Ein VPN, das versprach “keine Logs oder Verlauf: Wir speichern niemals deine Aktivitäts- oder Verbindungsdaten”, hat sich als Speicher von Dutzenden Millionen davon entpuppt. Für einen Dienst, der explizit für Nutzer in Ländern mit strenger Internetkontrolle beworben wurde, ist das keine gewöhnliche Datenpanne, sondern ein Vertrauensbruch mit potenziell realen Konsequenzen für reale Menschen. Ein Angreifer verbreitet aktuell eine 17-GB-SQL-Datenbank im Cyberkriminalitätsforum Altenen, angeblich gestohlen von SplitVPN, einem russischen VPN-Dienst, der früher unter dem Namen NotVPN firmierte und als Mittel zur Umgehung von Internetzensur beworben wurde.

Das Datenleck wurde am 29. Juli 2026 gemeldet, und die Datenbank selbst enthält Einträge bis zum Tag des Diebstahls, was bedeutet, dass wer auch immer sie erbeutet hat, Zugriff auf ein lebendiges, aktiv genutztes System hatte, nicht auf ein altes Backup.

Was offengelegt wurde

Laut einem Bericht von Security Affairs, gestützt auf Recherchen des Forschungsteams von Mysterium, das eine Kopie der Datenbank erhielt und sie gegen den Rohdatensatz verifizierte, ergibt sich folgendes Bild: rund 23,4 Millionen Nutzerdatensätze, 13,6 Millionen Gerätedatensätze, 2,6 Millionen Zahlungsdatensätze und 58 Millionen Verbindungsprotokolle.

Die Verbindungsprotokolle liegen in einer Tabelle namens deviceProxy, die festhält, welches Gerät sich mit welchem Server verbunden hat, und genau wann, fast 58 Millionen Mal, mit Zeitstempeln, die durchgehend von Juni 2025 bis zum 21. Juli 2026 reichen, dem Tag des Leaks. Das bedeutet, der Dienst hat noch aktiv Verbindungen protokolliert, während das Datenleck geschah, keine alten, längst eingestellten Aufzeichnungen.

Abgeglichen mit der Nutzertabelle (Konto-E-Mails, zuletzt bekannte IP-Adressen) und der Gerätetabelle (Hardware-Kennungen) sind diese Datensätze detailliert genug, um für Dutzende Millionen Menschen zu rekonstruieren, wer sich wann von wo mit welchem Server verbunden hat. Die Zahlungsdatensätze enthalten maskierte Kartennummern, Ablaufdaten und wiederkehrende Abrechnungs-Tokens, verknüpft mit dem Zahlungsdienstleister Tinkoff. Vollständige Kartennummern wurden nicht offengelegt, aber die Verknüpfung zwischen der E-Mail einer Person, ihrer Zahlungshistorie und einem wiederkehrenden Abrechnungs-Token reicht aus, um echte Probleme zu verursachen.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Zur Genauigkeit: was nicht offengelegt wurde

Hier lohnt sich Präzision, denn Schlagzeilen zu Datenlecks neigen dazu, alles unter “alles wurde geleakt” zu verwischen. Die deviceProxy-Tabelle protokolliert Serververbindungen, nicht besuchte Zielwebsites. Es handelt sich um Metadaten, Verbindungsprotokolle im engeren Sinne, nicht um einen vollständigen Browserverlauf jeder aufgerufenen Seite jedes Nutzers. Diese Unterscheidung zählt, macht die Offenlegung aber nicht harmlos. Zu wissen, mit welchem Server sich eine bestimmte E-Mail-Adresse wann verbunden hat, reicht immer noch, kombiniert mit Konto- und Zahlungsdaten, um ein detailliertes Bild der VPN-Nutzung einer Person über mehr als ein Jahr zu zeichnen.

Vollständige Kartennummern wurden ebenfalls nicht offengelegt, die Datenbank speichert maskierte Kartennummern (BIN plus die letzten vier Ziffern) statt vollständiger Nummern. Das Risiko liegt eher in den wiederkehrenden Abrechnungs-Tokens und der Verknüpfung zwischen einer E-Mail, einer Zahlungshistorie und einer realen Person als im direkten Kartenbetrug.

Warum die Nutzerbasis es schlimmer macht

Der Verkäufer beschreibt die Nutzerbasis von SplitVPN als konzentriert in Russland, Iran, Indien und Myanmar, Ländern, in denen Menschen häufig gezielt zu einem VPN greifen, um staatliche Zensur zu umgehen, blockierte Messenger-Apps zu nutzen oder unabhängige Nachrichten zu lesen. Für diese Nutzergruppe ist ein geleaktes Protokoll, das eine E-Mail-Adresse mit einer IP-Adresse und einem Zeitstempel verknüpft, kein abstraktes Datenschutzärgernis. Es ist ein Dokument, das eine reale Person mit der Umgehung staatlicher Internetkontrollen verknüpft, jetzt im Umlauf in einem kriminellen Forum.

Die Datenbank enthielt außerdem eine Admin-Tabelle mit fünf Betreiberkonten, bcrypt-Passwort-Hashes, Rollen und einem vollständigen Admin-Aktionsprotokoll, dazu Tabellen, die auf Backend-Infrastruktur zur Bereitstellung von App-Store-Konten verweisen, das Rüstzeug hinter der Verbreitung einer VPN-App, die Russland aktiv aus offiziellen App-Stores entfernt.

