Was ein VPN schützt
Ein VPN bietet in klar definierten Bereichen soliden Schutz. Hier ist es wirklich effektiv:
Verschlüsselung deines Datenverkehrs
Ohne VPN wird dein Internet-Traffic zwar oft durch HTTPS verschlüsselt, aber Metadaten – welche Seiten du wann besuchst – sind für deinen Internetanbieter sichtbar. Ein VPN verschlüsselt den gesamten Datenverkehr in einem Tunnel, sodass weder dein ISP noch Dritte im selben Netzwerk sehen können, was du tust.
IP-Verschleierung
Websites sehen statt deiner echten IP-Adresse die des VPN-Servers. Das verhindert standortbasiertes Tracking und Geo-Blocking. Werbeanbieter können kein Profil anhand deiner IP erstellen, solange du das VPN nutzt.
Schutz vor ISP-Tracking
Dein Internetanbieter kann protokollieren, welche Domains du aufrufst – selbst wenn die Verbindungen per HTTPS gesichert sind. Ein VPN macht diese Beobachtung unmöglich: Der ISP sieht nur, dass du ein VPN verwendest, und den verschlüsselten Datenstrom zum VPN-Server.
Sicherheit in öffentlichen WLANs
Offene WLAN-Netze in Cafés, Hotels oder Flughäfen sind ein bekanntes Angriffsziel. Angreifer können unverschlüsselte Verbindungen abfangen (Man-in-the-Middle-Angriffe). Ein VPN verschlüsselt deinen Traffic vollständig, sodass abgefangene Datenpakete für Angreifer wertlos sind.
| Bedrohung | VPN schützt? |
|---|---|
| ISP sieht besuchte Seiten | Ja, vollständig |
| IP-basiertes Tracking | Ja, vollständig |
| Geo-Blocking und Ländersperren | Ja, vollständig |
| Abhören im öffentlichen WLAN | Ja, weitgehend |
| Browser-Fingerprinting | Nein |
| Cookie-Tracking | Nein |
| Eingeloggte Accounts (Google, Facebook) | Nein |
| Malware und Viren | Nein |
| Phishing-Angriffe | Nein |
Was ein VPN nicht schützt
Hier werden viele Nutzer von der VPN-Werbung in die Irre geführt. Diese Bedrohungen bleiben auch mit VPN bestehen:
Browser-Fingerprinting
Moderne Websites können deinen Browser anhand einer Kombination aus Faktoren eindeutig identifizieren, ohne eine IP-Adresse zu kennen: Bildschirmauflösung, installierte Schriftarten, Browser-Version, Zeitzone, Spracheinstellungen, Hardware-Konfiguration. Diese sogenannte "Browser-Fingerprinting"-Technik ist so präzise, dass viele Nutzer damit zuverlässig erkannt werden – auch wenn sie ihre IP ändern.
Cookies und Tracking-Pixel
Wenn du auf einer Website Cookies akzeptierst, wird ein eindeutiger Identifikator in deinem Browser gespeichert. Beim nächsten Besuch – auch mit neuer IP – erkennt die Website dich sofort. Werbeanbieter wie Google und Meta betreiben webseitenübergreifendes Tracking über ihre Werbenetzwerke, das vollständig IP-unabhängig funktioniert.
Eingeloggte Accounts
Bist du bei Google, Facebook, Amazon oder einem anderen Dienst eingeloggt, kennt dieser Dienst deine Identität – vollständig und unabhängig von deiner IP. Ein VPN hilft hier gar nicht: Der Dienst weiß, wer du bist, weil du dich angemeldet hast.
Malware und Viren
Ein VPN ist kein Antivirenprogramm. Es verschlüsselt deine Verbindung, überprüft aber nicht die Inhalte. Wenn du eine infizierte Datei herunterlädst oder eine mit Malware verseuchte Website besuchst, bietet ein VPN keinen Schutz. Manche VPNs wie ProtonVPN bieten mit NetShield einen DNS-basierten Werbeblocker, der bekannte Malware-Domains blockiert – das ist aber kein vollständiger Ersatz für einen Virenscanner.
