Hotel-WLAN als Einfallstor: Warum schon das Anmeldefenster ein iPhone oder Mac knacken kann – und wie du Firmengeräte unterwegs absicherst

01 / Was Calif.io gezeigt hat

Das Anmeldefenster reicht für den Angriff.

Du kennst das Fenster: Du wählst im Hotel, am Flughafen oder im Café das kostenlose WLAN aus, und dein iPhone oder Mac öffnet von selbst eine kleine Webseite. Dort sollst du Zimmernummer und Nachnamen eingeben oder den Nutzungsbedingungen zustimmen. Fachleute nennen diese Vorschaltseite Captive Portal.

Genau dieses Fenster hat das Sicherheitsteam Calif.io als Einfallstor genutzt. Laut heise Mac & i läuft der Angriff ab, sobald das Portal geladen wird. Eintippen oder Zustimmen ist nicht nötig. Der Server schickt dazu die Kopfzeile „content-encoding: br“ mit, die auf Brotli-Kompression umschaltet. Brotli ist ein offenes Kompressionsverfahren von Google, mit dem Webseiten kleiner übertragen werden. „Das heißt, es wird automatisch geparsed und man muss nichts klicken“, sagte Calif.io-Mitglied Stefan Esser zu heise [1].

Calif.io hat den Angriff auf einem iPhone, einem iPad und einem Mac vorgeführt. Alle drei liefen noch mit iOS, iPadOS beziehungsweise macOS 27.2. Der Vorgang dauert laut heise einige Sekunden, funktioniert aber zuverlässig, und am Ende steht ein vollständiger Jailbreak, also die Kontrolle über das System an Apples Schutzmechanismen vorbei [1][2].

Der Blockierungsmodus hilft hier nicht

Bemerkenswert ist ein Detail: Apples Blockierungsmodus (Lockdown Mode) hat den Angriff nicht gestoppt. Auf dem Mac lief er laut Esser auch im zweiten Versuch mit eingeschaltetem Blockierungsmodus [1]. Der Grund: Die Kompression wird von der WebKit-Engine verarbeitet, die das Portal anzeigt, und darauf hat die Nutzerin keinen Einfluss [1]. Calif.io empfiehlt den Modus trotzdem, weil er gegen viele andere Angriffe schützt [1].

Ein eigener technischer Bericht von Calif.io zu diesem Angriff lag bis zum 13. November nicht vor. Im Blog des Teams steht er nicht, heise beruft sich auf das Gespräch mit Esser und einen Beitrag auf X [1].

02 / Das Szenario

Warum gerade das Hotel-WLAN so heikel ist.

heise beschreibt das Szenario als „äußerst realistisch“: Ein Angreifer verschafft sich Zugriff auf ein Hotel-WLAN oder stellt einfach einen eigenen Access Point mit passendem Namen auf. Wer dieses Netz auswählt, bekommt das Portal angezeigt, und während es eingeblendet wird, läuft der Angriff [1].

Der zweite Weg ist der unangenehmere. Einen WLAN-Namen kann jeder vergeben, auch „Hotel-Gast“, „Airport Free WiFi“ oder den Namen des Hotels, in dem du gerade sitzt. Auf dem Gerät sieht das gefälschte Netz genauso aus wie das echte. Das BSI warnt schon lange allgemein, dass in fremden WLANs, deren Betreiber du nicht kennst, Daten abgegriffen oder Schadsoftware eingeschleust werden können [16].

Dazu kommt das automatische Verbinden. Apple-Geräte verbinden sich von selbst nur mit bekannten Netzen, also mit allen, mit denen sie schon einmal verbunden waren oder die per Geräteverwaltung installiert sind [9]. Bei Geräten mit demselben iCloud-Schlüsselbund wird ein Netz, das du auf einem Gerät ignorierst, auch auf den anderen ignoriert. Umgekehrt kennen dann iPhone, iPad und Mac dieselben Netze [9]. Wer viel reist, sammelt so über Monate Dutzende Hotel- und Bahnhofsnetze.

Ob das Anmeldefenster auch dann aufgeht, wenn sich ein Gerät im Hintergrund automatisch mit einem bekannten Netz verbindet, haben weder Calif.io noch heise beschrieben. Heise spricht davon, dass Nutzer das Netz auswählen [1]. Ich würde mich darauf aber nicht verlassen und gespeicherte offene Netze nach der Reise entfernen (Einschätzung).

