Europol und Strafverfolger aus 18 Ländern zerschlugen am 19. und 20. Mai 2026 First VPN. Der Dienst lief seit 2014 und deckte mindestens 25 Ransomware-Gruppen. Ein ukrainischer Administrator wurde verhaftet. 33 Server in 27 Ländern wurden beschlagnahmt, samt einer kompletten Datenbank mit über 5.000 kriminellen Konten. Diese Sache zählt mehr als die übliche Takedown-Geschichte.

Was First VPN wirklich war

First VPN war kein Consumer-Produkt. Es war ein Bulletproof-Hosting-Anbieter. Solche Dienste existieren, um Behördenanfragen zu ignorieren, Zahlungen in Kryptowährung anzunehmen und keine Aufzeichnungen zu führen, die Kunden identifizieren könnten. Der Dienst lief zwölf Jahre, bevor Europol ihn einholte. In dieser Zeit gab er Ransomware-Banden die Infrastruktur, um Angriffe zu starten, Zahlungen einzusammeln und zu verschwinden. Die Banden routeten ihren Verkehr durch First VPNs Server und machten die Zuordnung für Ermittler nahezu unmöglich. Die beschlagnahmte Nutzerdatenbank ist der eigentliche Fang: über 5.000 mit krimineller Aktivität verknüpfte Konten, mit vollständigen Transaktionshistorien und Verbindungsprotokollen. Die Ermittler haben nun eine direkte Verbindung zu jeder Gruppe, die den Dienst nutzte.

Warum dieser Takedown anders ist

Historisch ging die Strafverfolgung gegen einzelne Ransomware-Betreiber vor. Verhaftet man einen, splittert die Gruppe und formiert sich oft unter neuem Namen. Langsam, teuer, uneinheitlich. Operation Saffron nahm einen anderen Weg: die gemeinsame Infrastruktur ins Visier nehmen. Bulletproof-Hoster, Krypto-Mixer und kriminelle VPN-Dienste sind die Rohre, die groß angelegte Ransomware ermöglichen. Nimmt man die Rohre raus, verlieren alle Gruppen, die sie nutzen, ihre operative Deckung auf einmal. 25 Ransomware-Gruppen verloren ihre Anonymitätsschicht an einem einzigen Wochenende. Es ist dieselbe Logik, die in den letzten Jahren mehrere Darknet-Märkte zerschlug: die Logistik angreifen, nicht nur die Kriminellen.

Was das für normale VPN-Nutzer bedeutet

Hier wird die Story online falsch gelesen. Jedes Mal, wenn die Behörden ein “VPN” ausheben, schreiben Tech-Kommentatoren, VPNs seien nicht vertrauenswürdig. Diese Rahmung verfehlt den Punkt. First VPN war kein Consumer-VPN. Es nutzte das VPN-Label als technische Beschreibung, nicht als Produktkategorie: keine öffentliche App, keine Datenschutzrichtlinie, kein unabhängiges Audit, kein Interesse, Nutzerdaten vor der Strafverfolgung zu schützen. Sein ganzer Wert war, dass es außerhalb jedes Rechtsrahmens operierte. Consumer-VPNs wie NordVPN oder ProtonVPN sind eingetragene Unternehmen in bestimmten Jurisdiktionen, unabhängig auditiert und an ihre eigenen Nutzungsbedingungen gebunden. Die Frage für jeden legitimen Nutzer ist nicht “Könnte dieses VPN beschlagnahmt werden?”, sondern “Führt dieses VPN Logs, die bei einer Beschlagnahme nützlich wären?”. Ein sauber betriebenes No-Logs-VPN, morgen beschlagnahmt, gibt nichts her.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Was eine No-Logs-Richtlinie tatsächlich schützt

First VPNs Untergang war seine Datenbank. Europol trug 5.000 kriminelle Kontodatensätze davon, weil der Dienst sie führte. Das ist das genaue Gegenteil einer echten No-Logs-Richtlinie. Sagt ein VPN, es führe keine Logs, kann es keine Aufzeichnungen herausgeben, die es nie erstellt hat. Das wurde in echten Verfahren getestet: Mehrere Anbieter wurden vorgeladen und konnten keine Nutzerdaten liefern, weil keine existierten. Darum zählt die Jurisdiktion neben der No-Logs-Aussage. Ein VPN in den USA, Australien oder dem UK sitzt in Geheimdienstbündnissen (Five, Nine, Fourteen Eyes), die Firmen zur Datenspeicherung drängen können. Ein VPN in der Schweiz oder Panama trifft ein anderes rechtliches Umfeld.

Wie man ein VPN nach so einer Story bewertet

News wie Operation Saffron machen Menschen generell paranoid gegenüber VPNs. Das ist die falsche Reaktion, aber ein guter Anlass zu prüfen, ob Ihr aktuelles VPN die versprochenen Schutzmechanismen wirklich hat. Ein paar Punkte: Die No-Logs-Aussage sollte durch ein Audit gedeckt sein, nicht durch eine Selbsterklärung, sondern durch ein echtes Drittprüfer-Audit einer benannten Firma. Nennt ein Anbieter den Prüfer nicht, existiert das Audit wahrscheinlich nicht. Die Jurisdiktion zählt, ist aber nicht alles. Die Eigentümerschaft sollte transparent sein. Und der Preis sollte realistisch sein: First VPN verlangte angeblich rund 1,80 Dollar im Monat, unter den Kosten legitimer Infrastruktur. Ist ein VPN zum Bruchteil des Marktpreises angeboten und zielt auf Käufer, die “keine Fragen stellen”, ist es kein Consumer-Produkt.

Unser Urteil

Operation Saffron ist ein echter Erfolg der Strafverfolgung und ein Beleg, dass die Infrastruktur-Strategie besser wirkt als die Jagd auf einzelne Ransomware-Betreiber. First VPN war ein krimineller Dienst, kein Consumer-Produkt. Der Takedown sagt nichts darüber, ob Ihr NordVPN- oder ProtonVPN-Abo sicher ist. Er erinnert aber daran, warum auditierte No-Logs-Richtlinien und Jurisdiktion zählen. Ein VPN, das keine Aufzeichnungen führt, kann keine herausgeben.

Weiterlesen: EU-Datenspeicherungspflicht und VPN-Anbieter 2026 und Wem gehört Ihr VPN? 2026.