VPN schützt wirklich die Privatsphäre? IBM Sicherheitschef analysiert die dahinter stehenden Vertrauensrisiken

Mit dem virtuellen privaten Netzwerk (VPN) wird ein „Privatsphäre-Tool“, das im Internet weit verbreitet beworben wird, immer präsenter. Die entsprechenden Werbungen sind auf Websites, Apps und YouTube-Anzeigen überall zu sehen und heben anonymes Surfen sowie den Schutz persönlicher Daten hervor. Dazu erklärt Jeff Crume, Leiter der IT-Sicherheit bei IBM, in einem Analysevideo, ausgehend von realen Netzwerksituationen, schrittweise die technische Funktionsweise, das Vertrauensmodell und die Datenschutzbeschränkungen von VPNs. Er verdeutlicht, dass VPN kein Allheilmittel ist, sondern ein Werkzeug zur „Neuverteilung von Vertrauen“.

Sensiblen Daten auf öffentlichem Netz – Malicious Wi-Fi als gängige Angriffsmethode

Crume weist darauf hin, dass beim Übertragen von Kreditkartennummern, Personalausweisen oder geschäftskritischen Daten über das Internet diese Inhalte tatsächlich über „öffentliches Netzwerk“ gesendet werden – ähnlich wie laut in der Öffentlichkeit sprechen, was von Unbefugten abgefangen werden kann.

Er hebt eine häufige Angriffsmethode hervor: In öffentlichen Orten wie Cafés oder Hotels könnten Angreifer Hotspots mit nahezu identischem Namen wie legitimes Wi-Fi aufsetzen, um Nutzer zum Verbinden zu verleiten. Sobald die Verbindung hergestellt ist, können die Angreifer die Daten bereits vollständig abfangen und einsehen, noch bevor sie das echte Internet erreichen.

Grundprinzip von VPN: Verschlüsselter Kanal

Zur Abwehr dieser Risiken erklärt Crume, dass die Kernfunktion eines VPN darin besteht, zwischen dem Gerät des Nutzers und dem VPN-Dienstleister eine verschlüsselte Übertragung zu etablieren.

In diesem Modell werden alle Daten vor dem Versand verschlüsselt, an den VPN-Anbieter gesendet, dort entschlüsselt, das Ziel geprüft, erneut verschlüsselt und schließlich an die tatsächliche Website weitergeleitet. Auch die Rückdaten durchlaufen denselben Prozess.

Dadurch können externe Abhörer, öffentliche Wi-Fi-Angreifer und sogar der Internetanbieter (ISP) nur sehen, dass eine Verbindung zwischen Nutzer und VPN besteht, nicht jedoch den tatsächlichen Inhalt oder das endgültige Ziel.

Das Wesen von VPN: Nicht das Eliminieren von Vertrauen, sondern die Verschiebung

Crume betont, dass „Vertrauen“ unabhängig davon, ob VPN genutzt wird, nicht eliminiert werden kann, sondern nur verschoben wird. Er unterscheidet die Vertrauenspersonen in verschiedenen Szenarien:

Kein VPN: Nutzer müssen dem ISP sowie allen möglichen unbekannten Parteien, die die Pakete während der Übertragung abfangen könnten, vertrauen.

Unternehmens-VPN: Mitarbeiter verbinden sich remote mit dem Firmennetz, was im Wesentlichen bedeutet, das Vertrauen an den Arbeitgeber zu übertragen – der Fokus liegt auf Unternehmenssicherheit, nicht auf Privatsphäre.

Drittanbieter-VPN: Nutzer bündeln das Vertrauen, das ursprünglich auf das Internet und den ISP verteilt war, und übertragen es an den VPN-Dienstleister.

Er sagt offen, dass die eigentliche Funktion eines VPN darin besteht, das „Vertrauen, das man ursprünglich vielen Menschen schenken musste“, in „das vollständige Vertrauen in eine einzelne Person oder Organisation“ umzuwandeln.

Realistische Risiken bei Drittanbieter-VPNs

Jeff Crume weist darauf hin, dass VPN-Anbieter, da sie den Datenverkehr unterwegs entschlüsseln müssen, Einblick in Zieladressen, IP-Nummern, Nutzungsfrequenz und sogar den tatsächlichen Inhalt haben. Daraus ergeben sich mehrere nicht zu vernachlässigende Risiken:

Datenmonetarisierung bei kostenlosen VPNs: Wenn Nutzer nicht bezahlen, könnten Anbieter durch das Sammeln und den Verkauf von Daten Gewinne erzielen.

Sicherheitsvorfälle: Selbst wenn der Anbieter keine böswilligen Absichten hat, besteht bei einem Hack die Gefahr, dass Nutzerdaten kompromittiert werden.

Rechtliche Anforderungen: In manchen Ländern könnten VPN-Anbieter gesetzlich verpflichtet sein, Nutzerdaten herauszugeben.

Er warnt, dass der entscheidende Punkt bei der Nutzung eines Drittanbieter-VPNs nicht darin liegt, ob man es „verwendet“, sondern ob man wirklich versteht, wem man vertraut.

Eigenes VPN aufbauen – Vertrauen bleibt ein Thema

Für Nutzer, die besonderen Wert auf Privatsphäre legen, erwähnt Crume die Möglichkeit, ein „eigenes VPN“ zu betreiben, bei dem alle Infrastruktur in eigener Hand liegt. Er weist jedoch gleichzeitig darauf hin, dass auch in diesem Fall das Vertrauen in die VPN-Software selbst besteht, egal ob Open Source oder kommerziell, da die Integrität des Codes und der Update-Mechanismen stets vertraut werden muss – kein Null-Risiko.

(Technik-News: Zwei chinesische Botschafter für Frieden behaupten, China könne das VPN nicht wirklich blockieren, solange man es nutzt)

Dieser Artikel „VPN kann wirklich den Datenschutz schützen? IBM-Sicherheitschef analysiert die dahinter stehenden Vertrauensrisiken“ erschien zuerst bei 链新闻 ABMedia.