Kostenlose VPNs im Test: Sicher oder gefährlich?

Kostenlose VPNs im Vergleich: Welche sind sicher – und welche gefährlich?

Lesezeit: etwa 13 Minuten

Ein VPN kostet nichts, verschlüsselt deinen Datenverkehr und macht dich im Netz anonym – so das Versprechen unzähliger Gratis-Apps. Die Realität ist zweigeteilt. Es gibt seriöse kostenlose Dienste, die technisch sauber arbeiten und ihren Free-Tarif als Schaufenster fürs Bezahl-Abo verstehen. Und es gibt Apps, die genau das Gegenteil dessen tun, wofür du sie installierst: Sie protokollieren, verkaufen oder verseuchen deinen Traffic. Für Laien ist der Unterschied im App-Store kaum zu erkennen, weil beide Lager mit denselben Schlagworten werben – „militärische Verschlüsselung", „No-Logs", „100 % anonym".

Der wichtigste Satz vorab: Ein VPN ist kein Freibrief für rechtswidrige Inhalte, und es macht dich auch nicht vollständig unsichtbar. Es verlagert dein Vertrauen – weg von deinem Internetanbieter, hin zum VPN-Betreiber. Bei einem kostenlosen Anbieter ist deshalb die entscheidende Frage: Womit verdient der sein Geld, wenn nicht mit deinem Abo? Bei den seriösen Diensten lautet die Antwort „mit zahlenden Premium-Kund:innen". Bei den dubiosen lautet sie: „mit dir".

Dieser Ratgeber für vpnsafe.de sortiert die Faktenlage Juli 2026: welche kostenlosen VPNs unabhängige Prüfer und Fachpresse als vertrauenswürdig einstufen, welche Datenlimits wirklich gelten, was in den zwei bekanntesten Skandalfällen tatsächlich passiert ist – und woran du unseriöse Anbieter selbst erkennst. Wenn du zunächst grundsätzlich wissen willst, was Sicherheit kosten darf, hilft dir unser Überblick zu VPN-Kosten 2026 beim Einordnen.

Warum kostenlose VPNs oft ein Risiko sind

Das Geschäftsmodell: Wenn du nicht zahlst, bist du das Produkt

Server, Bandbreite und Wartung kosten jeden Anbieter reales Geld – Monat für Monat. Ein VPN, das dir dauerhaft unbegrenzten Gratis-Zugang bietet, muss diese Kosten irgendwoher decken. Bei den seriösen Diensten ist der kostenlose Tarif ein Schaufenster: Er soll dich vom Bezahl-Abo überzeugen und ist bewusst begrenzt – bei Datenvolumen, Serverauswahl und Geschwindigkeit. Diese Quersubventionierung ist transparent und legitim.

Problematisch wird es bei Apps ohne erkennbares Premium-Angebot. Wer nichts verkauft, aber trotzdem Infrastruktur bereitstellt, monetarisiert zwangsläufig die einzige Ressource, die du mitbringst: deine Daten und deine Bandbreite. Genau hier kippt das Werkzeug für Privatsphäre in ein Werkzeug gegen sie.

Datensammlung, Tracking und Weiterverkauf deiner Surf-Historie

Ein VPN sieht technisch bedingt jede Verbindung, die du aufbaust – jede Domain, jeden Zeitstempel, deine echte IP-Adresse. Ein vertrauenswürdiger Anbieter verwirft diese Daten sofort (No-Logs). Ein unseriöser sammelt sie, reichert sie zu einem Surf-Profil an und verkauft dieses weiter. Sicherheitsanalysen von Android-VPN-Apps haben wiederholt gezeigt, dass ausgerechnet in Gratis-Apps Tracking-Bibliotheken eingebaut sind – die App, die dich vor dem Mitlesen schützen soll, liest selbst mit.

Die zwei dokumentierten Skandalfälle – und was daraus zu lernen ist

Zwei Namen tauchen in Sicherheitskreisen seit Jahren als Negativbeispiele auf. Beide sind gut dokumentiert, und beide zeigen ein anderes Risikomuster.

Hola VPN: deine Leitung wird weiterverkauft

Hola arbeitet nach einem Peer-to-Peer-Prinzip: Statt eigener Server leitet der Dienst den Traffic über die Geräte anderer Nutzer:innen. Was das praktisch bedeutet, wurde 2015 öffentlich. Der israelische Anbieter verkaufte die Bandbreite seiner Gratis-Nutzer:innen über den Schwesterdienst Luminati als sogenannte Exit-Nodes weiter – zeitweise für 20 US-Dollar pro Gigabyte.

