Eine 17 GB große SQL-Datenbank, die derzeit im Cybercrime-Forum Altenen kursiert, rückt eines der am häufigsten wiederholten Versprechen der VPN-Branche ins Rampenlicht: die No-Logs-Richtlinie. Die Datenbank, die angeblich von SplitVPN (vormals NotVPN) gestohlen wurde, einem russischen VPN, das speziell zur Umgehung von Internetzensur vermarktet wird, soll rund 23,4 Millionen Nutzerdatensätze und etwa 58 Millionen Verbindungslogs enthalten. Eine beachtliche Zahl für einen Dienst, der damit wirbt, überhaupt keine Logs zu speichern.

Dies ist nicht nur die Geschichte eines gehackten VPN-Anbieters. Es ist eine Erinnerung daran, dass eine Datenschutzrichtlinie nur so gut ist wie die dahinterstehenden Praktiken – und dass der Vorfall bei SplitVPN, bei dem No-Logs-Behauptungen durch ein Leck widerlegt wurden, genau zeigt, warum Nutzer hinter die Marketingtexte blicken müssen, bevor sie einem Anbieter ihren Datenverkehr anvertrauen.

Was beim SplitVPN-Datenleck geschah

Laut Berichten von Security Affairs begann ein Bedrohungsakteur die Datenbank in einem bekannten Cybercrime-Forum zu verbreiten. Forscher von Mysterium erhielten eine Kopie und glich sie mit dem Rohdatensatz ab. Ihre Analyse bestätigte das Ausmaß: Millionen von Nutzerkonten, Geräteinformationen, Zahlungsdetails und Verbindungsmetadaten – angeblich alle entnommen aus einem Dienst, dessen gesamtes Wertversprechen darauf beruhte, genau solche Daten nicht zu speichern.

Die technische Aufschlüsselung des offengelegten Datensatzes haben wir ausführlich in unserem früheren Beitrag zum SplitVPN-Leck mit 58 Millionen Logs behandelt, einschließlich der offenbar enthaltenen Datenkategorien und der Überprüfung des Lecks. Wenn Sie SplitVPN nutzen oder genutzt haben, lohnt sich die vollständige Lektüre, da dort dargelegt wird, welche Informationen möglicherweise offengelegt wurden und welche Schritte betroffene Nutzer erwägen sollten.

Das Kernproblem ist nicht, dass ein Leck passiert ist – solche Vorfälle gibt es in jeder Branche. Das Problem ist die Kluft zwischen dem, was SplitVPN seinen Nutzern über seine Datenpraktiken mitteilte, und dem, was die geleakte Datenbank offenbar zeigt. Wenn ein VPN sich als Tool zur Zensurumgehung ohne Protokollierung bewirbt und eine gestohlene Datenbank zig Millionen Verbindungsdatensätze enthält, ist das keine kleine Diskrepanz. Es ist ein direkter Widerspruch zum zentralen Leistungsversprechen des Produkts.

Warum Verbindungslogs No-Logs-Versprechen untergraben

Verbindungslogs sind nicht dasselbe wie der Browserverlauf, können aber dennoch äußerst aufschlussreich sein. Ein Verbindungslog zeichnet typischerweise auf, wann ein Nutzer sich mit einem VPN-Server verbunden hat, welchen Server er nutzte, wie lange die Sitzung dauerte und manchmal die IP-Adresse, von der aus die Verbindung hergestellt wurde. Bei einem VPN, das sich an Menschen richtet, die Internetzensur umgehen wollen, kann diese Art von Metadaten für sich genommen sensibel sein, da sie potenziell genutzt werden kann, um Muster zu erkennen, wann und wie jemand auf das Internet zugegriffen hat – auch ohne genau zu wissen, was er nach der Verbindung getan hat.

Eine echte No-Logs-Richtlinie bedeutet, dass ein Anbieter seine Systeme so gestaltet, dass diese Informationen schlicht nicht gespeichert werden – sei es durch reine RAM-Server, sofort verworfene Sitzungsdaten oder eine Infrastruktur, die Verbindungsmetadaten gar nicht erst auf eine Festplatte schreibt. Wenn ein Leck Millionen von Verbindungslogs in einer Datenbank offenbart, legt das nahe, dass der Anbieter genau die Art von Informationen sammelte und speicherte, von denen sein Marketing behauptete, dass dies nicht geschehe. Das ist das zentrale Problem, das der SplitVPN-Vorfall illustriert: Versprechen und Praxis stimmten offenbar nicht überein.

