Was ein VPN verbirgt – und was nicht: Metadaten 2026

20. September 20265 Min. Lesezeit

Ein VPN verbirgt deinen Datenverkehr, nicht deine Metadaten

Ein VPN baut einen verschlüsselten Tunnel zwischen deinem Gerät und einem Server, der vom VPN-Anbieter betrieben wird. Alles in diesem Tunnel – die Seiten, die du lädst, die Nachrichten, die du sendest, die Dateien, die du herunterlädst – ist für jeden unlesbar, der das Netzwerk zwischen dir und diesem Server beobachtet. Dieser Teil ist real, und er ist der Teil, den VPN-Werbung üblicherweise beschreibt.

Was der Tunnel nicht ändert, ist die Form des Datenverkehrs drumherum. Der Server des Anbieters muss deine Pakete weiterhin an ihre echten Ziele weiterleiten, und jeder Hop ab diesem Server kann sehen, wohin diese Pakete gehen, auch wenn er sie nicht lesen kann. Der Begriff für diese umgebenden Informationen ist Metadaten, und sie sind der Teil der Geschichte, den ein VPN nicht adressiert.

Was Metadaten tatsächlich sind

Metadaten sind alles an einer Kommunikation außer ihrem Inhalt. Bei einem Netzwerkfluss gehören dazu:

Quelle und Ziel — welche Adresse mit welcher Adresse spricht und zu welchem Dienst oder welcher Domain diese Adressen gehören.
Zeitpunkt — wann die Verbindung begann, wie lange sie dauerte und ob sie zu einer vorhersehbaren Stunde stattfand.
Volumen — wie viele Bytes in jede Richtung flossen und wie sich dieser Fluss über seine Lebensdauer formte.
Häufigkeit und Muster — wie oft dasselbe Endpunktpaar spricht und welche anderen Endpunkte daneben auftauchen.

Keines dieser Felder wird von einem VPN verschlüsselt, und keines muss entschlüsselt werden, um nützlich zu sein. Eine Zieladresse plus Zeitstempel plus Bytezahl grenzt oft schärfer ein, was eine Person gerade tat, als es der Inhalt getan hätte.

Warum die Einordnung als „massenhafte Erfassung“ zählt

Am 2. September 2026 schrieb der US-Senator Ron Wyden an NSA-Direktor Gen. Joshua M. Rudd und drängte die Behörde, ihre öffentliche Cybersicherheitsempfehlung für VPNs zu aktualisieren. Wyden verwies auf ein Memo des Congressional Research Service, das er angefordert hatte und das feststellte, dass „Verschlüsselungsstärke allein Nutzer nicht vor einer fortgeschrittenen, persistenten Bedrohung schützt, die eine massenhafte Erfassung des Datenverkehrs betreibt“.

Das Wort, auf das du achten solltest, ist massenhaft. Die Flussaufzeichnungen einer einzelnen Person zu analysieren ist teuer und gezielt. Flussaufzeichnungen für alle zu sammeln und danach nach Mustern zu suchen, ist eine andere Art von Operation, und ein Single-Hop-VPN vereitelt sie nicht. Die Sorge in dem Brief bezog sich auf Menschen, für die diese Unterscheidung Konsequenzen hat: Regierungsbedienstete, Verteidigungsunternehmen, Journalisten und Menschenrechtsverteidiger.

Wyden bat um unklassifizierte Antworten bis zum 20. September 2026. Es lohnt sich, genau zu sein, was das ist: der Brief eines Senators und ein Forschungsmemo, kein gefestigter technischer Konsens und keine Änderung der veröffentlichten Regeln einer Behörde.

Was ein Single-Hop-VPN verbirgt – und was nicht

Klar gesagt, ein handelsübliches VPN tut Folgendes:

Es verbirgt den Inhalt deines Datenverkehrs vor deinem lokalen Netzwerk, deinem ISP und jedem, der zwischen dir und dem VPN-Server sitzt.
Es verbirgt deine echte IP-Adresse vor den Seiten, die du besuchst, die stattdessen den VPN-Server sehen.
Es verschiebt Vertrauen – statt dass dein ISP deine Ziele sieht, tut es dein VPN-Anbieter.

Und es tut Folgendes nicht:

Es verbirgt deine Ziele nicht vor dem VPN-Anbieter. Der Anbieter muss diese Verbindungen weiterleiten, kann also sehen, welche Seiten und Dienste du erreichst und wann.
Es macht deinen Datenverkehr nicht unidentifizierbar. Tunnelprotokolle haben erkennbare Signaturen, ein Beobachter kann also oft sagen, dass du ein VPN nutzt, auch wenn er nicht sagen kann, was du tust.
Es verbirgt Flussgröße und Zeitpunkt nicht. Das Volumen und den Rhythmus des Datenverkehrs in und aus einem Tunnel zu korrelieren, kann sehr viel verraten, ohne dass irgendetwas entschlüsselt wird.
Es löst deinen Datenverkehr nicht von dir. Kontodaten, Zahlungsaufzeichnungen und aktive Anmeldungen können einen Tunnel mit einer Person verknüpfen, unabhängig davon, was der Tunnel verbirgt.