Social Engineering und Phishing
Die größte Schwachstelle in der Sicherheitskette ist der Mensch. Wirst du durch eine gefälschte E-Mail dazu gebracht, dein Passwort einzugeben, oder fällst du auf einen gefälschten Support-Anruf herein, hilft kein VPN der Welt.
Kommerzielle VPN vs. selbst gehostete
Es gibt grundsätzlich zwei Arten von VPNs, die sich stark in ihrer Sicherheitsphilosophie unterscheiden:
Kommerzielle VPN-Dienste (ProtonVPN, NordVPN, Mullvad usw.) betreiben eigene Server-Infrastruktur und verwalten die VPN-Verbindung für dich. Du vertraust darauf, dass der Anbieter ehrlich ist und keine Logs speichert. Bei seriösen Anbietern mit unabhängigen Audits ist dieses Vertrauen gut begründet – aber du kannst es nicht selbst überprüfen.
Selbst gehostete VPNs (z.B. WireGuard auf einem eigenen Server) geben dir vollständige Kontrolle. Allerdings: Du vertraust dann dem Cloud-Anbieter (Hetzner, DigitalOcean usw.), und deine IP ist viel leichter auf dich zurückzuführen, weil du der einzige Nutzer bist. Für die meisten Nutzer ist ein kommerzieller Anbieter die bessere Wahl.
Wie sicher ist ProtonVPN konkret?
ProtonVPN hebt sich durch mehrere konkrete Sicherheitsmerkmale von der Konkurrenz ab:
- AES-256-Verschlüsselung: Der Goldstandard der Datenverschlüsselung, der auch von Militär und Behörden eingesetzt wird
- WireGuard-Protokoll: Modernes, schnelles und kryptographisch überlegenes Protokoll, vollständig auditiert
- Vollständig Open Source: Alle Apps (Windows, Mac, iOS, Android, Linux) sind auf GitHub einsehbar
- Schweizer Recht: Keine Verpflichtung zur Datenweitergabe an ausländische Behörden ohne Schweizer Rechtshilfe
- Unabhängige No-Log-Audits: Regelmäßige Prüfungen durch externe Sicherheitsunternehmen wie Securitum
- Kill Switch: Trennt die Internetverbindung sofort, wenn das VPN abbricht – verhindert IP-Leaks
- Secure Core: Traffic wird über mehrere Länder geleitet für doppelte Absicherung
ProtonVPN wurde bereits mehrfach mit echten Behördenanfragen konfrontiert. In allen dokumentierten Fällen konnte das Unternehmen keine Nutzerdaten herausgeben – weil keine existierten.
Wann VPN ausreichend ist
Für die überwiegende Mehrheit der Nutzer ist ein gutes VPN ein ausreichender Schutz für die alltäglichen Bedürfnisse:
- Du willst im öffentlichen WLAN sicher surfen
- Du möchtest nicht, dass dein ISP dein Surfverhalten protokolliert
- Du möchtest Geo-Sperren und regionsbasierte Inhaltsblockaden umgehen
- Du willst weniger zielgerichtete Werbung basierend auf deinem Standort
- Du reist und möchtest auf deutsche Mediatheken zugreifen
Wann mehr nötig ist
Es gibt Situationen, in denen ein VPN allein nicht ausreicht:
Journalisten und Aktivisten in Risikoländern: In Ländern mit staatlicher Internet-Überwachung oder repressiven Regierungen kann ein VPN allein zu wenig sein. Experten empfehlen hier die Kombination VPN + Tor-Browser. Das Tor-Netzwerk anonymisiert Traffic über mehrere Zwischenstationen und macht Rückverfolgung extrem schwierig.
