Was ist ein VPN? Wie es funktioniert, was es verbirgt und wo es an Grenzen stößt

Was ist ein VPN und wie funktioniert es?

Ein virtuelles privates Netzwerk (VPN) ist ein Dienst, der den gesamten Internetverkehr Ihres Geräts durch einen verschlüsselten Tunnel zwischen Ihrem Gerät und einem VPN-Server leitet; von diesem Server aus gelangt der Datenverkehr dann an sein eigentliches Ziel ^[1]. Verschlüsselung macht Daten so unkenntlich, dass nur jemand mit dem richtigen Schlüssel sie lesen kann. Da Ihre Anfragen scheinbar vom VPN-Server kommen, verschleiert das VPN Ihre IP-Adresse, also die numerische Adresse, die Ihren ungefähren Standort verrät und zu Ihrer Identifizierung genutzt werden kann ^[1].

Cloudflare beschreibt die Verbindung in vier Schritten: Der VPN-Client (die App auf Ihrem Gerät) verbindet sich über Ihren Internetanbieter (ISP) mit einer verschlüsselten Verbindung; der ISP leitet diese Verbindung an den VPN-Server weiter; der VPN-Server entschlüsselt die Daten und verbindet sich in Ihrem Auftrag mit der Website; und die verschlüsselte Verbindung zwischen Client und Server ist der sogenannte VPN-Tunnel ^[2]. Webserver protokollieren dann nur die IP-Adresse des VPN-Servers ^[2].

Was passiert auf dem Gerät?

Technisch erzeugt ein VPN-Client eine virtuelle Netzwerkschnittstelle, einen rein softwarebasierten Netzwerkadapter, und nutzt diese, um Datenverkehr zu ver- und entschlüsseln, bevor er an die echte WLAN- oder Ethernet-Hardware übergeben wird ^[3]. Läuft der gesamte Datenverkehr durch den Tunnel, spricht man von einem Full-Tunnel-VPN; darf ein Teil, etwa der Verkehr im lokalen Netzwerk, daran vorbeilaufen, von einem Split-Tunnel-VPN ^[3].

Wofür werden VPNs genutzt?

Die Electronic Frontier Foundation (EFF), eine Organisation für digitale Bürgerrechte, sagt, dass VPNs sich vor allem für eines eignen, nämlich Ihre Verbindung über ein anderes Netzwerk zu leiten; das ist in zwei Situationen nützlich: um Zensur in einem Netzwerk zu umgehen, das Websites sperrt, und um sich von unterwegs mit einem Büronetzwerk zu verbinden ^[1]. Cloudflare ergänzt den Schutz in öffentlichen WLANs und das Umgehen standortbasierter Inhaltsbeschränkungen als häufige Einsatzzwecke ^[2].

Was verbirgt ein VPN, und vor wem?

Ein VPN verbirgt Ihren ausgehenden Datenverkehr vor Ihrem ISP und vor dem Betreiber des lokalen Netzwerks, etwa einem Café oder Hotel ^[1]. Da der Tunnel durch das Netz des ISP verschlüsselt ist, kann der ISP nicht sehen, was Sie darin tun ^[2]. Aus Sicht einer Website befinden Sie sich dort, wo der VPN-Server steht ^[1].

Der Zielkonflikt ist einfach und wird oft übersehen: Während ein VPN Ihr Surfverhalten vor dem ISP verbirgt, ist alles davon für den VPN-Anbieter sichtbar ^[1]. Die EFF weist darauf hin, dass ein Anbieter diese Informationen verkaufen könnte, genauso wie ein ISP ^[1]. Selbst die Erläuterung von Cloudflare hält fest, dass Nutzer sich mit einem VPN nur dann sicher fühlen können, wenn sie dem VPN-Anbieter vertrauen, denn ein unredlicher Anbieter könnte Nutzerdaten verkaufen oder Nutzer Angriffen aussetzen ^[2].

Ein VPN schützt Ihre Daten auch nicht vor dem Betreiber des privaten Netzwerks, dem Sie beitreten. Bei einem Firmen-VPN sieht derjenige Ihren Datenverkehr, der das Firmennetz betreibt; bei einem kommerziellen VPN derjenige, der den Dienst betreibt ^[1]. Kurz gesagt: Ein VPN verlagert das Vertrauen von einem Unternehmen (Ihrem ISP oder WLAN-Betreiber) auf ein anderes (den VPN-Anbieter); es macht Vertrauen nicht überflüssig.

