VPN-Metadaten: Was jeder Beobachter noch sehen kann

Verschlüsselung verbirgt, was Sie gesendet haben, nicht dass Sie etwas gesendet haben. Größen, Zeitverlauf und die äußeren Adressen bleiben für Beteiligte an verschiedenen Punkten des Pfades verfügbar. Jeder Beobachter erhält einen anderen Ausschnitt, und die Datenschutzfrage ist, was dieser Ausschnitt belegen kann. Benennen Sie zuerst, wer hinsieht, bevor Sie entscheiden, was die Offenlegung bedeutet.

Den Beobachter vor der Aussage benennen

Vier Positionen zählen in einem typischen Tunnel: Ihr Zugangsnetz, der Ausgang des VPN-Betreibers, jeder Resolver, der einen Namen erhält, und das Ziel selbst. Jede sieht eine andere Kombination aus Quelle, Ziel, Name, Größe und Zeit. Eine allgemeine Aussage darüber, was ein VPN preisgibt, ist fast immer eine Aussage über eine dieser Positionen.

Halten Sie sie in der Analyse getrennt. Ihre Zusammenführung erzeugt Aussagen, die sich nicht prüfen lassen. Die Position eines Beobachters entscheidet auch, was eine rechtliche Anfrage später von ihm erhalten könnte.

Inhalt und Ziel sind verschiedene Fragen

Verschlüsselung schützt die Nutzlast einer Verbindung, und HTTPS schützt sie noch einmal in seinem eigenen Austausch. Zieladressen sind jedoch Routinginformationen, und der Ausgang muss dorthin weiterleiten. DNS-Resolver erhalten die Namen, die sie beantworten, und die Sichtbarkeit anderer Hostnamen hängt vom verwendeten Protokoll ab. Anzunehmen, jeder Vermittler sehe eine vollständige URL, ist ebenso falsch wie anzunehmen, niemand sehe etwas.

Kontokennungen, Gerätebezeichnungen und Diagnose-IDs leben oft in Verwaltungssystemen statt in Paketfeldern. Eine Protokollspezifikation beschreibt nicht die Analytik darum herum. Ein Tunnel, der Adressen vor dem Zugangsnetz verbirgt, kann sie dem Ausgang weiterhin offenlegen, daher haben identische Metadaten in verschiedenen Händen unterschiedlichen Wert.

Beobachtbar ist nicht gespeichert

Ein Endpunkt kann Daten verarbeiten, um Verkehr zuzustellen, ohne einen Verlauf darüber zu führen. Er kann auch Diagnosen, Gesamtsummen oder kontobezogene Aufzeichnungen für einen begrenzten Zeitraum aufbewahren. Das sind unterschiedliche Verhaltensweisen mit unterschiedlichen Folgen, und das Wort anonym unterscheidet sie selten. Ein Paket, das einen Server passiert, hinterlässt keinen automatischen Nachweis, wohin es ging.

Fragen Sie, was erhoben wird, ob es mit einem Konto verknüpft wird, wie lange es aufbewahrt wird und wer es lesen kann. Eine Summe über alle Nutzer beantwortet eine andere Frage als eine zeitgestempelte Aufzeichnung, die an eine Identität gebunden ist. Dieser Unterschied ist der Unterschied zwischen einer Datenschutzerklärung und einem Werbesatz.

Schreiben Sie die Antwort auf, bevor Sie Anbieter vergleichen. Eine mündliche Zusicherung ist keine Aufbewahrungsrichtlinie.

Stellen Sie konkrete Fragen zur Aufbewahrung

Formulieren Sie die Fragen schriftlich, bevor Sie Produkte vergleichen. Welche Ereignisse werden protokolliert, mit welcher Granularität, wie lange und unter wessen Kontrolle? Werden die Daten aggregiert, gesampelt oder nach Zeitplan gelöscht? Kann der Betreiber auf Anfrage einen kontobezogenen Verlauf erstellen?

Diese Antworten gehören in die Entscheidungsakte. Ohne sie ist der Vergleich ein Wettbewerb von Slogans.

Die Datenschutzleitlinie RFC 6973 ist ein nützlicher Rahmen für diese Fragen, weil sie Datenminimierung von Aufbewahrung und Sekundärnutzung trennt. Eine Auflistung, die das Land eines Ausgangs nennt, sagt Ihnen, wo Sie sich verbinden. Sie sagt nichts darüber, was dieser Betreiber speichert.