Im Hotel kurz die Buchung prüfen, am Flughafen ins WLAN gehen oder über einen QR-Code den Parkplatz bezahlen: Unterwegs wechseln Verbindung, Umgebung und Zeitdruck ständig. Genau das macht selbst harmlose Vorgänge anfälliger für Fehler.
Das Wichtigste in Kürze
Sicher surfst du im Urlaub, indem du für sensible Zugänge mobile Daten statt Hotel-WLAN nutzt, Buchungsnachrichten nur über die offizielle App oder Website öffnest und dein Handy vor der Reise mit Updates, Sperrcode, Zwei-Faktor-Authentisierung sowie Ortungsfunktion absicherst. Ein VPN schützt die Verbindung im fremden Netz, erkennt aber keine gefälschten Websites oder QR-Codes.
- Frage im Hotel nach dem genauen WLAN-Namen und deaktiviere automatische Verbindungen mit offenen Netzen.
- Prüfe bei QR-Codes vor dem Öffnen die angezeigte Zieladresse auf fremde oder kryptische Domains.
- Nutze Banking und E-Mail nie über Hotelcomputer, sondern nur über dein eigenes, aktuelles Gerät.
- Sperre bei Verlust zuerst Gerät, SIM und E-Mail-Konto, bevor du weitere Passwörter änderst.
Für sensible Zugänge nutzt du nach Möglichkeit mobile Daten oder deinen eigenen Hotspot. Buchungsnachrichten öffnest du über die offizielle App statt über den mitgeschickten Link. Vor der Abreise sollten Updates, Gerätesperre, Zwei-Faktor-Authentisierung und die Ortungsfunktion eingerichtet sein. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, fasst diese Vorbereitung in seinen Reisehinweisen vom Juni 2026 ebenfalls als Schutz für Geräte, Konten und persönliche Daten zusammen.[1]
Welche Verbindung passt zu welcher Aufgabe?
- Für Wetter, Öffnungszeiten, Karten und allgemeine Recherchen kann ein bestätigtes Hotel- oder Flughafen-WLAN ausreichen.
- Für E-Mail, Cloud-Speicher und Buchungsportale sind mobile Daten oder der eigene Hotspot die ruhigere Wahl.
- Banking, Kreditkartendaten, Behördenzugänge und wichtige Kontoeinstellungen erledigst du nicht über ein beliebiges offenes WLAN.
Der kurze Gerätecheck vor der Abreise
Vieles lässt sich zu Hause vorbereiten, solange alle Passwörter, Ladegeräte und Vertragsunterlagen griffbereit sind. Das dauert nicht lange und verhindert, dass ein verlorenes Smartphone gleichzeitig zum verlorenen Zugang für E-Mail, Banking und Reiseunterlagen wird.
- Installiere verfügbare Updates für Betriebssystem, Browser, Banking-App und Buchungs-Apps.
- Aktiviere eine ausreichend lange PIN oder ein Gerätepasswort. Fingerabdruck und Gesichtserkennung ergänzen die Sperre, ersetzen den Code aber nicht.
- Schalte die Ortungs- und Sperrfunktion von Android oder Apple ein und prüfe, ob du dich von einem zweiten Gerät aus anmelden kannst.[7][8]
- Sichere wichtige Fotos, Kontakte und Dokumente vor der Reise in einem Backup.
- Richte für das E-Mail-Konto, das Google- oder Apple-Konto und weitere wichtige Zugänge einen zweiten Anmeldefaktor ein.[5]
Das E-Mail-Postfach verdient besondere Aufmerksamkeit. Darüber lassen sich bei vielen Diensten Passwörter zurücksetzen. Wer Zugriff auf die E-Mail erhält, kommt möglicherweise auch an Reiseportale, Shops, Cloud-Speicher und soziale Netzwerke.
Hotel-WLAN erst bestätigen, dann verbinden
Ein Netzwerkname wie „Hotel Guest WiFi“ beweist nicht, dass das Netz wirklich zum Hotel gehört. Frage an der Rezeption nach dem genauen Namen und dem vorgesehenen Anmeldeweg. Am Flughafen oder im Café findest du diese Angaben häufig auf offiziellen Schildern oder direkt beim Personal.
