VPN und Privatsphäre: Mythen und Grenzen eines VPN

Ein VPN ist ein nützliches Werkzeug für mehr Privatsphäre, gehört aber auch zu den Produkten im Netz, bei denen am meisten versprochen wird. Es kann einige bestimmte Dinge gut und viele Dinge gar nicht. Dieser Ratgeber erklärt, was ein VPN schützen kann und was nicht, woher die verbreiteten Mythen stammen und wie du entscheidest, ob ein VPN zu den Risiken passt, denen du tatsächlich ausgesetzt bist.

Was ein VPN wirklich tut

Ein VPN baut eine verschlüsselte Verbindung zwischen deinem Gerät und einem Server des VPN-Anbieters auf. Dein Datenverkehr läuft durch diese Verbindung, und Websites sehen die Adresse des VPN-Servers statt der Adresse, die dir dein Internetanbieter zugewiesen hat. Wenn du zuerst die Grundlagen brauchst, lies unseren Ratgeber Was ist ein VPN?

Diese Beschreibung ist absichtlich kurz, denn sie zeigt Stärke und Grenze zugleich. Ein VPN ändert nicht, wer du bist, was du in ein Anmeldeformular eintippst oder was dein Browser über sich preisgibt.

Der Mythos der vollständigen Anonymität

In der Werbung fallen oft Wörter wie anonym, nicht nachverfolgbar und unsichtbar. Nichts davon beschreibt, was ein VPN dir bietet. Im besten Fall schützt dich ein VPN in bestimmten Situationen bis zu einem gewissen Grad vor bestimmten Parteien.

Anonymität erreicht ein VPN nicht. Der Anbieter sieht, dass sich dein Konto mit seinen Servern verbindet, Websites kennen dich, weil du dich anmeldest, und dein Browser lässt sich auch ohne deine IP-Adresse wiedererkennen. Ehrlicher ist die Beschreibung, dass ein VPN einen Teil der Sichtbarkeit von einer Stelle auf eine andere verlagert. Ob das ein guter Tausch ist, hängt davon ab, vor wem du dich schützen willst.

Logging-Richtlinien und ihre Bedeutung

Viele Anbieter versprechen, keine Logs zu speichern. Der Satz klingt eindeutig, ist es aber nicht. Ein Dienst kann mehrere Arten von Daten aufzeichnen, und eine Richtlinie kann einige davon abdecken und andere nicht.

• Verbindungslogs: wann du dich verbunden hast, wie lange und von welcher Adresse aus. Manche Anbieter speichern kurzlebige Einträge, um den Dienst zu betreiben oder Missbrauch einzudämmen.
• Aktivitätslogs: welche Seiten du besucht oder was du heruntergeladen hast. Diese Kategorie meinen die meisten, wenn sie von Logging sprechen.
• Konto- und Zahlungsdaten: deine E-Mail-Adresse, die Zahlungsmethode und Angaben zum Abo. Fast jeder kostenpflichtige Dienst speichert diese.

Achte beim Lesen einer Richtlinie auf klare Aussagen zu jeder Kategorie und dazu, wie lange Daten aufbewahrt werden. Manche Anbieter bezahlen unabhängige Prüfer, die einen Bericht veröffentlichen. Das ist ein besseres Zeichen als ein bloßes Versprechen, doch eine Prüfung gilt nur für einen Zeitpunkt und einen begrenzten Umfang. Wenn du keine klare Richtlinie findest, ist das auch eine Antwort.

Das Vertrauen wandert vom Internetanbieter zum VPN-Anbieter

Ohne VPN sieht dein Internetanbieter, mit welchen Domains sich dein Gerät verbindet. Mit VPN sieht er nur eine Verbindung zu einem VPN-Server, und der VPN-Anbieter sieht, was vorher dein Internetanbieter gesehen hat.

Das ist der zentrale Punkt des ganzen Themas. Ein VPN nimmt das Vertrauen nicht aus dem Spiel. Es verlagert es von einem Unternehmen, mit dem du in deinem eigenen Land bereits einen Vertrag hast, zu einem Unternehmen, über das du vielleicht sehr wenig weißt. Für viele ist das trotzdem ein sinnvoller Schritt, zum Beispiel im öffentlichen WLAN oder wenn sie dem lokalen Netzwerk nicht trauen. Für andere ist es ein Schritt zur Seite.

