Datensicherheit für digitale Nomaden: Leitfaden 2026

Dein Laptop ist dein Büro, dein Smartphone ist dein Schlüsselbund, und beides liegt gerade in einem Café, dessen WLAN-Passwort auf der Tafel steht. Als digitaler Nomade trägst du deine gesamte berufliche Existenz in einem Rucksack durch fremde Netze, fremde Länder und fremde Steckdosen. Datensicherheit ist für dich keine IT-Abteilungsaufgabe, sondern Existenzsicherung.

Die gute Nachricht: Die Werkzeuge sind 2026 besser denn je. Passkeys machen Phishing weitgehend wirkungslos, Festplattenverschlüsselung ist auf jedem aktuellen Gerät Standard, und mit eSIMs baust du dir in wenigen Minuten eine zweite, unabhängige Internetverbindung auf. Die schlechte Nachricht: Die Angriffe sind ebenfalls besser geworden, und die alten Ratschläge von 2020 reichen nicht mehr.

Dieser Leitfaden geht die Bereiche der Reihe nach durch: Konten, Netzverbindungen, Geräte, Backups, den Ernstfall Geräteverlust und die rechtliche Seite. Ohne Produktwerbung, dafür mit dem Stand von heute.

Warum dein Risikoprofil anders ist als im Büro

Der Nomaden-Lebensstil verschiebt dein Risikoprofil an drei Stellen. Erstens arbeitest du in Netzen, die du nicht kontrollierst: Hotel-WLAN, Coworking-Space, Flughafen. Zweitens sind deine Geräte physisch exponiert, in Hostels, Zügen und an Stränden verschwinden Laptops schneller als im abgeschlossenen Büro. Drittens bist du bei einem Zwischenfall auf dich gestellt, ohne IT-Support und oft in einer Zeitzone, in der deine Bank gerade schläft.

Dazu kommt die geschäftliche Dimension. Wer als Freelancer oder Unternehmer mit Kundendaten arbeitet, haftet für deren Schutz, unabhängig davon, ob der Datenverlust in Berlin oder auf Bali passiert. Und wie bei Steuern gilt auch hier: Vorbereitung ist deutlich billiger als Reparatur. Zur Vorbereitung gehört neben der Technik übrigens auch die Absicherung deiner selbst, etwa über eine Auslandskrankenversicherung, die zum nomadischen Leben passt.

Das Ziel ist nicht Paranoia, sondern ein Setup, das du einmal sauber aufbaust und das dann unterwegs mitläuft, ohne dich auszubremsen.

Konten absichern: Passkeys, 2FA und der Passwort-Manager

Bei der Kontosicherheit hat sich seit den alten Ratgebern am meisten getan. Die Reihenfolge der Empfehlungen ist 2026 eine andere als noch vor wenigen Jahren.

Passkeys zuerst. Ein Passkey ist ein kryptografisches Schlüsselpaar, das an die echte Webadresse eines Dienstes gebunden ist. Er funktioniert nur auf der echten Website, lässt sich nicht abtippen, nicht weitergeben und nicht auf einer Phishing-Seite eingeben. Die US-Standardbehörde NIST stuft Passkeys deshalb als phishing-resistent ein. Praktisch alle aktuellen Smartphones und Laptops können Passkeys erzeugen, und rund die Hälfte der meistbesuchten Websites weltweit unterstützt sie inzwischen. Wo immer ein Dienst dir einen Passkey anbietet, nimm ihn. Gerade als Nomade profitierst du doppelt: Phishing-Mails im Stil von “Ihr Konto wurde im Ausland verwendet” laufen bei Passkey-gesicherten Konten ins Leere.

Der Passwort-Manager bleibt trotzdem. Passwörter verschwinden nicht über Nacht, ältere Dienste, Router-Logins und viele B2B-Tools brauchen sie weiter. Ein Passwort-Manager generiert für jeden Dienst ein eigenes, langes Passwort, speichert zunehmend auch deine Passkeys geräteübergreifend und warnt bei bekannt gewordenen Datenlecks. Sichere den Zugang zum Manager selbst mit einem starken zweiten Faktor ab, denn er ist dein Generalschlüssel.

