No-Logs-VPN-Richtlinie: Welche Aufzeichnungen weiterhin existieren und wie die Aussage geprüft wird

Eine No-Logs-Richtlinie ist ein schriftliches Versprechen eines VPN-Anbieters, nicht aufzuzeichnen, was ein Abonnent durch den Tunnel unternimmt, und keine Daten zu speichern, die eine Sitzung einer Person zuordnen. Der Haken: Der Anbieter schreibt seine eigene Definition von „logs“, sodass die Formel selten bedeutet, dass nichts gespeichert wird. Aktivitätsaufzeichnungen sind meist ausgenommen, doch Verbindungsdaten, Kontodaten und Analysen sind eine andere Geschichte – und die Datenschutzerklärung zeigt, welche davon bleiben.

Drei Ebenen von VPN-Aufzeichnungen und was jede einzelne verrät

Über diesen Ebenen steht das Konto selbst: E-Mail, Zahlungseintrag, Support-Chats. Fast jeder Anbieter speichert diese Daten, und die meisten Richtlinien nehmen sie vom Wort „logs“ aus. Manche Anbieter halten zudem Sitzungsdetails im Speicher, solange der Tunnel aktiv ist, und löschen sie wenige Minuten nach dem Trennen; eine gute Richtlinie gibt an, wie lange.

Warum eine IP-Adresse plus ein Zeitstempel genügen können

Ermittler verzichten oft vollständig auf den Browserverlauf. Wenn das VPN die tatsächliche IP-Adresse zur Zeit um 21:14 Uhr benennen kann und eine Website den VPN-Ausgang protokolliert, der in derselben Minute eine Seite abgerufen hat, treffen sich die beiden Einträge über die Zeitkorrelation, und der Abonnent ist identifiziert. Ein Byte-Zähler allein verrät nur das Volumen, nicht das Verhalten. Zwei anonymisierte Fälle zeigen das Risiko: Nach einer gerichtlichen Anordnung 2011 und in einer US-Untersuchung wegen Cyberstalking 2017 übergaben Anbieter, die versprochen hatten, keine Aktivitäten zu verfolgen, dennoch gespeicherte IP-Adressen bei der Verbindung und Zeitstempel, mit denen sich ein Nutzer festnageln ließ.

Was „no logs“ in einer Werbung auslässt

Werbetexte zielen auf Aktivitäten ab, denn das ist der leichteste Verzicht. Für den Betrieb des Diensts müssen jedoch bestimmte Zustandsdaten vorgehalten werden: Solange der Tunnel steht, kennt der Server Ihre Adresse, das Gerätelimit erfordert das Zählen aktiver Sitzungen pro Konto, und Apps melden Abstürze. Zahlungsabwickler und Support-Chat-Tools führen unter eigenen Richtlinien möglicherweise eigene Aufzeichnungen. Und in manchen Ländern kann ein Richter einen Anbieter anweisen, künftig für einen namentlich genannten Abonnenten mitzuloggen – was kein vergangenes Audit ausschließen kann.

Vier Arten, wie eine No-Logs-Aussage geprüft wird

Unabhängige Audits

Ein externes Unternehmen prüft Server, Konfiguration und Abläufe und berichtet, ob identifizierende Daten vorgehalten werden; das Ergebnis gilt jedoch nur für einen Zeitpunkt. Der Glossar-Eintrag zu No-Logs-Audits erklärt, was ein solcher Bericht enthält.

RAM-only-Server

Server, die aus dem Arbeitsspeicher laufen, hinterlassen nach einem Neustart oder einer Beschlagnahme nichts. Sie verhindern das Logging nicht, während die Maschine läuft – betrachten Sie dies also als eine Ebene, nicht als Beweis.

