Das Hotel-WLAN ist immer noch das schwächste Glied
Fast zwanzig Jahre nach den ersten gezielten Angriffen auf Hotelnetze wiederholt sich das Muster — nur professioneller. Aktuelle Kampagnen zielen ausschließlich auf Microsoft-Zugangsdaten. Der wirksamste Schutz kostet nichts und dauert zehn Sekunden.
„Dark Hotel“ war 2014 eine kleine Sensation: eine Angriffskampagne, die gezielt Führungskräfte in Hotels ins Visier nahm — über das Gäste-WLAN, mit gefälschten Software-Updates, präzise auf einzelne Personen zugeschnitten. Wer damals dachte, das sei ein Einzelfall, sieht sich seither regelmäßig widerlegt.
Heute geht es professioneller zu. Aktuelle Kampagnen — unter anderem der als „Midnight Blizzard“ bekannten Gruppe zugeschrieben — haben ein klares Ziel: Microsoft-Zugangsdaten. Der Weg dorthin führt über manipulierte Netzwerke und Weiterleitungen auf täuschend echte Anmeldeseiten.
Warum ausgerechnet Hotels
Die Antwort ist unromantisch: Hotel-WLAN-Infrastrukturen sind weltweit überwiegend schlecht gewartet. Sie werden von Dienstleistern betrieben, selten aktualisiert, und niemand im Haus fühlt sich zuständig. Gleichzeitig sitzen dort genau die Menschen, deren Zugänge wertvoll sind: Vorstände, Vertriebsleiter, Berater — unterwegs, unter Zeitdruck, mit dem Laptop auf dem Bett.
Der wirksamste Schutz ist der einfachste
Man kann viel Geld für Sicherheitstechnik ausgeben. In diesem Fall reicht eine Gewohnheit:
- Nutzen Sie den Hotspot Ihres Smartphones. Innerhalb Europas spielt Roaming keine Rolle mehr, und jeder halbwegs aktuelle Business-Tarif gibt das Datenvolumen her. Ihr eigenes Mobilfunknetz ist um Größenordnungen vertrauenswürdiger als ein fremdes WLAN.
- VPN grundsätzlich, nicht gelegentlich. Am besten erzwungen durch die Unternehmensrichtlinie, nicht der Selbstdisziplin überlassen.
- Phishing-resistente Zwei-Faktor-Authentifizierung. Passkeys oder Hardware-Token statt SMS-Codes. Wer echte Hardware-Bindung nutzt, verliert seine Zugangsdaten auch dann nicht, wenn er auf der gefälschten Seite landet.
- Keine Software-Updates im fremden Netz. Genau darüber lief schon Dark Hotel.
Und die unbequeme Wahrheit
Sie kennen diese Regeln. Ihre Führungskräfte kennen sie auch. Trotzdem funktioniert der Angriff seit zwei Jahrzehnten zuverlässig — weil Sicherheit auf Reisen mit Bequemlichkeit konkurriert und dabei meistens verliert.
Deshalb gehört das nicht in eine E-Mail, sondern in die Reiserichtlinie — und in die Awareness-Schulung, die ausnahmsweise nicht mit erhobenem Zeigefinger arbeitet, sondern erklärt, warum genau diese zehn Sekunden am Check-in den Unterschied machen.