Hotel-WLAN im Visier: Wie manipulierte Gateways Microsoft-365-Konten gefährden

Ein Hotel-WLAN kann den richtigen Namen tragen, durch ein Passwort geschützt sein und dennoch zum Sicherheitsrisiko werden. Der Grund: Nicht nur andere Gäste im Netzwerk können eine Gefahr darstellen. Auch das zentrale WLAN-Gateway selbst kann kompromittiert sein. Sicherheitsforscher von ReliaQuest haben eine Kampagne dokumentiert, bei der Angreifer die Netzwerkkomponenten von Hotels und Konferenzzentren manipulieren und Geschäftsreisende auf gefälschte Microsoft-365-Seiten umleiten. Eine Phishing-Mail oder Schadsoftware auf dem Notebook ist dafür nicht erforderlich.

 

Was über die Angriffe tatsächlich bekannt ist

Die Aktivität wird mindestens seit Juni 2026 beobachtet. Betroffene WLAN-Gateways wurden in mehreren US-Städten sowie in Indien und Saudi-Arabien gefunden. Deutsche Hotels oder Unternehmen werden im Bericht nicht genannt. Ebenso fehlen Angaben zu Herstellern, Gerätemodellen und zur Gesamtzahl der kompromittierten Systeme.

Auch die Urheberschaft ist noch nicht abschließend geklärt. Die Vorgehensweise erinnert an frühere Angriffe der russischen Gruppe APT28, die auch unter den Namen Forest Blizzard und Fancy Bear bekannt ist. ReliaQuest nimmt für die aktuelle Kampagne aber ausdrücklich keine direkte Zuschreibung vor. Es fehlen gemeinsame technische Infrastruktur, wiederverwendeter Code oder andere eindeutige Belege. Die frühere, gesichert APT28 zugeschriebene FrostArmada-Kampagne muss deshalb von den aktuellen Angriffen auf Hotelnetzwerke getrennt betrachtet werden.

 

Wenn das Netzwerk falsche Antworten liefert

Ein WLAN-Gateway teilt verbundenen Geräten unter anderem mit, welchen DNS-Server sie verwenden sollen. DNS übersetzt Namen wie eine Microsoft-Anmeldeadresse in die dazugehörige IP-Adresse. Kontrolliert ein Angreifer diese Namensauflösung, kann er Anfragen zu eigenen Servern umleiten.

Genau das geschah in den untersuchten Hotelnetzwerken. Statt der erwarteten Seite erhielten Reisende eine von den Angreifern kontrollierte Antwort. Ein fest eingetragener öffentlicher DNS-Server schützt davor nicht automatisch: Werden die DNS-Anfragen unverschlüsselt übertragen, kann ein kompromittiertes Gateway auch diese Pakete abfangen und manipulieren. Wirksam sind vor allem ein Full-Tunnel-VPN einschließlich DNS oder strikt erzwungenes verschlüsseltes DNS ohne Rückfall auf unverschlüsselte Verbindungen.

 

MFA wurde nicht geknackt – aber geschickt missbraucht

In einer begrenzten Zahl von Fällen beobachtete ReliaQuest den Missbrauch des Microsoft-Gerätecode-Verfahrens. Dieses Verfahren ist eigentlich für Geräte gedacht, auf denen sich Zugangsdaten schlecht eingeben lassen, beispielsweise Konferenzsysteme oder Smart-TVs.

Die Angreifer starteten einen solchen Anmeldevorgang und brachten das Opfer dazu, ihn zu bestätigen. Aus Sicht der betroffenen Person kann dabei sogar ein echter Microsoft-Dialog erscheinen. Nach der Bestätigung stellt Microsoft gültige OAuth-Token für die vom Angreifer gestartete Sitzung aus. Die Mehr-Faktor-Authentifizierung wird also nicht technisch gebrochen. Stattdessen autorisiert der Nutzer unwissentlich die falsche Sitzung – mit dem Ergebnis eines bereits MFA-bestätigten Zugriffs.

 

Warum deutsche KMU das Thema ernst nehmen sollten

Für deutsche Unternehmen sind keine konkreten Opferzahlen bekannt. Dennoch ist die mögliche Angriffsfläche erheblich: 2025 wurden in Deutschland 116,1 Millionen Geschäftsreisen durchgeführt. Mehr als drei Viertel davon entfielen auf Unternehmen mit 10 bis 500 Beschäftigten. Gleichzeitig nutzen 51 Prozent der kleinen und 65 Prozent der mittleren Unternehmen kostenpflichtige Cloud-Dienste. E-Mail und Office-Anwendungen gehören dabei zu den häufigsten Einsatzbereichen.

Belastbare Verkaufszahlen betroffener Hotel-Gateways gibt es nicht, weil die eingesetzten Hersteller und Modelle nicht veröffentlicht wurden. Auch die häufig zitierte Zahl von 18.000 Systemen liefert keine deutsche Größenordnung: Sie stammt aus der älteren FrostArmada-Kampagne und bezeichnet weltweit beobachtete IP-Adressen mittlerer Konfidenz – nicht 18.000 nachweislich kompromittierte Hotel-Router.

 

Welche Maßnahmen jetzt sinnvoll sind

Die wichtigste Schutzmaßnahme ist ein automatisch startendes Always-on-VPN im Full-Tunnel-Betrieb. Sämtlicher Datenverkehr einschließlich DNS sollte durch den geschützten Tunnel laufen. Split-Tunneling muss so konfiguriert sein, dass weder DNS noch Microsoft-365-Anmeldungen am Tunnel vorbeigeleitet werden. Ein kontrollierter Netzwerkzugriff sollte zudem verhindern, dass Firmendaten übertragen werden, bevor das VPN vollständig aufgebaut ist.

Zusätzlich sollten Unternehmen prüfen, ob der Gerätecode-Flow in Microsoft Entra überhaupt benötigt wird. Microsoft empfiehlt, bestehende Nutzung zunächst über die Anmeldeprotokolle oder im Berichtsmodus zu erfassen und das Verfahren anschließend möglichst umfassend per Conditional Access zu blockieren. Notwendige Ausnahmen müssen auf bestimmte Konten, Geräte und Standorte begrenzt werden.

Auch WPAD, die automatische Windows-Proxyerkennung, gehört auf den Prüfstand. Wird die Funktion nicht benötigt, sollte sie deaktiviert werden. Ergänzend empfehlen wir eine zentrale Auswertung von DNS-, Proxy- und Entra-Anmeldeprotokollen. Unerwartete Gerätecode-Anmeldungen, neue registrierte Geräte oder Zugriffe aus ungewöhnlichen Regionen sollten unmittelbar untersucht werden.

Hat eine reisende Person einen verdächtigen Anmeldedialog bestätigt, reicht eine Passwortänderung nicht aus. Das Konto sollte vorübergehend gesperrt, aktive Sitzungen und Refresh-Tokens sollten widerrufen und registrierte Geräte, Weiterleitungsregeln sowie verdächtige Anwendungen sollten kontrolliert werden.

 

Empfehlung von Bee IT

Geschäftsreisen sollten als eigener IT-Sicherheitsfall behandelt werden. Dazu gehören zentral verwaltete Endgeräte, ein erzwungenes Full-Tunnel-VPN, passende Conditional-Access-Regeln, nachvollziehbare Protokolle und eine verständliche Reiserichtlinie. Beschäftigte sollten insbesondere wissen, dass ein unerwarteter Microsoft-Dialog im Hotel-WLAN kein normaler Bestandteil der WLAN-Anmeldung ist.

Wir empfehlen Unternehmen, ihre VPN-Konfiguration, den Gerätecode-Flow und die Reaktionsabläufe für kompromittierte Microsoft-365-Konten jetzt gemeinsam zu überprüfen. So wird aus einer allgemeinen Warnung eine konkrete und überprüfbare Schutzmaßnahme.