Ist ein VPN sicher? Wer was sehen kann

• Ihr lokales Netz und Ihr Internetanbieter (Festnetz zu Hause, Büro- oder Hochschul-WLAN, Café-Hotspot): Sie sehen, dass Ihr Gerät mit einem Server verbunden ist, wann und wie viele Daten fließen. Die besuchten Domains und die Inhalte sehen sie nicht.
• Der VPN-Betreiber: sieht Ihre Herkunfts-IP, die besuchten Domains oder Adressen, die Zeitpunkte und die Datenmenge. Inhalte innerhalb von HTTPS-Websites – Seiten, Passwörter, Chats, Zahlungsdaten – sieht er nicht.
• Die besuchten Websites: Sie sehen die Ausgangs-IP statt Ihrer Heim-IP. Sobald Sie sich anmelden, weiß die Website aber, wer Sie sind, und die Cookies in Ihrem Browser identifizieren Sie weiterhin.
• Software auf dem Gerät: Was Ihre Apps, Ihre Tastatur und Ihre Browser-Erweiterungen sehen können, hat mit dem VPN nichts zu tun und ist mit oder ohne VPN gleich.

Fast jede Website und App nutzt heute HTTPS: eine zweite Verschlüsselungsschicht zwischen Ihrem Gerät und der Website, deren Schlüssel nur die beiden Enden kennen. Der VPN-Server reicht diese verschlüsselten Daten weiter und kann sie nicht öffnen. Ihr Onlinebanking-Passwort, der Text einer E-Mail und Ihre Chatnachrichten sehen für den VPN-Betreiber genauso aus wie für den Internetanbieter: als Chiffretext.

Sichtbar bleibt, was außen auf dem Umschlag steht: welche Domain, wann, wie viele Daten. Ohne VPN sehen das Ihr lokales Netz und Ihr Anbieter, mit VPN der Betreiber. Ein VPN verlagert diesen Einblick also von einer Partei zur anderen – deshalb zählt die Wahl des Betreibers am meisten.

Inhalte werden in zwei Fällen sichtbar. Erstens bei Websites, die noch unverschlüsseltes HTTP nutzen; die Adressleiste kennzeichnet sie als „Nicht sicher“. Zweitens, wenn jemand anderes ein Root-Zertifikat auf Ihrem Gerät installiert hat, mit dem er HTTPS entschlüsseln kann. Vor Letzterem müssen Sie sich schützen; der Selbsttest unten zeigt, wo Sie nachsehen.

Diese drei Fragen klären das meiste. Wie Sie jede davon prüfen und was zu tun ist, wenn schon eine fragwürdige App installiert ist, steht in So erkennen Sie eine riskante VPN-App – mit zehn Warnsignalen, die Sie selbst prüfen können.

• Wer es betreibt: Lässt sich das Unternehmen dahinter ermitteln, wie lange gibt es den Dienst, ist der Support erreichbar, und steht in der Datenschutzerklärung genau, was gespeichert wird? Der Betreiber hat nun den Einblick, wohin Sie surfen – seine Vertrauenswürdigkeit steht an erster Stelle.
• Welche App Sie installiert haben: Ein Standard-Client aus dem App-Store oder von der Website des Entwicklers (Cisco, OpenVPN, Hiddify, Tailscale und ähnliche) lässt sich überprüfen. Ein Installationsprogramm, das in einem Gruppenchat oder über einen Filehoster weitergereicht wird, oder ein Dienst, der nur mit der eigenen App funktioniert, lässt sich nicht überprüfen.
• Welche Berechtigungen sie verlangt hat: Ein VPN braucht eine einzige Berechtigung, nämlich den Tunnel einzurichten. Kontakte, SMS, Fotos, Standort oder die Aufforderung, ein Zertifikat zu installieren und ihm zu vertrauen, gehen über alles hinaus, was ein VPN braucht.

Eine VPN-App auf dem iPhone läuft in der Sandbox des Systems. Sie erhält nur die Möglichkeit, einen VPN-Tunnel einzurichten; die Abfrage „… möchte VPN-Konfigurationen hinzufügen“ bei der ersten Verbindung ist der normale Schritt. Auf Daten anderer Apps, Ihre Fotos oder Nachrichten hat sie keinen Zugriff, es sei denn, Sie erlauben das gesondert.

Auf dem iPhone verdienen drei Dinge Aufmerksamkeit: alles, was Sie auffordert, ein Profil zu installieren und einem Zertifikat zu vertrauen; Apps, die über Unternehmenssignaturen oder Geräteverwaltung außerhalb des App Store installiert wurden; und ein Diensthandy von Arbeitgeber oder Hochschule, dessen Administrator mehr sehen kann als jedes VPN. Öffnen Sie Einstellungen → Allgemein → VPN und Geräteverwaltung und prüfen Sie, ob Sie jeden Eintrag dort kennen.

Zur Überwachung: Ihr Mobilfunkanbieter sieht, dass Sie eine verschlüsselte Verbindung nutzen und zu welchem Server sie führt, nicht aber die Websites oder Inhalte darin. Der VPN-Betreiber sieht Domains und Zeitpunkte. HTTPS-Inhalte sieht keiner von beiden.

