Ihr kostenloses VPN ist nicht kostenlos: Die größte unabhängige Untersuchung kostenloser Android-VPNs und ihre Ergebnisse
Im Juni 2024 veröffentlichte das unabhängige Testlabor Top10VPN die bisher größte öffentliche Untersuchung kostenloser Android-VPN-Apps: 100 der populärsten kostenlosen VPN-Anwendungen im Google Play Store mit einer kombinierten Installationsbasis von rund 2,5 Milliarden Geräten. Die Ergebnisse waren so brisant, dass der Bericht zum Referenzdokument für jede weitere Diskussion über die Sicherheit von Verbraucher-VPNs geworden ist, und die darin identifizierten Muster bestimmen auch 2026 noch die Nachrichtenlage. Dreiundachtzig der hundert Apps lekten DNS-Anfragen, was bedeutet, dass die besuchten Websites für den ISP oder den Netzwerkadministrator sichtbar waren, obwohl das VPN eigentlich aktiv sein sollte. Neunzehn Prozent der Apps wurden von VirusTotal als Malware markiert. Vierundachtzig Prozent enthielten Tracking-SDKs von Drittanbietern, das heißt, die Apps schützten die Nutzer nicht nur nicht, sondern sammelten aktiv Verhaltensdaten für die Ad-Tech-Branche. Und dreiundneunzig Prozent der Apps trugen Datenschutzlabels im Play Store, die nicht mit dem tatsächlichen Verhalten der Apps übereinstimmten. Die wichtigste Tatsache über ein kostenloses VPN im Jahr 2026 ist, dass das Produkt, das Sie zu erhalten glauben, nicht das Produkt ist, das der Anbieter verkauft.
Was wurde getestet
Das Team von Top10VPN installierte jede der 100 Apps auf einem sauberen Android-Gerät, durchlief sie durch eine automatisierte Testbatterie – DNS-Leak-Erkennung, IPv4- und IPv6-Leak-Erkennung, WebRTC-Leak-Erkennung, Analyse der Verschlüsselungsstärke, Identifikation von Drittanbieter-SDKs und Malware-Scan über VirusTotal – und korrelierte die Ergebnisse mit den Datenschutzlabels der Apps im Play Store. Der vollständige Datensatz pro App wurde als öffentliches Google-Sheet veröffentlicht, das mit dem Bericht verlinkt ist. Die Schlagzeilen sind für sich genommen schon dramatisch, aber die wirkliche praktische Lehre steckt in den Befunden zu den einzelnen Apps.
Die am häufigsten installierten Übeltäter waren Turbo VPN mit 335 Millionen Installationen (DNS-Leak, Ad-Tracker-SDKs), SuperVPN mit 250 Millionen Installationen (DNS-Leak), Secure VPN mit 166 Millionen Installationen (DNS-Leak), Psiphon Pro mit 141 Millionen Installationen (DNS-Leak) und Kaspersky VPN mit 117 Millionen Installationen (Standort-Tracking im Hintergrund über Facebook- und Huawei-SDKs). WiFi Map VPN mit 116 Millionen Installationen lekte DNS-Anfragen, sandte PII in unverschlüsselten HTTP-Antworten an ip-api.com und legte seinen User-Agent-String in unverschlüsselten Telemetriedaten offen. VPN Proxy Master mit 84 Millionen Installationen lekte sowohl DNS als auch IPv6, sendete PII an eine unverwandte Domain und bündelte Bytedance-, Yandex- sowie indische und singapurische Ad-Tech-SDKs.
Verschlüsselungsfehler
Elf der Apps scheiterten bereits auf der grundlegendsten Ebene der VPN-Aufgabe. Eine App, VPN Satoshi, übertrug den gesamten Datenverkehr im Klartext ohne jegliche Verschlüsselung – jede URL, jede HTML-Seite, jede API-Anfrage war für jeden im Netzwerk sichtbar. Mehrere andere verwendeten veraltete SSLv2- oder TLSv1-Cipher, die nach modernen Standards beide als gebrochen gelten. Thunder VPN nutzte trotz mehr als 91 Millionen Installationen SSLv2 für Hilfsverbindungen. Tomato VPN, Urban VPN, VPN Ukraine, VPN Monster und „VPN – fast secure vpn proxy" verwendeten alle denselben veralteten Cipher. Phone Guardian, das sich selbst als Datenschutz-App vermarktet, verschlüsselte den Datenverkehr überhaupt nicht und deckte nur HTTP in unsicheren WLANs ab.
