VPN protokolliert heimlich Daten – Warnung 2026

VPN und No-Logs 2026: Welche Daten dein Anbieter wirklich sehen kann

Lesezeit: ca. 13 Minuten · Stand: Juli 2026

Ein VPN verspricht genau eine Sache: Niemand sieht mehr, was du im Netz tust – nicht dein Provider, nicht die Werbenetzwerke, nicht der Betreiber des offenen WLANs im Café. Der verschlüsselte Tunnel leitet deinen Verkehr über einen fremden Server, deine echte IP-Adresse verschwindet hinter der des Anbieters. So weit die Theorie, und so weit stimmt sie auch. Das Problem sitzt an einer anderen Stelle: An dem Punkt, wo dein Datenverkehr den Tunnel verlässt, sitzt der VPN-Anbieter selbst. Und der sieht potenziell alles.

Damit verschiebst du dein Vertrauen nur. Vorher wusste dein Internetanbieter, welche Seiten du besuchst. Jetzt weiß es der VPN-Dienst – wenn er mitschreibt. Genau hier klafft die Lücke zwischen Marketing und Realität. Fast jeder kommerzielle Anbieter wirbt 2026 mit dem Schlagwort „No-Logs", als wäre das ein technischer Standard. Tatsächlich ist es ein Werbebegriff ohne feste Definition. Aktuelle VPN-Vergleichstests der Fachpresse zeigen, dass sich Dienste bei Tempo, Datenschutz und Prüf-Nachweisen erheblich unterscheiden – und dass ausgerechnet kostenlose Lösungen ihre Nutzer:innen den größten Risiken aussetzen. Wer schützt dich also vor dem, der dich schützen soll?

Dieser Ratgeber für vpnsafe.de sortiert die Faktenlage Juli 2026: Welche Daten ein VPN technisch überhaupt sehen kann, wie „No-Logs"-Versprechen in den AGB weichgespült werden, warum der Firmensitz über deinen tatsächlichen Schutz entscheidet und an welchen prüfbaren Kriterien du einen seriösen Dienst erkennst. Am Ende steht ein Selbsttest, mit dem du in fünf Minuten prüfst, ob dein aktueller VPN dicht ist. Ein Hinweis vorab: Das hier ist eine Einordnung der technischen und rechtlichen Lage, keine individuelle Rechts- oder Sicherheitsberatung für deinen konkreten Einzelfall.

Warum „No-Logs" oft ein Marketing-Versprechen ohne Substanz ist

„No-Logs" klingt nach einer Garantie. Es ist aber keine geschützte Bezeichnung und wird von keiner Behörde vergeben. Jeder Anbieter darf sich das Etikett selbst aufkleben, und die entscheidende Frage – welche Logs eigentlich nicht gespeichert werden – bleibt fast immer offen.

Aktivitäts-Logs, Verbindungs-Logs und Metadaten sind drei verschiedene Dinge

Wenn ein Dienst „keine Logs" behauptet, meint er in der Praxis meist nur die Aktivitäts-Logs: die konkrete Liste der besuchten Webseiten und der übertragenen Inhalte. Das ist der Teil, dessen Nicht-Speicherung am einfachsten zu versprechen ist. Darunter liegen aber zwei weitere Schichten. Verbindungs-Logs halten fest, wann du dich verbunden hast, wie lange, mit welchem Server und über welche IP-Adresse du eingewählt warst. Metadaten umfassen übertragene Datenmengen, genutzte Bandbreite und Zeitstempel. Ein Anbieter kann also wahrheitsgemäß „keine Aktivitäts-Logs" sagen und trotzdem genug Verbindungsdaten aufbewahren, um im Zweifel eine einzelne Sitzung einer Person zuzuordnen. Genau diese Zuordnung ist es, die bei behördlichen Anfragen zählt.

