Die Verschlüsselung des mobilen Hotspots richtig wählen: WPA3, sonst WPA2

Sie sitzen in einem Wartebereich, das Notebook findet kein vertrauenswürdiges Netz, und in zehn Minuten beginnt eine Videokonferenz. Also schalten Sie den Hotspot Ihres Telefons ein, verbinden den Rechner und arbeiten weiter. Alles, was von diesem Moment an entsteht – E-Mails, Dokumente, Nachrichten –, legt ein paar Meter durch die Luft zurück, vom Notebook zum Telefon. Genau diese kurze Strecke schützt die Verschlüsselung des mobilen Hotspots.

Diese Luftstrecke ist unsichtbar, aber sie ist nicht privat: jedes Gerät in der Nähe kann die Funksignale Ihres Netzes auffangen. Dass ein Fremder daraus nichts lesen kann, liegt an der Verschlüsselung – dem Verfahren, das Daten in eine Form bringt, die ohne den passenden Schlüssel unleserlich bleibt. Und nicht jedes Verfahren, das ein Telefon anbietet, schützt gleich gut.

Diese Empfehlung – die R15 des Frameworks Cyber Welfare – hilft Ihnen, unter den verfügbaren Verfahren das stärkste zu wählen, die Kürzel in den Einstellungen zu verstehen und zu erkennen, wann ein Kompromiss vertretbar ist. Sie ist die natürliche Ergänzung zum Passwort für den mobilen Hotspot: das Passwort entscheidet, wer hereinkommt, die Verschlüsselung schützt, was hindurchgeht.

Was diese Empfehlung besagt

Die Empfehlung R15 legt fest, dass Sie beim Einschalten des Telefon-Hotspots das stärkste verfügbare Schutzverfahren wählen: WPA3, wo es angeboten wird, den gemischten Modus WPA2/WPA3 nur dann, wenn sich ein älteres Gerät sonst nicht verbindet, und WPA2, wenn das Telefon nichts anderes kennt. Niemals ein offenes Netz, niemals WEP oder WPA.

Die Kürzel in den Einstellungen sind wenige, und eine Zeile je Kürzel genügt zur Orientierung:

• Offenes Netz (kein Schutz) – kein Passwort und keine Verschlüsselung: was durch dieses Netz läuft, ist im Klartext unterwegs und für jeden in Reichweite lesbar.
• WEP (Wired Equivalent Privacy) – das erste Schutzverfahren für drahtlose Netze, aus den späten Neunzigerjahren. Es lässt sich heute mit geringem Aufwand umgehen und gilt als überholt.
• WPA – der Notbehelf, der WEP schnell ablösen sollte. Besser als sein Vorgänger, inzwischen aber selbst veraltet und nicht mehr zu empfehlen.
• WPA2 – der Standard, der seit vielen Jahren die meisten WLAN-Netze schützt: solide, solange das Passwort lang und nicht zu erraten ist.
• WPA3 – die jüngste Generation. Sie erschwert das Durchprobieren von Passwörtern erheblich und schützt außerdem den bereits übertragenen Datenverkehr besser.

Daneben bieten viele Telefone einen gemischten Modus WPA2/WPA3 an, manchmal „Übergangsmodus“ genannt: neuere Geräte verbinden sich damit über WPA3, ältere über WPA2.

Was sie nicht ist. Sie ist keine Angelegenheit für Netzwerkfachleute. Es geht um einen einzigen Eintrag in den Einstellungen des Hotspots, den Sie einmal prüfen und gelegentlich noch einmal ansehen. Und sie ersetzt die übrigen Schutzmaßnahmen nicht: die Verschlüsselung hält niemanden auf, der das Passwort bereits kennt, und sie schützt die Daten nicht über das Telefon hinaus, auf dem weiteren Weg durch das Internet.

Geltungsbereich. Sie gilt für jedes Telefon und jedes Tablet, das Sie als Hotspot nutzen, privat wie beruflich, und ebenso für die kleinen tragbaren Router, die eine Mobilfunkverbindung weiterreichen. Für den Router zu Hause gilt derselbe Grundsatz, doch das ist ein Thema für sich.

Warum die Verschlüsselung des mobilen Hotspots wichtig ist

Ein WLAN ist Funk. Anders als bei einem Kabel bleibt das Signal nicht zwischen den beiden Geräten, die miteinander sprechen: es breitet sich aus, geht durch Wände und Sitzlehnen und erreicht jede Antenne in Reichweite. An belebten Orten – in einem Zug, in einem Gemeinschaftsbüro, an einem Flughafen – gibt es davon viele.