Bei der Zwei-Faktor-Authentifizierung zählt die Methode. SMS-Codes gelten inzwischen als schwächste Variante: SIM-Swapping, bei dem sich Angreifer deine Rufnummer auf eine eigene SIM übertragen lassen, und Echtzeit-Phishing hebeln sie aus. Sicherheitsbehörden wie das BSI empfehlen deshalb den Umstieg auf phishing-resistente Verfahren. Die sinnvolle Rangfolge: Passkey oder Hardware-Sicherheitsschlüssel vor Authenticator-App vor SMS. Für dich als Nomade kommt ein praktischer Grund dazu, den Büromenschen selten bedenken: Im Ausland erreichst du dein deutsches SMS-Postfach nicht immer zuverlässig, eine Authenticator-App funktioniert dagegen offline.

Drei Nomaden-Details, die oft übersehen werden: Bewahre die Wiederherstellungscodes deiner wichtigsten Konten offline auf, getrennt vom Gerät, etwa als Ausdruck im Reisedokumenten-Etui. Hinterlege, wo möglich, einen zweiten Faktor auf einem Zweitgerät, damit der Verlust des Smartphones dich nicht aus deinen eigenen Konten aussperrt. Und aktiviere bei Diensten, die es anbieten, die Abmeldung aller aktiven Sitzungen als geübten Handgriff, nicht erst im Ernstfall.

Öffentliches WLAN und VPN: was 2026 wirklich gilt

Das öffentliche WLAN ist der Klassiker der Nomaden-Sicherheitstipps, und hier lohnt ein ehrlicher Blick. Seit praktisch der gesamte Web-Verkehr über HTTPS verschlüsselt läuft, kann ein Lauscher im Café-WLAN deine Passwörter nicht mehr einfach mitlesen wie vor zehn Jahren. Das Risiko ist kleiner geworden, aber nicht verschwunden.

Was bleibt: gefälschte Hotspots mit vertrauenswürdig klingendem Namen, manipulierte Anmeldeportale, Metadaten darüber, welche Dienste du nutzt, sowie Apps und Altgeräte, die eben doch unverschlüsselt kommunizieren. Auch Session-Hijacking und Angriffe auf andere Geräte im selben Netz kommen vor.

Ein VPN adressiert genau diesen Rest. Die Grundlogik, ganz ohne Anbieterwerbung: Ein VPN baut einen verschlüsselten Tunnel von deinem Gerät zu einem VPN-Server auf. Alles, was im lokalen Netz mitgehört werden könnte, ist damit unlesbar, und der WLAN-Betreiber sieht nicht mehr, welche Dienste du ansteuerst. Wichtig für realistische Erwartungen: Du verlagerst dabei Vertrauen vom Café-Betreiber zum VPN-Betreiber. Ein VPN macht dich nicht anonym, schützt nicht vor Phishing und nicht vor Schadsoftware. Es ist eine Transportverschlüsselung für unvertrauenswürdige Netze, nicht mehr und nicht weniger. Wähle einen Betreiber, dessen Geschäftsmodell du verstehst, und aktiviere die Verbindung, bevor du dich in ein offenes Netz einbuchst.

Die Alltagsregeln dazu: Halte Betriebssystem und Apps aktuell, denn Updates schließen genau die Lücken, die in fremden Netzen ausgenutzt werden. Erledige Banking und andere sensible Vorgänge bevorzugt über deine eigene Mobilfunkverbindung statt über fremdes WLAN. Und deaktiviere die automatische Verbindung zu bekannten Netzen, damit dein Gerät sich nicht ungefragt in einen gleichnamigen Fake-Hotspot einbucht.

Verbindungs-Redundanz: dein Internet ist Teil deiner Sicherheit

Sicherheit heißt nicht nur Vertraulichkeit, sondern auch Verfügbarkeit. Wer nicht online kommt, kann keinen Kundencall halten, keine 2FA-Freigabe empfangen und im Notfall kein gestohlenes Gerät orten oder fernlöschen. Deshalb gehört Verbindungs-Redundanz in jedes Sicherheits-Setup, gleich neben VPN und Backup.