Wovor kann ein VPN Sie nicht schützen?

Werbung für VPNs behauptet oft, sie hielten Kriminelle, Schadsoftware, staatliche Überwachung und Online-Tracking ab; laut EFF übertreibt diese Werbung den Nutzen gewaltig ^[1]. Die wichtigsten Grenzen sind:

• Tracking. Ein VPN ist kein Werkzeug für Anonymität. Unternehmen können Sie weiterhin über GPS, Web-Cookies, Tracking-Pixel oder Fingerprinting verfolgen ^[1].
• Konten und Verlauf. Ein VPN hindert Strafverfolgungsbehörden nicht daran, den Browserverlauf zu beschaffen, der in Ihrem Browser oder in einem Konto gespeichert ist, bei dem Sie angemeldet sind ^[1].
• Behördliche Anfragen an den Anbieter. VPN-Anbieter unterliegen selbst Anfragen von Strafverfolgungsbehörden, und viele speichern ebenso viele Informationen wie ISPs ^[1]. Der Anbieter muss die Gesetze der Länder befolgen, in denen er tätig ist ^[1].
• Zahlungsdaten. Wer per Kreditkarte zahlt, verknüpft seine Identität mit dem Konto, und der Anbieter kann trotzdem Ihre IP-Adresse erfassen ^[1].

Kann Datenverkehr aus einem VPN austreten?

Ja. Im Mai 2024 veröffentlichte die Leviathan Security Group TunnelVision (CVE-2024-3661), eine Technik, die eine eingebaute Funktion von DHCP, dem Protokoll zur Vergabe von Netzwerkeinstellungen, nutzt, um den Datenverkehr eines Nutzers aus dem VPN-Tunnel zu drängen, sodass er unverschlüsselt gesendet wird ^[3]. Die US-amerikanische National Vulnerability Database beschreibt das Problem so: Über DHCP-Option 121 lassen sich Routen in die Routingtabelle eines Geräts eintragen, und ein Angreifer im selben lokalen Netzwerk kann Datenverkehr, der eigentlich durch das VPN geschützt sein sollte, mitlesen, stören oder möglicherweise verändern ^[4].

In den Tests der Forscher meldete das VPN stets weiterhin eine bestehende Verbindung, und der Kill Switch (eine Funktion, die den Datenverkehr sperrt, wenn die VPN-Verbindung abbricht) griff nie ^[3]. Android war nicht betroffen, weil es DHCP-Option 121 nicht implementiert ^[3]. Die Forscher folgerten, dass VPNs nicht dafür konzipiert sind, Angriffe auf das physische lokale Netzwerk abzuwehren, und dass gegenteilige Versprechen gefährlich sind ^[3].

Und die Geschwindigkeit?

Manche Nutzer erleben langsamere Verbindungen, je nach Serverkapazität des Anbieters, und ein VPN-Server, der weit von Nutzer und Website entfernt ist, erhöht die Verzögerung ^[2].

Brauchen Sie in öffentlichen WLANs ein VPN?

Nicht immer. Laut EFF war es früher ein Standardrat, in öffentlichen WLANs ein VPN zu nutzen, doch das ist nicht mehr für jeden so notwendig, weil der Großteil des Webverkehrs inzwischen per HTTPS verschlüsselt ist ^[1]. HTTPS ist die mit dem Schloss-Symbol gekennzeichnete Variante des Webprotokolls, die verschlüsselt, was Sie mit einer Website austauschen.

HTTPS schützt den Inhalt der Kommunikation, nicht die Metadaten ^[1]. Bei einer HTTPS-Website können Beteiligte entlang des Übertragungswegs in der Regel den Domainnamen (zum Beispiel wikipedia.org) und den Zeitpunkt Ihres Besuchs sehen, dazu die Größe von Seiten und Dateien, nicht aber die konkrete Seite, Ihren Anmeldenamen oder Ihre Nachrichten ^[1]. Ein VPN könnte diese Metadaten vor jemandem verbergen, der im lokalen Netzwerk mithört, doch der VPN-Anbieter würde sie alle sehen ^[1].

