Zug-WiFi: Der komplette Leitfaden für Bahnbetreiber und Fahrgäste

ZUG-WIFI: DER KOMPLETTE LEITFADEN FÜR BAHNBETREIBER UND FAHRGÄSTE Ein Purple WiFi Intelligence Podcast Laufzeit: Ca. 10 Minuten --- [EINFÜHRUNG & KONTEXT — 1 Minute] Willkommen beim Purple WiFi Intelligence Podcast. Ich bin Ihr Host, und heute widmen wir uns einer der technisch komplexesten und kommerziell bedeutendsten Konnektivitätsherausforderungen im Transportsektor: dem Fahrgast-WiFi in Zügen. Wenn Sie ein Bahnbetreiber, ein Netzwerkarchitekt bei einer Bahngesellschaft oder ein IT-Leiter sind, der für die Konnektivität von Schienenfahrzeugen verantwortlich ist, dann ist diese Episode genau das Richtige für Sie. Wir beleuchten das Gesamtbild – von der physischen Architektur, wie das WiFi überhaupt in einen fahrenden Zug gelangt, über die Sicherheitsrisiken für Ihre Fahrgäste und Ihre Compliance-Verpflichtungen bis hin zu den Analysepotenzialen, die die meisten Betreiber ungenutzt lassen. Beginnen wir mit einer Zahl, die die Situation verdeutlicht. Laut den Speedtest Intelligence-Daten von Ookla aus dem zweiten Quartal 2025 ist die Kluft zwischen dem besten und dem schlechtesten Zug-WiFi in Europa atemberaubend. Schweden liefert auf seinem Schienennetz eine mittlere Download-Geschwindigkeit von 64,58 Megabit pro Sekunde. Großbritannien hingegen kommt auf gerade einmal 1,09 Megabit pro Sekunde. Das ist ein 59-facher Unterschied – auf demselben Kontinent, im selben Jahr. Diese Kluft ist primär kein technologisches Problem. Es ist ein Strategie- und Investitionsproblem. Und zu verstehen, warum das so ist, ist der erste Schritt zur Besserung. --- [TECHNISCHER DEEP-DIVE — 5 Minuten] Kommen wir zur Architektur. Eine moderne Fahrgast-WiFi-Bereitstellung in einem Zug besteht aus drei verschiedenen Schichten – und die meisten Betreiber investieren zu wenig in die falsche Schicht. Die erste Schicht ist der WAN-Backhaul – die Verbindung zwischen dem Zug und der Außenwelt. Hier kommen Ihre Daten eigentlich her. Historisch gesehen war dies ein einzelnes LTE-Modem mit einer Dachantenne. Moderne Installationen bündeln mehrere Uplinks gleichzeitig: zwei oder mehr LTE- oder 5G-Modems von verschiedenen Mobilfunknetzbetreibern, streckenseitiges WiFi in Bahnhöfen und Depots und zunehmend auch Satellitenverbindungen im erdnahen Orbit von Anbietern wie Starlink. Die Aggregationslogik – also die Entscheidung, welcher Uplink genutzt wird, wie sie gebündelt werden und wie ein nahtloses Failover erfolgt – läuft auf einem WAN-Gateway-Gerät, das im Geräteraum des Zuges installiert ist. Diese Schicht bestimmt Ihre Obergrenze. Sie können die modernste Onboard-WiFi-Infrastruktur haben, die man sich vorstellen kann – wenn Ihr Backhaul eine einzelne, überlastete LTE-Verbindung in einem ländlichen Einschnitt ist, werden Ihre Fahrgäste das merken. Die Daten von Ookla bestätigen dies: Länder mit moderner WiFi-Hardware, aber schlechter Backhaul-Infrastruktur – wie Spanien und Italien – hinken bei den realen Geschwindigkeiten hinterher. Der Backhaul ist der dominierende Engpass. Die zweite Schicht ist das Onboard-Netzwerk selbst. Hier verbindet sich das WAN-Gateway mit einem Onboard-Router und in der Regel mit einem Zugserver. Der Router