VPN-Gerichtsbarkeit: Wo VPN-Anbieter sitzen und warum das wichtig ist

Die Gerichtsbarkeit eines VPNs ist das Land, in dem das Unternehmen hinter dem Dienst rechtlich registriert ist; sie bestimmt, welche Gerichte und Behörden dieses Unternehmen verpflichten können. Das ist relevant, wenn auch weit weniger, als das Marketing suggeriert: Nach der Wertung von VPNRadarLab verschiebt das Heimatland einen Dienst um maximal 0,4 Punkte auf der zehnpunktigen Skala.

Was das Registrierungsland bestimmt

Drei Fragen hängen davon ab, wo das Unternehmen registriert ist: Kann der Staat anordnen, Daten zu speichern? Können Behörden verlangen, was bereits gespeichert ist? Und kann es untersagt werden, eine Anfrage offenzulegen? Letzteres, eine Schweigepflicht (gag order), ist der Grund, warum manche Anbieter einen Warrant Canary führen: eine Erklärung, die sie weiter veröffentlichen, solange keine geheime Anfrage eingegangen ist – bleibt ein Update aus oder fehlt, deutet das darauf hin, dass doch eine kam.

Der Standort des Servers ist eine separate Frage. Die Hardware unterliegt dem Recht des Landes, in dem sie steht, während Konto, Zahlung und Protokollierungsrichtlinie zum Unternehmen in der Heimat gehören. Der britische Investigatory Powers Act 2016, Abschnitt 87, hält die Speicherung schriftlich fest: Der Secretary of State kann einen Telekommunikationsanbieter verpflichten, Verkehrsdaten zu speichern, ein Judicial Commissioner muss die Anordnung genehmigen, und nichts darf darüber länger als 12 Monate aufbewahrt werden. Europa schlug den entgegengesetzten Weg ein, als der Gerichtshof die EU-Datenspeicherrichtlinie im April 2014 im Fall Digital Rights Ireland für nichtig erklärte.

Five, Nine und Fourteen Eyes ohne die Folklore

Five Eyes entstand aus dem UKUSA-Abkommen zur Nachrichtenaufklärung zwischen London und Washington, unterzeichnet am 5. März 1946 (ursprünglich BRUSA); die NSA hat die freigegebenen UKUSA-Dokumente veröffentlicht. Später kamen Kanada, Australien und Neuseeland zu diesem Kreis hinzu. Die Listen mit neun und vierzehn Ländern sind keine Verträge: Sie stammen aus geleakten Dokumenten und Datenschutz-Ratgebern, die die Geheimdienstkooperation beschreiben. Nine Eyes ergänzt Dänemark, Frankreich, die Niederlande und Norwegen; Fourteen Eyes ergänzt Belgien, Deutschland, Italien, Spanien und Schweden. Alle drei Kreise mit derselben Form der Überwachung gleichzusetzen, geht zu weit: Es sind Vereinbarungen zum Austausch mit unterschiedlicher Enge.

Wie das Land in die Datenschutzwertung einfließt

Datenschutz macht 30 % der Gesamtwertung eines Dienstes aus, und das Kriterium zur Überwachungsallianz ist eine Zeile darin: 2 von 15 möglichen Datenschutzpunkten. Außerhalb aller Allianzen gibt es die vollen 2, Fourteen Eyes 0,8, Nine Eyes 0,6, Five Eyes 0. Ein Unternehmen, das kein Land angibt, erhält nichts – auf dem Niveau eines Five-Eyes-Sitzes.

