No-logs unter der Lupe: Was VPNs wirklich protokollieren und wie man das 2026 überprüft

Warum No-logs 2026 zum Privatsphäre-Fetisch wurde

Was bedeutet Protokollierung im Kontext von VPNs

Fangen wir einfach an. Protokollierung bei VPNs sind sämtliche Aufzeichnungen über deine Aktivitäten oder den Betrieb des Dienstes, die der Anbieter speichert. Klingt langweilig? Ganz im Gegenteil. Was genau gespeichert wird, entscheidet, ob später jemand deine digitale Spur rekonstruieren kann. Es gibt verschiedenste Logs: technische, diagnostische, Zahlungs- und sogar Marketingdaten. Manche sind nötig, damit der Dienst überhaupt funktioniert, andere helfen bei der Weiterentwicklung, und wieder andere sorgen dafür, dass das Marketing nicht zum Stillstand kommt. Genau hier liegt die feine Grenze. Eine Null-Logs-Politik verspricht, dass diese digitalen Spuren überhaupt nicht gespeichert werden. Vollkommen. In der Praxis sind die Details aber komplexer, als es die Werbebanner vermuten lassen.

Beim Verbinden mit einem VPN baut der Client einen verschlüsselten Tunnel zum Server auf. Im Idealfall sieht der Anbieter nicht, wer du bist, woher du kommst und was du machst. Doch gewisse Metadaten braucht er oft trotzdem – zum Beispiel, um eine Fehlermeldung auszugeben, wenn die Schlüssel nicht passen, oder um Missbrauch zu verhindern. Die Frage ist nicht, ob Metadaten existieren, sondern welche und wie lange sie gespeichert werden. Der Unterschied zwischen „benötigt für Sekunden“ und „standardmäßig gespeichert“ ist im Grunde genommen der Unterschied zwischen echter Privatsphäre und der Illusion davon.

Technische Teams sagen oft: Ohne Logs ist die Arbeit schwierig. Das verstehen wir. Aber das ist keine Rechtfertigung für grenzenlose Datensammlung. Firmen mit starker Datenschutzkultur gestalten die Erfassung diagnostischer Daten so, dass sie standardmäßig deaktiviert ist oder so stark anonymisiert wird, dass selbst interne Experten kaum Interesse an diesen Daten haben – außer für Serverlaststatistiken und Netzwerkerweiterungen.

Wie die Idee der „Null-Logs“ entstand und warum sie kontrovers ist

No-logs entstand als Reaktion auf die Realität: Internetanbieter speichern alles, Werbenetzwerke bauen Profile, und Nutzer suchen irgendwo Schutz. Die VPN-Branche hat schnell auf diese Nachfrage reagiert. Slogans wie „Null Logs“ wurden zum Standard. Aber Schwarz-Weiß-Geschichten gibt es kaum. Bei diesen großen Versprechen entsteht Verantwortung: Wenn du sagst „Wir speichern keine Logs“, dann dürfen unter keinen Umständen Logs in der Produktion auftauchen. Weder bei einem Fehler, noch auf temporären Servern oder einzelnen Regionen. Das ist eine klare Haltung. Und ja, einige Anbieter halten das tatsächlich durch.

Die Kontroversen entstehen, wenn Marketing auf Infrastruktur trifft. Ingenieure wollen Metriken und Tracing, um Bugs zu beheben. Juristen fordern Rechtssicherheit. Sicherheitsexperten pochen auf Datenminimierung. Jedes Mal sucht das Team einen Kompromiss. Die besten Anbieter kommunizieren diesen offen: Was kurz gepuffert wird, was aggregiert, was sofort gelöscht wird und welche Logging-Systeme nur in Testumgebungen laufen. Die schlechtesten verstecken Details und hoffen, dass niemand nachfragt.

2026 fallen Nutzer nicht mehr auf leere Versprechen herein. Sie verlangen Beweise: transparente Reports, unabhängige Audits, technische Lösungen, die gar keinen Platz für Logs lassen. Realismus verdrängt Schlagworte. Und das ist sinnvoll.

Trends 2025–2026: RAM-only, privates DNS, offene Repositories

Was sehen wir aktuell? Erstens eine „RAM-only“-Infrastruktur: Server ohne Festplatten oder mit verschlüsseltem nicht persistentem Layer, der nach Neustart komplett gelöscht ist. Selbst bei einer Durchsuchung gibt es nichts zu holen. Zweitens private DNS-Resolver, die der Anbieter selbst betreibt, ohne Anfrage-Logs und mit Unterstützung von DNS-over-HTTPS und DNS-over-TLS. Drittens minimale Telemetrie und optionales Crash-Reporting: aktiviert man es, wird ein anonymisierter Dump gesendet, deaktiviert man es, respektiert der Dienst die Entscheidung. Viertens ist der Quellcode der Clients teilweise offen (vor allem für WireGuard und OpenVPN), es gibt öffentliche Bug-Bounty-Programme und regelmäßige externe Audits – nicht einmalig, sondern geplant und mit klaren Prüfkriterien.

Wichtig: Im Jahr 2026 setzen viele Anbieter auf kontinuierliche Compliance-Monitoring – keine Einmalbescheinigung, sondern fortlaufende Absicherung. Dazu kommen immer öfter Datenminimierung durch Design: Daten werden grundsätzlich reduziert. Das ist kein Trend, sondern ein Wettbewerbsvorteil. Die Nutzer zahlen mit ihrem Vertrauen.

