Fünf VPN-Features, die weniger schützen als ihr Name verspricht

Fünf VPN-Features, die weniger schützen als ihr Name verspricht

Die Funktionsliste auf einer VPN-Produktseite liest sich wie eine Sicherheitsgarantie. Das Problem ist nicht, dass diese Funktionen nicht existieren — sie tun, was sie sollen. Das Problem ist, dass ihre Namen mehr versprechen, als sie technisch leisten.

Wer sich auf die Bezeichnung verlässt statt auf die Konfiguration, hält sich für geschützt, wo er es nicht ist. Und genau das ist gefährlicher als gar kein VPN — weil man sich entsprechend verhält.

Dieser Artikel ordnet fünf verbreitete Funktionen ein und zeigt, wie du deine eigene Konfiguration in einer Viertelstunde überprüfst. Wir testen auf vpnsafe.de keine Dienste selbst; die Einordnung beschreibt Funktionsprinzipien und die Prüfschritte, mit denen du sie selbst nachvollziehst.

1. Kill Switch: kommt darauf an, welcher

Der Kill Switch soll die Internetverbindung kappen, wenn der Tunnel abreißt. Die entscheidende Unterscheidung machen die wenigsten Produktseiten deutlich:

Ein Anwendungs-Kill-Switch beendet nur bestimmte Programme — alles andere läuft ungeschützt weiter. Ein System-Kill-Switch blockiert den gesamten Netzwerkverkehr, bis der Tunnel wieder steht.

Nur die zweite Variante tut, was der Name suggeriert. Steht in den Einstellungen eine App-Auswahl, hast du die erste.

Zwei Lücken, die auch dann bleiben

IPv6: Leitet der Dienst nur IPv4 durch den Tunnel und ist IPv6 auf dem System aktiv, kann Verkehr daran vorbeilaufen — auch bei aktivem Kill Switch. Gute Clients deaktivieren IPv6 systemweit oder tunneln es mit; prüf, was deiner tut.

Lokales Netz: Viele Clients erlauben LAN-Zugriff als Komfortfunktion, damit Drucker und Netzwerkspeicher erreichbar bleiben. Das ist meist unkritisch, aber es ist eine bewusste Ausnahme vom „alles blockiert“-Versprechen.

So prüfst du es

Verbinde dich, öffne einen Dauerstream oder Ping, und trenne die Verbindung hart — Netzwerkadapter deaktivieren oder VPN-Prozess beenden. Bricht der Datenverkehr sofort ab, arbeitet der Kill Switch. Läuft er weiter, hast du eine App-Variante oder eine Fehlkonfiguration.

2. Split Tunneling: Komfort auf Kosten der Abdeckung

Split Tunneling schickt nur ausgewählte Anwendungen durch den Tunnel. Das ist praktisch — und der häufigste Grund für unbemerkte Lücken.

Erstens: Ausgeschlossene Apps senden mit deiner echten IP-Adresse. Das ist keine Fehlfunktion, sondern der Zweck. Nur ist vielen nicht bewusst, welche Programme sie ausgenommen haben — und Updater, Cloud-Sync und Messenger laufen unbemerkt mit.

Zweitens, und das ist der kritischere Punkt: Die DNS-Auflösung läuft je nach Implementierung am Tunnel vorbei. Dann sieht dein Provider weiterhin, welche Domains du aufrufst — auch für Anwendungen, die eigentlich im Tunnel sind.

Wann die Funktion trotzdem richtig ist: beim Online-Banking, das VPN-Verbindungen blockiert, bei Geräten im Heimnetz, die nur lokal erreichbar sein sollen, und bei bandbreitenintensiven Anwendungen ohne Schutzbedarf. Die Regel lautet: bewusst ausschließen, nicht pauschal aktivieren.

3. „No-Log“ ohne unabhängige Prüfung ist eine Selbstauskunft

Jeder Anbieter behauptet es. Belastbar wird die Aussage erst durch eine unabhängige Prüfung — und auch dann nur begrenzt.

Was eine belastbare Prüfung ausmacht

• Der vollständige Bericht ist öffentlich, nicht nur eine Zusammenfassung mit Prüfsiegel.
• Der Prüfumfang ist benannt: Serverkonfiguration, Quellcode, interne Abläufe — oder nur eines davon?
• Das Datum liegt nicht Jahre zurück. Eine Prüfung dokumentiert den Zustand im Prüfzeitraum und sagt nichts über das Verhalten danach.

Was auch bei „No-Log“ anfällt

Ein Dienst braucht zwangsläufig Daten, um zu funktionieren: Zahlungsinformationen, eine Kontokennung, Angaben zur gleichzeitigen Gerätenutzung, oft aggregierte Bandbreitendaten.