Was Multi-Hop, Onion-Routing und Relays ändern

Das Memo des Congressional Research Service legte nahe, dass Mehrserver-Technologien – Apple iCloud Private Relay, Tor und Nym – besseren Schutz bieten könnten als ein handelsübliches Single-Hop-VPN. Der Grund ist strukturell: Sie teilen den Pfad so auf, dass kein einzelner Betreiber sowohl sieht, wer du bist, als auch, was du erreichst.

Die Designs sind nicht identisch. Ein Multi-Hop- oder Doppel-VPN verkettet zwei Server, meist vom selben Anbieter. Tor leitet Datenverkehr über drei Relays und ist so gestaltet, dass kein einzelnes Relay beide Enden der Verbindung kennt. iCloud Private Relay nutzt zwei getrennte Hops, Apple plus ein Drittanbieter-Relay, und deckt Safari-Browsing ab statt den gesamten Datenverkehr. Nym ist ein Mixnet, das zusätzlich zur Weiterleitung eine zeitliche Verschleierung hinzufügt.

Jedes hat reale Kosten. Tor ist deutlich langsamer und wird von vielen Diensten blockiert oder erschwert. Private Relay deckt nur Datenverkehr aus Safari ab und ist kein Allzweck-VPN. Multi-Hop-VPNs kosten Durchsatz und werden üblicherweise von einem einzigen Unternehmen betrieben, die Vertrauensannahme wird also verdünnt statt beseitigt. Mixnets sind langsam und vergleichsweise klein, und ihre Garantien hängen davon ab, wie viele Menschen sie gleichzeitig nutzen.

Zwei Warnhinweise. Mehr Hops bedeuten mehr Parteien, die Aufzeichnungen führen könnten, und ein Design ist nur so stark wie sein schwächster Betreiber. Und die Anregung des Memos ist ein Argument dafür, die Architektur anzusehen, kein Urteil darüber, dass eines dieser Werkzeuge für jedes Bedrohungsmodell sicher ist.

Was ein normaler Nutzer daraus mitnehmen sollte

Die ehrliche Schlussfolgerung ist nicht, dass VPNs sinnlos sind. Ein VPN verbirgt dein Surfverhalten weiterhin vor deinem ISP, schützt dich in nicht vertrauenswürdigen Netzwerken, hält deine IP von Seiten fern, die sie nicht brauchen, und erhöht die Kosten beiläufiger, lokaler Überwachung. Das ist ein realer Nutzen, und für die meisten Menschen in den meisten Netzwerken lohnt er sich.

Was es nicht ist, ist Anonymität. Wenn dein Ziel ist, es einem gut ausgestatteten Gegner schwer zu machen herauszufinden, welche Dienste du wann nutzt, ist ein handelsübliches Single-Hop-VPN die falsche Form von Werkzeug, und kein Protokoll-Tuning ändert das. Behandle ein VPN als eine Ebene und sei skeptisch gegenüber jedem Anbieter, der „verschlüsselt“ und „anonym“ für dasselbe Wort hält.

Fazit

Ein VPN verschlüsselt einen Tunnel und verbirgt deine IP. Es verbirgt nicht die Tatsache, dass du einen Tunnel nutzt, wen du dadurch erreichst oder wann. Diese Lücke ist der Grund, warum die Metadatenfrage immer wieder in politischen Diskussionen auftaucht, und warum die nützliche Frage bei jedem Datenschutzwerkzeug nicht lautet, ob es verschlüsselt ist, sondern wer trotzdem was sehen kann.

So verringerst du, was dein VPN-Anbieter sehen kann

Praktische Schritte, die verringern, wie viel ein einzelner VPN-Anbieter und jeder, der Flussaufzeichnungen sammelt, über deine Aktivität erfahren kann.