Marketing vs. Realität: Ehrlichkeit von Versprechen unterscheiden

Wie erkennt man Unehrlichkeit? Ganz einfach: Frag konkret nach. Stelle klare Fragen und achte auf klare Antworten. Ehrliche Anbieter erklären die Architektur, nennen die Auditoren und veröffentlichen die Berichte. Unehrliche weichen aus, sprechen in Allgemeinplätzen oder verdrehen Begriffe. Marketing benutzt gerne „militärische“ Begriffe – „Bankenverschlüsselung“, „Nullsichtbarkeit“, „absolute Anonymität“. In der Realität gibt es keine Absolutwerte. Es gibt gutes Sicherheitsdesign, vorsichtige Zurückhaltung und klare technische Dokumentation. Und das ist viel wertvoller.

Was VPNs wirklich protokollieren können: Datenschichten

Technische Logs: Sitzungen, Metadaten, Telemetrie

Technisch kann ein VPN-Server temporäre Sitzungsmetadaten sehen: Verbindungsstart und -ende, Datenvolumen, Protokolltyp, interne IPs im Tunnel. Teile davon werden tatsächlich für den Betrieb und die Lastverteilung benötigt. Entscheidend ist, ob und wie lange diese Daten gespeichert werden. Wenn in der Politik steht „Wir speichern aggregierte Laststatistiken ohne Accountbezug“, ist das etwas anderes, als wenn sie schwammig formulieren: „Wir sammeln Diagnosedaten zur Serviceverbesserung“. Das ist schon ein Warnsignal. Zu unkonkret, zu flexibel für weite Interpretationen.

Eine weitere Schicht ist die Client-Telemetrie: App-Versionen, Fehlercodes, Verbindungsverzögerungen, Tunnelabstürze. Diese Infos gehen oft an Analyseplattformen. Beste Praxis: Entweder optional oder zwingend anonymisiert, ohne Nutzer-IDs. Gute Clients bieten den kompletten Aus-Schalter für Telemetrie und erklären, was im Fall des Abschaltens verloren geht. Ehrlichkeit steckt im Detail.

Verwechsle keinen Rohverkehr-Log mit technischen Service-Logs. Erstere sind ein rotes Tuch und klarer Bruch der No-logs-Versprechen, letztere sind Verhandlungssache und transparent. Anbieter müssen klar trennen: Inhalte und DNS-Anfragen werden nicht auf Festplatte geschrieben, Nutzer-IP-Adressen werden nicht mit Sitzungen verknüpft, Metadaten nur im RAM gehalten und verschwinden bei Prozessneustart.

Zahlungen und Abrechnung: heikles Terrain

Zahlungsinformationen sind ein ewiges Thema. Einerseits muss der Anbieter Zahlungen abwickeln und Finanzgesetze beachten. Andererseits wollen Kunden Privatsphäre und minimale Spuren. 2026 bieten viele respektierte VPNs mehrere Lösungen: Kreditkarten über PCI-DSS-konforme Provider, PayPal, Kryptowährungen, Gutscheine oder sogar Bargeld via Partner in bestimmten Ländern. Ideal ist die Entkopplung der zahlungsbezogenen Daten vom Nutzerkonto: Das Zahlungsunternehmen speichert die Transaktion, das VPN-Konto besteht etwa über eine temporäre oder Einweg-E-Mail ohne Namen oder Adresse.

Wovor du dich hüten solltest? Verknüpfungen von Zahlung und Sitzungslogs. Das ist ein grober Fehler und ein klares No-Go. Wenn in der Politik steht: „Zahlungsdaten werden von Drittanbietern verarbeitet, wir sehen nur den Zahlungsstatus, keine Kartendaten“, ist das eine solide Praxis. Gut ist es, wenn Verlängerungen manuell möglich sind und keine automatische Abbuchung läuft. Noch besser, wenn bei Kryptowährungszahlungen keine durchgängigen IDs zur Profilerstellung vorhanden sind und Beträge über Mixing-Dienste oder sichere Gateways laufen.

Wichtig: Zahlungsdaten sind nicht gleich Nutzung-Logs. Du kannst mit Karte zahlen und trotzdem hohe Privatsphäre haben, wenn der Anbieter die Datenströme diszipliniert trennt. Paranoiker bevorzugen Gutscheine und Krypto – auch eine verständliche Strategie.

Diagnose und Crash-Reports: Wo es dünn wird, reißt es

Crash-Reports lieben Entwickler, sie helfen Fehlerursachen zu erkennen. Aber sie transportieren oft zu viele Details – Speicherfragmente, Bibliotheksversionen, Systemkonfiguration, Verbindungslogs. Verantwortungsvolles Design sorgt dafür, dass Crashes standardmäßig nicht gesendet werden oder nur mit expliziter Zustimmung und klarer Datentransparenz. Keine IPs, keine URLs, keine DNS-Spuren, nur technische Details. Manche bieten sogar lokale Reports an: Nutzer speichern die Datei selbst, prüfen sie und entscheiden, ob sie mit Ticket geteilt wird. Transparent und reif.

