Stoppt ein VPN die Verfolgung durch Websites? Was weiterhin funktioniert

Ein VPN ändert die Adresse, von der Ihr Datenverkehr kommt. Es ändert nicht das Cookie, das Ihr Browser sendet, nicht das Konto, in dem Sie angemeldet sind, und nicht die Kennung, die in dem Link steckt, auf den Sie geklickt haben. Deshalb kann eine Website Sie mit Namen begrüßen, während Ihre Ausgangsadresse in einem anderen Land liegt. Die folgenden Prüfungen trennen die Netzwerkidentität von allem anderen, in der Reihenfolge, die die tatsächliche Ursache am schnellsten findet.

Was der Tunnel ändert und was nicht

Der Tunnel ersetzt am Ausgang Ihre Quelladresse und verschlüsselt, was das lokale Netz von Ihrem Datenverkehr sehen kann. Beides ist nützlich, und beides ist eng. Alles oberhalb der IP-Schicht, also die HTTP-Anfrage, die Ihr Browser tatsächlich baut, erreicht die Website unverändert.

Dazu gehören Cookies, Autorisierungs-Header, die URL und der TLS-Fingerabdruck Ihres Clients.

Die Frage ist also nicht, ob das VPN funktioniert. Die Frage ist, welche Kennung die Website verwendet hat, und das lässt sich beantworten, indem man jeweils eine Schicht prüft.

Schritt 1: Kontenidentität von Netzwerkidentität trennen

Melden Sie sich überall ab, oder nutzen Sie ein Browserprofil, das sich nie angemeldet hat, und wiederholen Sie den Besuch durch den Tunnel. Wenn die Website Sie nicht mehr erkennt, war die Kennung ein Cookie oder ein Konto, und das VPN war nie die relevante Kontrolle. Wenn sie Sie weiterhin erkennt, suchen Sie nach einer anderen gespeicherten Kennung, bevor Sie zu Fingerabdrücken greifen. Ein Warenkorb, eine gespeicherte Einstellung oder ein Sitzungstoken im lokalen Speicher erklären die meisten dieser Fälle.

Ein privates Fenster isoliert den Cookie-Speicher für dieses Fenster. Es anonymisiert keine Anmeldung, die Sie darin durchführen.

Schritt 2: Kennungen im Link suchen

Links in Newslettern tragen routinemäßig ein Abonnenten-Token, und Kampagnenlinks tragen Parameter. Öffnen Sie einen über einen beliebigen Ausgang, und das Ziel erhält das Token trotzdem, weil das Token Teil der Anfrage und nicht Teil der Route ist. Externe Bilder in E-Mails funktionieren genauso, gebunden an eine bestimmte Nachricht.

Entfernen Sie die Query-Zeichenfolge, wenn Sie können, und schalten Sie externe Inhalte im Mail-Client ab.

Dieselbe Logik gilt für Informationen, die Sie freiwillig preisgeben. Eine gespeicherte Adresse, eine in ein Formular getippte Telefonnummer oder eine Support-Ticket-Referenz identifiziert Sie nach jeder IP-Änderung. Denken Sie daran, wer die Daten erhält, nicht nur daran, welchen Weg sie genommen haben.

Schritt 3: die Fingerabdruck-Oberfläche ehrlich lesen

Fingerprinting kombiniert beobachtbare Merkmale von Browser und Gerät: User Agent, Bildschirmgeometrie, installierte Schriftarten, Zeitzone, Canvas-Ausgabe. Ein herkömmliches VPN standardisiert nichts davon, also entfernt das Löschen eines Cookies nicht die anderen Signale. Daraus folgt auch nicht, dass jede Wiedererkennung ein Fingerabdruck ist. Der Normalfall ist eine gespeicherte Kennung, die Sie vergessen haben.

Testen Sie mit einem Fingerprint-Checker und lesen Sie das Ergebnis als Stichprobe, nicht als Zertifikat. Diese Werkzeuge messen eine Methode gegen einen Datensatz und können nicht versprechen, dass keine Website jemals zwei Besuche verknüpft. Behandeln Sie den Wert als Hinweis darauf, welche Oberflächen in Ihrer Konfiguration ungewöhnlich aussehen.

Die Oberfläche zu verkleinern ist mehr wert als jede einzelne Einstellung: weniger Erweiterungen, eine aktuelle Browserversion und Profile, die Sie bewusst getrennt halten.

Schritt 4: mit einem Vorher-Nachher-Test prüfen

Führen Sie dieselbe Prüfung zweimal durch, einmal außerhalb des Tunnels und einmal darin, und vergleichen Sie die Antworten statt Ihrer Erwartungen.

curl -s https://ifconfig.me; echo
curl -s https://ipinfo.io/ip

Die Ausgangsadresse sollte sich ändern, und der Resolver, den die Website sieht, sollte zum VPN gehören, wenn Ihr DNS durch den Tunnel läuft. Wenn sich die Adresse ändert und der Resolver nicht, haben Sie einen geteilten DNS-Pfad, der Domänenabfragen leckt, und das ist ein Konfigurationsfehler und kein Tracking-Mechanismus. Prüfen Sie WebRTC separat im Browser, weil es in manchen Konfigurationen Adressen offenlegen kann, und die einzige ehrliche Antwort ist die, die Ihr eigener Test liefert.

Wiederholen Sie dann die Konto- und Linktests. Eine Website, die Sie nach allen vier Schritten erkennt, verwendet etwas, das Sie noch senden, und der nächste Schritt ist, dieses Etwas zu finden, statt erneut Server zu wechseln.

Halten Sie beide Ergebnisse nebeneinander. Eine Datenschutzprüfung ohne Ausgangsbasis ist nur eine Vermutung.