Wie sicher ist ein VPN?

Wie sicher ist ein VPN? Die Sicherheit von VPNs wird unter IT-Profis und anderen Branchenvertreter stark diskutiert. Erschwert wird die Diskussion dadurch, dass sich die VPN-Dienste nur schwer miteinander vergleichen lassen. Dafür gibt es zwei einfache Gründe.

Die VPN Anbieter verwenden alle unterschiedliche Techniken. Je nachdem welche VPN-Technik zum Einsatz kommt, entstehen unterschiedliche Einschränkungen.

Wie sicher ist ein VPN?

Die VPN Anbieter unterliegen den rechtlichen und politischen Einschränkungen des Herkunftslandes. Je nachdem wo der Firmensitz des Anbieters ist, kann ein VPN sicherer sein als andere.

Dieser Beitrag wirft einen Blick auf die Faktoren, die einen Einfluss auf die Sicherheit eines VPNs haben können. Dabei betrachtet der Beitrag die Technik und die rechtliche Rahmenbedingungen.

VPN Protokolle

Das verwendete VPN Protokoll legt fest, wie der Dienst die Datenübertragung über ein VPN abwickelt. Die gängigsten Protokolle sind PPTP, L2TP, SSTP, IKEV2 und OpenVPN. Nachfolgend ein kurzer Überblick mit Erklärung:

PPTP (Point-To-Point Tunneling Protocol)

Das ist eines der ältesten verwendeten Protokolle und wurde ursprünglich von Microsoft entwickelt. Der Vorteil von PPTP: Das Protokoll funktioniert auch auf älteren Computern, es ist Teil von Windows und lässt sich einfach einrichten. Die Nachteile: Nach den heutigen Standards ist es kaum noch sicher. Bietet ein VPN-Provider nur PPTP als VPN-Protokoll an, solltet ihr diesen meiden.

L2TP/IPsec (Layer 2 Tunneling Protocol)

Das L2TP/IPsec ist eine Kombination aus PPTP und dem L2F-Protokoll von Cisco. Das Konzept dieses Protokolls ist solide – es verwendet Schlüssel, um eine sichere Verbindung an jedem Ende des Datentunnels herzustellen – aber die Ausführung ist nicht sehr sicher.

Die Verwendung des IPsec-Protokolls verbessert die Sicherheit ein wenig, aber es gibt zwischenzeitlich Berichte, dass die NSA dieses Protokoll angeblich knacken kann. Egal ob die Berichte tatsächlich wahr sind, die Tatsache, dass es überhaupt eine Debatte gibt, reicht aus, um L2TP/IPsec zu meiden.

SSTP (Secure Socket Tunneling Protocol)

SSTP ist ebenfalls ein von Microsoft entwickeltes Protokoll. Die Verbindung wird mit einer SSL/TLS-Verschlüsselung hergestellt. SSL/TLS ist heute der De-facto-Standard für Web-Verschlüsselung. Die Stärke von SSL und TLS basieren auf einer symmetrischen Kryptographie. Eine Konfiguration, bei der nur die beiden an der Übertragung beteiligten Parteien die Daten entschlüsseln können. Insgesamt ist SSTP eine sehr sichere Lösung.

IKEv2 (Internet Key Exchange, Version 2)

Auch IKEv2 wurde von Microsoft entwickelt. Es ist eine Iteration der früheren Protokolle von Microsoft und deutlich sicherer. Es bietet einige der besten Sicherheitsfunktionen.

OpenVPN

OpenVPN bietet das Beste aus den oben genannten Protokollen und beseitigt die meisten Fehler. Es basiert auf SSL/TLS und ist ein Open-Source-Projekt. Dadurch ist es von allen einsehbar und wird von zahlreichen Entwicklern ständig verbessert.

OpenVPN sichert die Verbindung durch Schlüssel, die nur den beiden Teilnehmern an beiden Enden der Übertragung bekannt sind. Insgesamt ist es das vielseitigste und sicherste Protokoll auf dem Markt.

Im Allgemeinen ermöglichen die meisten VPNs die Auswahl des verwendeten Protokolls. Je sicherer das Protokoll, über das die Verbindung hergestellt wird (OpenVPN, IKEv2), desto sicherer ist der VPN.

Nicht alle Geräte unterstützen jedes Protokoll. Die meisten von Microsoft entwickelten Protokolle laufen auf den gängigen Windows-Computer. Bei Apple-Geräten gibt es deutliche Einschränkungen. So ist beispielsweise L2TP/IPsec das Standardprotokoll für das iPhone oder iPad. Auch unter Android gibt es Einschränkungen.

Grundlagen der Verschlüsselung

Kurz gesagt, Verschlüsselung funktioniert wie folgt:

1. Start mit unverschlüsselten Daten
2. Anwendung eines Schlüssels (geheimer Code) zur Transformation der Daten
3. Endet mit verschlüsselten Daten

Die verschlüsselten Daten sind nur für Personen mit dem Originalschlüssel lesbar, der zur Verschlüsselung der Daten verwendet wird.

Moderne Verschlüsselungsalgorithmen arbeiten nach diesem Prinzip, wobei der zweite Schritt sehr komplex und schwer zu verstehen ist. Wichtig ist, dass die Daten mit dem AES-Algorithmus von mindestens 128 Bit verschlüsselt werden.

Viele der sehr sicheren VPNs gehen einen Schritt weiter und bieten AES-256-Verschlüsselung an. Dazu zählen beispielsweise NordVPN, Surfshark und ExpressVPN.

Ein VPN kann sehr sicher sein. Aber letztendlich kommt es auf das Verbindungsprotokoll und den Verschlüsselungsmechanismus an, die für die Verarbeitung der Daten verwendet werden.

Rechtliche Rahmenbedingungen und Unternehmensvision

Hinweis: Hierbei handelt es sich nicht um eine Rechtsberatung. Lest diesen Abschnitt nur zur Unterhaltung.

Ein guter VPN-Anbieter wird so gut wie möglich versuchen, die Daten und Privatsphäre der Kunden zu schützen. Das ist das Geschäftsmodell. Dieses Geschäftsmodell unterliegt jedoch den Gesetzen und der Gerichtsbarkeit des Standorts des Anbieters.

Ein VPN-Anbieter kann beispielsweise durch ein Gesetz des Landes zur Herausgabe von Daten gezwungen werden. Hinzu kommt, es gibt zwischen viele Länder internationale Abkommen zum Austausch und der Herausgabe von Daten.

Eine gründliche Recherche zum VPN-Anbieter ergibt den Gerichtsstand des VPN-Anbieters sowie die Vereinbarungen zum Austausch mit anderen Ländern.

Mit einem VPN seid ihr nur sicher, wenn der Anbieter

• technisch die Daten sicher verschlüsselt
• keine Logs führt
• in einem Land ohne Austausch von Daten sitzt

Die Vorteile und Nachteile eines VPNs liegen auf der Hand. Zwischen eurem Computer und dem Server des Anbieters werden die Daten verschlüsselt. Alle Parteien dazwischen, wie der Betreiber eines offenen WLANs oder der Internet-Provider, können die verschlüsselten Daten nicht auslesen. Vom VPN-Server gehen Daten dann unverschlüsselt an die Ziel-Webseite. Diese sieht nur den Server aber nicht euren echten Standort.

Dafür kostet ein guter VPN Geld und kann sich negativ auf die Geschwindigkeit auswirken. Auch die Auswahl eines sicheren VPN ist nicht einfach. Vor dem Kauf muss immer ein Blick hinter die Marketingversprechen geworfen werden.

Der Aufwand einen guten und sicheren VPN aufzubauen, zu pflegen und zu verwalten verdeutlicht, wieso es fast unmöglich ist einen VPN kostenlos anzubieten. Sobald etwas kostenlos ist, muss der Anbieter auf anderen Wege mit dem Kunden Geld verdienen.