Diagnostische Logs sind ein weiterer Kompromiss. Bei Verbindungsproblemen braucht man manchmal temporäre Logs lokaler Art mit OpenVPN- oder WireGuard-Fehlermeldungen. Diese bleiben auf dem Gerät, werden ohne Zustimmung nicht veröffentlicht und nach Problembehebung gelöscht. Ein Dienst mit Datenschutzkultur behandelt es genau so.

Cookies, Website und Tracker: kleine Fußspuren, große Wirkung

Ironie des Schicksals: Nutzer installieren VPNs für Privatsphäre, doch die Webseite des Anbieters ist voller Drittanbieter-Tracker. Für 2026 ein absolutes No-Go. Gute Praxis ist eigene Webanalytik ohne Dritte, minimale Cookies, transparente Cookie-Banner und kein Fingerprinting. Idealerweise: „Wir setzen keine externen Tracker ein, nur eigene aggregierte Analytik ohne persönliche IDs“. Das mag unsichtbar sein, zeigt aber, wie ernst es die Firma meint.

Siehst du auf dem Cookie-Banner direkt „Google Analytics, Meta Pixel, Hotjar & Co.“, atme tief durch und frage nach. Kann man das abschalten? Warum so viele? Passt das zu No-logs? Unterschiedliche Datenkreise, ja. Aber Vertrauen bricht schnell und ist schwer wiederherzustellen.

Formulierungen der Datenschutzrichtlinien: Zwischen den Zeilen lesen

Zauberwörter und Warnsignale

Die Datenschutzrichtlinie ist kein Gedicht, sondern ein juristisches Dokument. Man sollte sie mit Bleistift lesen. Warnzeichen sind: „Wir können notwendige Daten sammeln“, „Wir teilen Daten mit vertrauenswürdigen Partnern“, „Wir behalten uns Änderungen vor ohne Benachrichtigung“, „Wir speichern Logfiles für Sicherheitszwecke“. Solche Formulierungen sind oft viel zu breit und lassen Interpretationsspielraum. Wir brauchen eine klare Liste: Welche Felder, in welchem Umfang, auf welcher Rechtsgrundlage, wo gespeichert, wie lange, wer Zugriff hat und wie Vorfälle untersucht werden.

Gute Keywords sind: „data minimization“, „privacy by design“, „no persistent logs“, „RAM-only infrastructure“, „independent audit“, „open security report“. Wenn die Politik klar sagt: „Wir speichern keine Ursprungs-IP, keine Besuchshistorie, keine DNS-Anfragen und keine Sitzungszeitstempel; nur aggregierte Serverlast ohne Accountbezug“, ist das ein starker Indikator. Wer weiß, was er sagt, strahlt das aus.

Der Teufel steckt im Detail. Zum Beispiel: „Wir speichern keine Ursprungs-IP“ – super. Aber wie sieht es mit Zwischensystemen aus? DDoS-Filtern? VPN-Standorten bei Hosting-Partnern? Die Politik muss die gesamte Datenverarbeitungskette abdecken, nicht nur das zentrale Rechenzentrum. Je mehr Details zu Subunternehmern, desto besser.

Beispiele sicherer Formulierungen als Orientierung

Starke Politiken klingen so: „Standardmäßig speichern wir keine persönlichen Daten. Abonnements sind per E-Mail ohne Identitätsprüfung möglich. Zahlungen laufen über Drittanbieter, wir erhalten nur den Zahlungsstatus. Unabhängige Prüfung der Infrastruktur und fehlender Logs erfolgt jährlich. Server sind disklos, mit zustandslosem Setup, Monitoring nur aggregiert.“ Siehst du? Struktur, Fristen, Prozesse. Kein „Wir sorgen für deine Privatsphäre“ – das sind leere Phrasen – sondern konkrete technische Lösungen.

Ein weiteres gutes Beispiel: „Crash-Reports werden nur nach Nutzerzustimmung gesendet, sind vorher einsehbar. Diagnostische Logs werden lokal gesammelt und nach 24 Stunden gelöscht. Zusammenarbeit mit Behörden nur bei rechtsgültigen Anfragen, öffentliche Transparenzberichte und warrant canary werden quartalsweise aktualisiert.“ Eine reife, erwachsene Haltung, bei der die Firma keine Angst hat, Klartext zu reden.

Grauzonen: „außer gesetzlich vorgeschrieben“

Das ist keine böse Floskel, sondern Realität. Aber sie verändert vieles. Wenn deine Jurisdiktion dich verpflichtet, Verbindungsdaten aufzubewahren, schützt dich keine Politik. Dann ist entscheidend, wo das Unternehmen registriert ist, welche Server es direkt betreibt und welche gemietet sind, und welche Länder überhaupt Teil des Netzwerks sind. Manchmal sind „diese Standorte virtuell, der Traffic läuft über befreundete Länder“ eine bewusste Maßnahme, um unsichere Regulierungen zu umgehen.

Eine solche Klausel ist kein Todesurteil. Prüfe genau, wie sie erklärt wird. Wenn da steht: „Wir speichern keine Daten, können aber zur Untersuchung von Missbrauch Metadaten sammeln“, braucht es Details. Was ist Missbrauch? Wie wird er erfasst? Wie lang werden Daten gehalten? Wer genehmigt das? Gibt es Audits?

