Hotel-WLAN als Waffe: Wie Angreifer den DNS kapern, um Microsoft-365-Logins zu stehlen (und warum ein VPN weiterhin hilft)
Wer schon einmal in einer Hotellobby den Laptop zugeklappt und darauf vertraut hat, dass das WLAN sich so verhaelt wie das Netz im Buero, der sollte diese Gewohnheit Ende Juli 2026 grundlegend ueberdenken. Sicherheitsforscher von BleepingComputer und HackRead haben unabhaengig voneinander eine Angriffswelle dokumentiert, bei der Kriminelle die DNS-Einstellungen von Hospitality-WLAN-Gateways stillschweigend manipulieren und anschliessend beobachten, wie Gaeste ihre echten Microsoft-365-Passwoerter in täuschend echte Nachbauten der legitimen Loginseite eingeben. Dasselbe Muster zeigt sich aktuell in Konferenzzentren und Coworking-Spaces. Die gute Nachricht: Die zugrunde liegende Technik ist nicht neu, und die Verteidigungsmassnahmen sind nicht kompliziert. Die schlechte Nachricht: Die meisten Reisenden nutzen keine einzige davon.
Was tatsaechlich passiert
Bei den in diesem Monat gemeldeten Angriffen ist nicht das Laptop des Gastes das Opfer, sondern das Gateway selbst. Hotel- und Konferenz-WLANs laufen nahezu immer ueber einen verwalteten Router, der ein Captive Portal fuer die Authentifizierung bereitstellt und im Hintergrund den DNS-Verkehr aller verbundenen Geraete steuert. Sobald ein Angreifer Administratorzugriff auf diesen Router erlangt hat – sei es durch Standard- oder gestohlene Zugangsdaten, eine ungepatchte Firmware-Sicherheitsluecke oder Social Engineering gegen den IT-Dienstleister vor Ort – kann er die DNS-Eintraege aendern, die das Gateway ausliefert. Ab diesem Moment wird jeder Gast in der Lobby, der login.microsoftonline.com in den Browser eingibt, stillschweigend auf einen vom Angreifer kontrollierten Server umgeleitet, der dem echten Microsoft-Portal exakt entspricht. Selbst das TLS-Zertifikat kann uebereinstimmen, weil der Angreifer inzwischen gelernt hat, Zertifikate fuer den Originalhostnamen ueber automatisierte Validierungsdienste auszustellen.
Die Phishing-Seite nimmt E-Mail-Adresse und Passwort entgegen, leitet sie an den echten Microsoft-Endpunkt weiter, sodass der Login erfolgreich verlauft und kein sichtbarer Fehler auftritt, und speichert anschliessend das Session-Cookie. In mehreren Faellen meldet sich der Angreifer innerhalb weniger Sekunden an, nutzt die legitime Sitzung, um Postfach-Weiterleitungsregeln zu aktivieren, neue OAuth-App-Zustimmungen anzulegen und in SharePoint und OneDrive zu pivotieren, bevor der Nutzer ueberhaupt den Browser-Tab geschlossen hat. Eine Zwei-Faktor-Authentifizierung auf dem Konto des Nutzers verlangsamt diesen Ablauf, beendet ihn jedoch nicht, weil der Angreifer nun mit einer gueltigen Sitzung ueber die echten Microsoft-Server agiert.
Warum Hotel-WLAN besonders anfaellig ist
Oeffentliche WLANs waren schon immer ein gewisses Risiko. Hotel- und Konferenznetze bilden aus drei Gruenden einen Sonderfall. Erstens werden die Geraete nur selten in schnellen Zyklen gepatcht. Firmware-Updates fuer Gateways werden von Herstellern vierteljaehrlich oder seltener veroeffentlicht, waehrend Hospitality-IT-Teams haeufig weder ein formales Asset-Inventory noch ein Monitoring fuer unerwartete Konfigurationsaenderungen betreiben. Zweitens teilen sich hunderte Fremde in kurzen Zeitfenstern dasselbe Netz, was dem Angreifer eine hohe Zieldichte und eine schnelle Feedbackschleife ermoeglicht. Drittens fuehrt das Captive Portal dazu, dass der DNS-Verkehr typischerweise ueber einen einzigen herstellerverwalteten Resolver laeuft, statt ueber die verschluesselten Resolver, die moderne Betriebssysteme bevorzugen. Wenn dieser Resolver kompromittiert ist, sind alle Clients im Netzwerk gleichzeitig betroffen.
