Was ist ein VPN und wie funktioniert es? Eine verständliche Anleitung

Ein VPN (Virtual Private Network) ist ein Dienst, der deinen Internetverkehr durch einen verschlüsselten Tunnel zu einem Server des VPN-Unternehmens schickt, der ihn dann an die Website oder App weiterleitet, die du nutzt. Dein Internetanbieter und das WLAN, in dem du dich befindest, sehen nur, dass du mit diesem Server verbunden bist, und die Websites sehen die IP-Adresse des Servers statt deiner eigenen.

Das ist durchaus nützlich, aber deutlich weniger, als die Werbung verspricht. Ein VPN macht dich nicht anonym, verhindert das meiste Tracking nicht und schützt dich nicht vor Betrug. Es verlagert nur die Möglichkeit, deinen Datenverkehr zu sehen, von einem Unternehmen (deinem Internetanbieter) zu einem anderen (dem VPN-Anbieter). Dieser Ratgeber erklärt, wie es funktioniert, was es vor wem verbirgt, welche Funktionen wichtig sind, was es nicht kann und wie du eines auswählst, wenn du dich dafür entscheidest.

Wie funktioniert ein VPN?

Dein Gerät verschlüsselt alles, was es sendet, und verpackt es in Pakete, die an den VPN-Server adressiert sind. Der Server entpackt und entschlüsselt sie, leitet deine Anfragen unter seiner eigenen IP-Adresse ins Internet weiter und verschlüsselt die Antworten auf dem Rückweg zu dir.

Der Leitfaden Surveillance Self-Defense der EFF erklärt es einfach: Mit einem VPN „scheinen alle Daten, die du sendest (etwa die Anfragen an Server beim Surfen), vom VPN selbst auszugehen“, so das Modul zur Auswahl eines VPN¹. Schritt für Schritt:

1. Du verbindest dich. Die VPN-App auf deinem Smartphone oder Computer und der VPN-Server weisen sich gegenseitig aus und vereinbaren neue Verschlüsselungsschlüssel. Die Regeln dafür sind das VPN-Protokoll, zum Beispiel WireGuard oder OpenVPN (siehe WireGuard vs. OpenVPN).
2. Dein Datenverkehr geht in den Tunnel. Die App leitet den Internetverkehr deines Geräts in eine virtuelle Netzwerkschnittstelle. Jedes Paket wird verschlüsselt und in ein neues Paket verpackt, das an den VPN-Server adressiert ist. Wer dazwischen mitschaut, sieht nur verschlüsselte Daten, die an eine Adresse gehen.
3. Der Server leitet ihn weiter. Am VPN-Server wird dein Datenverkehr entschlüsselt und an sein eigentliches Ziel weitergeleitet. Die Website sieht eine Anfrage von der IP-Adresse des VPN-Servers.
4. Die Antworten kommen auf demselben Weg zurück. Die Website antwortet dem VPN-Server, der die Antwort verschlüsselt und durch den Tunnel an dich schickt.

Der Name „Virtual Private Network“ stammt aus der Unternehmenswelt, wo dieselbe Technik Mitarbeitern erlaubt, von zu Hause auf die internen Systeme ihrer Firma zuzugreifen, als säßen sie im Büro. Consumer-VPNs übernehmen die Idee, verbinden dich aber nicht mit einem Firmennetz, sondern über den Server eines anderen mit dem offenen Internet.

Was verbirgt ein VPN, und vor wem?

Es verbirgt die besuchten Seiten vor dem lokalen Netzwerk und deinem Internetanbieter und deine echte IP-Adresse vor den Seiten, die du besuchst. Vor dem VPN-Unternehmen selbst verbirgt es nichts und vor Seiten, bei denen du dich anmeldest, nur wenig.

Die letzte Zeile ist die wichtigste. In den Worten der EFF: „Ein VPN verbirgt deine Browserdaten zwar vor deinem Internetanbieter, aber der VPN-Anbieter kann alles einsehen.“ Deshalb kommt es bei jedem VPN vor allem darauf an, wer es betreibt, wo, und welche Belege es dafür gibt, dass keine Logs gespeichert werden. Deshalb vergleicht diese Seite Anbieter auch anhand von Audits und Erfahrungswerten statt anhand von Funktionen: Sieh dir die Vergleichstabelle und unseren Leitfaden zum Überprüfen eines No-Logs-Versprechens an.