Was wirklich transparent sein muss

In der Praxis bedeutet Transparenz vier Dinge: Architektur, Prozesse, Audits und Berichte. Architektur: RAM-only, keine zentralen Logs, eigener privater DNS, Minimierung von IDs. Prozesse: Wer hat Zugriff, wie sind Rollen und Rechte definiert, wie oft werden Schlüssel rotiert, wie werden Schwachstellen behoben. Audits: Wer prüft, wann, was genau, Ergebnisse, gab es Nachbesserungen und Follow-ups. Berichte: warrant canary, Transparenzreports, Vorfälle, Lessons Learned. Gibt es das, steigt das Vertrauen automatisch.

Unabhängige Audits: Funktionsweise und Unterschiede

Frameworks: SOC 2, ISO 27001/27701, GDPR DPIA

Audits sind keine Hexerei. Sie prüfen, ob Systeme den Vorgaben entsprechen. Es gibt unterschiedliche Standards. SOC 2 Typ I bestätigt die Kontrollgestaltung zu einem Zeitpunkt, Typ II deren Wirksamkeit über einen Zeitraum (meist 6–12 Monate). ISO 27001 betrifft ISMS, ISO 27701 den Datenschutz. GDPR DPIA bewertet Auswirkungen auf Daten, relevant für europäische Nutzer. Für VPNs sind diese nützlich, reichen aber nicht aus. Es braucht spezialisierte Prüfungen für „keine Logs“.

Der Markt ist 2026 gereift: Viele Anbieter kombinieren Standard-Zertifizierungen mit zielgerichteten Audits von Experten, die OpenVPN-, WireGuard-Konfigurationen und Automatisierungs-Skripte (Ansible, Terraform) prüfen. Sie bestätigen, dass keine nutzerbezogenen Daten an Log-Server oder SIEM übermittelt werden. Sie sammeln technische Beweise: Wie syslog, journald, dmesg und Kernel-Auditing eingestellt sind, wie die Daemons gebaut sind und wo Logging in der Produktion deaktiviert wird. Nur Fakten zählen.

Code- vs. Infrastruktur-Audit: Wo liegt der Unterschied?

Code-Audits betrachten Client-Apps und Teile der Serversoftware. Sie finden Schwachstellen, Fehlimplementierungen, Konfigurationsfehler, Probleme mit Kill Switch oder Split Tunneling. Aber für No-logs reicht das nicht. Infrastruktur-Audits sind wichtiger: Systeminventar, Images, IaC, Geheimnisverwaltung, CI/CD, Zugriffsrechte, Schlüssel, Monitoring und Alerts. Es wird geprüft, ob ein Mitarbeiter versehentlich Logging aktivieren kann und das auf der Festplatte landet. Man schaut auf Vier-Augen-Prinzipien bei kritischen Aktionen und Admin-Rechte.

Es gibt auch Red- oder Purple-Team-Tests: Simulierte Angriffe, um Daten aus der Infrastruktur zu ziehen. Bleibt der Ausgang leer, stärkt das das No-logs-Argument. Ein weiterer Bereich ist die Zulieferkette: Wie abhängig ist der Anbieter von Subunternehmern, wo stehen deren Server, welche Zugriffsrechte haben externe Admins, gibt es vertragliche Verbote für Log-Sammlung? Das sind keine Kleinigkeiten – das ist das Fundament.

Point-in-time, scoped und continuous: Was bedeuten diese Begriffe?

Point-in-time ist ein Audit zu einem bestimmten Datum. Gut für den ersten Überblick, aber bald veraltet. Scoped bezieht sich auf Teilbereiche: nur Clients, nur WireGuard-Server oder einzelne Regionen. Besser als nichts, aber nicht das Gesamtbild. Continuous ist eine fortlaufende Kontrolle: Monitoring, Änderungskontrolle, erneute Prüfungen bei Releases. Teuer, aber der Trend. Nutzer wollen Sicherheit nicht irgendwann, sondern jetzt.

Perfekt für VPN 2026 ist: Jährliches externes Audit mit öffentlichem Report, unabhängige Infrastrukturprüfung ohne Logs, ständiges Monitoring kritischer Kontrollen. Das Sahnehäubchen sind offene Bugtracker und transparente Korrekturprozesse.

Wie man einen Audit-Report liest ohne im Fachjargon zu versinken

Entscheidend sind: Wer der Auditor ist, Umfang der Prüfung, untersuchte Artefakte, geprüfte Kontrollen, gefundene Ausnahmen, Follow-up. Suche nach Details: „15 Server in 10 Regionen geprüft, OpenVPN/WireGuard-Konfigurationen analysiert, keine zentrale Sitzungsprotokollierung, Telemetrie auf Client-Seite entfernt, Crash-Report-Policy geprüft.“ Fehlen solche Kernaussagen, ist der Bericht wenig wert.

Jurisdiktionen, 5/9/14 Eyes und Datenschutzgesetze

Geheimdienstallianzen und Datenaustausch

Die 5/9/14 Eyes sind vielen bekannt – Allianzen von Staaten, die eng bei Nachrichtendiensten kooperieren. Sie sind kein Gesetz, aber bilden den Rahmen. Ist ein Unternehmen in einem dieser Länder registriert und aktiv, kann es Offenlegungspflichten oder Veröffentlichungsverbote für Anfragen geben. Das macht den Anbieter nicht automatisch „schlecht“, sondern zeigt, dass die Architektur verhindern muss, dass Daten überhaupt gespeichert werden. Genau hier ist No-logs nicht nur Wort, sondern Rettungsring.

