Russisch verortete Angreifer übernehmen die WLAN-Technik von Hotels und Konferenzzentren – und greifen darüber die Firmen-Logins reisender Mitarbeiter ab. Ohne Phishing-Mail, ohne dass ein einziges Gerät infiziert wird. Selbst die Zwei-Faktor-Anmeldung schützt nicht.
Wer geschäftlich reist, loggt sich irgendwann ins Hotel-WLAN ein – reflexhaft, ohne nachzudenken. Genau darauf zielt eine Angriffskampagne, die die IT-Sicherheitsfirma ReliaQuest seit Juni 2026 beobachtet [1]. Die Angreifer knacken nicht die Laptops der Gäste. Sie knacken das WLAN selbst.
Betroffen ist die Technik hinter der Anmeldeseite, die einen im Hotel-WLAN zuerst begrüßt. Über schlecht gesicherte Verwaltungszugänge und schwache Passwörter verschaffen sich die Angreifer die Kontrolle über dieses Gerät. Ab diesem Moment entscheidet es, wohin die Gäste im Netz geleitet werden.
Nutzer merken nichts
Der Trick ist unauffällig. Ruft ein Gast die echte Microsoft-Anmeldeadresse auf, schickt ihn das manipulierte WLAN heimlich auf eine täuschend echt nachgebaute Login-Seite. Dort gibt er seine Zugangsdaten ein – im Glauben, bei Microsoft zu sein. An seinem Gerät wurde nichts verändert, keine verdächtige Software installiert, keine E-Mail geöffnet. Die üblichen Warnsignale fehlen schlicht.
Besonders unangenehm: Selbst die Zwei-Faktor-Anmeldung, auf die viele Unternehmen als letzte Verteidigungslinie setzen, greift hier nicht zuverlässig. Die Angreifer nutzen einen legitimen Anmeldeweg von Microsoft aus, um sich dauerhaften Zugang zu verschaffen – ganz ohne das Passwort dauerhaft zu benötigen.
Wer im Visier steht
ReliaQuest beobachtete betroffene Verbindungen aus mehreren US-Städten sowie aus Indien und Saudi-Arabien – quer durch Finanzdienstleister, Kanzleien, Gesundheitswesen, Energie und Handel. Das Muster deutet nicht auf eine bestimmte Branche hin, sondern auf reisende Mitarbeiter als Gelegenheitsziel. Wer viel unterwegs ist und dabei auf Firmenkonten zugreift, ist exponiert.
Die Spur führt nach Russland. ReliaQuest sieht Parallelen zur Gruppe APT28 – auch bekannt als „Fancy Bear" –, betont aber ausdrücklich: Die Ähnlichkeit betrifft die Vorgehensweise, nicht die technische Infrastruktur. Ein handfester Beleg für die Urheberschaft fehlt also. Diese Unterscheidung gehört zur Redlichkeit dazu und sollte nicht verwischt werden.
Was Unternehmen jetzt tun sollten
Die gute Nachricht: Der Schutz ist unspektakulär und bekannt. Wer Firmengeräte konsequent über ein durchgehendes Unternehmens-VPN zwingt, entzieht dem Angriff die Grundlage – der gesamte Datenverkehr läuft dann durch vertrauenswürdige Server, bevor das Hotel-WLAN ihn anfassen kann. Ergänzend lässt sich der von den Angreifern missbrauchte Anmeldeweg dort abschalten, wo er betrieblich nicht gebraucht wird.
Wer ganz auf Distanz zum im Grunde unbekannten Netz gehen will, umgeht es gleich vollständig. „Zunächst einmal meiden wir öffentliche WLANs, wann immer möglich", sagt Daniel Schönland vom Sicherheitsanbieter Identiqa. „Sofern die Abdeckung es ermöglicht, bietet sich ein Tethering über 5G beziehungsweise das Smartphone an – und darüber dann ein verschlüsselter, direkter Zugriff auf die Ressourcen. Gegebenenfalls noch einen robusten Proxy zwischengeschaltet, und es wird schnell schwierig für Angreifer." Der Gedanke dahinter: Wer den Umweg über das Hotel-Gateway erst gar nicht nimmt, entzieht dem Angriff seinen Angriffspunkt.
Der eigentliche Lernwert liegt weniger im einzelnen Vorfall als in einer Verschiebung: Öffentliches WLAN war noch nie vertrauenswürdig. Neu ist, dass die Angreifer nicht mehr die Geräte der Reisenden ins Visier nehmen, sondern die Netzinfrastruktur dazwischen – dort, wo kein Virenscanner hinsieht.