Aufgeflogen ist das, als der Betreiber des Boards 8chan wiederholte Überlastungsangriffe auf seine Seite zurückverfolgte: Ein Angreifer hatte über das Luminati-Netz binnen 30 Sekunden Tausende harmlos aussehende Anfragen geschickt und die Seite lahmgelegt. Seine Einschätzung: Hola habe faktisch ein Botnetz aus neun Millionen IP-Adressen betrieben und Zugang dazu verkauft. Sicherheitsforscher:innen fanden zusätzlich mehrere Schwachstellen in der Software; Kaspersky beschrieb das Konstrukt als „schlecht abgesichertes Botnetz". Ein Luminati-Vertriebsmitarbeiter sagte den Forschenden auf Nachfrage nach Missbrauchskontrolle wörtlich, man habe keine Ahnung, was Kundschaft auf der Plattform tue.

Trend Micro untersuchte den Datenverkehr später erneut und warnte 2018 vor einem zusätzlichen Risiko: Läuft eine solche App auf einem Rechner im Firmennetz, kann sie Dritten einen Weg an der Firewall vorbei ins interne Netz eröffnen.

Die Lehre daraus: Bei Peer-to-Peer-VPNs läuft fremder Datenverkehr über deinen Anschluss – und nach außen erscheinst du als Urheber. Was andere damit anstellen, landet zuerst bei dir.

SuperVPN: „No-Logs" auf dem Papier, 360 Millionen Datensätze in der Praxis

Der zweite Fall zeigt das andere Muster. Im Mai 2023 entdeckte der Sicherheitsforscher Jeremiah Fowler eine nicht passwortgeschützte Datenbank mit über 360 Millionen Datensätzen (rund 133 Gigabyte), die dem Gratis-Dienst SuperVPN zuzuordnen war. Enthalten waren unter anderem E-Mail-Adressen, originale IP-Adressen, Geodaten, genutzte Server, Geräte- und Betriebssysteminformationen sowie Verweise auf besuchte Websites.

Der brisante Punkt ist nicht die Panne selbst, sondern der Widerspruch: Die App wirbt mit einer No-Logs-Politik – die gefundenen Daten belegen das Gegenteil. Es war zudem nicht der erste Vorfall; bereits 2022 kursierten Daten aus SuperVPN und weiteren Gratis-Diensten. Die App kommt allein im Play Store auf über 100 Millionen Downloads. Auffällig auch die Struktur dahinter: Es existieren zwei gleichnamige Apps unterschiedlicher Entwicklerfirmen. Nach der Meldung wurde die Datenbank geschlossen – eine Antwort erhielt der Forscher nie.

Die Lehre daraus: „No-Logs" ohne unabhängige Prüfung ist eine Werbeaussage, kein Beleg. Und wo kein greifbares Unternehmen mit klarem Ansprechpartner steht, gibt es im Schadensfall auch niemanden, der reagiert.

Technische Schwachstellen ganz ohne böse Absicht

Selbst ohne Vorsatz sind viele Gratis-Apps schlecht gebaut. Drei typische Schwachstellen:

• DNS-Leaks: Deine DNS-Anfragen laufen am Tunnel vorbei direkt zum Provider – die besuchten Domains sind trotz VPN sichtbar.
• Fehlender Kill Switch: Bricht die VPN-Verbindung ab, surfst du ungeschützt weiter, ohne es zu merken. Ein Kill Switch kappt in diesem Moment die Internetverbindung.
• Veraltete oder schwache Protokolle: Moderne Dienste setzen auf WireGuard und OpenVPN. Fehlen diese, ist die „Verschlüsselung" im schlimmsten Fall reine Kosmetik.

Sichere kostenlose VPNs im Vergleich

Ein Hinweis zur Einordnung: Wir betreiben auf vpnsafe.de kein eigenes Labor und testen die Dienste nicht nach. Die folgende Bewertung stützt sich auf unabhängige Audits, Fachpresse und Datenschutz-Einordnungen. Entscheidend beim Vergleich sind zwei Zahlen, die im Marketing gern untergehen: das monatliche Datenvolumen und der Firmensitz.