Die Verschlüsselung macht dieses Signal für alle wertlos, die es unbefugt auffangen. Ist sie schwach oder fehlt sie, treten drei Dinge ein:

• der Datenverkehr wird lesbar – bei einem offenen oder nur mit WEP geschützten Netz kann jede Person in der Nähe mitverfolgen, was zwischen Ihren Geräten und dem Telefon läuft;
• das Passwort lässt sich herleiten – bei den älteren Verfahren, und bei WPA2 mit einem kurzen Passwort, genügt es, den Verbindungsaufbau eines Geräts aufzuzeichnen: die vielen Kombinationen probiert jemand anschließend in aller Ruhe und weit entfernt durch;
• das Netz steht offen – ist der Schlüssel erst gefunden, verbindet sich ein Fremder wie ein berechtigtes Gerät, verbraucht Ihr Datenvolumen und befindet sich im selben Netz wie Ihr Notebook.

Viele Websites und Apps verschlüsseln ihre eigene Kommunikation inzwischen selbst; das ist der Gedanke hinter der Empfehlung, nur über HTTPS zu verbinden. Das verringert, was ein Fremder überhaupt mitlesen kann. Doch nicht alles ist gleich gut geschützt: die Namen der aufgerufenen Websites, einzelne Apps und die Geräte im Netz selbst bleiben sichtbarer. Die Verschlüsselung des mobilen Hotspots ist die erste Schicht: Sie schützt alles, was durch die Luft geht, ohne dass Sie im Alltag daran denken müssen.

Ein Punkt fällt dabei weniger auf. Wer bei WPA2 das Passwort kennt und den Verbindungsaufbau eines anderen Geräts beobachtet, kann dessen Datenverkehr grundsätzlich entschlüsseln. WPA3 gibt jeder einzelnen Verbindung eigene Schlüssel, die sich aus dem Passwort allein nicht ableiten lassen: selbst wer berechtigt im Netz ist, liest nicht mit, was die anderen tun.

Ein konkretes Beispiel

Sara ist beruflich viel unterwegs. Zweimal in der Woche nimmt sie einen Regionalzug, anderthalb Stunden je Richtung, und schaltet für die Arbeit am Notebook den Hotspot ihres Telefons ein. Den Rat mit dem langen Passwort hat sie befolgt, und sie ändert es, wenn sie den Zugang einmal weitergegeben hat.

Eines Tages, auf der Suche nach einer anderen Einstellung, fällt ihr im Hotspot-Menü der Eintrag „Sicherheit“ auf. Er steht auf WPA2 – vermutlich war das die Voreinstellung, oder sie hatte vor Jahren umgestellt, um ein altes Tablet zu verbinden, das sich sonst nicht anmeldete. Unter den Möglichkeiten steht auch WPA3.

Sara wählt WPA3 aus. Das Notebook ist wenige Jahre alt und verbindet sich ohne Zögern wieder. Das deutlich ältere Tablet der Kinder findet das Netz nicht mehr. Statt den Schritt zurückzunehmen, entscheidet sie sich für den gemischten Modus WPA2/WPA3: das Notebook nutzt weiterhin WPA3, das Tablet verbindet sich über WPA2. Sie notiert sich, beim nächsten Update des Tablets nachzusehen, ob WPA3 inzwischen unterstützt wird.

Nichts Schlimmes ist geschehen, und eine akute Gefahr bestand nicht. Doch seitdem reist jede Arbeitsstunde im Zug mit dem besten Schutz, den ihre Geräte bieten können – und Sara weiß genau, warum.

Wann sie besonders zählt

Die Regel gilt immer, aber es gibt Momente, in denen sie einen spürbaren Unterschied macht.

• Beim ersten Einschalten des Hotspots auf einem neuen Telefon. Die Voreinstellung ist nicht immer die stärkste: manche Geräte starten mit der verträglichsten Einstellung, nicht mit der sichersten.
• Bei der Arbeit unterwegs. Züge, Bahnhöfe, Flughäfen, Gemeinschaftsbüros, Hotels: mehr Menschen und mehr Geräte in Reichweite des Signals.
• Wenn Sie vertrauliche Daten übertragen. Arbeitsunterlagen, Gesundheitsdaten, Behördenvorgänge: hier zählt jede Schutzschicht.
• Nach einem Update des Betriebssystems. Updates können die Unterstützung für WPA3 nachliefern oder einzelne Einstellungen auf die Voreinstellung zurücksetzen.
• Wenn sich ein Gerät nicht verbinden kann. Das ist die Lage, in der die Versuchung am größten ist, den Schutz zu senken – und genau dann lohnt sich Augenmaß.
• Beim Wechsel von Notebook oder Tablet. Ein neues Gerät beherrscht fast immer WPA3: eine gute Gelegenheit, den gemischten Modus wieder zu verlassen.

Wie Sie die Empfehlung umsetzen

Ein paar Minuten genügen, und die Reihenfolge bleibt immer dieselbe.

