Geschäftsreisen, Homeoffice aus dem Café, Meetings am Flughafen — mobile Arbeit ist für viele Mitarbeitende heute Alltag. Und damit steigt die Frage: Wie sicher ist das eigentlich? Was passiert, wenn jemand im Zug das öffentliche WLAN nutzt oder das Smartphone an einer USB-Ladestation auflädt?
Zwei Bedrohungsszenarien dominieren seit Jahren die Awareness-Schulungen und Sicherheitsblogs: Juice Jacking und Evil Twins. Beide werden regelmäßig als ernste Gefahr dargestellt. Doch was ist wirklich dran — und worauf sollten Security-Beauftragte ihre Mitarbeitenden heute tatsächlich vorbereiten?
Juice Jacking: Viel Lärm um nichts
Juice Jacking beschreibt einen Angriff, bei dem manipulierte USB-Anschlüsse oder Ladekabel dazu verwendet werden, Daten vom angeschlossenen Gerät abzugreifen oder Malware zu installieren. Klingt beunruhigend. Und tatsächlich macht das Thema seit 2011 regelmäßig Schlagzeilen.
Die ernüchternde Wahrheit:
Das liegt nicht am fehlenden Interesse der Angreifer, sondern an der technischen Realität: Sowohl Apple als auch Google haben bereits seit 2013 Schutzmechanismen in ihre Betriebssysteme integriert. Moderne iOS- und Android-Geräte unterbinden die Datenübertragung über USB standardmäßig. Bevor irgendwelche Daten fließen können, muss der Nutzer aktiv zustimmen — mit einer expliziten Abfrage auf dem Bildschirm.
Was bedeutet das für die Praxis? Spezielle USB-Datenblock-Adapter ("USB Condoms") sind bei aktuellen Geräten überflüssig. Wer trotzdem an einer Ladestation eine Abfrage zur Datenübertragung erhält, sollte diese ablehnen, das Gerät trennen und einen anderen Ladeplatz suchen. Das war's.
Juice Jacking ist kein relevantes Angriffsszenario mehr. Es als Hauptbedrohung in Awareness-Kampagnen zu positionieren, lenkt von echten Risiken ab.
Öffentliches WLAN: Differenzierter als sein Ruf
Auch hier lohnt sich ein nüchterner Blick. Die pauschale Warnung „öffentliches WLAN ist gefährlich" war in den 2000er Jahren berechtigt — als viele Verbindungen noch unverschlüsselt übertragen wurden und ein Angreifer im selben Netzwerk problemlos mithören konnte.
Heute sieht die Lage anders aus:
- HTTPS ist Standard. Alle relevanten Browser erzwingen mittlerweile verschlüsselte Verbindungen. Sämtliche Daten zwischen Endgerät und Website werden dabei Ende-zu-Ende verschlüsselt — im öffentlichen WLAN genauso wie im Firmennetz. Unsichere HTTP-Verbindungen werden durch deutliche Warnhinweise im Browser markiert.
- Netzwerkinfrastruktur hat aufgeholt. Moderne Public-Hotspots, etwa bei der Deutschen Bahn, nutzen Techniken wie Client Isolation, die verhindern, dass Geräte im selben Netzwerk direkt miteinander kommunizieren können.
Das bedeutet: Das öffentliche WLAN im Hotel oder am Flughafen ist für typische Geschäftstätigkeiten deutlich sicherer als vor zehn Jahren. Eine generelle Nutzungsverbot-Politik ist schwer durchsetzbar und in der Praxis kontraproduktiv.
Die echte Bedrohung: Evil Twins
Wenn öffentliches WLAN heute noch gefährlich ist, dann vor allem durch eine spezifische Angriffstechnik: den Evil Twin.
Ein Evil Twin ist ein gefälschter WLAN-Access-Point, der ein legitimes Netzwerk imitiert — gleicher oder sehr ähnlicher Name, oft sogar stärkeres Signal, um Geräte zur Verbindung zu verleiten. Wer sich unwissentlich verbindet, kann auf verschiedene Arten angegriffen werden:
- Phishing über Captive Portals. Der Angreifer zeigt einen täuschend echten Login-Screen — vertraut aus Hotels und Flughäfen. Statt nur einer E-Mail-Adresse wird auch das Passwort des E-Mail-Accounts abgefragt. Wer hier unaufmerksam ist, übergibt seine Zugangsdaten direkt an den Angreifer.
- Forced App Installation. Das Fake-WLAN behauptet, zur Verbindung müsse eine bestimmte App installiert werden. Die App ist Malware.
- Phishing-Websites. Nutzer werden auf täuschend echte Kopien legitimer Dienste — etwa Online-Banking oder bekannte Plattformen — umgeleitet und zur Dateneingabe verleitet.
Was Evil Twins von Juice Jacking unterscheidet
Evil Twins sind deshalb gefährlicher als Juice Jacking, weil sie nicht auf eine technische Schwachstelle im Betriebssystem angewiesen sind. Sie setzen auf das schwächste Glied: den Menschen unter Zeitdruck. Wer am Flughafen schnell ins WLAN muss, liest den Login-Screen nicht aufmerksam.
Und genau hier liegt die Aufgabe der Security Awareness.
4 Regeln, die wirklich schützen
Für den Schutz im öffentlichen WLAN gibt es vier Maßnahmen, die tatsächlich wirken — und die Mitarbeitende verstehen und anwenden können:
1. VPN nutzen
Eine VPN-Verbindung verschlüsselt den gesamten Datenverkehr und verhindert, dass ein Evil Twin Verbindungen abfangen oder umleiten kann. VPN ist der Goldstandard für sicheres mobiles Arbeiten — schützt aber nicht vor eigenem Fehlverhalten, etwa dem freiwilligen Installieren von Malware.
2. WLAN-Namen verifizieren
Vor der Verbindung den exakten Netzwerknamen beim Personal erfragen oder auf offiziellen Hinweisschildern prüfen. Ähnlich klingende Namen sind ein klassisches Warnsignal.
3. Nur Mindestdaten angeben
Bei öffentlichen Hotspot-Logins ist die Angabe einer E-Mail-Adresse oder Handynummer üblich. Wer nach mehr gefragt wird — insbesondere nach Passwörtern — sollte die Verbindung sofort trennen.
4. Keine Apps installieren
Kein legitimes WLAN verlangt die Installation einer App als Verbindungsvoraussetzung. Solche Aufforderungen sind ein eindeutiges Warnsignal für einen Evil Twin.
Fazit: Gezielte Aufklärung statt Pauschalverbote
Das Sicherheitsniveau beim mobilen Arbeiten ist heute deutlich höher als die Berichterstattung oft suggeriert. Juice Jacking ist praktisch irrelevant. Öffentliches WLAN ist mit den richtigen Maßnahmen vertretbar nutzbar. Die eigentliche Bedrohung — Evil Twins — ist real, aber durch klare Verhaltensregeln gut handhabbar.
Was Security-Verantwortliche daraus mitnehmen sollten: Awareness-Programme müssen aktuell und präzise sein. Veraltete oder übertriebene Bedrohungsszenarien untergraben die Glaubwürdigkeit und sorgen für Reaktanz statt Verhaltensänderung. Mitarbeitende, die wissen, was wirklich gefährlich ist, treffen bessere Entscheidungen — auch ohne VPN-Zwang oder Nutzungsverbot.
Mobilität ist keine Ausnahme mehr. Sie ist Arbeitsrealität. Die Sicherheitsstrategie sollte das widerspiegeln.