Proton VPN Free: die Ausnahme ohne Datenlimit

Proton VPN stammt vom selben Team wie der verschlüsselte Maildienst Proton Mail, sitzt in der Schweiz und lässt seine No-Logs-Politik jährlich extern prüfen. Der Free-Tarif ist die große Ausnahme im Markt, weil er kein Datenlimit setzt – dafür wählst du nur aus wenigen Ländern, das Tempo ist gedrosselt und Streaming-Dienste bleiben in der Regel gesperrt. Wichtig zur Finanzierung: Proton gibt an, die Gratis-Version über die zahlenden Abonnent:innen zu finanzieren, nicht über Datenverkauf. Für sicheres Alltags-Surfen im offenen WLAN ist das der beste Griff.

Windscribe: großzügig, aber mit einem Haken bei der Anmeldung

Windscribe bietet 10 GB im Monat – allerdings nur, wenn du eine E-Mail-Adresse hinterlegst. Ohne Registrierung sind es lediglich 2 GB. Das Volumen gilt für alle Geräte zusammen, die auf demselben Konto laufen. In der Gratis-Version stehen rund zehn Serverstandorte zur Verfügung. Wer die Datenschutz-Abwägung ernst nimmt, wägt hier ab: mehr Volumen gegen eine hinterlegte Kontaktadresse.

hide.me: geprüft, aber mit Standortfrage

hide.me bietet ebenfalls 10 GB monatlich und hat einen praktischen Vorteil: Die kostenlose Version lässt sich ganz ohne Benutzerkonto nutzen – du gibst also gar keine Daten preis. Der Dienst hat sich 2015 und 2024 unabhängig prüfen lassen; die Prüfer kamen zu dem Schluss, dass keine Nutzerdaten erhoben werden.

Ein Punkt gehört aber zur ehrlichen Einordnung: Betreiber ist die in Malaysia registrierte eVenture Limited, und dort gelten keine mit der EU vergleichbaren Datenschutzgesetze. Die No-Logs-Zusage ist damit eine freiwillige Selbstverpflichtung, deren Einhaltung du nicht rechtlich einfordern kannst. Für manche ist das ein Vorteil – Auskunftsersuchen europäischer Behörden müssten den Umweg über Malaysia nehmen –, für andere ein Ausschlusskriterium. Beides ist vertretbar; du solltest es nur bewusst entscheiden.

TunnelBear: am gründlichsten geprüft, am knappsten bemessen

TunnelBear ist besonders anfängerfreundlich und lässt seine Apps seit 2017 jährlich unabhängig auditieren – bei einem Werkzeug, das zwischen dir und dem Internet sitzt, ist diese Regelmäßigkeit ein starkes Argument. Der Haken ist das Volumen: 2 GB im Monat sind aufgebraucht, bevor du eine Serienfolge zu Ende geschaut hast. Als dauerhafte Lösung taugt der Gratis-Tarif nicht, als sicherer Begleiter für gelegentliche Nutzung im Hotel-WLAN schon.

Woran du unseriöse Anbieter erkennst

Diese Warnzeichen reichen für sich genommen aus, um die Finger davon zu lassen:

• Kein greifbares Unternehmen: kein Impressum, kein benennbarer Firmensitz, keine Angaben zu den Entwicklern. Fehlen diese Informationen oder wirken sie versteckt, ist das ein Risiko.
• Peer-to-Peer-Modell: Wird deine Verbindung an Dritte weitervermietet, haftest du im Zweifel für fremdes Verhalten.
• Datenschutzrichtlinie, die das Teilen erlaubt: Suche gezielt nach Formulierungen wie „share with third parties", „advertising partners" oder „aggregated data".
• Unpassende App-Berechtigungen: Ein VPN braucht die VPN-Konfiguration – mehr nicht. Anfragen nach Kontakten, Standort oder SMS sind ein Ausschlusskriterium.
• Kein einziger unabhängiger Audit und keine Erwähnung in seriöser Fachpresse.
• Kein Premium-Angebot: Wer nichts verkauft, aber Server bezahlt, finanziert sich anders – und zwar über dich.

Checkliste: So prüfst du ein kostenloses VPN

No-Logs-Politik, Serverstandort und Audits

Eine No-Logs-Aussage ist zunächst nur Marketing. Entscheidend ist, ob sie unabhängig geprüft wurde – und wie oft. Ein einzelnes Audit von 2019 ist etwas anderes als eine jährliche Prüfung. Zur Einordnung aus dem Premium-Segment: NordVPN lässt seine No-Logs-Zusage von Deloitte prüfen (zuvor von PwC), Proton VPN jährlich von einem europäischen Sicherheitsunternehmen. Achte außerdem auf den Firmensitz – er entscheidet, welchen Behörden ein Anbieter im Ernstfall Daten herausgeben müsste, und ob du überhaupt eine Rechtsgrundlage für Beschwerden hast.

