Mythes over VPN en privacy: wat een VPN wel en niet beschermt

Een VPN is een nuttig privacyhulpmiddel, maar ook een van de producten waarover op internet het meest wordt overdreven. Een VPN doet een paar specifieke dingen goed en veel dingen helemaal niet. Deze gids legt uit wat een VPN wel en niet beschermt, waar de bekende mythes vandaan komen en hoe je bepaalt of een VPN past bij de risico's die jij echt loopt.

Wat een VPN echt doet

Een VPN maakt een versleutelde verbinding tussen je apparaat en een server van de VPN-aanbieder. Je verkeer loopt via die verbinding en websites zien het adres van de VPN-server in plaats van het adres dat je internetprovider je heeft gegeven. Wil je eerst de basis weten? Lees dan onze gids over wat een VPN is.

Deze uitleg is bewust kort, want zo zie je meteen de kracht en de grens. Een VPN verandert niet wie je bent, wat je in een inlogformulier typt of wat je browser over zichzelf verraadt.

De mythe van volledige anonimiteit

In reclames staan vaak woorden als anoniem, onvindbaar en onzichtbaar. Geen van deze woorden beschrijft wat een VPN je geeft. In het beste geval krijg je een zekere mate van privacy tegenover bepaalde partijen in bepaalde situaties.

Een VPN maakt je niet anoniem. De aanbieder ziet dat jouw account verbinding maakt met zijn servers, websites kennen je omdat je inlogt en je browser kan worden herkend zonder je IP-adres. Eerlijker is te zeggen dat een VPN een deel van wat zichtbaar is verschuift van de ene partij naar de andere. Of dat een goede ruil is, hangt af van voor wie je bang bent.

Logbeleid en wat het betekent

Veel aanbieders beweren dat ze geen logs bewaren. Die zin klinkt precies, maar dat is hij niet. Een dienst kan verschillende soorten gegevens vastleggen en een beleid kan sommige soorten wel dekken en andere niet.

• Verbindingslogs: wanneer je verbinding maakte, hoe lang en vanaf welk adres. Sommige aanbieders bewaren kortdurende gegevens om de dienst draaiende te houden of misbruik te beperken.
• Activiteitenlogs: welke sites je bezocht of wat je downloadde. Dit is de categorie die de meeste mensen bedoelen als ze het over logging hebben.
• Account- en betaalgegevens: je e-mailadres, betaalmethode en abonnementsgegevens. Bijna elke betaalde dienst bewaart deze.

Zoek in een beleid naar duidelijke uitspraken over elke categorie en over hoe lang gegevens worden bewaard. Sommige aanbieders betalen onafhankelijke auditors om een rapport te publiceren. Dat is een beter teken dan alleen een belofte, maar een audit geldt voor een moment en een beperkt onderdeel. Kun je geen duidelijk beleid vinden, beschouw dat dan als antwoord.

Vertrouwen verschuift van je provider naar de VPN-aanbieder

Zonder VPN kan je internetprovider zien met welke domeinen je apparaat verbinding maakt. Met een VPN ziet die alleen een verbinding met een VPN-server, en ziet de VPN-aanbieder wat je internetprovider eerder zag.

Dit is het kernpunt van het hele onderwerp. Een VPN haalt vertrouwen niet uit het plaatje. Het verplaatst vertrouwen van een bedrijf in je eigen land waarmee je al een contract hebt naar een bedrijf waar je misschien heel weinig van weet. Voor veel mensen is dat nog steeds een verstandige stap, bijvoorbeeld op openbare wifi of als ze het lokale netwerk niet vertrouwen. Voor anderen is het een stap opzij.

Heb je geen reden om je internetprovider te wantrouwen, dan voegt een VPN misschien niet veel privacy toe. In onze gids over hoe je een VPN kiest lees je waar je op moet letten als je toch een VPN wilt gebruiken.

Browserfingerprinting en ingelogde accounts

Websites hebben je IP-adres niet nodig om je te herkennen. Twee veelgebruikte methoden werken met of zonder VPN.

Ingelogde accounts

Als je inlogt bij een sociaal netwerk, een e-maildienst, een webwinkel of een zoekaccount, weet die dienst wie je bent. Een ander IP-adres verandert dat niet. Alles wat je doet terwijl je bent ingelogd, kan aan het account worden gekoppeld. Een VPN kan een ingelogde sessie niet anoniem maken.

Cookies en fingerprinting

Cookies staan op je apparaat en blijven dus gelijk als je IP-adres verandert. Een fingerprint is een combinatie van details die je browser prijsgeeft, zoals schermgrootte, taal, lettertypen en tijdzone. Die combinatie kan uniek genoeg zijn om een apparaat te herkennen. Een VPN verandert hier niets aan. Aparte browserprofielen en browsers die tracking beperken helpen meer.