03 / Was Apple behoben hat

Welche Updates die Brotli-Lücke schließen.

In den Sicherheitshinweisen vom 9. November 2026 führt Apple einen Eintrag „brotli“: Präparierte Eingaben konnten Speicher beschädigen, behoben wurde ein Schreibzugriff außerhalb der Grenzen (out-of-bounds write) mit der Kennung CVE-2026-111497 [3]. Die Lücke steckt in Googles Brotli-Decoder der Versionen 1.0.3 bis 1.2.0. Die US-Schwachstellendatenbank NVD führt sie mit der CVSS-4.0-Bewertung 9,2 als kritisch, ohne Anmeldung und ohne Zutun der Nutzerin ausnutzbar [8]. Brotli steckt in sehr vielen Programmen, die Lücke betraf vorher schon Node.js und Server-Software [8].

Apple stellt selbst keine Verbindung zu Calif.io oder zu Captive Portals her und schreibt nicht, dass die Lücke bereits ausgenutzt wurde [3]. heise ordnet den Angriff aber dem Notfallpatch zu und rät, ihn dringend einzuspielen [1]. Die Brotli-Korrektur steht in diesen Updates:

• iOS und iPadOS 27.2.1: iPhone 11 und neuer sowie die passenden iPads [3].
• iOS und iPadOS 26.7.3: für Geräte, die bei iOS 26 bleiben, inklusive etwas älterer iPads wie iPad Pro der 3. Generation oder iPad der 8. Generation [4].
• macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3 und macOS Sequoia 15.8.3 [6][7].

Eine Lücke bleibt: Im Hinweis zu iOS und iPadOS 18.7.12 für iPhone XS, XS Max, XR und das iPad der 7. Generation fehlt der Brotli-Eintrag. Das Update behebt dort nur Bluetooth-, AirPlay- und Sperrbildschirm-Fehler [5]. Ob diese Geräte für den Angriff anfällig sind, sagt Apple nicht. Für macOS Sonoma ist am 9. November gar kein Update erschienen, das letzte war 14.8.9 [5]. Solche Geräte würde ich nicht mehr in fremde WLANs lassen und zügig ersetzen (Einschätzung). Welche Geräte überhaupt noch Updates bekommen, steht im Beitrag iPhone- und Mac-Updates für Firmengeräte.

Die übrigen Korrekturen aus 27.2.1, etwa zu iMessage-Gruppen und Bluetooth-Kopplung, habe ich im Beitrag zu iOS 27.2.1 und macOS 27.2.1 erklärt. Dort steht Brotli nur als eine Zeile, der Calif.io-Angriff zeigt, dass sie die wichtigste sein dürfte.

04 / Einstellungen am Gerät

So sicherst du iPhone und Mac unterwegs ab.

Das Update schließt diese eine Lücke. Die nächste kommt bestimmt, und das Muster bleibt dasselbe: Ein fremdes Netz bekommt die Gelegenheit, Inhalte an dein Gerät zu schicken, bevor du irgendetwas entschieden hast. Diese Einstellungen verkleinern die Angriffsfläche.

1. Gespeicherte fremde Netze ignorieren

Auf dem iPhone öffnest du „Einstellungen“ › „WLAN“ und tippst oben auf „Bearbeiten“. Dann siehst du alle bekannten Netze. Über die Info-Taste neben einem Netz kannst du „Autom. verbinden“ ausschalten oder „Dieses Netzwerk ignorieren“ wählen [9]. Am Mac findest du die Liste unter „Systemeinstellungen“ › „WLAN“ › „Erweitert“, dort heißt die Option „Aus Liste entfernen“ [9]. Mein Vorschlag: Hotel-, Messe- und Bahnhofsnetze nach jeder Reise löschen, das eigene Büro- und Heimnetz behalten (Einschätzung).

2. Hinweise auf neue Netze abschalten

Unter „Einstellungen“ › „WLAN“ › „Auf Netzwerke hinweisen“ legst du fest, ob das iPhone dich auf verfügbare fremde Netze aufmerksam macht. Zur Wahl stehen „Aus“, „Benachrichtigen“ und „Fragen“ [10]. Mit „Aus“ kommt das iPhone gar nicht erst auf die Idee, dir das Gratis-WLAN anzubieten.

