Nun meine zentrale Frage:
Wenn ich mir eine VPN, beispielsweise NordVPN zulege, bin ich dann für den Provider "unsichtbar" also ist mein Standort, meine Adresse, meine IP etc. geschützt respektive verbogen?
Um darauf noch mal einzugehen. Ich verwende auch NordVPN seit Jahren. Man kann nichts schlechtes sagen. Klar gibt es hier und dort Probleme und die Länderauswahl könnte auch größer sein.
Leider, leider ...
... ist die Realität nicht so, wie dies die Werbeaussagen der VPN-Anbieter suggerieren. Natürlich kann man Verständnis aufbringen für die VPN-Anbieter: diese wollen ja ihre Dienste verkaufen. Und tatsächlich gibt es einerseits signifikante Qualitätsunterschiede zwischen verschiedenen Anbietern und andererseits einige wenige sinnvolle Anwendungsszenarien für den Einsatz eines VPNs. Dazu unten mehr.
Zunächst aber möchte ich einen Rieseneimer (Realitäts-)Wasser über das spärlich gefüllte Gläslein mit (VPN-)Wein gießen:
– In Deutschland ist es tatsächlich keine besonders gute Idee, die Informationen, wann man sich wohin unter welchen Bedingungen verbindet, als Standardeinstellung lieber irgendeinem VPN-Anbieter, von dem man nur blumige Versprechungen hat, in den Rachen zu werfen, als sie dem Internetanbieter zu überlassen, bei dem man seinen Anschluss hat. Dieser (also z.B. die Telekom, oder Vodafone, etc.) ist immerhin an deutsche Gesetze in einem europäischen Rechtsrahmen gebunden, und unterliegt vielfältigen Offenlegungspflichten über die Einhaltung von Standards und Gesetzen (z.B. der DSGVO [Datenschutzgrundverordnung] oder der Tatsache, dass es in Deutschland bis heute keine Vorratsdatenspeicherung gibt). VPN-Anbieter tendieren generell dazu, ihren juristischen Sitz irgendwo hin zu verlegen, wo sie glauben, niemandem Rechenschaft schuldig zu sein. Das heißt, sie sind zwar unter Umständen faktisch keinen Gesetzen oder Regulairen unterworfen (haben also auch keine Verpflichtung, mit den Daten ihrer Nutzer sorgsam umzugehen), müssen aber trotzdem darauf reagieren, wenn eine staatliche Autorität mit entsprechendem Nachdruck die Offenlegung von Nutzerdaten fordert.
Selbst wenn angenommen werden könnte (was bei den allermeisten VPN-Anbietern nicht der Fall ist), dass keine Logs existieren und auch sonst nicht durch den VPN-Anbieter Datenverkehr in irgendeiner Weise mitgeschnitten wird: Bereits 2009 wurde gezeigt, dass durch die Korrelierung der Datenströme (Eingangs- und Ausgangsverkehre) bei einem VPN mit den Daten der Internetzugangsdienste 95% des Datenverkehrs deanonymisiert werden kann (
https://epub.uni-regensburg.de/11919/1/authorsversion-ccsw09.pdf - "Attacking Popular Privacy Enhancing Technologies with the Multinomial Naïve-Bayes Classifier").
