Es ist die klassische Szene einer modernen Geschäftsreise: Nach dem Check-in im Business-Hotel in Manhattan oder der Berliner Friedrichstraße bleibt kaum Zeit zum Auspacken. Das internationale Kundengespräch wartet, der Laptop klappt auf. Ein Klick auf das hoteleigene WLAN, die Eingabe von Zimmernummer und Nachname auf der Begrüßungsseite, und schon steht die Verbindung zur digitalen Arbeitswelt. Ein vertrauter, fast mechanischer Ablauf. Doch genau in dieser Sekunde der Unaufmerksamkeit, zwischen Jetlag und Termindruck, schnappt die Falle zu.

Sicherheitsforscher schlagen derzeit weltweit Alarm wegen einer hochentwickelten Cyber-Spionage-Kampagne, die unter dem Namen „CaptiveCrunch“ bekannt geworden ist. Das Perfide daran: Die Angreifer, die von Geheimdiensten im Umfeld eines russischen Akteurs vermutet werden, hacken nicht die Laptops der Reisenden. Sie kapern die digitale Infrastruktur der Hotels selbst.

Normalerweise fungiert das WLAN-Gateway eines Hotels wie ein digitaler Postbote. Es nimmt die Adresse auf, die der Gast in den Browser eintippt – etwa den Zugang zu Microsoft 365 oder dem Firmen-Intranet –, und leitet sie an den korrekten Server weiter. Bei den betroffenen Hotels jedoch haben die Angreifer administrativen Zugriff auf diese Router erlangt. Sie haben das sogenannte Domain Name System (DNS) manipuliert, das Telefonbuch des Internets.

Tippt ein Gast nun die legitime Adresse seines Cloud-Dienstes ein, antwortet das Hotel-WLAN mit einer Lüge. Es leitet den Browser unbemerkt auf eine täuschend echte Kopie der Login-Seite um, die auf Servern der Hacker liegt. Adressen wie m365-owa.com imitieren das Original so perfekt, dass sie im Vorbeigehen kaum zu erkennen sind.

Für die Opfer sieht alles normal aus. Das Internet funktioniert, das Hotel-Logo leuchtet auf, die Anmeldemaske entspricht exakt der gewohnten Firmenumgebung. Doch wer hier seine Zugangsdaten eingibt, liefert sie direkt an Kriminelle aus.

Besonders besorgniserregend ist, wie die Angreifer die vermeintlich sichere Zwei-Faktor-Authentifizierung (MFA) austricksen. Viele Unternehmen wiegen sich in Sicherheit, weil ein Passwort allein heute oft nicht mehr reicht, um in sensible Systeme einzudringen. Die Cybercrime-Architekten nutzen dafür ein psychologisches Manöver: Sie blenden auf der gefälschten Seite eine Aufforderung zur sogenannten „Geräte-Code-Authentifizierung“ ein. Dem gestressten Reisenden wird ein Code angezeigt, den er auf seinem Smartphone bestätigen soll. Was das Opfer nicht ahnt: Im selben Moment starten die Hacker im Hintergrund einen echten Anmeldeversuch bei Microsoft.

Nickt der Nutzer den Code auf seinem Handy ab, autorisiert er nicht seinen eigenen Laptop, sondern den Server der Angreifer. Die Hacker erhalten ein digitales Dauerticket (OAuth-Token) für das gesamte Firmennetzwerk – ganz ohne das Passwort überhaupt zu kennen. Die Folgen für betroffene Unternehmen sind verheerend. Einmal im System, können Angreifer sensible Patente stehlen, Finanztransaktionen umleiten oder unbemerkt die interne Kommunikation von DAX-Konzernen und Anwaltskanzleien überwachen.

Das größte Problem für IT-Abteilungen ist die Ohnmacht der Endgeräte gegen diese Art des Angriffs. Weil die Manipulation auf der Ebene des Netzwerks stattfindet, greifen Standard-Schutzmaßnahmen oft ins Leere. Selbst wer auf seinem Laptop einen sicheren, öffentlichen DNS-Dienst wie den von Google hinterlegt hat, ist nicht geschützt. Das kompromittierte Hotel-WLAN fängt die unverschlüsselte Anfrage ab und fälscht die Antwort, noch bevor sie das Hotel verlässt.

Zudem beschränkt sich die Attacke längst nicht mehr nur auf den Diebstahl von Passwörtern. In vielen Fällen versuchen die Täter, sogenannte Proxy-Konfigurationen in Windows-Systemen zu überschreiben oder den Gästen unter dem Deckmantel dringender Browser-Updates hochentwickelte Schadsoftware unterzuschieben, die Passwörter direkt aus dem Arbeitsspeicher ausliest.

Für Geschäftsreisende bedeutet diese neue Welle der Angriffe das vorläufige Ende der Bequemlichkeit. Die Cybersicherheitsbehörden raten dringend dazu, Hotel-WLANs auf Dienstreisen wie feindliches Terrain zu behandeln.

Der sicherste Schutz ist derzeit der Verzicht: Wer sensible Daten verarbeitet, sollte die Netzwerke von Hotels, Flughäfen und Konferenzzentren komplett meiden und stattdessen das Mobilfunknetz des eigenen Smartphones via LTE oder 5G als Hotspot nutzen. Ist das WLAN unvermeidbar, ist ein sogenanntes „Full-Tunnel-VPN“ Pflicht, das den gesamten Datenverkehr – inklusive der DNS-Anfragen – von der ersten Sekunde an lückenlos verschlüsselt und am manipulierten Hotel-Router vorbeischleust.

Vor allem aber fordert die Bedrohung eine neue Kultur des digitalen Misstrauens. Wenn beim Einloggen im Hotelzimmer die Routine-Anmeldung plötzlich auch nur minimal vom gewohnten Ablauf im Büro abweicht, gilt ab sofort: Laptop zuklappen. Das Kundengespräch muss dann eben ein paar Minuten warten.

Wie man sich auf Reisen schützen kann

1. Nutzen mobiler Hotspots: Verwende wann immer möglich das Mobilfunknetz (LTE/5G) des Smartphones statt des Hotel-WLANs.
2. Immer mit VPN arbeiten: Nutze ein dauerhaft aktives Full-Tunnel-VPN, das den gesamten Datenverkehr (einschließlich DNS) verschlüsselt.
3. Vorsicht bei Geräte-Codes: Bestätige niemals unerwartete Aufforderungen zur Gerätekopplung oder Passworteingaben, die direkt nach dem Verbinden mit dem WLAN aufploppen.
4. Keine Updates im Hotel: Lade niemals Updates oder Sicherheitszertifikate herunter, die beim Einloggen in ein Hotel-Netzwerk angeboten werden.