Nordvpn, Expressvpn, Mullvad & Co: Die Qual der VPN-Wahl

Mit wenigen Klicks das Internet sicher und privat nutzen, vor Hackern geschützt und anonym, das versprechen etliche VPN-Anbieter auf ihren Webseiten. Denn alle Daten würden durch eine moderne Verschlüsselung geschützt, wirbt etwa der Anbieter NordVPN. Dabei sind die Versprechen aber meist die Pixel nicht wert, mit denen sie auf unseren Bildschirmen ausgegeben werden.

Denn viele der Werbeversprechen kann ein Virtual Private Network (VPN) per se gar nicht einlösen: Statt eines plötzlich auf magische Weise komplett verschlüsselten Internet, wie es mancher Werbespruch suggeriert, wird nur der Tunnel zwischen dem eigenen Rechner oder Smartphone bis zum Server des VPN-Anbieters verschlüsselt - und diesem gibt man seinen gesamten Internet-Traffic vertrauensvoll in die Hand.

Dabei tummeln sich gerade unter den VPN-Anbietern etliche sinistre Gestalten, denen man spätestens auf den zweiten Blick seine Privatsphäre vielleicht lieber nicht anvertraut. Golem.de zeigt, warum für uns viele VPN-Anbieter gar nicht erst in Frage kommen und wie wir dann doch Anbieter gefunden haben, die wir empfehlen können - obwohl auch sie nur ein kleiner Baustein für mehr Privatsphäre im Netz sein können.

Brauche ich ein VPN für mehr Sicherheit?

Die erste und wichtigste Frage bei der Wahl eines VPN-Anbieters ist: Wofür brauche ich das überhaupt? Die häufig beworbene zusätzliche Sicherheit durch den verschlüsselten VPN-Tunnel dürfte den meisten Nutzern jedenfalls keinen Sicherheitsvorteil bringen. Denn sie schützt ja nur einen kleinen Teil des Übertragungsweges: den zwischen dem eigenen Gerät und dem VPN-Anbieter. Danach gehen die Inhalte ganz normal durch das Internet.

Eine vollständige Verschlüsselung zwischen Absender und Ziel einer Internetverbindung lässt sich nur realisieren, wenn diese Verschlüsselung zwischen Client und Server ausgehandelt wird. Genau das passiert heute auch meist: Die Mehrzahl der Webseiten wird über HTTPS mit einer TLS-Verschlüsselung ausgeliefert und ist damit vor mitlesenden Dritten und auch vor Manipulation der Daten geschützt. Verbleibenden Risiken kann man mit dem HTTPS-Only-Mode von Browsern wie Firefox oder Chrome begegnen, die vor unverschlüsselten Verbindungen warnen.

Bei Kommunikation beispielsweise via Messenger oder bei Videokonferenzen sollten die Daten zudem nicht nur mit der oben genannten Transportverschlüsselung, sondern zusätzlich mit einer Ende-zu-Ende-Verschlüsselung gesichert werden. Letztere sorgt dafür, dass die Inhalte auf den Servern der Anbieter nicht mitgelesen, sondern nur von den Sendern und Empfängern gesehen werden können. Auf eine solche Ende-zu-Ende-Verschlüsselung setzen beispielsweise Signal, Threema, Whatsapp, Wire oder Matrix mit Clients wie Element oder Fluffychat.

Eine weitere Verschlüsselungsebene sorgt für wenig mehr Sicherheit

VPNs bieten hier nur eine weitere Verschlüsselungsebene, die zwar nicht schadet, aber nur vor sehr speziellen Angriffen schützt. Beispielsweise, wenn andere Nutzer geteilter Wi-Fis die aufgerufenen Domains mitschneiden, denn die werden bis dato trotz Transportverschlüsselung weiterhin übertragen. Das Gleiche gilt für Provider. Sie können obendrein dazu gezwungen werden, unverschlüsselte Verbindungen zu kapern und Staatstrojaner auszuliefern, um das Gerät eines Betroffenen zu infizieren.

Das ist zwar schon passiert und auch im Verfassungsschutzgesetz steht eine entsprechende Regelung, es dürfte aber für normale Internetnutzer ein eher unwahrscheinliches Szenario sein, gegen das zudem besagter HTTPS-Only-Mode schützt. Gegen ausgefeiltere Techniken, die auf eine interaktionslose Infektion über gesendete Nachrichten setzen, hilft das alles jedoch nichts.

Die hinzugewonnene Sicherheit durch ein VPN ist also eher homöopathisch. Gegen Hacker, Schadsoftware, die klassischerweise als E-Mail-Anhang oder Messenger-Nachricht bei uns eintrudelt oder alle möglichen anderen Internet-Gefahren helfen sie trotz aller Versprechen schlicht nicht. Etwas besser sieht es beim Datenschutz aus - auch wenn hier die Werbeversprechen der VPN-Anbieter nicht weniger großspurig und falsch sind.