Was ein VPN wirklich leistet und wovor es nicht schützt

VPNs werden als Zaubermantel verkauft: Knopf drücken und unsichtbar sein. Die Realität ist bescheidener und nützlicher: ein Tunnel, der drei konkrete Dinge tut, sie gut tut und dann aufhört. Wer diese Grenzen kennt, spart Geld für Abos und erspart sich böse Überraschungen im ungünstigsten Moment.

Wie der Tunnel funktioniert

Die VPN-App legt im System eine virtuelle Netzwerkschnittstelle an und leitet den gesamten Traffic des Geräts hinein. Die Pakete werden verschlüsselt und laufen als ein Strom zum Server, dort werden sie entschlüsselt und gehen auf normalem Weg zu den Websites, die Antworten kommen durch denselben Tunnel zurück. Das Schlüsselwort ist hier gesamter Traffic, vom Browser bis zu Hintergrunddiensten. Ein Proxy bedient die eingestellten Programme, der Tunnel erfasst das ganze System, auch Apps, die nichts von ihm wissen.

Drei ehrliche Funktionen

• Verschlüsselung bis zum Server. Das lokale Netz, vom Café-WLAN bis zu jedem Zwischenknoten, sieht einen einzigen verschlüsselten Strom zu einer Adresse. Welche Seiten Sie öffnen und was Sie senden, lässt sich daraus nicht entnehmen.
• Neue Adresse und neuer Standort. Websites sehen die Adresse des VPN-Servers: eine Seite aus einem anderen Land, Preise einer anderen Region, Zugang zu Ressourcen, die für Ihre Adresse gesperrt sind.
• Zugang zu einem privaten Netz. Die Firmenvariante: Ein Tunnel zum Büro macht Sie zum Teilnehmer des internen Netzes mit seinen Ressourcen. Das ist übrigens der ursprüngliche Sinn der Abkürzung: virtuelles privates Netzwerk.

Was ein VPN nicht tut

Jetzt beginnt die Zone der Werbeübertreibungen, und die sollte man Punkt für Punkt durchgehen. Anonymität: Websites erkennen Sie an Konten, Cookies und Browser-Fingerabdruck, eine neue Adresse ändert daran nichts. Schutz vor Viren und Phishing: Der Tunnel transportiert Bytes, ohne zu unterscheiden, ob sie nützlich oder schädlich sind, und eine gefälschte Login-Seite ist über VPN genauso gefährlich. Verschlüsselung „bis zum Ende": Der Tunnel endet am VPN-Server, danach läuft der Traffic wie gewohnt weiter, und sein Schutz hängt vom HTTPS der jeweiligen Website ab. Schließlich Vertrauen: Alles, was früher Ihr Provider sah, sieht jetzt der VPN-Betreiber. Sie haben den Beobachter nicht entfernt, Sie haben ihn gewählt, also wählen Sie bewusst.

VPN oder Proxy

Die Aufgabe entscheidet. Ein Tunnel passt für den persönlichen Schutz: ein Nutzer, das ganze Gerät, fremde Netze. Ein Proxy ist für Arbeitsabläufe gemacht: einzelne Programme, viele verschiedene Adressen, Automatisierung. Einen Scraper mit tausend Ausgängen baut man nicht über ein VPN, denn der Tunnel gibt dem Gerät eine Adresse. Und umgekehrt: Für den Laptop am Flughafen reicht ein Proxy nicht, er deckt den Traffic von Apps nicht ab, an die Sie nicht gedacht haben. Einen ausführlichen Vergleich nach Anfrageschritten gibt es im Artikel zur Arbeitsweise von Proxys, einen praktischen Überblick über Aufgaben im Text zum Zweck von Proxy-Servern.

Ein Wort zu Protokollen

Unter der Haube des Tunnels lebt ein Protokoll: Den modernen Standard WireGuard schätzt man für Tempo und Robustheit in Mobilfunknetzen, den Veteranen OpenVPN für Kompatibilität, IKEv2 für die schnelle Erholung beim Netzwechsel. Für den Nutzer läuft der Unterschied auf Tempo und Stabilität hinaus: Bietet der Client eine Wahl, beginnen Sie mit WireGuard. Die Mathematik der Verschlüsselung ist bei korrekter Einrichtung in allen dreien gleich zuverlässig.

Den Betreiber des Tunnels wählen

Da der gesamte Traffic über den VPN-Server läuft, wird die Identität des Serverbesitzers zur wichtigsten Eigenschaft des Produkts. Kostenlose Tunnel ohne Geschäftsmodell leben nach denselben Gesetzen wie kostenlose Proxys und Browser-Erweiterungen: Jemand bezahlt sie, meist mit Nutzerdaten. Für den Firmenzugang ist die Antwort klar: der Tunnel des Unternehmens. Für private Zwecke: ein Betreiber mit klarer Rechtsordnung, Bezahlmodell und Geschichte. Technisch Versierte setzen an einem Abend einen eigenen WireGuard-Server auf und lösen die Vertrauensfrage ganz, es bleibt die Frage der einen Adresse.

So prüfen Sie Ihren Tunnel

Öffnen Sie nach dem Verbinden die Seite zur IP-Ermittlung: Die Adresse muss zum VPN-Server gehören. Danach die Anonymitätsprüfung: Ein WebRTC-Leck und eine Zeitzone, die nicht zur Adresse passt, verraten Websites den Tunnel, und der Bericht zeigt beides sofort. DNS ist ein eigenes Thema: Namensanfragen müssen durch den Tunnel laufen und dürfen nicht beim lokalen Provider landen, sonst bleibt die Liste der besuchten Domains für das Netz sichtbar, vor dem Sie sich schützen wollten. Ein guter Client regelt das selbst, prüfen lässt es sich in derselben Anonymitätsprüfung anhand der Nameserver.

Eine kurze Formel zum Merken: Ein VPN ist ein verschlüsseltes Rohr mit neuer Adresse. Alles, was mehr verspricht als ein Rohr, prüfen Sie an der Schutzpraxis in fremden Netzen: Dort sieht man, welchen Teil der Arbeit der Tunnel erledigt und welchen die Gewohnheiten.