Die Gewichtung erklärt, warum ein einzelnes Kriterium nicht alles entscheidet. Ein unabhängiges No-Logs-Audit bringt 3 Punkte, eine No-Logs-Richtlinie 2, das Nichtspeichern der IP-Adresse bei der Verbindung 1,5, die Registrierung ohne E-Mail 1,5; eine gespeicherte IP-Adresse bei der Verbindung kostet 1,5 plus einen Punktabzug von −3. Vergleichen Sie LunoVPN und Proton VPN: LunoVPN ist in den USA registriert, sammelt null Allianzpunkte und erreicht dennoch eine Datenschutzwertung von 7,7 – dank eines Audits, des Verzichts auf die Speicherung von IP-Adressen und Sitzungszeiten, der Registrierung ohne E-Mail-Adresse sowie eines Warrant Canary und eines Transparenzberichts. Proton VPN sitzt in der Schweiz mit vollen Allianzpunkten, erreicht aber nur 6,0, weil seine Richtlinie als teilweise Speicherung der IP-Adresse bei der Verbindung erfasst ist und die Registrierung eine E-Mail erfordert.

Wo die 371 Dienste im Ranking sitzen

Die größte Gruppe sind die 117 Dienste, die kein Registrierungsland angeben; unter den genannten Ländern liegen die USA vorn mit 92 von 371, vor Großbritannien mit 16 und Hongkong mit 15.

Die Top 10 des Rankings umfassen 7 Dienste außerhalb der Allianzen, 2 in Five Eyes und 1 in Nine Eyes; die Top 50 umfassen 28 außerhalb, 10 ohne angegebene Allianz, 8 in Five Eyes, 3 in Fourteen Eyes und 1 in Nine Eyes. Der Datenschutzabstand zwischen der Gruppe außerhalb (3,7) und den Gruppen Five Eyes und Keine Angabe (je 1,3) ist größer, als das Zwei-Punkte-Kriterium allein erklärt. Für ein Land im Detail: Die meistgesuchte Seite in diesem Abschnitt behandelt in Indien registrierte VPN-Unternehmen sowie den IT Act und die CERT-In-Regeln, die für diese Unternehmen gelten.

Warum die Protokollierungsrichtlinie vor der Flagge kommt

Nur 35 der 371 Dienste im Ranking haben ihr No-Logs-Versprechen von einem unabhängigen Auditor prüfen lassen. Diese Zahl zeigt, worauf Sie zuerst achten sollten: Wird nichts gespeichert, gibt es unter keinem Gesetz etwas herauszugeben; ein Anbieter, der IP-Adressen bei der Verbindung speichert, kann von den Behörden seines Heimatlandes zur Herausgabe gezwungen werden. Unser No-Logs-VPN-Ranking legt dar, was jede Richtlinie an Datensammlung zugibt.

FAQ

Ändert die Verbindung zu einem Server im Ausland die Gerichtsbarkeit?

Nein. Der Standort des Exit-Servers ändert Ihre sichtbare IP, aber das Unternehmen, das Ihr Konto führt, unterliegt unabhängig davon weiterhin der Gerichtsbarkeit seines Heimatlandes.

Ist ein VPN mit Sitz in einem Fourteen-Eyes-Land unsicher?

Nicht automatisch. Die Allianzmitgliedschaft kostet nur einen Bruchteil der Wertung, und ein von außen verifizierter No-Logs-Nachweis wiegt schwerer.

Was, wenn ein VPN nie sagt, wo es registriert ist?

VPNRadarLab wertet „Keine Angabe“ wie einen Five-Eyes-Sitz. Fragen Sie den Anbieter direkt, bevor Sie zahlen.

Kurzantwort

Gerichtsbarkeit bedeutet das Registrierungsland, dessen Gesetzen Ihr VPN-Unternehmen unterliegt; dortige Speichergesetze können es zwingen, Daten aufzubewahren, die es sonst verwerfen würde, und eine Schweigepflicht kann es daran hindern, Sie zu informieren. Die Eyes-Allianzen beschreiben die Geheimdienstkooperation, wurzelnd im UKUSA-Abkommen von 1946, und kosten einen Dienst höchstens 2 von 15 Datenschutzpunkten, also 0,4 von den insgesamt 10. Lesen Sie zuerst die Richtlinie, suchen Sie dann nach einem Audit und wägen Sie erst danach das Land ab.