So überprüfen Sie die No-Logs-Behauptungen eines VPNs, bevor Sie ihm vertrauen

Marketingsseiten sind schnell geschrieben. Überprüfbare Beweise sind schwerer zu fälschen und unterscheiden eine glaubwürdige No-Logs-Behauptung von einer leeren. Bevor Sie einem VPN Ihren Datenverkehr anvertrauen, achten Sie auf einige konkrete Signale:

Unabhängige Audits sind wichtiger als selbst verfasste Richtlinien. Wenn eine renommierte externe Sicherheitsfirma die Serverkonfiguration eines Anbieters überprüft und bestätigt, dass keine identifizierenden Logs gespeichert werden, hat das weit mehr Gewicht als ein Absatz auf einer Datenschutzseite.

Gerichtsverfahren und Anfragen von Strafverfolgungsbehörden können als Praxistest dienen. Wenn ein Anbieter zuvor gezwungen wurde, Nutzerdaten herauszugeben, und schlicht keine vorlegen konnte, ist das ein stärkeres Signal als eine ungeprüfte Behauptung.

Transparenzberichte, Gerichtsstand und Eigentümerhistorie spielen ebenfalls eine wichtige Rolle. Ein Anbieter mit Sitz in einem Land mit starken Datenschutzgesetzen, der regelmäßig Transparenzberichte veröffentlicht und eine klare Eigentümerstruktur hat, ist in der Regel leichter zur Rechenschaft zu ziehen als einer, der verschleiert, wer ihn betreibt.

Checkliste: Warnsignale bei der Auswahl eines datenschutzorientierten VPNs

Achten Sie bei der Bewertung eines VPN-Anbieters auf folgende Warnzeichen: Es wurde nie ein unabhängiges Audit veröffentlicht oder das Audit ist seit Jahren veraltet; die Eigentümerschaft oder der Gerichtsstand des Unternehmens sind unklar oder wechseln häufig; die Datenschutzrichtlinie verwendet vage Formulierungen zu „anonymisierten“ oder „aggregierten“ Daten, ohne zu erläutern, was tatsächlich erfasst wird; es gibt keinen Transparenzbericht oder keine Historie im Umgang mit rechtlichen Anfragen; und der Dienst wurde bereits umbenannt (wie SplitVPN von NotVPN), ohne klare Erklärung, was sich betrieblich geändert hat.

Was das für Sie bedeutet

Falls Sie derzeit SplitVPN nutzen, betrachten Sie dies als Anlass, die Berichterstattung über das SplitVPN-Leck mit 58 Millionen Logs zu lesen und zu prüfen, ob Ihre Kontodaten, Geräteinformationen oder Zahlungsdetails Teil der offengelegten Datenbank gewesen sein könnten. Allgemeiner ist dieser Vorfall ein hilfreicher Anstoß, jedes von Ihnen genutzte VPN neu zu überprüfen – nicht weil jeder Anbieter bei seinen Protokollierungspraktiken lügt, sondern weil Vertrauen in diesem Bereich durch Überprüfung verdient werden muss und nicht von einer Marketingseite vorausgesetzt werden sollte.

Der No-Logs-Verstoß bei SplitVPN bedeutet nicht, dass No-Logs-VPNs ein Mythos sind. Es bedeutet, dass das Label allein kein Beweis ist. Anbieter, die auf unabhängige Audits, konsistente Transparenzberichterstattung und eine Erfolgsbilanz beim Schutz von Nutzerdaten unter rechtlichem Druck verweisen können, haben sich ein anderes Vertrauensniveau erarbeitet als solche, die sich allein auf Marketingsprache verlassen.

Umsetzbare Erkenntnisse

Prüfen Sie, ob Ihr VPN-Anbieter ein aktuelles, öffentlich einsehbares unabhängiges Audit seiner No-Logs-Behauptungen durchlaufen hat. Informieren Sie sich über den Gerichtsstand und die Eigentümerhistorie des Anbieters, da diese beeinflussen, welche Daten rechtlich von ihm erzwungen werden können. Lesen Sie Transparenzberichte, falls der Anbieter sie veröffentlicht, und betrachten Sie ihr Fehlen als kritische Lücke. Wenn Sie SplitVPN-Nutzer waren, prüfen Sie die Details des offengelegten Datensatzes und erwägen Sie, wiederverwendete Passwörter oder mit diesem Konto verknüpfte Zahlungsinformationen zu ändern. Und wählen Sie künftig Datenschutztools auf Basis überprüfbarer Belege – nicht allein aufgrund von Versprechungen.