3. Hotspot vom Firmen-iPhone statt Hotel-WLAN

Der persönliche Hotspot macht aus der Mobilfunkverbindung des iPhones ein eigenes, passwortgeschütztes WLAN, mit dem sich Mac oder iPad verbinden [12]. Ein Anmeldefenster gibt es dabei nicht, und das Netz gehört dir. Für Teams, die viel unterwegs sind, ist ein Mobilfunktarif mit ausreichend Datenvolumen meist die einfachste Sicherheitsmaßnahme überhaupt (Einschätzung). Das BSI rät ohnehin, vertrauliche Daten in fremden WLANs möglichst nicht abzurufen [16].

4. VPN: sinnvoll, aber kein Schutz vor diesem Angriff

Das BSI empfiehlt für fremde WLANs ein VPN, viele Arbeitgeber stellen eins bereit [16]. Das ist richtig, denn danach läuft dein Datenverkehr verschlüsselt durch das fremde Netz. Gegen den Calif.io-Angriff hilft ein VPN aber vermutlich nicht: Das Anmeldefenster erscheint, bevor das Gerät überhaupt ins Internet kommt, also bevor ein VPN-Tunnel stehen kann (Einschätzung).

5. Private WLAN-Adresse anlassen

Apple-Geräte melden sich standardmäßig in jedem Netz mit einer eigenen, zufälligen Geräteadresse an. Ab iOS 18 und macOS Sequoia kannst du je Netz „Aus“, „Statisch“ oder „Rotierend“ wählen [11]. Das erschwert es Netzbetreibern, dein Gerät über Hotels und Cafés hinweg wiederzuerkennen [11]. Vor dem Brotli-Angriff schützt diese Einstellung nicht. Abschalten solltest du sie trotzdem nicht.

6. Blockierungsmodus nur für besonders Gefährdete

Der Blockierungsmodus richtet sich an wenige Personen, die wegen ihrer Tätigkeit gezielt angegriffen werden könnten [13]. Er verbindet sich unter anderem nicht automatisch mit ungesicherten WLANs und trennt bestehende ungesicherte Verbindungen [13]. Den Calif.io-Angriff stoppt er nicht [1]. Wer eine Bedrohungsmitteilung von Apple bekommen hat, findet die Schritte im Beitrag zur Spyware-Warnung von Apple.

05 / Regeln für das Team

Was du per Geräteverwaltung vorgeben kannst.

Einstellungen auf jedem Gerät einzeln anzuweisen, funktioniert in kleinen Teams eine Weile. Sobald mehr als eine Handvoll Leute reist, lohnt sich eine Geräteverwaltung, zum Beispiel über Apple Business mit integrierter oder angebundener MDM-Lösung.

• Updates mit Frist durchsetzen: Die Geräteverwaltung kann eine bestimmte Version zu einem festen Termin erzwingen, auch wenn Updates sonst verzögert werden. Die Uhrzeit gilt in der lokalen Zeitzone des Geräts, und in den 24 Stunden vor der Frist ignoriert das Gerät den Fokus „Nicht stören“, damit der Hinweis ankommt [15]. Für 27.2.1 wäre eine Frist von wenigen Tagen angemessen (Einschätzung).
• Bekannte Netze zentral verteilen: Per WLAN-Profil legst du Büro- und Kundennetze fest, inklusive der Frage, ob sich das Gerät automatisch verbindet (Schlüssel AutoJoin) [14]. Die Option, die Erkennung von Anmeldefenstern zu überspringen (CaptiveBypass), gehört nur zu eigenen Netzen ohne Portal, nicht zu fremden [14].
• Private Adresse nicht abschalten: Ein Profil kann die zufällige Geräteadresse für ein Netz deaktivieren. Das Gerät zeigt dann einen Datenschutzhinweis an [14]. Das ist nur für eigene Netze sinnvoll, die feste Adressen brauchen [11].
• Altgeräte aussortieren: iPhone XS und XR sowie Macs mit macOS Sonoma oder älter haben die Brotli-Korrektur nicht bekommen [5]. Gib solche Geräte nicht mehr auf Reisen mit (Einschätzung).

Den Blockierungsmodus kann eine Geräteverwaltung übrigens nicht einschalten, und ein Gerät im Blockierungsmodus lässt sich nicht neu in eine Verwaltung aufnehmen [13]. Wer beides braucht, nimmt das Gerät zuerst in die Verwaltung auf und schaltet den Modus danach ein [13].