Jetzt könnte man sagen: nun ja, das ist eine akademische Publikation, und lange her – ganz genau, es ist lange her, und es gibt mittlerweile weltweit eine ganze Anzahl von shady Firmen, die sich exakt diese Datenverkehrsanalyse und -Korrelation mit dem Ziel durchgängiger Deanonymisierung zum (recht lukrativen) Geschäftsmodell gemacht haben. Die Firma "Team Cymru" (
https://team-cymru.com) ist eine dieser Firmen. Auf deren Webseite wird an zentraler Stelle für "Attack Surface Management v2.0" (
https://team-cymru.com/ebook-the-future-of-attack-surface-management-brad-laporte) geworben - also man soll Team Cymru Geld dafür geben, dass sie einen schützen gegen genau das, was ihr zentrales Geschäftsmodell ist. Darüber reden sie natürlich nicht so laut, aber es gibt einen sehr schönen Artikel auf vice.com (
https://www.vice.com/en/article/jg84yy/data-brokers-netflow-data-team-cymru) vom August letzten Jahres, "How Data Brokers Sell Access to the Backbone of the Internet", in dem genau das beschrieben und nachgewiesen wird: "'The users almost certainly don't [know]' their data is being provided to Team Cymru, who then sells access to it […] 'Trace malicious activity through a dozen or more proxies and VPNs to identify the origin of a cyber threat,' one brochure for a Team Cymru product […] reads"
Ich habe das jetzt etwas ausführlicher beschrieben, weil sonst leicht angenommen werden könnte, dass das alles ja doch wenig Praxisrelevanz habe und möglicherweise einem Verschwörungsglauben entspringe. Leider! ist dies nicht der Fall.
Und selbst wenn alles ideal wäre: natürlich sind auch bei VPNs Angriffe auf Kryptographie und Schlüssel möglich (und beschrieben, z.B. in den von Edward Snowden zugänglich gemachten Dokumenten).
– Wie bewertet man einen VPN-Anbieter? Also, inwiefern hält er seine Versprechungen auch ein?
Auf keinen Fall sollte man das, was auf Übersichtsseiten wie "VPNmentor" oder "Wizecase" empfohlen wird, für bare Münze nehmen. Ich nehme diese beiden Seiten wieder als Beispiel, um zu zeigen, wie das VPN-Geschäftsmodell funktioniert - am Ende muss sich jeder selbst entscheiden, wie er vorgeht.
In der Regel belegen bei "VPNmentor" und "Wizecase" die VPN-Anbieter "CyberGost", "Expressvpn" und "Privat Internet Access" einen der vorderen Plätze. Interessanterweise gehören "VPNmentor" und "Wizecase" aber der Firmengruppe Kape, zu der auch "CyberGost", "Expressvpn" und "Privat Internet Access" gehören … . Und: Ein Gründer der Firma Crossrider, die jetzt Kape heißt, hat gute Beziehungen zu Unit 8200 (dem israelischen Äquivalent zu NSA und GCHQ). (Quelle:
https://www.golem.de/news/nordvpn-expressvpn-mullvad-co-die-qual-der-vpn-wahl-2205-165409-3.html - "VPN-Anbieter mit Gruselfaktor"). In diesem Artikel steht noch einiges weitere Bedenkenswerte im Hinblick auf VPN-Dienste; z.B. dass diese mitunter selbst Tracking-Dienste in ihre "super-private" App einbinden.
Ich werde und kann hier auch keine Empfehlung aussprechen, welchen Anbieter man nehmen sollte. Allenfalls eine Faustregel: Wer seine Dienste für weniger als 5€ im Monat anbietet (oder gar gratis) kann nicht kostendeckend arbeiten. Er muss seine Einnahmen also auf andere Weise generieren, und das passiert in der Regel über Datenanalyse und -Weitergabe (sprich: Verkauf).
Ein anderes Indiz für Vertrauenswürdigkeit ist, wenn der VPN-Anbieter keine überzogenen Werbeversprechen macht. IVPN spricht auf seiner Webseite sogar zentral an: "What you do online can be tracked by organizations you may not know or trust and become part of a permanent record. A VPN can’t solve this on its own, […]"
- Ein sinnvoller Einstz eines VPNs ist zum Beispiel die Anbindung an ein Firmennetz. Oder wenn man unterwegs auf ein fremdes WLAN angewiesen ist - aber dann ist die Alternative, sich mit dem eigenen (sauber aufgesetzten) VPN auf dem Router zuhause zu verbinden, sicherer und datensparsamer.
Bleibt noch der letzte kleine Bereich der Umgehung von Geoblocking, z.B. bei Netflix – aber zur Anonymisierung taugt ein VPN sicher nicht. Auf jeden Fall nicht als einzige Maßnahme (siehe IVPN-Statement oben).