Wenn du keinen Grund hast, deinem Internetanbieter zu misstrauen, bringt ein VPN womöglich nicht viel mehr Privatsphäre. Unser Ratgeber So wählst du ein VPN aus zeigt, worauf du achten solltest, wenn du dich für eines entscheidest.

Browser-Fingerprinting und angemeldete Konten

Websites brauchen deine IP-Adresse nicht, um dich wiederzuerkennen. Zwei verbreitete Methoden funktionieren mit und ohne VPN.

Angemeldete Konten

Wenn du dich bei einem sozialen Netzwerk, einem E-Mail-Dienst, einem Shop oder einem Suchkonto anmeldest, weiß dieser Dienst, wer du bist. Eine andere IP-Adresse ändert daran nichts. Alles, was du angemeldet tust, lässt sich dem Konto zuordnen. Ein VPN kann eine angemeldete Sitzung nicht anonym machen.

Cookies und Fingerprinting

Cookies liegen auf deinem Gerät und bleiben deshalb gleich, wenn sich deine IP-Adresse ändert. Ein Fingerprint ist eine Kombination von Angaben, die dein Browser preisgibt, etwa Bildschirmgröße, Sprache, Schriftarten und Zeitzone. Sie kann so eindeutig sein, dass sich ein Gerät wiedererkennen lässt. Ein VPN ändert nichts davon. Getrennte Browserprofile und Browser, die Tracking begrenzen, helfen mehr.

Malware und Phishing

Ein VPN schützt dich weder vor Schadsoftware noch vor Betrug. Wenn du über ein VPN eine infizierte Datei herunterlädst, ist die Datei genauso infiziert. Wenn du über ein VPN dein Passwort auf einer gefälschten Anmeldeseite eingibst, erhält der Angreifer es genauso leicht.

Manche Apps blockieren bekannte schädliche Domains. Das kann helfen, ist aber eine Ergänzung und kein Ersatz für vernünftige Gewohnheiten. Phishing zielt auf Menschen, nicht auf Netzwerke. Prüfe Absender und Seitenadresse, bevor du dich anmeldest, und nutze einen Passwortmanager, der Zugangsdaten auf einer täuschend ähnlichen Seite nicht einträgt.

HTTPS im Vergleich zu einem VPN

Die meisten Websites nutzen heute HTTPS, das die Inhalte zwischen deinem Browser und der Seite verschlüsselt. Das ist wichtig für die Frage, wann ein VPN nötig ist.

In einem öffentlichen WLAN verhindert HTTPS bereits, dass andere Personen in diesem Netzwerk die Seiten lesen, die du aufrufst, und die Daten, die du abschickst. Sie sehen eventuell trotzdem, welche Domains du ansteuerst. Ein VPN fügt eine Schicht hinzu, die auch das verbirgt, und schützt Datenverkehr ohne HTTPS, etwa bei manchen älteren Apps oder Diensten.

So unterscheiden sich die beiden in der Praxis:

Keines von beiden schützt dich vor der Website selbst, und keines ersetzt das andere.

DNS- und IP-Lecks

Ein VPN hilft nur, wenn dein gesamter Datenverkehr wirklich darüber läuft. Manchmal tun das Teile davon nicht. Man nennt das Lecks, und sie sind ein häufiger Weg, wie ein VPN unbemerkt versagt.

• DNS-Lecks: DNS ist das System, das einen Websitenamen in eine Adresse umwandelt. Wenn dein Gerät diese Abfragen an deinen Internetanbieter schickt statt durch das VPN, kann der Anbieter weiterhin sehen, welche Seiten du besuchst.
• IP-Lecks: Manche Browserfunktionen können deine echte Adresse verraten, selbst wenn ein VPN aktiv ist. Neuere Netzwerke nutzen außerdem IPv6-Adressen, und wenn ein VPN nur den älteren Typ IPv4 verarbeitet, kann Datenverkehr über IPv6 daran vorbeilaufen.

Du kannst diese Risiken verringern. Suche nach einer Kill-Switch-Einstellung, nutze die offizielle App und führe bei bestehender Verbindung einen Lecktest auf einer seriösen Testseite durch. Wiederhole ihn nach größeren Updates oder wenn du das Netzwerk wechselst.

Rechtsraum und Datenanfragen

Jedes VPN-Unternehmen hat irgendwo seinen Sitz und betreibt Server an verschiedenen Orten. Die Gesetze dieser Orte beeinflussen, wozu das Unternehmen verpflichtet werden kann. Allgemein gesagt können Behörden in vielen Ländern rechtliche Anfragen an Unternehmen richten, und ein Unternehmen, das Daten besitzt, kann zur Herausgabe verpflichtet sein. Ein Unternehmen, das sehr wenige Daten speichert, hat auch wenig herauszugeben.

Deshalb zählt eine klare Logging-Richtlinie mehr als der Name eines Landes auf der Karte. Gesetze zur VPN-Nutzung, zur Datenspeicherung und zum Datenschutz unterscheiden sich stark von Land zu Land und ändern sich mit der Zeit. Dieser Ratgeber enthält allgemeine Informationen und keine Rechtsberatung. Informiere dich über die Regeln an deinem Wohnort und an deinen Reisezielen.

Kostenlose VPNs

Der Betrieb eines VPN kostet Geld für Server, Bandbreite, Software und Support. Ein Dienst, der nichts verlangt, muss diese Kosten irgendwie decken. Das macht nicht jeden kostenlosen Dienst schädlich, ist aber ein Grund, die Bedingungen besonders sorgfältig zu lesen.

Kostenlose Dienste können unter anderem Geld verdienen, indem sie Werbung zeigen, Geschwindigkeit oder Datenvolumen begrenzen, um dich zu einem Bezahltarif zu drängen, oder Informationen darüber sammeln und verkaufen, wie du das Internet nutzt. Letzteres ist für die Privatsphäre das eigentliche Problem, denn der ganze Sinn eines VPN ist es, einzuschränken, wer deinen Datenverkehr sieht. Eine kostenlose App, die Surfdaten aufzeichnet und verkauft, verfehlt diesen Zweck.

Prüfe vor der Installation eines kostenlosen VPN, wer es betreibt, womit es Geld verdient und was in der Datenschutzerklärung steht. Wenn du das nicht beantworten kannst, installiere es nicht.

Werbeversprechen, denen du skeptisch begegnen solltest

VPN-Werbung ist voller dramatischer Sprache. Du musst nicht von böser Absicht ausgehen, solltest diese Aussagen aber kritisch lesen.

• „Verschlüsselung auf Militärniveau“. Das ist ein Werbebegriff, kein technischer Standard. Achte darauf, dass in der Dokumentation die tatsächlichen Protokolle und Verschlüsselungsverfahren genannt werden.
• „Vollständige Anonymität“ oder „nicht nachverfolgbar“. Wie oben erklärt, kann ein VPN das nicht leisten.
• „Funktioniert mit jedem Streamingdienst.“ Streamingdienste sperren VPN-Adressen aktiv, und was funktioniert, ändert sich oft. Kein Anbieter kann dauerhaften Zugang versprechen. Was du erwarten kannst, steht in unserem Ratgeber VPN auf Smartphone, Router und beim Streaming.
• Countdown-Timer und riesige Rabatte. Lies die Verlängerungsbedingungen, bevor du kaufst. Unser Ratgeber VPN-Preise und Verlängerungen erklärt, wie Einführungspreise funktionieren.

Ein vertrauenswürdiger Anbieter beschreibt Grenzen genauso klar wie Vorteile.

Weitere Tools, die ein VPN ergänzen

Für die meisten Menschen kommen die größten Verbesserungen bei Privatsphäre und Sicherheit von grundlegenden Gewohnheiten und Werkzeugen, nicht von einem VPN. Diese leisten, was ein VPN nicht kann.

• Software-Updates. Halte System, Browser und Apps aktuell, denn viele Angriffe nutzen bekannte Schwachstellen.
• Ein Passwortmanager. Er erstellt und speichert für jedes Konto ein eigenes Passwort, sodass ein Datenleck bei einer Seite nicht die anderen öffnet. Er hilft dir außerdem, gefälschte Anmeldeseiten zu erkennen.
• Zwei-Faktor-Authentifizierung. Ein zweiter Schritt bei der Anmeldung, am besten über eine Authenticator-App oder einen physischen Sicherheitsschlüssel, schützt ein Konto auch dann, wenn das Passwort gestohlen wurde.
• Tracker-Blockierung. Browsereinstellungen oder Erweiterungen aus seriösen Quellen können Cookies, Tracker von Drittanbietern und teils auch Fingerprinting begrenzen. Das deckt ab, was ein VPN unberührt lässt.

Eine realistische Checkliste zum Bedrohungsmodell

Ein Bedrohungsmodell ist schlicht die ehrliche Antwort auf die Frage, was du schützen willst und vor wem. So kaufst du keine Lösung für ein Problem, das du nicht hast. Gehe diese Fragen durch.

1. Was möchte ich schützen? Beispiele sind Zugangsdaten im öffentlichen WLAN, der Browserverlauf vor meinem Internetanbieter, mein tatsächlicher Standort vor einer Website oder der Zugriff auf Inhalte auf Reisen.
2. Wer könnte es sehen? Beispiele sind andere Personen im selben Netzwerk, mein Internetanbieter, Werbetreibende, eine Website oder jemand, der es gezielt auf mich abgesehen hat.
3. Deckt ein VPN dieses Risiko ab? Wenn die Antwort von angemeldeten Konten, Malware oder deinem eigenen Gerät abhängt, löst ein VPN das Problem nicht.
4. Wem würde ich stattdessen vertrauen? Entscheide, ob du dem VPN-Anbieter mehr vertraust als deinem aktuellen Internetanbieter, und warum.
5. Was braucht es noch? Ergänze Updates, einen Passwortmanager, Zwei-Faktor-Authentifizierung und Tracker-Blockierung, wo es sinnvoll ist.

Wenn deine ehrlichen Antworten auf öffentliches WLAN, ein Netzwerk, dem du misstraust, oder den Wunsch hinweisen, deinen Surfverlauf vor deinem Internetanbieter zu verbergen, ist ein VPN ein vernünftiges Werkzeug. Wenn sie auf Anonymität gegenüber den Seiten, bei denen du angemeldet bist, auf Schutz vor Malware oder auf Schutz vor einem entschlossenen Gegner hinweisen, reicht ein VPN allein nicht aus. Wenn du weiterlesen willst, findest du in unserem Ratgeber Was ist ein VPN? die Grundlagen, und danach kannst du Anbieter anhand der Schritte in So wählst du ein VPN aus vergleichen.

Das Wichtigste in Kürze

• Ein VPN verbirgt deinen Datenverkehr vor dem lokalen Netzwerk und deinem Internetanbieter und ändert die Adresse, die Websites sehen. Es macht dich nicht anonym.
• Mit einem VPN wandert das Vertrauen von deinem Internetanbieter zum VPN-Unternehmen, deshalb zählen die Logging-Richtlinie und die Bilanz des Anbieters.
• Angemeldete Konten, Cookies und Browser-Fingerprinting identifizieren dich unabhängig von deiner IP-Adresse.
• Ein VPN stoppt weder Malware noch Phishing. Updates, ein Passwortmanager und Zwei-Faktor-Authentifizierung leisten hier weit mehr.
• HTTPS und ein VPN schützen unterschiedliche Teile der Verbindung, und keines schützt dich vor der Seite, die du besuchst.
• Teste auf DNS- und IP-Lecks und nutze einen Kill Switch, wenn einer verfügbar ist.
• Kostenlose VPNs brauchen besondere Aufmerksamkeit, denn das Geld muss irgendwoher kommen.
• Sei skeptisch gegenüber absoluten Aussagen zu Anonymität, Geschwindigkeit, Sicherheit und Streaming-Zugang.
• Gesetze zu VPNs und Datenanfragen unterscheiden sich von Land zu Land, informiere dich also über die örtlichen Regeln.
• Beginne mit deinem eigenen Bedrohungsmodell und wähle dann die Tools, die dazu passen.