Risiken kostenloser VPNs im Iran: Was wird offengelegt, was bleibt privat?

Was kann ein kostenloses VPN offenlegen?

Ein kostenloses VPN kann seinem Betreiber Informationen über Ihre Verbindung offenlegen, und seine App kann weitere Gerätedaten sammeln. Dadurch kann der Betreiber nicht automatisch ein Passwort lesen, das über eine korrekt abgesicherte HTTPS-Verbindung gesendet wird. Sichtbarkeit im Netz und Zugriff auf Telefoninhalte sind getrennte Themen. ^[1][2][6]

Der Preis klärt diese Fragen nicht. Fragen Sie nach Anbieter, Finanzierung und den durch Datenschutzbedingungen erlaubten Handlungen. Ein Gratisangebot, eine spendenfinanzierte Lösung und ein Werbegeschäft können unterschiedliche Anreize haben. Auch eine Gebühr ersetzt die Anbieterprüfung nicht. ^[1]

Stand 4. November 2026 lautet die sinnvolle Wahl für Menschen im Iran nicht einfach „kostenlos oder kostenpflichtig“. Klären Sie, was Sie schützen müssen, wem Sie vertrauen und was die Software tatsächlich verspricht. Dies sind allgemeine Sicherheitsinformationen. Geht es hauptsächlich um eine gezielte Bedrohung einer bestimmten Person, kann ein allgemeiner VPN-Vergleich deren Gesamtlage nicht beurteilen.

Was sieht der VPN-Betreiber, und was bleibt verschlüsselt?

Bei über ein VPN geleitetem Verkehr sieht der örtliche Internetanbieter im Allgemeinen eine Verbindung zum VPN statt desselben direkten Verkehrs zum Ziel. Der VPN-Betreiber kann Verbindungsinformationen beobachten, etwa eingehende IP-Adresse, Zeitpunkte des Datenverkehrs und für ihn verfügbare Zielinformationen. Vertrauen wird dadurch verlagert, nicht überflüssig. ^[1]

Inhalte brauchen eigenen Schutz. HTTPS schützt Informationen zwischen Browser und Website, wenn diese sichere Verbindung gültig ist. Es macht die Website nicht ehrlich. Prüfen Sie das Ziel und nehmen Sie Zertifikatswarnungen ernst, besonders vor der Eingabe von Anmelde- oder Zahlungsdaten. ^[2]

Betrachten Sie den Besuch einer E-Mail-Website als zwei Fragen: Wer kann die Netzverbindung beobachten, und wer erhält die dort eingegebenen Informationen? Das VPN ist Teil des Weges. Die Website ist der beabsichtigte Empfänger. Die Entscheidung über den Weg ersetzt nicht die Prüfung, ob der Empfänger der gewünschte ist.

Vermeiden Sie beide Extreme: „Ein VPN liest alles“ und „Ein VPN macht alles unsichtbar“. Fragen Sie, um welche Daten, welchen Beobachter und welchen Schutz es geht. Eine nützliche Datenschutzerklärung sollte diese Fragen getrennt beantworten lassen, statt alle Informationen als undifferenzierte Kategorie zu behandeln.

Was sind DNS-Lecks und Datenverkehrslecks?

DNS übersetzt Website-Namen in Netzwerkadressen. Eine Abfrage fordert Informationen zum Finden eines Dienstes an; sie ist nicht dasselbe wie das Herunterladen jeder Seite oder Lesen jeder Nachricht dieses Dienstes. Diese Unterscheidung macht Aussagen über „Browserdaten“ verständlicher. ^[10]

Bei einem DNS-Leck verlassen relevante Namensabfragen den Weg, der sie schützen sollte. Auch auf andere Weise kann Verkehr aus einem VPN-Tunnel gelangen. Roya Ensafis USENIX-Vortrag von 2026 beschreibt Forschung zu entwichenen DNS-Abfragen, offengelegten IP-Adressen bei Tunnelausfällen und unsicherem Datenumgang in VPN-Apps. Diese Ergebnisse belegen reale Fehlermöglichkeiten, sind aber kein Urteil über jedes aktuelle Produkt. ^[3]

Fragen Sie, was eine App mit dem Versprechen meint, Lecks zu verhindern. Geht die Erklärung auf Verbindungsabbrüche, Netzwerkwechsel und das unterstützte Betriebssystem ein? Nennt sie die untersuchte Softwareversion? Ein Etikett wie „geschützt“ ist weniger nützlich als eine konkrete Aussage zur abgedeckten Situation.

Führen Sie im Alltag kein riskantes Experiment mit einem privaten Konto durch, nur um das Ergebnis zu sehen. Achten Sie beim Vergleich veröffentlichter Bewertungen auf Bedingungen und Datum. Bewahren Sie einen Screenshot der Aussage und ihres Geltungsbereichs für sich auf, ohne Kontogeheimnisse oder sensible Verkehrsinhalte einzuschließen.

Kann eine VPN-App Daten unabhängig vom Tunnel sammeln?