Malware en phishing

Een VPN beschermt je niet tegen schadelijke software of oplichting. Download je via een VPN een besmet bestand, dan is dat bestand net zo besmet. Voer je via een VPN je wachtwoord in op een nep-inlogpagina, dan krijgt de aanvaller het net zo makkelijk.

Sommige apps blokkeren bekende schadelijke domeinen. Dat kan helpen, maar het is een extra en geen vervanging voor verstandige gewoonten. Phishing werkt op mensen, niet op netwerken. Controleer de afzender en het paginaadres voordat je inlogt en gebruik een wachtwoordmanager, die gegevens niet invult op een sterk lijkende nepsite.

HTTPS versus een VPN

De meeste websites gebruiken tegenwoordig HTTPS, dat de inhoud versleutelt die tussen je browser en de site wordt uitgewisseld. Dat is belangrijk voor de vraag wanneer een VPN nodig is.

Op een openbaar wifinetwerk zorgt HTTPS er al voor dat anderen op dat netwerk de pagina's die je laadt en de gegevens die je verstuurt niet kunnen lezen. Ze kunnen nog wel zien welke domeinen je benadert. Een VPN voegt een laag toe die zelfs dat verbergt, en beschermt ook verkeer zonder HTTPS, zoals bij sommige oudere apps of diensten.

Zo verhouden de twee zich in de praktijk:

Geen van beide beschermt je tegen de website zelf, en geen van beide vervangt de ander.

DNS- en IP-lekken

Een VPN helpt alleen als al je verkeer er echt doorheen loopt. Soms gebeurt dat voor een deel niet. Dit heten lekken en ze zijn een veelvoorkomende manier waarop een VPN ongemerkt tekortschiet.

• DNS-lekken: DNS is het systeem dat de naam van een website omzet in een adres. Stuurt je apparaat die opvragingen naar je internetprovider in plaats van via de VPN, dan kan de provider nog steeds zien welke sites je bezoekt.
• IP-lekken: sommige browserfuncties kunnen je echte adres prijsgeven, ook als een VPN aanstaat. Nieuwere netwerken gebruiken ook IPv6-adressen. Als een VPN alleen het oudere IPv4 afhandelt, kan verkeer via IPv6 de VPN omzeilen.

Je kunt deze risico's verkleinen. Zoek een kill switch in de instellingen, gebruik de officiële app en voer een lektest uit op een betrouwbare testsite terwijl je verbonden bent. Herhaal die test na grote updates of als je van netwerk wisselt.

Rechtsgebied en gegevensverzoeken

Elk VPN-bedrijf is ergens gevestigd en heeft servers op verschillende plekken. De wetten van die plekken bepalen wat het bedrijf kan worden verplicht te doen. In algemene zin kunnen autoriteiten in veel landen juridische verzoeken naar bedrijven sturen, en een bedrijf dat gegevens bewaart kan worden verplicht ze af te geven. Een bedrijf dat heel weinig gegevens bewaart, heeft weinig om af te geven.

Daarom is een duidelijk logbeleid belangrijker dan welke landnaam ook op een kaart. Wetten over VPN-gebruik, gegevensbewaring en privacy verschillen sterk per land en veranderen in de loop van de tijd. Deze gids is algemene informatie en geen juridisch advies. Controleer de regels op de plek waar je woont en reist.

Gratis VPN's

Een VPN draaien kost geld, voor servers, bandbreedte, software en ondersteuning. Een dienst die niets vraagt, moet dat op een andere manier betalen. Dat maakt niet elke gratis dienst schadelijk, maar het is wel een reden om de voorwaarden extra zorgvuldig te lezen.

Gratis diensten kunnen geld verdienen door advertenties te tonen, door snelheid of data te beperken om je naar een betaald abonnement te duwen, en door informatie over hoe je internet gebruikt te verzamelen en te verkopen. Dat laatste is het echte probleem voor privacy, want het hele doel van een VPN is beperken wie je verkeer ziet. Een gratis app die surfgegevens vastlegt en verkoopt, maakt dat doel ongedaan.

Controleer voordat je een gratis VPN installeert wie erachter zit, hoe die geld verdient en wat het privacybeleid zegt. Kun je deze vragen niet beantwoorden, installeer de app dan niet.

Reclamebeloften om sceptisch over te zijn

VPN-reclame zit vol dramatische taal. Je hoeft geen kwade wil aan te nemen, maar je moet deze beloften wel kritisch lezen.