Wie vage Formulierungen in den AGB das Versprechen aushöhlen

Der Trick steckt im Kleingedruckten. Formulierungen wie „wir speichern keine Daten, die eine Identifizierung ermöglichen" oder „temporäre Verbindungsdaten zur Sicherstellung der Servicequalität" verschieben die Grenze genau dorthin, wo der Anbieter sie braucht. „Temporär" kann Minuten oder Wochen bedeuten. „Aggregiert" heißt oft, dass Rohdaten erst gesammelt und dann zusammengefasst werden – die Rohdaten existierten also. Deshalb gilt die Grundregel, die auch die seriöse Fachpresse zieht: Prüfe die Logging-Policy in der Praxis, nicht nur die Marketing-Aussage auf der Startseite. Was in der Werbung „No-Logs" heißt, steht in den Nutzungsbedingungen oft deutlich differenzierter. Wer nur die Landingpage liest, kauft ein Versprechen, das die AGB schon wieder relativieren. In unserem Überblick zu VPN-Datenpannen 2026 siehst du, wie oft genau diese Lücke zum Problem wurde.

Diese Daten sammeln VPNs wirklich

Verschlüsselung schützt den Inhalt deines Verkehrs auf dem Weg zwischen deinem Gerät und dem VPN-Server. Sie schützt dich aber nicht davor, dass der Server am Endpunkt Buch führt. Technisch fällt eine ganze Reihe von Daten an, die ein Anbieter mitschneiden könnte – ob er es tut, ist eine Frage seiner Konfiguration, nicht seiner Werbung.

IP-Adressen, Zeitstempel und Bandbreite als stille Mitschnitte

Damit die Verbindung überhaupt funktioniert, muss der Server deine eingehende IP-Adresse kennen. Ob er sie nach der Sitzung verwirft oder in einer Log-Datei behält, entscheidet allein der Betreiber. Dasselbe gilt für Zeitstempel von Verbindungsauf- und -abbau sowie für die übertragene Datenmenge. Einzeln wirken diese Werte harmlos. In Kombination werden sie zum Fingerabdruck: Ein Zeitstempel plus eine bekannte eingehende IP plus ein Datenvolumen reicht in vielen Fällen aus, um eine anonyme Verbindung nachträglich einer Person zuzuordnen. Diese Form der Korrelation ist der eigentliche Grund, warum Verbindungs-Logs so heikel sind – nicht der einzelne Datensatz, sondern die Verknüpfbarkeit.

DNS-Anfragen und Geräte-Fingerprints trotz Tunnel

Jede Webseite, die du aufrufst, beginnt mit einer DNS-Anfrage – der Übersetzung von „beispiel.de" in eine IP-Adresse. Ein VPN sollte diese Anfragen durch seinen eigenen verschlüsselten Tunnel und über eigene DNS-Server leiten. Tut es das nicht sauber, entsteht ein DNS-Leak: Deine Anfragen laufen weiter über den DNS-Server deines Internetanbieters, der damit trotz aktivem VPN sieht, welche Domains du ansteuerst. Der Tunnel ist dann zwar da, aber die Namensauflösung sickert daran vorbei. Hinzu kommt der Geräte-Fingerprint: Browser-Version, Bildschirmauflösung, installierte Schriftarten und Zeitzone ergeben ein Muster, das auch ohne IP-Adresse wiedererkennbar ist. Ein VPN maskiert die IP, aber nicht diesen Fingerprint – dagegen hilft nur der Browser selbst, etwa mit Anti-Fingerprinting-Funktionen. Wer wirklich weniger Datenspuren hinterlassen will, kombiniert das VPN deshalb sinnvollerweise mit trackingarmen Diensten, wie wir sie in unserer Übersicht zu Google-Alternativen 2026 vorstellen.

Kostenlose VPNs: Du bist das Produkt

Ein VPN-Betrieb kostet Geld – Server, Bandbreite, Wartung, Support. Wenn ein Dienst dauerhaft kostenlos ist und keine sichtbare Bezahlvariante hat, muss die Finanzierung woanders herkommen. In auffällig vielen Fällen kommt sie aus den Daten der Nutzer:innen. Die Fachpresse ist sich hier ungewöhnlich einig: Gratislösungen schneiden bei Datenschutz, Schutzwirkung und Zuverlässigkeit regelmäßig schlechter ab als bezahlte Dienste und setzen persönliche Informationen erhöhten Risiken aus.

