Hotel-Wi-Fi-Sicherheit auf einem Mac: Was wirklich zählt

Hotel-Wi-Fi ist für den normalen Gebrauch auf einem aktuellen Mac ziemlich sicher und deutlich sicherer, als es der Ruf vermuten lässt. Die klassische Warnung, dass jemand zwei Zimmer entfernt deine Passwörter aus der Luft liest, ist fast veraltet: praktisch aller Verkehr, der wichtig ist, ist Ende-zu-Ende verschlüsselt, bevor er dein Gerät verlässt, und macOS plus ein aktueller Browser kümmern sich darum, ohne dass du etwas tun musst.

Das ist die einfache Version. Der Unterschied ist, dass Verschlüsselung Inhalt, nicht Kontext schützt. Niemand im Hotelnetzwerk liest deine E-Mails, aber das Netzwerk kann trotzdem sehen, dass dein Mac eine bestimmte Mail-Anbieter, eine bestimmte Cloud-Drive und ein bestimmtes Firmen-VPN um 6:40 Uhr morgens kontaktiert hat, jeden Morgen, über fünf Tage. Über einen längeren Aufenthalt summiert sich das zu einem Verhaltensprofil, und keines davon erforderte das Unterbrechen einer einzigen Verbindung.

Zwei Dinge unterscheiden ein Hotel von einem Café. Das erste ist Identität: die Login-Seite fragt meist nach deinem Nachnamen und Zimmernummer, damit der Betreiber jedes Gerät und jede Verbindung einem bestimmten Gast zuordnen kann, anstatt einer anonymen Person mit einem Kaffee. Das zweite ist Dauer: ein Café-Besuch dauert etwa vierzig Minuten, ein Hotelaufenthalt sind Tage automatischer Wiederverbindung und Hintergrundsynchronisation, die läuft, während du weit weg vom Gerät bist.

Das ehrliche Bedrohungsmodell ist also nicht das Abfangen von Geheimnissen. Es sind drei andere Dinge: ein Mac, der einem offenen Netzwerk voller Fremder für Tage ausgesetzt ist, eine detaillierte Verkehrstimeline, die an deinen Namen gebunden ist, und die Möglichkeit, einem Netzwerk beizutreten, das nur so aussieht wie das des Hotels. Alle drei haben einfache Antworten, und keines davon erfordert Panik.

Jeder im Gebäude befindet sich in einem einzigen flachen Netzwerk. Hotelgast-Wi‑Fi wird häufig ohne Client-Isolation bereitgestellt, wodurch der Gast in Zimmer 412 und der Gast in Zimmer 118 im selben Broadcast-Domain wie du sind. Dein Mac kündigt sich über Bonjour mit dem Namen an, den du ihm gegeben hast — sehr oft deinem echten Vornamen und dem Modell des Geräts — und jeder Freigabedienst, der von einem früheren Projekt aktiviert wurde, ist für alle erreichbar. Einige Ketten isolieren Clients korrekt, aber von außen kannst du das nicht erkennen; geh daher davon aus, dass sie es nicht tun.

Das Captive Portal bindet den Datenverkehr an eine Gast‑Identität. Zimmernummer und Nachname, manchmal eine Treue‑Nummer oder eine E‑Mail‑Adresse für die schnellere Stufe. Das ist nicht böswillig; so erzwingt das Hotel ein Konto pro Zimmer, und in mehreren Rechtsordnungen ist der Betreiber ohnehin verpflichtet, Verbindungsprotokolle aufzubewahren. Es bedeutet nur, dass der Begriff „anonymes öffentliches Netzwerk" hier nicht zutrifft. Was auch immer das Netzwerk aufzeichnet, wird auf deinen Namen bezogen.