Die EFF hält ein VPN dann für sinnvoll, wenn Sie ein öffentliches Netzwerk nutzen müssen, dem Sie nicht vertrauen, und ein VPN haben, dem Sie vertrauen ^[1]. Auch die US-Handelsbehörde Federal Trade Commission (FTC) hat gewarnt, dass kostenlose öffentliche WLANs oft unsicher sind, und ihre Tipps zu VPN-Apps von 2018 drehten sich um die Absicherung von Informationen, die über öffentliche WLANs gesendet werden ^[5]. Beachten Sie, dass eine veraltete VPN-App Sie selbst dann womöglich nicht gut schützt; die EFF nennt TunnelVision als Beispiel ^[1].

Welche VPN-Protokolle sind sicher?

Ein Protokoll ist das Regelwerk, mit dem ein VPN den Tunnel aufbaut und verschlüsselt. Nutzt ein VPN eine gebrochene Verschlüsselung wie das Point-to-Point Tunneling Protocol (PPTP), lassen sich die durchlaufenden Daten leicht entschlüsseln und einsehen ^[1]. Die EFF nennt OpenVPN und WireGuard als die beiden Protokolle, die sich bei Verbraucherdiensten durchgesetzt haben ^[1].

Die Entwickler von WireGuard beschreiben es als einfaches, schnelles und modernes VPN, das Kryptografie auf dem neuesten Stand wie das Noise Protocol Framework, Curve25519 und ChaCha20 verwendet, und sagen, es sei von Kryptografen geprüft worden ^[7]. Es ist so klein angelegt, dass eine einzelne Person es umfassend prüfen kann, anders als die deutlich größeren Codebasen von IPsec oder OpenVPN ^[7].

Für Organisationen erklärt das britische National Cyber Security Centre (NCSC), dass TLS und IPsec die am weitesten verbreiteten Protokolle sind; es empfiehlt IPsec für den VPN-Zugang, weil es ein offener, in viele Betriebssysteme integrierter Standard ist, und merkt an, dass WireGuard vielversprechend erscheint, sich im Unternehmensumfeld aber noch bewähren muss ^[6]. Das NCSC warnt außerdem, dass manche Netze Dritter IPsec-Verkehr einschränken oder blockieren, während TLS-VPNs Unternehmens-Firewalls zuverlässiger passieren können ^[6].

Apples iCloud Privat-Relay wird manchmal mit einem VPN verwechselt. Es soll das Surfen in Safari schützen, leitet Anfragen über zwei getrennte Relays, sodass keine einzelne Stelle, nicht einmal Apple, zugleich sieht, wer Sie sind und welche Websites Sie besuchen, und ist nicht in allen Ländern oder Regionen verfügbar ^[10].

Wie wählen Sie ein vertrauenswürdiges VPN aus?

Die vier Prüfpunkte der FTC vor der Nutzung einer VPN-App lauten: Informieren Sie sich über die App, bevor Sie sie installieren, prüfen Sie ihre Berechtigungsanfragen, stellen Sie sicher, dass sie Ihre Informationen verschlüsselt, und klären Sie, ob sie Ihre Informationen an Dritte weitergibt ^[5]. Die EFF ergänzt weitere Fragen ^[1]:

1. Lesen Sie die Datenschutzerklärung. Ein Anbieter könnte Ihre Daten protokollieren, wenn er das nicht ausdrücklich ausschließt, und die Behauptung, nichts zu protokollieren, ist keine Garantie ^[1].
2. Fragen Sie, wie er Geld verdient. Manche VPNs sind kostenlos, verkaufen aber Ihre Daten; andere setzen auf Freemium-Datenlimits oder wiederkehrende Abonnements ^[1].
3. Achten Sie auf öffentliche Audits. Unabhängige Sicherheitsaudits sind ein gutes Zeichen, doch die Praktiken können sich nach einem Audit ändern ^[1].
4. Finden Sie heraus, wer es betreibt. Seien Sie skeptisch bei einem VPN, für das niemand mit seinem Ruf einsteht, und suchen Sie auf der Über-uns-Seite nach Gründern oder Mitarbeitern ^[1].
5. Prüfen Sie das Land. Der Anbieter ist an die Gesetze seines Standorts gebunden, einschließlich der Regeln zu staatlichen Datenanfragen ^[1].

