Was ein VPN wirklich ist

Jahrelang hörte ich von VPNs und schenkte ihnen keine Beachtung, genau wie bei Antivirenprogrammen: Ich nutze kein Antivirenprogramm oder so gut wie nie. Ich habe Echtzeitkopien von allem an drei Orten und passe genau auf, was ich herunterlade, welche Links ich anklicke und welche Websites ich besuche. Das ist keine hundertprozentige Sicherheit, aber für mich funktioniert es. Eines Tages sah ich ein VPN-Angebot für etwas mehr als zwei Euro im Monat und schloss es aus Neugier ab. Es funktioniert gut, hat mir aber wenig genützt: etwa um einen Dienst auszuprobieren, der damals nur in den USA verfügbar war. Fühle ich mich sicherer? Nein. Wenn man es mir wieder zu diesem Preis anbietet, verlängere ich vielleicht; wenn nicht, dann nicht. Es ist nur meine Erfahrung, sie beweist nichts. Also fragte ich mich, was ein VPN genau tut. So habe ich es verstanden.

Stell dir vor, du wirfst einen Brief mit deutlich lesbarer Empfängeradresse in den Briefkasten. Der Postbote sieht, an wen du ihn schickst, auch wenn er ihn verschlossen nicht lesen kann. Dieser Postbote ist dein Internetanbieter. Ein VPN steckt deinen Brief in einen zweiten Umschlag, adressiert an einen Zwischenhändler, der ihn öffnet und weitersendet. Dein gewohnter Postbote sieht die eigentliche Adresse nicht mehr. Er sieht nur, dass du diesem Zwischenhändler schreibst.

Wer das Netzwerk kontrolliert, über das du dich verbindest – etwa ein Flughafen-WLAN –, sieht nicht mehr, wohin du surfst. Doch der Zwischenhändler sieht nun das, was zuvor dein Anbieter sah, und manchmal mehr, da dein gesamter Datenverkehr über ihn läuft. Die Überwachung verschwindet nicht: Sie wechselt die Hände. Daher der Name.

Zudem läuft heute fast alles, was du tust – wie E-Mails abrufen oder Online-Banking –, dank des Browser-Schlosses ohnehin verschlüsselt bis zum Zielserver. Das geschieht mit und ohne VPN. Ein VPN fügt nur auf dem ersten Teilstück Schutz hinzu, bis zu seinem eigenen Server. Ab dort verläuft der Weg wie gewohnt.

Deshalb gibt es Dinge, die es dir nicht versprechen kann, auch wenn es manchmal so beworben wird. Wenn du dich bei deinem E-Mail-Dienst oder deiner Bank angemeldet hast, weiß dieser Dienst, dass du es bist – mit oder ohne VPN. Es garantiert auch nicht, dass niemand deinen Datenverkehr einsieht: Es ändert nur, wer hinschaut. Wenn ein Unternehmen erklärt, es «führe keine Protokolle», ist das ein Versprechen, genauso wie wenn ein großer Konzern sagt: «Deine Nachrichten sind verschlüsselt, wir lesen sie nicht». Ein Audit kann das zu einem bestimmten Zeitpunkt bestätigen, bleibt aber etwas, auf dessen Einhaltung du vertrauen musst – keine Unmöglichkeit durch Architektur.

Und der Inhalt eines Gesprächs bleibt unverändert. Wenn deine Messaging-App bereits Ende-zu-Ende verschlüsselt, fügt ein VPN nichts hinzu. Tut sie das nicht, behebt ein VPN das auch nicht: Es schützt den Übertragungsweg, nicht das, was die App oder ihr Server nach dem Eintreffen damit tun.

Nichts davon macht es nutzlos. Zu verbergen, wohin du dich verbindest – vor einem öffentlichen WLAN, einem Anbieter, der diesen Verlauf verkaufen möchte, oder einem Staat, der einen Dienst blockiert –, ist eine reale Aufgabe, und das erledigt es gut. Das Marketing verspricht allerdings meist mehr, als diese Schicht leisten kann.

Die Frage, die man sich bei einem VPN oder jedem Dienst stellen sollte, der Schutz verspricht, lautet nicht «Ist es verschlüsselt?». Wahrscheinlich ja, zumindest auf einer Teilstrecke. Sie lautet: Wem schenke ich das Vertrauen, das ich einem anderen entzogen habe? Und was bleibt mir, falls es sich als unberechtigt erweist?

Ein VPN ändert, wenn es seine Arbeit gut macht, nur den Zwischenhändler deiner Verbindung. Eine App wie Solo2, deren Nachrichten über keinen Server laufen, nimmt den Zwischenhändler ganz aus dem Gespräch. Sie konkurrieren nicht: Sie lösen unterschiedliche Probleme.

Sie zu verwechseln ist ein weit verbreiteter Weg, sich geschützter zu wiegen, als man tatsächlich ist.