Was ein VPN verbirgt – und was es offen sichtbar lässt
Ein VPN verbirgt dein Ziel vor dem Zugangsnetz und tauscht deine Ausgangs-IP. Es verbirgt nicht Konten, Cookies, den Gerätezustand oder das, was der Betreiber sieht.
Die Behauptung, ein VPN mache dich anonym, ist der teuerste Mythos im Verbraucherdatenschutz, denn sie ist halb wahr, und die falsche Hälfte ist die, auf die sich Menschen verlassen. Ein Tunnel verbirgt dein Ziel tatsächlich vor dem Netz, in dem du sitzt, und er verbirgt deine Heimatadresse vor der Website, die du besuchst. Er verbirgt nicht, wer du beim Anmelden bist, was dein Browser mitbringt oder was der VPN-Betreiber beobachten kann. Die nützliche Frage ist nie, ob ein VPN dich verbirgt, sondern vor welchem Beobachter, für welchen Verkehr.
Der Mythos: Ein Tunnel ist ein Anonymitätsschalter
Ein VPN verschlüsselt den Weg zwischen deinem Gerät und dem VPN-Server und leitet deine Anfragen dann von der Serveradresse weiter. Alles, was du über diesen Weg sendest, ist vor dem Wi-Fi-Betreiber und dem ISP vor dem Tunnel verborgen. Das ist eine echte Veränderung, und deshalb sieht ein Hotelnetz nicht mehr, welche Seiten du öffnest. Es ist keine Anonymität, denn der Tunnel verschiebt den Beobachtungspunkt, statt ihn zu entfernen.
Die Korrektur zählt in der Praxis. Wenn du dich über ein VPN in ein Arbeitskonto einloggst, kennt die Website das Konto weiterhin. Wenn dein Browser ein Cookie eines Werbenetzwerks hält, löscht der Tunnel es nicht. Wenn der Client so konfiguriert ist, dass er lokalen Verkehr ausnimmt, gelangt dieser Verkehr nie in den Tunnel. Ein geschlossenes Vorhängeschloss beschreibt den Tunnel, nicht die Summe dessen, was du preisgegeben hast.
Was das Zugangsnetz verliert und behält
Das Zugangsnetz, also der Wi-Fi-Betreiber oder der ISP, der deine Verbindung zum VPN-Server trägt, sieht weiterhin, dass eine VPN-Verbindung besteht. Es kann die Endpunktadresse protokollieren, wann du dich verbunden hast, wie lange die Sitzung dauerte und ungefähr wie viele Daten flossen. Verkehrsanalyse dieser Form kann aufschlussreich sein, auch wenn der Inhalt unlesbar ist, und deshalb sind verschlüsselt und unsichtbar verschiedene Aussagen.
Es behält auch alles, was du ihm direkt gesagt hast: ein Captive-Portal-Login, eine Zimmernummer, eine Zahlung für den Zugang. Und es kann DNS weiterhin sehen, wenn der Client oder der System-Resolver Abfragen außerhalb des Tunnels sendet. Dieses Leck ist bei Split-Tunnel-Setups und auf Geräten üblich, die einen DNS-Server des Routers oder Anbieters behalten. Prüfe den verwendeten Resolver während der Verbindung, nicht nur die Ausgangsadresse.
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
Was die Website weiterhin erkennt
Die Website sieht die Ausgangsadresse des VPN-Servers, nicht deine Heimatadresse, bei Verbindungen, die den Tunnel nutzen. Das ist die gesamte Veränderung auf IP-Ebene. Was sie jenseits der Adresse sieht, ist unverändert: das Konto, in das du dich einloggst, früher gesetzte Cookies, der Browser und das Betriebssystem, die du präsentierst, und der Zeitpunkt deiner Anfragen. Eine Website, die dich bereits kennt, wird nicht fremd, weil sich die Quelladresse geändert hat.