Auf dem iPhone nutzt LeoTun offizielle Clients aus dem App Store – für die Verbindungsart Cisco die App von Cisco selbst, für Hiddify die Hiddify-App – und verlangt nie, ein Zertifikat zu installieren. Zeigt der Store sie nicht an, lesen Sie Was tun, wenn sich unter iOS eine App nicht installieren lässt.

Es gibt zwei Arten von kostenlos. Kostenlose Software – Open-Source-Clients wie OpenVPN, Hiddify und Tailscale – kostet nichts und lässt sich überprüfen. Ein kostenloser Dienst ist etwas anderes: Server und Bandbreite kosten Geld, und ein Dienst, der von Ihnen nichts verlangt, holt die Kosten anderswo herein – meist über Werbung, das Sammeln und Verkaufen von Nutzungsdaten oder indem er Ihr Gerät als Ausgang für andere Leute nutzt.

Beurteilen Sie ein kostenloses VPN also danach, wovon es lebt, und wenden Sie dann die drei Fragen oben an. Für alles, was mit Anmeldungen, Zahlungen oder Arbeit zu tun hat, nehmen Sie einen Dienst, dessen Betreiber Sie ermitteln können. Einen ausführlicheren Vergleich finden Sie in Kostenloses oder kostenpflichtiges VPN für China?

1. Herkunft: Stammt die App aus einem App-Store oder von der Website des Entwicklers? Kam das Installationsprogramm aus einem Gruppenchat, von einem Filehoster oder per QR-Code, installieren Sie denselben Client neu aus der offiziellen Quelle.
2. Berechtigungen: Öffnen Sie die Systemeinstellungen, prüfen Sie, was der App erlaubt wurde, und schalten Sie alles außer dem VPN selbst ab. Sie sollte weiter funktionieren.
3. Zertifikate und Profile: unter iOS Einstellungen → Allgemein → VPN und Geräteverwaltung; unter Android Einstellungen → Sicherheit → Verschlüsselung und Anmeldedaten → Vertrauenswürdige Anmeldedaten → Nutzer. Entfernen Sie jeden Eintrag, den Sie nicht kennen, und deinstallieren Sie die Software, die ihn angelegt hat.
4. Ausgang: Öffnen Sie nach dem Verbinden eine Seite, die Ihre IP anzeigt, und prüfen Sie, ob es die gewählte Region ist. Machen Sie dann einen DNS-Test wie in DNS-Leck und DNS-Manipulation beschrieben.
5. HTTPS: Öffnen Sie Ihre Bank oder Ihr Postfach und klicken Sie auf das Schloss. Aussteller des Zertifikats sollte eine gewöhnliche Zertifizierungsstelle sein. Warnt der Browser vor dem Zertifikat, hören Sie sofort auf.
6. Hintergrundaktivität: Lädt die App im Leerlauf viel hoch und leert sich der Akku spürbar schneller, nutzen Sie sie nicht weiter und wählen Sie eine andere.

Ein VPN schützt den Weg: Andere im selben WLAN, das lokale Netz und Ihr Anbieter sehen nicht, wohin Sie surfen. Die Sicherheit auf dem Gerät und in Ihren Konten kommt von Systemupdates, Software aus seriösen Quellen und umsichtigem Verhalten. Die folgenden Punkte liegen mit oder ohne VPN in Ihrer Hand.

• Phishing: gefälschte Anmeldeseiten, falsche Support-Mitarbeiter, angebliche Gewinnlinks. Tippen Sie das Passwort selbst ein, liefert der verschlüsselte Tunnel es zuverlässig ab. Lesen Sie die Domain, bevor Sie etwas eingeben.
• Schadsoftware: Ein Trojaner auf dem Gerät, gecrackte Software mit Hintertür oder eine Browser-Erweiterung unbekannter Herkunft greift Ihre Daten ab, bevor sie überhaupt ins VPN gelangen.
• Angemeldete Konten: Melden Sie sich bei WeChat, Google oder Taobao an, weiß die Plattform, dass Sie es sind – egal, welche Ausgangs-IP. Ein VPN ändert Ihre Adresse, nicht Ihre Identität.
• Schwache und mehrfach verwendete Passwörter: Wird eine Website gehackt, öffnen sich die anderen mit demselben Schlüssel. Geben Sie wichtigen Konten eigene Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung.
• Informationen, die Sie selbst preisgeben: Beiträge, die Sie veröffentlichen, Formulare, die Sie ausfüllen, und der Zugriff auf Standort und Kontakte, den Sie Apps gewähren.

• Die Clients sind die offiziellen bzw. Open-Source-Versionen von Cisco, OpenVPN, Hiddify und Tailscale, unverändert gespiegelt. Sie können die hier heruntergeladene Kopie jederzeit durch die aus der offiziellen Quelle ersetzen.
• Alle Protokolle sind Standardprotokolle; Sie können den Verkehr also mitschneiden und selbst prüfen.
• Für die Registrierung genügt eine E-Mail-Adresse: keine Telefonnummer, keine Identitätsprüfung.
• Wir speichern nur, was für die Abrechnung nötig ist. Wir protokollieren nicht, welche Websites Sie besuchen, untersuchen keinen Verkehr, blenden keine Werbung ein und verkaufen keine Daten.
• Kein Zertifikat zu installieren und kein Zugriff auf Kontakte oder Standort.