No-Log-VPN: was das Versprechen wirklich wert ist, und was ein Audit nicht beweist

Eines lässt sich an einem VPN nicht testen. Sie können prüfen, ob Ihre IP verdeckt ist, ob DNS nicht ausläuft, ob der Kill Switch auslöst. All das geschieht auf Ihrem Rechner und Sie können zusehen. Was der Anbieter über Sie notiert, geschieht auf seinen Rechnern, und kein Test von Ihrer Seite wird es je zeigen.

Die Aussage, die von hier aus nicht prüfbar ist

„Keine Protokolle" ist das universelle Versprechen der Branche, und diese Universalität sollte Ihnen bereits etwas sagen: eine Behauptung, die jeder Wettbewerber kostenlos aufstellt, trägt für sich genommen keine Information.

Die Electronic Frontier Foundation sagt es in ihrem Leitfaden Surveillance Self-Defense unverblümt: "Remember that a claim is not a guarantee, so be sure you verify these claims." Und noch deutlicher: "Even if a company claims not to log connection data, this is not a guarantee of good behavior."

Das ist kein Zynismus, sondern die zutreffende Beschreibung einer asymmetrischen Lage. Sie sollen an eine Abwesenheit glauben, und eine Abwesenheit hinterlässt keine prüfbare Spur.

Was ein unabhängiges Audit leistet, und wo es endet

Audits sind die Antwort der Branche, und sie sind tatsächlich etwas wert. Ein Dritter sieht sich Konfigurationen, Server, mitunter Quellcode an und veröffentlicht seine Feststellungen. Die EFF erkennt den Nutzen an: ein Audit kann "reveal otherwise unknown security vulnerabilities".

Dann folgt der Satz, den die meisten Zusammenfassungen weglassen. "There's no certainty that the practices aren't changed after the audit, especially if compelled to do so by a government."

Ein Audit ist eine Fotografie, kein Film. Es beschreibt einen vorab gewählten Umfang, zu einem Zeitpunkt, an einem Ort. Es begleitet das Unternehmen danach nicht, deckt nicht ab, was eine gerichtliche Anordnung im Folgemonat ändern könnte, und erfasst meist nicht jeden Server in jedem Land. Nichts davon macht Audits wertlos. Es macht sie zu einem Beleg über einen vergangenen Zustand statt zu einer Garantie über einen künftigen.

Eine Richtlinie lesen, ohne sich etwas vorzumachen

Wenn die Aussage nicht überprüfbar ist, bleibt sorgfältiges Lesen. Drei Punkte lohnen die Aufmerksamkeit.

Was als Protokoll zählt. Verbindungsmetadaten, Zeitstempel, Bandbreitensummen und die Zahl gleichzeitiger Geräte sind allesamt Daten, und ein Anbieter kann einiges davon aufbewahren und dabei wahrheitsgemäß sagen, er führe keine Aktivitätsprotokolle. Die interessante Frage lautet nie „führen Sie Protokolle", sondern „was genau bewahren Sie auf, und wie lange".

Wem das Unternehmen Rechenschaft schuldet. Die Rechtsordnung entscheidet, wer was erzwingen kann und mit welcher Pflicht, Sie darüber zu informieren. Eine Richtlinie wird innerhalb eines Rechtssystems geschrieben, und dieses System kann sie überschreiben.

Was die Vorgeschichte zeigt. Die EFF rät, sich anzusehen, was tatsächlich berichtet wurde, und merkt an, dass manche Anbieter "have been caught misleading or lying to their customers". Vergangenes Verhalten beweist künftiges nicht, aber es ist der einzige empirische Beleg in einem Feld, das auf unüberprüfbaren Behauptungen ruht.

Der Rat, der daraus folgt

Der Schluss der EFF ist kurz und übernehmenswert: "Do not use a VPN that you do not trust." Sie fügt hinzu, für kein VPN und keine Bewertung bürgen zu können, ein Maß an Ehrlichkeit, das man auf Seiten zu dieser Suchanfrage selten findet.

Praktisch heißt das: die Entscheidung betrifft Vertrauen und Struktur, nicht den Marketingsatz. Was ist das Unternehmen, wem gegenüber verantwortet es sich, was hat es veröffentlicht, wie hat es sich verhalten, als es geprüft wurde. Unser Vergleich zweier auf Datensparsamkeit gebauter Anbieter zeigt, wie diese Struktur praktisch aussehen kann.

Und für alles, was von Ihrer Seite aus doch prüfbar ist, deckt das vollständige Sicherheitsaudit die neun Prüfungen ab, die Sie wirklich selbst durchführen können.

Das ehrliche Fazit

Ein No-Log-Versprechen ist nicht wertlos, und es ist kein Beweis. Es ist eine Zusage, deren Wert vollständig davon abhängt, wer sie gibt und was demjenigen geschieht, wenn sie sich als falsch erweist. Wer Ihnen sagt, er habe geprüft, dass ein Anbieter nichts protokolliert, beschreibt etwas, das er nicht getan haben kann.