VPN & Anonymität: Was ein VPN wirklich schützt - und was nicht
VPN-Dienste werden mit großen Versprechen vermarktet: vollständige Anonymität, Schutz vor Hackern, unsichtbar im Netz. Die Realität ist deutlich nüchterner. Ein VPN ist ein nützliches Werkzeug für bestimmte Szenarien - aber kein Allheilmittel. Was es wirklich leistet, wann es sich lohnt und worauf Sie bei der Anbieterwahl achten müssen.
Was ein VPN technisch leistet
Ein VPN - Virtual Private Network - verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server. Moderne Protokolle wie WireGuard nutzen dabei Verschlüsselungsverfahren wie ChaCha20-Poly1305 oder AES-256. Das hat zwei konkrete Auswirkungen: Wer im selben Netzwerk sitzt - etwa im Café-WLAN - kann Ihren Traffic nicht mitlesen. Und der Zielserver sieht nicht Ihre echte IP-Adresse, sondern die des VPN-Servers.
Ihr Internetanbieter sieht bei aktivem VPN nur noch verschlüsselten Datenstrom in Richtung VPN-Server - nicht mehr welche Websites Sie besuchen oder was Sie herunterladen. Das schützt vor ISP-Profiling und ist in Ländern mit starker Internetüberwachung der Hauptgrund für VPN-Nutzung.
Die ENISA empfiehlt VPN im Unternehmenskontext ausdrücklich für sichere Fernzugänge und Remote-Arbeit - in Kombination mit Multi-Faktor-Authentifizierung und Netzsegmentierung.
Was ein VPN nicht kann
Das ist der Teil, den VPN-Anbieter in ihrer Werbung selten erwähnen.
Nach dem VPN-Server ist Ihr Traffic wieder normaler Internetverkehr. Zielserver können weiterhin Cookies setzen, Browser-Fingerprinting betreiben und personenbezogene Daten sammeln. Der VPN-Anbieter selbst kann außerdem Metadaten sehen, die sonst Ihr ISP gesehen hätte: Verbindungszeiten, Datenvolumen und DNS-Anfragen - sofern er sie erhebt und speichert. Sie tauschen im Grunde Ihren ISP gegen den VPN-Anbieter als vertrauenswürdige Partei.
Ein VPN schützt nicht vor Malware. Wer eine infizierte Datei herunterlädt oder auf einen Phishing-Link klickt, ist mit VPN genauso gefährdet wie ohne. Das Gerät selbst - seine Sicherheitslücken, veraltete Software, schwache Passwörter - bleibt vollständig außerhalb des VPN-Schutzes. Dafür braucht es separate Endpoint-Security.
Drei verbreitete VPN-Mythen
"Ein VPN macht mich anonym." Das ist der verbreitetste Irrtum. Ein VPN verbirgt Ihre IP und verschlüsselt den Tunnel - echte Anonymität ist das nicht. Wer sich bei einem Dienst einloggt, ist für diesen Dienst identifizierbar - egal welche IP dabei genutzt wird. Browser-Fingerprinting erkennt Sie über Bildschirmauflösung, installierte Fonts, Zeitzone und Dutzende weiterer Merkmale, die nichts mit der IP zu tun haben. Für echte Anonymität bräuchte es Tor, ein gehärtetes Betriebssystem wie Tails und konsequente Vermeidung jedes persönlichen Datenpunkts.
"Ein VPN schützt vor Viren und Hackern." Ein VPN schützt den Datentransport - nicht das Gerät selbst. Malware die über einen Download oder Phishing-Link auf das System gelangt, interessiert sich nicht für den VPN-Tunnel. Einige Anbieter bundeln zusätzlich DNS-Filterung oder Werbeblocking in ihren Client - das sind aber Zusatzdienste, kein Teil der eigentlichen VPN-Technik.
"VPN versteckt meinen kompletten Datenverkehr vor dem ISP." Ihren ISP sieht, dass Sie mit einem VPN-Server verbunden sind - und wie viel Datenvolumen fließt. Nur die Inhalte und Ziele sind verborgen. In manchen Ländern kann allein die Nutzung eines VPNs auffällig sein.
Wann ist ein VPN sinnvoll?
