VPN-Transparenzberichte: Anzahl der Anfragen, keine Offenlegungen und blinde Flecken

Ein VPN-Transparenzbericht ist eine öffentliche Aufstellung, verfasst vom Anbieter selbst, über die Datenanfragen, die er in einem bestimmten Zeitraum erhalten hat, und darüber, was anschließend geschah. Polizei und Gerichte wollen wissen, wer zu einer bestimmten Minute mit einem Server verbunden war, Rechteinhaber beschweren sich über Torrent-Traffic, und der Bericht zeigt, wie viele Forderungen tatsächlich mit der Herausgabe von Nutzerdaten endeten. Betrachten Sie ihn als die Darstellung einer Seite: nützlich, doch niemand außerhalb der Firma prüft die Rechnung.

Was ein VPN-Transparenzbericht auflistet

Die typische Anfrage, die ein VPN erhält, sieht jedes Mal gleich aus: Ein Ermittler hält eine gemeinsame Exit-Adresse und einen Zeitstempel und möchte einen Namen dahinter. Der Bericht sortiert die Forderungen nach rechtlichem Gewicht und zeigt, was jede einzelne erbracht hat.

Urheberrechtsmeldungen fallen oft weit zahlreicher aus als staatliche Anfragen, weil die Anti-Piraterie-Überwachung von Torrent-Swarms immer wieder dieselbe gemeinsame Exit-Adresse meldet. Die Formate variieren: Manche Anbieter zählen nur rechtliche Anfragen, andere ergänzen Missbrauchsbeschwerden oder reichen den separaten EU-Bericht zur Inhaltsmoderation ein, ein anderes Dokument. Access Now führt ein Verzeichnis von Unternehmen, die solche Berichte veröffentlichen, und kritisiert die unterschiedlich aufgebauten Formate, was den direkten Vergleich erschwert.

Wie oft Anbieter einen Bericht veröffentlichen

Eine verbindliche Regel gibt es nicht. Google veröffentlichte 2010 den ersten Bericht, und nach den Snowden-Enthüllungen 2013 verbreitete sich die Praxis weit; große Tech-Konzerne etablierten halbjährliche oder jährliche Veröffentlichungen. VPN-Marken variieren stärker: OVPN legt seit 2014 monatlich nach, NordVPN erscheint quartalsweise mit getrennter Abdeckung von behördlichen Anfragen und DMCA, und Malwarebytes Privacy VPN stellt eine jährliche Datei bereit, gehostet von AzireVPN. Wichtiger als die Frequenz ist die Kontinuität: Ein leeres Quartal oder Kategorien, die zwischen den Zeiträumen stillschweigend verschwinden, verdienen denselben Verdacht wie ein abgelaufener Warrant Canary.

Was die Zahlen beweisen und wo sie enden

Eine lange, ununterbrochene Reihe von Berichten ohne herausgegebene Daten ist vereinbar mit einem Anbieter, der keine Aufzeichnungen führt, die ein Gericht abrufen könnte. Das ist die Obergrenze. Die Aufstellung ist nach eigenen Angaben erstellt und von keiner externen Stelle geprüft, sodass eine Firma, die in ihrer Datenschutzerklärung lügen würde, auch hier lügen könnte. Unter Schweigepflicht gestellte Anfragen fehlen im Dokument, und staatliche Sicherheitsanfragen aus den USA erscheinen nur als Zahlenbereich mit der Untergrenze null. Berichte blicken zudem nur zurück: Ob ein Gericht letzte Woche gezieltes Logging angeordnet hat, können sie nicht sagen.

Lesen von „keine Daten herausgegeben“ und der Länderaufschlüsselung

Zwei Nullen bedeuten hier Unterschiedliches. Eine ruhige Bilanz kann einfach bedeuten, dass noch niemand gefragt hat, und zeigt daher wenig. Null herausgegebene Daten nach Dutzenden echter Anfragen haben Gewicht: Das zeigt, dass der Anbieter auf die Probe gestellt wurde und keine Aufzeichnungen zu den Zeitstempeln hatte. Prüfen Sie, ob der Zeitraum aktuell ist und ob alle Anfragetypen in der Zählung enthalten sind.

Die Länderaufschlüsselung zeigt, aus welchen Rechtsräumen der Anbieter angegangen wird. Eine Forderung aus dem Ausland braucht meist die Zustimmung eines Gerichts im Heimatland des Anbieters, bevor er handeln muss; ein Anstieg aus einem Land geht daher oft auf eine einzige Ermittlung zurück, nicht auf eine Richtlinienänderung.

Wie der Bericht mit einem Warrant Canary und einem No-Logs-Audit zusammenpasst

Ein Warrant Canary signalisiert die Anfragen unter Schweigepflicht, die ein Bericht nicht erwähnen kann, sodass die beiden ein Paar bilden; manche Anbieter haben ihre Canary stattdessen durch detailliertere Berichterstattung ersetzt. Ein unabhängiges No-Logs-Audit ist das Verfahren, bei dem eine externe Firma tatsächlich Server und Konfiguration inspiziert.

Transparenzberichte im VPNRadarLab-Ranking

Von 371 Diensten veröffentlichen 20 einen Transparenzbericht, 78 tun dies ausdrücklich nicht, und 279 erwähnen einen schlicht nicht. Das Merkmal bringt 1 der 15 Punkte in der Teilwertung Datenschutz und Gerichtsbarkeit (30 % der Hauptwertung), während ein Audit 3 Punkte und ein Warrant Canary 1 Punkt bringt. Das Ranking der VPN-Anbieter, die solche Berichte veröffentlichen, listet die 21 Dienste auf, die die Voraussetzungen erfüllen; 8 davon betreiben zudem eine Canary und 10 ein Audit, sodass weniger als die Hälfte alle drei Signale vereint.

FAQ

Sind VPNs gesetzlich verpflichtet, einen Transparenzbericht zu veröffentlichen?

Nein, fast überall ist es freiwillig. Die EU-Berichte zur Inhaltsmoderation, die manche Dienste einreichen müssen, sind ein anderes Dokument unter einer anderen Pflicht.

Kann ein Anbieter seine Zahlen fälschen?

Ja. Niemand prüft die Aufstellung von außen, betrachten Sie sie daher als Behauptung, nicht als Beweis.

Bedeutet eine hohe Anzahl an Anfragen, dass ein VPN unsicher ist?

Nein. Beliebte Dienste ziehen mehr Schreiben aus mehr Ländern an. Die Spalte der Offenlegungen ist entscheidend.

Der Transparenzbericht in Kürze

Er zählt die rechtlichen und urheberrechtlichen Anfragen, die ein Anbieter erhalten hat, und nennt, wie viele davon Nutzerdaten erbrachten. Er erscheint zwischen monatlich und jährlich, ist nach eigenen Angaben erstellt und ungeprüft, und schweigt über Anfragen unter Schweigepflicht. Wägen Sie die Zeile „keine Daten herausgegeben“ nur ab, wenn Anfragen eingingen und mit nichts beantwortet wurden, und lesen Sie sie zusammen mit einer Canary und einem Audit statt für sich allein.