HTTPS, das Schloss in der Adressleiste deines Browsers, verschlüsselt die Inhalte der meisten Webseiten zwischen dir und der Seite bereits, egal ob du ein VPN nutzt oder nicht. Laut den Verbraucherhinweisen der FTC „verwenden die meisten Websites Verschlüsselung, um deine Daten zu schützen“, und „wegen der weiten Verbreitung von Verschlüsselung ist die Verbindung über ein öffentliches WLAN in der Regel sicher“, so der Ratgeber zu öffentlichem WLAN². Was HTTPS vor dem Netzwerk nicht verbirgt, ist, mit welchen Seiten du dich verbindest. Ein VPN tut das.

Wie funktioniert die VPN-Verschlüsselung?

Moderne VPN-Protokolle nutzen dieselbe Art gut erforschter öffentlicher Kryptografie wie sichere Websites und Messenger: einen Schlüsselaustausch, um geheime Schlüssel zu vereinbaren, dann eine schnelle symmetrische Verschlüsselung für den Datenverkehr selbst, mit einer Prüfung jedes Pakets, um Manipulationen zu erkennen.

WireGuard, das Protokoll, das die meisten Anbieter inzwischen standardmäßig verwenden, legt seine Verfahren fest, statt sie auszuhandeln: Das Whitepaper⁴ beschreibt Curve25519 für den Schlüsselaustausch und ChaCha20Poly1305 für die Verschlüsselung und Authentifizierung der Pakete, übertragen per UDP. OpenVPN nutzt TLS, dieselbe Protokollfamilie, die HTTPS absichert. Beide sind stark genug, dass kein vernünftiger Angreifer die Verschlüsselung angreift; die realistischen Schwachstellen sind die Software drumherum, der Server und das Unternehmen dahinter.

Du musst die Mathematik nicht verstehen. Prüfen solltest du, ob der Anbieter ein gängiges Protokoll verwendet (WireGuard, OpenVPN, IKEv2 oder ein eigenes Protokoll, das veröffentlicht und unabhängig geprüft wurde) und nichts Geheimes. Die US-amerikanische National Security Agency und die CISA haben in ihren Leitlinien von 2021 zur Auswahl und Härtung von VPNs³ für Organisationen dazu geraten, standardbasierte statt proprietärer Produkte zu wählen.

Was sind IP-Adressen und DNS, und warum sind sie wichtig?

Deine IP-Adresse ist die Nummer, über die das Internet Daten an dich zurückschickt, und sie verrät deinen Internetanbieter und ungefähr, wo du dich befindest. DNS ist die Abfrage, die einen Namen wie example.com in eine IP-Adresse umwandelt. Ein VPN sollte beides abdecken, sonst gibt es ein Leck.

Wenn eine Website die IP-Adresse des VPN-Servers sieht, kann sie nicht erkennen, von welchem Haushalt oder Handy die Anfrage kam, und ihre Schätzung deines Standorts wird zum Standort des Servers. So kannst du mit einem VPN so erscheinen, als wärst du in einer anderen Stadt oder einem anderen Land.

DNS ist das unauffälligere Problem. Jedes Mal, wenn du eine Seite öffnest, fragt dein Gerät zuerst einen DNS-Server, wo sie zu finden ist. Gehen diese Abfragen statt durch den Tunnel an deinen Internetanbieter (ein „DNS-Leck“), bekommt dein Anbieter trotzdem eine Liste der Seiten, die du besuchst. Seriöse VPN-Apps leiten DNS durch den Tunnel an die eigenen Resolver des Anbieters. Wenn du ein VPN manuell einrichtest, zum Beispiel auf einem Router, lohnt sich eine Kontrolle.

Was sind ein Kill Switch und Split Tunneling?

Ein Kill Switch blockiert deine Internetverbindung, wenn das VPN abbricht, damit nichts ungeschützt nach außen gelangt. Split Tunneling erfüllt die gegenteilige Aufgabe: Du kannst Apps oder Seiten auswählen, die das VPN umgehen.