Verkauf an Werbenetzwerke und Datenbroker

Das Geschäftsmodell mancher Gratis-Anbieter besteht darin, genau die Daten zu sammeln und weiterzugeben, vor denen ein VPN eigentlich schützen soll: Verbindungsprofile, besuchte Domains, ungefähre Standorte, Nutzungszeiten. Diese Profile wandern an Werbenetzwerke und Datenbroker, die daraus Zielgruppen bauen. Aus Datenschutzsicht ist das die Umkehrung des Versprechens – du zahlst nicht mit Geld, sondern mit exakt dem Gut, das du schützen wolltest. Das macht kostenlose VPNs nicht pauschal illegal, aber es macht die kritische Prüfung der Datenschutzerklärung zur Pflicht, bevor du dich einwählst.

Eingebettete Tracker und undichte Apps

Neben dem direkten Datenverkauf tauchen bei kostenlosen VPN-Apps immer wieder eingebettete Tracker und schlecht abgesicherte Verbindungen auf. Analysen von Gratis-Apps in der Vergangenheit fanden Third-Party-Tracker direkt im App-Code sowie Server ohne saubere Leak-Absicherung. Das Ergebnis: Die App, die deine Privatsphäre schützen soll, ist selbst eine Datenquelle. Vor diesem Hintergrund ist ein günstiger, aber bezahlter Dienst mit klarer Finanzierung fast immer die vernünftigere Wahl als ein vollständig kostenloses Angebot – welche Preisspannen 2026 realistisch sind und wo „günstig" nicht „unsicher" bedeutet, haben wir in unserem Kosten-Überblick zu günstigen und sicheren VPNs aufgeschlüsselt.

Gerichtsstand und Jurisdiktion: Warum das Land entscheidend ist

Ein technisch dichter VPN nützt wenig, wenn der Anbieter per Gesetz gezwungen werden kann, Daten herauszugeben oder heimlich aufzuzeichnen. Deshalb ist der juristische Sitz des Unternehmens kein Nebendetail, sondern ein Kernkriterium. Er bestimmt, welche Behörden welchen Zugriff verlangen dürfen.

5-, 9- und 14-Eyes-Allianzen und die Herausgabepflicht

Die sogenannten Eyes-Allianzen sind Geheimdienst-Kooperationen, in denen Staaten Überwachungsdaten austauschen. Der engste Kreis (5 Eyes) umfasst die USA, Großbritannien, Kanada, Australien und Neuseeland; erweiterte Verbünde (9 und 14 Eyes) kommen mit weiteren europäischen Staaten hinzu. Sitzt ein VPN-Anbieter in einem dieser Länder, kann er per gerichtlicher Anordnung zur Herausgabe vorhandener Daten verpflichtet werden – teils verbunden mit einem Verbot, die Nutzer:innen darüber zu informieren. Der springende Punkt: Herausgeben lässt sich nur, was gespeichert wurde. Ein Anbieter, der technisch nichts protokolliert, hat auf eine solche Anfrage schlicht nichts zu liefern. Genau deshalb hängen No-Logs-Architektur und Jurisdiktion zusammen – das eine ist ohne das andere nur die halbe Miete.

Warum Panama oder die BVI mehr Schutz bieten können

Anbieter mit Sitz in Ländern wie Panama oder den Britischen Jungferninseln (BVI) werben damit, außerhalb der Eyes-Verbünde und ohne gesetzliche Vorratsdatenspeicherung zu operieren. Das kann den behördlichen Zugriff tatsächlich erschweren. Ein Freibrief ist es nicht: Auch dort gelten Gesetze, und ein Firmensitz auf dem Papier sagt wenig über den realen Serverstandort und die reale Datenverarbeitung aus. Für dich als Nutzer:in in Deutschland kommt hinzu, dass hiesiges Recht ohnehin gilt. Die Verschlüsselung ändert nichts daran, dass rechtswidrige Handlungen strafbar bleiben – ein VPN ist kein Freibrief für rechtswidrige Inhalte. Der Jurisdiktions-Vorteil betrifft den Schutz vor pauschaler Überwachung, nicht das Umgehen geltenden Rechts.

So erkennst du einen vertrauenswürdigen Anbieter

Vertrauen lässt sich nicht aus Werbeslogans ableiten, sondern nur aus überprüfbaren Belegen. Vier Kriterien trennen 2026 die seriösen Dienste von den lauten – und alle vier kannst du selbst nachschlagen, bevor du ein Abo abschließt.

Unabhängige Audits als härtester Beleg

Ein seriöser Anbieter lässt seine No-Logs-Behauptung von einer externen, unabhängigen Prüfgesellschaft kontrollieren und veröffentlicht den Bericht. Große Wirtschaftsprüfer wie Deloitte haben in den vergangenen Jahren mehrere bekannte Dienste geprüft – solche Berichte sind der Maßstab. Entscheidend sind dabei drei Dinge: Wer hat geprüft, wann wurde geprüft und was genau war Gegenstand der Prüfung. Ein Audit von 2022 sagt wenig über die Praxis 2026 aus, und ein Audit, das nur die Apps und nicht die Server-Infrastruktur umfasst, lässt die eigentliche Frage offen. Ein aktueller, umfassender und namentlich unterzeichneter Audit-Bericht ist das stärkste Argument, das ein Anbieter vorlegen kann – stärker als jedes Marketing-Versprechen.

RAM-Only-Server: technisch schwer zu fälschen

Server, die ausschließlich im Arbeitsspeicher (RAM) laufen und keine Festplatten zur dauerhaften Speicherung nutzen, verlieren bei jedem Neustart alle Daten. Selbst wenn ein Server beschlagnahmt würde, ließe sich nichts Gespeichertes auslesen. RAM-Only ist damit ein technischer Schutzmechanismus, der über eine reine Absichtserklärung hinausgeht: Die Nicht-Speicherung ist in die Hardware-Architektur eingebaut, nicht nur in die AGB geschrieben. Achte darauf, ob ein Anbieter das für sein gesamtes Netz oder nur für einen Teil einsetzt.

Transparenzberichte und Warrant Canary richtig lesen

Ein Transparenzbericht listet auf, wie viele behördliche Anfragen ein Anbieter erhalten und wie er darauf reagiert hat. Steht dort regelmäßig „Anfragen erhalten, keine Daten zur Herausgabe vorhanden", passt das zur No-Logs-Behauptung. Ein Warrant Canary ist eine regelmäßig aktualisierte Erklärung, dass bislang keine geheime behördliche Anordnung eingegangen ist. Verschwindet dieser Hinweis oder wird er nicht mehr aktualisiert, ist das ein stilles Warnsignal. Beide Instrumente sind kein Beweis, aber ein Indiz – und ihr Fehlen sagt ebenfalls etwas aus. Ein Anbieter, der weder Audit noch Transparenzbericht vorweisen kann und nur mit dem Wort „No-Logs" wirbt, verlangt reines Vertrauen ohne Beleg.

Häufige Fehler vermeiden

Sofortmaßnahmen zum Schutz deiner Daten

Die Theorie ist das eine, die Konfiguration deines eigenen Geräts das andere. Die folgenden Schritte kosten dich zusammen keine Viertelstunde und schließen die häufigsten Lücken.

Kill-Switch aktivieren und Auto-Connect prüfen

Der Kill-Switch (manchmal „Notausschalter") kappt deine Internetverbindung sofort, sobald der VPN-Tunnel abbricht. Ohne ihn sendet dein Gerät im Moment des Verbindungsabbruchs Daten ungeschützt über die normale Leitung – genau in der Situation, in der du dich sicher wähnst. Aktiviere den Kill-Switch in den App-Einstellungen und stelle zusätzlich „automatisch verbinden" bei unbekannten WLANs ein. So gibt es kein Zeitfenster, in dem du ungeschützt online bist.

Auf DNS-Leaks und WebRTC-Leaks testen

Verbinde dein VPN und rufe anschließend eine der etablierten Leak-Test-Seiten auf. Der Test zeigt dir die IP-Adresse und den DNS-Server, die die Gegenseite sieht. Erscheint dort deine echte IP oder der DNS-Server deines Internetanbieters, hast du ein Leak – und der Schutz ist löchrig. Prüfe getrennt auf DNS-Leaks und auf WebRTC-Leaks, die besonders in Browsern auftreten. Findest du ein Leak, hilft oft das Deaktivieren von WebRTC im Browser oder ein Wechsel des VPN-Protokolls in den App-Einstellungen.

