlinkte Quelle, sendet keinen HSTS-Header.

Eigene Messung vom 21. September 2026 über alle 215 externen Domains, die aus dem MonsterDealz-Magazin verlinkt werden; 196 davon waren per HTTPS erreichbar. Gemessen wurde je Domain die Startseite.

MonsterDealz.de ist eine deutsche Deal-Community, die täglich geprüfte Schnäppchen kuratiert und aktive Mitglieder über das M-Coins-Bonusprogramm mit Amazon-Gutscheinen belohnt — die Quellenlinks in unseren Ratgebern sind deshalb ein brauchbarer Querschnitt durch Behörden-, Verbands- und Medienseiten. Das Ergebnis heißt übersetzt: Die zweite und jede weitere Verbindung zu einer Seite ist im offenen WLAN gut geschützt. Bei mehr als einem Drittel der Adressen entscheidet aber der erste Aufruf darüber, ob ihr überhaupt auf der verschlüsselten Fassung landet.

Man-in-the-Middle, Evil Twin, Captive Portal: welche Angriffe real bleiben

Fünf Angriffswege haben die Verbreitung von HTTPS überlebt, und vier davon setzen nicht an der Verschlüsselung an, sondern am Menschen oder am Netzzugang. Der Klassiker, das stille Mitlesen im Funkkanal, ist seit der Zertifizierung Wi-Fi CERTIFIED Enhanced Open durch die Wi-Fi Alliance im Jahr 2018 zusätzlich entschärft: Das darin steckende Verfahren Opportunistic Wireless Encryption, standardisiert in RFC 8110 aus dem Jahr 2017, verschlüsselt jede Verbindung einzeln, ohne dass ein Passwort nötig wäre.

• Evil Twin: Ein Angreifer stellt einen eigenen Hotspot mit dem Namen des Hauses auf. Erkennbar ist er praktisch nicht am Namen, sondern nur daran, dass die Anmeldeseite anders aussieht als gewohnt oder plötzlich mehr wissen will.
• Gefälschtes Anmeldeportal: Die Seite, die beim Verbinden aufpoppt, ist die verwundbarste Stelle im ganzen Ablauf — sie wird technisch bedingt unverschlüsselt aufgerufen und kann beliebig aussehen. Genau hier setzt die Microsoft-Kampagne an.
• Untergeschobenes Update: Ein Fenster meldet ein fehlendes Browser- oder Systemupdate. Betriebssysteme kündigen Updates nie über eine Webseite an — dieser Hinweis ist immer falsch.
• DNS-Manipulation: Das Netz beantwortet Namensanfragen falsch und schickt euch auf einen fremden Server, obwohl die eingetippte Adresse stimmt. Ohne HSTS oder verschlüsseltes DNS fällt das nicht auf.
• Nachbargeräte und Freigaben: Offene Datei- und Druckerfreigaben, veraltete Systeme und aktive Netzwerkerkennung machen euer Gerät im Gästenetz sichtbar und ansprechbar.

Enhanced Open ist dabei kein Grund, sich zurückzulehnen: Die Wi-Fi Alliance führt das Verfahren in ihrer Sicherheitsübersicht als Schutz gegen passives Mithören, nicht gegen den Betreiber selbst.

Eine sechste Gefahr hat mit dem Netz gar nichts zu tun und wird trotzdem oft mitgezählt: nachgebaute Shop- und Bezahlseiten. Ob ihr darauf hereinfallt, hängt nicht am WLAN, sondern an der Adresszeile — wie ihr eine gefälschte Marken-Domain erkennt, steht in unserem Ratgeber zu Fake-Shops.

Schutzmaßnahmen für öffentliches WLAN: die Einstellungen unter Windows, Android und iOS

Symbolbild — KI-generiert / MonsterDealz

Drei Einstellungen bringen mehr als jede Zusatzsoftware, und alle drei sind in unter zwei Minuten gesetzt. Microsoft macht die wichtigste davon selbst: „Wenn Sie zum ersten Mal eine Verbindung mit einem Netzwerk in Windows 11 herstellen, wird dieses standardmäßig als öffentlich festgelegt“ — genau diese Voreinstellung sollte man nicht aus Bequemlichkeit umstellen.

Die Bezeichnungen folgen den Hilfeseiten von Microsoft, Google und Apple, Stand September 2026. Die Menüpfade unterscheiden sich je nach Hersteller-Oberfläche leicht, die Begriffe sind aber überall dieselben.