Die Geräte sind oft alt und werden kaum gewartet. Hotel‑Wi‑Fi wird meist einmal von einem Auftragnehmer installiert, fernverwaltet und dann jahrelang nicht angefasst, weil es funktioniert. Access Points und Gateway‑Appliances bleiben ungepatcht, die Firmware ist mehrere Versionen veraltet und Standardkonfigurationen bleiben bestehen. Das ist an sich kein Angriff, aber es bedeutet, dass die Schutzmaßnahmen des Netzwerks, einschließlich der im Prospekt versprochenen Isolation, falsch konfiguriert oder einfach defekt sein können.

Portale stören DNS absichtlich. Damit die Login‑Seite überhaupt erscheint, muss das Gateway deine ersten Anfragen abfangen und umleiten, was bedeutet, dass DNS abgefangen wird. Manche Portale machen das auch nach der Authentifizierung weiter, und manche lösen Namen während des gesamten Aufenthalts mit eigenen Antworten auf. Das ist auch der Grund, warum verschlüsseltes DNS in Hotels Probleme macht: Wenn dein Mac auf ein privates DNS‑Profil oder einen benutzerdefinierten Resolver eingestellt ist, kann das Portal dich häufig nicht umleiten, und die Login‑Seite lädt nie — das ist die häufigste Beschwerde über Hotel‑Wi‑Fi.

Und dann bleibst du. Auto‑Join bedeutet, dass sich dein Mac bei jedem Öffnen des Deckels automatisch verbindet, ohne zu fragen. Multiplizier die normale Hintergrundaktivität von macOS und eines Dutzends installierter Apps mit vier oder fünf Tagen, und die Exposition ist nicht eine Sitzung in einem unzuverlässigen Netzwerk, sondern ein kontinuierlicher Aufenthalt.

Beginne mit den guten Nachrichten, denn sie sind erheblich. HTTPS verschlüsselt den Inhalt einer Verbindung: Seiteninhalte, Formularfelder, Passwörter, Nachrichtentexte, API-Payloads. Browser verwenden jetzt standardmäßig HTTPS und lehnen es ab, still auf eine niedrigere Version herunterzustufen, TLS 1.3 ist die Norm, und die große Mehrheit der Mac‑Apps verschlüsselt ihren eigenen Datenverkehr. Jemand, der im Hotelnetzwerk mit einem Paket‑Capture sitzt, sieht nur Chiffretext. Der alte Partytrick, Anmeldedaten aus einem offenen Netzwerk zu ernten, funktioniert seit Jahren nicht mehr.

Was Verschlüsselung nicht verbirgt, ist die Tatsache und Form jeder Verbindung. Die Ziel‑IP‑Adresse ist immer sichtbar, weil die Pakete geroutet werden müssen. DNS‑Abfragen sind sichtbar, es sei denn, du benutzt verschlüsseltes DNS, das Portale oft blockieren. Der Servername im TLS‑Handshake ist bei den meisten Verbindungen heute sichtbar, da Encrypted Client Hello noch lange nicht universell ist. Und die Zeit, Größe und Frequenz jedes Austauschs sind für jeden auf dem Weg sichtbar, egal wie stark der Cipher ist.

Über mehrere Nächte hinweg zusammengestellt, sind diese Metadaten aufschlussreicher, als die meisten erwarten. Sie zeigen, welche Dienste du nutzt, wann du aufwachst, wann du das Gebäude verlässt und wiederkommst, wie lange deine Videoanrufe dauern und in welches Netzwerk deines Arbeitgebers du eingewählt bist. Ein Mail‑Client, der alle fünf Minuten abfragt, ist ein präzises Präsenzsignal. Nichts davon erfordert das Lesen einer einzigen Nachricht. Metadaten sind die eigentliche Gefahr in einem Hotelnetzwerk, nicht der Inhalt.

Es gibt auch einen Rest an Datenverkehr, der überhaupt nicht geschützt ist. Einige ältere oder verwaiste Apps prüfen noch immer auf Updates über reines HTTP, und lokale Netzwerkerkennung ist von Natur aus unverschlüsselt, sodass mDNS‑ und Bonjour‑Broadcasts deinen Gerätenamen und dessen Dienste im gesamten Gastnetzwerk ankündigen. Drucker‑Erkennung, Medienfreigabe und alles, was ein vertrauenswürdiges Heim‑LAN erwartet, verhält sich im Hotel genau gleich, weil dein Mac keine Ahnung hat, dass sich das Netzwerk verändert hat.