• "Versleuteling van militair niveau." Dit is een marketingterm en geen technische standaard. Zoek in de documentatie naar de werkelijke protocollen en coderingen.
• "Volledige anonimiteit" of "onvindbaar." Zoals hierboven uitgelegd kan een VPN dit niet waarmaken.
• "Werkt met elke streamingdienst." Streamingdiensten blokkeren actief VPN-adressen en wat werkt, verandert vaak. Geen enkele aanbieder kan blijvende toegang beloven. Lees onze gids over VPN's op telefoons, routers en streaming om te weten wat je kunt verwachten.
• Aftelklokken en enorme kortingen. Lees de verlengingsvoorwaarden voordat je koopt. In onze gids over VPN-prijzen en verlengingen lees je hoe introductieprijzen werken.

Een betrouwbare aanbieder beschrijft beperkingen net zo duidelijk als voordelen.

Andere hulpmiddelen naast een VPN

Voor de meeste mensen komen de grootste verbeteringen in privacy en veiligheid van basisgewoonten en hulpmiddelen, niet van een VPN. Deze doen dingen die een VPN niet kan.

• Software-updates. Houd je systeem, browser en apps bijgewerkt, want veel aanvallen maken gebruik van bekende kwetsbaarheden.
• Een wachtwoordmanager. Die maakt en bewaart een uniek wachtwoord voor elk account, zodat een lek bij één site de andere niet openzet. Ook helpt het je nep-inlogpagina's te vermijden.
• Tweestapsverificatie. Een tweede stap bij het inloggen, bij voorkeur met een authenticator-app of een fysieke beveiligingssleutel, beschermt een account zelfs als het wachtwoord wordt gestolen.
• Trackers blokkeren. Browserinstellingen of extensies van betrouwbare bronnen kunnen cookies, trackers van derden en een deel van de fingerprinting beperken. Zo pak je aan wat een VPN ongemoeid laat.

Een realistische checklist voor je dreigingsmodel

Een dreigingsmodel is gewoon een eerlijk antwoord op de vraag wat je probeert te beschermen en tegen wie. Zo koop je geen oplossing voor een probleem dat je niet hebt. Loop deze vragen door.

1. Wat wil ik beschermen? Denk aan inloggegevens op openbare wifi, mijn surfgeschiedenis ten opzichte van mijn internetprovider, mijn echte locatie ten opzichte van een website, of toegang tot content tijdens het reizen.
2. Wie kan het zien? Denk aan andere mensen op hetzelfde netwerk, mijn internetprovider, adverteerders, een website of iemand die het specifiek op mij heeft gemunt.
3. Pakt een VPN dat risico aan? Hangt het antwoord af van ingelogde accounts, malware of je eigen apparaat, dan lost een VPN het niet op.
4. Wie zou ik in plaats daarvan vertrouwen? Bepaal of je de VPN-aanbieder meer vertrouwt dan je huidige internetprovider, en waarom.
5. Wat is er verder nodig? Voeg updates, een wachtwoordmanager, tweestapsverificatie en het blokkeren van trackers toe waar dat past.

Wijzen je eerlijke antwoorden op openbare wifi, een netwerk dat je niet vertrouwt of de wens om je surfgedrag buiten het zicht van je internetprovider te houden, dan is een VPN een redelijk hulpmiddel. Wijzen ze op anonimiteit tegenover de sites waarop je inlogt, veiligheid tegen malware of bescherming tegen een vastberaden tegenstander, dan is een VPN alleen niet genoeg. Wil je verder, lees dan onze gids over wat een VPN is voor de basis en vergelijk daarna opties met de stappen in hoe je een VPN kiest.

Belangrijkste punten

• Een VPN verbergt je verkeer voor het lokale netwerk en je internetprovider en verandert het adres dat websites zien. Het maakt je niet anoniem.
• Met een VPN verschuift vertrouwen van je internetprovider naar het VPN-bedrijf, dus het logbeleid en de staat van dienst van de aanbieder tellen.
• Ingelogde accounts, cookies en browserfingerprinting identificeren je ongeacht je IP-adres.
• Een VPN stopt geen malware of phishing. Updates, een wachtwoordmanager en tweestapsverificatie doen hier veel meer.
• HTTPS en een VPN beschermen verschillende delen van de verbinding, en geen van beide beschermt je tegen de site die je bezoekt.
• Test op DNS- en IP-lekken en gebruik een kill switch als die beschikbaar is.
• Gratis VPN's verdienen extra controle, want het geld moet ergens vandaan komen.
• Wees sceptisch over absolute beloften over anonimiteit, snelheid, veiligheid en toegang tot streaming.
• Wetten over VPN's en gegevensverzoeken verschillen per land, dus controleer de lokale regels.
• Begin met je eigen dreigingsmodel en kies dan hulpmiddelen die daarbij passen.