Wie funktioniert ein VPN?

So funktioniert ein VPN, in einem Diagramm

Die Folgen ergeben sich direkt aus dem Bild: Dein Provider kann deine Ziele nicht mehr lesen (er sieht einen einzigen verschlüsselten Strom); Websites sehen IP und Standort des Exit-Servers, nicht deine; und der VPN-Anbieter sitzt jetzt an der Stelle, an der früher dein Provider saß – er könnte alles sehen, was dein Provider sehen konnte. Ein VPN macht dich nicht anonym; es verschiebt dein Vertrauen von einer Firma zu einer anderen.

Die Fachbegriffe, übersetzt

• Tunnel / Tunnelprotokoll: die verschlüsselte Hülle. Aktuelle Wahl: WireGuard (schlank, schnell, derzeitiger Favorit) und OpenVPN (älter, praxiserprobt). Finger weg von PPTP – seit den 2000er-Jahren geknackt.
• Exit-Server / Endpunkt: die Stelle, an der dein Datenverkehr wieder ins offene Internet tritt – der Ort, an dem Websites dich vermuten.
• Kill Switch: blockiert allen Datenverkehr, sobald der Tunnel abreißt, damit beim Neuverbinden nichts über die ungeschützte Leitung nach außen dringt.
• DNS-Leck: Dein Gerät fragt den DNS-Server deines Providers „wo liegt example.com“ außerhalb des Tunnels – der Provider erfährt weiterhin jede Seite, die du besuchst. Gute Clients zwingen DNS durch den Tunnel.
• WebRTC-Leck: Die Echtzeit-Telefonie-Technik der Browser kann einer Website deine echte IP verraten, selbst wenn das VPN läuft; teste es, wenn es für dich wichtig ist.
• Split Tunneling: Nur ausgewählte Apps laufen über das VPN – praktisch, und die klassische Quelle für Verwirrung nach dem Muster „warum ist meine Banking-App gesperrt, mein Browser aber in Amsterdam“.
• No-Log-Richtlinie: ein Versprechen, keine Eigenschaft. Glaubwürdig wird sie erst durch unabhängige Audits und eine vor Gericht bestätigte Historie.
• Double VPN / Multi-Hop: zwei hintereinandergeschaltete Server; mehr Latenz, für die meisten Menschen ein minimaler Zugewinn an Privatsphäre.

Ist ein VPN immer sicher? Nein – hier die ehrliche Liste

• Bei „kostenlosen“ VPNs bist du das Produkt: Server kosten Geld; mehrere Gratis-Anbieter wurden dabei erwischt, Surfdaten zu verkaufen oder Werbung einzuschleusen – genau der Schaden, den ein VPN angeblich verhindert. Die Gratis-Tarife geprüfter Bezahlanbieter sind die Ausnahme, die die Regel bestätigt.
• Der Anbieter sieht die Metadaten deines Datenverkehrs. Ein unehrlicher oder behördlich gezwungener Anbieter ist ein Single Point of Failure. Rechtsraum und Audit-Historie zählen mehr als Marketing.
• HTTPS verschlüsselt die Inhalte längst. Das Schloss-Symbol bedeutet, dass dein Bank-Login mit oder ohne VPN verschlüsselt ist; das VPN ergänzt Privatsphäre in Sachen wer-du-bist/wo-du-bist, keine zusätzliche Verschlüsselung der Inhalte.
• Ein VPN stoppt kein Tracking, das an deiner Identität hängt: Melde dich bei deinem Konto an, und die Seite kennt dich unabhängig von der IP. Cookies und Browser-Fingerprinting (Bildschirmgröße, Schriftarten, GPU-Eigenheiten) überstehen den Tunnel vollständig.
• Schadsoftware, Phishing und Betrugsmaschen funktionieren über VPNs genauso gut. Es ist ein Werkzeug für Privatsphäre, kein Virenscanner.

Was sich im KI-Zeitalter ändert

Zwei Dinge, die in entgegengesetzte Richtungen ziehen. Erstens ist das Tracking eine Ebene höher gewandert: Modernes Profiling stützt sich auf Fingerprinting, seitenübergreifende Identitätsgraphen und KI-Modelle, die Nutzer an Verhaltensmustern wiedererkennen – Tipprhythmus, Mauskurven, Sitzungszeiten –, und nichts davon berührt ein Tunnel, der nur die IP verbirgt. Dass die Branche selbst von IP-basierter auf modellbasierte Zuordnung umgestiegen ist, gibt stillschweigend zu: Das VPN-förmige Loch in ihren Daten war verkraftbar. Zweitens hat KI den Wert noch des kleinsten Fetzens an Metadaten des Datenverkehrs erhöht, was deine Wahl des VPN-Anbieters gewichtiger macht: Du übergibst einer einzigen Firma ein vollständiges Verkehrsprotokoll – genau in dem Moment, in dem solche Protokolle zu erstklassigem Treibstoff für Training und Profiling geworden sind. Das Fazit für 2026: Ein seriöses, geprüftes VPN ist weiterhin das richtige Werkzeug gegen das Mitlesen durch den Provider, gegen feindliche WLANs und gegen Geoblocking – und weiterhin das falsche Werkzeug gegen kontobasiertes Tracking, Fingerprinting und KI-Profiling, wo Browser-Hygiene (Tracker blockieren, Logins in getrennten Containern, möglichst wenige Erweiterungen) die eigentliche Arbeit leistet.

So prüfst du, ob dein VPN wirklich läuft

1. IP-Test: Öffne Was ist meine IP – dort sollten Stadt und Anbieter des Exit-Servers stehen, nicht dein Provider.
2. Drei-Signale-Test: Starte Bin ich in einem VPN? – bei eingeschaltetem VPN willst du das Urteil „wahrscheinlich VPN“ (IP in der Exit-Stadt, Uhr und GPS zu Hause). Heißt es „kein Fingerabdruck“, läuft dein Datenverkehr womöglich gar nicht durch den Tunnel.
3. DNS-Leck-Test: Nutze den eingebauten Test deines Anbieters oder eine seriöse Seite für DNS-Lecks; jeder aufgeführte Resolver sollte zum VPN gehören, nicht zu deinem Provider.
4. Kill-Switch-Probe: Trenne bei aktivem Kill Switch das VPN mitten in einem Download – der Datenverkehr muss sofort stehen bleiben, nicht ungeschützt weiterlaufen.
5. WebRTC: Wenn es auf deinen Browser ankommt (Journalismus, sensible Arbeit), prüfe, ob WebRTC deine echte IP preisgibt; die meisten modernen VPN-Browsererweiterungen regeln das.

Dieser Leitfaden dient der Information, nicht der Rechtsberatung; die Zulässigkeit von VPNs und die Nutzungsbedingungen unterscheiden sich je nach Land und Netz.