Was das über “No-Logs”-Marketing beweist

Der Fall SplitVPN ist ein sauberes Beispiel für die Kluft zwischen einem Marketing-Versprechen und einem überprüfbaren Versprechen. Eine “No-Logs”-Behauptung auf der Website eines VPN ist nichts, was Nutzer selbst prüfen können. Es ist das Wort des Anbieters, nichts weiter, sofern es nicht durch ein unabhängiges Audit gestützt wird, das eine Sicherheitsfirma tatsächlich an der laufenden Infrastruktur des Anbieters durchführt. SplitVPN machte das stärkstmögliche Versprechen und protokollierte trotzdem detailliert, offenbar seit Bestehen des Dienstes.

Genau deshalb behandeln wir eine unabhängig auditierte No-Logs-Politik als eigene, stark gewichtete Kategorie in unseren Vergleichen zu unabhängig auditierten No-Logs-VPNs, statt die Behauptungen eines Anbieters einfach für bare Münze zu nehmen. Was tatsächlich als Beweis für eine No-Logs-Politik zählt, im Unterschied zu einer bloßen Zeile in einer Datenschutzerklärung, erklärt unser Leitfaden zum Verifizieren der No-Logs-Politik eines VPN.

SplitVPN und NotVPN tauchen in unserer Vergleichstabelle nirgends auf. Keiner der von uns geführten Anbieter hat eine derart konkrete “null Logs”-Behauptung aufgestellt, die durch eine geleakte Datenbank derart vollständig widerlegt wurde, was für sich genommen bemerkenswert ist: Die VPNs, die sich wiederholten, namentlich benannten, veröffentlichten unabhängigen Audits unterziehen (NordVPNs sechstes Audit durch Deloitte Litauen, ProtonVPNs viertes Audit und SOC-2-Zertifizierung, PIAs drittes Deloitte-Rumänien-Audit), stellen eine Behauptung auf, die ein Dritter tatsächlich überprüft hat, nicht bloß ein Versprechen auf einer Landingpage.

Wie sich das ins größere Muster einfügt

Das ist kein Einzelfall in der VPN-Branche, sondern Teil eines wiederkehrenden Musters, bei dem ausgerechnet die Anbieter mit den absolutesten, nicht überprüfbaren Datenschutzversprechen sich als jene mit der geringsten Deckung entpuppen. Unsere Berichterstattung zur Operation Saffron, bei der Europol einen von Ransomware-Gruppen genutzten VPN-Dienst zerschlug, und die anhaltenden Fragen rund um Kape Technologies’ Eigentümerschaft mehrerer bekannter VPN-Marken zeigen dieselbe Grundlektion: Die Vertrauenswürdigkeit eines VPN bemisst sich an dem, was sich tatsächlich überprüfen lässt, nicht an dem, was auf der Startseite steht.

Anbieter, die sich wiederholt namentlich benannten, datierten, veröffentlichten unabhängigen Audits unterziehen und Transparenzberichte veröffentlichen, die genau festhalten, wie viele Anfragen von Strafverfolgungsbehörden eingingen und wie vielen davon nachgekommen wurde, stellen eine falsifizierbare Behauptung auf. ProtonVPNs Transparenzbericht vom Juli 2026 dokumentierte zum Beispiel 458 Anfragen und null herausgegebene Logs, eine Behauptung, die jeder gegen ProtonVPNs Audit-Historie prüfen kann. SplitVPN machte ein noch stärkeres Versprechen ohne jede Deckung, und genau dieser Unterschied zwischen beiden Situationen ist der ganze Grund, warum sich Aufmerksamkeit für Audits überhaupt lohnt.

Eine Zeitleiste, die zu denken gibt

Von Juni 2025 bis zum 21. Juli 2026 protokollierte SplitVPN kontinuierlich Verbindungsdaten, über ein volles Jahr hinweg, ohne dass ein einziger Nutzer davon erfuhr. Das ist kein kurzes Datenleck aus einer Fehlkonfiguration, sondern ein systematisches Protokollierungsverhalten, das über Monate hinweg lief, während die eigene Marketingseite exakt das Gegenteil versprach. Diese Diskrepanz zwischen beworbenem und tatsächlichem Verhalten ist es, die diesen Fall von einem gewöhnlichen Sicherheitsvorfall unterscheidet.

Was zu tun ist, wer NotVPN oder SplitVPN genutzt hat

Wer selbst oder im Bekanntenkreis diesen Dienst genutzt hat, sollte die zugehörige E-Mail-Adresse und IP als kompromittiert betrachten. Passwörter überall ändern, wo diese E-Mail wiederverwendet wurde, Zwei-Faktor-Authentifizierung überall aktivieren, wo verfügbar, und im Hinterkopf behalten, dass Verbindungsmetadaten, die die eigene Identität mit einem bestimmten Server und Zeitstempel verknüpfen, jetzt außerhalb der Kontrolle des Anbieters existieren, in einem kriminellen Forum, nicht nur in einer ungenutzt herumliegenden geleakten Datenbank.

Unser Urteil

Dieses Datenleck erinnert daran, dass "No-Logs" nur so viel wert ist wie die Überprüfung dahinter. Ein Anbieter, der detaillierte Verbindungsprotokolle führt und gleichzeitig "100 % garantierte Privatsphäre" bewirbt, ist kein Einzelfall, sondern das, was standardmäßig passiert, wenn niemand nachprüft. Bei VPNs mit einem aktuellen, namentlich benannten, unabhängigen No-Logs-Audit bleiben und jeden Anbieter, der keines vorweisen kann, als nicht überprüfbare Behauptung behandeln.

Weiterlesen: NordVPN besteht sein sechstes No-Logs-Audit und Die No-Logs-Politik eines VPN verifizieren