Der Standort verdient eine eigene Zeile. Eine Website, die den Browser nach dem Standort fragt, erhält eine Antwort, die von der Browser-Berechtigung gesteuert wird, nicht vom VPN. GPS auf einem Telefon ist vom Tunnel unabhängig. Eine Adresse, die in ein anderes Land geolokalisiert wird, während die Karte noch deine Stadt zeigt, ist daher kein VPN-Fehler; es sind zwei verschiedene Standortkanäle, die sich widersprechen.
Fingerprinting ist die andere Hälfte. Bildschirmgröße, Schriften, Zeitzone, Sprache und Canvas-Ausgabe können Browser unterscheiden, selbst wenn die Adresse mit Tausenden anderer Nutzer geteilt wird. Ein VPN ändert einen Eingang dieses Profils und lässt den Rest unangetastet.
Was der Betreiber sehen kann
Der Betreiber beendet deinen Tunnel und leitet die Anfrage weiter, sitzt also dort, wo früher dein ISP saß. Er kann Zieladressen sehen und, ohne verschlüsselten Client Hello, die Hostnamen, die du anfragst; er sieht DNS-Abfragen, wenn du seinen Resolver nutzt; er sieht Volumen und Zeitpunkt. Den Inhalt einer HTTPS-Sitzung kann er nicht lesen, ohne sie mit einem Zertifikat abzufangen, dem dein Gerät vertraut, und das ist ein anderer und lauterer Angriff.
Sichtbarkeit ist keine Speicherung. Ein Anbieter kann technisch in der Lage sein, eine Anfrage zu beobachten, und sie trotzdem nicht protokollieren, oder er protokolliert Verbindungsmetadaten und verwirft den Inhalt. Die ehrliche Frage ist, was Anbieterrichtlinie und Jurisdiktion aufzubewahren verlangen, und ein No-Logs-Abzeichen beantwortet das nicht. Behandle den Betreiber als eine Partei, der du deine Metadaten bewusst anvertraust.
Was das Gerät behält, mit oder ohne Tunnel
Nichts vom Tunnel gelangt ins Innere des Geräts. Der Browserverlauf bleibt im Browser, Downloads bleiben im Dateisystem, und eine App mit Mikrofon- oder Bildschirmzugriff behält diesen Zugriff. Überwachungssoftware auf dem Rechner kann Daten lesen, bevor sie verschlüsselt oder nachdem sie entschlüsselt wurden, und deshalb ist ein VPN keine Verteidigung gegen einen kompromittierten Endpunkt.
Dasselbe gilt für Konten. Ein vom Gerät kopiertes Sitzungs-Cookie funktioniert von jeder Adresse, und ein über Websites hinweg wiederverwendetes Passwort verknüpft Identitäten, die kein Tunnel trennt. Wenn die Bedrohung, die dich interessiert, jemand ist, der das Gerät in der Hand hält, löst das VPN sie nicht.
Teste die Abdeckung, die du tatsächlich gekauft hast
Teste die Eigenschaften, auf die du dich verlässt, statt der Marketingbehauptung. Prüfe bei aktivem Tunnel die öffentliche Adresse, den DNS-Resolver und den IPv6-Pfad. Ein reiner IPv4-Tunnel in einem Dual-Stack-Netz kann IPv6-Verkehr vollständig draußen lassen. Der EFF-Leitfaden zur Auswahl eines VPN rahmt dieselbe Frage als Bedrohungsmodell statt als Produktranking ein.
Teste dann das Fehlerverhalten. Trenne den Tunnel und bestätige, ob der Verkehr stoppt oder auf den direkten Weg zurückfällt; das hängt von der Kill-Switch-Einstellung des Clients ab, nicht vom Protokollnamen. Liste schließlich die Apps und Präfixe auf, die der Client ausnimmt. Split-Tunneling ist der Ort, an dem die meisten Überraschungen leben, denn die Abdeckung, die du gekauft hast, ist die Abdeckung, die der Client zu liefern konfiguriert ist.