Hochsensible Kommunikation: Für vertrauliche Gespräche ist ein Ende-zu-Ende-verschlüsselter Messenger wie Signal unverzichtbar – ein VPN schützt nicht den Inhalt von Nachrichten, die über ungesicherte Kanäle laufen.
Komplexe Angreifer (State-Level): Wer staatliche Geheimdienste als Bedrohungsmodell hat, braucht ein deutlich umfassenderes Sicherheitskonzept als ein kommerzielles VPN.
Ein gutes VPN wie ProtonVPN schließt reale Sicherheitslücken, die ohne VPN offen wären. Es ist kein Ersatz für gesunden Menschenverstand, gute Passwörter und aktuelle Software – aber als Teil eines Sicherheitskonzepts ist es für normale Nutzer eine der wirksamsten Maßnahmen.
VPN-Verschlüsselung im Detail: Was AES-256 und Perfect Forward Secrecy bedeuten
VPN-Anbieter werben oft mit „militärischer Verschlüsselung" und „AES-256". Was steckt wirklich dahinter – und warum ist die Verschlüsselung allein nicht die ganze Geschichte?
AES-256-GCM: Der Goldstandard
AES-256-GCM (Advanced Encryption Standard mit 256-Bit-Schlüssel im Galois/Counter Mode) ist der am weitesten verbreitete symmetrische Verschlüsselungsalgorithmus für VPNs. Er gilt bis heute als rechnerisch nicht brechbar: Mit aktuellem und absehbarem zukünftigem Hardware-Einsatz würde ein Brute-Force-Angriff auf einen AES-256-Schlüssel mehr Zeit benötigen als das Universum alt ist. GCM liefert dabei zusätzlich zur Verschlüsselung eine kryptographische Authentifizierung (AEAD), die sicherstellt, dass Pakete nicht unbemerkt manipuliert werden können.
Perfect Forward Secrecy (PFS)
Perfect Forward Secrecy ist ein Mechanismus, der sicherstellt, dass kompromittierte langfristige Schlüssel nicht zum Entschlüsseln vergangener Sitzungen genutzt werden können. Statt einen einzigen dauerhaften Schlüssel zu nutzen, handeln Client und Server für jede Sitzung einen neuen, ephemeren Schlüssel aus – typischerweise über Diffie-Hellman-Schlüsselaustausch. ProtonVPN setzt PFS bei allen Protokollen ein: WireGuard erneuert Schlüssel alle 3 Minuten, OpenVPN standardmäßig jede Stunde.
Handshake und Authentifizierung
Bevor verschlüsselter Datenverkehr fließen kann, findet ein Handshake statt: Client und Server authentifizieren sich gegenseitig und handeln den Sitzungsschlüssel aus. OpenVPN nutzt dafür RSA- oder ECDSA-Zertifikate mit TLS; WireGuard setzt auf statische Public Keys (Curve25519), die zuvor sicher ausgetauscht wurden. ProtonVPN signiert seine Server-Schlüssel mit einer zentralen Certificate Authority, sodass Clients sicherstellen können, dass sie sich tatsächlich mit einem ProtonVPN-Server verbinden und nicht mit einem Man-in-the-Middle.
Was Verschlüsselung nicht schützt
Verschlüsselung schützt den Inhalt der Verbindung – nicht die Metadaten. Selbst mit aktivem VPN sind folgende Informationen potenziell sichtbar:
- Verbindungszeitpunkte und -dauer zum VPN-Server (für den ISP sichtbar)
- Datenmenge der übertragenen Pakete (Traffic-Analyse möglich)
- IP-Adressen der VPN-Server (kein Geheimnis, da öffentlich bekannt)
Für die überwiegende Mehrheit der Nutzer ist dies irrelevant. Für Hochrisiko-Szenarien kombiniert man VPN mit Tor, um auch die Verbindungsmetadaten zu verschleiern.