Wie ein VPN tatsächlich funktioniert

1. App stellt eine Anfrage. Ihr Browser möchte example.com laden. Ohne VPN würde das Betriebssystem die Domain über den DNS Ihres ISP auflösen und dann eine TCP/TLS-Verbindung über die Standardroute öffnen.

2. VPN-Client fängt ab. Wenn ein VPN verbunden ist, wird eine virtuelle Netzwerkschnittstelle (tun0 unter Linux/macOS, ein WireGuard-Adapter unter Windows) zur Standardroute für ausgehenden Datenverkehr. Das Betriebssystem übergibt jedes Paket an diese Schnittstelle statt an das physische Wi-Fi.

3. Verschlüsselung. Der VPN-Client verschlüsselt jedes Paket mit dem während des Handshakes ausgehandelten symmetrischen Schlüssel. Moderne Protokolle verwenden AES-256-GCM oder ChaCha20-Poly1305 — beides AEAD-Chiffren, sodass jedes Paket auch authentifiziert wird. Manipulation oder Replay wird beim Empfänger erkannt.

4. Kapselung. Die verschlüsselte Nutzlast wird in einen äußeren Transport gewickelt (UDP für WireGuard und die meisten OpenVPN-Konfigurationen, TCP/443 mit TLS für unauffälligere Setups, reines TLS für VLESS+Reality). Das äußere Paket ist das, was Ihren ISP durchläuft.

5. Server entschlüsselt und leitet weiter. Auf dem VPN-Server werden Pakete entschlüsselt, per NAT auf die öffentliche IP des Servers übersetzt und an example.com gesendet. Die Website sieht eine Anfrage vom Server, nicht von Ihnen.

6. Antwort kommt zurück. Die Antwort von example.com erreicht den Server, wird neu verschlüsselt und über denselben Tunnel an Ihren Client zurückgeliefert. Ihre App sieht eine normale HTTPS-Antwort, ohne zu wissen, dass der Weg ein anderer war.

Dieser Teil wird in den meisten Anzeigen übergangen, daher lohnt es sich, konkret zu sein.

Der VPN-Anbieter sieht, was Ihr ISP früher gesehen hat. Wenn er Protokolle führt, hat er Ihren vollständigen Browserverlauf. Die Behauptung einer „No-Logs-Richtlinie" ist genau der Grund, warum die Anbieterwahl wichtiger ist als das verwendete Protokoll.

Die angemeldete Identität sind immer noch Sie. Ein VPN meldet Sie nicht von Google, Facebook oder Ihrer Bank ab. Wenn Sie sich in ein Konto einloggen, weiß dieses Konto immer noch, dass Sie es sind, egal von welcher IP Sie kamen.

Browser-Fingerprinting funktioniert weiterhin. Canvas, Schriftarten, Bildschirmauflösung, WebGL — Websites können Sie über IP-Änderungen hinweg wiedererkennen. Ein VPN ist kein Anti-Tracking; das ist eine separate Schicht (uBlock Origin, Privacy Badger, gehärteter Browser).

Lokale Malware ist nicht betroffen. Wenn Ihr Gerät kompromittiert ist, sieht die Malware die Daten im Klartext, bevor sie jemals den VPN-Tunnel erreichen.

Einige Lecks sind protokollspezifisch. WebRTC kann Ihre lokale IP einer Website preisgeben, selbst wenn ein VPN verbunden ist. Testen Sie es mit dem WebRTC-Leak-Tester. DNS kann ähnlich lecken — siehe den DNS-Leak-Tester.

Restriktive Netzwerke. Wenn lokales DPI bestimmte Protokolle oder Sites drosselt, stellt ein richtig gewähltes VPN den Zugriff wieder her. Der Zusatz „richtig gewählt" ist wichtig — siehe die OpenVPN-Seite, warum die Protokollwahl jetzt vorrangig ist.

Öffentliches Wi-Fi. Café, Hotel, Flughafen. Die Bedrohung ist nicht theoretisch: Angreifer im selben Netzwerk, Captive-Portal-Umleitungen, manchmal regelrechtes SSL-Stripping auf billiger Hardware. Ein VPN verwandelt das lokale Netzwerk in eine dumme Leitung.

Geografische Reibung. Streaming-Kataloge, regionale Preisgestaltung, Tools, die IPs aus bestimmten Regionen blockieren. Ein VPN-Endpunkt in einem anderen Land ist der einfachste Umweg.

Datenverkehr vor Ihrem ISP verbergen. ISPs in vielen Ländern verkaufen aggregierte Browserdaten. Ein VPN verschiebt diese Sichtbarkeit von einem Unternehmen, dem Sie nicht vertrauen, zu einem Unternehmen, das Sie ausdrücklich gewählt haben.

Wo es weniger hilft: Schutz vor einem gezielten staatlichen Gegner, Anonymisierung gegenüber einem Dienst, bei dem Sie eingeloggt sind, Ersatz für Endpunkt-Sicherheitssoftware. Andere Probleme, andere Werkzeuge.