Der Unterschied liegt darin, ob sich diese Daten mit einer Verbindung verknüpfen lassen. Genau das steht in der Datenschutzerklärung — und dort finden sich regelmäßig Ausnahmen für Abrechnungs-, Missbrauchs- und Diagnosezwecke, die auf der Produktseite nicht vorkommen.

Der Rahmen drumherum

Maßgeblich für die Frage, wer welche Herausgabe verlangen kann, ist der Sitz der betreibenden Gesellschaft — nicht der Standort einzelner Server. Prüf auch die Konzernstruktur: Wem gehört der Anbieter, und wo sitzt diese Muttergesellschaft?

Und die praktische Konsequenz aus der geltenden Rechtslage: Eine Anordnung kann nur herausgeben lassen, was tatsächlich vorliegt. Damit ist die Frage, welche Daten überhaupt anfallen, keine Marketingfrage mehr — sie ist die einzige, die im Ernstfall zählt.

4. Kostenlose Browser-Erweiterungen sind meist Proxys

Der wichtigste Unterschied vorweg: Eine Browser-Erweiterung schützt in aller Regel nur den Browser-Verkehr — und davon oft nur einen Teil.

Alles außerhalb des Browsers — Mail-Programm, Messenger, Systemdienste, andere Browser — läuft ungeschützt. Wer eine Erweiterung installiert und sich anschließend geschützt fühlt, hat den größten Teil seines Datenverkehrs offen.

Dazu kommen zwei strukturelle Punkte. Erweiterungen haben oft weitreichende Leserechte auf besuchte Seiten — ein Berechtigungsumfang, der bei einem kostenlosen Dienst die Frage aufwirft, womit er finanziert wird. Und WebRTC kann die echte IP-Adresse offenlegen, wenn die Erweiterung das nicht ausdrücklich unterbindet.

Als Ergänzung zu einem System-VPN sind Erweiterungen brauchbar. Als Ersatz nicht.

5. Multi-Hop und Verschleierung: mehr Schichten, mehr Angriffsfläche

Mehrfach-Verbindungen über zwei Server und Verschleierungsprotokolle, die VPN-Verkehr wie normalen Datenverkehr aussehen lassen, klingen nach mehr Sicherheit.

Der Preis ist real: deutlich mehr Latenz, geringerer Durchsatz — und eine zusätzliche Softwareschicht, die selbst Fehler enthalten kann.

Der entscheidende Punkt: Beide Funktionen adressieren ein Bedrohungsmodell, das die wenigsten Privatnutzer haben. Multi-Hop schützt gegen einen Beobachter, der einen einzelnen Server kompromittiert. Verschleierung hilft dort, wo VPN-Nutzung selbst blockiert oder auffällig ist.

Wer beides ohne diesen Bedarf aktiviert, tauscht Geschwindigkeit gegen Schutz vor einem Angreifer, der ihn nicht angreift — und erhöht dabei die Zahl der Stellen, an denen etwas schiefgehen kann.

Dein Praxis-Check in 15 Minuten

• IP-Adresse prüfen — vor und nach dem Verbinden. Ändert sie sich nicht, verbindet der Client nicht.
• DNS-Leak-Test durchführen. Erscheinen dort Server deines Internetanbieters, läuft die Namensauflösung am Tunnel vorbei.
• IPv6 gesondert testen. Viele Testseiten prüfen beides — achte darauf, dass auch die IPv6-Zeile die VPN-Adresse zeigt.
• WebRTC-Test machen, insbesondere bei Browser-Erweiterungen.
• Kill Switch hart testen: Verbindung trennen und beobachten, ob der Datenverkehr sofort stoppt.
• Split-Tunneling-Liste durchgehen und prüfen, welche Programme tatsächlich ausgenommen sind.
• Datenschutzerklärung nach den Ausnahmen durchsuchen — Abrechnung, Missbrauch, Diagnose.

Diese sieben Schritte sagen dir mehr über deinen Schutz als jede Funktionsliste.

Häufige Irrtümer

Fazit

Keine dieser Funktionen ist unbrauchbar — sie leisten nur nicht, was ihre Namen suggerieren. Der Kill Switch blockiert je nach Variante nur ausgewählte Apps, Split Tunneling lässt oft die DNS-Auflösung vorbeilaufen, und eine Browser-Erweiterung schützt den Browser, nicht das System.

Bei „No-Log“ verschiebt sich die Frage vom Versprechen zur Nachprüfbarkeit: veröffentlichter Prüfbericht im Volltext, benannter Prüfumfang, aktuelles Datum — und ein Blick in die Datenschutzerklärung, wo die Ausnahmen stehen, die auf der Produktseite fehlen.

