Wie sicher ist WLAN in Mexiko?

Die Fußball-Weltmeisterschaft 2026 ist eines der größten Sportereignisse in diesem Sommer. Das Turnier findet in drei Ländern statt: USA, Kanada und Mexiko. Veranstaltungen dieser Größenordnung ziehen leider nicht nur Fans an, sie wirken auch wie ein Magnet auf Betrüger aus der ganzen Welt. Wir haben bereits darüber berichtet, wie sich Cyberkriminelle mit betrügerischen Apps auf die WM vorbereiten. Heute geht es um die digitale Sicherheit der Fans, die vor Ort in Mexiko dabei sind.

Das Land richtet 13 Spiele aus. Millionen von Touristen werden erwartet. Fußballfans übernachten in Hotels, besuchen Stadien und Restaurants, sind auf Flughäfen unterwegs und besichtigen beliebte Sehenswürdigkeiten. Und überall ist die Versuchung groß, sich bei öffentlichen WLANs einzuloggen.

Wir haben mehr als 84.500 (!) öffentliche WLAN-Zugangspunkte in Mexiko City, Guadalajara und Monterrey untersucht und einige interessante Dinge über deren Sicherheit herausgefunden. Spoiler-Alarm: Viele Netzwerke verwenden nach wie vor veraltete Sicherheitsstandards, darum solltest du auf jeden Fall einen zuverlässigen Schutz und eine eSIM in den Urlaub mitnehmen.

Was und wie wir getestet haben

Zu Fuß durch Mexiko, um nach öffentlichen WLAN-Zugangspunkten zu suchen – das wäre etwas schwierig gewesen. Obwohl wir genau so bei einer ähnlichen WLAN-Sicherheitsstudie in Paris unterwegs waren. Die Ergebnisse von damals findest du hier: Wie sicher ist das WLAN in Paris?

Diesmal war die Mission jedoch wesentlich anspruchsvoller: die Kartografierung der drahtlosen Landschaft in drei großen Metropolen. Unsere Methode: Wardriving. Dabei wird ein Fahrzeug mit einem Smartphone oder Laptop ausgestattet und scannt und protokolliert während der Fahrt drahtlose Netzwerke. Man könnte es mit der WLAN-Suche auf einem Telefon vergleichen, bei der das Gerät permanent nach Netzwerken in der Nähe sucht. Anstatt Verbindungen herzustellen, sammelten wir jedoch nur Daten über die Netzwerke.

Alle Informationen wurden ausschließlich für passive Beobachtungen und Infrastrukturanalysen verwendet. Die Experten des Global Research and Analysis Teams (GReAT) von Kaspersky empfingen nur öffentlich übertragene Dienstinformationen. Es wurde nicht versucht, sich bei den gefundenen Netzwerken anzumelden, den Datenverkehr abzufangen, Systeme auszunutzen oder auf andere Weise mit drahtlosen Netzwerken zu interagieren. Mobile Zugangspunkte, die in Autos und auf Mobilgeräten aktiv waren, wurden aus diesem Experiment ausgeschlossen.

Unser wichtigstes Ziel war Mexiko City, die Hauptstadt und eine der am dichtesten besiedelten Städte Lateinamerikas. Wir kreuzten durch beliebte Touristenattraktionen wie Mexico City Stadium, Mexico City International Airport, Zócalo, Paseo de la Reforma, Colonia Roma, La Condesa, Polanco und Coyoacán.

Auch in Guadalajara und Monterrey hatten wir ähnliche Routen: Fußballstadien, wichtige Straßen, Flughäfen, beliebte Stadtviertel. Unten siehst du eine Heatmap der Gebiete, in denen wir unterwegs waren: von Rot für Gegenden mit der höchsten Dichte an öffentlichen Zugangspunkten über Gelb und Grün bis hin zu Blau für die niedrigste Konzentration.

Wir verwendeten passive Funkerkennung und protokollierten in diesen drei Städten 84.500 Signale und 69.500 eindeutige Netzwerk-IDs. Die meisten Signale erhielten wir in Mexiko City (61,4 %), gefolgt von Guadalajara (23,6 %) und Monterrey (14,8 %).

Das wurde analysiert:

• Identifikatoren drahtloser Netzwerke (SSIDs): die Namen, die in der Liste der verfügbaren WLAN-Netzwerke angezeigt werden
• Informationen, die sich aus diesen IDs ableiten lassen
• Standardmäßige Routerkonfigurationen und Methoden, mit denen ISPs ihre Netzwerke bereitstellen
• Verwendete Frequenzen und Signaleigenschaften
• Kanalauslastung und Nutzung des Funkfrequenzspektrums
• Sicherheitskonfigurationen von drahtlosen Netzwerken
  • Offene und unsichere Netzwerke
  • Netzwerke mit aktiviertem WPS
  • Sichere Netzwerke (WPA2/WPA3) mit aktiviertem WPS

Die vollständige Version der Studie findest du im Securelist-Blog.