1. Öffnen Sie die Einstellungen des Hotspots. Sie liegen meist im Bereich für Netz oder Verbindungen, unter einem Eintrag wie „Persönlicher Hotspot“ oder „Hotspot und Tethering“. Der Weg dorthin unterscheidet sich von Telefon zu Telefon, doch es ist die Ansicht, in der Sie auch Netzname und Passwort festlegen.
2. Suchen Sie den Eintrag zur Sicherheit. Er heißt „Sicherheit“, „Sicherheitstyp“ oder „Schutz“. Manche Telefone zeigen keine Kürzel, sondern eine Verträglichkeitsoption für ältere Geräte: sie einzuschalten bedeutet in der Regel, auf WPA2 zurückzugehen.
3. Wählen Sie WPA3, wenn es angeboten wird. Es kann als „WPA3“, „WPA3-Personal“ oder „WPA3-SAE“ erscheinen. SAE steht für Simultaneous Authentication of Equals: So heißt das Verfahren, mit dem WPA3 das Passwort prüft. Über die Luft geht dabei nichts, was sich durch Ausprobieren angreifen ließe.
4. Prüfen Sie, ob sich alle Ihre Geräte verbinden. Testen Sie das Notebook, das Tablet und jedes andere Gerät, das Sie gewöhnlich am Hotspot betreiben.
5. Verbindet sich ein Gerät nicht, nehmen Sie den gemischten Modus. Wählen Sie „WPA2/WPA3“, statt vollständig auf WPA2 zurückzugehen: die neueren Geräte behalten so den besseren Schutz. Das ist eine Übergangslösung, kein Dauerzustand.
6. Fehlt WPA3, wählen Sie WPA2. Es erscheint oft als „WPA2-Personal“ oder „WPA2-PSK“. Dann zählt die Stärke des Passworts umso mehr: ein langes, nur hier verwendetes Passwort, wie es die Empfehlung zum Passwort für den mobilen Hotspot beschreibt, macht WPA2 erst wirklich tragfähig.
7. Schließen Sie die überholten Möglichkeiten grundsätzlich aus. Kein offenes Netz, kein WEP, kein einfaches WPA – auch nicht „nur für fünf Minuten“.
8. Halten Sie Telefon und Geräte auf dem neuesten Stand. In den vergangenen Jahren sind Schwachstellen in den WLAN-Protokollen aufgetaucht; Software-Updates haben sie geschlossen. Software aktuell halten ist außerdem der Weg, auf dem WPA3 überhaupt erst auf Geräte gelangt, die es heute noch nicht kennen.

Häufige Fehler

• Die Voreinstellung ungeprüft übernehmen. Sie ist nicht zwangsläufig falsch, aber eben auch nicht zwangsläufig die stärkste: ein einziger Blick lohnt sich.
• Wegen eines einzigen Geräts auf WPA2 oder noch tiefer zurückgehen. Verbindet sich ein altes Gerät nicht, löst der gemischte Modus das Problem, ohne den Schutz für alle übrigen zu senken.
• Das Netz „kurz einmal“ öffnen. Ein Netz ohne Passwort ist für alle in Reichweite sichtbar und erreichbar, auch in diesen wenigen Minuten.
• Die Verschlüsselung für den einzigen Schutz halten. Mit einem kurzen oder mit zu vielen Personen geteilten Passwort schützt auch das beste Verfahren weniger: beide Teile wirken nur zusammen.
• Den Hotspot mit fremden Netzen verwechseln. Die Verschlüsselung des mobilen Hotspots schützt die Strecke zwischen Ihren Geräten und dem Telefon. Verbinden Sie sich mit dem Netz eines anderen, gelten andere Regeln: die zu sensiblen Daten im öffentlichen WLAN und, für vertrauliche Übertragungen, die zum VPN für vertraulichen Datenverkehr.
• Den gemischten Modus für immer eingeschaltet lassen. Als Übergangslösung gedacht, bleibt er oft noch Jahre bestehen, nachdem das alte Gerät längst nicht mehr benutzt wird.

Bezug zum Framework Cyber Welfare

Die R15 macht aus einer technischen Einstellung eine bewusste Entscheidung: zu verstehen, wovor die Verschlüsselung schützt, ist das, was davor bewahrt, sie bei der ersten Schwierigkeit wieder zu senken. Sie berührt alle drei Säulen – Kompetenzen, digitales Bewusstsein und Sicheres Verhalten.

Stufen der digitalen Reife.

