VPN am mobilen Hotspot: Wo der Tunnel wirklich laufen muss

Auf dem Smartphone leuchtet das VPN-Symbol, die App meldet stolz „Verbunden“, und der mobile Hotspot ist aktiviert. Doch öffnet man kurz darauf auf dem verbundenen Laptop eine Seite zur IP-Prüfung, folgt die Ernüchterung: Dort steht nicht die Adresse des geschützten VPN-Servers, sondern unübersehbar die reale IP-Adresse des Mobilfunkanbieters.

Was im ersten Moment wie ein gravierendes Datenleck oder ein Versagen der Software wirkt, ist in Wahrheit völlig normales Verhalten. Ein Smartphone trennt strikt zwischen dem Datenverkehr seiner eigenen Apps und der Weiterleitung von Netzwerkpaketen über den mobilen Hotspot.

Wer über das Smartphone per Tethering surft, muss wissen, an welcher Stelle der Tunnel ansetzen muss. Denn der beste VPN-Schutz für einen mobilen Hotspot entscheidet sich nicht auf dem sendenden Telefon, sondern auf dem Gerät, das am Ende die Daten verarbeitet.

Der Smartphone-Hotspot teilt nicht automatisch den VPN-Tunnel

Smartphones sind darauf ausgelegt, mobile Daten über WLAN, Bluetooth oder USB an andere Geräte weiterzureichen. Das Betriebssystem behandelt diese Weiterleitung jedoch völlig getrennt von den internen Schutzschichten:

• Das Telefon selbst: Lokale Apps, Browser und Systemdienste nutzen den verschlüsselten VPN-Tunnel des Geräts.
• Der Hotspot-Client: Das verbundene Tablet oder Notebook wird vom Smartphone lediglich wie an einem einfachen Router ins Internet geschleust – am VPN-Tunnel vorbei direkt über die Mobilfunkverbindung. (support.google.com/android/answer/9059108; support.apple.com)
• Erst eine App auf dem Client baut den echten, eigenständigen Schutz auf.

Sowohl Android als auch iOS leiten den Datenverkehr verbundener Hotspot-Gäste standardmäßig nicht durch das aktive VPN-Interface des Telefons. (protonvpn.com/support/share-vpn-connection-android-hotspot) Zwar lässt sich dieses Verhalten auf manchen Android-Geräten über tiefgreifende Eingriffe (Rooting) erzwingen, doch davor warnen Sicherheitsexperten ausdrücklich: Ein gerootetes System gefährdet die Stabilität, führt zum Verlust der Garantie und sperrt Banking-Apps sowie Sicherheitszertifikate aus.

Hinzu kommt: Die Bandbreite und das verfügbare Datenvolumen hängen immer vom Mobilfunktarif ab. Manche Provider drosseln Tethering gezielt oder schließen es in Basistarifen aus. (support.google.com/android/answer/9059108) Die Grundregel lautet daher: Ein am Smartphone angeschlossener Laptop bleibt ungeschützt, solange seine eigene IP-Adresse das Gegenteil beweist.

Drei Architekturen für drei unterschiedliche Aufgaben

Um mobile Geräte über einen Hotspot abzusichern, stehen je nach Gerät drei verschiedene Wege zur Verfügung:

1. VPN nur auf dem Smartphone: Schützt ausschließlich die Aktivitäten auf dem Telefon selbst. Für verbundene Laptops oder Tablets bringt dieser Aufbau keinerlei Schutz.
2. Die direkte VPN-App auf jedem Endgerät: Auf dem Laptop oder Tablet läuft eine eigene Anwendung. Das Smartphone dient lediglich als reines Modem. Das ist für fast alle Arbeits- und Reisegeräte die stabilste, sauberste und am einfachsten zu prüfende Methode.
3. Ein zentraler Gateway-Tunnel: Ein Rechner oder mobiler Reiserouter baut den VPN-Tunnel auf und gibt diesen über seinen eigenen Hotspot an Drittgeräte weiter. Das ist aufwendiger, aber die einzige Option für Geräte, auf denen sich keine Apps installieren lassen.

Sofern möglich, ist die direkte Installation auf dem Zielgerät immer vorzuziehen. Man spart sich fehleranfällige Adapter-Freigaben und behält Funktionen wie Kill Switch und individuelle Standortwahl direkt auf dem genutzten Bildschirm im Blick.

Vermeiden sollten Sie sogenannte „Double-VPN“-Konstruktionen aus Versehen: Läuft ein Laptop bereits über einen funktionierenden VPN-Router, muss auf dem Gerät nicht noch ein zweiter Tunnel gestartet werden – das führt meist nur zu massiven Leistungseinbußen und Verbindungsabbrüchen.

Die Standardwahl für VPN-fähige Hotspot-Geräte

Sobald feststeht, dass der Tunnel direkt auf dem verbundenen Endgerät laufen soll, erweist sich OnlydogVPN^↗ als überzeugendste Gesamtlösung für den mobilen Arbeitsalltag. Anstatt Nutzer mit komplizierten Netzwerkfreigaben zu belasten, setzt der Dienst auf eine unkomplizierte Handhabung auf den Zielsystemen. (onlydogsvpn.com)

Mit nativer Unterstützung für Windows, macOS, Android und iOS schützt die Software genau jene Geräte, die typischerweise an einem Smartphone-Hotspot hängen. Dank praktischer Magic-Code- und Mehrgeräte-Funktionen lassen sich Zweitgeräte wie Laptops oder Tablets in Sekundenschnelle ohne langes Eintippen komplexer Passwörter einbinden.