Datenschutzrichtlinie und App-Berechtigungen lesen

Nimm dir vor der Installation fünf Minuten für zwei Dokumente: die Datenschutzrichtlinie und die angeforderten App-Berechtigungen. Das ist die günstigste Sicherheitsmaßnahme überhaupt. Wenn du das kostenlose VPN durch weitere Bausteine ergänzen willst, lohnt ein Blick auf unseren Check zu sieben wichtigen Sicherheits-Apps neben dem VPN – denn ein VPN allein ersetzt weder Virenschutz noch einen Passwortmanager.

Kostenlos oder bezahlt: Wann sich das Upgrade lohnt

Selbst die seriösen Gratis-Dienste stoßen schnell an Grenzen: Streaming wird meist nicht entsperrt, das Tempo ist gedrosselt, die Serverauswahl klein, und außer bei Proton ist nach 2 bis 10 Gigabyte Schluss. Fürs sichere Surfen im Café-WLAN reicht das. Wer regelmäßig streamt oder große Datenmengen bewegt, kommt an einem Bezahl-Abo nicht vorbei.

Der Aufpreis ist kleiner, als viele denken: Bei langen Laufzeiten beginnen seriöse Anbieter im Bereich von rund zwei Euro monatlich. Ein Rechen-Tipp, der wichtiger ist als der Einstiegspreis: Diese Beträge gelten fast immer nur bei Vorauszahlung für zwei oder drei Jahre. Prüfe, was das Abo über die gesamte Laufzeit kostet und wie teuer die automatische Verlängerung danach wird – dort liegt die eigentliche Rechnung. Bei Rabattwerbung muss nach § 11 PAngV der niedrigste Preis der letzten 30 Tage ausgewiesen sein. Eine Gegenüberstellung günstiger, aber seriöser Optionen findest du in unserem Vergleich der Top 5 günstigen und sicheren VPNs 2026.

Häufige Fehler vermeiden

Praktische Handlungsempfehlungen Juli 2026

• Starte mit einem geprüften Namen statt mit dem Suchergebnis. Proton VPN Free ist für den Einstieg der sicherste Griff, weil kein Datenlimit greift und die No-Logs-Politik jährlich extern geprüft wird.
• Rechne dein Volumen aus, bevor du wählst. 2 GB bei TunnelBear reichen für gelegentliches Surfen, nicht für Video. 10 GB bei Windscribe und hide.me decken den Alltag ab, wenn du das VPN nicht dauerhaft laufen lässt.
• Glaube „No-Logs" erst mit Beleg – und schau nicht nur, ob geprüft wurde, sondern wann und wie regelmäßig.
• Kontrolliere die App-Berechtigungen einzeln. Ein VPN braucht die VPN-Konfiguration und nichts weiter.
• Meide Peer-to-Peer-Modelle grundsätzlich. Das Risiko, für fremden Datenverkehr geradezustehen, lässt sich durch nichts aufwiegen.
• Prüf den Firmensitz bewusst – und entscheide, ob dir eine freiwillige Zusage außerhalb der EU reicht.
• Wechsle rechtzeitig auf ein günstiges Premium-Abo und rechne dabei mit dem Verlängerungspreis, nicht mit dem Lockangebot.

Fazit

Kostenlose VPNs sind nicht per se unseriös – aber die Bandbreite zwischen bestem und schlechtestem Angebot ist in dieser Produktkategorie größer als in fast jeder anderen. Auf der einen Seite steht Proton VPN Free, extern geprüft, ohne Datenlimit und ausdrücklich über zahlende Kundschaft finanziert. Auf der anderen stehen die dokumentierten Fälle: ein Anbieter, der die Leitungen seiner Nutzer:innen als Botnetz weiterverkaufte, und einer, dessen No-Logs-Versprechen an einer offenen Datenbank mit 360 Millionen Datensätzen zerbrach.

Der Unterschied zwischen beiden Lagern lässt sich in einer Frage zusammenfassen, die du dir vor jeder Installation stellen solltest: Wer verdient hier woran? Findest du darauf keine klare Antwort – kein Premium-Angebot, kein greifbares Unternehmen, kein unabhängiges Audit –, dann ist die Antwort mit hoher Wahrscheinlichkeit: an dir. Und dann installierst du kein Werkzeug für deine Privatsphäre, sondern eines dagegen.

