Eine VPN-Richtlinie ohne Protokolle lesen: Welche Felder werden tatsächlich benannt?

Öffnen Sie die Datenschutzerklärung, nicht die Preisseite, und suchen Sie darin nach dem Wort „log“. Was dabei zurückkommt, ist meist ein Satz darüber, dass der Browserverlauf nicht gespeichert werde – und das beantwortet eine engere Frage als die gestellte. Eine brauchbare Richtlinie benennt Kategorien, sagt, wie lange jede aufbewahrt wird, und benennt, wer das Versprechen gibt. Gehen Sie das Dokument in vier Durchgängen durch und notieren Sie, was es nicht sagt.

Beginnen Sie mit der Erklärung, nicht mit dem Slogan

Die Marketingaussage ist eine Zusammenfassung, die dasselbe Team geschrieben hat wie die Erklärung; deshalb ist die Erklärung das maßgebliche Dokument. Laden Sie sie herunter, bewahren Sie eine Kopie mit Datum auf, und lesen Sie sie als Liste von Datenkategorien statt als Fließtext. Alles, was nicht aufgeführt ist, ist eine offene Frage und kein stillschweigendes Nein.

Suchen Sie eine Tabelle oder einen eigenen Abschnitt je Kategorie: Verbindungsmetadaten, Kontoinformationen, Zahlungsbelege, Diagnosedaten, Support-Korrespondenz. Anbieter, die das trennen, lassen sich leichter bewerten als Anbieter, die „Logs“ als ein einziges Objekt beschreiben.

Eine kurze Erklärung ist nicht automatisch besser. Kürze bedeutet oft, dass Kategorien zusammengelegt wurden, wodurch sich Aufbewahrung und Weitergabe an Dritte nicht mehr prüfen lassen. Die nützlichsten Erklärungen sind langweilig und repetitiv, mit einem Absatz je Kategorie und einem Datum oben. Langweilig ist hier ein gutes Zeichen.

Benennen Sie die Felder einzeln

Bei den Verbindungsdaten sind die interessanten Felder die Quelladresse, die zugewiesene Tunneladresse, Zeitstempel, übertragene Bytes und das Ziel. Eine Aussage darüber, dass besuchte Websites nicht aufgezeichnet werden, sagt nichts über Zeitstempel oder Datenmenge – und genau danach würde ein Ermittler fragen.

Kontodaten sind eine eigene Kategorie, selbst wenn der Client nie einen Kontobildschirm zeigt. Abonnementstatus, E-Mail-Adresse, Referenzen des Zahlungsdienstleisters und Support-Tickets können alle ohne sichtbaren Login existieren.

Diagnosedaten verdienen eine eigene Zeile. Absturzberichte, optionale Telemetrie und manuell eingereichte Support-Pakete können weit mehr enthalten als die Verbindungsmetadaten, deren Nichtaufbewahrung die Richtlinie verspricht. Lesen Sie, was ein Paket enthält, bevor Sie eines senden. Wenn die Erklärung Diagnosedaten nie erwähnt, fragen Sie den Betreiber, statt anzunehmen, die Kategorie sei leer.

grep -n -i -E 'retain|retention|store|log|IP address|session|third part' policy.txt

Die Erklärung als Text zu speichern und zu durchsuchen geht schneller als Scrollen und lässt sich schwerer überfliegen. Die Zeilennummern geben Ihnen außerdem etwas zum Zitieren, wenn die Antwort zählt. Wenn die Erklärung nur als Webseite veröffentlicht ist, speichern Sie den gerenderten Text statt des HTML, damit ein späteres Redesign Ihre Belege nicht auslöscht.

Finden Sie die Aufbewahrung und den Verantwortlichen

Für jede Kategorie sollte die Erklärung sagen, was nach der Verarbeitung geschieht: sofortige Löschung, kurze Aufbewahrung, Aggregation oder Speicherung mit Kontobezug. Eine Aufbewahrungsfrist ohne Kategorie ist nicht interpretierbar, und eine Kategorienliste ohne Lebenszyklus ist eine halbe Richtlinie.

Bestimmen Sie dann, wer das Versprechen gibt. Die Marke, die das Abonnement verkauft, der Entwickler des Clients, das Unternehmen, das die Server hostet, und der Betreiber eines einzelnen Endpunkts können vier verschiedene Parteien sein. Prüfen Sie, wen das Versprechen abdeckt und wen Ihr Datenverkehr tatsächlich erreicht.

Verschlüsselung im Ruhezustand ist nicht dasselbe wie Nicht-Erheben. Gespeicherte Datensätze, die ein System auf Anfrage entschlüsseln kann, bleiben Datensätze, und die Tunnelverschlüsselung hindert den Endpunkt nicht daran, eine Verbindung zu verarbeiten. Erhebung und Schutz sind getrennte Fragen und sollten getrennt bewertet werden.

Klären Sie, was die Belege abdecken

Ein Audit ist ein Beleg über einen Geltungsbereich: benannte Systeme, eine Konfiguration, einen Zeitraum und einen Prüfer. Lesen Sie den Geltungsbereich, bevor Sie die Schlussfolgerung auf jeden Server oder auf die Zukunft ausdehnen. Ein Bericht über die Infrastruktur einer Region sagt wenig über einen neu hinzugefügten Standort.

Open-Source-Clients sind nützlich, um zu prüfen, was die Software senden kann, und sie sagen nichts darüber, wie eine bestimmte Installation konfiguriert ist. Beide Fakten zählen, und keines ersetzt das andere.

Schließen Sie mit einem Vergleich auf einer Seite ab: Betreiber, Verbindungsdatensätze, Kontodaten, Diagnosedaten, Aufbewahrung, Belege und Gerichtsbarkeit. Notieren Sie dann die unbeantworteten Fragen ausdrücklich, denn ein Weglassen ist kein Beweis für Fehlverhalten und auch keine Zusicherung. Eine Entscheidung anhand benannter Felder ist besser als eine anhand des kürzesten Slogans.