Ist ein kostenloses VPN sicher? 9 Prüfungen vor der Installation

Ein VPN sieht jede Verbindung deines Smartphones. Genau dafür ist es da, und genau deshalb ist ein schlechtes VPN schlimmer als gar keins. Die gute Nachricht: Du musst kein Techniker sein, um sie auseinanderzuhalten. Diese neun Prüfungen dauern ein paar Minuten, und die meisten Antworten findest du auf der Website des Anbieters oder in seinem Google-Play-Eintrag.

Warum „kostenlos“ einen zweiten Blick verdient

Ein VPN kostet Geld: Server, Bandbreite, Menschen. Wenn du nicht zahlst, zahlt jemand anders, und die Frage ist, was er dafür bekommt. Das ist keine Theorie. Eine Untersuchung von 283 Android-Apps mit VPN-Berechtigung, vorgestellt auf der Internet Measurement Conference 2016, fand unsichere Tunnel, Apps, die DNS- und IPv6-Verkehr am Tunnel vorbei schickten, Apps mit Tracking-Bibliotheken und einige, die verschlüsselte Verbindungen aufbrachen. Die Studie steht unten in den Quellen.

Das macht nicht jedes Gratis-VPN gefährlich. Es heißt aber: Die App muss beweisen, dass sie vertrauenswürdig ist.

Die 9 Prüfungen

1. Wer bezahlt, und steht das irgendwo?

Such auf der Website nach einer klaren Antwort: ein Bezahltarif, der den kostenlosen finanziert, ein Sponsor, eigenes Geld des Projekts. „Wir sind kostenlos, weil uns deine Privatsphäre wichtig ist“ ist keine Antwort. Gar keine Antwort ist ein Warnsignal.

2. Was wird gespeichert, schriftlich und mit Fristen?

„Keine Logs“ auf einem Banner sagt wenig. Eine gute Datenschutzerklärung listet auf, was in welcher Form wie lange gespeichert wird, Zeile für Zeile. Unser Artikel Was „No-Logs“ wirklich bedeutet zeigt, worauf du achten solltest.

3. Gibt es ein erkennbares Unternehmen?

Name, Land, Anschrift und Impressum. Der Sitz entscheidet, welche Gerichte Daten anfordern können, und ein Unternehmen, das man findet, kann man auch beim Wort nehmen.

4. Enthält die App Werbe- oder Tracking-SDKs?

Werbe- und Analysebibliotheken in einer VPN-App sind ein schlechtes Zeichen: Die App, die deinen Verkehr schützt, sollte kein Profil von dir anlegen. Der Abschnitt Datensicherheit im Play-Eintrag zeigt, was die App erhebt und weitergibt; Werkzeuge, die Apps nach bekannten Trackern durchsuchen, können das bestätigen.

5. Welche Berechtigungen will sie?

Ein VPN braucht die VPN-Berechtigung von Android und Netzwerkzugriff. Es hat keinen Grund, deine Kontakte, Dateien oder SMS zu lesen. Fragt es nach dem Standort, muss es genau erklären, warum. Die VPN-Berechtigung selbst löst bei jeder VPN-App eine beunruhigend klingende Warnung von Android aus; unser Hilfeartikel zu dieser Berechtigung erklärt, was sie bedeutet.

6. Gibt es Lecks?

Verbinden, dann testen. Deine öffentliche IP sollte die des VPNs sein, dein DNS-Server ebenso, und IPv6 muss durch den Tunnel gehen oder gesperrt sein. Unser kostenloser IP- und WebRTC-Test zeigt im Browser, was Websites sehen.

7. Welches Protokoll?

WireGuard oder eine gut geprüfte Konfiguration von OpenVPN oder IPsec. Vorsicht bei „eigener Verschlüsselung“, die niemand von außen prüfen kann.

8. Gibt es einen Kill Switch?

Unter Android ist der zuverlässigste im System eingebaut: Durchgehend aktives VPN plus Verbindungen ohne VPN blockieren. Eine gute App erklärt dir, wie du beides einschaltest, statt einen eigenen Schalter zu versprechen, den das System nicht absichern kann.

9. Gibt es einen Transparenzbericht und einen Sicherheitskontakt?

Eine Seite, die Behördenanfragen und Missbrauchsmeldungen zählt, und ein Weg, Schwachstellen zu melden (eine Sicherheitsseite oder eine security.txt), zeigen, dass ein Anbieter mit Rechenschaft rechnet.

Wie PryVPN bei denselben Prüfungen abschneidet

Wir würden von anderen Apps etwas verlangen, das wir selbst nicht erfüllen, wenn wir das hier ausließen. Also hier unsere eigene Zeile, samt Lücken.

Einer der neun Punkte steht noch auf „noch nicht“. Das sollst du lieber vor der Installation wissen als danach.

Warnsignale, bei denen du aufhören solltest

• Keine Datenschutzerklärung, oder nur der Satz „Wir verkaufen deine Daten nicht“.
• Berechtigungen, die nichts mit dem Netzwerk zu tun haben.
• „Militärische Verschlüsselung“, „100 % anonym“ oder „unbegrenzt, am schnellsten, das beste“ ohne Belege.
• Ein APK zum Herunterladen von einer Website statt aus einem vertrauenswürdigen Store.
• Bewertungen, die die App loben, ohne je zu sagen, was sie tut.

Häufige Fragen

Sind kostenpflichtige VPNs automatisch sicherer?

Nein. Wer zahlt, nimmt dem Anbieter einen Grund, mit deinen Daten Geld zu verdienen, aber die anderen acht Prüfungen gelten weiter. Eine Bezahl-App mit Werbe-SDKs oder ohne schriftliche Fristen fällt genauso durch.

Ist ein Gratis-VPN im öffentlichen WLAN besser als keins?

Ein vertrauenswürdiges ja: Es verbirgt die besuchten Websites vor dem Netz. Ein unseriöses verlagert das Risiko nur vom Café-WLAN zu einer Firma, über die du nichts weißt. Unser Ratgeber zu öffentlichem WLAN erklärt, was das Netz sehen kann.

Kann ich die Tracker einer App selbst prüfen?

Teilweise. Der Abschnitt „Datensicherheit“ bei Google Play ist die Selbstauskunft des Entwicklers. Tracker-Scanner, die das App-Paket untersuchen, zeigen unabhängig davon, welche bekannten Bibliotheken enthalten sind.

Wenn PryVPN für dich genug dieser Prüfungen besteht, melde dich für die Beta an und sag uns, welche Lücke wir zuerst schließen sollen.

Einen Fehler entdeckt? Schreib uns an support@pryvpn.com. Wir korrigieren ihn und aktualisieren das Datum.