Quellen und weiterführende Informationen

• VPN kostenlos nutzen 2026: die besten Gratis-VPN im Vergleich (sueddeutsche.de) – Einordnung geprüfter Anbieter und der Grenzen kostenloser Tarife.
• VPN kostenlos: die besten Gratis-Anbieter (experte.de) – Datenlimits der Free-Tarife, inklusive der Unterscheidung bei Windscribe mit und ohne Registrierung.
• hide.me im Test: Gratis-Version und Firmensitz (netzwelt.de) – Betreibergesellschaft in Malaysia, Einordnung des Datenschutzniveaus und der Audits von 2015 und 2024.
• Best Free VPNs: getestete Gratis-Tarife (toolradar.com) – Datenvolumen von TunnelBear und die jährlichen unabhängigen Sicherheitsaudits seit 2017.
• Users of free VPN Hola vulnerable to hacking, researchers warn (networkworld.com) – Dokumentation des Luminati-Weiterverkaufs und der Überlastungsangriffe über das Hola-Netz.
• Misadventures with Hola service (kaspersky.com) – sicherheitstechnische Einordnung des Peer-to-Peer-Modells.
• Free VPN data leak exposed over 360 million user records (cpomagazine.com) – Umfang und Inhalt der offengelegten SuperVPN-Datenbank.
• Report: SuperVPN breach (vpnmentor.com) – Originalbericht des Sicherheitsforschers zur ungeschützten Datenbank.

Haftungsausschluss

Allgemeine Information, keine eigenen Tests. Dieser Artikel auf vpnsafe.de dient der allgemeinen Information und stellt keine individuelle Rechts-, Sicherheits- oder Technikberatung dar; bei konkreten Fragen zu deiner Datensicherheit oder rechtlichen Situation wende dich an eine qualifizierte Fachperson. Wir betreiben kein eigenes Testlabor, sondern werten unabhängige Audits, Fachberichterstattung und Anbieterangaben aus. Dienste, Tarife, Datenlimits und Eigentümerstrukturen ändern sich häufig – prüf die aktuellen Angaben vor der Installation.

Zu den genannten Vorfällen. Die geschilderten Fälle beruhen auf veröffentlichten Berichten von Sicherheitsforschenden und Fachmedien; die Darstellung gibt deren dokumentierten Stand wieder und erhebt keinen Anspruch auf abschließende Bewertung. Aus der Nennung eines Anbieters folgt keine Behauptung strafbaren Verhaltens. Angaben zu Audits beziehen sich auf den jeweiligen Prüfzeitpunkt und sind keine Garantie für unveränderte Praxis; ein Audit ist eine Momentaufnahme.

Datenschutzrechtlicher Rahmen. Für die Verarbeitung personenbezogener Daten sind die DSGVO (u. a. Art. 5, 6, 13, 25, 32 sowie Art. 44–49 zur Drittlandübermittlung) und das BDSG maßgeblich; das TDDDG regelt den Datenschutz bei Telemedien und Telekommunikation in Deutschland. Bei Anbietern mit Sitz außerhalb der EU – etwa in Malaysia oder Kanada – gelten die dortigen Rechtsordnungen; eine Datenschutzzusage kann dann eine freiwillige Selbstverpflichtung ohne durchsetzbaren Anspruch sein. Der Cyber Resilience Act (Verordnung (EU) 2024/2847, verbindlich ab dem 11. Dezember 2027) kann künftig auch VPN-Client-Software betreffen.

Eigenverantwortung und Affiliate. Ein VPN entbindet dich nicht von deiner rechtlichen Verantwortung: Wer über einen verschlüsselten Tunnel auf rechtswidrige Inhalte zugreift oder sie verbreitet, bleibt straf- und zivilrechtlich haftbar; einschlägig sind unter anderem § 202a StGB (Ausspähen von Daten) und § 303a StGB (Datenveränderung). Kein VPN macht dich vollständig anonym – Logins, Cookies und Browser-Fingerprint bleiben Angriffspunkte. Nach § 11 PAngV müssen Anbieter bei Rabattwerbung den niedrigsten Preis der letzten 30 Tage ausweisen; die §§ 5, 5a und 5b UWG untersagen irreführende Angaben. Dieser Artikel enthält Affiliate-Links (u. a. Amazon-Partnerprogramm, Awin); schließt du darüber ab, erhält vpnsafe.de eine Provision ohne Mehrkosten für dich. Alle Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber.