SplitVPN-Datenleck legt 58 Millionen Logs offen – trotz No-Logs-Versprechen

Was das SplitVPN-Datenleck offengelegt hat

Ein VPN-Dienst namens SplitVPN, der als Werkzeug zur Umgehung von Internetzensur vermarktet wird, steht im Mittelpunkt einer Datenoffenlegung, die genau das Versprechen untergräbt, das er seinen Nutzern gegeben hat. Laut einem Bericht von Security Affairs enthielt eine gestohlene 17 GB große SQL-Datenbank, die angeblich mit SplitVPN in Verbindung steht, Millionen von Nutzer-, Geräte- und Zahlungsdatensätzen sowie 58 Millionen Verbindungsprotokolle. Dieses letzte Detail ist das entscheidende, denn SplitVPN bewarb sich als No-Logs-Dienst, was bedeutet, dass es nach eigener Aussage keine Aktivitätsdaten aufzeichnet, die die Identität eines Nutzers mit seinem Online-Verhalten verknüpfen könnten.

Das Ausmaß des Lecks – zig Millionen Verbindungsdatensätze zusammen mit Zahlungs- und Geräteinformationen – deutet darauf hin, dass es sich nicht um ein geringfügiges technisches Versehen handelte. Es weist auf eine systematische Praxis hin, genau die Daten zu speichern, die eine No-Logs-Richtlinie eigentlich ausschließen soll. Für einen Dienst, der Menschen dabei helfen soll, Zensur zu umgehen, oft in Regionen, in denen digitale Überwachung ein echtes persönliches Risiko birgt, ist eine solche Offenlegung mehr als eine Peinlichkeit. Sie ist ein direkter Widerspruch zu dem Sicherheitsversprechen, auf das sich die Nutzer verlassen haben.

Wie ein „No-Logs“-VPN dazu kam, alles zu protokollieren

Die Kluft zwischen dem, was VPN-Anbieter in ihrem Marketing sagen, und dem, was tatsächlich auf ihren Servern passiert, ist kein neues Problem, aber der Fall SplitVPN ist eine deutliche Erinnerung daran, wie groß diese Kluft sein kann. Eine „No-Logs“-Behauptung ist im Kern eine Grundsatzerklärung. Sie beschreibt, was ein Unternehmen nach eigenen Angaben nicht tut. Nichts an dieser Aussage wird automatisch durch einen technischen Mechanismus oder eine externe Partei überprüft. Solange sich ein Anbieter nicht einer unabhängigen Prüfung unterzieht, existiert diese Behauptung nur auf einer Webseite.

Was hier wahrscheinlich passiert ist, ist ein gängiges Muster in der VPN-Branche: Verbindungsmetadaten, Zeitstempel, IP-Adressen, Sitzungsdetails und Kontoinformationen werden aus betrieblichen Gründen wie Fehlerbehebung, Betrugsprävention oder Abrechnung gesammelt, und diese Daten werden nie vollständig gelöscht. Mit der Zeit sammelt sich genau das Profil an, von dem die No-Logs-Richtlinie behauptet, es existiere nicht. Wenn eine solche Datenbank gehackt oder offen zugänglich gemacht wird, wird die Diskrepanz zwischen Richtlinie und Praxis auf die schlimmstmögliche Weise öffentlich.

Warum ungeprüften No-Logs-Behauptungen nicht vertraut werden kann

Dieser Vorfall ist ein nützliches Fallbeispiel dafür, warum eine No-Logs-Behauptung allein niemals als Beweis für den Schutz der Privatsphäre angesehen werden sollte. Jeder VPN-Anbieter kann „wir protokollieren Ihre Aktivitäten nicht“ auf seine Homepage schreiben. Die Behauptung wird erst dann glaubwürdig, wenn sie durch etwas Externes gestützt wird: eine Sicherheitsprüfung durch Dritte, einen Gerichtsfall, in dem Behörden Logs angefordert haben, die tatsächlich nicht existierten, oder eine transparente Historie konsistenter öffentlicher Berichterstattung. Ohne eine solche Bestätigung ist eine No-Logs-Richtlinie eine Marketingaussage, keine Garantie.

Die allgemeinere Lehre geht über VPNs hinaus. Viele Sicherheits- und Datenschutz-Tools machen gewagte Versprechungen, die beruhigend klingen, aber für einen durchschnittlichen Nutzer schwer zu überprüfen sind. Dieselbe Skepsis, die hier angebracht ist, sollte auch anderswo in der Sicherheitswelt angewandt werden; so haben beispielsweise Berichte über Lösegeldzahlungen gezeigt, dass die gängige Annahme – in diesem Fall, dass die Zahlung eines Lösegelds das Problem löst – nicht haltbar ist, sobald unabhängige Daten untersucht werden. Behauptungen benötigen Beweise, nicht nur Absichten.

Wie Sie die Datenschutzrichtlinie eines VPN prüfen, bevor Sie ihm vertrauen

Bevor Sie einen VPN abonnieren, insbesondere einen, der für risikobehaftete Anwendungsfälle wie die Umgehung von Zensur vermarktet wird, sollten Sie einige konkrete Überprüfungen vornehmen, anstatt das No-Logs-Label für bare Münze zu nehmen:

• Achten Sie auf eine abgeschlossene, veröffentlichte Sicherheitsprüfung durch Dritte, nicht nur auf einen vagen Hinweis, „geprüft“ zu sein. Seriöse Anbieter nennen die Prüfungsfirma und veröffentlichen die Ergebnisse.
• Prüfen Sie, ob der Anbieter eine dokumentierte Historie hat, idealerweise mit Fällen, in denen Strafverfolgungsbehörden Protokolle anforderten und keine verwertbaren Logs existierten.
• Lesen Sie die tatsächliche Datenschutzrichtlinie, nicht nur Marketingseiten, um zu sehen, welche Datenkategorien für Abrechnung, Fehlerbehebung oder Betrugsprävention erhoben werden und wie lange diese Daten gespeichert werden.
• Recherchieren Sie die Eigentumsverhältnisse und den Gerichtsstand des Unternehmens, da die Pflichten zur Datenspeicherung je nach Land erheblich variieren.

Was das für Sie bedeutet

Wenn Sie SplitVPN oder einen anderen VPN nutzen, erinnert das SplitVPN-No-Logs-Datenleck daran, regelmäßig zu überprüfen, ob der Dienst, für den Sie bezahlen, seine Datenschutzversprechen mit echten Beweisen untermauert. Wenn Ihr Anbieter noch nie ein unabhängiges Audit veröffentlicht hat, sollten Sie dies als Alarmsignal und nicht als Formsache betrachten. Für Nutzer in zensurgefährdeten Regionen, in denen eine Kompromittierung von Verbindungsprotokollen reale persönliche Konsequenzen haben kann, ist diese Überprüfung kein optionaler Schritt – sie ist unerlässlich.

Kernaussagen

Der SplitVPN-Vorfall unterstreicht eine einfache Wahrheit: Ein Datenschutzversprechen ist nur so stark wie die Beweise, die dahinterstehen. Bevor Sie einem VPN Ihre Verbindungsdaten anvertrauen, überprüfen Sie dessen No-Logs-Behauptung durch unabhängige Audits und Transparenzberichte, anstatt sich allein auf Marketingaussagen zu verlassen. Überprüfen Sie die Richtlinien Ihres aktuellen Anbieters, achten Sie auf eine Bestätigung durch Dritte und zögern Sie nicht, zu wechseln, wenn die Beweise nicht standhalten.