Wie man VPN-Protokollunterstützung vom Vertrauen in den Betreiber trennt

Zwei Anbieter-Tabs sind offen, beide bewerben WireGuard, und der Vergleich hängt an einem Satz fest: Der Tunnel ist stark, also muss der Dienst in Ordnung sein. Das ist der falsche Schluss. Das Protokoll definiert, wie zwei Peers verschlüsseln und authentifizieren, sagt aber nichts darüber, wer den Endpunkt betreibt, was das Kontosystem speichert oder wie das Unternehmen auf ein rechtliches Ersuchen antwortet. Man muss diese Fragen trennen, bevor ein Abzeichen sie einem abnimmt.

Was ein Protokoll-Etikett bescheinigen kann und was nicht

WireGuard spezifiziert einen auf Noise aufbauenden Handshake, einen festen Satz moderner Primitive und ein Routingmodell, in dem AllowedIPs entscheidet, was in den Tunnel gelangt. Das sind echte Garantien zu Nachrichtenformaten und Schlüsselaustausch, und sie sind es wert, vorhanden zu sein. Es sind auch Garantien zum Code, nicht zur Maschine, auf der dieser Code läuft.

Die Implementierung lässt dennoch Wahlmöglichkeiten. Ein Anbieter kann das Kernelmodul laden oder einen Userspace-Build ausliefern, DNS durch den Tunnel schicken oder beim lokalen Resolver belassen und Schlüssel nach eigenem Zeitplan rotieren. Keine dieser Wahlmöglichkeiten erscheint auf dem Protokoll-Etikett, und jede verändert, was der Dienst beobachten kann.

OpenVPN macht die Lücke leichter sichtbar. Sein TLS-Handshake und Zertifikatsmodell lassen sich gut oder schlecht konfigurieren, mit oder ohne tls-auth, mit modernen Ciphern oder einem Kompatibilitäts-Fallback. Zwei Dienste können beide OpenVPN sagen und mit sehr unterschiedlicher Exposition enden. Die WireGuard-Protokollseite ist präzise zur Kryptografie und schweigt zum Betreiber, und genau das ist die Grenze, die man im Kopf behalten sollte.

Was nur der Betreiber beantworten kann

Beginnen Sie beim Eigentum. Steht der Endpunkt auf Hardware, die der Anbieter kontrolliert, auf einem gemieteten VPS oder auf einer Freiwilligen-Maschine in jemandes Wohnung? Die Antwort entscheidet, wer eine Festplatte kopieren kann, wer den Kernel patcht und wer einen seltsamen Login bemerkt. Ein Protokollvergleich erreicht nichts davon.

Als Nächstes kommen Konto- und Zahlungsdaten. Eine E-Mail-Adresse, ein Verlängerungszeitstempel, ein Karten-Fingerabdruck und ein Support-Ticket leben alle außerhalb des Tunnels. Ebenso der Resolver: Betreibt der Anbieter eigenes DNS, sieht er Namen auch dann, wenn die Seiten HTTPS sind. Fragen Sie nach Aufbewahrung in Tagen, nicht nach dem Wort minimal.

Sortieren Sie die Antworten in zwei Spalten, denn sie tragen unterschiedliches Gewicht. Eine Spalte beschreibt die Software; die andere ist ein Versprechen, das der Dienst halten muss.

Versprechen sind nur an Dokumenten prüfbar. Ein Anbieter, der seine Aufbewahrungsfrist nicht nennen kann, offenbart keinen Protokollfehler; er zeigt Ihnen die Qualität seiner Aufzeichnungen, und genau das wollten Sie beurteilen.

