VPN einfach erklärt
Ein VPN ist eine geschützte Verbindung durch ein anderes Netzwerk, meist das öffentliche Internet. Auf einem Smartphone oder Computer übernimmt eine App die Datenpakete, verschlüsselt sie und sendet sie an einen VPN-Server. Erst dort verlassen die Daten den Tunnel und gehen zum eigentlichen Ziel weiter.
Für die besuchte Website kommt die Verbindung deshalb normalerweise vom VPN-Server. Ihr Internetanbieter sieht die Verbindung zum VPN-Endpunkt und Merkmale wie Zeitpunkt und Datenmenge, aber nicht ohne Weiteres die einzelnen Ziele innerhalb des verschlüsselten Tunnels.
Das ist keine Unsichtbarkeit. Sie verschieben einen Teil des Vertrauens vom Zugangsnetz zum VPN-Betreiber. Der Betreiber kontrolliert den Ausgang des Tunnels und häufig auch die verwendeten DNS-Resolver. HTTPS schützt den Inhalt zwischen Browser und Website zusätzlich, unabhängig vom VPN.
Der Datenweg Schritt für Schritt
Bei einer typischen Volltunnel-Verbindung passiert Folgendes:
- Die VPN-App wählt einen Server und authentisiert ihn kryptografisch.
- App und Server vereinbaren Sitzungsschlüssel.
- Das Betriebssystem legt eine virtuelle Netzwerkschnittstelle und passende Routen an.
- Ausgehende Datenpakete werden verschlüsselt und authentisiert durch den Tunnel transportiert.
- Der VPN-Server entfernt die äußere Schicht und leitet die ursprünglichen Pakete weiter.
- Antworten laufen zurück zum Server, durch den Tunnel und anschließend zur anfragenden App.
Die Authentisierung soll verhindern, dass sich ein fremder Server als Gegenstelle ausgibt. Die Verschlüsselung schützt Vertraulichkeit. Die Integritätsprüfung erkennt manipulierte Pakete. Moderne Protokolle kombinieren diese Aufgaben, statt nur den Inhalt unlesbar zu machen.
NIST beschreibt IPsec als Sicherheitskontrolle auf der Netzwerkschicht, die Kommunikation über IP-Netze schützt. WireGuard verfolgt dasselbe Grundziel mit einer kompakteren Protokollkonstruktion und ordnet öffentlichen Schlüsseln erlaubte Tunneladressen zu.
Was der Internetanbieter noch sieht
Ohne VPN kann der Zugangsprovider Zieladressen sehen und, abhängig von DNS- und TLS-Konfiguration, häufig Rückschlüsse auf aufgerufene Dienste ziehen. HTTPS verschlüsselt Seiteninhalte, Formulare und viele weitere Details, versteckt aber nicht automatisch sämtliche Verbindungsmetadaten.
Mit VPN sieht der Provider vor allem eine verschlüsselte Verbindung zu einer bestimmten Serveradresse. Er erkennt weiterhin:
- dass eine VPN-ähnliche Verbindung besteht
- wann sie beginnt und endet
- wie viele Daten übertragen werden
- welche Adresse der VPN-Endpunkt verwendet
Der VPN-Anbieter sieht dafür die Verbindung von Ihrer Anschlussadresse und den Ausgang zum Ziel. Bei HTTPS kann er den geschützten Seiteninhalt nicht einfach lesen, erhält aber betriebsbedingt Metadaten. Darum ist eine konkrete No-Logs-Richtlinie wichtiger als das Versprechen völliger Anonymität.
Die wichtigsten Einsatzfälle
Schutz in öffentlichen WLANs
Ein fremdes Netz wird damit nicht vertrauenswürdig, aber der Tunnel schützt den Datenweg bis zum VPN-Endpunkt. Das ist besonders sinnvoll in Hotel-, Flughafen- und Café-Netzen, deren Konfiguration Sie nicht kontrollieren. Unser Ratgeber Öffentliches WLAN sicher nutzen enthält eine praktische Checkliste.
Zugriff auf ein privates Netz
Ein Firmen-VPN verbindet ein verwaltetes Gerät mit internen Anwendungen. Ein selbst betriebenes VPN kann Smartphone oder Notebook mit dem Heimnetz verbinden. Bei einer FRITZ!Box ist dafür zum Beispiel WireGuard vorgesehen. Das ist ein anderer Zweck als ein kommerzieller Dienst: Der Tunnel endet zu Hause und nutzt anschließend Ihren eigenen Internetanschluss.
Weniger Einblick für das Zugangsnetz
Wer dem lokalen Netzbetreiber nicht offenlegen möchte, mit welchen Diensten eine Verbindung besteht, kann diese Information im Tunnel bündeln. Das ist auf Reisen und in fremden Netzen nützlich. Es ersetzt keine Ende-zu-Ende-Verschlüsselung der Anwendung.
Virtueller Standort
Die Adresse des Ausgangsservers kann einer anderen Region zugeordnet sein. Websites passen daraufhin Inhalte, Sprache oder Verfügbarkeit an. Geoblocking nutzt allerdings oft weitere Signale und kann bekannte VPN-Adressen sperren. Die rechtliche und vertragliche Einordnung erklärt Ist ein VPN legal?.
Volltunnel und geteilte Routen
Bei einem Volltunnel schickt das Gerät grundsätzlich den gesamten passenden Internetverkehr durch das VPN. Das ist die leicht verständliche Voreinstellung für öffentliche Netze. Lokale Geräte wie Drucker können je nach App trotzdem erreichbar bleiben oder absichtlich blockiert werden.
