Wie Sie ein kostenloses VPN bewerten, ohne der Werbung zu vertrauen

Nichts auf einer Preisseite sagt Ihnen, wer Ihren Datenverkehr mitlesen kann. Diese Antwort steckt in Eigentumsregistern, Aufbewahrungstabellen und den Einstellungen des Clients, den Sie tatsächlich installieren, und sie richtig zu lesen dauert einen Nachmittag. Ein Abzeichen mit der Aufschrift 'anonym' nennt keinen Beobachter, also gibt es nichts zu prüfen. Die fünf Durchgänge unten verwandeln die Werbung in Behauptungen, die Sie einzeln testen können.

Wer den Ausgang tatsächlich betreibt

Beginnen Sie mit der juristischen Person und dem Land, dessen Gerichte sie zwingen können. Eine Kontaktseite, die nur ein Webformular anbietet, ist kein Kontaktweg; Sie wollen eine Postadresse oder eine Registernummer, die Sie nachschlagen können. Genannte Freiwillige und ein Wiederverkäufer hinter einem Postfach sind beides plausible Arrangements, aber sie scheitern unterschiedlich, wenn ein Zahlungsstreit oder eine Löschaufforderung eintrifft. Notieren Sie, mit welchem Sie es zu tun haben, bevor etwas installiert wird.

Ordnen Sie dann das Deployment ein, dem Sie beitreten. Ein kommerzieller Werbeausgang, ein Freiwilligenknoten aus einem öffentlichen Verzeichnis und ein Arbeitgeber-Gateway, das Sie nichts kostet, sind drei verschiedene Geschäfte, und die Partei, die entscheidet, wer sich verbinden darf, ist nicht in jedem dieselbe.

Die Klassifizierung sagt den Ausfall voraus, auf den Sie treffen: Ein werbefinanzierter Dienst kann drosseln oder einspielen, ein Freiwilligenknoten kann über Nacht verschwinden, und ein Arbeits-Gateway kann per Richtlinie alles protokollieren. Keines dieser Ergebnisse erscheint in einer Serverzahl. Zu entscheiden, mit welchem Risiko Sie leben können, ist der eigentliche Auswahlschritt.

Vier Datenkategorien, die man verlangen sollte

Verlangen Sie, dass die Richtlinie vierfach aufgeteilt wird: Surfaktivität, Verbindungsmetadaten, Kontounterlagen und Diagnosedaten. Eine Seite, die ohne diese Unterteilungen keine Protokolle verspricht, hat Ihnen nicht gesagt, was sie speichert. Verbindungsmetadaten sind der Teil, den die meisten Betreiber behalten, weil eine Missbrauchsbeschwerde mit Adresse und Zeitstempel eintrifft. Ein Betreiber, der zugibt, sie für einen genannten Zeitraum zu behalten, ist leichter zu beurteilen als einer, der alles bestreitet. Lesen Sie die Aufbewahrungsfrist für jede Kategorie und das Verfahren nach einem rechtlichen Auskunftsersuchen.

Audit-Behauptungen brauchen dieselbe Behandlung. Lesen Sie Umfang, Prüfer und Datum, dann fragen Sie, was der Bericht abdeckt: Eine Prüfung einer Client-Anwendung sagt wenig darüber, wie ein Server konfiguriert ist, und ein Bericht von vor mehreren Jahren beschreibt einen Dienst, der sich seither geändert hat. Fehlen diese Angaben, behandeln Sie das Abzeichen als Marketing.

Wartung, die von außen sichtbar ist

Software, die keine Updates mehr erhält, ist ein Sicherheitsproblem, egal welches Protokoll darauf gedruckt ist. Suchen Sie einen Release-Kanal mit datierten Einträgen und einen dokumentierten Weg, eine Schwachstelle zu melden, denn beides ist billig zu veröffentlichen und über Jahre schwer zu fälschen.

Ein Protokoll-Etikett beschreibt eine Komponente des Pfads, nicht die Partei am anderen Ende. WireGuard kann aktuell sein und trotzdem bei einem Betreiber enden, der ein detailliertes Verbindungsprotokoll führt, und dasselbe gilt für OpenVPN oder alles andere. Beurteilen Sie den Client-Build, den Sie installieren sollen, und den Update-Pfad dahinter, dann beurteilen Sie den Betreiber als separate Frage. Das Etikett sagt, wie Bytes verpackt werden, nicht wer sie auspackt.

Beweisen Sie die Route und den Kill-Switch

Installieren Sie das Profil in dem Client, den Sie wirklich nutzen werden, verbinden Sie ihn, und schauen Sie, was die Maschine über ihren eigenen Verkehr glaubt. Unter Linux beantworten drei Befehle den größten Teil der Frage:

curl -s https://ifconfig.me
ip route get 1.1.1.1
wg show

Der erste gibt die Adresse aus, die eine entfernte Seite sieht, und das sollte der gewählte Ausgang sein; der zweite zeigt dev wg0 wenn die Standardroute übernommen ist; der dritte meldet einen Handshake in Sekunden. Eine Route, die noch auf eth0zeigt, oder ein Handshake, der Stunden alt ist, bedeutet, dass der Tunnel nicht befördert, was Sie annehmen.

Wiederholen Sie die Adressabfrage, nachdem Sie die Schnittstelle heruntergefahren haben mit sudo wg-quick down wg0. Läuft die Anfrage in eine Zeitüberschreitung, wurde der Verkehr blockiert, während der Tunnel fehlte, und genau das soll ein Kill-Switch tun; kommt Ihre Heim-ISP-Adresse zurück, war nichts geschützt. Prüfen Sie auch die Routenabdeckung des Clients, denn ein Split-Tunnel, der die Ziele ausspart, die Ihnen wichtig sind, ist ein anderes Produkt als das beworbene. Beide Antworten gehören in Ihre Notizen, neben die Ausgabe, die sie erzeugt hat.

Geheimnisse, Lücken und eine Entscheidung in einem Satz

Eine Profildatei oder ein Kontozugang ist ein Schlüssel zu einer Netzwerkposition, also behandeln Sie ihn wie jedes andere Geheimnis. Fügen Sie ihn nicht in ein Supportforum ein, verwenden Sie das Passwort nicht anderswo weiter und widerrufen Sie es, wenn Sie den Dienst nicht mehr nutzen. Wenn die Dokumentation nie erklärt, wer den Dienst finanziert oder wie lange Aufzeichnungen aufbewahrt werden, notieren Sie das als offene Frage. Eine unerklärte Lücke ist eine Tatsache über den Betreiber, kein Grund, eine großzügige Erklärung zu erfinden.

Der EFF-Leitfaden zur Auswahl eines VPN stellt die gleichen Fragen aus Nutzersicht und ist ein besserer Ausgangspunkt als eine Vergleichstabelle. Wenn die Durchgänge fertig sind, versuchen Sie, Ihre Wahl in einem Satz zu sagen: wer ihn betreibt, was sie behalten und was Sie getestet haben. Braucht dieser Satz eine Behauptung, die Sie nicht überprüfen konnten, ist die Entscheidung nicht fertig. Ein kostenloses Werkzeug löscht kein Datenschutzproblem; bestenfalls gibt es das Problem an einen Betreiber weiter, den Sie mit offenen Augen gewählt haben. Behalten Sie die Notizen, denn eine Richtlinie kann sich lange ändern, bevor Sie es merken.