Die einzige Situation, in der HTTPS wirklich versagt, ist, wenn eine Person es außer Kraft setzt. Wenn eine Zertifikatwarnung erscheint, klicke nicht weiter, und wenn ein Netzwerk dich auffordert, ein Profil oder ein Root‑Zertifikat zu installieren, bevor du Zugriff erhältst, lehne ab und nutze stattdessen das Mobilfunknetz. Ein Hotel braucht deine Zimmernummer, um dich online zu lassen. Es braucht nicht die Fähigkeit, Zertifikate auszustellen, denen dein Mac vertraut.

Halte die Mac‑Firewall aktiviert und teile nichts. Das ist der wichtigste Schritt, weil er das flache Netzwerk direkt angreift. Aktiviere die Firewall unter Systemeinstellungen, Netzwerk, Firewall, und schalte den Stealth‑Modus in den Optionen ein, damit der Mac keine unerwünschten Anfragen beantwortet. Öffne dann Systemeinstellungen, Allgemein, Freigaben und stelle sicher, dass Dateifreigabe, Bildschirmfreigabe, Druckerfreigabe, Remote‑Login und Remote‑Management alle ausgeschaltet sind, und setze AirDrop auf Nur Kontakte. Beachte, was die macOS‑Firewall nicht tut: Sie filtert nur eingehende Verbindungen, und nichts darin beschränkt, was deine eigenen Apps nach außen senden.

Schneide die Hintergrundsynchronisation während des Aufenthalts ab. Aktiviere den Low Data Mode speziell für das Hotel‑Netzwerk unter Systemeinstellungen, Wi‑Fi, Details neben dem verbundenen Netzwerk. Er pausiert zuverlässig Apples eigene Hintergrundarbeit: Software‑Update‑Downloads, App Store‑Downloads, iCloud‑Fotos‑Synchronisierung und verschiedene aufgeschobene Aufgaben. Für Drittanbieter‑Apps ist es nur eine Empfehlung, die viele Entwickler nie umgesetzt haben, also beende oder pausiere auch deine Cloud‑Sync‑Clients und stelle Time Machine so ein, dass es manuell sichert. Weniger Hintergrundverkehr bedeutet weniger Metadaten und weniger Überraschungen, falls das Hotel die Verbindung drosselt oder misst.

Verwende ein VPN für die Verschlüsselung, die du sonst nicht bekommst. Ein VPN umhüllt alles, inklusive DNS und der oben diskutierten Verbindungsmetadaten, in einem einzigen Tunnel zu einer einzigen Adresse, sodass der detaillierte Zeitstrahl in eine verschlüsselten Sitzung zusammenfällt. Zwei ehrliche Hinweise: Du schiebst Vertrauen vom Hotel auf den VPN‑Anbieter, anstatt es zu eliminieren, also wähle einen, dessen Protokollierungsrichtlinie du tatsächlich gelesen hast, und ein VPN verhindert nicht, dass eine App sich verbindet. Es ändert den Weg, nicht die Teilnehmer. Verbinde es, nachdem du das Captive Portal passiert hast, und aktiviere einen Kill‑Switch, falls der Client einen anbietet.

Bestimme, welche Apps das Netzwerk überhaupt erreichen dürfen. Das ist der Teil, den ein VPN nicht leisten kann. Verschlüsselung betrifft den Transport; App‑Kontrolle betrifft den Umfang. In einem Netzwerk, in dem du Tage bleibst, braucht es meist nur wenige Apps: ein Browser, ein Mail‑Client und der VPN‑Client decken alles ab, was du vorhast. Alles andere kann still bleiben, bis du auscheckst, was sowohl die Metadaten‑Spur als auch die Anzahl der Prozesse, die auf das Netzwerk zugreifen, reduziert.