• Kill Switch. VPN-Verbindungen brechen aus ganz gewöhnlichen Gründen ab: Ein Handy wechselt von WLAN zu mobilen Daten, ein Laptop wacht aus dem Ruhezustand auf, ein Server startet neu. Ohne Kill Switch läuft dein Gerät unbemerkt über deine normale Verbindung weiter. Mit Kill Switch stoppt der Datenverkehr, bis der Tunnel wieder steht. Wenn du ein VPN für die Privatsphäre statt aus Bequemlichkeit nutzt, schalte ihn ein.
• Split Tunneling. Manches funktioniert über ein VPN schlecht: Banking-Apps, die ausländische IP-Adressen markieren, Drucker und Smart-Home-Geräte in deinem eigenen Netzwerk, Videoanrufe, bei denen jede Millisekunde zählt. Split Tunneling schickt diese direkt los, während alles andere durch den Tunnel läuft. Das ist praktisch, bedeutet aber auch, dass diese Apps nicht geschützt sind.
• Multi-Hop. Manche Anbieter können dich über zwei Server leiten, oft in verschiedenen Ländern, sodass kein einzelner Server sowohl deine echte IP-Adresse als auch dein Ziel sieht. Das ist langsamer und vor allem nützlich, wenn du befürchtest, dass ein bestimmter Server überwacht wird.
• Obfuskation. Netzwerke in manchen Firmen, Schulen und Ländern blockieren VPNs. Obfuskationsmodi tarnen VPN-Verkehr als gewöhnlichen Webverkehr. Jeder Anbieter hat dafür seinen eigenen Namen.

Was kann ein VPN nicht?

Ein VPN macht dich nicht anonym, verhindert kein Tracking per Cookies, Logins oder Fingerprinting und schützt dich nicht vor Phishing, Betrug oder Malware. Es ändert, wer deine Verbindungen sehen kann, nicht, was du selbst preisgibst.

• Es ist keine Anonymität. Die EFF ist deutlich: „Ein VPN ist kein Werkzeug für Anonymität.“ Der Anbieter kennt deine echte IP-Adresse und meist deine Zahlungsdaten. Wenn du stärkere Anonymität willst, sagt die EFF: „Tor ist eine bessere Lösung als ein VPN.“
• Es verhindert das meiste Tracking nicht. Der gleiche EFF-Leitfaden¹ hält fest: „Es gibt viele andere Wege, wie Unternehmen dich tracken können, darunter GPS, Web-Cookies, Tracking-Pixel oder Fingerprinting.“ Wenn du bei Google, Facebook oder Amazon eingeloggt bist, wissen die, dass du es bist, egal welche IP-Adresse du verwendest. Ein Browser oder eine Erweiterung mit Tracker-Blockierung bringt hier mehr als ein VPN.
• Es stoppt keine Betrügereien. Die FTC warnt, dass Betrüger „gefälschte Websites erstellen und verschlüsseln, damit du denkst, sie seien sicher, obwohl sie es nicht sind.“ Eine Phishing-Seite funktioniert über ein VPN genauso gut.
• Es ersetzt keine grundlegende Sicherheit. Software-Updates, ein Passwortmanager, individuelle Passwörter und Zwei-Faktor-Authentifizierung schützen dich vor weit mehr der Angriffe, mit denen normale Menschen tatsächlich zu tun haben.
• Es stellt dich nicht über das Gesetz. Die EFF weist darauf hin, dass „je nach Rechtsordnung eine Regierung diese Daten verlangen oder per Vorladung anfordern kann“ und dass Anbieter „auch dem Druck von Regierungen oder Strafverfolgungsbehörden ausgesetzt sein können, Informationen herauszugeben.“

Was ist der Unterschied zwischen einem Firmen-VPN und einem Verbraucher-VPN?

Ein Firmen-VPN verbindet dich mit dem privaten Netzwerk deines Arbeitgebers, damit du interne Systeme nutzen kannst; ein Verbraucher-VPN verbindet dich über die Server des Anbieters nach außen ins öffentliche Internet. Sie nutzen ähnliche Technik für gegensätzliche Zwecke.