übernimmt die VLAN-Segmentierung – und das ist aus Sicherheitsgründen von entscheidender Bedeutung. Ihr Fahrgast-WiFi muss auf einem völlig isolierten VLAN laufen, ohne Routing-Pfad zum operativen Netzwerk, das Ihre CCTV-Feeds, Ihr Fahrgastinformationssystem, Ihre automatischen Ticketingsysteme oder – was am kritischsten ist – Ihre ETCS-Signalisierungsdaten (European Train Control System) überträgt. Im Jahr 2024 zeigte ein Cyberangriff auf ein britisches Fahrgast-WiFi-Netzwerk genau, was passiert, wenn diese Segmentierung unzureichend ist. Der Angriff breitete sich vom öffentlichen WiFi auf Systeme aus, die er niemals hätte erreichen dürfen. Eine portbasierte Authentifizierung nach IEEE 802.1X und strenge Inter-VLAN-Firewall-Regeln sind hier nicht verhandelbar. Die Zugserver-Schicht ermöglicht zudem das Hosting containerisierter Anwendungen – denken Sie an lokales Content-Caching, Onboard-Entertainment-Portale, Echtzeit-Reiseinformationen und Captive Portal-Dienste. Wenn diese lokal ausgeführt werden, erhalten die Fahrgäste auch dann eine reaktionsschnelle Benutzeroberfläche, wenn die Backhaul-Verbindung in Tunneln oder ländlichen Abschnitten nachlässt. Die dritte Schicht ist das fahrgastseitige WiFi selbst. Hier befinden sich Ihre Access Points – in der Regel an der Decke jedes Waggons montiert, betrieben mit 802.11ac WiFi 5 oder, bei neueren Installationen, mit 802.11ax WiFi 6. Hier ist ein wichtiges Ergebnis der Ookla-Daten: In Deutschland bringt der Wechsel von WiFi 4 auf WiFi 5 eine Geschwindigkeitssteigerung von 241 % für die Fahrgäste. Der Wechsel vom 2,4-Gigahertz-Band auf 5 Gigahertz bringt eine Steigerung von 328 %. Dennoch laufen in Europa fast 40 % der Zug-WiFi-Verbindungen immer noch über WiFi 4, und in Großbritannien läuft mehr als die Hälfte aller Verbindungen über diesen veralteten Standard. Der Modernisierungszyklus für die Kabinen-Hardware ist überfällig. Es gibt jedoch eine physische Herausforderung, die für Züge typisch und wirklich schwer zu lösen is: die HF-Dämpfung durch moderne Zugfenster. Heutige Zugfenster sind oft mit Metallschichten zur Wärmedämmung und UV-Filterung beschichtet. Diese Beschichtungen können Mobilfunksignale um 20 bis 30 Dezibel dämpfen – mehr als eine Schicht Stahlbeton. Aus diesem Grund sind Dachantennen, die interne Repeater speisen, unerlässlich, anstatt sich darauf zu verlassen, dass sich die Geräte der Fahrgäste direkt mit der Streckeninfrastruktur verbinden. Einige Betreiber arbeiten bereits an der Nachrüstung mit HF-durchlässigen Fenstern, aber das ist ein erhebliches Investitionsprogramm. Was die Weiterentwicklung des Backhauls betrifft, so ist die LEO-Satellitenintegration derzeit die spannendste Entwicklung. Das Maritime- und Mobility-Produkt von Starlink hat auf fahrenden Fahrzeugen stabile Durchsätze von 100 bis 200 Megabit pro Sekunde bei Latenzzeiten im Bereich von 20 bis 40 Millisekunden gezeigt – absolut tauglich für Videokonferenzen. Mehrere europäische Betreiber befinden sich in der aktiven Testphase. Die Wirtschaftlichkeit verbessert sich rasch, und für ländliche sowie grenzüberschreitende Strecken mit lückenhafter terrestrischer Mobilfunkabdeckung sind LEO-Satelliten zunehmend die pragmatische Lösung. Sprechen