Five Eyes, Nine Eyes, 14 Eyes: Was bedeutet das für VPNs?

Wer sich mit VPNs beschäftigt, kennt diese Begriffe: Five Eyes, Nine Eyes, 14 Eyes. Test-Seiten nutzen sie ständig, meist als Grund, VPNs aus bestimmten Ländern zu meiden. Die meisten Erklärungen enden beim Auflisten der Mitgliedsländer. Diese geht weiter: was diese Bündnisse wirklich sind, was reale Fälle über ihre Macht zeigen, und wie stark sie Ihre Wahl beeinflussen sollten.

Was ist das Five-Eyes-Bündnis?

Die Five Eyes sind ein Abkommen zum Austausch von Geheimdienstinformationen zwischen fünf englischsprachigen Ländern: USA, UK, Kanada, Australien und Neuseeland. Es entstand 1946 aus dem UKUSA-Abkommen nach dem Zweiten Weltkrieg, ursprünglich mit Fokus auf Fernmeldeaufklärung, und wuchs zu einem umfassenden Rahmen. Für den Datenschutz bedeutsam: Die Mitglieder teilen Überwachungsdaten. In der Praxis kann ein Land ein anderes bitten, Daten in seinem Namen zu sammeln, und diese dann erhalten, was inländische Beschränkungen umgehen kann. Das NSA-Programm PRISM (2013 von Edward Snowden enthüllt) zeigte das Ausmaß. Ebenfalls real: das ältere ECHELON-System, ein globales Netz von Abhörstationen für Telefon-, Fax- und Satellitenverkehr. Washington hat dessen Existenz nie offiziell bestätigt, aber freigegebene Dokumente und unabhängige Recherchen beschreiben es seit Jahrzehnten detailliert.

Nine Eyes und 14 Eyes

Die Nine Eyes ergänzen Dänemark, Frankreich, die Niederlande und Norwegen. Die 14 Eyes fügen Deutschland, Belgien, Italien, Spanien und Schweden hinzu, ein Kreis, der in Geheimdienstkreisen SSEUR (SIGINT Seniors Europe) heißt und seit den frühen 1980er Jahren in verschiedenen Formen tagt. Damit deckt das Bündnis den Großteil Westeuropas plus die fünf Kernländer ab. Für Nutzer heißt das: Ein in Deutschland eingetragenes VPN sitzt technisch in einem 14-Eyes-Land, auch wenn das deutsche Datenschutzrecht zu den strengsten Europas zählt.

Es gibt mehr als drei Bündnisse

Five, Nine und 14 Eyes bekommen die meiste Aufmerksamkeit, sind aber nicht die einzigen Geheimdienst-Netzwerke. Das SIGINT Seniors Pacific (SSPAC) verbindet seit 2005 die Five-Eyes-Länder mit Südkorea, Singapur, Thailand, Frankreich und Indien. Der Club de Berne ist ein älteres, informelles europäisches Sicherheitsnetzwerk (nicht nur SIGINT), das seit 1971 in irgendeiner Form existiert. Und seit 2020 taucht immer wieder die Idee eines “Sixth Eye” auf, nachdem Japans damaliger Verteidigungsminister engere Zusammenarbeit mit den Five Eyes ins Spiel brachte. Nichts davon ist formell geworden, aber es zeigt: Die Liste ist nicht in Stein gemeißelt.

Zählt die Jurisdiktion wirklich?

Die nuancierte Antwort, die die meisten Reviews auslassen: Die Jurisdiktion zählt, ist aber nicht das Einzige, und wird oft überbewertet. Wenn sie stark zählt: für Journalisten, Aktivisten oder alle unter einer Regierung, die einen Anbieter rechtlich unter Druck setzen könnte. Ein US-VPN kann einen National Security Letter erhalten (ein geheimer Befehl mit Offenlegungsverbot), ein Panama-VPN nicht. Wenn sie weniger zählt, als Leute denken: für die große Mehrheit (ISP-Tracking vermeiden, Geo-Inhalte, öffentliches WLAN) zählt mehr, ob das VPN wirklich keine Logs führt. Ein geprüftes No-Logs-VPN in einem Five-Eyes-Land bietet besseren praktischen Schutz als ein VPN in “sicherer” Jurisdiktion, das loggt. Der Grund: Führt es keine Logs, gibt es nichts herauszugeben. NordVPN (Panama) und Mullvad (Schweden, 14 Eyes, aber Server beschlagnahmt ohne Fund) zeigen beides.

