Was ist ein Evil Twin?

Evil Twin einfach erklärt

Ein Evil Twin ist ein WLAN-Zugangspunkt (Access Point), den ein Angreifer als Doppelgänger eines vertrauten Netzes einrichtet. Er trägt denselben Netzwerknamen, die sogenannte SSID, wie das Firmen-WLAN, das Gäste-WLAN eines Hotels oder das Netz im Café. Für Laptops und Smartphones ist die Fälschung auf den ersten Blick nicht vom Original zu unterscheiden.

Stellen Sie sich einen zweiten Briefkasten vor, der direkt neben dem echten hängt und genauso aussieht. Wer seinen Brief dort einwirft, merkt nichts. Der Brief landet aber beim Falschen, der ihn lesen, verändern oder unauffällig weiterleiten kann.

Für den Angriff braucht niemand Zutritt zu Ihrem Gebäude. Ein Laptop oder ein kleines Funkgerät in Reichweite genügt – auf dem Parkplatz, im Treppenhaus oder im Büro nebenan.

So funktioniert ein Evil-Twin-Angriff

1. Auskundschaften: Der Angreifer ermittelt mit frei verfügbaren Werkzeugen, welche WLANs in der Umgebung funken und wie sie abgesichert sind.
2. Nachbauen: Er richtet einen eigenen Zugangspunkt mit demselben Namen ein, oft mit stärkerem Signal als das Original.
3. Anlocken: Viele Geräte verbinden sich automatisch mit Netzen, deren Namen sie kennen – etwa mit einem offenen Hotel-WLAN, das sie schon einmal genutzt haben. Manche Angreifer stören zusätzlich die Verbindung zum echten WLAN, damit sich die Geräte neu verbinden – womöglich mit dem Doppelgänger.
4. Abgreifen: Nun läuft der Datenverkehr über den Angreifer. Er kann eine gefälschte Anmeldeseite einblenden, wie man sie aus Hotels kennt (Captive Portal), und dort nach dem WLAN-Passwort oder nach Firmenzugangsdaten fragen. Außerdem kann er unverschlüsselten Verkehr mitlesen oder Nutzende auf präparierte Webseiten umleiten.

Besonders lohnend sind Firmen-WLANs, in denen sich Beschäftigte mit ihrem persönlichen Benutzerkonto anmelden (WPA2- oder WPA3-Enterprise mit dem Verfahren 802.1X). Prüfen die Geräte nicht, ob das Zertifikat des Anmeldeservers – sein digitaler Ausweis – echt ist, nimmt der Evil Twin die Anmeldung entgegen. Der Angreifer erhält dann eine Art Abdruck der Zugangsdaten, aus dem sich schwache Passwörter offline errechnen lassen. Weil dasselbe Benutzerkonto oft auch für E-Mail und andere Dienste gilt, reicht der Schaden schnell über das WLAN hinaus.

Ein Beispiel aus der Praxis

Ein Hersteller von Elektronikbauteilen betreibt auf seinem Werksgelände ein Firmen-WLAN, in dem sich Beschäftigte mit ihrem Benutzerkonto anmelden. Bei einem WLAN-Penetrationstest stellt das Prüfteam auf dem Besucherparkplatz einen Zugangspunkt mit demselben Netzwerknamen auf. Kurz darauf verbinden sich die ersten Laptops automatisch, denn die Zertifikatsprüfung wurde bei der Einrichtung nie aktiviert.

Aus den mitgeschnittenen Anmeldungen errechnet das Team ein schwaches Passwort und meldet sich damit am echten Netz an. Die Abhilfe ist überschaubar. Die IT stellt alle Laptops zentral so ein, dass sie nur noch das eigene Serverzertifikat akzeptieren. Danach führt sie schrittweise die Anmeldung per Gerätezertifikat ein.

Warum ist das für Unternehmen wichtig?

Ein Evil Twin umgeht die Firewall am Internetübergang, denn der Angriff findet in der Luft statt. Er hinterlässt in klassischen Protokollen kaum Spuren und lässt sich aus einiger Entfernung durchführen. Besonders gefährdet sind Beschäftigte, die unterwegs in Hotels, Zügen oder Cafés arbeiten.

Die Folgen reichen von abgefangenen Passwörtern über mitgelesene Daten bis zum Einstieg ins interne Netz. Von dort kann sich ein Angreifer weiter ausbreiten. Sind personenbezogene Daten betroffen, können Meldepflichten nach der DSGVO hinzukommen. Eng verwandt ist der Rogue Access Point: ein nicht genehmigter Zugangspunkt direkt im Firmennetz.

So schützen Sie sich

• Zertifikatsprüfung erzwingen: Konfigurieren Sie Firmengeräte zentral so, dass sie nur das Zertifikat Ihres eigenen Anmeldeservers akzeptieren.
• Zertifikate statt Passwörter: Bei einer zertifikatsbasierten Anmeldung (EAP-TLS) gibt es kein Passwort, das sich abfangen lässt.
• WPA3 nutzen: Setzen Sie WPA3 ein und betreiben Sie den Mischbetrieb mit WPA2 nur so lange wie nötig. Der bei WPA3 verpflichtende Schutz von Verwaltungsnachrichten (Protected Management Frames) erschwert es, Geräte gezielt vom echten Netz zu trennen.
• Automatisches Verbinden einschränken: Unterbinden Sie auf Firmengeräten das automatische Verbinden mit offenen oder unbekannten Netzen.
• VPN unterwegs: Ein VPN baut einen verschlüsselten Tunnel ins Firmennetz auf, den ein Evil Twin nicht mitlesen kann – auch in fremden WLANs.
• Funkumgebung überwachen: Ein Wireless Intrusion Prevention System (WIPS) erkennt verdächtige Zugangspunkte, die Ihren Netzwerknamen verwenden.
• Beschäftigte sensibilisieren: Machen Sie Ihrem Team klar, dass eine Webseite, die beim Verbinden mit dem WLAN das Passwort des Firmenkontos verlangt, ein Warnsignal ist.

Wie Rootsektor unterstützt

Im WLAN-Penetrationstest bauen wir Evil-Twin-Szenarien vor Ort kontrolliert nach. Wir prüfen, ob Ihre Geräte dem Doppelgänger vertrauen, wie stark Ihre WLAN-Passwörter sind und ob aus dem Gäste-WLAN ein Weg ins interne Netz führt. Tests, die Verbindungen kurz unterbrechen, führen wir nur in abgestimmten Zeitfenstern durch. Kritische Schwachstellen melden wir sofort – noch während des Tests, telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Ein Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot.