Mobiler Hotspot vs. öffentliches WLAN: was ist 2026 wirklich sicherer

Die Wahl zwischen einem mobilen Hotspot (Tethering einer 4G- oder 5G-Verbindung von deinem Smartphone) und öffentlichem WLAN (Flughafen-, Hotel- oder Café-Netzwerk) ist zu einem Routine-Abwägen für den mobilen Fernarbeiter, den Reisenden oder einfach für jeden geworden, der unterwegs seine E-Mails abrufen möchte. Die Frage wird oft binär gestellt — "was ist sicherer" — wenn die beiden Technologien in Wirklichkeit grundverschiedene Angriffsflächen haben und die richtige Antwort ebenso vom Anwendungsfall wie vom Kontext abhängt.

Dieser Leitfaden vergleicht präzise, was jeder Akteur (Mobilfunkanbieter, WLAN-Hotspot-Betreiber, potenzieller lokaler Angreifer) je nach Technologie sehen und tun kann, gibt konkrete Datenkosten-Zahlen für 2026 und stellt den defensivsten Stack (mobiler Hotspot + VPN) für heikle Aktivitäten vor.

Wie jede Technologie funktioniert

Um zu vergleichen, was jeder Akteur technisch sehen kann, müssen wir zunächst die Topologie jeder Verbindung verstehen.

Mobiler Hotspot — 4G- oder 5G-Tethering über dein Telefon. Wenn du Tethering aktivierst (Persönlicher Hotspot auf iOS, Mobiler Hotspot auf Android), wird dein Telefon zu einem WLAN-Router. Auf der Mobilfunk-Funkseite stellt das Telefon eine verschlüsselte Verbindung zu einem Anbietermast (Telekom, Vodafone, O2 in Deutschland; Verizon, AT&T, T-Mobile in den USA) über die 4G-LTE- oder 5G-NR-Standards her. Auf der lokalen WLAN-Seite sendet das Telefon eine private SSID mit einem WPA2- oder WPA3-Passwort, und andere Geräte (dein Laptop, dein Tablet) verbinden sich damit wie mit jedem anderen Router. Der Verkehr dieser Geräte fließt durch das Telefon, dann durch den Mast, dann durch das Kernnetz des Anbieters, dann hinaus ins Internet. Zwei verschlüsselte Strecken in Reihe: lokales WLAN (WPA2/WPA3) + Mobilfunk (NEA2/5G-EA).

Öffentliches WLAN — ein zentralisierter Betreiber. Du trittst der SSID am Flughafen, im Café oder im Hotel bei. Authentifizierung über ein geteiltes Passwort am Tresen oder ein offenes Netzwerk mit Captive Portal. Der Verkehr fließt durch den WLAN-Router des Veranstaltungsorts, dann durch dessen Internetverbindung (Glasfaser, Geschäfts-Breitband oder manchmal 4G/5G als Backup). Auf der WLAN-Funkseite hängt die Verschlüsselung von der Version ab: WPA3 (selten 2026 außerhalb großer, kürzlich gebauter Orte), WPA2-PSK mit einem geteilten Passwort (am häufigsten) oder offen ohne Verschlüsselung (einfache Cafés, manche Flughäfen). Auf der internen Infrastrukturseite kann der Hotspot-Betreiber den Verkehr protokollieren und analysieren — das ist der kommerzielle Zweck von Cisco-Meraki-, Aruba- und Ruckus-Bereitstellungen.

Der entscheidende strukturelle Unterschied. Bei einem mobilen Hotspot kann ein Angreifer in Funkreichweite passiv nichts tun — die Mobilfunkstrecke ist per Design verschlüsselt. In offenem öffentlichem WLAN oder WPA2 mit einem allen bekannten Passwort kann ein anderer Client im selben Netzwerk potenziell den Verkehr anderer Clients mitschneiden im Promiscuous-Modus. Das ist die technische Grundlage dafür, warum ein mobiler Hotspot standardmäßig sicherer ist als öffentliches WLAN — ein passiver lokaler Angriff ist im Mobilfunk schlicht unmöglich.

Technische Details: 4G LTE verwendet die Algorithmen EEA1 (Snow 3G), EEA2 (AES-128 im Counter-Modus), EEA3 (ZUC, für China optimiert) zur Verschlüsselung der Funkschicht, wie in den 3GPP-Spezifikationen beschrieben. 5G NR fügt 5G-EA mit verstärkten Suiten (AES-256 möglich) und IMSI-Verschlüsselung bei der Erstregistrierung (SUCI) hinzu. Wikipedias Artikel zur 5G-Sicherheit behandelt den vollständigen Stack im Detail.

Verglichene Angriffsfläche — wer kann was tun

Die Tabelle unten fasst die Akteure und ihre Fähigkeiten nach Technologie zusammen. Lies Zeile für Zeile — jeder Akteur hat in jedem Szenario unterschiedlichen Zugriff.

Lesen der Tabelle. Bei einem mobilen Hotspot schrumpft die Liste der Akteure mit Zugriff auf deinen Verkehr im Vergleich zum öffentlichen WLAN drastisch. Nur dein Mobilfunkanbieter hat eine nennenswerte Sichtbarkeit — und das ist genau dieselbe Sichtbarkeit, die ein ISP zu Hause hat. Lokale Angriffsvektoren (Sniffing, Evil Twin, kompromittierte Captive Portals, kommerzielles MAC-Tracking) werden unanwendbar oder für den Angreifer sehr teuer. In WPA2-PSK-öffentlichem WLAN mit einem auf eine Tafel geschriebenen Passwort (das häufigste Szenario 2026) umfasst die Angriffsfläche jeden anderen Client im selben Netzwerk — was potenziell einen opportunistischen Angreifer mit minimaler Ausrüstung einschließt.

Wichtiger Fall: WPA3-öffentliches WLAN mit OWE (selten, aber 2026 aufkommend) beseitigt die Möglichkeit des Sniffings zwischen verbundenen Clients — jeder Client hat einen einzigartigen ephemeren Schlüssel mit dem AP. Aber der Hotspot-Betreiber sieht weiterhin den Verkehr und kann Nutzer tracken. WPA3 verbessert also das öffentliche-WLAN-Bild, ohne es aus Sicht der Privatsphäre gegenüber dem Betreiber einem mobilen Hotspot gleichzustellen.

Praktische Fälle — wann den Hotspot, wann WLAN bevorzugen

Über die reine Sicherheit hinaus fließen mehrere praktische Kriterien in die Entscheidung ein: Geschwindigkeit, Akku, Datenkosten, Kontext. Hier die typischen Profile.

Profil 1 — E-Mail + normales Surfen unterwegs. Häufiges Szenario: Reisender im Zug, Fernarbeiter im Café, Konferenzteilnehmer. Empfehlung: mobiler Hotspot standardmäßig. Der Verbrauch ist moderat (~50 MB/h Surfen, ~10 MB/h E-Mail), sodass selbst ein bescheidener Tarif (10 GB/Monat) einen Tag mobiler Arbeit bequem abdeckt. Die Sicherheit ist merklich besser als öffentliches WLAN. Der Telefonakku entlädt sich schneller — nimm eine Powerbank mit oder finde eine Ladestelle. Im dichten städtischen 5G ist der Durchsatz mehr als ausreichend für Komfort.

Profil 2 — Längere Videoanrufe (Zoom, Teams) unterwegs. Typisches Szenario: ein voller Tag mit Meetings aus einem Airbnb mit unzuverlässigem WLAN. Empfehlung: hängt von der 5G-Abdeckung ab. In einer stabilen 5G-Zone bleibt der mobile Hotspot tragfähig (~500 MB/h in HD, grob 4 GB für einen ganzen Tag). Bei 4G mit lückenhafter Abdeckung machen Latenz und Aussetzer die Erfahrung inkonsistent — ein Wechsel zu öffentlichem WLAN kann notwendig sein. Wenn öffentliches WLAN unvermeidbar ist, aktiviere immer das VPN mit Kill Switch (siehe Risiken öffentlicher WLANs 2026).