Ergänze deine Reise-Checkliste um eine Zeile: Das Update ist installiert, das Hotel-WLAN bleibt aus, der Laptop hängt am Hotspot. Das kostet ein wenig Datenvolumen und erspart dir die Frage, wer gerade das Anmeldefenster ausliefert.

FAQ

Häufige Fragen zur WLAN-Sicherheit unterwegs.

Ist Hotel-WLAN nach dem Update wieder sicher?

Mit iOS oder macOS 27.2.1 ist die von Calif.io genutzte Brotli-Lücke laut Apple geschlossen [3][6]. Ein fremdes Netz bleibt trotzdem ein fremdes Netz [16]. Für vertrauliche Arbeit ist der eigene Hotspot die bessere Wahl (Einschätzung).

Ich war mit 27.2 in einem Hotel-WLAN. Muss ich mir Sorgen machen?

Calif.io ist ein Forschungsteam. Weder Apple noch heise berichten von Angriffen auf echte Nutzer [1][3]. Installiere das Update und achte auf Bedrohungsmitteilungen von Apple. Wer beruflich besonders exponiert ist, folgt den Schritten aus dem Beitrag zur Spyware-Warnung.

Wie sehe ich, welche Version mein iPhone hat?

Unter „Einstellungen“ › „Allgemein“ › „Info“ steht die iOS-Version, unter „Softwareupdate“ siehst du, ob etwas aussteht. Am Mac findest du beides in den Systemeinstellungen unter „Allgemein“.

Quellen

Quellen

1. heise online (Ben Schwan): „iOS, macOS, iPadOS: Calif.io-Exploit setzt auf Brotli-Bug für Jailbreak“, 12. November 2026 – heise.de · abgerufen 13.11.2026.
2. heise online (Ben Schwan): „Another Calif.io attack: Brotli flaw enables a jailbreak on Mac, iPhone and iPad“, 12. November 2026 – heise.de · abgerufen 13.11.2026.
3. Apple Support: „About the security content of iOS 27.2.1 and iPadOS 27.2.1“, 9. November 2026 – support.apple.com · abgerufen 13.11.2026.
4. Apple Support: „About the security content of iOS 26.7.3 and iPadOS 26.7.3“, 9. November 2026 – support.apple.com · abgerufen 13.11.2026.
5. Apple Support: „About the security content of iOS 18.7.12 and iPadOS 18.7.12“, 9. November 2026 – support.apple.com; „Apple security releases“ (Übersicht) – support.apple.com · abgerufen 13.11.2026.
6. Apple Support: „About the security content of macOS Golden Gate 27.2.1“, 9. November 2026 – support.apple.com · abgerufen 13.11.2026.
7. Apple Support: „About the security content of macOS Tahoe 26.7.3“ – support.apple.com und „… macOS Sequoia 15.8.3“ – support.apple.com, je 9. November 2026 · abgerufen 13.11.2026.
8. NIST National Vulnerability Database: „CVE-2026-111497 Detail“ (Out-of-Bounds Write in Google Brotli Decoder) – nvd.nist.gov · abgerufen 13.11.2026.
9. Apple Support: „WLAN-Netzwerk ignorieren oder verhindern, dass sich ein Gerät automatisch verbindet“, 26. Juni 2026 – support.apple.com · abgerufen 13.11.2026.
10. Apple: iPhone-Benutzerhandbuch, „WLAN-Einstellungen auf dem iPhone verwalten“ – support.apple.com · abgerufen 13.11.2026.
11. Apple Support: „Private WLAN-Adressen auf Apple-Geräten verwenden“ – support.apple.com · abgerufen 13.11.2026.
12. Apple Support: „Eine Verbindung zum persönlichen Hotspot eines iPhone oder iPad herstellen“ – support.apple.com · abgerufen 13.11.2026.
13. Apple Support: „Informationen zum Blockierungsmodus“ – support.apple.com · abgerufen 13.11.2026.
14. Apple Developer: „Wi-Fi“ (Device-Management-Profil, Schlüssel AutoJoin, CaptiveBypass, DisableAssociationMACRandomization) – developer.apple.com · abgerufen 13.11.2026.
15. Apple Platform Deployment: „Install and enforce software updates for Apple devices“ – support.apple.com · abgerufen 13.11.2026.
16. Bundesamt für Sicherheit in der Informationstechnik (BSI): „Sicherheitstipps im privaten und öffentlichen WLAN“ – bsi.bund.de · abgerufen 13.11.2026.