VPN-Anbieter versprechen Anonymität und Sicherheit im Netz. Was davon technisch trägt, hängt weniger an der Verschlüsselung als an der Frage, wem du dabei vertraust. Wir sehen uns an, welche Schutzwirkung für einen normalen Privathaushalt übrig bleibt.
Was ein VPN technisch absichert
Ein VPN verschlüsselt den Transportweg zwischen deinem Gerät und dem Server des Anbieters. Für alle, die im selben Netzwerk sitzen, wird dein Verkehr damit unlesbar, und dein Internetanbieter sieht nicht mehr, welche Seiten du aufrufst. Das ist der harte, überprüfbare Teil der Schutzwirkung.
Warum HTTPS den größten Teil schon erledigt
Der Inhalt deiner Verbindung ist heute in der Regel bereits geschützt, weil praktisch jede Seite über SSL/TLS verschlüsselt ausgeliefert wird. Wer im offenen Hotel-WLAN mitliest, sieht auch ohne VPN nur, dass du eine Bank kontaktiert hast, nicht deine Zugangsdaten. Was ein VPN zusätzlich verbirgt, sind die Ziele selbst, also die aufgerufenen Domains. Das ist ein echter Gewinn, aber ein kleinerer, als die Werbung suggeriert.
Vollständig ist dieser Schutz nur, wenn nichts daneben abfließt. In der Praxis sind das zwei Stellen: DNS-Anfragen, die am Tunnel vorbei an den Router des Anbieters gehen, und IPv6-Verkehr, den ältere Clients nicht mitverschlüsseln. Beides lässt sich in wenigen Minuten prüfen, und beides macht das Versprechen wertlos, solange es nicht dicht ist. Diesen Test solltest du einmal gemacht haben, bevor du dich auf die Einrichtung verlässt.
Der Punkt, den die Werbung auslässt
Dein Internetanbieter sieht dein Surfverhalten nicht mehr. Der VPN-Anbieter sieht es dafür vollständig. Ein VPN entfernt den Beobachter also nicht, es tauscht ihn aus. Ob das ein Fortschritt ist, entscheidet allein die Frage, ob der neue Beobachter vertrauenswürdiger ist als der alte. Die Surveillance Self-Defense der EFF stellt genau diese Frage an den Anfang der Anbieterwahl, nicht die Feature-Liste.
Weil damit alles am Betreiber hängt und kaum an der Technik, lohnt sich vor dem Abschluss ein Blick auf verschiedene VPN-Anbieter im Vergleich. Interessant sind dort Firmensitz, Eigentümerstruktur und Prüfberichte, weniger die Anzahl der Serverstandorte.
Wogegen ein VPN nicht schützt
Die meisten Vorfälle, die Privatpersonen tatsächlich treffen, laufen an der Verschlüsselung vorbei. Ein VPN sitzt auf der Transportschicht und kann nichts abwehren, was du selbst anklickst oder was nach dem Login passiert.
| Bedrohung | VPN hilft? | Warum |
|---|---|---|
| Phishing-Mail mit gefälschter Login-Seite | Nein | Die Verbindung zur Betrugsseite ist verschlüsselt wie jede andere |
| Malware und Ransomware | Nein | Ein VPN prüft keine Dateien, es transportiert sie nur |
| Kontoübernahme nach einem Datenleck | Nein | Das Passwort liegt beim Dienst, nicht auf dem Transportweg |
| Cookies, Logins und Browser-Fingerprinting | Nein | Du bist angemeldet, die IP-Adresse spielt keine Rolle mehr |
| Mitlesen im offenen WLAN | Teilweise | HTTPS schützt den Inhalt schon, das VPN zusätzlich die Ziele |
| Protokollierung durch den Internetanbieter | Ja | Der Provider sieht nur noch die Verbindung zum VPN-Server |
| Ländersperren bei Streaming und Diensten | Ja | Der Dienst sieht die IP-Adresse des VPN-Servers |
Diese Verteilung deckt sich mit der Lage, die das BSI beschreibt. Im Lagebericht zur IT-Sicherheit in Deutschland stehen Phishing, gestohlene Zugangsdaten und Schadsoftware im Vordergrund, nicht das abgehörte Café-WLAN. Wer sein Budget wirklich für Sicherheit ausgeben will, kommt mit einem Passwortmanager und einem geschulten Blick auf Phishing-Versuche weiter als mit einem VPN-Abo.
Was von No-Logs-Versprechen zu halten ist
Nahezu jeder Anbieter wirbt damit, keine Verbindungsdaten zu speichern. Belegen lässt sich das nur schwer, denn geprüft wird immer nur, was der Betreiber zeigt, und immer nur für einen Zeitpunkt. Ein Audit vom vergangenen Jahr sagt nichts über die Konfiguration von heute.
Belastbarer sind zwei Dinge. Erstens ein Firmensitz in einem Land ohne Vorratsdatenspeicherung, weil dann rechtlich weniger erzwingbar ist. Zweitens regelmäßig wiederholte Prüfungen durch eine unabhängige Stelle, deren Bericht öffentlich einsehbar ist. Ein einmaliges Zertifikat auf der Startseite ist Marketing.
Entscheidend ist auch, was mit Protokollen überhaupt gemeint ist. Inhaltsdaten speichert praktisch niemand, das wäre technisch aufwendig und rechtlich riskant. Interessant sind Verbindungsdaten, also Zeitstempel und zugewiesene Server-IP. Genau diese Metadaten genügen, um eine Sitzung einer Person zuzuordnen, und genau darüber schweigen viele Datenschutzerklärungen präziser, als es auf der Werbeseite klingt. Wer prüfen will, ob ein Versprechen trägt, liest die Datenschutzerklärung und nicht die Produktseite.
Wann sich ein VPN für einen Privathaushalt lohnt
Es gibt klare Fälle. Wenn du regelmäßig in fremden Netzen arbeitest oder im Ausland auf gewohnte Dienste zugreifen willst, ist ein VPN das passende Werkzeug. Dasselbe gilt, wenn du nicht möchtest, dass dein Provider dein Surfverhalten protokolliert. Die einzelnen Anwendungsfälle haben wir im VPN-Ratgeber durchgespielt.
Am Preis hängt die Entscheidung selten. Der Haken liegt woanders: Zwei-Jahres-Tarife werben mit niedrigen Monatspreisen und verlängern sich anschließend deutlich teurer. Wer nur eine Reise absichern will, fährt mit einem Monatstarif und einer rechtzeitigen Kündigung besser als mit dem beworbenen Einstiegspreis.
Was ein VPN nicht ist, ist eine Grundausstattung für jeden Haushalt. Es verschiebt eine Vertrauensfrage und löst sie nicht. Wer das weiß, kauft das Richtige oder lässt es bleiben.