VPN steht für Virtual Private Network, auf Deutsch virtuelles privates Netzwerk. Der Name klingt nach einem eigenen Netz, praktisch ist ein Verbraucher-VPN aber vor allem ein verschlüsselter Umweg: Ihr Gerät sendet Daten zuerst an einen VPN-Server, der sie anschließend ins Internet weiterleitet. Websites sehen dadurch die IP-Adresse des Servers statt der IP-Adresse Ihres Anschlusses. Ihr Internetanbieter erkennt weiterhin, dass Daten fließen und meist auch, dass Sie sich mit einem VPN-Server verbinden, nicht aber die Ziele innerhalb eines korrekt geschützten Tunnels.

Das ist nützlich, aber keine Unsichtbarkeitskappe. Der VPN-Anbieter rückt an eine besonders sensible Position: Er betreibt den Ausgang des Tunnels und kann technisch Metadaten sehen, die vorher bei Ihrem Internetanbieter anfielen. Ein guter Dienst macht diesen Vertrauensvorschuss durch eine nachvollziehbare No-Logs-Richtlinie, sichere Technik und unabhängige Prüfungen überprüfbar.

Wie funktioniert ein VPN?

Beim Verbindungsaufbau authentifizieren sich Client und Server und handeln Sitzungsschlüssel aus. Anschließend erstellt das Betriebssystem eine virtuelle Netzwerkschnittstelle. Die Routing-Tabelle entscheidet, welche Pakete dort hineinfließen. Bei einem vollständigen Tunnel sind das normalerweise die IPv4-Route 0.0.0.0/0 und die IPv6-Route ::/0. Bei Split-Tunneling gehen nur ausgewählte Apps, Ziele oder Netze durch den Tunnel.

Das VPN-Protokoll kapselt jedes ursprüngliche IP-Paket in ein neues Paket, verschlüsselt den Inhalt und sendet es über das öffentliche Netz zum VPN-Server. Dort wird die äußere Hülle entfernt. Der Server leitet die ursprüngliche Anfrage mit seiner eigenen öffentlichen IP-Adresse weiter. Die Antwort nimmt denselben Weg zurück. NIST beschreibt IPsec entsprechend als Schutz auf der Netzwerkschicht, der private Kommunikation über IP-Netze ermöglicht. Moderne Verbraucherangebote verwenden daneben häufig WireGuard oder OpenVPN.

Ein konkretes Beispiel: Sie öffnen example.com über ein VPN mit Server in Frankfurt. Ihr Internetanbieter sieht eine verschlüsselte Verbindung von Ihrem Anschluss zum Frankfurter Server. example.com sieht eine Anfrage aus dem Adressbereich dieses Servers. Der VPN-Betreiber sitzt dazwischen. Ist die Zielseite per HTTPS geschützt, bleibt auch der Inhalt zwischen VPN-Server und Website verschlüsselt. Ohne HTTPS endet die VPN-Verschlüsselung am Server, danach wäre der Inhalt auf dem restlichen Weg lesbar.

Was schützt ein VPN?

Ein richtig eingerichtetes VPN kann mehrere klar begrenzte Aufgaben erfüllen:

  • Schutz auf unsicheren Netzen. Andere Teilnehmer in einem öffentlichen WLAN können den getunnelten Verkehr nicht einfach mitlesen oder verändern. Das BSI empfiehlt VPN-Verbindungen deshalb unter anderem für den sicheren Zugriff aus öffentlichen WLANs.
  • Weniger Einblick für den Internetanbieter. Ziele und DNS-Anfragen bleiben im Tunnel, sofern kein DNS-Leak vorliegt. Der Anbieter sieht jedoch Zeitpunkt, Dauer und Datenmenge der VPN-Verbindung.
  • Andere öffentliche IP-Adresse. Websites und Apps sehen normalerweise die Adresse des VPN-Servers. Mit unserem IP-Check können Sie das vor und nach dem Verbindungsaufbau selbst vergleichen.
  • Sicherer Fernzugriff. Ein selbst betriebenes VPN kann ein Notebook unterwegs mit dem Heimnetz oder dem Firmennetz verbinden. Das ist der klassische Zweck eines VPN, unabhängig von kommerziellen Privatsphäre-Diensten.
  • Anderer sichtbarer Standort. Ein Server in einem anderen Land kann standortabhängige Ergebnisse verändern. Ob ein Streamingdienst die Verbindung akzeptiert, ist damit nicht garantiert, wie der Artikel zu Geoblocking erklärt.

Die technische Grundlage ist Verschlüsselung. Ebenso wichtig sind aber Routing, DNS-Behandlung, Serverkonfiguration und ein funktionierender Kill-Switch. Ein starker Algorithmus allein verhindert keinen Verkehr am Tunnel vorbei.

Was schützt ein VPN nicht?

Ein VPN macht Sie nicht anonym. Wenn Sie sich bei Google, Instagram oder einem Shop anmelden, kennt der Dienst Ihr Konto weiterhin. Cookies, Browser-Fingerprints und in Apps eingebaute Kennungen funktionieren unabhängig von der IP-Adresse. Unser Browser-Fingerprint-Test zeigt, wie wiedererkennbar ein Browser auch mit wechselnder IP sein kann.

Ein VPN ist kein Virenschutz. Schädliche Anhänge, Phishing-Seiten und kompromittierte Programme bleiben gefährlich. Manche Anbieter blockieren bekannte Schadseiten, doch das ist eine Zusatzfunktion und kein Ersatz für Updates, sichere Passwörter und vorsichtiges Verhalten.

Ein VPN verschlüsselt nicht automatisch den gesamten Weg. Der Tunnel reicht bis zum VPN-Server. Für die Strecke zur Zielseite ist HTTPS zuständig. Heute verwenden die meisten Websites HTTPS, technisch sind es dennoch zwei getrennte Schutzschichten.