Ein kluger Ansatz ist Risikostreuung: juristische Einheiten in freundlichen Ländern, verteilte Infrastruktur, klare Verträge mit Subunternehmern. Kostspielig, aber reif. Einige Anbieter haben auch warrant canaries – öffentliche Hinweise, dass es keine Geheimgerichte-Anordnungen gibt. Kein Allheilmittel, aber ein Vertrauensbaustein.

Regionale Gesetze: EU, USA, Indien, Russland, Türkei & Co.

In der EU herrschen insgesamt günstige Bedingungen für Datenschutz, doch jedes Land hat eigene Regeln. Manche schreiben Metadatenpflichten für Netzbetreiber vor, andere nicht. VPN-Dienste fallen oft nicht unter klassische Telekom-Regulierung, Interpretationen variieren. In den USA gibt es kein bundeseinheitliches Datenhaltungsgesetz für VPNs, aber unzählige bundesstaatliche Vorschriften, geheime Vorladungen und Gerichtsentscheidungen. In Indien versuchte der Regulator zuletzt, VPNs zur Speicherung von Nutzerdaten zu verpflichten, was einige Anbieter dazu brachte, Server abzuziehen. Russland und Türkei haben strenge und wechselhafte Regelungen. China bleibt komplex und politisiert. Fazit: Nicht jeder Standort ist gleich sicher für No-logs.

Lässt der Anbieter Server in Ländern mit restriktiver Regulierung, sollte er dies transparent machen: virtuelle Standorte, Tunnel über sichere Länder, minimale lokale Komponenten, automatische Neustarts bei Eingriffen. Problemleugnung ist eine schlechte Strategie.

Exterritorialität und MLAT: Warum „Wir sind nicht dort“ nicht immer hilft

Das multilaterale Rechtshilfeverfahren (MLAT) funktioniert so: Ein Staat fragt einen anderen. Haben Unternehmen Assets oder juristische Personen in beiden, kann Druck auf verschiedenen Wegen entstehen. Exterritoriale Gesetze sind kompliziert. Manche Bestimmungen gelten auch über Grenzen hinaus. Darum minimieren ernsthafte Anbieter Risiken durch Dezentralisierung: getrennte operative und Holding-Strukturen, territoriale Zugangsbeschränkungen, Zero-Trust- und Least-Privilege-Prinzipien.

Der Kern: Du kämpfst nicht gegen das Gesetz, sondern sorgst dafür, dass es nichts zu holen gibt. Keine Logs, keine Auskunft. Und falls Hardware beschlagnahmt wird, startest du die RAM-only-Server neu und bist weiter im Geschäft. Kein Rauch, keine Spur.

Jurisdiktion und Architektur: Ein Tandem für No-logs

Es ist ein Irrtum, dass eine „richtige“ Jurisdiktion alles löst. Nein. Wichtig ist die Kombination. Die Jurisdiktion setzt den Rahmen, die Architektur macht ihn sicher. Eine Firma kann in einem Datenschutz-freundlichen Land registriert sein und trotzdem Server weltweit mieten. Hat sie keine Logs, ist die Jurisdiktion weniger kritisch. Ist das Design schwach, macht kein Standort wirklich sicher. Also frage immer nach Land und Technik – doppelter Fokus ist der Königsweg.

Logfreie Architektur: RAM-only, diskless, doppelte Schlüssel

RAM-only und Ephemeral-Infrastruktur

RAM-only ist 2026 der Goldstandard. Server werden aus unveränderlichen Images gestartet, Konfigurationen aus einem zentralen Geheimnis-Store geladen, temporäre Daten leben nur im RAM. Nach Neustart ist alles weg. Das eliminiert das größte Risiko: „Was, wenn ein Ingenieur versehentlich syslog auf Platte aktiviert?“ Gibt es keine Festplatten, kann nichts geschrieben werden. Dazu kommen secure boot, Image-Signaturen, Integritätsprüfungen und regelmäßige Rotation. Die Vertrauenskette von CI bis Produktion wird durchsichtig.

Ephemeral bedeutet nicht nur RAM, sondern auch Verzicht auf langlebige Artefakte. Keine historischen Konfigs, keine temporär aktivierten Logs für Wochen. Alles über Terraform/Ansible, alles im Code, jedes Änderungspaket vier Augen. Kein manuelles Patchen in Produktion – die Hauptstütze für No-logs.

Privater DNS und keine Logs auf Resolvern

DNS ist das Tagebuch deines Internets. Die Anfragen verraten Webseiten, Services, Nutzungszusammenhänge. Im Idealfall betreibt der VPN-Anbieter eigene Resolver, verschlüsselt Transport (DoH, DoT), deaktiviert Query-Logging und koppelt Anfragen nicht an Accounts. Keine öffentlichen externen Resolver, die Statistiken führen. Noch besser: Zeitaggregation, bei der deine Anfragen gar nicht gezählt werden. Zusätzlich Leak-Schutz: Schutz vor DNS-Leaks, IPv6-Leaks, sauberes Split-Tunneling.

