Öffentliches WLAN ist 2026 nicht nur ein Datenschutzthema, sondern kann Teil einer gezielten Identitäts- und Malware-Kampagne werden. Microsoft Threat Intelligence aktualisierte Anfang Oktober seine Analyse zu „CaptiveCrunch“ und berichtete, dass Storm-2945, ein Sub-Cluster von Midnight Blizzard, die Aktivität Ende September erneut aufgenommen hat.
Im Mittelpunkt stehen Netzwerke mit Captive Portals – also die Anmeldeseiten, die man aus Hotels, Konferenzzentren und ähnlichen Umgebungen kennt. Microsoft beobachtete Manipulation von DNS- und HTTP-Verkehr, um Nutzer über angreiferkontrollierte Infrastruktur zu leiten. In verschiedenen Phasen wurden Phishing-Mechanismen, gefälschte Update-Hinweise und Malware eingesetzt.
Warum Geschäftsreisende ein attraktives Ziel sind
Reisende verbinden Firmenlaptops und Smartphones mit Netzen, die außerhalb der Kontrolle des eigenen Unternehmens liegen. Gleichzeitig erwarten Nutzer in Hotels Umleitungen, Login-Seiten und ungewöhnliche Browserfenster. Genau diese Erwartung macht Captive-Portals zu einem interessanten Social-Engineering-Kontext.
Ein Angreifer muss dabei nicht zwangsläufig die komplette TLS-Kommunikation entschlüsseln. Bereits die Kontrolle über Umleitungslogik, gefälschte Anmeldeseiten oder überzeugende „Connectivity“-Hinweise kann ausreichen, um Nutzer zu einer gefährlichen Interaktion zu bewegen.
Der eigentliche Wert liegt in Identitäten und Sessions
Microsoft beschreibt bei CaptiveCrunch unter anderem Angriffe auf Microsoft-Entra-Authentifizierung sowie den Diebstahl von Credentials und Session Tokens. Das ist entscheidend: Moderne Angreifer wollen häufig nicht nur ein Passwort. Ein gültiger Token oder eine registrierte Authentifizierungsmethode kann Zugang zu Microsoft 365 und weiteren Cloud-Diensten eröffnen.
Deshalb reicht es nicht, nur auf Passwortwechsel zu setzen. Phishing-resistente MFA, Conditional Access, Geräte-Compliance, Token-Monitoring und die Möglichkeit, Sessions schnell zu widerrufen, sind für reisende Mitarbeitende besonders wichtig.
Gefälschte Updates sind weiterhin wirksam
Die Kampagne kombinierte Netzwerkmanipulation mit täuschend echten Hinweisen auf Browser-, Windows- oder Systemupdates. Dieser Angriff funktioniert, weil Nutzer gewohnt sind, technische Probleme in fremden WLANs selbst zu lösen. Unternehmen sollten deshalb eine klare Regel kommunizieren: Updates werden ausschließlich über vertrauenswürdige Betriebssystem- oder Unternehmenskanäle installiert – niemals über eine Aufforderung einer WLAN-Anmeldeseite.
Was Unternehmen für Reisen umsetzen sollten
Firmenlaptops sollten EDR-Schutz, automatische Updates, eingeschränkte lokale Administratorrechte und starke Browser-Sicherheitsrichtlinien erhalten. Für sensible Tätigkeiten kann die Nutzung eines verwalteten Mobilfunk-Hotspots oder einer vertrauenswürdigen Verbindung sinnvoller sein als offenes WLAN. Zusätzlich sollten Mitarbeitende wissen, dass QR-Codes, Captive-Portals und „Repair“-Anweisungen keine vertrauenswürdigen Administrationskanäle sind.
Auf Identity-Ebene sind phishingsichere Passkeys oder FIDO2-Verfahren, Conditional Access und ein schnelles Incident-Verfahren für verdächtige Sessions besonders wertvoll. Wenn ein Mitarbeiter nach einer Reise ungewöhnliche MFA-Prompts oder neue Geräte in seinem Konto sieht, sollte die Meldung sofort erfolgen.
Fazit
CaptiveCrunch zeigt, wie Netzwerk-, Identitäts- und Social-Engineering-Angriffe zusammenwachsen. Die wichtigste Lehre ist nicht „Nie wieder Hotel-WLAN“, sondern: Unternehmen müssen davon ausgehen, dass externe Netze nicht vertrauenswürdig sind. Schutz entsteht durch sichere Endgeräte, phishingsichere Identitäten und klare Verhaltensregeln.
Quelle
Microsoft Threat Intelligence, aktualisiert am 5. Oktober 2026: CaptiveCrunch: Midnight Blizzard targets travelers worldwide.