Microsoft hat in seinen eigenen Leitfaeden fuer reisende Fuehrungskraefte seit Langem auf dieses Risiko hingewiesen. Die aktuelle Welle ist insofern bemerkenswert, als sie offenbar gezielt Microsoft 365 angreift und nicht mehr nur generische Banking- oder Verbraucherzugangsdaten. Diese Fokussierung legt nahe, dass es den Angreifern um Geschaefts-E-Mails, Dateien und vor allem um OAuth-App-Berechtigungen geht, die dauerhaften Zugriff auf SaaS-Mandanten ermoeglichen, lange nachdem der Nutzer bereits ausgecheckt hat.
Warum ein VPN weiterhin die beste Einzelverteidigung ist
Ein vertrauenswuerdiges VPN erledigt beim Verbinden mit einem Hotel-WLAN drei Dinge gleichzeitig. Es verlagert Ihre DNS-Abfragen vom Resolver des Gateways auf einen Resolver, den Sie selbst kontrollieren oder den Ihr VPN-Anbieter betreibt – wodurch die direkteste Variante dieses Angriffs scheitert. Es verschluesselt jedes Paket zwischen Ihrem Geraet und dem VPN-Server, sodass das Gateway die Zielhostnamen nicht mehr einsehen kann, die Sie gleich kontaktieren werden. Und sofern es einen Kill-Switch und DNS-Leak-Schutz enthaelt, verhindert es, dass das Betriebssystem bei einem Sekunden dauernden Tunnelabriss stillschweigend auf den Standard-Resolver des Netzwerks zurueckfaellt. Keine dieser Funktionen ist exotisch; sie gehoeren seit Jahren zum Standard seriöser Consumer-VPNs. Neu ist, dass sie fuer jeden, der sich aus einem Hotelzimmer in einen Microsoft-365-Mandanten einloggt, schlicht nicht mehr optional sind.
Es lohnt sich, klar zu benennen, was ein VPN nicht leistet. Es schuetzt Sie nicht davor, sich auf einer Phishing-Seite einzuloggen, die Sie durch den VPN-Tunnel hindurch erreichen. Falls der Angreifer auf einer hoeheren Schicht als Man-in-the-Middle agiert oder eine von Ihnen vertrauenswuerdig eingestufte Website kompromittiert hat, leitet das VPN den Verkehr treu weiter. Ebenso wenig schuetzt es ein Geraet, das bereits vor der Verbindung mit Malware infiziert war, oder ein Geraet, dem zuvor Schadsoftware ein boesartiges Root-Zertifikat untergeschoben hat. Fuer diese Ebenen brauchen Sie Endpoint Protection, Hardware-Security-Keys und eine gesunde Skepsis gegenueber jeder Zertifikatswarnung, die im Browser erscheint.
Zehn Schritte, bevor Sie ein Hotelnetz nutzen
Verbinden Sie sich zuerst mit Ihrem VPN, bevor Sie einen Browser oeffnen, sich am WLAN anmelden oder die Nutzungsbedingungen des Captive Portals akzeptieren. Das VPN sollte bereits aktiv sein, waehrend Sie Ihre Zugangsdaten in das Portal selbst eingeben.
Stellen Sie sicher, dass Kill-Switch und DNS-Leak-Schutz Ihres VPN aktiviert sind. Testen Sie beide Funktionen vor der Reise in einem anderen Netzwerk, damit Sie wissen, wie sich ein Tunnelabriss auf Ihrem Geraet bemerkbar macht.