Profil 3 — Längeres Video-Streaming (Netflix, YouTube). Empfehlung: Heim-WLAN oder zuverlässiges öffentliches WLAN. Die Datenkosten bei einem Hotspot werden prohibitiv (3 GB/h bei 1080p, 7 GB/h bei 4K). Ein Tarif mit 100 GB/Monat verdampft in wenigen Stunden Streaming. Öffentliches WLAN bleibt technisch tragfähig, sofern du ein aktives VPN hast und keine sensiblen Zugangsdaten im Captive Portal eingibst.

Profil 4 — Zugriff auf Banking oder ein sensibles Arbeitskonto. Empfehlung: mobiler Hotspot ohne Zögern. Die reduzierte Angriffsfläche und die Unmöglichkeit lokalen Sniffings machen ihn zum richtigen Medium für hochriskante Vorgänge. Füge ein VPN hinzu, um das Leck zu deinem Anbieter zu schließen. Der Daten-Overhead ist vernachlässigbar (Banking verbraucht höchstens ein paar MB). Diese Praxis wird von mehreren Unternehmens-CSIRTs für sensible Vorgänge auf Reisen empfohlen.

Profil 5 — Großer Dateidownload (OS-Update, System-ISO, schweres Video). Empfehlung: WLAN. Der mobile Hotspot ist datentechnisch zu teuer, und städtisches 5G unterliegt in manchen Tarifen weiterhin Fair-Use-Drosselungsrichtlinien der Anbieter. Nutze Heim-WLAN oder warte, bis du im Netzwerk eines vertrauenswürdigen Partners bist.

Profil 6 — Internationaler Reisender mit einem Partner-Anbieter. Empfehlung: hängt von deinem Roaming-Tarif ab. Innerhalb der EU bedeutet "Roam like at home", dass dein heimischer Tarif im Ausland identisch funktioniert — bevorzuge den mobilen Hotspot. Außerhalb der EU können Roaming-Gebühren den mobilen Hotspot katastrophal machen (erhebliche Gebühren pro MB in manchen Ländern). Der Kauf einer lokalen eSIM (Airalo, Holafly) löst dies und stellt den Vorteil des mobilen Hotspots wieder her. Andernfalls wird öffentliches WLAN mit einem VPN zur pragmatischen wirtschaftlichen Option.

Reale Datenkosten nach Aktivität — Zahlen für 2026

Richtwerte zur Planung deines monatlichen Hotspot-Verbrauchs. Intern gemessene und mit Berichten von Bundesnetzagentur und FCC sowie öffentlichen Anbieterkommunikationen abgeglichene Daten.

Leichte Aktivitäten (< 100 MB/h).

• Arbeits-E-Mail mit kontinuierlicher Synchronisation: ~5–10 MB/h
• Messaging (WhatsApp, Signal, iMessage): ~5–15 MB/h
• Textlastiges Surfen (Nachrichten, Recherche): ~30–80 MB/h
• Banking, Behördenportale (ELSTER, Sozialversicherung): ~10–30 MB/h
• Leichtes Scrollen in sozialen Medien (Twitter/X, LinkedIn): ~50–100 MB/h

Mittlere Aktivitäten (100–500 MB/h).

• Normales Surfen mit Bildern: ~100–200 MB/h
• Audio-Streaming (Spotify, Apple Music, Podcasts): ~50–150 MB/h je nach Qualität
• Standard-Video 480p (YouTube, Online-Schulungen): ~250–400 MB/h
• HD-Videoanruf (Zoom, Teams, Google Meet): ~500 MB/h
• Soziale Medien mit Video-Autoplay: ~300–600 MB/h

Schwere Aktivitäten (> 1 GB/h).

• HD-Video-Streaming 720p: ~1,5 GB/h
• HD-Video-Streaming 1080p: ~3 GB/h
• 4K-Video-Streaming: ~7 GB/h
• OS-Update oder System-ISO-Download: variabel, oft 3–10 GB für ein größeres Update
• Cloud-Gaming (GeForce Now, Xbox Cloud): ~10–15 GB/h

Typische Tarife in Deutschland und den USA, 2026 (Größenordnung als Anhaltspunkt).

• 100–150-GB-Tarife: ~15–30 € / 20–40 $ pro Monat (ausreichend für gelegentliche Hotspot-Nutzung)
• 200–300-GB-Tarife: ~25–40 € / 35–55 $ pro Monat (regelmäßige Hotspot-Nutzung)
• Unbegrenzte 5G-Tarife: ~35–55 € / 50–80 $ pro Monat (intensive Nutzung, nomadische Fernarbeit)

Praktischer Tipp. Für einen Fernarbeiter, der seinen Hotspot 2–3 Tage im Monat für E-Mail, Web und moderate Videoanrufe nutzt, sind 100 GB reichlich. Für einen Vollzeit-Digitalnomaden beseitigt der Wechsel zu einem unbegrenzten 5G-Tarif die Budgetangst und erlaubt das ausschließliche Arbeiten über einen mobilen Hotspot.

Mobiler Hotspot + VPN kombinieren — der sicherste Stack

Für Anwendungsfälle, in denen die Sicherheit Priorität hat (sensibles Banking, Fernarbeit an vertraulichen Daten, Journalismus unterwegs, Reisen in Hochrisiko-Jurisdiktionen), schließt die Kombination eines mobilen Hotspots mit einem VPN praktisch jeden lokalen Angriffsvektor und verbirgt deine Aktivität vor deinem Mobilfunkanbieter. Es ist der vollständigste defensive Stack, der einem normalen Nutzer zur Verfügung steht.

Empfohlene Einrichtung. Schritt 1: aktiviere Tethering auf deinem Telefon (Persönlicher Hotspot auf iOS, Mobiler Hotspot auf Android), mit WPA2 oder WPA3 und einem starken Passwort. Schritt 2: verbinde deinen Laptop oder dein Tablet mit der privaten SSID des Telefons. Schritt 3: aktiviere den VPN-Client auf dem Endgerät (Laptop, Tablet), mit dem Kill Switch im Systemmodus. Schritt 4: überprüfe das Fehlen von Lecks mit unserem DNS-Leak-Test-Tool. Schritt 5: bestätige die sichtbare IP mit unserem IP-Adressen-Tool.

Warum diese Konfiguration gewinnt. Der mobile Hotspot schließt lokale Angriffe (Sniffing, Evil Twin, Captive Portal). Das VPN schließt das Leck zum Mobilfunkanbieter (der sonst DNS und Ziel-IPs sehen würde). Verschlüsselte Mobilfunkschicht + verschlüsselte lokale WLAN-Schicht + verschlüsselter VPN-Tunnel = dreifache defensive Schicht. Ein Angreifer, der diesen Stack brechen wollte, müsste entweder dein Gerät kompromittieren, den VPN-Server kompromittieren oder das Kernnetz des Anbieters kompromittieren — drei getrennte und kostspielige Ziele.

Wann es übertrieben ist. Für normales Surfen ohne Einsatz ist es zu viel. Um persönliche E-Mails beim Warten auf einen Zug abzurufen, ist es zu viel. Ein mobiler Hotspot allein (ohne VPN) neutralisiert bereits lokale Angriffe — das VPN fügt Privatsphäre gegenüber dem Anbieter hinzu, nicht reine Sicherheit. Das VPN zu aktivieren, wenn die Aktivität es rechtfertigt (Banking, Arbeits-E-Mail, Fernarbeit) und es sonst aus zu lassen, ist ein vernünftiger Ansatz.

Wann es nicht ausreicht. Für einen Journalisten mit einer Quelle in einem Hochrisikoland, einen Whistleblower oder jede Aktivität von sehr hohem Wert, die von einem staatlichen Akteur ins Visier genommen wird — ist ein Hotspot-+-VPN-Stack immer noch unzureichend. Du musst Tor hinzufügen (idealerweise von Tails auf einem USB-Stick), von einem dedizierten Gerät aus operieren, eine anonyme oder Prepaid-SIM verwenden, die nicht mit deiner Identität verknüpft ist, und strikt kompartimentieren. Siehe Tor vs. VPN — Unterschiede und Kombination für Details.