Verbinde dich mit dem richtigen Netzwerk und trenne es richtig. Frage an der Rezeption nach dem genauen Netzwerknamen, anstatt aus der Liste zu raten, denn ein gefälschter Zugangspunkt, der einen glaubwürdigen Hotelnamen sendet, kostet fast nichts einzurichten und ist eine der wenigen echten Angriffsarten, die noch übrig sind. Behandle ein hotelgebrandetes Netzwerk ohne Portal oder mit einem Portal, das nach Kartennummer statt Zimmernummer und Nachname fragt, als Grund, es zu meiden. Bevorzuge ein Gastnetzwerk mit WPA2‑ oder WPA3‑Passphrase gegenüber einem offenen Netzwerk. Beim Auschecken öffne Systemeinstellungen, Wi‑Fi, Details und wähle „Dieses Netzwerk vergessen“, sonst verbindet sich dein Mac still wieder mit jedem Netzwerk mit diesem Namen auf der Welt.

Ein geschlossener Deckel ist nicht dasselbe wie offline zu sein. macOS wacht regelmäßig auf, um Netzwerkzugriff zu ermöglichen, führt geplante Wartungen durch, prüft auf Updates und lässt Apps im Hintergrund aktualisieren. Über vier Nächte hinweg sind das hunderte Verbindungen, die du nie initiiert hast, während du geschlafen hast oder unterwegs warst, auf einem Netzwerk, das du als unzuverlässig einstufen würdest, wenn jemand danach gefragt hätte. Nichts daran ist bösartig. macOS geht davon aus, dass jedes Wi-Fi-Netzwerk dein eigenes ist, was zu Hause die richtige Standardeinstellung ist, im Zimmer 412 aber falsch.

Deshalb ist die per-App-Kontrolle die Lösung für dieses Problem. Ein VPN verschlüsselt den Tunnel, aber jede App kommuniziert trotzdem, und Low Data Mode bittet höflich, während viele Apps ablehnen. Was die tatsächliche Exposition reduziert, ist die Entscheidung, vor der Verbindung, welche Apps out dürfen, und diese Entscheidung automatisch anzuwenden, anstatt sie jeden Abend neu zu merken.

Genau dafür wurde NetMute gebaut. Sein Hotspot-Schutz erkennt, wenn du dich mit einem unbekannten oder unzuverlässigen Netzwerk verbindest, und wendet sofort ein strenges Profil an, ohne dass du daran denken musst, und es handhabt Captive Portals so, dass die Login-Seite des Hotels trotzdem lädt, anstatt blockiert zu werden. Netzwerkprofile sind an den Wi-Fi-Namen gebunden, sodass das Hotelprofil beim nächsten Check-in automatisch wieder aktiv wird, und dein normales Heimprofil sofort wieder aktiv ist, wenn du zuhause bist.

Im Alltag bleiben die Kontrollen einfach. Jede App kann mit einem Klick blockiert werden, temporäre Regeln laufen automatisch ab, sodass ein Update-Client für zehn Minuten keine dauerhafte Lücke hinterlässt, und Whitelist-Modus kehrt alles um: Nur die Apps, die du nennst, dürfen das Netzwerk erreichen. Wenn das Hotel die Verbindung misst oder drosselt, begrenzen per-App-Datenlimits die Übeltäter, bevor sie ein Problem werden.

Das nützlichste Beweisstück nach einer Reise ist die Beweissicherung. Der Echtzeit-Traffic-Monitor und die Domain-Logging-Ansicht beantworten die Frage, um die sich dieser ganze Artikel dreht: Was genau hat während deines Schlafs kommuniziert? Es lohnt sich, das einmal zu prüfen, denn die Liste ist meist länger, als man denkt, und macht das Profil für den nächsten Aufenthalt leichter zu erstellen.