• FL1 – Basis. Sie nutzen den Hotspot mit der Voreinstellung, ohne zu wissen, welcher Schutz gerade aktiv ist. Das ist der häufigste Ausgangspunkt, kein Versäumnis.
• FL2 – Einsteiger. Sie haben die Einstellung geprüft und WPA3 gewählt, oder WPA2, wenn WPA3 fehlt; ein offenes Netz kommt nicht mehr vor.
• FL3 – Selbstständig. Sie gehen mit dem gemischten Modus überlegt um, wissen, welche Ihrer Geräte WPA3 beherrschen, und sehen nach jedem Update erneut nach.
• FL4 – Versiert. Sie wenden denselben Grundsatz auf alle Netze an, die Sie betreuen – Hotspot, Router zu Hause, tragbare Router –, und können die Grenzen jedes Verfahrens erklären.
• FL5 – Experte/Leitfigur. Sie begleiten andere – in der Familie, im Team, in Ihrer Organisation – dabei, den Schutz ihrer eigenen Netze zu prüfen und zu verbessern.

Die R15 ist ein entscheidender Schritt hin zu FL2 und bleibt auf allen weiteren Stufen eine aktive Anforderung.

So prüfen Sie, ob Sie die Empfehlung anwenden

Drei Fragen, ehrlich beantwortet.

1. Weiß ich, welches Schutzverfahren gerade auf dem Hotspot meines Telefons aktiv ist?
2. Könnte ich, wenn sich ein Gerät nicht verbindet, den gemischten Modus wählen, statt das Netz zu öffnen oder auf ein überholtes Verfahren zurückzugehen?
3. Habe ich die Einstellung nach dem letzten Update des Telefons noch einmal geprüft?

Kurze Checkliste

• ☐ Der Hotspot nutzt WPA3, oder WPA2/WPA3, wenn ein Gerät es verlangt, oder WPA2, wenn das Telefon nichts anderes kennt
• ☐ Ein offenes Netz, WEP oder einfaches WPA kommen nie zum Einsatz
• ☐ Der gemischte Modus bleibt nur so lange aktiv, wie ein bestimmtes Gerät ihn braucht
• ☐ Das Passwort des Hotspots ist lang, wird nur hier verwendet und nach gelegentlicher Weitergabe geändert
• ☐ Telefon und verbundene Geräte erhalten die Sicherheitsupdates
• ☐ Mir ist klar, dass die Verschlüsselung die Strecke bis zum Telefon schützt und nicht den gesamten Weg durch das Internet

Bleibt ein Kästchen leer, haben Sie bereits Ihren nächsten Schritt. Wenn Sie Ihren Stand genauer einordnen möchten, können Sie die Selbstbewertung der digitalen Resilienz machen.

Zusammenfassung

Der Hotspot des Telefons spannt ein kleines WLAN auf, und alles, was hindurchgeht, reist durch die Luft, wo jede Person in der Nähe es auffangen kann. Die Verschlüsselung ist das, was diese Daten für alle unleserlich macht, die den Schlüssel nicht haben.

Die Wahl ist einfach, sobald Sie die Kürzel kennen: WPA3, wo es angeboten wird, der gemischte Modus WPA2/WPA3 nur dann, wenn sich ein älteres Gerät sonst nicht verbindet, und WPA2, wenn das Telefon nichts anderes kennt. Niemals ein offenes Netz, niemals WEP oder WPA. Dazu gehören ein langes, nur hier verwendetes Passwort und Geräte, die ihre Updates bekommen.

Sicherheit verlangt an dieser Stelle nicht, Netzwerkfachfrau oder Netzwerkfachmann zu werden. Sie verlangt, eine Ansicht zu öffnen, einen Eintrag zu lesen und bewusst zu entscheiden: wenige Minuten, die jede Arbeitsstunde unterwegs begleiten.

Frage zum Nachdenken. Wenn Sie heute die Einstellungen Ihres Hotspots öffnen würden – könnten Sie sagen, welchen Schutz Sie gerade nutzen, und warum?

Diese Empfehlung vertiefen

Diese Empfehlung ist der Kern einer Inhaltseinheit. Jeder Beitrag vertieft einen anderen Aspekt.

• Auswirkungen einer schwachen WLAN-Verschlüsselung – was getroffen wird: Vertraulichkeit, Richtigkeit und Verfügbarkeit der Verbindung und der Daten
• Folgen einer veralteten Verschlüsselung – die konkreten Auswirkungen auf betrieblicher, wirtschaftlicher, rechtlicher, reputationsbezogener und persönlicher Ebene
• WPA3 aktivieren – die Gegenmaßnahmen, von der Wahl der Einstellung bis zum Umgang mit älteren Geräten
• Anzeichen für einen schlecht geschützten Hotspot – die Indikatoren, die Sie prüfen sollten, und was sie bedeuten
• wie WPA3 funktioniert – die beteiligten Technologien, ihr Nutzen und ihre Grenzen
• Angriffe auf die WLAN-Verschlüsselung – die Methoden, mit denen ein schlecht geschütztes Netz ausgenutzt wird

Einen Begriff nachschlagen

Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:

• Man-in-the-Middle-Angriff

Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.