Und der wirksamste Schritt kostet eine Viertelstunde: IP, DNS, IPv6 und WebRTC testen, den Kill Switch hart abziehen, die Split-Tunneling-Liste durchgehen. Das sagt mehr über deinen tatsächlichen Schutz als jede Funktionsliste auf einer Produktseite.

Quellen und weiterführende Informationen

• Anbieter-Dokumentation und Datenschutzerklärungen — maßgeblich für Kill-Switch-Typ, IPv6-Handling, Split-Tunneling-Verhalten und die tatsächliche Datenverarbeitung.
• Veröffentlichte Prüfberichte der Anbieter — im Volltext, mit Prüfumfang und Datum.
• Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) — Empfehlungen zu sicherer Kommunikation und Endgeräteschutz.
• heise online / c’t (heise.de) — Fachberichterstattung und Tests zu VPN-Diensten und Browser-Erweiterungen.
• Verbraucherzentrale (verbraucherzentrale.de) — Hinweise zu Abo-Modellen, Werbeversprechen und Datenschutz.
• EUR-Lex (eur-lex.europa.eu) — DSGVO und E-Evidence-Verordnung.
• Gesetze im Internet (gesetze-im-internet.de) — TKG, TDDDG, §§ 202a und 303a StGB sowie §§ 312g und 312k BGB.

Haftungsausschluss

Allgemeiner Hinweis: Dieser Artikel auf vpnsafe.de dient der allgemeinen Information und ersetzt keine Rechts- oder IT-Sicherheitsberatung im Einzelfall. Wir testen die genannten Funktionen nicht selbst — die Darstellung beschreibt Funktionsprinzipien und Prüfschritte. Implementierungen unterscheiden sich zwischen Anbietern, Betriebssystemen und Client-Versionen erheblich; ein Verhalten, das für einen Dienst zutrifft, gilt nicht automatisch für einen anderen. Maßgeblich sind die Dokumentation und die Datenschutzerklärung deines konkreten Anbieters in der von dir genutzten Version. Die beschriebenen Selbsttests liefern Momentaufnahmen und ersetzen keine systematische Sicherheitsprüfung.

Zur Bewertung von Anbieterangaben: Aussagen zur Protokollierung sind zunächst Selbstauskünfte. Belastbar werden sie durch unabhängige Prüfungen mit veröffentlichtem Volltext, benanntem Prüfumfang und aktuellem Datum; eine Prüfung dokumentiert den Zustand im Prüfzeitraum und sagt nichts über das Verhalten danach. Auch bei weitgehender Datensparsamkeit fallen betriebsnotwendige Daten an — entscheidend ist, ob sie sich mit einer Verbindung verknüpfen lassen. Für die Frage, wer Herausgabeanordnungen an einen Anbieter richten kann, sind Sitz der betreibenden Gesellschaft und Konzernstruktur maßgeblich, nicht der Standort einzelner Server; innerhalb der EU ermöglicht die E-Evidence-Verordnung entsprechende Anordnungen unmittelbar gegenüber Dienstanbietern.

Rechtlicher Rahmen und Verbraucherrechte: Ein VPN ist ein Werkzeug zur Verschleierung der Verbindungsherkunft und schafft keinen rechtsfreien Raum: Das Umgehen technischer Zugangssicherungen bleibt nach §§ 202a und 303a StGB strafbar, ebenso Urheberrechtsverstöße. Die Nutzung eines VPN ist in Deutschland und der EU zulässig; in einzelnen Staaten außerhalb der EU bestehen Beschränkungen, die vor Reisen zu prüfen sind. Für die Verarbeitung personenbezogener Daten gelten DSGVO und BDSG, für den Zugriff auf Endgeräteinformationen § 25 TDDDG. Beim Abschluss eines Abonnements im Fernabsatz gilt § 312g BGB, seit dem 19. Juni 2026 ergänzt um die elektronische Widerrufsfunktion nach § 356a BGB; § 312k BGB verpflichtet zu einer leicht auffindbaren Kündigungsschaltfläche. Für Preisermäßigungen gilt § 11 PAngV mit dem 30-Tage-Tiefstpreis; §§ 5, 5a und 5b UWG untersagen irreführende Angaben. Auf vpnsafe.de finden sich Partnerlinks, über die bei einem Vertragsabschluss eine Provision anfallen kann, ohne dass sich dein Beitrag ändert; die redaktionelle Bewertung erfolgt davon unabhängig — diesen wirtschaftlichen Zusammenhang solltest du bei der Lektüre trotzdem mitdenken. Alle genannten Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber.