Im Ausland über VPN arbeiten: Was Ihr Arbeitgeber noch sehen kann
Was ein privates VPN vor Ihrem Arbeitgeber verbirgt und was nicht: Firmen-VPN, Laptop-Telemetrie, WLAN-Standort und Zeitzone.
Die Vorstellung, ein privates VPN verberge vor dem Arbeitgeber, in welchem Land Sie sich aufhalten, ist genau das – eine Vorstellung. Es ändert die öffentliche IP-Adresse, die Websites sehen. Ihr Aufenthaltsort wird dennoch über das VPN-Gateway der Firma, das Anmeldesystem, den verwalteten Laptop und dessen Uhr erkennbar. Deutlich gesagt: Dieser Ratgeber behandelt, was ein Arbeitgeber sehen kann, nicht wie sich ein Standort verschleiern lässt, und er empfiehlt den Versuch nicht.
Warum ein privates VPN Ihr Land vor der Firma nicht verbirgt
Ein kommerzielles VPN leitet Ihren Datenverkehr über einen Server des Anbieters, sodass öffentliche Seiten und das Café-Netzwerk diesen Server statt Ihrer Heimleitung protokollieren. Das ist die einzige Änderung. Das Gerät selbst, das Arbeitskonto, die Ortungsdienste des Laptops und dessen Uhr bleiben unberührt – und genau diese prüfen die Tools des Arbeitgebers.
Das Firmen-VPN sieht, wo der Tunnel beginnt
Das Gateway protokolliert die öffentliche IP-Adresse, von der jede Unternehmenssitzung beginnt. Geolocation-Datenbanken ordnen diese Adresse einer Stadt oder Region zu, mitunter hunderte Kilometer daneben, weil sie den eingetragenen Standort des Anbieters speichern – doch das Land stimmt fast immer.
Ein privates VPN darunter macht aus der Heimanschluss-Adresse eine kommerzielle Rechenzentrum-Adresse – ein seltsamer Anblick für einen Mitarbeiter, der angeblich am Küchentisch sitzt. Zudem verweigern manche Unternehmens-Clients die Ausführung neben einem weiteren VPN. IT-Abteilungen berichten, dass einige nur in den USA tätige Firmen ausländische IP-Bereiche komplett blockieren.
Das Business-VPN-Ranking von VPNRadarLab listet 114 Business-VPN-Produkte. Davon geben 79 ein dediziertes Gateway an, das die Firma selbst kontrolliert, 3 verneinen dies und 32 machen keine Angabe, während 42 Split-Tunneling angeben, die Funktion, die entscheidet, welcher Datenverkehr durch den Unternehmenstunnel läuft, und 72 keine Angabe machen.
Single Sign-on: die IP-Adresse bei der Anmeldung und das Flag für anonyme VPNs
Jede Anmeldung an einem Microsoft-Tenant landet in systemgenerierten Datensätzen, die sich weder bearbeiten noch löschen lassen. Conditional Access, das die IP-Adresse der Anmeldung einem Land zuordnet, und zwar über eine periodisch aktualisierte Zuordnungstabelle, kann zudem GPS-Koordinaten aus der Microsoft-Authenticator-App erfassen, wenn die Richtlinie es verlangt. Nach einmal erteilter Berechtigung meldet die App den Standort des Telefons 24 Stunden lang jede Stunde im Hintergrund – und sie verweigert Anmeldungen, wenn dieser Standort verändert wirkt oder das Gerät einen Jailbreak aufweist. Administratoren können Länder blockieren, in denen die Organisation nie tätig ist.
Entra ID Protection erkennt weitere Risiken: „Anonyme IP-Adresse“ kennzeichnet Anmeldungen über Tor oder anonymisierende VPNs in Echtzeit, bereits im kostenlosen Tarif, während andere Regeln einen unmöglichen Sprung zwischen weit entfernten Orten, eine Anmeldung aus einem neuen Land oder eine IP-Adresse, ein Gerät oder einen Browser abseits Ihrer Historie erfassen.
Was ein verwalteter Laptop meldet: MDM und Telemetrie
Die Geräteverwaltung macht den Laptop zur Standortquelle. Mit Intune zeigt die Aktion „Gerät suchen“ einen verwalteten Rechner auf einer Karte mit Adresse und Koordinaten – auf Windows, beaufsichtigten iPhones und iPads sowie firmeneigenen Android-Geräten. Windows benötigt eine Richtlinie, die den Standortzugriff erlaubt, Android-Arbeitsgeräte zeigen einmalig eine Benachrichtigung, dass Intune auf den Standort zugreifen kann, und die Position wird erfasst, wenn ein Administrator die Aktion ausführt, dann 24 Stunden lang aufbewahrt. Dedizierte Android-Geräte melden den letzten bekannten Standort alle acht Stunden oder beim Einchecken, gespeichert für bis zu sieben Tage.
Eine andere Frage ist, was die Datenschutzrichtlinien der Produkte selbst ausweisen. Über die 114 Business-VPN-Produkte im VPNRadarLab-Ranking hinweg geben 21 an, die IP-Adresse bei der Verbindung zu erfassen, einer teilweise, zwei verneinen es und 90 machen keine Angabe – was bedeutet, dass die Richtlinie des Anbieters es auslässt, nicht dass nichts erfasst wird. 37 geben an, Geräteinformationen zu erfassen; 77 machen dazu keine Angabe.
Wi-Fi-Ortung und die Uhr
Das Gerät weiß ohne jedes VPN, wo es ist. Der Windows-Standortdienst liest GPS, drahtlose Zugangspunkte und Router in der Nähe, Mobilfunkmasten und die IP-Adresse, und derselbe Dienst stellt die automatische Zeitzone ein. Android kombiniert Wi-Fi-Zugangspunkte, Mobilfunkmasten, GPS und Sensoren wie den Beschleunigungssensor – deshalb funktioniert es drinnen, wo Satellitenfixes scheitern. Diese Funkscans laufen neben dem Tunnel und berühren Ihre IP-Adresse nie.
Die Uhr verrät leise. Die automatische Zeitzone stellt den Laptop bei Ankunft auf Ortszeit um, und dieser Versatz erscheint in Kalendereinladungen, E-Mail-Headern und Chat-Zeitstempeln. Kollegen bemerken Antworten mitten in ihrer Nacht. Browser-Anrufe liefern einen weiteren Kanal: WebRTC kann die Adresse des lokalen Anbieters offenlegen, wenn Split-Tunneling den Browser außerhalb des VPN lässt oder der Tunnel auf einem IPv6-Netz nur IPv4 behandelt.
Welche Signale Ihr Land verraten – und was ein privates VPN ändert
| Signal | Was es dem Arbeitgeber verrät | Ändert ein privates VPN es? |
|---|---|---|
| Protokoll des Firmen-VPN-Gateways | Öffentliche IP-Adresse, wo der Tunnel begann | Zeigt stattdessen eine Rechenzentrum-Adresse |
| Anmeldeprotokolle | Land jeder Anmeldung, Risiko-Flags | Kann ein Flag für anonyme IPs auslösen |
| Authenticator-GPS | Telefonstandort, stündlich gemeldet | Nein; manipulierte GPS-Daten führen dazu, dass die Anmeldung abgelehnt wird |
| MDM „Gerät suchen“ | Gerät auf einer Karte verortet | Nein |
| Wi-Fi- und Mobilfunkmasten-Ortung | Standort aus Netzen in der Nähe | Nein |
| Zeitzone und Zeitstempel | Ortszeit in Meetings, Mail, Chat | Nein |
| WebRTC in Browser-Anrufen | Adresse des lokalen Anbieters außerhalb des Tunnels | Die Adresse kann weiterhin erscheinen, wenn der Browser außerhalb des Tunnels läuft |
Was auf dem Spiel steht: Steuern, Arbeitsvertrag und Visum
Die Regeln hängen von Ihrer Staatsangehörigkeit, dem Land, aus dem Sie arbeiten, Ihrem Visum und Ihrem Vertrag ab – betrachten Sie dies daher als allgemeine Information, nicht als Rechts- oder Steuerberatung.
Der Steuerwohnsitz folgt den Tagen physischer Anwesenheit. In Großbritannien läuft das Steuerjahr vom 6. April bis zum 5. April, und der automatische UK-Test macht Sie nach 183 oder mehr Tagen im Land ansässig; der automatische Auslandstest greift bei weniger als 16 Tagen in Großbritannien, oder 46, wenn Sie in den vorherigen drei Jahren nicht ansässig waren, oder bei Vollzeitarbeit im Ausland mit durchschnittlich mindestens 35 Stunden pro Woche und weniger als 91 Tagen in Großbritannien, von denen höchstens 30 Arbeitstage sind. Ansässige zahlen normalerweise britische Steuern auf alle Einkünfte. Die IRS besteuert US-Staatsbürger und ansässige Ausländer auf Welteinkommen, und die Steuerbefreiung für im Ausland erzieltes Erwerbeinkommen (Foreign Earned Income Exclusion) setzt entweder einen tatsächlichen steuerlichen Wohnsitz im Ausland während eines gesamten Steuerjahres voraus oder mindestens 330 volle Tage im Ausland innerhalb von 12 aufeinanderfolgenden Monaten.
Arbeitsverträge nennen meist einen Arbeitsort, und Richtlinien für Fernarbeit verlangen oft eine schriftliche Genehmigung, bevor man aus einem anderen Land arbeitet – nicht angemeldete Arbeit kann in Disziplinarmaßnahmen oder Kündigung enden. Eine Einreise nach Großbritannien als Standard Visitor (bis zu 6 Monate) deckt eine feste Liste von Geschäftstätigkeiten ab, jede andere Arbeit benötigt ein Arbeitsvisum.
Der ehrliche Weg, aus einem anderen Land zu arbeiten
Fragen Sie den Arbeitgeber vor der Reise schriftlich an, mit Angabe von Land und Daten, lassen Sie HR und Lohnbuchhaltung die Steuer- und Sozialversicherungsfolgen auf beiden Seiten prüfen und bestätigen Sie, dass Ihr Aufenthaltsstatus Fernarbeit erlaubt, oder beantragen Sie ein entsprechendes Visum. Nutzen Sie das Firmen-VPN so, wie es die IT konfiguriert hat, und nutzen Sie ein privates VPN zum Schutz Ihrer Privatsphäre in öffentlichen Netzen nur, wenn die IT dies erlaubt.
Auslandarbeit mit einem VPN: FAQ
Kann mein Arbeitgeber mein privates Telefon verfolgen?
Nur über installierte Apps oder die Einbindung des Geräts in die Unternehmensverwaltung, etwa über ein Arbeitsprofil oder die Authenticator-App im Rahmen einer GPS-basierten Anmelderichtlinie.
Ist Auslandarbeit mit einem VPN illegal?
Das VPN selbst ist fast nie das Problem. Nicht angemeldete Arbeit mit dem falschen Visum oder ohne Steueranmeldung schon.
Was Ihr Arbeitgeber sieht – kurz gefasst
Ihr Land erscheint im Protokoll des Firmen-VPN-Gateways, in jedem Anmeldeprotokoll, im Standort des verwalteten Laptops und in der Uhr – und ein privates VPN ändert nichts davon, während es ein eigenes Flag für anonyme IPs hinzufügt. Holen Sie vor der Reise eine schriftliche Genehmigung ein, lassen Sie die Lohnbuchhaltung die Steuerseite in beiden Ländern prüfen und bestätigen Sie, dass Ihr Visum Fernarbeit abdeckt.