Öffentliches WLAN mit Passwort: was es wirklich schützt

Ergänzende Ressource zur Lektion „Sicherheit in geschützten öffentlichen WLANs“ – Kurs Online-Datenschutz

Das Passwort auf der Kreidetafel im Café oder auf der Schlüsselkarte im Hotel wirkt beruhigend. Öffentliches WLAN mit Passwort hält Menschen draußen, die es nicht kennen, doch alle Gäste besitzen denselben Schlüssel. Diese Ressource zeigt, was das Passwort leistet und was nicht, welche Angaben du auf der Anmeldeseite preisgibst und wie du verhinderst, dass sich dein Smartphone von selbst wieder mit alten Orten verbindet.

A. Warum das wichtig ist

Ein Passwort an einem öffentlichen Netz gleicht dem Schlüssel zur gemeinsamen Teeküche im Büro. Er hält Fremde fern, doch alle Kolleginnen und Kollegen besitzen denselben Schlüssel, und wer die Küche verwaltet, weiß, wer wann hineingeht. Wie privat du in diesem Netz bleibst, hängt aus Sicht dieses Kurses von drei anderen Dingen ab: ob die Websites und Apps, die du nutzt, ihre Daten verschlüsseln, was der Betrieb von dir erfasst und was dein Smartphone nach deinem Weggang von allein tut.

Das ist kein Grund, öffentliches WLAN mit Passwort in Hotel oder Café zu meiden. Es ist ein Anlass, zu wissen, welche Fragen das Passwort beantwortet und welche offen bleiben.

Was die Quellen sagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI), die zentrale Cybersicherheitsbehörde des Bundes, erklärt auf seiner Seite zu WLAN und LAN, wie der gemeinsame Schlüssel (englisch Pre-Shared Key) funktioniert: Er muss allen Teilnehmenden des WLANs bekannt sein. Vor Eindringlingen schützt er laut BSI nur, wenn das Passwort ausreichend lang und komplex ist. Über den neueren Standard WPA3 schreibt das BSI, er bringe ein höheres Maß an Sicherheit mit sich.

Die Verbraucherzentrale beschreibt in ihrem Ratgeber zu öffentlichen WLAN-Netzen, woran du verschlüsselte Internetseiten erkennst: an https:// am Anfang der Adresse. Das sei der entscheidende Hinweis, doch es sage nichts darüber, ob ein Anbieter seriös ist. Außerdem rät sie, gespeicherte Netzwerke zu löschen, weil sich der Name eines WLANs frei wählen lässt.

Der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) empfahl im September 2025, die automatische WLAN-Verbindung abzuschalten und öffentliche Netze gezielt auszuwählen, und zwar nicht nur im Urlaub. Die Polizeiliche Kriminalprävention der Länder und des Bundes rät ebenfalls, die automatische Anmeldung an bekannten Hotspots nach Möglichkeit auszuschalten.

Die Datenschutzkonferenz (DSK), der Zusammenschluss der unabhängigen Datenschutzbehörden von Bund und Ländern, beschreibt in ihrem Kurzpapier zur Einwilligung, wann ein Häkchen als Zustimmung zählt. Davon hängt ab, was mit dem Kästchen für „Neuigkeiten und Angebote“ auf einer Anmeldeseite gilt.

B. Die wichtigsten Begriffe

Fünf Gedanken, um ein Netz zu lesen, das nach einem Passwort fragt.

Der gemeinsame Schlüssel

In einem öffentlichen WLAN, in dem alle Gäste dasselbe Passwort bekommen, hält das Passwort Menschen draußen, die es nicht haben, etwa jemanden auf dem Parkplatz. Es macht die anderen Gäste aber nicht zu Außenstehenden: Wer sich angemeldet hat, ist im selben Netz wie du und besitzt denselben Schlüssel. Das ist eine Überlegung dieses Kurses und keine Aussage einer Quelle. Sie sagt auch nichts darüber, was andere Gäste in diesem Netz tatsächlich sehen könnten.

Warum das für dich wichtig ist: Das Passwort sagt dir, wer im Raum ist, nicht, wer was sehen kann. Was deine Inhalte schützt, ist vor allem die Verschlüsselung der Websites und Apps, die du nutzt.

