Wenn du diesen Monat ein VPN wählen willst, dann hör auf, nach Sternen im Play Store zu sortieren. Die Bewertungen sagen nichts über den Betreiber deines Ausgangsknotens aus, und genau dort entscheidet sich, ob dein Datenverkehr geschützt oder verkauft wird. Ein funktionierender Gratis-Tunnel ist kein Geschenk, sondern ein Geschäftsmodell mit Bandbreitenlimit.
Der eigentliche Preis wird nicht in Euro abgerechnet, sondern in Navigationsmetadaten, DNS-Anfragen und Sitzungsprofilen, die an Broker weitergehen. Wer ein VPN wählen will, muss zuerst verstehen, wer am anderen Ende der Leitung sitzt.
Was kostenlose VPN-Server mit deinem HTTPS-Verkehr wirklich machen
Der unangenehme Teil, der in keiner Datenschutzerklärung steht: Ein großer Teil der Gratis-Apps im Play Store finanziert die Infrastruktur über JavaScript-Injection-SDKs. Die schreiben TLS-Zertifikate auf Ebene eines lokalen Proxys um und entschlüsseln deinen HTTPS-Verkehr, profilieren ihn und verschlüsseln ihn neu.
In der Praxis heißt das: ein Vermittler sitzt zwischen dir und der Website. Dein Browser meldet trotzdem brav das Schloss, weil das Zertifikat technisch gültig ist – nur eben nicht von der Website, sondern von der Zwischenstelle ausgestellt. Ein kostenloses VPN ist kein Tunnel, sondern ein Man-in-the-Middle, dem du freiwillig Zugriff auf alles gibst, was du tippst.
Warum das Schloss im Browser nichts beweist
Auf dem Desktop ist die Sache trivial: Ein Proxy installiert eine eigene Root-CA im Systemstore, fertig. Auf Android läuft es über die VpnService-API plus ein Nutzer-Zertifikat. Und hier kommt die Nuance, die viele falsch erzählen: Moderne Apps ignorieren Nutzer-CAs seit Android 7 – Chrome auf Android tut das aber nicht. Deshalb funktioniert die Entschlüsselung im Browser trotzdem.
Der 10-Sekunden-Test, den du sofort machen kannst: Klick auf das Schloss, öffne das Zertifikat und schau auf den Aussteller. Steht dort Let’s Encrypt, DigiCert oder GlobalSign – alles normal. Steht dort irgendein Fantasiename, eine seltsame Zwischen-CA oder der Name einer App, die du installiert hast, dann ist dein VPN-Server kein Tunnel, sondern eine Auslesestelle.
Der ehrliche Filter: wem gehört die ASN?
Was einen legitimen Tunnel von einem kommerziellen Honeypot trennt, ist nicht die schöne Privacy-Policy, sondern das Eigentum am Autonomen System. Gehört die Ausgangs-IP zu einem generischen Hoster ohne eigene RPKI-Einträge, sitzt du auf einem instrumentalisierten Ausgangsknoten – oft ein gemieteter Container, der am nächsten Tag schon jemand anderem gehört.
Idealerweise betreibt der Anbieter ein eigenes Netz mit gültigen ROA-Einträgen und ist in PeeringDB auffindbar. Das ist kein Heiligenschein und kein garantierter Schutz, aber es ist ein Filter, der rund zwei Drittel der Gratis-Apps sofort aussortiert. Wer ein VPN wählen will, sollte diesen Filter zuerst anwenden.
So prüfst du es selbst
Erst die sichtbare IP holen, dann die ASN dahinter: curl -s https://ifconfig.me und danach whois -h whois.cymru.com ‘ -v 1.2.3.4’ mit deiner IP. Vergleiche das Ergebnis mit deiner echten IP ohne Tunnel – die ASN muss sich unterscheiden, nicht nur das letzte Oktett.
Für DNS-Leaks reicht ein Blick auf die Auflösung: curl -s https://dnsleaktest.com | grep -oE ‘([0-9]{1,3}.){3}[0-9]{1,3}’ | head -1. Taucht dort die ASN deines Internetanbieters auf, läuft der DNS-Verkehr komplett am Tunnel vorbei.
WireGuard selbst hosten: die einzige Variante, bei der ich ruhig schlafe
Seit 2024 ist das Argument „Gratis-VPN ist langsamer, aber billiger” tot. Der Latenzunterschied zwischen einem selbst verwalteten WireGuard-Tunnel auf einer kostenlosen Oracle-Cloud-Instanz in Frankfurt und einem Premium-Dienst mit direktem Peering liegt unter 4 Millisekunden. Der Geschwindigkeitsvorteil, der Risiken bei Gratis-Diensten rechtfertigte, existiert nicht mehr.
- Binary laden: von wireguard.com, nicht aus einem App-Store, der das Paket mit Unternehmenszertifikaten signiert.
- Schlüssel erzeugen: wg genkey | tee privatekey | wg pubkey > publickey
- PersistentKeepalive: auf 25 Sekunden nur setzen, wenn dein Client hinter symmetrischem NAT hängt. Im Heimnetz mit Full-Cone-NAT auf 0 lassen, sonst erzeugst du Abfrageverkehr, der die Existenz des Tunnels verrät.