Prüfen Sie das Profil, das der Client tatsächlich anwendet

Der Client ist der Ort, an dem aus einem abstrakten Profil Routen werden. Unter Linux mit wg-quick zeigt die gestrippte Konfiguration genau, was angewendet wird, einschließlich der DNS- und AllowedIPs-Zeilen, die eine GUI hinter einem Schalter verbergen kann.

sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0

Lesen Sie die Ausgabe als drei getrennte Fakten. AllowedIPs von 0.0.0.0/0 bedeutet, dass die gesamte Standardroute in den Tunnel geht; eine DNS-Zeile bedeutet, dass Namen an den im Profil genannten Resolver gehen; ein frischer Handshake bedeutet, dass die Sitzung lebt. Ein dauerhaftes Keepalive sagt Ihnen, dass der Client eine NAT-Zuordnung offen hält, was eine Verhaltenswahl ist, keine Sicherheitsbewertung.

Ein Vorbehalt zählt hier. Diese Befehle prüfen den Tunnel, den Sie haben, nicht die Politik dahinter. Ein perfekter Handshake beweist, dass die Kryptografie funktioniert; er beweist nicht, dass die Verbindungsaufzeichnungen des letzten Monats gelöscht wurden, denn dieses Ereignis hinterlässt keine Spur auf Ihrer Maschine.

Belege, die eine Marketingseite überleben

Fordern Sie einen unabhängigen Prüfbericht an und lesen Sie dessen Umfang vor dem Logo. Berichte nennen die Infrastruktur, den Zeitraum und die Ausnahmen; viele decken VPN-Server ab und lassen Kontoportal, Abrechnung und Support-Tools außerhalb der Prüfung. Ein Audit, das die Systeme ausschließt, die Ihre E-Mail-Adresse halten, beantwortet eine engere Frage, als die Verkaufsseite andeutet.

Lesen Sie dann die Datenschutzerklärung auf Kategorien statt auf Adjektive. Eine brauchbare Erklärung nennt, was erhoben wird, warum und wie lange, und sie unterscheidet Verbindungsmetadaten von Kontodaten. Ein Transparenzbericht, falls es einen gibt, zeigt, ob der Anbieter überhaupt einen Prozess für Ersuchen hat, wobei seine Zahlen nur so gut sind wie die Stelle, die sie veröffentlicht.

Open Source hilft auf der Client-Ebene und hört dort auf. Ein lesbarer Client beweist, was Ihr Gerät sendet; er beweist nicht, was der Server behält. Reproduzierbare Builds verkleinern die Lücke zwischen veröffentlichtem und ausgeliefertem Code, beschreiben aber weiterhin Software, nicht Betrieb.

Ein kurzer Test mit drei Dokumenten filtert die meisten Behauptungen: eine Erklärung mit benannten Kategorien und Aufbewahrung, ein aktuelles Audit mit genanntem Umfang und eine schriftliche Antwort des Supports zu einem konkreten Szenario. Fehlt eines der drei, behandeln Sie genau diese Behauptung als unbestätigt, nicht als falsch.

Wo die Grenze in der Praxis liegt

Bei einem Freiwilligen-Endpunkt, beurteilen Sie den einzelnen Host. Der Ruf des Softwareprojekts überträgt sich nicht auf jede Maschine, die es ausführt, und die Person, die diese Maschine betreibt, muss überhaupt keine Beziehung zum Projekt haben. Kommerzielle Netze organisieren Verantwortung anders, aber sie bündeln sie immer noch in einer Einheit.

Selbsthosting dreht die Frage um. Sie werden der Betreiber, also ist die Protokollunterstützung geklärt und Vertrauen wird Ihr eigenes Patchen, Ihre Schlüsselverwaltung und Ihre Protokollaufbewahrung. Das ist für manche Leser eine legitime Antwort, kein Ausweg.

Bei einem bezahlten Dienst sind Vertrag und Jurisdiktion Teil des Produkts. Eigentümerwechsel, Übernahmen und lokale Offenlegungsregeln können die Pflichten des Betreibers ändern, ohne das Protokoll zu berühren, weshalb ein Vergleich, der am Datenblatt endet, veraltet.

Schreiben Sie die drei Fakten auf, die Sie auf der Website nicht prüfen konnten. Senden Sie sie an den Support und bewahren Sie die Antwort auf. Eine konkrete Antwort verschiebt den Dienst in eine andere Kategorie, und Schweigen ist ebenfalls eine Antwort, die in Ihren Vergleich gehört.