Was ist ein VPN? Funktion, Nutzen und Grenzen

1. Du liest im Café einen Artikel

Du öffnest auf deinem eigenen Gerät eine Nachrichtenseite über HTTPS. Das ist eine verschlüsselte Verbindung zwischen Browser und Website. Das Café kann deshalb nicht einfach den Artikelinhalt oder dein übertragenes Passwort mitlesen. Das gilt auch ohne VPN.

Ein VPN, kurz für „virtuelles privates Netzwerk“, fügt einen verschlüsselten Tunnel zu einem anderen Netzwerk hinzu. So lässt sich etwa von unterwegs ein Firmennetz erreichen. Unser Beispiel zeigt einen anderen Einsatz: Du rufst eine öffentliche Website über einen VPN-Server auf.

2. Ohne VPN: Wer sieht was?

Café-WLAN und Internetanbieter sehen Verbindungen zu Ziel-IP-Adressen, Zeitpunkt und Datenmenge. Häufig lässt sich auch der Name der Website erkennen. Ob er direkt sichtbar ist, hängt von der Verbindung und den Einstellungen ab. Das ist etwas anderes als die genaue Artikelseite oder ihr Inhalt.

Die Website sieht die öffentliche IP-Adresse deines Internetzugangs, in diesem Fall die des Cafés. Sie weiß, welchen Artikel du bei ihr anforderst. Meldest du dich dort an, kann sie den Besuch deinem Konto zuordnen.

3. Mit VPN: Vertrauen wandert mit

Für den durch das VPN geleiteten Verkehr sieht das Café zunächst die Verbindung zum VPN-Server sowie Zeitpunkt und Datenmenge. Die Ziele dahinter sind im Tunnel verborgen. Dafür müssen auch die zugehörigen Namensanfragen durch den Tunnel laufen: Sie übersetzen Website-Namen in Netzwerkadressen.

Der VPN-Anbieter sieht deine eingehende öffentliche IP-Adresse und die ausgehenden Ziel-IP-Adressen. Häufig sind auch Website-Namen erkennbar. Er kann Verbindungen zeitlich zuordnen und solche Daten speichern. Die zusätzliche Vertrauensstelle ist jetzt also der VPN-Anbieter.

Die Website sieht üblicherweise die IP-Adresse des VPN-Servers. Deine IP-Adresse wird dadurch für diese Verbindung ausgetauscht; dein Konto oder Browser wird nicht automatisch zu einem anderen. Die Darstellung gilt nur für Verkehr, der tatsächlich durch das VPN läuft.

4. HTTPS bleibt eine eigene Schicht

Im Bild reicht das HTTPS-Band vom Browser bis zur Website. Der kürzere VPN-Tunnel endet schon am VPN-Server. Ein intaktes HTTPS schützt den übertragenen Artikelinhalt, den genauen Seitenpfad und Formulareingaben auch gegenüber dem VPN-Anbieter.

Ohne HTTPS oder eine andere eigene Verschlüsselung fehlt dieser Schutz nach dem VPN-Server. Umgekehrt macht HTTPS eine Website nicht automatisch vertrauenswürdig: Was du an sie sendest, kann sie lesen. Verschlüsselung schützt den Transport, nicht vor jedem falschen Versprechen einer Website.

5. Eine andere IP ist kein Neuanfang

Login heißt Anmeldung bei einem Konto. Bist du auf der Nachrichtenseite angemeldet, bleibt es auch nach dem Einschalten des VPN dasselbe Konto.

Cookies sind kleine gespeicherte Daten, die der Browser an eine Website zurückschicken kann. Darin kann eine Kennung stehen, an der die Website den Browser wiedererkennt. Ein VPN-Tunnel löscht diese Daten nicht.

Auch Browsermerkmale wie Sprache oder Bildschirmgröße bleiben. Websites können mehrere Merkmale zum sogenannten Fingerprinting kombinieren, um Browser wiederzuerkennen. Das ist kein sicherer Beweis dafür, welche Person davor sitzt.

6. VPN und Tor lösen andere Aufgaben

Ein VPN verbindet dich mit einem anderen Netzwerk; dabei vertraust du dessen Betreiber. Tor verteilt eine Verbindung über mehrere Stationen. So kennt bei der üblichen Route zu einer öffentlichen Website keine einzelne Station zugleich deine Ausgangs-IP und das Ziel.

Das Tor Project empfiehlt VPN plus Tor nicht als Standard für Einsteiger. Die Kombination verlangt Erfahrung; falsch eingerichtet kann sie den Schutz schwächen. Weder ein VPN noch Tor garantiert Anonymität. Eine Anmeldung verrät der besuchten Website weiterhin, welches Konto du verwendest.

7. Kurz selbst prüfen

Du schaltest im Café das VPN ein und bleibst auf der Nachrichtenseite angemeldet. Weiß die Website jetzt nicht mehr, welches Konto du nutzt? Doch: Die IP-Adresse kann wechseln, die Anmeldung bleibt.

Kann der VPN-Anbieter deshalb dein über HTTPS übertragenes Passwort lesen? Bei intaktem HTTPS nicht. Er kann aber weiterhin Verbindungsdaten sehen. Genau diese Trennung hilft: Inhalt, Verbindungsdaten und Wiedererkennung sind drei verschiedene Dinge.

Brauche ich überhaupt ein VPN?

Beginne mit einer Aufgabe statt einem Werbeversprechen. Für den Zugang zum Firmennetz brauchst du gegebenenfalls das VPN deiner Firma. Für eine öffentliche HTTPS-Seite ist der Inhalt bereits verschlüsselt; zusätzliche Wünsche an den Schutz der Verbindungsdaten sind eine eigene Frage.

Prüfe bei einem Anbieter, wer ihn betreibt, welche Verbindungsdaten er speichert und was veröffentlichte Prüfberichte tatsächlich untersuchen. „Keine Logs“ ist zunächst eine Behauptung. Ein Bericht über eine bestimmte App-Version beantwortet nicht automatisch jede Frage zum Betrieb der Server.

Was bedeuten Kill Switch und Split Tunneling?

Ein Kill Switch soll Verbindungen blockieren, wenn der VPN-Tunnel ausfällt. Ob und für welche Verbindungen das funktioniert, hängt vom Produkt und der Einrichtung ab. Der Name allein ist kein Funktionsnachweis.

Split Tunneling bedeutet, dass nur ausgewählte Apps oder Ziele durch den Tunnel gehen. Beispiel: Der Firmenzugang läuft über das Firmen-VPN, während ein anderer Aufruf direkt erfolgt. „VPN eingeschaltet“ beweist deshalb nicht, dass jede App darüber kommuniziert.

Welche Frage beantwortet welches Werkzeug?

HTTPS: Können Außenstehende den Inhalt auf dem Transportweg lesen? VPN: Über welches andere Netz geht meine Verbindung, und wem vertraue ich dabei? Tor: Wie verteile ich das Wissen über Herkunft und Ziel auf mehrere Stationen?

Beim Rezeptlesen im Café, beim Zugriff aufs Firmennetz und bei einer Recherche über ein persönliches Thema können deshalb unterschiedliche Entscheidungen sinnvoll sein. Keines dieser Werkzeuge ersetzt die Frage, wem du freiwillig welche Angaben schickst.