- MTU: 1420 als Startwert, bei PPPoE-Anschlüssen eher 1380 – sonst zerlegst du Pakete und wunderst dich über lahme Downloads.
Ein Punkt, den ich klar gegen die Selbstbau-Euphorie sage: Der Tunnel versteckt deinen Verkehr vor dem lokalen Anbieter, konzentriert aber deine komplette Navigation auf eine statische IP, die an ein per Bankkarte verifiziertes Cloud-Konto hängt. Anonymität und Transportschutz sind zwei verschiedene Dinge. Wer echtes Anonymitätsniveau will, zahlt bei Anbietern wie Mullvad bar oder in Krypto – ohne E-Mail-Adresse, ohne Namen.
Kostenloses VPN gegen bezahltes VPN: der Vergleich ohne Werbesprache
Der Unterschied liegt nicht im Preis, sondern darin, wer bezahlt. Bei Gratis-Diensten bist du das Produkt. Bei einem seriösen VPN Vergleich schaust du auf vier harte Kriterien, nicht auf das Logo.
- Verschlüsselung: AES-256 oder ChaCha20. Alles darunter ist Müll, PPTP ist seit Jahren gebrochen und gehört in kein Setup.
- Audit: Eine No-Logs-Policy ohne unabhängige Prüfung ist Marketing. Nur wenn eine Wirtschaftsprüfungsgesellschaft die Serverkonfiguration angeschaut hat, ist die Aussage etwas wert.
- Kill-Switch: Trennt die Verbindung, wenn der Tunnel fällt. Ohne das läuft dein Verkehr im Klartext weiter, während du nichts merkst.
- Jurisdiktion: Wo sitzt die Firma, wer muss wem Auskunft geben? Ein Anbieter in einer Überwachungsallianz schützt dich schlechter als einer in Panama oder Schweden – bei Mullvad stimmt wenigstens die Bargeld-Logik.
Bei den Bezahlten tauchen immer dieselben Namen auf, und das aus gutem Grund: NordVPN, ExpressVPN, Surfshark, Proton VPN und Mullvad haben alle unabhängige Audits hinter sich. Netzwerkgröße und Streaming-Fähigkeit sind nette Extras, aber sie sind nicht der Grund, warum ich sie empfehle. Der Grund ist die überprüfbare Infrastruktur.
VPN für Chrome: eine Erweiterung ist kein VPN
Browser-Erweiterungen verschlüsseln nur den Verkehr, den der Browser selbst erzeugt. Dein Mail-Client, Steam, Dropbox und der Update-Dienst im Hintergrund laufen weiter über deine echte Leitung. Wer nur Netflix-Regionen wechseln will, kommt damit durch. Wer sein Gerät schützen will, nicht.
Taugliche Erweiterungen: Proton VPN mit kostenloser Option und ehrlicher Firma im Rücken, Windscribe mit Tracker-Blocker und Datenlimit, TunnelBear für Einsteiger, Surfshark und NordVPN für Bestandskunden. Bei allen gilt: WebRTC-Leaks prüfen, sonst verrät dich deine echte IP trotz aktivem Tunnel.
Was ein VPN nicht löst
Phishing bleibt Phishing. Wenn du dein Passwort auf einer Fake-Seite eintippst, hilft dir der beste Tunnel nichts. Ein sicheres VPN schützt den Transportweg, nicht deine Entscheidungen. Dazu gehören eigene, einzigartige Passwörter pro Dienst, Zwei-Faktor-Authentifizierung und ein Passwortmanager – nicht als Ergänzung, sondern als Pflicht.
Und noch eine unbequeme Wahrheit: Jeder bezahlte Anbieter kennt deine echte IP und kann Aktivitäten mit deinem Abo verknüpfen. Vertrauen ist bei VPNs keine Nebensache, sondern die halbe Miete.
Was ich diesen Monat konkret machen würde
- Alle Gratis-VPNs vom Handy und aus Chrome werfen, Zertifikate im Systemstore prüfen und fremde Root-CAs löschen.
- Wenn du nur den Browser schützen willst: Proton VPN als Erweiterung, mehr braucht es nicht.
- Wenn du das ganze Gerät schützen willst: WireGuard selbst aufsetzen oder zu einem auditierten Bezahlanbieter greifen – nicht beides halbherzig.
- Nach dem Verbinden immer die ASN prüfen, nicht nur die IP. Wer die ASN nicht kontrolliert, kontrolliert gar nichts.
Wer diesen Monat ein VPN wählen muss und keine Zeit für Bastelarbeit hat, nimmt einen geprüften Bezahlanbieter und zahlt die fünf Euro. Wer die Zeit hat, baut sich seinen eigenen Tunnel und behält die Kontrolle über die Schlüssel. Was niemand machen sollte: eine kostenlose App installieren, die nach Zertifikaten fragt, und dann hoffen, dass schon alles gut geht.
