SplitVPN-Datenleck legt 865.000 Datensätze und 58 Millionen Protokolle offen

Was das SplitVPN-Datenleck offengelegt hat

Ein neu bekannt gewordenes Datenleck hat SplitVPN, einen Virtual Private Network-Anbieter, in den Mittelpunkt einer unangenehmen Frage gerückt, die in der VPN-Branche immer wieder auftaucht: Was passiert, wenn ein Unternehmen, das verspricht, Ihre Aktivitäten nicht zu protokollieren, dies dennoch getan hat?

Berichten zufolge legte das Leck rund 865.000 Nutzerdatensätze mitsamt vollständigen Kreditkartennummern offen. Das allein wäre für jeden Online-Dienst ein schwerwiegender Vorfall. Doch der Umfang geht weit über Abrechnungsinformationen hinaus. Die offengelegte Datenbank enthielt offenbar Administratorkonten mit Passwort-Hashes, Protokolle, die die Aktionen der eigenen Betreiber von SplitVPN nachverfolgen, sowie Infrastrukturdetails zur Bereitstellung von App-Store-Konten. Sicherheitsforscher, die das Leck untersuchten, merkten an, dass das Vorhandensein von Zugangsdaten auf Administratorebene und internen Betriebsdaten darauf hindeutet, dass die Verletzung über die reinen Nutzerdaten hinausgehen könnte.

Die vielleicht folgenreichste Entdeckung jedoch sind 58 Millionen versteckte Verbindungsprotokolle in derselben Datenbank. Für einen VPN-Anbieter richtet diese einzige Zahl mehr Schaden am Vertrauen an als die Preisgabe der Zahlungsdaten oder der Administratoren-Zugangsdaten zusammen.

Warum 58 Millionen protokollierte Verbindungen No-Logs-Behauptungen widersprechen

Das gesamte Wertversprechen eines VPNs beruht auf einem einfachen Versprechen: Ihr Anbieter leitet Ihren Datenverkehr um, verschlüsselt ihn und behält keine Aufzeichnung darüber, was Sie wann getan haben. Anbieter vermarkten dies als „No-Logs-Richtlinie“, oft die am häufigsten wiederholte Phrase in der VPN-Werbung. Genau deswegen zahlen datenschutzbewusste Nutzer überhaupt für den Dienst.

Eine Datenbank mit 58 Millionen Verbindungsprotokollen ist keine hypothetische Spitzfindigkeit. Sie ist der direkte Beweis, dass die von SplitVPN gegenüber seinen Kunden beworbene Richtlinie nicht mit dem übereinstimmte, was auf seinen Servern tatsächlich geschah. Verbindungsprotokolle dieser Art erfassen typischerweise Informationen wie Zeitstempel, Sitzungsdauer und Ursprungs- oder Ziel-IP-Adressen – genau die Metadaten, deren Speicherung eine echte No-Logs-Architektur vermeiden soll. Wenn diese Daten zusammen mit Zahlungsinformationen und Administrator-Anmeldedaten in einer leckgeschlagenen SQL-Datenbank landen, bestätigt dies, dass die Protokolle lange genug und in einem abrufbaren Format existierten, um gestohlen zu werden.

Es ist nicht das erste Mal, dass No-Logs-Marketing eines VPNs durch ein Leck widerlegt wurde, und es wird nicht das letzte Mal sein. Doch das Ausmaß hier – zig Millionen einzelner Verbindungsdatensätze, verknüpft mit Hunderttausenden Benutzerkonten – macht SplitVPN zu einem eklatanten Fallbeispiel für die Kluft zwischen dem, was Anbieter sagen, und dem, was sie speichern. Für eine detailliertere Aufschlüsselung, was genau die geleakte Datenbank enthält und warum der Protokollierungs-Widerspruch von Bedeutung ist, geht unsere frühere Berichterstattung zum SplitVPN-Leck und seinen No-Logs-Behauptungen genauer auf die Einzelheiten ein.

Wie man die Sicherheits- und Protokollierungspraktiken eines VPN-Anbieters überprüft

Der Vorfall bei SplitVPN erinnert eindringlich daran, dass eine auf einer Marketingseite gedruckte No-Logs-Behauptung keine Verifizierung, sondern ein Versprechen ist. Leser, die einen VPN-Anbieter prüfen – ob sie SplitVPN genutzt haben oder nicht – sollten auf einige konkrete Anzeichen von Rechenschaftspflicht achten, anstatt den Richtlinienwortlaut für bare Münze zu nehmen.

Unabhängige Sicherheitsaudits durch Dritte sind gegenwärtig das, was einer echten Verifizierung am nächsten kommt. Ein Anbieter, der eine externe Firma beauftragt hat, seine Serverkonfigurationen zu untersuchen und zu bestätigen, dass keine Protokolle gespeichert werden, bietet Nutzern mehr Substanz als eine schriftliche Richtlinie. Es lohnt sich auch zu prüfen, ob ein Anbieter eine dokumentierte Historie von Transparenzberichten, offen kommunizierten Vorfällen und einem klaren Zeitplan für die Speicherung von Abrechnungs- und Kontodaten hat – denn Zahlungsdaten sind oft der Teil, den Nutzer übersehen, wenn sie sich ausschließlich auf Surf-Protokolle konzentrieren. Die Analyse des No-Logs-Widerspruchs von SplitVPN behandelt weitere Fragen, die es sich zu stellen lohnt, bevor man den Datenschutzversprechen eines Anbieters vertraut.

Was das für Sie bedeutet

Wenn Sie ein aktueller oder ehemaliger SplitVPN-Nutzer sind, betrachten Sie dies als einen akuten Vorfall, der Handlungsbedarf erfordert, und nicht nur als eine Schlagzeile, über die Sie hinweglesen. Die Offenlegung von Kreditkartennummern bedeutet, dass Ihre Finanzdaten durch Betrug gefährdet sein könnten. Die Offenlegung von Verbindungsprotokollen bedeutet, dass Aktivitäten, von denen Sie glaubten, sie seien nie aufgezeichnet worden, nun mit Ihrem Konto verknüpft sein könnten. Und die Offenlegung von Administrator-Zugangsdaten bedeutet, dass die zugrunde liegende Plattform selbst möglicherweise nicht sicher ist, bis SplitVPN die Behebung bestätigt.

Maßnahmen, die Sie ergreifen sollten, falls Sie SplitVPN-Nutzer waren

Kündigen oder ersetzen Sie die mit Ihrem SplitVPN-Konto verknüpfte Zahlungsmethode und überwachen Sie Ihre Kontoauszüge genau auf unautorisierte Abbuchungen. Ändern Sie sofort Ihr SplitVPN-Passwort, und falls Sie dieses Passwort anderswo wiederverwendet haben, ändern Sie es auch dort. Aktivieren Sie die Zwei-Faktor-Authentifizierung für jedes Konto, bei dem sie verfügbar ist. Achten Sie auf Phishing-Versuche, die sich auf dieses Leck beziehen, denn Angreifer nutzen geleakte Daten oft, um überzeugende Folgebetrügereien zu konstruieren. Wenn Sie auf der Suche nach einem neuen VPN sind, priorisieren Sie Anbieter mit unabhängig geprüften No-Logs-Behauptungen statt allein selbsterklärter Richtlinien.

Der No-Logs-Widerspruch beim SplitVPN-Datenleck ist ein klares Signal, dass Datenschutzversprechen Beweise brauchen, nicht nur Marketingtexte. Nutzer verdienen Anbieter, die ihre Behauptungen belegen können, und nicht nur aufstellen.