Ja. Die installierte App hat eigene Verhaltensweisen und Berechtigungen. Unter Android können Sie den Zugriff auf Kontakte, Fotos oder Standort getrennt prüfen. Klären Sie, was eine Berechtigung ermöglicht und ob Sie die entsprechende Funktion brauchen. Die Erlaubnis zur Weiterleitung einer Verbindung rechtfertigt keinen unbegrenzten sachfremden Zugriff. ^[6]

Google Plays Bereich zur Datensicherheit enthält Entwicklerangaben zu Erhebung, Weitergabe und Sicherheitspraktiken. Google erklärt, dass manche Kategorien Ausnahmen haben und eine aufgeführte unabhängige Sicherheitsprüfung nicht Vollständigkeit oder Richtigkeit der Datensicherheitsangaben des Entwicklers bestätigt. Lesen Sie die Details, statt ein Abzeichen als bedingungslose Garantie zu betrachten. ^[5]

Der USENIX-Vortrag von 2026 beschreibt auch VPN-Apps, die Werbekennungen für appübergreifendes Tracking übertragen. Das ist ein anderes Problem als ein Betreiber, der eine unverschlüsselte Webanfrage liest. Prüfen Sie bei einer App deren Datenerhebung als Software, nicht nur ihr Versprechen zur Verkehrsverschlüsselung. ^[3]

Halten Sie die Prüfung überschaubar: Berechtigungen ansehen, Datenbeschreibung lesen, Entwickleridentität notieren. Passen diese drei Punkte nicht zusammen, pausieren Sie die Entscheidung. Sie müssen nicht mehrere unbekannte Apps installieren, um mehr Belege für ein nicht identifizierbares Angebot zu sammeln.

Verbirgt eine andere IP-Adresse meine Identität oder meinen Standort?

Für sich allein nicht. Browser- und Geräte-Fingerprinting kann Einzelheiten zu Gerät oder Browser zu einem wiedererkennbaren Muster verbinden. Die EFF erklärt, dass Tracker solche Muster über Websites und Apps hinweg nutzen können. Eine andere Netzwerkadresse beseitigt diese übrigen Merkmale nicht automatisch. ^[8]

Der Standort ist ein weiterer getrennter Kanal. Android erlaubt Apps mit entsprechender Berechtigung die Nutzung des Gerätestandorts. Googles Anleitung unterscheidet Standortberechtigungen und Standortdienste von anderen Konto- und Geräteentscheidungen. Eine ausländisch wirkende Verbindungsadresse beweist deshalb nicht, dass keine App mehr Standortinformationen erhält. ^[7]

Security in a Box trennt verschiedene Ziele: Informationen im lokalen Netz schützen, kommerzielles Tracking reduzieren und verhindern, dass eine Aktivität einer Identität zugeordnet wird. Diese Ziele verlangen unterschiedliche Entscheidungen. Die Anonymitätsanleitung warnt auch davor, eine Aktivität mit einem identifizierenden Konto zu verknüpfen. ^[9]

Zum Beispiel entscheiden Sie sich mit der Anmeldung bei einem vertrauten persönlichen Konto für dessen Nutzung, auch wenn sich der Netzwerkweg ändert. Erwarten Sie nicht, dass ein VPN-Etikett bewusst bereitgestellte Informationen rückgängig macht. Entscheiden Sie vor dem Öffnen einer App, ob Sie eine private Verbindung, einen anderen Standort für den Zugang oder die Trennung von einer Identität brauchen. Diese Ziele sind nicht austauschbar.

Sind kostenlose VPNs immer schlechter als kostenpflichtige?

Eine Gebühr beweist keine technische Zuverlässigkeit. Der USENIX-Forschungsartikel von 2023 über TunnelCrack-Angriffe untersuchte Routingschwächen verschiedener Clientkategorien, darunter kostenlose, kostenpflichtige, betriebliche und integrierte VPNs. Seine Ergebnisse betreffen die damals getesteten Produkte und Bedingungen; sie dürfen nicht als aktuelle Fehlerquoten des Gesamtmarkts dargestellt werden. ^[4]

Prüfen Sie bei Audits oder Forschungsberichten Datum, App-Version und Untersuchungsgegenstand. Eine Studie zur Verkehrsführung bescheinigt nicht automatisch die Datenspeicherungsrichtlinie einer Firma. Aussagen zur Serverprotokollierung decken nicht automatisch Werbecode einer mobilen App ab. Fragen Sie, ob die Belege tatsächlich Ihre relevante Behauptung betreffen.

Fragen Sie bei Gratisangeboten nach Finanzierung und dem Ablauf nach Verbrauch eines Kontingents. Fragen Sie bei kostenpflichtigen Angeboten nach Kündigung und Verlängerung. Das sind praktische Anbieterfragen, keine Gründe, ein Preismodell als sicher oder unehrlich vorauszusetzen.

Vergleichen Sie schriftliche Antworten. Lassen Sie Felder leer, wo der Anbieter nichts beantwortet. Füllen Sie die Lücke nicht mit Sternbewertungen, hohen Downloadzahlen oder attraktiven Beschreibungen. Die Entscheidung sollte den verfügbaren Belegen für den konkreten Dienst und die Version folgen, nicht der Regel, jedes Gratisprodukt sei bösartig.

