Ein Datenleck im Zusammenhang mit SplitVPN, einem VPN-Anbieter, der früher als NotVPN bekannt war, hat 865.336 Nutzer und rund 58 Millionen Verbindungsprotokolle offengelegt. Der Vorfall zieht besondere Aufmerksamkeit auf sich, weil SplitVPN – wie viele VPN-Dienste – mit einem strikten No-Logs-Versprechen geworben hatte: Die Nutzeraktivitäten würden niemals aufgezeichnet oder gespeichert. Das Leck deutet darauf hin, dass dieses Versprechen in der Praxis nicht gehalten wurde.

Für eine Branche, die nahezu vollständig auf Vertrauen aufbaut, ist dies die Art von Geschichte, die verändert, wie Menschen die Behauptungen eines VPN-Anbieters bewerten. Millionen von Menschen nutzen VPNs gerade deshalb, um zu verhindern, dass ihr Surfverhalten irgendwo verfolgt oder gespeichert wird. Wenn die Protokollierungspraktiken eines Anbieters seiner Werbung widersprechen, wirft das nicht nur für SplitVPN-Kunden, sondern für alle, die sich auf ein „No-Logs“-Label verlassen, um einem Dienst ihren Datenverkehr anzuvertrauen, schwierige Fragen auf.

Was beim SplitVPN-Datenleck geschah

Laut der Offenlegung umfassten die exponierten Daten 865.336 Nutzerdatensätze zusammen mit etwa 58 Millionen Verbindungsprotokollen. Diese Menge an Verbindungsdaten ist bedeutsam, weil ein echter No-Logs-VPN solche Aufzeichnungen über Nutzerverbindungen gar nicht erst erzeugen, geschweige denn in diesem Umfang speichern sollte. Das Vorhandensein von Dutzenden Millionen Verbindungsprotokollen untergräbt unmittelbar die zentrale Datenschutzgarantie, mit der SplitVPN bei seiner Nutzerbasis geworben hatte.

SplitVPN betrieb seinen Dienst zuvor unter dem Namen NotVPN, bevor das Rebranding stattfand. Der SplitVPN-Datenleck, das 865.000 Datensätze und 58 Millionen Protokolle preisgibt hat bereits eine breitere Diskussion darüber ausgelöst, wie VPN-Unternehmen ihre eigenen Datenschutzrichtlinien überprüfen und durchsetzen – insbesondere bei kleineren oder weniger bekannten Anbietern, die möglicherweise nicht dem gleichen Maß an unabhängiger Prüfung unterliegen wie größere, etablierte Dienste.

Warum das No-Logs-Versprechen so schwer wiegt

Das gesamte Wertversprechen eines VPNs beruht auf Vertrauen. Nutzer leiten ihren Datenverkehr über einen Drittanbieter-Server, damit ihr Internetanbieter, Netzwerkadministratoren oder andere Beobachter nicht sehen können, was sie online tun. Im Gegenzug geben sie genau diese Einsicht in die Hände des VPN-Anbieters. Eine No-Logs-Richtlinie ist der Mechanismus, der verhindern soll, dass das VPN-Unternehmen selbst zur Quelle einer Offenlegung wird.

Wenn ein Anbieter mit „No-Logs“ wirbt, später aber festgestellt wird, dass er Verbindungs-Metadaten gespeichert hat, und diese Metadaten dann bei einem Leck offengelegt werden, wird der Zweck der Dienstnutzung von vornherein zunichte gemacht. Die Nutzerdaten wurden nicht nur durch einen externen Angreifer exponiert – sie existierten überhaupt in einer Form, von der versprochen wurde, sie würde niemals angelegt. Genau deshalb drängen Regulierungsbehörden, Sicherheitsforscher und Datenschutzanwälte immer wieder auf unabhängige Prüfungen von No-Logs-Behauptungen, statt die Werbesprache für bare Münze zu nehmen.

Welche Daten offengelegt wurden

Das SplitVPN-Datenleck betraf Berichten zufolge Nutzerkontendatensätze und Verbindungsprotokolle, die in die Dutzende Millionen gehen. Solche Verbindungsprotokolle können potenziell Muster offenbaren – etwa wann ein Nutzer sich verbunden hat, wie lange und andere Metadaten seiner VPN-Sitzungen. Selbst ohne den vollständigen Browserverlauf kann diese Art von Metadaten genutzt werden, um auf Verhalten, zeitliche Abläufe und Gewohnheiten zu schließen, von denen die Nutzer glaubten, sie blieben privat.

Für die betroffenen Personen bedeutet die Offenlegung, dass Informationen, von denen sie annahmen, sie seien nie gesammelt worden, nun mit ihren Konten verknüpft und möglicherweise für Unbefugte zugänglich sind. Das ist ein anderes – und wohl schädlicheres – Szenario als ein typischer Datenbruch, weil es auch die Vertrauensgrundlage zerstört, auf der der Dienst verkauft wurde.

Was das für Sie bedeutet

Falls Sie jemals SplitVPN oder NotVPN genutzt haben, sollten Sie dies als Anstoß nehmen, Ihr Konto zu überprüfen und alle mit dem Dienst verknüpften Zugangsdaten zu ändern – einschließlich wiederverwendeter Passwörter auf anderen Plattformen. Allgemeiner ist dieses Leck eine Erinnerung daran, dass „No-Logs“ eine Behauptung und keine Garantie ist, solange sie nicht unabhängig überprüft wurde. Bevor Sie einem VPN-Anbieter Ihren Datenverkehr anvertrauen, achten Sie auf Belege wie externe Prüfungen, Transparenzberichte oder eine dokumentierte Geschichte, in der Datenschutzversprechen auch unter Druck Bestand hatten.

Es ist auch ein guter Moment, neu zu bewerten, was Sie von einem VPN erwarten. Eine No-Logs-Richtlinie sollte bedeuten, dass es von vornherein nichts gibt, was durchsickern könnte. Wenn ein Leck bei einem Anbieter, der behauptete, keine Protokolle zu führen, Millionen von Verbindungsdaten zutage fördert, ist das ein deutliches Warnsignal dafür, wie das Unternehmen hinter den Kulissen tatsächlich arbeitet – unabhängig von seinen Marketingaussagen.

Konkrete Handlungsempfehlungen

Falls Sie aktueller oder ehemaliger Nutzer von SplitVPN oder NotVPN sind, ändern Sie umgehend Ihr Kontopasswort und aktualisieren Sie es überall dort, wo Sie es möglicherweise wiederverwendet haben. Beobachten Sie Ihre E-Mail- und Zahlungskonten in den Wochen nach dieser Offenlegung auf verdächtige Aktivitäten. Wählen Sie künftig VPN-Anbieter, die unabhängig geprüfte No-Logs-Berichte veröffentlichen, anstatt sich auf ungeprüfte Versprechungen zu verlassen. Und behandeln Sie jedes Datenschutzversprechen, egal von welchem Anbieter, als etwas, das es zu überprüfen gilt, nicht als gegeben – dieser Vorfall zeigt, wie schnell ein No-Logs-Versprechen gebrochen werden kann.