Im letzten Beitrag ging es um den Fingerabdruck, mit dem Ihr Gerät Sie verrät, selbst wenn Sie sich hinter einem VPN verstecken. Daraufhin haben mich viele Fragen erreicht, vor allem diese: Ist ein VPN dann überhaupt noch sinnvoll? Ja, sogar sehr. Man muss nur genau wissen, was es leistet und was nicht, und vor allem, welches man wählt und wie man es einrichtet, damit es so funktioniert, wie Sie es erwarten.
Was ein VPN tatsächlich leistet
Stellen Sie sich ein VPN wie ein Auto mit getönten Scheiben und fremdem Kennzeichen vor, das Sie auf einer anderen Route ans Ziel bringt. Die Website, zu der Sie fahren, sieht nur dieses neue Kennzeichen, nicht Ihr echtes. Ihre Verbindung wird verschlüsselt und über einen VPN-Server geleitet, erst von dort geht es weiter. Ihr Internetanbieter sieht also nicht, was Sie sich ansehen, sondern nur, dass Sie ein VPN nutzen. Und die Zielseite sieht weder Ihre echte IP-Adresse noch den ungefähren Standort, den ich im letzten Artikel beschrieben habe, sondern die Adresse des VPN-Servers.
Was es aber nicht bedeutet: Ein VPN macht Sie nicht unsichtbar. Es ist ein anderes Kennzeichen, kein anderer Mensch. Der Fingerabdruck Ihres Geräts, den ich zuletzt beschrieben habe (Canvas, Grafikkarte, Soundchip, Auflösung), bleibt völlig gleich, ganz gleich, von wo aus Sie sich verbinden. Auch Cookies und angemeldete Konten verschwinden nicht. Sind Sie in Ihrem E-Mail-Konto angemeldet, weiß die Website weiterhin, wer Sie sind, sie glaubt nur, Sie säßen woanders. Ein VPN löst genau eine Frage: wer Ihre Verbindung sieht und woher Sie scheinbar kommen. Die Frage, wer Sie sind, löst es nicht.
Nicht jedes VPN ist gleich: Diese Fragen sollten Sie stellen
Fast jeder VPN-Anbieter behauptet, nichts zu speichern. Das bleibt Marketing, solange es niemand unabhängig überprüft, und mehr als einmal klafften Versprechen und Wirklichkeit auseinander. Ein Lehrbeispiel ist PureVPN: Das Unternehmen warb jahrelang damit, über die Aktivitäten seiner Nutzer „keine Logs“ zu führen, übergab 2017 aber dem FBI Verbindungszeiten, Datenvolumen und IP-Adressen, die halfen, eine bestimmte Person zu identifizieren. Diese Betriebsdaten existierten die ganze Zeit, in der Werbung war nur nicht von ihnen die Rede. Ich ziehe daraus eine einfache Lehre und gebe sie an Sie weiter: Die Aussage „Wir speichern nichts“ ist erst dann etwas wert, wenn sie von unabhängiger Seite geprüft wurde und zu dem passt, was technisch überhaupt möglich ist.
Dass es auch anders geht, zeigt ein Fall, den ich gerade deshalb schätze, weil er genau umgekehrt ausging. Im April 2023 erschien die Polizei mit einem Durchsuchungsbeschluss in den Büros des Anbieters Mullvad im schwedischen Göteborg und wollte Computer mit Kundendaten beschlagnahmen. Die Beamten zogen jedoch mit leeren Händen ab: Solche Daten gab es bei Mullvad schlicht nicht, weil das Unternehmen sie von Anfang an nicht speichert. Genau darum geht es. Daten, die gar nicht erst entstehen, kann niemand herausgeben, egal, wer sie verlangt. Deshalb rate ich zu einem Anbieter, der seine Datensparsamkeit unabhängig prüfen lässt und seinen Sitz dort hat, wo Sie ruhig schlafen können, und nicht zu einem, der nur Versprechen macht.
Fragen Sie bei der Auswahl nach vier Dingen. Erstens: Ist die „No-Logs“-Richtlinie durch ein unabhängiges Audit bestätigt oder steht sie nur in den Nutzungsbedingungen? Zweitens: Hat das VPN einen sogenannten Kill-Switch? Das ist eine Sicherung, die den gesamten Datenverkehr sperrt, sobald die VPN-Verbindung abbricht, damit Sie in diesem Moment nicht ungeschützt sichtbar sind. Drittens: Schützt es vor Lecks über WebRTC, also jene Technik für Videoanrufe direkt im Browser, die Ihre echte Adresse verraten kann, auch wenn Sie über ein VPN verbunden sind? Das habe ich bereits im letzten Artikel erwähnt. Und viertens: Wo hat das Unternehmen seinen Sitz, und welchem Recht unterliegt es? Ein Sitz in einem Land mit strengem Datenschutz ist ein Plus. Bei einem guten Anbieter zählt aber mehr, was ein Audit belegt, als die Adresse auf der Visitenkarte. Ich persönlich empfehle Proton VPN oder Mullvad; beide sind unabhängig auditiert und haben einen Kill-Switch. Bei Mullvad ist er dauerhaft aktiv und lässt sich nicht abschalten, bei Proton VPN aktivieren Sie ihn nach der Installation in den Einstellungen.
Fehler, die ein VPN nutzlos machen
Das häufigste Problem ist nicht ein schlechtes VPN, sondern ein schlecht eingerichtetes. Vier Fehler wiederholen sich immer wieder. Erstens das DNS-Leck: Das VPN verschlüsselt Ihren Datenverkehr, aber die Anfragen, welche Seite Sie überhaupt öffnen möchten, können am Tunnel vorbei direkt beim Server Ihres Internetanbieters landen. Das Ergebnis ist paradox: Der Inhalt der Seite bleibt verborgen, sichtbar ist aber, welche Seiten Sie aufgerufen haben. Zweitens das WebRTC-Leck, von dem oben die Rede war. Deckt das VPN nicht den gesamten Datenverkehr des Geräts ab, typischerweise bei einem VPN als bloße Browser-Erweiterung oder bei aufgeteiltem Datenverkehr, kann Ihre echte Adresse über WebRTC am Tunnel vorbei nach außen gelangen.
Drittens das sogenannte Split-Tunneling, also die Aufteilung des Datenverkehrs, bei der Sie bewusst oder versehentlich einen Teil der Anwendungen außerhalb des VPN laufen lassen. Für den Drucker im Heimnetz ist das praktisch. Bleibt dort aber versehentlich auch Ihr Browser, schützt das VPN ausgerechnet das Wichtigste nicht. Viertens der vergessene Kill-Switch: Ohne ihn schaltet Ihr Gerät in dem Moment, in dem das VPN für eine Sekunde ausfällt, still auf eine normale, ungeschützte Verbindung um, und Sie merken davon womöglich nichts.
So prüfen Sie das in fünf Minuten selbst. Ermitteln Sie zuerst bei ausgeschaltetem VPN Ihre echte IP-Adresse; dazu genügt es, im Browser „Was ist meine IP“ einzugeben. Schalten Sie dann das VPN ein und wiederholen Sie die Suche: Die Adresse muss sich ändern. Nutzen Sie anschließend spezialisierte Seiten wie browserleaks.com oder ipleak.net, beide kostenlos und ohne Registrierung, und prüfen Sie gezielt die Bereiche DNS und WebRTC. Ihre echte Adresse darf dort nicht erscheinen. Testen Sie zum Schluss den Kill-Switch ganz bewusst: Schalten Sie das VPN ein und beenden Sie die App zwangsweise, oder schalten Sie das WLAN aus und wieder ein. Funktioniert der Kill-Switch, ist Ihr Internet für einen Moment komplett weg, statt ungeschützt weiterzulaufen.
Wann Ihnen ein VPN nicht hilft
Das VPN ist das Auto mit getönten Scheiben und fremdem Kennzeichen aus der Einleitung. Es verhindert, dass Ihnen unterwegs jemand ins Wageninnere schaut, aber nicht, dass man Sie an Ihrem Gang erkennt, sobald Sie aussteigen. Genau das ist der Gerätefingerabdruck aus dem letzten Artikel. Daran ändert ein VPN nichts, weil es auf einer ganz anderen Ebene arbeitet. Ebenso wenig schützt ein VPN vor Phishing, also betrügerischen E-Mails und Websites, die Sie dazu bringen, Ihr Passwort selbst einzugeben, oder vor Schadsoftware, die bereits auf dem Gerät ist. Und wenn Sie auf einer Website angemeldet sind, verbirgt ein VPN Ihre Identität gegenüber dieser Website in keiner Weise. Sie wissen es und die Gegenseite auch, nur alle anderen nicht.
Auf Reisen ist es anders
Für Klienten, die viel reisen, habe ich noch einen Hinweis. In manchen Ländern ist die Nutzung eines nicht genehmigten VPN rechtlich heikel. In China etwa ist sie nach dortigem Recht eingeschränkt, und bei einem Firmengerät sollten Sie das Risiko unbedingt vorher abwägen, nicht erst vor Ort. Die Lösung ist meist einfach: Ein Firmen-VPN für den Zugriff auf Arbeitssysteme und ein privates VPN für Ihre Privatsphäre sind zwei verschiedene Dinge, und man sollte sie nicht vermischen, vor allem nicht auf Dienstreisen. Die mit Abstand häufigste Situation, die ich bei Klienten erlebe, ist aber das WLAN im Hotel oder am Flughafen. Dort ist ein VPN eine Selbstverständlichkeit, nicht wegen des Gesetzes, sondern weil in einem schlecht gesicherten öffentlichen Netz jemand versuchen kann mitzuhören oder ein gefälschtes Netz unterzuschieben. Den Inhalt schützt heute meist HTTPS, sichtbar bleibt aber, mit welchen Diensten Sie kommunizieren. Schalten Sie das VPN ein, bevor Sie sich irgendwo anmelden.
Was Sie noch heute tun können
Wählen Sie ein auditiertes VPN; Proton VPN oder Mullvad sind ein guter Anfang. Aktivieren Sie den Kill-Switch (bei Mullvad läuft er automatisch, bei Proton VPN finden Sie ihn in den Einstellungen) und prüfen Sie auf browserleaks.com oder ipleak.net, dass Ihre echte Adresse nirgends nach außen dringt. Der Test bestätigt nur Ihre aktuelle Konfiguration; wiederholen Sie ihn nach App-Updates oder einem Gerätewechsel. Und betrachten Sie ein VPN als eine von mehreren Schutzschichten, nicht als Allheilmittel, das alles auf einmal löst. Das gilt übrigens für Sicherheit ganz allgemein, digital wie im echten Leben.
„Das beste VPN ist das, an das Sie nicht mehr denken: Es arbeitet leise im Hintergrund, genau wie guter Schutz.“– Robert Václavík