Schalte die automatische Verbindung mit offenen Netzwerken aus. Sonst kann sich das Gerät später erneut mit einem gleichnamigen Netz verbinden, ohne dass du es bewusst auswählst. Lösche fremde WLANs nach der Nutzung aus der Liste gespeicherter Netzwerke.
Das BSI rät dazu, vertrauliche Informationen in fremden WLANs möglichst nicht abzurufen. Für Vorgänge mit hohem Schadenpotenzial sind mobile Daten oder ein eigener Hotspot meist die bessere Verbindung.[2]
Auch ein korrekt benanntes Hotel-WLAN ist kein vertrautes Heimnetz. Andere Gäste teilen dieselbe Infrastruktur, und du kannst weder Einstellungen noch Wartung beurteilen. Das bedeutet nicht, dass jede Verbindung gefährlich ist. Es bedeutet nur, dass du dort keine unnötigen Risiken eingehst.
Ein VPN hilft im fremden Netz, prüft aber keine Website
Ein VPN verschlüsselt die Verbindung zwischen deinem Gerät und dem Server des VPN-Anbieters. Das kann in einem fremden WLAN verhindern, dass der lokale Datenverkehr leicht eingesehen oder manipuliert wird. Du verlagerst das Vertrauen damit allerdings zum VPN-Dienst.[3]
Nutze keinen unbekannten Gratisdienst nur deshalb, weil eine App mit „sicherem WLAN“ wirbt. Der Anbieter kann technisch sehen, welche Verbindungen über seine Infrastruktur laufen. Sinnvoll sind ein bereits eingerichteter Dienst eines nachvollziehbaren Anbieters oder der VPN-Zugang des Arbeitgebers.
Vor Phishing schützt ein VPN nicht. Öffnest du eine täuschend echte falsche Buchungsseite und gibst dort Passwort oder Kreditkartendaten ein, wird genau diese Eingabe verschlüsselt an die falsche Seite übertragen. Adresse, App und Anlass der Anmeldung müssen weiterhin stimmen.
Buchungsnachrichten nicht aus der Nachricht heraus bearbeiten
Eine angeblich fehlgeschlagene Hotelzahlung wirkt kurz vor der Anreise plausibel. Dasselbe gilt für eine vermeintliche Flugänderung, eine Nachzahlung beim Mietwagen oder eine Nachricht über ein unzustellbares Reisedokument.
Öffne den Vorgang nicht über den Link in der Mail oder SMS. Starte stattdessen die bekannte App oder gib die Adresse des Reiseportals selbst im Browser ein. Dort siehst du, ob tatsächlich eine Zahlung, Bestätigung oder Änderung aussteht. Das BSI empfiehlt für Reiseunterlagen und Buchungen ebenfalls den direkten Weg über Portal, Anbieter oder Unterkunft.[1]
Ein bekanntes Hotel, dein richtiger Reisezeitraum und eine echte Buchungsnummer machen eine Nachricht nicht automatisch vertrauenswürdig. Solche Daten können aus kompromittierten Konten, abgefangenen Nachrichten oder öffentlich sichtbaren Reiseinformationen stammen.
Auffällig sind neue Zahlungsempfänger, ungewöhnlicher Zeitdruck, die Forderung nach einer erneuten Karteneingabe oder eine Adresse, die nur ungefähr wie das echte Portal aussieht. Besonders vorsichtig solltest du werden, wenn der angebliche Anbieter plötzlich eine Überweisung, Kryptowährung oder einen Messenger verlangt.
QR-Codes vor dem Öffnen kurz ansehen
QR-Codes führen im Restaurant zur Speisekarte, am Parkautomaten zur Bezahlseite und im Hotel zum WLAN. Der Code selbst zeigt jedoch nicht, welches Ziel dahinterliegt. Beim sogenannten Quishing wird ein QR-Code genutzt, um Menschen auf gefälschte Login- oder Zahlungsseiten zu führen.[4]
Prüfe bei frei zugänglichen Codes, ob ein neuer Aufkleber über dem ursprünglichen Schild klebt. Lass dir vor dem Öffnen die Zieladresse anzeigen. Eine fremde Domain, eine kryptische Kurzadresse oder ein Schreibfehler im Namen des Anbieters sind Gründe, den Vorgang abzubrechen.
Bei einer Speisekarte ist der mögliche Schaden begrenzt. Sollst du dich anmelden, Kartendaten eingeben oder eine App installieren, wechselst du besser zur offiziellen Website oder suchst die App selbst im App-Store.
QR-Code am Parkautomaten überklebt?
Öffne die Zahlungsseite nicht. Suche nach dem Namen des Parkplatzbetreibers auf dem Automaten und rufe dessen offizielle Website oder App selbst auf. Melde den auffälligen Aufkleber dem Betreiber, Hotel oder Ordnungsamt.
Banking und Zahlungen nur auf dem eigenen Gerät
Online-Banking ist im Urlaub nicht automatisch riskant. Auf dem eigenen, aktualisierten Smartphone über mobile Daten und in der offiziellen Banking-App ist die Situation deutlich besser kontrollierbar als an einem Hotelcomputer oder über einen Link aus einer Nachricht.
Prüfe vor der Reise, ob Banking-App und Freigabeverfahren funktionieren. Liegen Banking und zweiter Faktor auf demselben Smartphone, solltest du wissen, wie du nach einem Verlust wieder Zugriff erhältst. Hinterlege keine Wiederherstellungscodes ausschließlich auf diesem Gerät.
Öffentliche Computer oder Tablets in Hotellobbys eignen sich nicht für Banking, E-Mail und Cloud-Speicher. Du kannst nicht erkennen, welche Programme, Browser-Erweiterungen oder Aufzeichnungsfunktionen installiert sind. Auch der private Browsermodus schützt nicht vor Software, die Eingaben auf dem Gerät mitschneidet.
Speichere vor der Abreise die Kontaktdaten deiner Bank. Der Sperr-Notruf ist aus dem Ausland unter +49 116 116 erreichbar. Kommt keine Verbindung zustande, nennt der Dienst als Alternative +49 30 4050 4050. Abhängig von Anbieter und Reiseland können Telefonkosten entstehen.[6]
Beim Laden keine Datenverbindung freigeben
Eine eigene Powerbank oder das eigene Netzteil an einer Steckdose vermeidet die Unklarheit öffentlicher USB-Anschlüsse. USB kann neben Strom auch Daten übertragen. Fragt das Smartphone an einem fremden Anschluss nach einer Datenfreigabe oder danach, ob du dem verbundenen Gerät vertraust, lehnst du ab.
Für die meisten Reisen reicht diese Gewohnheit aus. Zusätzliche Adapter oder Datenblocker sind nicht zwingend nötig. Kontrolliere außerdem, ob Powerbanks nach den Vorgaben der Fluggesellschaft ins Handgepäck gehören und welche Kapazitätsgrenzen gelten.
Wenn das Smartphone nicht mehr da ist
Ist das Gerät verloren oder gestohlen, sollte nicht zuerst jedes Passwort einzeln geändert werden. Sperre zunächst das Gerät und die Verbindungen, über die jemand unmittelbar handeln könnte.
- Rufe die Ortungsseite von Google oder Apple über ein anderes vertrauenswürdiges Gerät auf und markiere das Smartphone als verloren.[7][8]
- Sperre die SIM oder eSIM beim Mobilfunkanbieter, wenn das Gerät nicht kurzfristig wieder auftaucht.
- Sperre verlorene Bank- und Kreditkarten und prüfe die letzten Umsätze.
- Ändere zuerst die Zugangsdaten des E-Mail-Kontos sowie des Google- oder Apple-Kontos. Danach folgen Banking, Cloud-Speicher, Reiseportale und weitere sensible Dienste.
- Nutze die Fernlöschung, wenn eine Rückgabe unwahrscheinlich ist und die Daten auf dem Gerät geschützt werden müssen. Nach dem Löschen kann die weitere Ortung je nach System eingeschränkt sein.
- Erstatte bei Diebstahl Anzeige und sichere Aktenzeichen, Kaufbeleg und Gerätenummern für Versicherung und Mobilfunkanbieter.