Es gibt konkrete Szenarien, in denen ein VPN echten Mehrwert bringt:
- Öffentliches WLAN in Hotels, Cafés oder auf Flughäfen: Hier ist das Mitlesen des Traffics durch andere Netzwerkteilnehmer technisch möglich. Ein VPN verschlüsselt die Verbindung und macht Man-in-the-Middle-Angriffe im lokalen Netz deutlich schwieriger.
- Schutz vor ISP-Profiling: Wer nicht möchte, dass sein Internetanbieter ein detailliertes Nutzungsprofil erstellt, kann das mit einem VPN erschweren.
- Geo-Blocking umgehen: Zugriff auf Streaming-Inhalte oder Websites, die nur in bestimmten Ländern verfügbar sind.
- Unternehmens-Remote-Zugriff: Sicherer Zugang zum Firmennetzwerk von unterwegs - der klassische Business-Anwendungsfall, den auch ENISA im Rahmen von NIS2 empfiehlt.
Wann ein VPN wenig bringt: Zu Hause im eigenen Netzwerk, bei einem vertrauenswürdigen ISP und beim Zugriff auf ohnehin per HTTPS verschlüsselte Inhalte ist der Sicherheitsgewinn minimal. Wer sich bei Diensten mit Klarnamen einloggt, ändert durch ein VPN nichts an der Identifizierbarkeit gegenüber diesen Diensten.
Worauf bei der Anbieterwahl achten
Die Qualität von VPN-Anbietern unterscheidet sich erheblich. Wer ein VPN nutzt, verlagert sein Vertrauen vom ISP zum VPN-Anbieter. Deshalb ist die Wahl des Anbieters entscheidend.
| Kriterium | Worauf achten | Warum wichtig |
|---|---|---|
| No-Log-Policy | Unabhängig auditiert, nicht nur behauptet | Ohne Logs keine Daten die herausgegeben werden können |
| Unabhängige Audits | Regelmäßige externe Sicherheitsprüfungen | Verifiziert Aussagen des Anbieters |
| Jurisdiktion | Land mit günstigen Datenschutzgesetzen | Bestimmt welche Behörden Zugriff fordern können |
| RAM-only-Server | Keine persistente Datenspeicherung möglich | Server-Neustart löscht alle Daten unwiderruflich |
| Transparenzberichte | Öffentliche Berichte über Behördenanfragen | Zeigt ob und wie oft Daten herausgegeben werden |
| Protokoll | WireGuard oder OpenVPN bevorzugen | Moderne, geprüfte Verschlüsselungsprotokolle |
Quellen: Le VPN: No-Log-Jurisdiktionen, Redact: VPN-Logging-Policies 2025.
Bekannte Anbieter mit regelmäßigen unabhängigen Audits sind unter anderem Mullvad, ProtonVPN und ExpressVPN. Keiner dieser Anbieter ist eine offizielle BSI- oder ENISA-Empfehlung - die Kriterien in der Tabelle oben sind die relevanten Auswahlmerkmale.
Kostenlose VPNs: das Problem
Kostenlose VPN-Dienste haben ein strukturelles Problem: Der Betrieb von VPN-Infrastruktur kostet Geld. Wenn kein Abonnement gezahlt wird, muss die Finanzierung anderweitig erfolgen. Das passiert häufig über Werbung, Datenverkauf oder die Nutzung der Nutzerverbindung als Exit-Node für andere Nutzer.
Sicherheitsforscher der Universität Twente dokumentieren in einer Analyse zu unbekannten VPN-Anbietern typische Risiken: systematisches Logging von IP-Adressen und besuchten Websites, eingebettete Tracker und Adware im VPN-Client sowie fehlende Ressourcen für Sicherheitsaudits und Incident-Response. Das Paradoxe: Ein schlechter VPN-Anbieter ermöglicht genau das Tracking, vor dem ein VPN eigentlich schützen soll.
Die Faustregel gilt hier besonders deutlich: Wer nicht zahlt, ist das Produkt. Wer ein VPN ernsthaft nutzen möchte, sollte für einen auditierten, bezahlten Anbieter mit klarer Datenschutzpolitik optieren. Die Kosten liegen typischerweise bei 3 bis 8 Euro pro Monat.