Du kannst das selbst testen: DNS-Leak-Tests, Beobachtung welcher Resolver antwortet, Analyse der Systemeinstellungen im Client. Ist alles korrekt konfiguriert, gehen die Anfragen nur über den verschlüsselten Tunnel, und der Anbieter speichert keine Historie. Ja, du vertraust dem Resolver. Aber bei richtigem Design ist das Risiko minimal: Keine Logs, keine Verknüpfungen, keine Historie.

Account- und Zahlungsanonymisierung

Starke Anbieter fordern keine Namen und Adressen, nur eine E-Mail. Manche gehen weiter mit Einweg-IDs, Token-Login, Gutscheinen. Bei Zahlungen gilt das bereits Gesagte: Getrennte Datenströme, externe Prozessoren. Im Idealfall ist Account, Zahlung und Dienst komplett getrennt. Datenbankseitig werden technische Schlüssel und Tokens, keine echten personenbezogenen Daten gespeichert. Speicherdauer minimal, Löschung strikt, Konto auf Wunsch sofort gelöscht wie eine erloschene Kerze. Kein „Wir behalten was zur Sicherheit“. Das darf es nicht geben.

Datenminimierung und Schutz vor Missbrauch

Was ist mit Missbrauch? DDoS, Spam, Brute-Force? Ja, Realität. No-logs-Anbieter haben Mittel, ohne Privatsphäre zu verletzen: Ratenbegrenzung auf IP-Pool-Ebene, anonyme Verhaltensmuster ohne Nutzer-IDs, Sperrung offensichtlicher Botnetze, Abuse-Kontakt mit Service-Besitzern. Man kann Angriffsvektoren blocken, ohne Protokolle zu führen, wer wann was tat. Ein bisschen Klugscheißerei und gutes Engineering erhalten sauberen Dienst und geschützte Privatsphäre.

Ehrlichkeit prüfen: Nutzer-Checkliste

Schnellaudit für den Abend

Willst du einen einfachen Plan? Hier ist er: Schritt 1: Datenschutzrichtlinie lesen und auf Details achten. Schritt 2: Prüfen, ob aktuelle Audits existieren, wer sie durchgeführt hat, Umfang. Schritt 3: Schauen, ob RAM-only Infrastruktur beworben und bestätigt wird. Schritt 4: Transparency-Report und warrant canary suchen. Schritt 5: Öffentliche Bug-Bounty und offenen Client-Code nachschauen. Schritt 6: DNS- und WebRTC-Leaks testen. Schritt 7: Support komplizierte Fragen stellen und klar antworten lassen. Ehrliche Anbieter weichen nicht aus.

Gefühl von „zu gut, um wahr zu sein“ passt oft. Funkelt UI, aber Docs sind dünn, besser nochmal einen Schritt zurück. Vertrauen basiert auf Fakten, nicht Bannern. Du brauchst keinen „schnellsten“ oder „billigsten“, sondern einen ehrlichen Anbieter. Geschwindigkeit und Preis kommen danach.

Technische Tests: DNS-Leak, WebRTC, Kill Switch

Praxis schlägt Theorie. DNS leaks auf unabhängigen Seiten prüfen, WebRTC testen, ob echte IP im Browser sichtbar ist. Internet trennen und Kill Switch testen: Der Traffic muss stoppen, bis Tunnel steht. Verhalten bei Reconnect und Serverwechsel beobachten. Split Tunneling ausprobieren: Gehört „teilweise“ Traffic nach draußen ohne Tunnel? Läuft DNS-Leak? IPv6 oft vergessen, aber wichtig.

Netzwerkinterfaces und Routingtabellen beobachten. Auch ohne tiefes Netzwerkwissen kannst du merkwürdige Dinge erkennen: Wo kommt der fremde DNS her? Warum taucht neuer externer Route auf? Was ist dieser neue Netzwerkadapter, der in der Dokumentation fehlt? Ein guter Client verhält sich verlässlich.

Indirekte Belege: Fälle, Kanarienvögel, Gerichtsverfahren

Geschichte wiederholt sich gerne. Reale Fälle sind der Lackmustest. Wird ein Server konfisziert und nichts übergeben, ist das beste PR. Taucht „wir halfen Ermittlern, weil Logs vorlagen“ auf, bröckelt Vertrauen schnell wie Wasser durch ein Sieb. Transparenzberichte und warrant canary lesen, Gerichtsbezüge suchen. Auch wenn Details unter NDA stehen, sagen Fakt und Firmenreaktion viel. Schweigen ist selten gut.

Wie der Anbieter mit Zwischenfällen umgeht, ist wichtig. Gibt es Postmortems? Werden Fehler zugegeben? Erklärt man Maßnahmen, um Wiederholung zu verhindern? Das ist erwachsene Engineering-Kultur. Ohne sie wird „No-logs“ zum Werbeaufkleber.

Vertrauen durch Offenheit: Bug-Bounty, Open Source, security.txt

Öffentliche Bug-Bounty-Programme – klasse Sache. Sie laden externe Forscher ein, nach Schwachstellen zu suchen und den Dienst zu verbessern. Dazu teils offene Clients oder SDKs, reproduzierbare Builds, verifizierbare Binärdateien. Kleine Details? Nein, das sind Bausteine der Vertrauensmauer. Such nach security.txt, klaren Fehler-Meldeprozessen, Reaktionszeiten, CVE-Listen. Das zeigt, dass Sicherheit tägliche Praxis ist, nicht einmalige Aktion.