Die Verschlüsselungsfehler sind besonders deshalb schädlich, weil sie still erfolgen. Ein Nutzer, der ein kostenloses VPN installiert und die Anzeige „verbunden" sieht, hat keine Möglichkeit festzustellen, ob die zugrundeliegende Verbindung verschlüsselt, schwach verschlüsselt oder gar nicht verschlüsselt ist. Das einzige Signal dafür, dass etwas nicht stimmt, wäre eine Zertifikatswarnung im Browser – genau die Art von Warnung, deren Wegklicken den meisten Nutzern antrainiert wurde.
DNS- und IP-Leaks
DNS-Leaks sind die häufigste Fehlerart bei kostenlosen VPNs und stellen den gesamten Sinn und Zweck eines VPN in Frage. Wenn ein VPN DNS leakt, sind die besuchten Websites für den Resolver Ihres ISPs sichtbar, obwohl der übrige Datenverkehr verschlüsselt ist. Das Team von Top10VPN fand DNS-Leaks bei 83 der 100 getesteten Apps, wobei die meisten der geleakten Anfragen auf Google- oder Cloudflare-Resolver gingen. Die fünf meistinstallierten DNS-Lecker waren Turbo VPN, SuperVPN, Secure VPN, Psiphon Pro und Kaspersky VPN. Drei Apps lekten gleichzeitig sowohl IPv4- als auch IPv6-Adressen: Tomato VPN, Phone Guardian und Ultimate VPN. Die praktische Auswirkung ist, dass ein Nutzer, der eine dieser Apps installiert, um „im Hotel-WLAN seine Privatsphäre zu schützen", in Wahrheit nicht besser geschützt ist als jemand, der gar keine App installiert hat.
Mehrere Apps sendeten zudem PII in unverschlüsselten HTTP-Antworten. Turbo VPN Lite, Speedy Quark VPN, VPN Proxy Master und WiFi Map VPN sendeten jeweils die echte IP-Adresse und Geräteinformationen über unverschlüsseltes HTTP an ip-api.com. VPN Proxy Speed sandte eine ähnliche Datenmenge an eine Domain, die in keinem Zusammenhang mit der angegebenen Funktion der App stand. Das bedeutet, dass diese Apps die Nutzer nicht nur nicht schützen, sondern deren echte Identität bei jeder Verbindung aktiv an Drittanbieter-Datenhändler weiterleiten.
Tracker-SDKs und Datenweitergabe
Vierundachtzig Prozent der getesteten Apps enthielten Tracker-SDKs von Drittanbietern. Dreiundzwanzig Apps sandten die echte IP-Adresse des Nutzers an Drittanbieter-Tracker: Mouse VPN sandte IP-Daten an Google, ClearVPN sandte IP-Daten an OneSignal, Super VPN teilte IPs mit IronSource und Unity Ads, und NotVPN teilte IPs mit IronSource. Einundsechzig Apps gaben die Google Advertising ID des Nutzers an Dritte weiter – Turbo VPN etwa sandte seine Ad ID an InMobi. Fünf Apps sandten die Google Ad ID an ihre eigenen Server, darunter Speedify mit 12,5 Millionen Installationen und Zoog VPN mit 600.000 Installationen. Siebenunddreißig Apps gaben Geräte-Fingerprint-Daten weiter, darunter Hersteller, Modell, Betriebssystemversion, Bildschirmgröße, Akkuzustand, USB-Verbindung, Headset-Status, ISP, SIM-Land, Sprache und Build-Nummer. Die Kombination aus Fingerprinting, Weitergabe der Ad ID und Leak der echten IP ist das surveillance-technische Äquivalent einer weit offenstehenden Haustür mit einem Schild im Vorgarten.
Sieben Apps bündelten das russische Ad-Tech-SDK myTarget, darunter Planet VPN, Free VPN Super, Lantern VPN, TLS Tunnel und Wolf VPN. myTarget wird von Mail.ru betrieben und war bereits Gegenstand von US-Sanktionsdebatten. Die Präsenz eines sanktionierten SDK in einem Verbraucher-VPN ist kein hypothetisches Risiko – es ist ein konkretes Signal dafür, wer die App finanziert und auf welche Daten er Zugriff hat.