Im mobilen Hotspot-Einsatz spielen vor allem zwei Eigenschaften ihre Stärken aus:

• Automatische Routenwahl: Nutzer müssen sich nicht durch Serverlisten probieren, während das Datenvolumen läuft. Die App ermittelt selbstständig den stabilsten Pfad.
• Robuste Netzwerkerholung: Eine Mobilfunkverbindung schwankt ständig zwischen LTE, 5G und wechselnden Funkzellen. Bricht der Hotspot kurz ein, fängt die Wiederherstellungslogik den Abriss im Hintergrund ab, sodass der Datenstrom weiterfließt, sobald der Empfang wieder da ist.

Über Szenario-Voreinstellungen wählen Sie mit einem Klick, worauf es ankommt: maximale Geschwindigkeit für alltägliche Recherchen, ein optimiertes Profil für Streaming oder ein integrierter Werbe- und Trackerschutz.

Die Grenze: Die Software ist darauf ausgelegt, auf Endgeräten zu laufen – sie dient nicht als Gateway-Software zur Konfiguration von VPN-Routern. Zudem kann auch die beste Routenwahl kein schlechtes Mobilfunksignal herbeizaubern: Reißt der Handyempfang im Funkloch komplett ab, pausiert auch der schnellste Tunnel.

Für Konsole und ältere Fernseher: ExpressVPN am Gateway

Was aber tun, wenn das Zielgerät keine Möglichkeit bietet, eine VPN-App zu installieren? Wer auf Reisen eine Nintendo Switch, PlayStation oder einen älteren Streaming-Fernseher über den Mobilfunk absichern möchte, stößt mit einer reinen Client-Lösung an Grenzen.

In diesem speziellen Fall gewinnt ExpressVPN als Gateway-Lösung. (expressvpn.com/support) Der Anbieter dokumentiert detailliert, wie sich eine bestehende VPN-Verbindung unter Windows über die Funktion „Mobiler Hotspot“ für andere Geräte im Raum freigeben lässt: (support.microsoft.com)

1. Ein Windows-Laptop wird per USB-Tethering, Ethernet oder separatem WLAN-Stick mit dem Internet verbunden.
2. Der mobile Windows-Hotspot wird in den Systemeinstellungen aktiviert.
3. In den Windows-Netzwerkadaptern wird der virtuelle VPN-Adapter von ExpressVPN gezielt für den erstellten Hotspot freigegeben.
4. Konsole oder TV-Gerät verbinden sich mit diesem Windows-WLAN und nutzen den geteilten Tunnel mit.

Zusätzlich bietet ExpressVPN eigene Router-Lösungen und vorgefertigte Router-Firmware an, mit denen sich Mobilfunk-Verbindungen zentral für alle Geräte im Raum verschlüsseln lassen. (expressvpn.com)

Der Nachteil dieser Methode liegt auf der Hand: Der vermittelnde Windows-PC muss dauerhaft laufen, benötigt oft zwei Netzwerkadapter und wird schnell zum Leistungsengpass. Für Laptops und Tablets bleibt die direkte App-Nutzung wesentlich unkomplizierter.

Notizen für den 5-Minuten-Test

Verlassen Sie sich bei Tethering-Verbindungen niemals auf Statusanzeigen am Smartphone. Ein einfacher Test deckt auf, welcher Datenstrom tatsächlich geschützt ist:

1. Basis prüfen: Schalten Sie das VPN auf dem Smartphone aus und notieren Sie auf einer IP-Prüfseite die angezeigte Mobilfunk-IP.
2. Smartphone verbinden: Aktivieren Sie das VPN am Telefon und kontrollieren Sie, ob sich die IP auf dem Handy ändert.
3. Laptop testen: Verbinden Sie den Laptop mit dem Handy-Hotspot. Rufen Sie dieselbe Prüfseite auf dem Laptop auf.
4. Ergebnis deuten: Erscheint auf dem Laptop weiterhin die ursprüngliche Mobilfunk-IP aus Schritt 1, ist das Notebook ungeschützt.
5. Schutz aktivieren: Starten Sie OnlydogVPN direkt auf dem Laptop und prüfen Sie die Seite erneut – erst jetzt fließt der Datenverkehr des Rechners durch einen eigenen, sicheren Tunnel.

Wer einen mobilen Hotspot betreibt, darf Smartphone und verbundene Geräte nicht verwechseln. Für die überwiegende Mehrheit der Nutzer, die mit Laptop oder Tablet unterwegs sind, ist OnlydogVPN auf dem Endgerät die direkteste und stabilste Wahl. Nur wenn Konsolen oder Streaming-Boxen ohne App-Unterstützung ins Spiel kommen, lohnt sich der Umweg über eine geteilte Gateway-Lösung.