Windows 11: das Netzwerkprofil entscheidet

Der Weg führt über die Netzwerk- und Interneteinstellungen zum verbundenen Netzwerk und dort zum Netzwerkprofiltyp. Microsoft beschreibt den Unterschied in seiner Hilfe zu den Netzwerkeinstellungen unmissverständlich: Beim öffentlichen Profil „wird Ihr PC für andere Geräte im Netzwerk ausgeblendet. Daher können Sie Ihren PC nicht für die Datei- und Druckerfreigabe verwenden.“ Beim privaten Profil ist der PC „für andere Geräte im Netzwerk erkennbar“. Im Hotel ist die erste Variante die richtige. Das BSI ergänzt in seinen Hinweisen zur IT-Sicherheit auf Reisen: „Deaktivieren Sie die Datei- und Verzeichnisfreigaben für Netzwerke“ und „Passen Sie Ihre Firewall-Einstellungen auf ein höheres Sicherheitsniveau an.“

Android: zufällige MAC-Adresse und automatische Verbindung

In den erweiterten Netzwerkeinstellungen steht der Punkt „Zufällige MAC-Adresse“; Geräte ab Android 10 verwenden sie laut Google-Hilfe standardmäßig. Sie verhindert, dass ein Netzbetreiber euer Gerät über mehrere Besuche an derselben Kennung wiedererkennt. Ebenso wichtig: sich nicht automatisch mit offenen Netzen verbinden. Ein Gerät, das jedem bekannten Namen hinterherläuft, verbindet sich irgendwann mit dem falschen.

iOS: private WLAN-Adresse und Auto-Join

Auf dem iPhone steht die Einstellung unter „Einstellungen“, dann „WLAN“, dann die Info-Taste neben dem Netzwerk und dort „Private WLAN-Adresse“; seit iOS 18 gibt es die Werte „Aus“, „Statisch“ und „Rotierend“, verfügbar ist die Funktion seit iOS 14. Apple begründet sie in seiner Anleitung zu privaten WLAN-Adressen damit, dass Netzbetreiber eine feste Adresse sonst „leichter mit der Netzwerkaktivität und dem Standort des Geräts in Verbindung bringen“ könnten. Direkt darüber sitzt „Auto-Join“, das im Gästenetz ausgeschaltet gehört — und nach der Abreise gehört das Netz über „Dieses Netzwerk ignorieren“ ganz gelöscht.

Warum ein VPN im öffentlichen WLAN hilft — und wogegen es nichts ausrichtet

Ein VPN verschlüsselt den gesamten Verkehr zwischen eurem Gerät und einem Server des Anbieters und nimmt dem Netzbetreiber damit alles weg, was HTTPS offenlässt: Zieladressen, Namensanfragen und die Möglichkeit, unverschlüsselte erste Aufrufe umzubiegen. Das BSI formuliert die Regel in seinen Sicherheitstipps für privates und öffentliches WLAN so: „Rufen Sie vertrauliche Daten über ein fremdes WLAN-Netz am besten nicht ab. Falls das unvermeidbar ist, tun Sie dies möglichst nur über ein VPN (Virtual Private Network).“

Genauso klar ist, was ein VPN nicht kann. Es prüft keine Inhalte. Eine Phishing-Seite bleibt eine Phishing-Seite, ein gefälschtes Update bleibt Schadsoftware, und ein Bestätigungscode, den ihr freiwillig eintippt, ist mit Tunnel genauso weg wie ohne. Gegen die beiden Wege der CaptiveCrunch-Kampagne — Gerätecode-Phishing und vorgetäuschtes Update — richtet ein VPN nichts aus, sobald es um den Klick geht.

Dazu kommt eine Reihenfolge-Falle, die selten erwähnt wird: Ein Anmeldeportal muss vor dem VPN durchlaufen werden, sonst kommt die Verbindung gar nicht erst zustande. Der verwundbarste Schritt liegt also genau in dem Fenster, in dem der Tunnel noch nicht steht. Wer ein VPN nutzt, sollte es deshalb so einstellen, dass es sich nach der Anmeldung automatisch verbindet, und in der Zwischenzeit nichts anderes tun.

Und schließlich verlagert ein VPN nur das Vertrauen: Statt dem Hotelnetz vertraut ihr dem VPN-Betreiber, der denselben Verkehr sieht. Ein Produkt empfehlen wir bewusst nicht; wichtiger als die Marke sind nachvollziehbarer Firmensitz, geprüfte Protokollierungspraxis und ein Preis, der nicht durch Datenverkauf zustande kommt. Wer ohnehin auf passwortlose Anmeldung umstellt, nimmt dem Gerätecode-Phishing einen großen Teil seiner Wirkung — wie das geht, steht in unserem Ratgeber zu Passkeys.

Eigene Datenverbindung statt Hotel-WLAN: was Hotspot, Roaming und eSIM kosten

Symbolbild — KI-generiert / MonsterDealz

Innerhalb der EU kostet die eigene Datenverbindung nichts extra — und genau sie nennt Microsoft als bevorzugte Alternative. Nach den Roaming-Regeln, die die Bundesnetzagentur zusammenfasst, gilt der deutsche Tarif in den 27 Staaten der Europäischen Union sowie in Island, Liechtenstein und Norwegen; die Neufassung der Roaming-Verordnung ist zum 1. Juli 2022 in Kraft getreten und schreibt seitdem auch dieselbe Netzqualität wie zu Hause vor.

Praktisch heißt das: Wer im Hotel den eigenen Hotspot aufspannt, zahlt in der EU nur mit Datenvolumen, nicht mit Geld. Zwei Stunden Arbeit mit Mail, Cloud-Dokumenten und Videokonferenz liegen je nach Auflösung grob zwischen 0,5 und 3 Gigabyte — bei 20 Gigabyte im Tarif ist das eine Frage der Planung, keine Kostenfrage. Den Bedarf rechnen wir im Ratgeber zum Datenvolumen vor.

Außerhalb der EU sieht es anders aus, und dort wird die Rechnung interessant. Für die Schweiz, Großbritannien, die Türkei und Fernreiseziele ist eine Daten-eSIM meist deutlich günstiger als die Auslandsoption des Heimatanbieters — Microsoft nennt eSIM-basierte Mobilfunkverbindungen ausdrücklich als eine der empfohlenen privaten Alternativen. Den Ablauf beschreiben wir im Ratgeber zur eSIM, die Kostenseite im Text zum Handy im Ausland.

Bleibt der Fall, in dem es ohne Hotelnetz nicht geht: große Downloads, schlechter Empfang im Gebäude, ein Arbeitsrechner ohne SIM. Dann gilt die Reihenfolge aus diesem Artikel — Profil auf öffentlich, Freigaben aus, Anmeldeseite misstrauisch lesen, kein Update aus dem Portal. Für längere Aufenthalte im Ausland kommt die arbeits- und steuerrechtliche Seite dazu, die wir im Ratgeber zur Workation behandeln.

Vor- & Nachteile im Überblick

Häufige Fragen zu öffentlichem WLAN

Was ist ein Evil-Twin-Hotspot und wie erkenne ich ihn?

Ein Evil Twin ist ein Hotspot, den ein Angreifer mit dem Namen eines vertrauenswürdigen Netzes betreibt, damit sich Geräte automatisch oder arglos damit verbinden. Am Namen erkennt ihr ihn nicht, denn der ist frei wählbar und kann exakt gleich lauten. Die brauchbaren Anzeichen sind indirekt: eine Anmeldeseite, die anders aussieht als beim letzten Besuch, plötzlich abgefragte Daten wie Zimmernummer plus E-Mail-Passwort oder eine Zertifikatswarnung des Browsers. Die wirksamste Gegenmaßnahme ist, das automatische Verbinden abzuschalten und an der Rezeption nach dem korrekten Netznamen zu fragen.

Schützt HTTPS allein meine Daten in einem offenen Netzwerk?

Für die Inhalte ja, für alles andere nur teilweise. Verschlüsselt sind Seiteninhalte, Formulareingaben und Sitzungsdaten; sichtbar bleiben die Server, die ihr ansprecht, sowie Zeitpunkt und Umfang des Verkehrs. Die entscheidende Lücke liegt beim allerersten Aufruf einer Adresse: Solange der Server keinen HSTS-Header gesetzt hat, läuft dieser erste Kontakt unverschlüsselt und lässt sich umlenken. In unserer Messung vom 21. September 2026 fehlte dieser Header bei 71 von 196 geprüften Domains.

Wie wirkt sich die Netzwerkfreigabe auf meinem Laptop in öffentlichen Netzen aus?