Bei geteiltem Routing nutzt nur ein ausgewählter Teil den Tunnel. Eine Firmen-App kann beispielsweise zum Unternehmensnetz laufen, während ein Videostream direkt über den Anschluss geht. Das spart Umwege, erhöht aber die Gefahr einer falschen Zuordnung. Wer geteilte Routen verwendet, sollte genau wissen, welche Apps, Zielnetze und DNS-Anfragen erfasst werden.
Welche Protokolle eine Rolle spielen
Das Protokoll legt fest, wie Schlüssel ausgehandelt, Pakete verpackt und Gegenstellen erkannt werden.
WireGuard verwendet eine festgelegte Auswahl moderner kryptografischer Bausteine und arbeitet über UDP. Der kleine Protokollkern erleichtert technische Prüfungen. Anbieter ergänzen eigene Systeme für Adressvergabe, Serverwechsel und Datenschutz. Details erklärt unser WireGuard-Glossar.
OpenVPN ist flexibel und weit verbreitet. Es kann über UDP oder TCP betrieben werden und bietet zahlreiche Konfigurationsmöglichkeiten. Diese Flexibilität verlangt eine saubere Auswahl von Verfahren und Parametern.
IKEv2 mit IPsec ist besonders in Betriebssystemen und Unternehmensumgebungen verbreitet. IPsec schützt Daten auf der Netzwerkschicht, während IKE die Schlüssel und Sicherheitsbeziehungen aushandelt.
Alte Verfahren wie PPTP erfüllen heutige Sicherheitsanforderungen nicht. Entscheidend ist jedoch nicht nur der Protokollname. App-Implementierung, Schlüsselverwaltung, Serverbetrieb, Updateprozess und sichere Voreinstellungen bestimmen das Gesamtrisiko.
Was ein VPN nicht schützt
Ein VPN löst ein klar begrenztes Problem: den geschützten Transport bis zu einem anderen Netzpunkt. Es schützt nicht automatisch vor:
- Phishing und betrügerischen Websites
- Schadsoftware und gefährlichen Downloads
- Kontodiebstahl durch schwache oder wiederverwendete Passwörter
- Cookies, eingeloggten Konten und Werbe-IDs
- Browser-Fingerprinting
- Daten, die Sie selbst in Formulare oder soziale Netzwerke eingeben
- einem kompromittierten Gerät
Der Inkognito-Modus ist ebenfalls kein Ersatz. Er reduziert vor allem lokal gespeicherte Verlaufsdaten. Websites und Netzbetreiber erhalten weiterhin Netzwerkmerkmale. Mit unserem Browser-Fingerprint-Test können Sie prüfen, welche Browsermerkmale neben der Adresse zur Wiedererkennung beitragen.
Kostenlose VPNs richtig einordnen
Kostenlos bedeutet nicht automatisch unsicher, und bezahlt bedeutet nicht automatisch vertrauenswürdig. Ein seriöser kostenloser Tarif kann durch kostenpflichtige Tarife finanziert und bei Datenmenge oder Serverauswahl begrenzt sein. Problematisch sind Geschäftsmodelle, die unklar bleiben, Werbung in Verbindungen einschleusen oder weitreichende Datennutzung erlauben.
Prüfen Sie bei jedem Angebot:
- Wer betreibt den Dienst und welche Gesellschaft ist Vertragspartner?
- Welche Konto-, Zahlungs-, Verbindungs- und Diagnosedaten entstehen?
- Ist die App nachvollziehbar gepflegt und erhält sie Sicherheitsupdates?
- Sind Datenschutzversprechen durch unabhängige Prüfungen oder technische Offenheit gestützt?
- Gibt es verständliche Preise, Laufzeiten und Verlängerungsbedingungen?
So prüfen Sie eine aktive Verbindung
Eine grüne Anzeige in der App beweist nur, dass die App ihren eigenen Zustand als verbunden bewertet. Prüfen Sie den sichtbaren Datenweg selbst:
- Öffnen Sie den IP-Check ohne VPN und notieren Sie Anbieter und Land.
- Verbinden Sie das VPN mit dem gewünschten Server.
- Laden Sie die Seite neu. Adresse und Zuordnung sollten sich ändern.
- Führen Sie den DNS-Leak-Test aus. Unerwartete Resolver Ihres Zugangsproviders sind ein Warnsignal.
- Prüfen Sie zusätzlich den IPv6-Leak-Test.
- Aktivieren und testen Sie den Kill Switch, bevor Sie sich auf ihn verlassen.
Ein einzelner erfolgreicher Test gilt nur für das geprüfte Gerät, Netzwerk, Protokoll und den Zeitpunkt. Wiederholen Sie ihn nach App-Updates, Serverwechseln und Änderungen am Router.
Wann sich ein VPN lohnt
Ein VPN ist sinnvoll, wenn Sie regelmäßig fremde Netze nutzen, einen sicheren Fernzugriff brauchen, Verbindungsziele gegenüber dem lokalen Netz bündeln möchten oder einen bestimmten Ausgangsstandort benötigen. Für jemanden, der ausschließlich im eigenen Netz moderne HTTPS-Dienste nutzt, kann der zusätzliche Nutzen kleiner sein.
Die richtige Frage lautet deshalb nicht „Braucht jeder ein VPN?“, sondern „Welches konkrete Risiko soll der Tunnel reduzieren?“ Wenn die Antwort klar ist, lassen sich Protokoll, Serverstandort, Datenschutz und Kosten passend bewerten.