Was sollten Sie vor der Installation oder Weiternutzung prüfen?

Beginnen Sie mit der kleinsten sinnvollen Prüfung. Notieren Sie App-Name, Entwickler und offiziellen Bezugsweg. Lesen Sie Datenumgang und Begründung jeder sensiblen Berechtigung. Google Play veröffentlicht die angegebenen Entwicklerpraktiken im App-Eintrag, einschließlich Erhebung, Weitergabe und Löschung. Verwenden Sie diese Aussagen als zu untersuchende Fragen, nicht als abgeschlossenes unabhängiges Audit. ^[5]

Prüfen Sie dann die Belege für Sicherheitsversprechen. Die TunnelCrack-Forschung zeigt die Bedeutung von Betriebssystem und Routingverhalten. Verweist ein Anbieter auf eine Prüfung, kontrollieren Sie, ob dieselbe Plattform wie Ihre abgedeckt ist und ob sich die betreffende Software seitdem geändert hat. ^[4]

Erstellen Sie einen kurzen Vergleich mit fünf Fragen: Wer betreibt den Dienst? Was sammelt die App? Was speichert der Server? Welche unabhängige Prüfung gibt es? Was passiert bei Verbindungsabbruch? „Unbekannt“ ist eine nützliche Antwort, weil sie fehlende Sicherheit in der Einschätzung zeigt.

Entscheiden Sie bei gemeinsam genutzten Haushaltstelefonen auch, wer Software installieren und Berechtigungen ändern darf. Verlangen Sie von Angehörigen nicht, jeden Fachbegriff zu verstehen. Bitten Sie sie, bei unerklärten Änderungswünschen neuer Apps innezuhalten, und bieten Sie einen vertrauten Hilfeweg ohne Passwortweitergabe.

Was tun bei verdächtigen Apps oder Zahlungsaufforderungen?

Geben Sie keine weiteren sensiblen Informationen ein, während Sie das Problem identifizieren. Notieren Sie das Geschehen: unerwartete Berechtigungsanfrage, neue Anmeldeseite, unerklärte Abbuchung oder Verbindungsfehler. Bewahren Sie App-Name und Wortlaut der Aufforderung auf. Diese Beobachtungen helfen mehr als die Annahme, jedes Symptom habe dieselbe Ursache.

Fordert eine Nachricht zum Besuch einer Anmeldeseite auf, nutzen Sie einen bekannten Kontozugang statt des gelieferten Links. Googles Phishing-Anleitung empfiehlt, das Ziel zu prüfen und über verdächtige Aufforderungen keine persönlichen Informationen offenzulegen. Eine VPN-Zahlungs- oder Verlängerungsnachricht verdient dieselbe Prüfung wie andere Kontonachrichten. ^[11]

Geht es um Standortoffenlegung, prüfen Sie Standorteinstellungen und App-Berechtigungen, statt einen VPN-Serverwechsel für die Lösung zu halten. Google erklärt Standortzugriff auf Geräte- und App-Ebene. Entscheiden Sie, welche Apps diese Information für Ihre tatsächlich genutzten Aufgaben brauchen. ^[7]

Ist bereits eine unbekannte Zahlung oder Kontoübernahme geschehen, behandeln Sie das als getrennten Vorfall. Sichern Sie Beweise und folgen Sie dem passenden Wiederherstellungsverfahren, statt die verdächtige App weiter zu testen. Pouyams Ratgeber zur Onlinesicherheit behandeln Geräte, Konten und Betrugsfragen.

Setzen Sie realistische Erwartungen an die Privatsphäre

Wählen Sie ein Werkzeug für eine definierte Aufgabe. Die Sichtbarkeit im lokalen Netz verringern, kommerzielles Tracking begrenzen und Aktivitäten von einer Identität trennen sind verschiedene Ziele. Security in a Box macht diese Unterschiede ausdrücklich deutlich. Entscheiden Sie, welches Ziel zählt, bevor Sie pauschale Anonymitätsversprechen akzeptieren. ^[9]

Ist Tracking das Problem, denken Sie daran, dass Browser- und Gerätemerkmale zur Identifizierung beitragen können. Prüfen Sie die Erklärung der Trackingmethode, bevor Sie einen weiteren Verbindungsdienst kaufen. Ein VPN kann eine Netzwerkfrage lösen, während eine Browserfrage unberührt bleibt. ^[8]

Halten Sie den Plan einfach genug, um ihn beizubehalten. Benennen Sie Ihr Werkzeug, den Nutzungsgrund und die verstandenen Grenzen. Prüfen Sie die Entscheidung neu, wenn Betreiber, App-Berechtigungen oder Dienstbedingungen wechseln. Kombinieren Sie nicht immer mehr unbekannte Produkte, nur weil jedes zusätzlichen Schutz verspricht.

Zum grundlegenden Verbindungsmodell lesen Sie Pouyams Erklärung, was ein VPN verbirgt und wo seine Grenzen liegen. Das nützliche Ergebnis ist eine konkrete, verständliche Vertrauensentscheidung statt der Behauptung, eine kostenlose oder bezahlte App mache jede Onlineaktivität sicher.