Sie macht euer Gerät für die anderen Teilnehmer desselben Netzes sichtbar und im schlechtesten Fall ansprechbar. Unter Windows hängt das am Netzwerkprofil: Im öffentlichen Profil wird der PC laut Microsoft „für andere Geräte im Netzwerk ausgeblendet“, im privaten ist er „erkennbar“ und für Freigaben nutzbar. Im Hotel, Café oder Zug gehört deshalb das öffentliche Profil gesetzt und die Netzwerkerkennung abgeschaltet.

Was passiert, wenn ich mich in einem öffentlichen WLAN in mein Online-Banking einlogge?

Technisch passiert zunächst nichts Auffälliges: Banken erzwingen HTTPS, viele Institute stehen in der Vorladeliste der Browser, und die Freigabe einer Überweisung läuft über eine zweite App. Das Restrisiko liegt nicht in der Leitung, sondern in der Umleitung — wenn euch das Netz auf eine nachgebaute Anmeldeseite schickt und ihr dort Zugangsdaten samt Freigabecode eingebt. Wer sicher gehen will, nutzt dafür die eigene Mobilfunkverbindung und die App statt der Webseite.

Wie schütze ich mich im Hotel-WLAN?

In dieser Reihenfolge: Netznamen an der Rezeption erfragen, automatisches Verbinden ausschalten, Netzwerkprofil auf öffentlich setzen, Freigaben deaktivieren, auf der Anmeldeseite nur das Nötigste eingeben und niemals ein Passwort wiederverwenden, das anderswo gilt. Danach kein Update, kein Zertifikat und kein Diagnosewerkzeug installieren, das die Portalseite anbietet — das ist Microsofts konkretester Rat aus dem Juli 2026. Wer vertrauliche Dinge erledigen muss, nimmt die eigene Mobilfunkverbindung oder ein VPN.

Ist ein kostenloses VPN im öffentlichen WLAN besser als keins?

Nicht zwangsläufig. Ein VPN verlagert das Vertrauen vom Netzbetreiber auf den VPN-Anbieter, und wer den Dienst nicht mit Geld bezahlt, sollte wissen, womit sonst. Kostenlose Angebote finanzieren sich häufig über Werbung, Datenweitergabe oder ein Volumen, das bei Videokonferenzen sofort aufgebraucht ist. Steht die Wahl zwischen unbekanntem Gratis-Tunnel und eigener Mobilfunkverbindung, ist die Mobilfunkverbindung die einfachere Antwort.

Darf das Hotel meine Daten im Gäste-WLAN mitschneiden?

Der Betreiber eines Netzes sieht technisch, welche Server ihr ansprecht, und speichert in aller Regel Zeitpunkt, Gerätekennung und Datenmenge. Inhalte verschlüsselter Verbindungen sieht er nicht. Was zulässig ist, richtet sich nach dem Datenschutzrecht und den Nutzungsbedingungen, die ihr auf der Anmeldeseite bestätigt — genau deshalb lohnt dort ein Blick, statt reflexhaft zu bestätigen. Eine zufällige Hardwareadresse erschwert zumindest, dass mehrere Aufenthalte demselben Gerät zugeordnet werden.

Fazit: Nicht meiden, sondern anders benutzen

Die Schlagzeile „Hotel-WLANs meiden“ gibt wieder, was Microsoft geschrieben hat, nur eben verkürzt. In der Quelle steht: als nicht vertrauenswürdig behandeln, die eigene Verbindung vorziehen, wo das praktikabel ist, und nichts installieren, was über ein Anmeldeportal angeboten wird. Das ist eine Handlungsanweisung, kein Verbot — und sie funktioniert auch im Hotel mit einwandfreiem Netz.

Der Rest ist Vorbereitung, die einmalig ein paar Minuten kostet: drei Geräteeinstellungen, eine eSIM oder ein Tarif mit genug Volumen für den eigenen Hotspot, und die Angewohnheit, jede Anmeldeseite einmal anzusehen, bevor man etwas eintippt. Gegen die Lücke, die unsere Messung vom 21. September 2026 zeigt — 71 von 196 Domains ohne HSTS — hilft am zuverlässigsten die einfachste Regel: In einem fremden Netz gilt nur, was ihr selbst gestartet habt. Weitere Ratgeber und die aktuellen Angebote findet ihr auf der MonsterDealz-Startseite.