Verwenden Sie fuer Microsoft 365 einen Hardware-Security-Key statt SMS- oder App-Codes. Ein FIDO2-Key kann nicht in Echtzeit phisht werden, weil der Browser die Challenge an die echte Domain bindet.
Deaktivieren Sie Auto-Connect zu offenen WLANs auf Laptop und Smartphone. Die meisten Betriebssysteme verbinden sich sonst stillschweigend mit einem nach Hotel oder Flughafen benannten Netz und geben Datenverkehr frei, bevor Sie ueberhaupt einen Browser oeffnen.
Nutzen Sie den Mobilfunk-Hotspot Ihres Smartphones immer dann als Fallback, wenn die Arbeit sensibel ist. Ein modernes Smartphone im Mobilfunknetz ist deutlich weniger exponiert als das Gateway in der Lobby.
Behandeln Sie jede unerwartete Zertifikatswarnung als harten Stopp. Eine legitime Microsoft-365-Loginseite auf einer echten Microsoft-Domain erzeugt in einem modernen Browser niemals einen Zertifikatsfehler.
Oeffnen Sie fuer das Captive Portal ein privates Browserfenster, damit Portal-Cookies und Tracking-Parameter nicht in Ihre Arbeitssitzungen uebertragen werden.
Pruefen Sie am Morgen nach einer Reise die Postfach-Weiterleitungsregeln und OAuth-App-Zustimmungen Ihres Microsoft-365-Kontos. Angreifer, die eine Sitzung abgreifen, handeln oft innerhalb weniger Stunden und versuchen, durch unauffaellige Regeln und Apps dauerhaft Fuss zu fassen.
Halten Sie Laptop und Smartphone vollstaendig gepatcht und starten Sie beide vor der Abreise neu. Eine saubere Sitzung mit aktuellem Browser ist ein deutlich kleineres Ziel als eine, die seit dem letzten Neustart vor einem Monat laeuft.
Wenn Sie einen Unternehmensmandanten in Microsoft 365 verwalten, aktivieren Sie Conditional-Access-Richtlinien, die fuer risikoreiche Anmeldungen ein konformes Geraet oder ein genehmigtes Netzwerk voraussetzen. In Kombination mit Security-Keys wird ein gestohlenes Passwort so zum nutzlosen Artefakt.
Das groessere Muster und seine Bedeutung fuer 2026
DNS-Hijacks in Hotels und Konferenzzentren sind keine neue Angriffskategorie. Neu im Jahr 2026 ist die Fokussierung auf Microsoft 365 und die Geschwindigkeit, mit der Angreifer aus einer einzigen Zugangsdatenangabe dauerhaften Zugriff auf einen SaaS-Mandanten machen. Dasselbe Playbook wird bereits auf andere federierte Identitaetsanbieter, auf Passwortmanager und auf VPN-Konzentratoren selbst angewendet. Oeffentliche WLANs sind fuer Sicherheitsteams keine Randerscheinung mehr, sondern ein bestaetigter Initial-Access-Vektor fuer genau die Art von Business Email Compromise, die in diesem Jahr Versicherungsfaelle und Breach-Meldungen dominiert. Reisende, die jedes Hotelnetz als feindlich behandeln und ein seriöses VPN mit hardwaregestuetzter Multi-Faktor-Authentifizierung kombinieren, gehoeren schlicht nicht mehr zum einfachsten Opferpool. Alle anderen schon – und die aktuell laufenden Kampagnen sind genau darauf ausgelegt, sie zu finden.
Wenn Sie nur eine Erkenntnis aus diesem Artikel mitnehmen, dann diese: Verbinden Sie zuerst Ihr VPN, vertrauen Sie dem Captive Portal zuletzt und lassen Sie ein Hotelnetz niemals Ihr Microsoft-365-Passwort sehen, ohne dass am anderen Ende des Logins ein Hardware-Key bereitsteht.
