So erkennen Sie eine riskante VPN-App

Ein VPN arbeitet auf Systemebene: Es erhält den Datenverkehr aller Programme auf dem Gerät, auch derer, die ohne Ihr Wissen im Hintergrund laufen. Eine gewöhnliche App kann preisgeben, was sie selbst gesammelt hat; ein VPN kann alles preisgeben, was Sie auf diesem Gerät tun. Die Messlatte bei der Auswahl muss daher deutlich höher liegen.

„Es ist nichts passiert“ ist kein Beweis für Sicherheit. Protokollieren, Melden und Einschleusen geschehen auf dem Server oder im Hintergrund, wo Sie nichts davon merken; die Folgen zeigen sich oft erst Monate später und lassen sich keiner bestimmten App zuordnen.

• Unklare Herkunft: Das Installationsprogramm kommt über einen Gruppenchat, einen Filehoster-Link oder einen QR-Code, ohne offizielle Website oder Store-Seite. Ein seriöser Client stammt aus einem App-Store, von der Website des Entwicklers oder von einer Release-Seite, deren Signatur sich prüfen lässt.
• Sie werden aufgefordert, ein Root-Zertifikat zu installieren: „diesem Zertifikat vertrauen“, „dieses Profil installieren“, einer Zertifizierungsstelle vertrauen. Mit einem installierten Root-Zertifikat kann die App Ihren gesamten HTTPS-Verkehr entschlüsseln, Banking und E-Mail eingeschlossen. Ein normales VPN braucht das nie.
• Übermäßige Berechtigungen: ein VPN, das Kontakte, SMS, Anrufliste, genauen Standort oder Ihre Fotomediathek will. Ein VPN braucht nur die Berechtigung, einen Tunnel einzurichten.
• Identitätsprüfung: Für die Registrierung sind ein Personalausweis, ein Gesichtsscan oder eine chinesische Telefonnummer nötig. Genau so verknüpft ein „konformes“ VPN Ihre Identität mit Ihren Verbindungsdaten; ein seriöser Dienst braucht eine E-Mail-Adresse.
• Proprietäres Protokoll und geschlossener Client: nur mit der eigenen App nutzbar, ohne Unterstützung irgendeines Standardprotokolls (AnyConnect, OpenVPN, WireGuard, Hiddify), sodass Sie mit einem Open-Source-Client nicht prüfen können, was tatsächlich gesendet wird.
• Kostenlos ohne erkennbare Einnahmen: kein Bezahltarif, keine Werbung, keine Geschäftskunden, und trotzdem seit Jahren in Betrieb. Ausgangsbandbreite in Festlandchina wird nach Verbrauch abgerechnet; ein Dienst, der nichts verlangt, holt sein Geld anderswo.
• Keine Firma, kein Support, keine Geschichte: kein Betreiber auffindbar, niemand erreichbar, eine Domain, die vor weniger als einem Jahr registriert wurde, häufige Namenswechsel.
• Auffälliger Hintergrundverkehr: Das Gerät lädt im Leerlauf ständig hoch, Akku und Datenvolumen schwinden schnell. Womöglich dient Ihr Gerät als Ausgang für Fremde, oder Ihre Daten werden synchronisiert.
• Werbung, die „offiziell“, „registriert“ und „legal und konform“ betont und andeutet, alles andere sei illegal: das klassische Verkaufsargument der Apps mit staatlicher Rückendeckung, deren Konformität eben im Protokollieren und Melden besteht.
• Store-Bewertungen, die durchweg begeistert sind, Rezensionen, die sich gleichen, und Downloadzahlen, die in keinem Verhältnis zur Zahl der Bewertungen stehen: gekauft.

1. Protokoll prüfen: Steht auf der Website, welche Protokolle verwendet werden und ob Clients von Drittanbietern funktionieren? Ein Dienst, der mit OpenVPN, AnyConnect, Hiddify oder Tailscale erreichbar ist, lässt Sie mitschneiden und prüfen, was gesendet wird.
2. Berechtigungen prüfen: Öffnen Sie nach der Installation die Systemeinstellungen, entziehen Sie alles außer der VPN-Berechtigung und schauen Sie, ob es weiter funktioniert. Wenn nicht, deinstallieren Sie die App.
3. Zertifikate prüfen: unter iOS Einstellungen → Allgemein → VPN und Geräteverwaltung; unter Android Einstellungen → Sicherheit → Verschlüsselung und Anmeldedaten → Vertrauenswürdige Anmeldedaten → Nutzer; unter Windows in der Zertifikatverwaltung unter „Vertrauenswürdige Stammzertifizierungsstellen“. Was die App installiert hat: löschen und die App deinstallieren.
4. Auf Lecks prüfen: Öffnen Sie bei bestehender Verbindung einen DNS-Leak-Test und eine IPv6-Testseite und vergewissern Sie sich, dass Namensauflösung und Adressen über die Server des Dienstes laufen; öffnen Sie dann eine HTTPS-Website und prüfen Sie, dass das Zertifikat von der echten Zertifizierungsstelle der Website ausgestellt ist.
5. Betreiber prüfen: Nennt die Website eine Firma oder ein Team, seit wann sie in Betrieb ist und wo es Support gibt? Gibt es eine Erstattungsregelung, und steht in der Datenschutzerklärung konkret, was protokolliert wird?

1. Deinstallieren Sie sie, prüfen Sie dann die oben genannten Stellen und entfernen Sie jedes Zertifikat und Profil, das sie installiert hat.
2. Ändern Sie Passwörter – Banking, E-Mail, Konten des Alltags –, vor allem die, mit denen Sie sich während der Nutzung angemeldet haben.
3. Prüfen Sie bei Konten mit Zwei-Faktor-Authentifizierung den Anmeldeverlauf und entfernen Sie unbekannte Geräte.
4. War sie auf einem Router, setzen Sie ihn auf Werkseinstellungen zurück und flashen Sie offizielle oder überprüfbare Firmware neu.

Jeder Client von LeoTun stammt von offiziellen Herstellern und bekannten Open-Source-Organisationen – Cisco, OpenVPN, Hiddify, Tailscale – und wird unverändert gespiegelt; Sie können unseren Download jederzeit durch die offizielle oder die Open-Source-Version ersetzen. Jedes Protokoll ist ein Standardprotokoll und lässt sich per Mitschnitt prüfen.

Für die Registrierung genügt eine E-Mail-Adresse – keine Telefonnummer, kein Ausweis. Was wir protokollieren, steht auf der Seite „Über uns“: E-Mail, Tarif, Ablaufdatum sowie Dauer und Datenmenge jeder Verbindung, für die Abrechnung; keine Inhalte, keine eingeschleuste Werbung, kein Datenverkauf.

Keine Zertifikate, keine Kontakte, kein Standort. Fordert Sie ein Client, der angeblich von uns stammt, jemals auf, ein Root-Zertifikat zu installieren, ist er nicht von uns.