Entscheide, vor wem du dich verbirgstSchreib die konkrete Bedrohung auf, die dir wichtig ist – dein ISP, ein Werbetreibender, das lokale Netzwerk, in dem du bist, oder ein gut ausgestatteter Gegner, der Flussdaten sammelt. Das richtige Werkzeug unterscheidet sich je nach Fall, und ein Single-Hop-VPN beantwortet einige dieser Fragen und keine der letzten.
Prüfe, was dein Anbieter tatsächlich aufzeichnetLies die Protokollierungsrichtlinie statt die Marketingseite und suche ein unabhängiges Audit, das die aktuelle Infrastruktur abdeckt. Ein No-Logs-Versprechen ist nur so gut wie das Audit dahinter und die Jurisdiktion, der der Anbieter unterliegt.
Melde dich an und zahle auf Arten, die nicht an deine Identität gebunden sindNutze eine Konto-E-Mail und eine Zahlungsmethode, die nicht mit deinen übrigen Konten verknüpft sind. Das verbirgt keine Ziele vor dem Anbieter, macht es aber schwerer, Tunneldatenverkehr später einer Person zuzuordnen.
Aktiviere Multi-Hop oder Doppel-VPN, wo es angeboten wirdZwei Server zu verketten teilt auf, was eine einzelne Maschine sieht. Rechne mit einem deutlichen Geschwindigkeitsverlust und prüfe, ob die beiden Hops in unterschiedlichen Jurisdiktionen liegen oder einfach zwei Maschinen desselben Betreibers sind.
Nutze Tor oder ein Relay-Design für die Aktivität, die es brauchtFür Sitzungen, in denen Anonymität wichtiger ist als Geschwindigkeit, verändert ein Drei-Relay-Design wie der Tor Browser oder iCloud Private Relay für Safari auf Apple-Geräten das Vertrauensmodell und nicht nur die IP-Adresse. Akzeptiere die Kosten bei Geschwindigkeit und Kompatibilität und halte es den Sitzungen vor, die es rechtfertigen.
Entferne die Identifikatoren, die den Tunnel überlebenMelde dich von persönlichen Konten ab, die du in diesem Browser nicht brauchst, blockiere Cookies von Drittanbietern und vermeide es, anonyme und identifizierte Aktivität in derselben Sitzung zu mischen. Verschlüsselt oder nicht: Ein angemeldetes Konto ordnet den Datenverkehr dir zu.
Überprüfe, was noch leckt und was noch aufgezeichnet wirdFühre nach dem Verbinden einen Leck-Test für DNS, IPv6 und WebRTC durch und bestätige, dass die Exit-Adresse zum gewählten Server passt. Sieh dir dann an, was das Dashboard deines Anbieters über deine Sitzungen aufzeichnet, denn ungefähr das könnte eine Anfrage an den Anbieter ergeben.

Häufig gestellte Fragen

Was sind Metadaten im Zusammenhang mit einem VPN?

Es ist alles an einer Verbindung außer ihrem Inhalt: Quell- und Zieladressen, Zeitpunkt, Dauer, Volumen und das Muster der Verbindungen über die Zeit. Ein VPN verschlüsselt den Inhalt, lässt die Metadaten aber bestehen.

Verbirgt ein VPN, welche Websites ich besuche?

Vor deinem ISP und deinem lokalen Netzwerk in der Regel ja. Vor dem VPN-Anbieter nicht – er muss diese Verbindungen weiterleiten, kann also die Ziele und die Zeiten sehen, zu denen du sie erreicht hast.

Warum hat ein US-Senator das im September 2026 aufgegriffen?

Senator Ron Wyden schrieb am 2. September 2026 an NSA-Direktor Gen. Joshua M. Rudd und drängte auf eine aktualisierte staatliche VPN-Empfehlung. Er verwies auf ein Memo des Congressional Research Service, das er angefordert hatte und das feststellte, dass Verschlüsselungsstärke allein Nutzer nicht vor einer fortgeschrittenen persistenten Bedrohung schützt, die eine massenhafte Erfassung des Datenverkehrs betreibt, und er bat um unklassifizierte Antworten bis zum 20. September 2026.

Ist Tor oder Apple iCloud Private Relay besser als ein VPN?

Es sind unterschiedliche Werkzeuge, nicht einfach bessere. Tor verteilt Vertrauen auf drei Relays und bietet stärkere Anonymität gegen manche Gegner, zu realen Kosten bei Geschwindigkeit und Kompatibilität. Private Relay deckt nur Safari-Datenverkehr ab. Das CRS-Memo legte nahe, dass diese Designs für Hochrisikonutzer besseren Schutz bieten könnten; das ist eine prüfenswerte Anregung, kein gefestigter Konsens.

Macht Multi-Hop oder ein Doppel-VPN mich anonym?

Nein. Multi-Hop teilt auf, was ein einzelner Server sieht, was verringert, wie viel ein einzelner Anbieter erfährt, aber die Hops werden üblicherweise von einem Unternehmen betrieben, und gegen Zeitpunkt oder Volumen tut es nichts. Es ist eine Verbesserung darin, wie Vertrauen verteilt wird, nicht Anonymität.

Wofür ist ein VPN 2026 noch gut?

Für das, was es wirklich leistet: deinen Datenverkehr vor deinem ISP verbergen, dich in nicht vertrauenswürdigen Netzwerken schützen und deine IP von Seiten fernhalten, die sie nicht brauchen. Behandle es nur nicht als Anonymität und gehe davon aus, dass dein Anbieter deine Ziele und deren Zeitpunkt weiterhin sehen kann.

Tags#VPN #Privacy #No-Logs