Die CISA sagt, dass VPN-Server für den Fernzugriff „externen Nutzern erlauben, in geschützte Netzwerke zu tunneln“, in ihrer Warnmeldung zu den Leitlinien von NSA und CISA³. Wenn das VPN deines Arbeitgebers aktiv ist, kann das Netzwerk deines Arbeitgebers deinen Datenverkehr in der Regel so sehen, wie es dein Internetanbieter normalerweise tut, also betrachte es nicht als privat. Ein Verbraucher-VPN wie Proton VPN, Mullvad oder NordVPN ist ein eigenes Produkt, das du bezahlst (oder in einem kostenlosen Tarif nutzt), um dein Surfverhalten vor deinem eigenen Netzwerk und Anbieter zu verbergen.

Rechtsanspruch?

In den meisten Ländern, einschließlich der USA, ist die Nutzung eines VPN legal. Manche Regierungen schränken sie ein oder verbieten sie, und was ohne VPN illegal ist, bleibt es auch mit einem. Nichts hier ist Rechtsberatung.

Die EFF rät, sich über die „Regelungen einzelner Länder zu VPNs (etwa VPN-Verbote)“ zu informieren, wenn du reist oder dort lebst, wo das Internet zensiert wird. Unabhängig davon verbieten viele Streamingdienste in ihren Nutzungsbedingungen, per VPN auf den Katalog eines anderen Landes zuzugreifen, und sperren VPN-Server aktiv; das ist eher eine Vertragsfrage als eine strafrechtliche, kann aber zur Sperrung eines Kontos führen. Unser Leitfaden zu VPNs fürs Streaming erklärt, was das praktisch bedeutet, und VPNs fürs Torrenting erklärt, warum ein VPN am Urheberrecht nichts ändert.

Was macht ein VPN nicht?

Viele Menschen brauchen keins. Sinnvoll ist es, wenn du regelmäßig Netzwerke nutzt, denen du nicht traust, nicht willst, dass dein Internetanbieter sieht, welche Seiten du besuchst, oder wenn Seiten einen anderen Standort sehen sollen. Es ist kein allgemeines Werkzeug für „sicher im Netz“.

Unsere ausführliche Antwort, mit den Situationen, in denen es hilft und in denen nicht, findest du in Brauche ich ein VPN?. Wenn es dir um die Kosten geht, lies Kostenlose vs. bezahlte VPNs und unsere Liste kostenloser VPNs, die sich lohnen.

Wie wähle ich ein VPN aus?

Wähle erst das Unternehmen, dann die Funktionen. Achte auf ein benanntes, unabhängiges No-Logs-Audit, das du nachlesen kannst, einen klaren Eigentümer und Rechtssitz, eine nachprüfbare Erfolgsbilanz, ein gängiges Protokoll und Rückerstattungsbedingungen, die du verstehst.

• Frag, womit es Geld verdient. Die EFF schlägt vor zu fragen: „Wenn das VPN seinen Dienst nicht verkauft, wie hält es dann sein Geschäft am Laufen?“ Kostenlose VPNs ohne erkennbares Geschäftsmodell sind die riskanteste Sorte.
• Lies die Datenschutzerklärung. Die EFF warnt: „Ein VPN-Unternehmen speichert möglicherweise deine Daten, wenn es das in seiner Datenschutzerklärung nicht ausdrücklich ausschließt.“
• Suche nach Belegen, nicht nach Slogans. Audits durch benannte Firmen, Polizeirazzien oder Gerichtsverfahren, die nichts ergeben haben, und ein ehrlicher Umgang mit Sicherheitsvorfällen. Unsere No-Logs-Übersicht bewertet Anbieter genau danach.
• Prüfe den echten Preis. Die Preise in der Werbung setzen meist einen im Voraus bezahlten Ein- oder Zweijahrestarif voraus und steigen bei der Verlängerung. Siehe die günstigsten vertrauenswürdigen VPNs.

Wenn du dich zwischen den großen Namen entscheiden willst, vergleichen unsere Duelle die Anbieter direkt: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN und Mullvad vs Proton VPN.