Notfalldaten nicht nur auf dem Handy speichern
Notiere Bankkontakt, Mobilfunkanbieter, Versicherungsnummer, Sperrnummern und die Adressen der Ortungsdienste zusätzlich auf Papier oder bei einer mitreisenden Person. Die IMEI des Smartphones findest du häufig auf der Verpackung, der Rechnung oder im Kundenkonto des Herstellers.
Welche Daten du offline dabeihaben solltest
Boardingpass, Hoteladresse, Buchungsnummer und Notfallkontakte sollten auch ohne Netz erreichbar sein. Speichere sie in der jeweiligen Reise-App für die Offline-Nutzung oder als geschützte Datei. Ein Screenshot kann für einen Boardingpass oder eine Adresse genügen, nicht aber für ungeschützte Kopien von Ausweisen und Kreditkarten.
Ausweiskopien gehören in einen geschützten Speicherbereich oder einen verschlüsselten Cloud-Ordner. Blende Angaben aus, die für den jeweiligen Zweck nicht benötigt werden. Eine Unterkunft braucht beispielsweise nicht automatisch eine dauerhaft gespeicherte vollständige Kopie aller Dokumentseiten.
Nach der Rückkehr kannst du gespeicherte Hotel-WLANs entfernen, nicht mehr benötigte Dokumentkopien löschen und Kontobewegungen kontrollieren. Bei einer verdächtigen Nachricht, einer ungewöhnlichen Anmeldung oder einer unbekannten Zahlung reagierst du direkt über den jeweiligen Anbieter – nicht über die Kontaktdaten aus der verdächtigen Nachricht.
Quellen
- Sicher reisen, digital geschützt bleiben (Bundesamt für Sicherheit in der Informationstechnik, veröffentlicht am 19.06.2026, abgerufen am 14.07.2026)
- Sicherheitstipps für privates und öffentliches WLAN (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 14.07.2026)
- Wie funktioniert ein Virtual Private Network? (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 14.07.2026)
- KI-gestützte QR-Code-Betrügereien (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 14.07.2026)
- Zwei-Faktor-Authentisierung (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 14.07.2026)
- Karte aus dem Ausland sperren (Sperr-Notruf 116 116, abgerufen am 14.07.2026)
- Verlorenes Android-Gerät orten, sperren oder Daten darauf löschen (Google-Hilfe, abgerufen am 14.07.2026)
- Verlorenes iPhone oder iPad orten (Apple Support, abgerufen am 14.07.2026)
FAQs zum Thema Sicher surfen im Urlaub
Kann ich das Hotel-WLAN für WhatsApp und normale Webseiten nutzen?
Für Nachrichten und allgemeine Webseiten kann ein vom Hotel bestätigtes WLAN ausreichen. Öffne darüber keine unerwarteten Login- oder Zahlungsseiten und halte Betriebssystem sowie Apps aktuell. Für Banking und Änderungen an wichtigen Konten sind mobile Daten oder der eigene Hotspot vorzuziehen.
Brauche ich im Urlaub zwingend ein VPN?
Nein. Mobile Daten sind für viele sensible Vorgänge bereits die einfachere Wahl. Ein vertrauenswürdiges VPN kann bei häufig genutzten fremden WLANs zusätzlichen Schutz für die Verbindung bieten. Es erkennt jedoch keine gefälschten Websites und verhindert nicht, dass du Daten auf einer falschen Seite eingibst.
Ist ein QR-Code im Restaurant gefährlich?
Die meisten Codes führen lediglich zur Speisekarte. Misstrauisch solltest du werden, wenn der Code überklebt aussieht, eine fremde Adresse öffnet oder plötzlich Login-, Zahlungs- oder App-Daten verlangt. In solchen Fällen rufst du die Website des Restaurants oder Betreibers selbst auf.
Was sperre ich nach einem Handydiebstahl zuerst?
Markiere das Gerät über Google oder Apple als verloren und sperre anschließend SIM beziehungsweise eSIM sowie betroffene Zahlungskarten. Danach sicherst du zuerst das E-Mail-, Google- oder Apple-Konto, weil darüber häufig weitere Zugänge wiederhergestellt werden können.