wir über das Captive Portal und die Datenebene, denn hier liegt die kommerzielle Chance – und hier lassen die meisten Betreiber erhebliches Potenzial ungenutzt. Wenn sich ein Fahrgast mit Ihrem WiFi verbindet, ist das Captive Portal Ihr primärer Kontaktpunkt. Gut gemacht, erfasst es eine verifizierte E-Mail-Adresse oder ein Social Login, präsentiert Ihre Nutzungsbedingungen und Datenschutzhinweise in einem GDPR-konformen Format und beginnt mit der Erstellung eines First-Party-Datenprofils über das Reiseverhalten dieses Fahrgasts. Schlecht gemacht, ist es eine Hürde mit hoher Absprungrate oder, schlimmer noch, ein Compliance-Risiko. Unter der GDPR benötigen Sie eine Rechtsgrundlage für die Verarbeitung von Fahrgastdaten – in der Regel eine Einwilligung, die zum Zeitpunkt der Verbindung eingeholt wird. Diese Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein. Vorab angekreuzte Kästchen zählen nicht. Sie benötigen ein klares Protokoll darüber, wann die Einwilligung erteilt wurde, wozu eingewilligt wurde, sowie die Möglichkeit, Auskunfts- und Löschanfragen nachzukommen. Plattformen wie die Gäste-WiFi-Lösung von Purple decken diese Compliance-Ebene nativ ab, inklusive prüfbereiter Einwilligungsprotokolle und automatisierter Datenaufbewahrungsrichtlinien. Die Analysen, die aus einer konformen Datenerfassung resultieren, sind von echtem Wert. Reisehäufigkeit, Hauptverbindungszeiten, Auslastungsmuster der Waggons, Verweilzeiten an Bahnhöfen – all das sind operative Erkenntnisse, die in die Kapazitätsplanung, das Service-Design und die zielgerichtete Kommunikation einfließen. Es ist dasselbe Datenmodell, das Einzelhändler und Hotelbetreiber seit Jahren nutzen, und das nun auch Bahnbetreibern über die WiFi-Zugangsebene zur Verfügung steht. --- [IMPLEMENTIERUNGSEMPFEHLUNGEN & FALLSTRICKE — 2 Minuten] Lassen Sie mich Ihnen die drei Entscheidungen nennen, die über den Erfolg oder Misserfolg Ihrer Bereitstellung entscheiden. Erstens: Investieren Sie in den Backhaul, bevor Sie in Kabinen-Hardware investieren. Ein hochmodernes WiFi 6-Access-Point-Netzwerk, das von einem einzigen überlasteten LTE-Modem gespeist wird, wird die Fahrgäste enttäuschen. Prüfen Sie zuerst Ihre Streckenabdeckung. Identifizieren Sie die Funklöcher – Tunnel, ländliche Einschnitte, grenzüberschreitende Abschnitte. Richten Sie Ihre Uplink-Aggregationsstrategie an diesen Lücken aus. Nutzen Sie mindestens ein SIM-Bonding über mehrere Betreiber hinweg und evaluieren Sie LEO-Satelliten für Strecken, auf denen die terrestrische Abdeckung unzureichend ist. Zweitens: Behandeln Sie die Netzwerksegmentierung als sicherheitskritische Anforderung, nicht als IT-Best-Practice. Ihr Fahrgast-WiFi und Ihr operatives Netzwerk müssen auf separaten VLANs mit expliziten Deny-All-Inter-VLAN-Firewall-Regeln liegen. Führen Sie jährlich Penetrationstests an dieser Schnittstelle durch. Der Vorfall in Großbritannien im Jahr 2024 sollte ein Weckruf für jeden Betreiber sein, der dieses Audit noch nicht durchgeführt hat. Drittens: Stellen Sie kein Captive Portal ohne Datenstrategie bereit. Wenn Sie Fahrgäste bitten, sich zu registrieren, geben Sie ihnen einen Grund dafür – höhere Geschwindigkeiten, Reise-Updates, Treuepunkte – und haben