Die EU-Kommission bereitet einen Vorratsdatenspeicherungs-Vorschlag vor, der VPN-Anbieter direkt erfasst. Geht er in etwas Ähnlichem wie seiner jetzigen Form durch, könnte das No-Logs-VPN-Modell innerhalb der EU illegal werden. Das klingt alarmistisch. Ist es nicht. Hier, was die Dokumente tatsächlich sagen.

Was die EU vorschlägt

Seit Jahren sind die EU-Vorratsdatenregeln ein juristisches Chaos. Der Europäische Gerichtshof kippte 2014 die alte Richtlinie, und die Mitgliedstaaten improvisieren seither. Strafverfolgungsbehörden klagen die ganze Zeit, dass ihnen ein einheitlicher Weg fehlt, Verbindungsdaten von Onlinediensten zu verlangen. Die Antwort der Kommission ist ein neuer Vorratsdatenrahmen, mit einem Gesetzesvorschlag, der nach einer Folgenabschätzung Anfang 2026 bis Mitte 2026 erwartet wird. Die Liste der diskutierten Dienste geht weit über Telekom-Betreiber hinaus: Nach vorliegenden Analysen umfasst sie Messenger-Apps, Hosting-Anbieter, Filesharing-Dienste, Cloud-Speicher und VPN-Firmen.

Was Mitgliedstaaten von VPNs speichern lassen wollen

Das entscheidende Detail ist die Art der Daten. Mitgliedstaaten haben in Arbeitsdokumenten klargemacht: Zu wissen, wem ein Konto gehört, reicht ihnen nicht. Sie wollen Metadaten: wann ein Nutzer online war, von welcher IP-Adresse, und wie lange. Für einen VPN-Anbieter heißt das Verbindungsprotokolle. Zeitstempel, Quell-IPs, zugewiesene IPs, Sitzungsdauer. Genau die Aufzeichnungen, die seriöse Anbieter ein Jahrzehnt lang zu führen abgelehnt haben, und genau die, deren Nichtexistenz unabhängige Audits bestätigen. Ein Speicherungsmandat verlangte nicht, Browserinhalte auszuspionieren. Das muss es nicht. Verbindungs-Metadaten reichen, um eine echte Person mit einer Online-Identität zu verknüpfen, genau das, was ein datenschutzorientiertes VPN verhindern soll.

Warum das das No-Logs-Modell bricht

Ein No-Logs-VPN ist kein Ehrenwort. Es ist eine Architektur. Anbieter wie Mullvad und NordVPN bauen ihre Systeme so, dass die Daten nirgends geschrieben werden: RAM-only-Server, keine persistenten Identifikatoren, Audits zur Bestätigung. Das Sicherheitsargument ist simpel: Daten, die nicht existieren, können nicht gestohlen, vorgeladen oder geleakt werden. Ein Speichergesetz dreht die Logik um. Anbieter müssten genau die Aufzeichnungen erzeugen und speichern, auf deren Nichtexistenz ihr Sicherheitsmodell beruht. NordVPN sagte, erzwungene Speicherung von IP-Adressen, Verkehr und Standortdaten würde die Kernfunktion des Produkts zunichtemachen und ein hochwertiges Angriffsziel schaffen. Und das absehbare Ergebnis: Legitime Anbieter ziehen sich aus dem EU-Markt zurück, und Nutzer wandern zu Offshore-Diensten, die niemandem Rechenschaft schulden. Die EU würde niemanden davon abhalten, ein VPN ohne Logs zu nutzen, sie würde nur garantieren, dass die Anbieter, die EU-Nutzer aus der EU heraus bedienen, die sind, denen man nicht trauen kann.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Wie das mit dem größeren EU-Datenschutzkampf zusammenhängt

Dieser Vorschlag geschieht nicht isoliert. Er ist eine von sechs Säulen der ProtectEU-Sicherheitsstrategie der Kommission, neben legalem Abhören, Entschlüsselung und digitaler Forensik. Dieselbe Strategie, die Chat Control hervorbrachte, bringt nun dies hervor. Es sei klar gesagt: Es gibt echte Ermittlungen, die stocken, weil Daten nicht gespeichert wurden. Die Polizei erfindet das Problem nicht. Aber die Antwort, auf die sie immer wieder zurückgreift, verpflichtende Protokollierung aller per Voreinstellung, wurde vom höchsten EU-Gericht bereits zweimal verworfen. Der EuGH hat konsequent geurteilt, dass allgemeine und unterschiedslose Vorratsspeicherung Grundrechte verletzt. Jeder neue Rahmen landet vor demselben Gericht.

Drei Gerichtsniederlagen in einem Jahrzehnt

2014 annullierte der EuGH die ursprüngliche Richtlinie im Fall Digital Rights Ireland: Die Speicherung der Kommunikations-Metadaten aller per Voreinstellung sei ein unverhältnismäßiger Eingriff. 2016 ging das Tele2/Watson-Urteil weiter und untersagte den Mitgliedstaaten gleichwertige nationale Gesetze. 2020 bestätigte La Quadrature du Net die Linie erneut und erlaubte nur enge, gezielte Speicherung bei echten Bedrohungen der nationalen Sicherheit. Drei Urteile, ein Grundsatz: Man darf nicht alle protokollieren, nur für den Fall, dass einige Kriminelle sind. Warum ein viertes Mal versuchen? Weil die politische Nachfrage nie verschwand und jedes Urteil kleine Öffnungen ließ. Diese Rechtsunsicherheit schneidet in beide Richtungen: No-Logs-VPNs verschwinden nicht aus Europa, aber die Branche wird die nächsten Jahre unter einem Schwert bauen, das fallen mag oder nicht.

Was Sie jetzt tun können

Der erwartete Ablauf: Die Kommission veröffentlicht ihren Vorschlag um Mitte 2026, dann positionieren sich Parlament und Rat, dann beginnen die Trilog-Verhandlungen. Das dauert meist Jahre. Für VPN-Nutzer ändert sich heute nichts. No-Logs-VPNs bleiben überall in der EU legal. Was Sie tun können, ist Positionierung: Bevorzugen Sie Anbieter außerhalb der EU mit geprüften No-Logs-Richtlinien und RAM-only-Infrastruktur. ProtonVPN arbeitet aus der Schweiz, die kein EU-Mitglied ist. NordVPN sitzt in Panama und hat mehrere unabhängige No-Logs-Audits bestanden.

Unser Urteil

Das ist die bisher ernsteste gesetzgeberische Bedrohung für No-Logs-VPNs in Europa und verdient mehr Aufmerksamkeit als jede Datenleck-Schlagzeile dieses Jahres. Es ist auch weit von einem Gesetz entfernt. Der Vorschlag kommt Mitte 2026, der EU-Prozess ist langsam, und der EuGH hat pauschale Speicherung schon zweimal gekippt. Achten Sie darauf, wo Ihr Anbieter eingetragen ist, nicht nur, was sein Marketing sagt. Die Jurisdiktion wird zur wichtigsten Zeile in jedem VPN-Vergleich.

Weiterlesen: EU Going Dark und ProtectEU 2026 und Wie verifizieren Sie No-Logs?.