WPA2 und WPA3 in einfachen Worten

WPA2 und WPA3 sind Sicherheitsstandards für die Verbindung zwischen deinem Gerät und einem WLAN. WPA3 ist der neuere der beiden. Laut BSI bietet WPA2 mit gemeinsamem Schlüssel einen effektiven Schutz, WPA3 bringt ein höheres Maß an Sicherheit mit und schützt unter anderem besser gegen sogenannte Wörterbuch-Attacken, bei denen Passwörter aus einer Liste durchprobiert werden. Welchen Standard ein Hotel oder Café einsetzt, entscheidet der Betreiber, nicht du.

Warum das für dich wichtig ist: Diese Standards sichern die Strecke zwischen deinem Smartphone und der Technik des Betriebs. Was der Betrieb über deinen Besuch weiß, ändern sie nicht. Wer die Namen kennt, versteht die Netzwerkdetails besser, wenn das Smartphone sie anzeigt.

Was der Betrieb über dich erfährt

Wer das Netz betreibt, sei es das Hotel, das Café oder eine beauftragte Firma, ist einer der Beteiligten auf dem Weg deiner Daten. Was diese Stelle technisch einsehen kann, hängt auch davon ab, ob die Seiten und Apps verschlüsseln, die du benutzt; die Ressource zu HTTPS in diesem Kurs erklärt, was das Schloss im Browser aussagt und was nicht. Dazu kommt, was du dem Betreiber selbst gibst: Name, Zimmernummer, E-Mail-Adresse oder Telefonnummer auf der Anmeldeseite.

Warum das für dich wichtig ist: Der Betrieb ist kein Angreifer, sondern eine Organisation, die personenbezogene Daten verarbeitet. Die nützlichere Frage lautet, was er über dich aufbewahrt, nicht, was er mitlesen könnte.

Die Anmeldeseite und die Nutzungsbedingungen

Viele Hotels und Cafés zeigen eine Anmeldeseite (auf Englisch Captive Portal), bevor du surfen kannst. Sie fragt etwa nach Zimmernummer, Nachname, E-Mail-Adresse oder Telefonnummer und bietet ein Kästchen für „Neuigkeiten und Angebote“ an. Die Nutzungsbedingungen und Datenschutzhinweise, auf die die Seite verlinkt, sollten sagen, was der Betrieb oder die beauftragte WLAN-Firma speichert und wie lange.

Nach dem Kurzpapier der DSK zählen Stillschweigen, ein voreingestelltes Häkchen oder Untätigkeit nicht als Einwilligung; verlangt wird ein aktives Verhalten. Außerdem kann eine erteilte Einwilligung jederzeit widerrufen werden. Das DSK-Papier beschreibt auch das Koppelungsverbot: Einer Einwilligung fehlt demnach regelmäßig die Freiwilligkeit, wenn die Erfüllung eines Vertrags davon abhängig gemacht wird, obwohl die Verarbeitung dafür nicht erforderlich ist. Ob das im Einzelfall auf ein WLAN-Angebot zutrifft, hängt von den Umständen ab. Eine einfache Regel, die dieser Kurs vorschlägt: Die Zustimmung zu Werbung sollte nicht der Preis für den Zugang sein, und ein vorangekreuztes Häkchen nimmst du selbst heraus.

Warum das für dich wichtig ist: Auf dieser Seite gibst du dem Betrieb selbst Angaben über dich. Gib nur die Angaben, die nötig sind, um online zu kommen, und lass Kästchen leer, die du nicht gewählt hast.

Gespeicherte Netze und automatisches Verbinden

Ein Smartphone merkt sich die Netze, mit denen es verbunden war, und verbindet sich von allein wieder, wenn sie in Reichweite sind. Die Verbraucherzentrale rät deshalb, gespeicherte Netzwerke zu löschen. Die Thüringer Datenschutzbehörde und die Polizeiliche Kriminalprävention raten, das automatische Verbinden auszuschalten. Eine weitere Seite der Polizeilichen Kriminalprävention empfiehlt, die WLAN-Funktion nur einzuschalten, wenn du sie brauchst.

Zwei Wege gibt es also: ein Netz vergessen, es also aus der Liste entfernen, oder, falls dein Smartphone das anbietet, das automatische Verbinden für dieses Netz ausschalten. Dann verbindet sich das Smartphone erst, wenn du es willst.

Warum das für dich wichtig ist: Jedes gespeicherte Netz ist eine dauerhafte Einladung zur Rückkehr, und jede Verbindung kann dem Betrieb erneut zeigen, dass du in der Nähe bist. Die Liste selbst ist zudem ein Verzeichnis der Orte, an denen du warst.

C. Ein konkretes Beispiel: Ninas zwei Tage auf einem Kongress

Nina ist 35, lebt in Hamburg und arbeitet im Marketing. Täglich hat sie mit Kundendaten zu tun: Kontaktlisten, Kampagnenergebnisse, unveröffentlichte Entwürfe. Diese Woche besucht sie einen zweitägigen Kongress in einem Hotel in Nürnberg, und das WLAN-Passwort steht auf ihrer Zimmerkarte.

• Morgens: Sie verbindet sich mit dem Hotelnetz. Eine Anmeldeseite fragt nach Zimmernummer, Nachname und E-Mail-Adresse, dazu ein bereits angekreuztes Kästchen für „Neuigkeiten und Angebote“. Sie tippt auf Weiter, ohne zu lesen.
• Am Vormittag: Nina fällt auf, dass zweihundert andere Teilnehmende dasselbe Passwort haben, und sie fragt sich, was „geschützt“ eigentlich bedeutet.
• Mittags: Sie öffnet den Bericht eines Kunden, der im Online-Speicher ihrer Firma liegt und über HTTPS aufgerufen wird.
• Nachmittags: Das Smartphone verbindet sich in der Tasche mit dem WLAN einer Café-Kette, in der sie vor Monaten in München war.
• Abends: Auf dem Zimmer zählt sie die gespeicherten Netze auf ihrem Smartphone: 43, von denen sie viele nicht mehr zuordnen kann.

Nichts Schlimmes ist passiert. Doch Nina hat eine deutlichere Spur ihrer Wege hinterlassen, als ihr bewusst war, und das Wort „geschützt“ hat sie weniger nachdenken lassen, nicht mehr.

Was sich änderte, als Nina genauer hinsah

Am zweiten Abend machte sie den Check aus Abschnitt D. Einiges überraschte sie:

• Den Bericht ihres Kunden hatte nicht das Netzpasswort geschützt, sondern die HTTPS-Verbindung der Seite.
• In den Nutzungsbedingungen stand, dass der WLAN-Anbieter des Hotels Verbindungsdaten für eine bestimmte Zeit speichert, und ihre E-Mail-Adresse stand wegen eines Kästchens auf einer Werbeliste, das sie nicht selbst angekreuzt hatte.
• Das Smartphone behandelte ein einmal besuchtes Café als Ort, an dem es sich bei jedem Vorbeigehen an einer Filiale wieder verbindet.

Sie traf drei Entscheidungen: Sie meldete sich von den Werbe-E-Mails des Hotels ab, vergaß 35 alte Netze und schaltete bei den wenigen, die sie selten nutzt, das automatische Verbinden aus, und für vertrauliche Kundenarbeit unterwegs nahm sie sich vor, den mobilen Hotspot ihres Smartphones zu benutzen. Das Hotel-WLAN nutzte sie weiter für alles andere, gelassener, weil sie nun wusste, was es zeigt und was nicht.

D. Jetzt bist du dran: ein Datenschutz-Check für geschützte WLANs (10 Minuten)

Vier kurze Schritte für öffentliches WLAN mit Passwort, am besten beim nächsten Mal in einem Hotel, Café oder Bahnhof oder gleich jetzt mit dem Smartphone in der Hand. Wie lang deine Liste auch ist: Es geht ums Aufräumen, nicht um eine Prüfung.

Schritt 1 – Lies das Netz, bevor du dich verbindest (2 Minuten)

• Frage das Personal nach dem genauen Netznamen, statt ihn zu erraten. Der Name eines WLANs lässt sich frei wählen, wie die Verbraucherzentrale erklärt, und die Polizeiliche Kriminalprävention weist darauf hin, dass sich Netznamen leicht fälschen lassen.
• Wenn dein Smartphone in den Netzwerkdetails die Sicherheitsart anzeigt, notiere sie: WPA3, WPA2 oder keine. Wo diese Angabe steht, unterscheidet sich je nach Gerät und Version.

Schritt 2 – Lies die Anmeldeseite und die Bedingungen (3 Minuten)

• Achte darauf, was die Seite verlangt: Zimmernummer, Name, E-Mail-Adresse, Telefonnummer oder eine Anmeldung über ein soziales Netzwerk.
• Öffne die Nutzungsbedingungen oder den Datenschutzhinweis, falls es einen gibt, und suche, was gespeichert wird, wie lange und ob es für Werbung genutzt wird.
• Entferne Häkchen für Werbung, die du nicht gewählt hast, und gib nur an, was du brauchst, um online zu kommen.

Schritt 3 – Lies deine gespeicherten Netze wie eine Landkarte (2 Minuten)

• Öffne die Einstellungen deines Smartphones und suche den Bereich für WLAN, bei Android meist unter Netzwerk und Internet. Dort steht die Liste der Netze, die das Gerät kennt. Die Bezeichnungen unterscheiden sich je nach Hersteller und Version.
• Zähle die Netze und markiere die, die du nicht mehr brauchst: alte Hotels, Flughäfen, Veranstaltungen.
• Markiere auch die, die du nur selten nutzt, etwa das WLAN von Verwandten.

Schritt 4 – Vergiss das Netz oder stoppe das automatische Verbinden (3 Minuten)

• Vergiss Netze, die du nicht mehr brauchst. Meist tippst oder hältst du dazu das Netz in der Liste gedrückt oder öffnest seine Details; dort steht eine Option zum Vergessen oder Entfernen des Netzes, deren Name je nach System abweicht.
• Schalte bei selten genutzten Netzen das automatische Verbinden aus, wenn die Details eine solche Option anbieten. Dein Smartphone verbindet sich dann nur, wenn du es entscheidest. Ob es diese Option gibt und wie sie heißt, hängt vom Hersteller ab.

Ein heute vergessenes Netz ist ein Ort weniger, an dem sich dein Smartphone ungefragt wieder verbindet.

Schon im Kurs Online-Sicherheit behandelt

Ist öffentliches WLAN gefährlich? Was sich wirklich geändert hat
Dort geht es um die Sicherheitsseite derselben Netze, etwa um gefälschte Hotspots und Anmeldeseiten, während diese Ressource zeigt, was ein Netz und seine Betreiber über dich erfahren.

E. Videos, Artikel und weitere Quellen

Zuerst Bundesbehörden, Polizei und Verbraucherschutz, dann die Datenschutzaufsicht. Alles auf Deutsch.

Behörden, Polizei und Verbraucherschutz

BSI — WLAN (Wireless Local Area Network) – was man wissen sollte
Wie der gemeinsame WLAN-Schlüssel funktioniert, was er schützt und was WPA3 zusätzlich bringt (laut Metadaten der Seite Oktober 2025).
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Router-WLAN-VPN/WLAN-LAN-was-man-wissen-sollte/wlan-lan-was-man-wissen-sollte_node.html

Verbraucherzentrale — Öffentliche WLAN-Netze sicher nutzen: Darauf sollten Sie achten
Verschlüsselte Seiten erkennen, gespeicherte Netzwerke löschen, Datei- und Verzeichnisfreigabe ausschalten (Stand 26. Januar 2026).
https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/oeffentliche-wlannetze-sicher-nutzen-darauf-sollten-sie-achten-19264

Polizeiliche Kriminalprävention der Länder und des Bundes — Bei WLAN daheim und unterwegs auf die Sicherheit achten
Hinweise zu öffentlichen Hotspots, Netznamen und zum Ausschalten der automatischen Anmeldung.
https://www.polizei-beratung.de/themen-und-tipps/gefahren-im-internet/sicherheitskompass/funk-netzwerk/

Polizeiliche Kriminalprävention der Länder und des Bundes (Angebot „Polizei für Dich“) — WLAN-Hotspots
Warum öffentliche Hotspots Risiken bergen und warum du das WLAN nur bei Bedarf einschalten solltest.
https://www.polizeifuerdich.de/news/wlan-hotspots

Datenschutzaufsicht

Datenschutzkonferenz — Kurzpapier Nr. 20: Einwilligung nach der DS-GVO
Wann eine Einwilligung wirksam ist: aktives Verhalten, Freiwilligkeit, Koppelungsverbot, Widerruf.
https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_20.pdf

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit — Pressemitteilung zum öffentlichen WLAN (30. September 2025)
Empfehlung, die automatische WLAN-Verbindung auszuschalten und öffentliche Netze gezielt zu wählen.
https://tlfdi.de/fileadmin/tlfdi/presse/Pressemitteilungen_2025/2025-09-30_PM_OEffentliches_WLAN.pdf

Links im Oktober 2026 geprüft. Ändert sich eine Adresse, hilft oft die Suche nach dem Titel auf der Website der Stelle.

