Macht ein anonymes VPN-Konto Ihren Datenverkehr wirklich anonym?
Eine Anmeldung ohne E-Mail ändert ein Feld in einem Formular. Quelladresse, Kontotoken und Browser-Cookies beantworten drei verschiedene Fragen.
Eine Anmeldung ohne E-Mail-Adresse ändert ein Feld in einem Formular. Sie ändert nicht die Quelladresse auf der Leitung, nicht die Kennung, die der Dienst intern vergibt, und nicht die Cookies, die Ihr Browser an jede besuchte Seite sendet. Das sind drei getrennte Fragen, und nur die erste betrifft überhaupt das Konto. Im Folgenden steht, was jede Schicht tatsächlich hält und welche Entscheidung Ihnen gehört statt dem Anbieter.
Behandeln Sie Anonymität als Eigenschaft gegenüber jeweils einem Beobachter. Fragen Sie, welchem Beobachter, und die ehrliche Antwort ändert sich.
Ein pseudonymes Konto bleibt ein Konto
Ein Anbieter kann eine Kontonummer, einen Geräteschlüssel oder ein Abo-Token ausgeben, ohne je einen bürgerlichen Namen zu verlangen. Dieses Objekt verbindet dennoch Sitzungen innerhalb des Dienstes: dasselbe Token im selben Tarif, über Monate hinweg.
Was der Betreiber an dieses Token anhängen kann, hängt von anderen Systemen ab. Zahlungsdaten existieren, wenn Sie auf nachvollziehbare Weise bezahlt haben, eine Support-Adresse existiert, wenn Sie geschrieben haben, und Gerätekennungen oder Verbindungszeitstempel können in Betriebsprotokollen stehen. Nichts davon verlangt das Anmeldeformular, und nichts davon schließt ein Formular ohne E-Mail aus. Das Formular bestimmt, was erfragt wurde, nicht was danach existiert.
Das Einreichen eines Diagnoseprofils oder das Eröffnen eines Support-Tickets kann mehr Details hinzufügen, als das ursprüngliche Formular je verlangt hat.
Was der Tunnelendpunkt zwangsläufig sieht
Der Endpunkt beendet Ihre Verbindung, kennt also die Quelladresse, die Ihr Zugangsnetz für diese Sitzung vergeben hat, und den Beginn der Sitzung. Er weiß auch, welchem internen Schlüssel oder Konto diese Verbindung zugeordnet ist, denn genau diese Zuordnung entscheidet, wohin der Verkehr geht.
Die Dokumentation von WireGuard ist hier ungewöhnlich direkt: Die Peer-Identität ist der öffentliche Schlüssel, kein verborgenes Merkmal.
Was den Endpunkt in Richtung eines Ziels verlässt, ist eine andere Verbindung. Wird die Ausgangsadresse mit anderen Nutzern geteilt, sieht die Seite auf der anderen Seite eine gemeinsame Adresse statt Ihrer. Diese Trennung ist real, und sie ist zugleich die einzige Trennung, die ein geteilter Ausgang bietet. Sie verbirgt Ihre Sitzung nicht vor dem Betreiber und verschmilzt Sie nicht mit der Menge für jeden, der beide Enden beobachten kann, und das ist genau das Korrelationsproblem, dem RFC 6973 seine ganze Länge widmet.
Was das Ziel weiterhin erhält
Eine Website sieht die Ausgangsadresse, die Anfrage und alles, was Ihr Client freiwillig preisgibt. Cookies, eine bereits angemeldete Sitzung, ein Browser-Fingerabdruck und ein gespeichertes Konto überstehen eine VPN-Verbindung unverändert, weil der Tunnel sie trägt, statt sie zu ersetzen.
Die Anmeldung in einem persönlichen Konto identifiziert Sie gegenüber dieser Seite, unabhängig davon, welches Etikett das VPN-Konto trägt.
Die Namensauflösung verdient eine eigene Zeile. Gehen Abfragen an einen Resolver, den der Betreiber betreibt, sieht der Betreiber die Namen, nach denen Sie fragen. Gehen sie an einen öffentlichen Resolver, sieht dieser Resolver sie, und ebenso jeder auf dem Weg, der unverschlüsseltes DNS beobachten kann. So oder so ist die Wahl des Resolvers eine Datenschutzentscheidung, die das Anmeldeformular nicht für Sie getroffen hat.
Wo Korrelation tatsächlich stattfindet
Verkehrsanalyse braucht keine Seiteninhalte. Verbindungszeitpunkte, Übertragungsvolumen und das Muster, welcher Endpunkt mit welchem Ziel spricht, können eine Quellverbindung mit einer Ausgangsverbindung zur Deckung bringen, wenn beide Seiten beobachtet werden. Ein geteilter Ausgang schützt Sie daher gegen einen Beobachter und nicht gegen zwei, die zusammenarbeiten.
Transportverschlüsselung ändert, was lesbar ist, nicht was verknüpfbar ist.
Drei Fragen statt des Slogans
Jede hat einen anderen Eigentümer, weshalb ein auf einer Schicht gegebenes Versprechen eine andere nicht abdecken kann. Die Zeilen unten sind das ganze Argument in kompakter Form.
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
Nur die mittlere Zeile betrifft das Konto, und auch nur teilweise. Die Zeilen darüber und darunter bestimmen Routing, Aufbewahrung und Ihr eigener Browser.
Lesen Sie das Inventar statt das Etikett
Ein Anbieter, der ein Dateninventar, ein Aufbewahrungsfenster und einen Identitätsprozess veröffentlicht, hat Ihnen etwas Prüfbares gesagt. Ein Anbieter, der anonym sagt, hat Ihnen ein Wort gesagt. Suchen Sie, was bei der Anmeldung erhoben wird, was nach dem Ende der Sitzung bleibt und nach welchem Verfahren Daten an Dritte gehen.
Fehlen diese drei, ist das Etikett kein Beleg für irgendetwas.
Beginnen Sie bei dem Beobachter, der Ihnen wirklich wichtig ist, und verfolgen Sie dann eine Zeile der Tabelle: welche Adresse sieht er, welche Kennung hält er, wie lange wird sie aufbewahrt. Beheben Sie die Zeile, die scheitert, statt das Konto umzubenennen. Das ist hier der einzige Schritt, der ein Ergebnis ändert.