Aktuell: Firefox 149 mit eingebautem "VPN"
Mit Firefox 149 hat Mozilla ein kostenloses VPN direkt in den Browser integriert, das ohne zusätzliche Software aktivierbar ist. Was verlockend klingt, ist bei genauem Hinsehen ein Browser-Proxy - kein vollwertiges VPN.
Technisch leitet das Feature ausschließlich den Browser-Traffic über einen Mozilla-Server, um IP-Adresse und Standort zu verbergen. Der restliche Systemverkehr - andere Apps, Downloads außerhalb des Browsers, DNS-Anfragen des Betriebssystems - läuft unverändert über Ihre normale Verbindung. Das ist ein wesentlicher Unterschied zu einem echten VPN, das den gesamten Netzwerkverkehr des Geräts tunnelt.
Weitere Einschränkungen: Keine freie Länderauswahl bedeutet, dass Geo-Blocking damit nicht zuverlässig umgangen werden kann. Das monatliche Freivolumen beträgt 50 GB, ein Mozilla-Konto ist erforderlich. Ähnliche Browser-Proxy-Funktionen existieren bereits in Opera und Microsoft Edge - Firefox schließt hier auf, erfindet aber nichts Neues.
Die Funktion ist dennoch sinnvoll für einen konkreten Anwendungsfall: wer im Café-WLAN nur mit dem Browser surft und seinen Browser-Traffic absichern möchte, ohne einen kostenpflichtigen VPN-Dienst einzurichten. Als Ersatz für ein vollwertiges VPN taugt es nicht.
Häufige Fragen zu VPN
Macht ein VPN mich anonym?
Nein. Ein VPN verbirgt Ihre IP-Adresse und verschlüsselt den Tunnel zum VPN-Server. Wer sich bei Google, Facebook oder Online-Banking einloggt, ist für diese Dienste trotzdem identifizierbar. Browser-Fingerprinting erkennt Sie über Dutzende Merkmale die nichts mit der IP zu tun haben. Echte Anonymität erfordert deutlich mehr.
Schützt ein VPN vor Viren?
Nein. Ein VPN verschlüsselt den Datentransport, verhindert aber keine Malware-Infektionen durch Downloads und keinen Schaden durch Phishing-Links. Für Virenschutz braucht es separate Sicherheitssoftware auf dem Gerät.
Sind kostenlose VPNs sicher?
In der Regel nicht. Kostenlose Anbieter finanzieren sich häufig über Datenverkauf, Werbung oder die Nutzung Ihrer Verbindung für andere. Unabhängige Sicherheitsaudits fehlen fast immer. Für ernsthafte Nutzung sollte es ein bezahlter, auditierter Anbieter sein.
Brauche ich ein VPN zu Hause?
Für die meisten Privatnutzer zu Hause ist der Mehrwert eines VPNs gering. HTTPS-verschlüsselte Websites sind bereits sicher. Der Hauptanwendungsfall für ein VPN ist öffentliches WLAN. Wer zu Hause seinem ISP nicht traut oder Geo-Blocking umgehen möchte, kann ein VPN sinnvoll einsetzen.
Was ist besser: VPN oder Tor?
Andere Werkzeuge für andere Zwecke. Ein VPN ist schnell, einfach einzurichten und schützt den Transportweg. Tor leitet Ihren Traffic über mehrere verschlüsselte Knoten weltweit und bietet deutlich stärkere Anonymisierung - auf Kosten der Geschwindigkeit. Für alltägliches Surfen reicht ein gutes VPN. Wer echte Anonymität braucht, nutzt Tor - idealerweise mit Tails als Betriebssystem.
Fazit
Ein VPN ist ein nützliches, aber oft überbewertetes Werkzeug. Es verschlüsselt den Transportweg und verbirgt Ihre IP - das ist in öffentlichen Netzwerken und für Unternehmens-Remote-Zugriff echter Mehrwert. Anonym macht es Sie nicht, und vor Malware schützt es nicht.
Wer ein VPN nutzen möchte, sollte auf einen bezahlten Anbieter mit unabhängig auditierter No-Log-Policy setzen. Kostenlose VPNs lösen häufig mehr Probleme aus als sie beheben. Und wer glaubt, mit einem VPN alle Sicherheitsprobleme gelöst zu haben, hat das Wichtigste vergessen: sichere Passwörter, aktuelle Software und einen guten Virenschutz.