Wie schnell das relevant wird, zeigt ein Blick aufs europäische Umland. Wer etwa den Traum vom Landleben in Italien lebt, merkt schnell: Während Rom und Mailand Glasfaser und 5G haben, hängen viele Dörfer an alten Kupferleitungen, deren Tempo für Videocalls nicht reicht. Die Mobilfunkabdeckung schwankt stark, in einem Dorf ist LTE überraschend gut, wenige Kilometer weiter bricht das Signal ab. Und die Netzbetreiber unterscheiden sich regional erheblich: Wer vor Ort den falschen Anbieter gewählt hat, sitzt neben Nachbarn mit stabilem Empfang im Funkloch. Das gilt so oder ähnlich für ländliche Regionen in ganz Europa und erst recht darüber hinaus. Prüfe deshalb vor einer Buchung oder gar einem Umzug die Abdeckungskarten der lokalen Netzbetreiber für die konkrete Adresse, nicht nur für die Region.

Das wichtigste Werkzeug für Redundanz ist die eSIM, also das fest im Gerät verbaute SIM-Profil, das du per QR-Code in Minuten aktivierst. Drei Kategorien solltest du auseinanderhalten, jede mit eigenem Einsatzzweck:

• Lokale Prepaid-Tarife eines Netzbetreibers vor Ort: meist das beste Netz und der beste Preis pro Gigabyte, dafür mit etwas Einrichtungsaufwand pro Land.
• Reise-eSIMs für ein Land oder eine Region: in Minuten gebucht, ohne Vertragsbindung, ideal für kurze Aufenthalte. Beachte, dass viele dieser Tarife reine Datentarife ohne Rufnummer sind.
• EU-Roaming deines Heimatvertrags: bequem innerhalb der EU, aber mit Fair-Use-Grenzen, die für monatelanges Arbeiten im Ausland nicht gedacht sind.

Daraus ergibt sich die Dual-SIM-Strategie, die sich bei Dauerreisenden bewährt hat: Deine Heimat-Rufnummer bleibt als erstes Profil aktiv, denn an ihr hängen Bank-TANs, Konto-Verifizierungen und die Erreichbarkeit für Ämter. Parallel läuft ein lokales oder regionales Datenprofil für den eigentlichen Traffic. Moderne Smartphones führen beide Profile gleichzeitig, du telefonierst über die eine Nummer und surfst über die andere.

Für die Arbeitsfähigkeit heißt Redundanz konkret: zwei Wege ins Netz über zwei verschiedene Betreiber. Fällt das WLAN der Unterkunft aus, wird das Smartphone per Tethering zum Hotspot für den Laptop. Schwächelt der eine Mobilfunkanbieter am Standort, übernimmt ein Datenprofil im Netz eines anderen. Als Bonus ist die eigene Mobilfunkverbindung zugleich die sicherere Alternative zum fremden WLAN für alles Sensible. Wer regelmäßig wirklich abgelegen arbeitet, etwa im Wohnmobil, plant zusätzlich eine dritte Ebene wie Satelliteninternet ein.

Ein letzter Punkt, der Konnektivität und Kontosicherheit verbindet: Wenn du längere Zeit nur mit Daten-eSIMs unterwegs bist, stelle sicher, dass deine Heimatnummer aktiv und empfangsbereit bleibt, solange noch irgendein wichtiges Konto SMS-Codes an sie schickt. Besser noch: Stelle genau diese Konten vorher auf App- oder Passkey-Verfahren um, dann hängt deine Kontosicherheit nicht mehr am Mobilfunkempfang.

Geräte und Backups: Verschlüsselung plus 3-2-1

Beim physischen Geräteschutz ist die Lage erfreulich: Die Bordmittel reichen, du musst sie nur einschalten. Vollverschlüsselung der Festplatte ist auf aktuellen Systemen integriert und kostet im Alltag keine spürbare Leistung. Auf Smartphones ist sie ohnehin Standard, sofern eine Displaysperre gesetzt ist. Damit wird aus einem gestohlenen Gerät ein wertloser Ziegelstein statt eines offenen Aktenschranks. Dazu gehören eine automatische Sperre nach kurzer Zeit und Zurückhaltung bei fremden USB-Sticks und Ladekabeln unbekannter Herkunft.

Gegen Datenverlust hilft die bewährte 3-2-1-Regel: drei Kopien deiner Daten, auf zwei verschiedenen Medientypen, davon eine an einem anderen Ort. Für Nomaden übersetzt sich das fast von selbst: die Arbeitskopie auf dem Laptop, eine verschlüsselte externe SSD im Gepäck, und die Cloud als Kopie an einem anderen Ort, die auch dann noch existiert, wenn der komplette Rucksack verschwindet.

Drei Punkte machen den Unterschied zwischen Backup-Theorie und funktionierender Praxis. Erstens Automatisierung: Was du manuell machen musst, machst du irgendwann nicht mehr, also laufen Cloud-Sync und Laptop-Backup im Hintergrund. Zweitens Verschlüsselung: Die externe SSD wird verschlüsselt, und bei Cloud-Diensten achtest du auf Ende-zu-Ende-Verschlüsselung oder verschlüsselst sensible Kundendaten clientseitig, bevor sie den Laptop verlassen. Drittens der Restore-Test: Ein Backup, aus dem du noch nie etwas wiederhergestellt hast, ist ein Gerücht, keine Sicherung. Probiere die Wiederherstellung einmal durch, bevor du sie brauchst.

Wenn ein Gerät wegkommt: das Prozedere

Irgendwann passiert es, durch Diebstahl, Verlust oder einen Moment Unachtsamkeit im Zug. Wie glimpflich es ausgeht, entscheidet sich vorher, nicht hinterher.

Die Vorbereitung: Ortungs- und Fernlöschfunktion des Betriebssystems sind aktiviert. Wichtige Nummern existieren offline auf Papier, insbesondere der deutsche Sperr-Notruf 116 116, aus dem Ausland +49 116 116, dazu die Notfallnummer deiner Bank und die IMEI-Nummern deiner Geräte. Ein Zweitgerät, und sei es das ausgemusterte Vorgänger-Smartphone im Koffer, hat Zugriff auf Passwort-Manager und einen zweiten Faktor.

Der Ablauf im Ernstfall, in dieser Reihenfolge:

1. Vom Zweitgerät aus die wichtigsten Konten sichern: E-Mail und Banking zuerst, Passwörter ändern, alle aktiven Sitzungen abmelden.
2. SIM beziehungsweise eSIM sperren lassen, damit niemand auf deine Kosten telefoniert und vor allem keine SMS-Codes für deine Konten abfängt.
3. Gerät orten und dann fernlöschen. Beachte die Reihenfolge: Nach der Fernlöschung ist das Gerät nicht mehr ortbar, dieser Schritt kommt also erst, wenn du es abschreibst.
4. Anzeige bei der örtlichen Polizei erstatten. Ohne Anzeige zahlt keine Versicherung, und für manche Ersatzdokumente brauchst du das Protokoll ebenfalls.
5. In den Folgetagen wachsam bleiben: Phishing-Versuche, die sich auf das verlorene Gerät beziehen, sind nach Diebstählen ein bekanntes Muster.

Wenn dein Setup stimmt, also Verschlüsselung an, Passkeys statt SMS, Backups aktuell, ist der Verlust am Ende ein finanzieller Ärger, aber keine Katastrophe. Genau das ist das Ziel.

Rechtliche Aspekte: die DSGVO reist mit

Arbeitest du mit Daten von Kunden aus der EU, gilt die Datenschutz-Grundverordnung unabhängig davon, von wo aus du arbeitest. Du bleibst verantwortlich dafür, dass Kundendaten verschlüsselt gespeichert, sicher übertragen und nicht in Diensten verarbeitet werden, die dafür keine Grundlage bieten. Verschlüsselte Verbindungen und sorgfältig ausgewählte Cloud-Anbieter sind hier keine Kür, sondern Pflichtprogramm. Wie eine sauber aufgesetzte Datenschutzpraxis aussieht, zeigt exemplarisch die Datenschutzerklärung unserer Kanzlei St Matthew, die DSGVO schützt dich übrigens auch selbst als Betroffenen.

Einige Länder kommen ortsunabhängigen Unternehmern strukturell entgegen. Estland etwa ermöglicht über sein E-Residency-Programm die Führung eines EU-Unternehmens samt europäischer Datenschutzstandards von überall aus. Informiere dich zusätzlich über die lokalen Datenschutzregeln deines Aufenthaltslandes, manche sind strenger als die EU-Vorgaben, andere deutlich lockerer, was für deine Kundenversprechen relevant sein kann.

Auch aufenthaltsrechtlich hat sich das Umfeld professionalisiert. Viele Länder bieten inzwischen eigene Visa für digitale Nomaden mit typischen Anforderungen wie Mindesteinkommen, Krankenversicherung und Tätigkeitsnachweis. Spanien und Portugal gehören zu den etablierten europäischen Programmen, Thailand zu den beliebtesten Zielen außerhalb Europas. Für Nicht-EU-Bürger bleibt daneben die Schengen-Grundregel bestehen: 90 Tage Aufenthalt innerhalb von 180 Tagen.

Standortwahl mit Infrastruktur-Blick

Die Wahl deiner Destination ist auch eine Sicherheitsentscheidung, denn sie legt fest, mit welcher Netz- und Strom-Infrastruktur du arbeitest. Ein Überblick über attraktive Ziele lohnt sich deshalb nicht nur wegen Kosten und Klima.

Südostasien punktet mit günstigen Preisen und in den Zentren mit schnellem Internet, Thailand etwa mit einer großen Nomaden-Szene in Chiang Mai und Bangkok. In Lateinamerika haben sich Mexiko und Argentinien als Nomaden-Ziele etabliert, mit modernen Metropolen und deutlichem Stadt-Land-Gefälle bei der Netzqualität. In Europa besticht Portugal mit Lissabon und Porto, während Italien den Charme der Provinz bietet, mit den oben beschriebenen Konnektivitäts-Hausaufgaben. Die Faustregel für alle Regionen: Je verlockender der Ort auf Fotos aussieht, desto gründlicher solltest du vorher die Netzabdeckung prüfen, damit der Traum vom Job am Strand nicht platzt.

Coworking-Spaces sind dabei mehr als ein Schreibtisch: Sie bieten in der Regel stabileres Internet und bessere Stromversorgung als das Café, dazu eine Community, die lokale Empfehlungen für Netzbetreiber und Unterkünfte parat hat. Aus Sicherheitssicht bleiben sie trotzdem fremde Netze, VPN und die eigenen Geräteregeln gelten dort genauso.

Wohin sich das entwickelt

Das digitale Nomadentum wächst weiter, immer mehr Unternehmen akzeptieren ortsunabhängige Arbeit als Normalfall, und die Visa-Programme der Länder konkurrieren zunehmend um mobile Fachkräfte. Parallel professionalisiert sich die Sicherheitslage in beide Richtungen: Passkeys, verschlüsselte Geräte und eSIM-Redundanz machen das sichere Arbeiten von unterwegs so einfach wie nie, während Angreifer gezielt dort ansetzen, wo Menschen unterwegs, abgelenkt und auf fremde Infrastruktur angewiesen sind.

Deine Antwort darauf ist ein System statt Einzelmaßnahmen: Passkeys und ein Passwort-Manager für die Konten, VPN plus eigene Mobilfunkverbindung für den Transport, zwei unabhängige Wege ins Netz, verschlüsselte Geräte, ein getestetes 3-2-1-Backup und ein eingeübtes Verlust-Prozedere. Einmal aufgesetzt, läuft dieses System im Hintergrund mit, und genau dann kannst du das tun, weswegen du unterwegs bist: frei arbeiten, ohne über deine Daten nachdenken zu müssen.