Malware-Erkennungen
Neunzehn Apps wurden von VirusTotal als Malware eingestuft. Die häufigste Bezeichnung war Win32.Troj.Admob.a, ein Trojaner, der die Werbe-Infrastruktur von Google missbraucht, um betrügerische Einnahmen zu erzeugen. Die schwerste Erkennung war Dropper.Shedun.Android.239430, der nach der Installation weitere schädliche Payload auf das Gerät nachlädt. Thunder VPN wurde mit 91 Millionen Installationen markiert. VPN – Super Unlimited Proxy wurde mit 93 Millionen Installationen markiert. ClearVPN, das Verbraucher-VPN von MacPaw, wurde markiert. Bitdefender VPN wurde markiert. HTTP Injector wurde markiert. Die einzig sichere Interpretation lautet: Jede App auf der Malware-Liste gehört nicht auf Ihr Telefon.
Datenschutzlabels im Play Store
Dreiundneunzig der hundert Apps trugen Datenschutzlabels im Play Store, die nicht mit dem tatsächlichen Verhalten der Apps übereinstimmten. Fünfundsiebzig machten falsche Angaben zur Datenerhebung. Vierundsechzig machten falsche Angaben zur Datenweitergabe. Fünfundsechzig Apps behaupteten „keine Datenweitergabe", obwohl ihre Datenschutzrichtlinien Datenweitergabe beschrieben. Zweiunddreißig Apps behaupteten „keine Datenerhebung", obwohl ihre Datenschutzrichtlinien Datenerhebung beschrieben. Nur fünf Apps hatten Labels, die vollständig mit ihren Datenschutzrichtlinien übereinstimmten. Betternet mit 80 Millionen Installationen war ein bemerkenswerter Übeltäter – sein Label nannte lediglich „Geräte- oder andere IDs", während seine Richtlinie Kontoinformationen, Abrechnung, Nutzungsdaten, Diagnostik und VPN-Verbindungsdaten aufführte. Das Google-Play-Datenschutzregime wird in der Praxis nicht gegen VPN-Apps durchgesetzt.
Was Sie stattdessen nutzen sollten
Die einfachste Antwort lautet: Bezahlen Sie für ein seriöses Verbraucher-VPN. Die fünf Anbieter, die wir in unserem Artikel „Best VPN 2026" empfehlen – NordVPN, Surfshark, Proton VPN, ExpressVPN und PIA – veröffentlichen alle unabhängige No-Logs-Audits von namentlich genannten Firmen, betreiben alle dedizierte Server in kommerziellen Rechenzentren statt Bandbreite aus Residential-Proxy-Netzwerken zu nutzen und verlangen alle einen Preis, bei dem das Abo des Nutzers und nicht dessen Verhaltensdaten das Produkt ist. Der Preisunterschied zwischen einem kostenlosen und einem kostenpflichtigen VPN liegt in der Größenordnung von zwei bis vier Dollar pro Monat. Das sind die Gesamtkosten dafür, dass Ihre DNS-Anfragen nicht geloggt, Ihre Werbe-ID nicht verkauft und Ihr Gerät nicht in ein Botnetz eingegliedert werden.
Falls Sie sich ein kostenpflichtiges VPN wirklich nicht leisten können, ist die kostenlose Variante von Proton VPN die einzige kostenlose Option, die wir mit gutem Gewissen empfehlen können. Sie wird durch die kostenpflichtige Variante desselben Produkts finanziert, es liegen unabhängige Audits vor, und sie enthält weder die Tracker-SDKs von Drittanbietern noch das Datenweitergabeverhalten, das jede andere kostenlose Option kennzeichnete. Der Kompromiss besteht darin, dass die Gratis-Version von Proton Geschwindigkeit, Standortauswahl und gleichzeitige Verbindungen einschränkt – das ist die ehrliche Art, eine Gratis-Version zu bauen. Jedes andere kostenlose VPN, das wir 2026 gesehen haben, versteckt entweder die Kosten in der Datenschutzrichtlinie oder in den Werbe-SDKs. Beides ist zu hoch.