Akku-Einschränkung. Tethering entlädt den Akku des Telefons beschleunigt (aktiver Mobilfunk + WLAN-Aussendung gleichzeitig). Für längere Nutzung nimm eine Powerbank mit oder schließe es an. Bei 5G ist der Stromverbrauch höher als bei 4G — ein Wechsel zu 4G in den Netzwerkeinstellungen kann die Akkulaufzeit verlängern, wenn der Durchsatz ausreicht.

Internationale-Roaming-Einschränkung. Außerhalb der EU können die Datenkosten explodieren. Bereite dich mit einer lokalen eSIM (Airalo, Holafly, Nomad) vor oder buche das spezifische Roaming-Add-on deines Anbieters. Andernfalls wird öffentliches WLAN mit einem VPN zur pragmatischen Lösung — weniger defensiv, aber wirtschaftlich tragfähig.

Zusammenfassung: Entscheidung nach Anwendungsfall

Drei praktische Regeln decken die Entscheidung für die Mehrheit der Fälle ab.

Regel 1 — Standardmäßig den mobilen Hotspot. Außer in spezifischen Fällen (schwere Downloads, längeres HD-Streaming, Gebiet ohne 4G/5G-Abdeckung) macht die Kombination aus überlegener Sicherheit + größerer Privatsphäre + sofortiger Einsatzbereitschaft den mobilen Hotspot dem öffentlichen WLAN für die Mehrheit der mobilen Nutzung vorzuziehen.

Regel 2 — Wenn öffentliches WLAN unvermeidbar ist, halte das VPN aktiv. Kein öffentliches WLAN ohne aktiviertes VPN mit Kill Switch. Das ist nicht verhandelbar für jede Aktivität, die über das passive Konsumieren öffentlicher Informationen hinausgeht. Das VPN schließt die wichtigsten Lecks (SNI, DNS, IP) und neutralisiert lokale Angriffe. Siehe VPN-Kill-Switch erklärt für Details zu diesem kritischen Baustein.

Regel 3 — Hotspot-+-VPN-Kombination für heikle Aktivitäten. Sensibles Banking, Fernarbeit an vertraulichen Daten, Journalismus, Reisen in eine Hochrisiko-Jurisdiktion: kombiniere beide Schichten. Marginaler Daten-Overhead, substanzieller defensiver Gewinn.

Weiterführende Lektüre

Die Wahl zwischen mobilem Hotspot und öffentlichem WLAN ist keine Modefrage — sie ist eine Abwägung zwischen Sicherheit, Kosten und Verfügbarkeit. Für die Mehrheit der mobilen Anwendungsfälle gewinnt der mobile Hotspot bei der Sicherheit gegen lokale Angriffe und bei der Privatsphäre gegenüber kommerziellen WLAN-Betreibern — auf Kosten des Datenverbrauchs. Kombiniert mit einem geprüften VPN mit Kill Switch ist er der defensivste Stack, der einem normalen Nutzer 2026 zur Verfügung steht. Bei öffentlichem WLAN, das nicht vermieden werden kann (kein mobiler Hotspot im Flugzeug, keine Mobilfunkabdeckung im Keller, Roaming-Kosten außerhalb der EU), bleibt ein VPN die strukturelle Maßnahme. Um regelmäßig zu überprüfen, dass dein VPN seine Aufgabe erfüllt, ist unser kompletter VPN-Audit in 9 Tests die Referenzprozedur.

Artikel veröffentlicht am 29. Mai 2026. Methodik: Synthese der 3GPP-Spezifikationen zu 4G LTE und 5G NR (TS 33.401 LTE-Sicherheit, TS 33.501 5G-Sicherheit), Mobilmarktberichte von Bundesnetzagentur und FCC 2023–2025, akademische Publikationen zu IMSI-Catchern (SecureComm-Papers 2018–2021) und intern über drei Monate (März–Mai 2026) durchgeführte Datenverbrauchsmessungen auf einem Pixel-8-+-MacBook-+-NordVPN-Setup. Anbieterdaten abgeglichen mit öffentlichen Kommunikationen von Telekom, Vodafone, O2 (Deutschland) und Verizon, AT&T, T-Mobile (USA).