Reale Fälle: was Jurisdiktion schon erzwungen hat

Theorie ist eine Sache. Das ist in der Praxis passiert, konkret in Five-Eyes-Ländern:

• IPVanish (USA, 2016) übergab dem FBI Verbindungsdaten im Rahmen einer strafrechtlichen Ermittlung, obwohl der Dienst sich damals als No-Logs-VPN vermarktete. Das Unternehmen hat seither den Besitzer und seine Protokollierungspraxis geändert, aber der Fall bleibt das klarste Beispiel dafür, dass ein “No-Logs”-Versprechen unter US-Rechtsdruck brechen kann.
• HideMyAss (UK, 2011) musste auf richterliche Anordnung Nutzerdaten für eine Hacking-Ermittlung herausgeben und informierte seine Nutzer erst, als der Fall öffentlich wurde.
• Lavabit (USA, 2013) erhielt eine geheime Anordnung zur Herausgabe seiner Verschlüsselungsschlüssel im Rahmen der Snowden-Ermittlung. Statt zu kooperieren, schaltete Gründer Ladar Levison den Dienst ab.
• Riseup (USA), ein datenschutzorientiertes Mail- und VPN-Kollektiv, musste unter einem Schweigegebot bestimmte Nutzerdaten protokollieren, das ihm sogar untersagte, seinen Warrant Canary zu aktualisieren.
• TorGuard (USA) musste im Rahmen eines Urheberrechtsvergleichs BitTorrent-Verkehr auf US-Servern blockieren, ein Hinweis darauf, dass Jurisdiktionsrisiko nicht nur staatliche Überwachung betrifft, sondern auch private Klagen.

Keiner dieser Anbieter landete zufällig in einer riskanten Jurisdiktion. Alle waren in Five-Eyes-Ländern eingetragen, wo Gerichte und Behörden echte rechtliche Mittel haben, Kooperation zu erzwingen, teils mit einem Schweigegebot, das dem Anbieter verbietet, es überhaupt offenzulegen.

Länder außerhalb aller drei Bündnisse

Wer Wert auf Jurisdiktion legt, findet hier Länder ohne Pflicht zur Vorratsdatenspeicherung, außerhalb von Five Eyes, Nine Eyes und 14 Eyes:

• Panama, Sitz von NordVPN
• Schweiz, Sitz von ProtonVPN. Das Schweizer Recht verlangt eine Strafermittlung, bevor Daten erzwungen werden können
• Island, starke Datenschutzgesetze, außerhalb der EU-Vorratsdatenspeicherungsrichtlinien
• Britische Jungferninseln, ursprünglicher Sitz von ExpressVPN, mittlerweile im Besitz von Kape Technologies, UK
• Rumänien, Sitz der CyberGhost-Muttergesellschaft
• Malaysia, Sitz von Hide.me

Die Schweiz verdient eine besondere Erwähnung. Das Schweizer Recht platziert sie nicht nur außerhalb der Geheimdienstbündnisse. Es verlangt aktiv eine formale Strafermittlung der Schweizer Behörden, bevor Daten erzwungen werden können, und selbst dann ist der Prozess langsam und transparent. Deshalb wählte Proton Genf als Basis.

Das regulatorische Umfeld bewegt sich 2026 weiter. Die “Going Dark”-Vorschläge der EU und die Debatte um Chat Control werfen immer wieder die Frage auf, wozu Regierungen Anbieter, VPNs eingeschlossen, zwingen können. Mehr dazu: was die EU-Chat-Control-Abstimmung für VPNs bedeutet und die “Going Dark”-Pläne der EU erklärt.

Wie wir die Jurisdiktion bei VPN Picker bewerten

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Unsere Vergleichsseite führt die Jurisdiktion als einen von 18 bewerteten Kriterien. VPNs in Panama, der Schweiz, Island und ähnlichen Jurisdiktionen bekommen die höchsten Werte. VPNs in den USA, UK und Australien schneiden schlechter ab, wegen der rechtlichen Mittel, die diesen Regierungen zur Verfügung stehen (National Security Letters, RIPA und Ähnliches). VPNs in Nine- oder 14-Eyes-Ländern liegen dazwischen.

Der Jurisdiktionswert ist ein Faktor unter mehreren. Ein VPN mit guter Jurisdiktion, aber ohne unabhängiges No-Logs-Audit, schneidet insgesamt trotzdem schlecht ab. Die vollständige Aufschlüsselung für jeden Anbieter gibt es auf der Vergleichsseite.

Der ehrliche Rahmen

Die Bündnisse sind real und relevant, aber keine einfache Checkliste, bei der “außerhalb = sicher” gilt. Die Fälle IPVanish und HideMyAss zeigen, wie dieses Risiko konkret aussieht, wenn es eintritt. Der ehrliche Ansatz: mit der Jurisdiktion beginnen (ein sinnvoller Filter), dann die No-Logs-Behauptung mit Audits oder Gerichtstests prüfen, dann das Eigentum checken (ein “Panama-VPN” einer UK-Holding hat weniger Schutz als die Schlagzeile suggeriert). Alle drei zusammen geben ein klareres Bild als ein Faktor allein.

Weiterlesen: VPN-Jurisdiktion 2026 und Wer besitzt Ihr VPN? 2026.