Gerichtsverfahren und beschlagnahmte Server

Eine Vorladung, ein Durchsuchungsbeschluss oder ein beschlagnahmter Server, der keine Nutzerdaten liefert, prüft die Aussage unter echtem Druck. In den Daten der Seite gewann OVPN ein Gerichtsverfahren über eine gerichtliche Anordnung zur Auskunftserteilung, was als Bestätigung der Aussage in der Praxis zählt.

Transparenzberichte

Ein veröffentlichter Bericht zeigt, wie viele behördliche Anfragen eingingen und in wie vielen Fällen Daten herausgegeben wurden. Für einen Anbieter, der nichts speichert, sollte diese Zahl null lauten. Eine Warrant Canary, eine regelmäßig erneuerte Erklärung, dass keine mit Schweigepflicht belegte Anordnung eingegangen ist, ist ein verwandtes Signal.

Formulierungen in einer Datenschutzerklärung, die die Frage entscheiden

• Eine ausdrückliche Liste der erhobenen Daten, die die IP-Adresse bei der Verbindung, Sitzungszeiten und Bandbreite nennt oder dies bestreitet.
• Eine Speicherdauer pro Posten. Die UK-Leitlinie zum Grundsatz der Speicherbegrenzung verlangt von Organisationen zu begründen, wie lange personenbezogene Daten aufbewahrt werden; „vorübergehend“ ohne Zahl ist daher ein Warnsignal.
• Mit wem Daten geteilt werden: Zahlungsabwickler, Analyse-Tools, Support-Chat-Tools.
• Was der Anbieter an Strafverfolgungsbehörden herausgeben kann.
• Der Rechtsträger, der Staat, in dem er registriert ist, und das Datum der letzten Überarbeitung der Richtlinie.

Wenn die Löschung „nach der Sitzung“ erfolgt, suchen Sie nach Minuten oder Stunden; wenn Daten „anonymisiert“ sind, prüfen Sie, was entfernt wird (Konto-ID, Quell-IP-Adresse).

No-Logs-Aussagen im Hauptranking von VPNRadarLab

Von den 371 Diensten mit ausreichend veröffentlichten Daten im Hauptranking geben 303 eine No-Logs-Richtlinie an, 35 haben ein unabhängiges Audit, nur 3 haben die Aussage in der Praxis belegt, und 91 Datenschutzerklärungen räumen ein, dass sie Sitzungszeiten speichern. Wo in den Daten „Keine Angabe“ steht, veröffentlicht der Anbieter diesen Punkt nicht; es ist kein „Nein“. Für eine sortierte Auswahl mit Wertungen sehen Sie sich das No-Logs-VPN-Ranking an.

FAQ

Gibt es ein VPN völlig ohne Logs?

Nein. Laufende Sitzungen und die Abrechnung erfordern einige Aufzeichnungen; entscheidend ist, wie kurz sie vorgehalten werden und ob sie Ihrem Konto zugeordnet werden können.

Kann ein Gericht ein No-Logs-VPN zwingen, mitzuloggen?

In manchen Ländern ja, künftig für einen identifizierten Abonnenten. Deshalb ist die Gerichtsbarkeit am Heimatort wichtig, selbst nach einem sauberen Audit.

Deckt eine No-Logs-Richtlinie auch die Website und Apps des VPN ab?

In der Regel nicht. Tracker auf der Website und Analysen in der App fallen unter andere Abschnitte des Dokuments – lesen Sie diese ebenfalls.

Das No-Logs-Versprechen in Kürze

Das Etikett bedeutet, was die Definition des Anbieters sagt. Bevor Sie ihm vertrauen, prüfen Sie eine schriftliche Liste der erhobenen Daten mit Speicherdauer pro Posten, ein externes Audit und einen Transparenzbericht, der Anfragen ohne Herausgabe von Daten ausweist. Eine gerichtliche Anordnung oder ein beschlagnahmter Server, der nichts ergab, rundet das Bild ab. Ohne mindestens zwei dieser Punkte verlassen Sie sich auf Werbung.