Ein VPN verbirgt nicht alle Metadaten. Der VPN-Anbieter kann mindestens den Aufbau einer Verbindung verarbeiten. Je nach Richtlinie fallen Konto-, Zahlungs-, Diagnose- oder Auslastungsdaten an. Deshalb prüfen wir nicht nur das Wort „No-Logs“, sondern jede konkret genannte Datenkategorie.

Welche VPN-Arten gibt es?

Bei einem Remote-Access-VPN verbindet sich ein einzelnes Gerät mit einem entfernten Netz. Dazu gehören Firmenzugänge, der Zugriff auf die eigene Fritzbox und die Apps kommerzieller VPN-Dienste. Ein Site-to-Site-VPN verbindet dagegen zwei vollständige Netze, etwa mehrere Standorte eines Unternehmens. Beide Varianten verwenden denselben Grundgedanken, unterscheiden sich aber bei Identitäten, Routing und Verwaltung.

Ein Verbraucher-VPN leitet den Verkehr meistens ins öffentliche Internet weiter. Ein Firmen-VPN soll dagegen häufig nur interne Anwendungen erreichbar machen. Wer auf dem Arbeitsnotebook ein Firmen-VPN aktiviert, erhält daher nicht automatisch eine andere IP für alle Websites. Entscheidend ist, ob der Administrator einen vollständigen Tunnel oder Split-Tunneling konfiguriert hat.

Auch ein Browser-VPN ist oft nur ein Proxy für den Browser. Andere Apps können dann weiter direkt ins Netz gehen. Für einen geräteweiten Schutz muss der Client eine systemweite VPN-Schnittstelle verwenden.

Wie wir VPN-Dienste prüfen

Wir behandeln die grüne Verbindungsanzeige einer App nicht als Beleg. Unser Prüfablauf betrachtet den vollständigen Weg:

  1. Unser Messsystem baut jeden Anbietertunnel in einem eigenen Netzwerk-Namespace auf. Protokoll, Endpunkt, Zeitpunkt und verwendeter Speedtest-Server bleiben am Datensatz erhalten.
  2. Erreichbarkeit und Geschwindigkeit werden wiederholt nach einem festen Zeitplan gemessen. Die sichtbare Ausgangs-IP kontrolliert das System bei jedem Verbindungsaufbau.
  3. Der veröffentlichte Geschwindigkeitswert ist der Mittelwert aus bis zu 20 aktuellen, technisch nachvollziehbaren Messungen über einen deutschen Endpunkt. Ein einzelner Höchstwert bestimmt das Ergebnis nicht.
  4. DNS, IPv6 und WebRTC prüfen wir mit getrennten Browserwerkzeugen. Die bloße Erreichbarkeit einer Adresse gilt dabei nicht als Leak-Test.
  5. Für den Kill-Switch halten wir die normale Netzverbindung aktiv, unterbrechen nur den Tunnel und prüfen, ob Verkehr über die physische Schnittstelle entweicht.
  6. Richtlinien, Gerichtsstand, Eigentümer und Audit-Berichte bewerten wir als eigene Datenschutzprüfung. Technische Leistung und organisatorisches Vertrauen sind zwei verschiedene Fragen.

So lässt sich auch ein wichtiger Unterschied sichtbar machen: Ein Dienst kann schnell sein, aber DNS verlieren. Ein anderer kann technisch dicht sein, aber eine unklare Protokollierung betreiben. Beides gehört in einen ehrlichen Testbericht.

Worauf Sie bei der Auswahl achten sollten

Wählen Sie zuerst nach Ihrem Zweck. Für öffentliches WLAN und Reisen zählen ein systemweiter Kill-Switch, saubere DNS-Behandlung und stabile mobile Apps. Für hohe Datenraten sind nachvollziehbare Messungen mit WireGuard interessanter als eine bloße Serverzahl. Für sensible Nutzung wie Journalismus wiegen ein veröffentlichter Audit-Bericht, eine sparsame Kontoerstellung, transparente Eigentümer und eine belastbare No-Logs-Richtlinie besonders schwer.

Achten Sie außerdem auf IPv6-Unterstützung, Updates, offene Quelltexte und klare Angaben zu den verwendeten Protokollen. Formulierungen wie „militärische Verschlüsselung“ sagen wenig, solange der Anbieter nicht erklärt, welches Verfahren in welchem Modus eingesetzt wird. Kostenlose Angebote sind nicht automatisch unseriös, aber der Betreiber muss seinen Betrieb finanzieren. Fehlt eine verständliche Erklärung des Geschäftsmodells und der Datenverarbeitung, bleibt ein unnötiges Risiko.

Häufige Irrtümer und Grenzen

„Mit VPN sieht mich niemand mehr.“ Falsch. Websites können Konten, Cookies und Fingerprints verwenden. Der VPN-Anbieter sieht den Tunnel, Ihr Internetanbieter sieht die Verbindung zum VPN.

„HTTPS macht ein VPN überflüssig.“ HTTPS schützt den Inhalt einer Verbindung zu einer Website. Ein VPN schützt zusätzlich Routing und DNS bis zum VPN-Server und kann andere Apps einbeziehen. Die Werkzeuge lösen unterschiedliche Probleme.

„Ein Server in Deutschland ist immer schneller.“ Nähe hilft bei der Latenz, garantiert aber keinen hohen Durchsatz. Anbindung, Auslastung, Protokoll und die Strecke zwischen Netzen spielen ebenfalls mit.

„Der VPN-Modus im Browser schützt das ganze Gerät.“ Häufig nicht. Prüfen Sie mit einer zweiten App oder dem IP-Check, ob der Tunnel systemweit arbeitet.

Quellen