Echte Fälle: Wann No-logs hielt und wann nicht

Serverkonfiszierungen ohne Datenübergabe

Es gab Branchenmomente, in denen Behörden VPN-Server konfiszieren, aber öffentlich erklärte Anbieter „Wir haben nichts zu übergeben“. Warum? RAM-only, keine persistierenden Logs, eingeschränkter Infrastrukturzugang, unveränderliche Konfigurationen. Solche Geschichten zeigen: Engineering zählt mehr als Marketingworte. Du kannst Marketing bezweifeln, aber nicht den leeren Datenträger – der ist gar nicht vorhanden.

Für Nutzer ein wichtiger Indikator. Nach einem großen Vorfall veröffentlicht die Firma detaillierte Analysen, bestätigt keine Logs und bleibt stabil unter Druck – das stärkt das Vertrauen. Solche Fälle sind selten, weil gute Arbeit nicht laut ist. Aber sie passieren und sind relevant.

Wenn „Null-Logs“ wie eine Seifenblase platzten

Es gibt auch Gegenteile. Versprechen waren groß, Realität anders. An manchen Stellen fanden sich technische Logs, Zahlungsdaten wurden mit Sitzungen verknüpft, Subunternehmer waren weniger diskret als erwartet. Ergebnis: negative Schlagzeilen, Vertrauensverlust, Kundenabwanderung. Der richtige Schluss: No-logs ist keine leere Formel, sondern tägliche Disziplin. Entweder gibt es sie konsequent oder gar nicht. Firmen, die verbal viel versprechen und in der Praxis schwächeln, fliegen irgendwann auf.

Wir nennen keine Namen – wichtig ist technisch, warum es passiert. Logging kann nicht „gelegentlich“ eingeschaltet werden und trotzdem sicher sein. Entweder sind Logs grundsätzlich ausgeschlossen oder man kommuniziert ehrlich über eingeschränkte technische Logs mit klaren Löschfristen. Halbwahrheiten sind die schlechteste Strategie.

Grauzonen: Dedizierte IPs, Business-Pläne, Multihop

Dedizierte IPs sind praktisch für Zahlungen, Mail, Corporate-Zugänge. Aber Risiken steigen: Verbindung zwischen Account und IP wird ersichtlich. Keine Surf-Logs, aber eine spürbare Verknüpfung. Business-Tarife bringen weitere Aspekte: Audits, Compliance, Logging auf Client-Seite. Wenn dir Admin-Panels bereitgestellt werden, in denen Geräte und Aktivitäten sichtbar sind, achte genau, was gespeichert wird. Multihop und Double VPN helfen, Ursprung und Ziel zu entkoppeln, ersetzen aber keine klare Log-Politik.

Fazit: Grauzonen sind nicht verboten, sie brauchen jedoch starke Architektur und klare Vereinbarungen. Und ja, sie gehören nicht mehr zur klassischen „persönlichen Anonymität“, sondern zur funktionalen, vertrauenswürdigen Nutzung.

Unsere Lektion: Auf Details achten und Gewohnheit, zu prüfen

Jeder Fall lehrt Disziplin. Glaub nicht blind an Versprechen. Prüfe Formulierungen, suche Belege, schaue auf Architektur und Abläufe. Mache technische Tests. Stelle unbequeme Fragen. Vertrauen heißt nicht „Glauben oder nicht“, sondern „Sehen, verstehen, akzeptieren“. Und wenn keine Antwort kommt, hast du die Freiheit, zu wechseln.

VPN-Auswahl 2026: Kriterien und Prioritäten-Matrix

Szenarien: Wer du bist und was du brauchst

Normale Nutzer wollen Komfort: schnelle Server, Autoconnect, stabilen Kill Switch, Content-Unblocker. Journalisten und Aktivisten schätzen Privatsphäre: Audit-first, RAM-only, offene Clients, strikte Log-Politik, Obfuskation, Stealth-Modi, Bridge-Unterstützung, sorgsamer Umgang mit Jurisdiktionen. Unternehmen brauchen Management und Compliance: Zentralsteuerung, minimalistische Log-Politik auf Firmenebene, Kompatibilität mit SSO und MDM, klare Service-Level.

Kennt deinen Use-Case. Wer Netflix will, hat andere Anforderungen als jemand, der in ein zensurales Land reist. VPN ist kein Zaubermittel, sondern Werkzeug. Die Wahl sollte zum Einsatz passen. Ideal ist, wenn der Anbieter klare Nutzerprofile empfiehlt: „Das ist unser bestes Profil, das empfehlen wir, das eher nicht.“ Ehrliches Marketing ist rar, aber es gibt sie.

Entscheidungsmatrix: Preis, Geschwindigkeit, Privatsphäre

Denk an drei Achsen: Geschwindigkeit & Stabilität, Privatsphäre & Nachweise, Preis & Support. Finde den besten Kompromiss. Manchmal Mittelweg, manchmal Priorität auf Privatsphäre. Grundregel: Ohne Beweise zählt Privatsphäre nicht. Frag nach Reports, Architektur, Kill Switch und DNS. Verheddert sich der Manager in Begriffen, sei skeptisch.