Reicht ein Eintrag im App-Store aus?

Nein. Die EFF warnt davor, eine VPN-App für sicher zu halten, nur weil sie bei Google Play oder im Apple App Store angeboten wird ^[1]. Die App-Review-Richtlinien von Apple besagen, dass VPN-Apps Daten zu keinem Zweck an Dritte verkaufen, nutzen oder offenlegen dürfen ^[9]. Dennoch berichtete das Tech Transparency Project am 1. April 2025, dass 20 der 100 beliebtesten kostenlosen VPNs im US-App-Store im Jahr 2024 chinesischen Unternehmen gehörten, von denen keines diese Eigentümerschaft klar offenlegte, und dass diese Apps mehr als 70 Millionen Mal heruntergeladen worden waren ^[8]. Google Play zeigt bei manchen VPNs ein Verifiziert-Abzeichen, das die EFF als kleinen Einblick in die Sicherheitsversprechen der App beschreibt, nicht als Ersatz für eigene Recherche ^[1].

Sind VPNs überall legal?

Nein. Die EFF rät, sich über die VPN-Regeln einzelner Länder einschließlich Verboten auf dem Laufenden zu halten, und weist darauf hin, dass Streaming-Plattformen zunehmend Geräte blockieren, die offenbar ein VPN nutzen ^[1]. Apple verlangt von Entwicklern, die eine VPN-App in einem Gebiet anbieten, in dem eine VPN-Lizenz vorgeschrieben ist, die Angaben zu dieser Lizenz ^[9]. Dies sind allgemeine Informationen und keine Rechtsberatung; prüfen Sie die Gesetzeslage an Ihrem Wohnort.

Wie ist die Lage im Iran?

Der Bericht Freedom on the Net 2024 von Freedom House hält fest, dass viele Iranerinnen und Iraner auf VPNs angewiesen sind, um internationale Dienste zu erreichen, die von den Behörden gesperrt werden ^[11]. Im Februar 2024 verbot der Oberste Rat für den Cyberspace die Nutzung nicht lizenzierter VPNs und erklärte, Einzelpersonen müssten den Kauf lizenzierter VPNs mit staatlicher Genehmigung beantragen ^[11]; im Bericht zitierte Analysten sagen, damit seien nicht nur Vertrieb und Verkauf, sondern auch die Nutzung von VPNs unter Strafe gestellt worden ^[11]. Derselbe Bericht hält fest, dass das ICT-Ministerium im Oktober 2022 ankündigte, wer illegale VPNs verkaufe oder nutze, könne nach Artikel 753 des Strafgesetzbuchs angeklagt werden, und dass Dienste wie NordVPN, Proton VPN und TunnelBear im Berichtszeitraum nicht erreichbar waren ^[11]. Freedom on the Net 2025 ergänzt, dass im Juni 2025 eine nahezu vollständige landesweite Internetabschaltung verhängt wurde ^[12].

Sind Unternehmens-VPNs etwas anderes?

Ja. Ein Unternehmens-VPN verbindet Beschäftigte mit internen Systemen, statt ihren Standort zu verschleiern. Das NCSC weist darauf hin, dass VPN-Dienste Teil der aus dem Internet erreichbaren Angriffsfläche einer Organisation sind und zügig aktualisiert werden müssen, sobald Sicherheitspatches erscheinen ^[6]. Es sagt zudem, dass ein VPN für eine Organisation, die einen Zero-Trust-Ansatz vollständig umgesetzt hat, bei dem kein Gerät standardmäßig als vertrauenswürdig gilt, wenig Nutzen bringt ^[6].

Cloudflare, das solche Alternativen verkauft, argumentiert, dass herkömmliche VPNs zu einem Burg-und-Graben-Modell führen können, bei dem alles innerhalb des Netzwerks automatisch als vertrauenswürdig gilt, und sagt, viele Unternehmen seien stattdessen auf Secure-Access-Service-Edge-Architekturen (SASE) umgestiegen ^[2]. Für Privatpersonen ist ein VPN nach Ansicht der EFF für viele Menschen nicht der wichtigste Sicherheitsschritt; sie nennt Ende-zu-Ende-verschlüsselte Messenger unter den wirkungsvolleren Maßnahmen ^[1].