Deinen eigenen VPN-Log-Test in fünf Minuten

Du kannst die Vertrauenswürdigkeit deines Anbieters in wenigen Schritten selbst grob einordnen:

• Datenschutzerklärung öffnen und gezielt nach den Wörtern „Verbindung", „Zeitstempel", „IP" und „Bandbreite" suchen. Was dort steht, zählt – nicht der Slogan auf der Startseite.
• Nach einem aktuellen Audit suchen: Prüfer, Datum und Umfang notieren. Fehlt eins der drei, ist die Aussagekraft begrenzt.
• Firmensitz nachschlagen und gegen die Eyes-Allianzen abgleichen. Das ordnet ein, welcher behördliche Zugriff theoretisch möglich ist.
• Transparenzbericht und Warrant Canary suchen. Vorhanden und aktuell ist gut; fehlend oder veraltet ist ein Warnsignal.
• Leak-Test durchführen und dokumentieren, ob deine echte IP oder dein Heim-DNS-Server sichtbar wird.

Quellen und weiterführende Informationen

• heise Download (heise.de) – großer VPN-Vergleich 2026: Prüfkriterien, No-Log-Audits (u. a. Deloitte-Prüfungen), RAM-Server und Transparenzberichte einzelner Anbieter.
• PC-WELT (pcwelt.de) – VPN-Test 2026: Datenschutz, Geschwindigkeit und Serverstandorte im Anbietervergleich.
• bleib-virenfrei.de – VPN-Anbieter-Test 2026: Testverfahren, Verschlüsselung und Datenschutz-Bewertung mehrerer Dienste.
• SentinelOne (sentinelone.com) – VPN-Sicherheitsrisiken: technische Erklärung von Tunnel, Endpunkt und typischen Leak-Szenarien.
• Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) – allgemeine Empfehlungen zu Verschlüsselung, sicherer Konfiguration und Datenschutz.

Haftungsausschluss

Dieser Artikel auf vpnsafe.de dient der allgemeinen Information und Orientierung; er ersetzt keine individuelle rechtliche, technische oder datenschutzrechtliche Beratung. Bei konkreten Fragen zu deiner Situation ist eine qualifizierte Fachkraft die richtige Anlaufstelle. Der Artikel gibt den Kenntnisstand Juli 2026 wieder; angesichts der schnellen Entwicklung bei VPN-Technik und Datenschutzrecht kann einzelnen Aussagen beim Lesen bereits ein neuerer Stand gegenüberstehen.

Wichtig zum Rechtsverständnis: Ein VPN bietet keine rechtliche Immunität. Es verschlüsselt deinen Datenverkehr und schützt vor bestimmten Formen der Überwachung, berechtigt aber nicht dazu, illegale Inhalte abzurufen oder zu verbreiten – die straf- und zivilrechtliche Verantwortung bleibt unberührt. Beurteile die Logging-Richtlinie deines Anbieters nicht nach dem Marketing, sondern danach, welche Daten tatsächlich erhoben, wie lange sie gespeichert und unter welchen Bedingungen sie an Behörden weitergegeben werden.

Rechtlicher Rahmen (Auswahl): Für die Datenverarbeitung ist die DSGVO maßgeblich (u. a. Grundsätze und Rechtsgrundlagen, Informationspflichten, Recht auf Löschung, Datenschutz durch Technikgestaltung sowie die Regeln zur Übermittlung in Drittländer – letztere besonders bei Anbietern außerhalb der EU relevant). Ergänzend gelten in Deutschland das BDSG und das TDDDG (Datenschutz bei Telekommunikation und digitalen Diensten). Das Ausspähen und Verändern fremder Daten ist nach §§ 202a, 303a StGB strafbar – unabhängig davon, ob dabei Verschlüsselungstechnik im Spiel ist. Der EU Cyber Resilience Act (2024/2847) bringt ab dem 11. Dezember 2027 verbindliche Cybersicherheitsanforderungen für digitale Produkte, was auch VPN-Software betrifft.

Affiliate-Hinweis: Einige Links auf vpnsafe.de können Affiliate-Links sein (u. a. Awin-Netzwerk, Amazon-Partnerprogramm) und sind entsprechend gekennzeichnet. Bei einem Kauf über einen solchen Link erhält vpnsafe.de eine Provision ohne Mehrkosten; die redaktionelle Bewertung bleibt unberührt. Alle genannten Markennamen sind Eigentum der jeweiligen Inhaber und werden nur zur sachlichen Information genannt. Keine bezahlte Empfehlung, keine entgeltliche Vermittlung außer als gekennzeichnete Affiliate-Links.