F. Das Framework Cyber Welfare: Kompetenzen, Bewusstsein, Sicheres Verhalten

Diese Ressource gehört zur Säule Bewusstsein, also zum digitalen Bewusstsein, auf der Stufe FL2 Einsteiger: zu verstehen, was eine vertraute Beruhigung, das Passwort an der Wand, tatsächlich abdeckt.

Kompetenzen

• Die Anmeldeseite und die Bedingungen lesen und erkennen, was erfasst wird und wozu.
• WPA2 und WPA3 in den Netzwerkdetails unterscheiden, wenn das Smartphone sie anzeigt.
• Gespeicherte Netze vergessen und das automatische Verbinden ausschalten.

Bewusstsein

• Erkennen, dass ein gemeinsames Passwort Fremde draußen hält, nicht die anderen Gäste.
• Verstehen, dass auch der Betrieb eine Organisation ist, die personenbezogene Daten verarbeitet.
• Wissen, dass ein Smartphone sich von allein mit bekannten Netzen verbindet, solange du es nicht anders einstellst.

Sicheres Verhalten

• Einer Anmeldeseite nur die Angaben geben, die für den Zugang nötig sind, und Häkchen, die du nicht selbst gesetzt hast, herausnehmen.
• Selten genutzte Netze nur dann beitreten lassen, wenn du es entscheidest.
• Gespeicherte Netze nach einer Reise ausmisten, als Gewohnheit statt als Großprojekt.

G. Fragen zum Nachdenken

• Wenn du ein Passwort an der Wand eines Cafés siehst: Was nimmst du an, dass es schützt, und trägt diese Annahme noch?
• Welche Angabe würdest du einem Hotel oder Café lieber nicht geben, nur um online zu kommen?
• Was würde die Liste der gespeicherten Netze auf deinem Smartphone einer fremden Person über dein letztes Jahr verraten?

H. Was du jetzt tun kannst

Die Empfehlungen (R) und Sicherheitsmaßnahmen (MS) aus der Cyber-Welfare-Datenbank, die hier am direktesten passen.

1. Was du in einem gemeinsamen Netz tust

• R10 – Sensible Daten im öffentlichen WLAN: wo das Risiko heute wirklich liegt: Ein Passwort macht ein öffentliches Netz nicht privat, also entscheide vorher, welche Aufgaben auf ein vertrauenswürdiges Netz warten.
• R15 – Die Verschlüsselung des mobilen Hotspots richtig wählen: WPA3, sonst WPA2: Wenn du stattdessen die Verbindung deines eigenen Smartphones teilst, schütze sie mit der stärksten Verschlüsselung, die dein Gerät anbietet.

Minimaler Aufwand: Schreibe eine Aufgabe auf, die du in keinem gemeinsamen Netz erledigst, und die Alternative, die du stattdessen nutzt.

2. Was dein Smartphone nach deinem Weggang tut

Ein Netz zu vergessen entfernt es aus der Liste; das automatische Verbinden auszuschalten behält es, wartet aber auf dich.

Minimaler Aufwand: Vergiss heute fünf gespeicherte Netze, die du nicht mehr brauchst.

Kurz gesagt

• Öffentliches WLAN mit Passwort hält Fremde vom Netz fern, aber alle Gäste teilen denselben Schlüssel.
• WPA3 ist der neuere Standard und bietet laut BSI ein höheres Maß an Sicherheit; keiner der beiden Standards ändert, was der Betrieb über dich erfasst.
• Auf der Anmeldeseite gibst du dem Betrieb selbst Angaben über dich: gib nur das Nötige an und entferne Häkchen, die du nicht gewählt hast.
• Alte Netze zu vergessen und das automatische Verbinden auszuschalten sorgt dafür, dass sich das Smartphone nicht von allein mit Orten von früher verbindet.

Verwandte Ressourcen in diesem Kurs

• Datenschutz im öffentlichen WLAN: was ein offenes Netz erfährt
• Was verbirgt ein VPN? Privatsphäre, Vertrauen und Anbieterwahl
• Was ist HTTPS? Was das Schloss im Browser sagt und was nicht
• Was kann mein Internetanbieter sehen? Privatsphäre zu Hause

Entdecken Sie weitere ergänzende Ressourcen aus den Kursen des Programms „Schützen Sie Ihre digitale Privatsphäre“.