Sie einen klaren Plan, was Sie mit den gesammelten Daten tun. Ein Captive Portal, das Daten ohne nachgelagerte Nutzung sammelt, ist ein Compliance-Risiko ohne kommerziellen Nutzen. Die Fallstricke, die es zu vermeiden gilt: Unterschätzen Sie nicht das Kupplungsszenario. Wenn mehrere Zugeinheiten gekoppelt werden, ändert sich Ihre Netzwerktopologie dynamisch. Ihr Onboard-Routing must die Verbindung zwischen den Einheiten bewältigen, ohne dass Bridging-Loops oder VLAN-Fehlkonfigurationen entstehen. Testen Sie dies explizit bei der Abnahmeprüfung. Und vernachlässigen Sie nicht das Remote-Management. Jeder Onboard-Router benötigt einen Out-of-Band-Management-Zugang – in der Regel über ein dediziertes Management-VLAN und VPN –, damit Ihr NOC Probleme diagnostizieren und beheben kann, ohne einen Techniker ins Depot schicken zu müssen. --- [SCHNELLES Q&A — 1 Minute] Schnelle Fragerunde. Sollte ich WiFi 6 bereitstellen oder bei WiFi 5 bleiben? Wenn Sie neue Schienenfahrzeuge spezifizieren, wählen Sie WiFi 6 – die Effizienzgewinne pro Gerät in überfüllten Waggons sind erheblich. Für bestehende Flotten bieten WiFi 5-Upgrades einen starken ROI. Ist Starlink bereit für den produktiven Bahneinsatz? Für ländliche und grenzüberschreitende Strecken: Ja. Für städtische Pendlerdienste mit häufigen Tunnelabschnitten ist es eine Ergänzung zum Mobilfunk, kein Ersatz. Was ist das Minimum Viable Captive Portal für die GDPR-Compliance? Ein klarer Datenschutzhinweis, eine ausdrückliche Opt-in-Einwilligung für Marketing, ein Protokoll dieser Einwilligung und eine dokumentierte Datenaufbewahrungsrichtlinie. Alles andere ist ein regulatorisches Risiko. Sollten Fahrgäste ein VPN im Zug-WiFi nutzen? Ja, wenn sie mit sensiblen Geschäftsdaten arbeiten. Das Netzwerk wird geteilt, und die Sicherheitsvorkehrungen des Betreibers sind dem Fahrgast unbekannt. --- [ZUSAMMENFASSUNG & NÄCHSTE SCHRITTE — 1 Minute] Zusammenfassend lässt sich sagen: Zug-WiFi ist eine mehrschichtige technische Herausforderung, bei der die Backhaul-Qualität die dominierende Leistungsvariable ist, die Sicherheitssegmentierung eine sicherheitskritische Anforderung darstellt und das Captive Portal ein ungenutztes kommerzielles Asset ist. Die Betreiber, die bei der Fahrgastzufriedenheit punkten – wie LNER in Großbritannien, das schwedische Staatsnetz oder die SBB in der Schweiz –, behandeln Konnektivität als Kerninfrastruktur, nicht als Nebensache. Sie haben in die Streckenabdeckung, moderne Onboard-Hardware und konforme Datenplattformen investiert. Wenn Sie eine Bereitstellung oder einen Upgrade-Zyklus planen, beginnen Sie mit einem Backhaul-Audit, entwerfen Sie Ihre VLAN-Architektur mit Sicherheit als primärer Vorgabe und wählen Sie eine Gäste-WiFi-Plattform, die Compliance nativ handhabt und Verbindungsdaten in nutzbare Analysen verwandelt. Die Plattform von Purple ist genau für diesen Anwendungsfall konzipiert – vom Captive Portal und der Einwilligungsverwaltung bis hin zum WiFi-Analyse-Dashboard, das Ihrem Betriebsteam Einblick in das Fahrgastverhalten auf Ihrer gesamten Flotte gibt. Mehr erfahren Sie unter purple.ai oder direkt im Bereich für die Transportbranche. Vielen Dank fürs Zuhören. Bis zum nächsten Mal. --- ENDE DES SKRIPTS