Eine weitere Achse ist Nutzerfreundlichkeit. Brauchst du geteilte Tunnel, app-spezifisches Routing, SOCKS5-Proxies, Tunnel über TCP/443, Stealth-Modi, Multihop, eigene Router-Konfigurationen? Je komplexer der Use-Case, desto wichtiger Dokumentation & Support. Starker Support scheut technische Fragen nicht, schwacher schickt zu Marketing-Splashscreens.

10 Fragen vor der Zahlung an den Anbieter

Hier eine lebendige Liste: 1) Wer hat euren letzten Audit gemacht und was genau wurde geprüft? 2) Ist RAM-only überall oder nur teilweise? 3) Gibt es zentrale Logs und was landet darin? 4) Wie geht ihr mit Crash-Reports um? 5) Wo und wie läuft euer privater DNS? 6) Wie behandelt ihr behördliche Anfragen und gibt es Transparenzberichte? 7) Welche Subunternehmer haben Infrastruktur-Zugriff? 8) Was passiert bei Vorfällen in strengen Jurisdiktionen? 9) Gibt es öffentliche Bug-Bounty und offenen Quellcode? 10) Wie schalte ich Telemetrie mit einem Schalter komplett ab? Schwammige Antworten sind ein Alarmsignal.

Ja, viel. Ja, völlig richtig. Du vertraust ihnen deinen Traffic an. Lass dir beweisen, dass sie vertrauenswürdig sind.

Fehler leicht vermeidbar

Der häufigste Fehler: Banner glauben. Zweitens Datenschutzrichtlinie ignorieren. Drittens keine Leak-Tests machen. Viertens „Anonymität“ mit „Privatsphäre“ verwechseln. VPN schützt Datenkanal, macht dich aber nicht unsichtbar, wenn du dich bei Google oder sozialen Medien anmeldest. Fünftens Mobile Clients vernachlässigen: Auch dort gibt es Lecks und Eigenheiten. Teste auf Desktop und Smartphone.

Und zuletzt: Spare nicht an Kleinigkeiten. Zu billig ist fast immer ein Kompromiss. Und rate mal, woran meist gespart wird? Genau: Sicherheit und Privatsphäre.

FAQ: Kurze Antworten auf schwierige Fragen

Speichert ein No-logs-VPN wirklich nichts? Absolut gar nichts?

Im Idealfall ja, praktisch aber „nichts, was sich auf den Nutzer zurückführen lässt“. Metadaten zur Serverauslastung oder aggregierte Statistiken können bestehen. Entscheidend ist, dass diese nicht personalisiert und nicht dauerhaft gespeichert werden. Gute Anbieter machen es so.

Wie wichtig sind unabhängige Audits? Ist das nicht nur Papierkram?

Schlechte Audits sind Blattwert, gute sind technische Beweisstücke und umfangreiche Prüfungen, schwer zu fälschen. Achte auf Ruf des Auditors, Umfang, Häufigkeit, Nachbesserungen. 2026 ist „Vertrau uns einfach“ ohne Audit nicht mehr zeitgemäß.

Regelt die Jurisdiktion alles? Ziehe ich in ein „sicheres Land“ und alles ist gut?

Jurisdiktion ist wichtig, aber nicht alles. Architektur zählt mehr. Keine Logs – nichts zu geben. Gute Architektur plus passende Jurisdiktion ist optimal. Schwaches Design in gutem Land bleibt unsicher. Starkes Design in schwierigem Land ist Kompromiss, besser zu vermeiden.

Wie prüfe ich, ob der Anbieter RAM-only ist und keine Logs speichert?

100% prüfen kannst du nicht ohne Audit. Aber du kannst Anzeichen suchen: öffentliche Prüfberichte, detaillierte Image-Beschreibungen, CI/CD-Disziplin, Postmortems bei Vorfällen, Praxisfälle analysieren. Zudem zeigen Leak-Tests, wie reif der Client ist.

Verliere ich Anonymität, wenn ich mit Karte zahle?

Nicht unbedingt. Wird die Zahlung von einem Drittanbieter verarbeitet und das VPN-Konto enthält keine persönlichen Daten, ist deine Privatsphäre gewahrt. Für maximalen Schutz gibt es Alternativen wie Krypto, Gutscheine, Giftcards. Wichtig: Keine Verknüpfung von Zahlung und Sitzung.

Wie steht's mit kostenlosen VPNs? Können die überhaupt No-logs bieten?

Theoretisch ja, praktisch selten. Kostenlose Dienste finanzieren sich meist durch Werbung, Datenverkauf oder Beschränkungen. Ideale Projekte existieren, sind aber selten und offen bezüglich ihrer Limits. Wer Privatsphäre will, sollte zahlen. Das ist günstiger als ein Leak.

Reicht VPN allein für Privatsphäre?

Nein. VPN ist eine Schutzschicht. Ergänze Passwortmanager, Zwei-Faktor-Authentifizierung, sinnvolle Browsereinstellungen, Tracker-Blocker und Account-Hygiene. Und guten Menschenverstand. Das beste VPN schützt nicht vor Phishing oder Unachtsamkeit. Privatsphäre ist eine Kette, kein einzelnes Werkzeug.