Verräterische Namen von öffentlichen WLAN-Zugangspunkten

Netzwerknamen (SSIDs) können viel verraten. Ganz unbeabsichtigt geben sie Informationen über Hardwarehersteller, ISPs und Bereitstellungsmethoden preis. Und auch darüber, ob ein Zugangspunkt einem Unternehmens- oder Privatbenutzer gehört.

Bei ungefähr 34 % der protokollierten öffentlichen WLANs hatte sich niemand die Mühe gemacht, die Namen zu ändern. Sie entsprachen entweder den werkseitigen, vom Routerhersteller vergebenen SSIDs oder der Standard-Namenskonventionen des Internetdienstanbieters. Gut für Angreifer: Anhand solcher Netzwerknamen lässt sich leicht feststellen, welchem Anbieter ein bestimmter Access Point gehört, welche Hardware eingesetzt wird und wie diese wahrscheinlich konfiguriert ist.

Ein weiterer beunruhigender Aspekt ist die hohe Anzahl von WLAN-Netzwerken (über 30 %), die die MAC-Adresse (BSSID) des Zugriffspunkts als sichtbaren Netzwerknamen nutzen. Die ersten paar Byte einer BSSID enthalten einen Organizationally Unique Identifier (OUI), aus dem der Hersteller des Routers hervorgeht. Auch diese Informationen sind für Hacker von Vorteil: Sie können den Hardwarehersteller herausfinden und das Gerät auf für diese Marke spezifische Schwachstellen testen.

Ist das mexikanische WLAN gut geschützt?

Ein mit WPA2/WPA3 gesicherter Zugriffspunkt kann als mehr oder weniger sicher gelten. Alle anderen Authentifizierungsverfahren sind wesentlich schwächer. Wir haben die öffentlichen WLAN-Netzwerke in vier Kategorien eingeteilt:

• Sicher (WPA2/WPA3)
• Ungesichert (offen/WEP)
• Schwach (WPA)
• Unbestimmt

Die Ergebnisse waren für alle drei Städten ungefähr gleich: Rund 82 % aller untersuchten Zugriffspunkte sind durch sichere Standards geschützt. Das veraltete und unsichere WPA-Protokoll war praktisch nicht vorhanden. Mehr als 10 % der Access Points waren jedoch vollkommen ungesichert. Risiken bei einer Verbindung mit diesen Netzwerken: Der Datenverkehr kann abgehört werden, und heimliche Überwachung ist möglich.

Die Sicherheit wurde jedoch nicht allein anhand von WPA-Protokollen bewertet. Wir haben auch das Vorhandensein von WPS untersucht, einer berüchtigten Funktion zum schnellen Verbinden mit einem Netzwerk – ohne Passworteingabe, dafür höchst anfällig für Angriffe. Wie sich herausstellte, ist WPS auf fast der Hälfte (47 %) der Access Points in Mexiko City, auf 43 % in Guadalajara und auf 41 % in Monterrey aktiviert. Im Durchschnitt weisen 45 % der Zugriffspunkte potenzielle WPS-Schwachstellen auf. Warum? Aus Gründen der Benutzerfreundlichkeit wird bei der Sicherheit gespart.

Zudem war diese Funktion sogar in scheinbar sicheren WPA2/WPA3-Netzwerken häufig aktiviert: Etwa die Hälfte davon nutzte WPS. Fazit: WPA2/WPA3 reicht längst nicht aus, um einen WLAN-Zugangspunkt als sicher einzustufen. Zusatzfunktionen wie WPS können Angriffen trotzdem Tür und Tor öffnen.

Was Touristen noch wissen müssen

Digitale Risiken auf Reisen sind nicht auf öffentliches WLAN beschränkt. Zudem steigen viele Nutzer inzwischen von öffentlichen WLANs auf eSIMs um. An stark frequentierten Orten gibt es noch viele andere Bedrohungen: öffentliche USB-Ladestationen, QR-Codes mit betrügerischen Links, NFC- und Bluetooth-Angriffe und natürlich Social-Engineering-Methoden. Hier einige Details:

Ladestationen. Öffentlich zugängliche USB-Ladegeräte bergen Gefahren: Angreifer könnten auf die Daten deines Geräts zugreifen oder versuchen, Malware zu installieren. Diese Angriffe haben wir ausführlich in unserem Artikel Datendiebstahl beim Aufladen von Smartphones erklärt.

Gefährliche QR-Codes. Kriminelle können Phishing-QR-Codes an beliebten touristischen Orten platzieren. Die Vorwände können sehr unterschiedlich sein: Anzeigen für Fan-Events bestimmter Mannschaften, Links für angebliche Rabatte oder Speisekarten von Restaurants. Jeder QR-Code, der irgendwo in der Öffentlichkeit angebracht ist, sollte standardmäßig als unsicher betrachtet werden. Solche Codes solltest du nur dann mit dem Smartphone scannen, wenn du eine App zur Analyse gefährlicher QR-Codes installiert hast.

Gefälschte Übertragungen, Tickets und Wettpools. Wir haben schon Fälle beschrieben, in denen Angreifer Malware über gefälschte IPTV-Apps verbreiteten, um aus dem Hype um die Fußball-WM 2026 Kapital zu schlagen. Vorsicht! Selbst wenn du die Weltmeisterschaft von zu Hause aus verfolgst, musst du wachsam sein und darfst nicht den erstbesten Websites vertrauen, die kostenlose Übertragungen und Wettpools anbieten oder sagenhafte Gewinne versprechen.

NFC- und Bluetooth-Angriffe. Auch wenn du Bluetooth an überfüllten Orten aktiviert lässt, kann es zu Problemen kommen: Jemand könnte versuchen, dein Gerät zu erkennen, dich zu tracken oder eine unerwünschte Kopplungsanfrage zu starten. NFC-Dienste für kontaktloses Bezahlen bergen zusätzliche Risiken, insbesondere beim Bezahlen an unübersichtlichen Orten.

So kannst du dich und deine Geräte schützen

Obwohl sichere öffentliche WLAN-Zugangspunkte mit WPA2/WPA3 in Mexiko City, Guadalajara und Monterrey relativ verbreitet sind, zeigt unsere Untersuchung, dass öffentliche WLAN-Netzwerke nach wie vor anfällig sind. Man sollte nicht vergessen: Angreifer können an Flughäfen, in Hotels, Cafés und Touristenattraktionen gefälschte Netzwerke (sogenannte böse Zwillinge) erstellen, die als legitimes öffentliches WLAN getarnt sind.

Wenn sich ein gewöhnlicher Nutzer mit einem öffentlichen WLAN verbinden will, kann er eigentlich nicht feststellen, wie sicher ein bestimmter Zugriffspunkt ist. Darum sind mobile Daten für den Internetzugriff am sichersten. Dadurch wird WLAN komplett überflüssig. Außerdem musst du dann nicht für jedes Zielland die lokalen Gesetze, Gebühren und andere Details recherchieren. Du kannst einfach online ine globale eSIM kaufen. In unserem Beitrag Mobiles Internet mit Kaspersky eSIM Store erklären wir, wie das völlig reibungslos funktioniert.

Wenn du dich trotz allem mit einem öffentlichen WLAN verbinden möchtest, verwende immer ein VPN. Dann werden dein Gerät und deine Daten auch bei einer Verbindung mit unbekannten und insbesondere ungesicherten WLAN-Netzwerken geschützt. Mit VPN wird ein verschlüsselter Tunnel zwischen deinem Gerät und dem VPN-Server erstellt, damit deine Daten nicht abgefangen werden können. Falls du noch kein VPN hast: Probiere Kaspersky VPN Secure Connection, das zu den Abonnements von Kaspersky Premium und Kaspersky Plus gehört.

Wenn du immer noch vorhast, ohne Cybersicherheitslösung bei der WM mitzufiebern, solltest du wenigstens die folgenden Grundregeln für digitale Hygiene beherzigen:

• Keine öffentlichen USB-Ladegeräte verwenden
• Vertrauliche Informationen nicht über unsichere Verbindungen senden
• Über ungesicherte WLAN-Verbindungen nicht bei Banking-Konten, E-Mail-Accounts oder Social Media anmelden
• Bluetooth und NFC ausschalten, wenn du an überfüllten Orten unterwegs bist
• QR-Codes, die du unterwegs siehst, nicht vertrauen
• Nur mit öffentlichen WLANs verbinden, wenn es unbedingt erforderlich ist

Begeisterung für deine Lieblingsmannschaft ist toll, Sicherheit ist aber auch hier unerlässlich. In diesen Artikeln erfährst du mehr darüber:

• Lass dir die Fußball-WM nicht von gefälschten IPTV-Apps ruinieren
• Fußball-Cyberbedrohungen
• Tipps, wie du die Europameisterschaft 2024 sicher schauen kannst
• Sicher und komfortabel reisen
• Airbnb-Sicherheit: Tipps für sicheres Reisen