Forscher der University of Michigan haben ein Tool namens MVPNalyzer gebaut, um etwas zu tun, das vorher niemand in dieser Größenordnung gemacht hatte: Hunderte Android-VPN-Apps daraufhin prüfen, was sie im Netzwerk tatsächlich tun, nicht was sie behaupten zu tun. Sie ließen es gegen 281 populäre VPN-Apps aus dem Play Store laufen. Die Ergebnisse, vorgestellt auf dem NDSS 2026 Symposium, sind das Nächste, was der mobile VPN-Markt je an unabhängigem Zeugnis bekommen hat. Und der Großteil fällt durch.

Es geht hier nicht um NordVPN, Proton VPN oder andere geprüfte Anbieter, die wir auf dieser Seite behandeln. Es geht um den viel größeren Haufen kostenloser und obskurer VPN-Apps, die im Play Store nur eine Suche weit von ihnen entfernt liegen, mit denselben drei Buchstaben im Icon.

Was MVPNalyzer tatsächlich gemessen hat

Ein VPN richtig zu prüfen bedeutet mehr, als seine Datenschutzerklärung zu lesen. MVPNalyzer hat Apps auf mehreren Ebenen gleichzeitig untersucht: den Netzwerkverkehr, der das Gerät verlässt, die gestellten DNS-Anfragen, die Konfigurationsdateien, die die Verschlüsselung steuern, und die Kennungen, die an externe Server geschickt werden. Genau diese Kombination unterscheidet die Studie von einer Marketingaussage. Geprüft wurde, was das Telefon verlässt, nicht was die App behauptet.

Hauptautorin Roya Ensafi, außerordentliche Professorin am College of Engineering der Uni Michigan, brachte die Motivation auf den Punkt: “Unsere Motivation kommt daher, dass so viele Menschen für Privatsphäre und Sicherheit auf VPNs setzen, während viele Apps nicht einmal grundlegenden Schutz gewährleisten. Wir wollen es Nutzern, Regulierungsbehörden und Forschern ermöglichen zu sehen, was tatsächlich unter der Haube passiert, damit sie informierte Entscheidungen treffen und Druck auf die Branche ausüben können, es besser zu machen.”

Co-Autor Aaron Ortwein, Doktorand im Projekt, formulierte das Ziel in Sachen Verantwortlichkeit: “Indem wir die Analyse über Netzwerkschichten und Konfigurationen hinweg automatisieren, können wir Schwachstellen aufdecken, die Millionen Nutzer betreffen, und App-Entwickler zur Rechenschaft ziehen.”

Die Zahlen, auf die es ankommt

So sahen 281 Apps aus, nachdem sie jemand tatsächlich geprüft hat:

  • 29 Apps leakten DNS- und Browser-Verkehr komplett offen, was den gesamten Sinn eines VPNs zunichtemacht.
  • Mehr als 20 Prozent, 61 Apps, übertrugen sensible Inhalte, darunter Konfigurationsdateien und Standortdaten, entweder unverschlüsselt oder komplett am VPN-Tunnel vorbei.
  • Mehr als 60 Prozent versäumten grundlegende Sicherheitshärtung.
  • 76 Apps schickten gerätespezifische Kennungen, darunter die Advertising ID, an Dritte und ermöglichten so dauerhaftes Tracking und Fingerprinting, was genau den Datenschutzversprechen auf der Store-Seite widerspricht.
  • Von den 108 Apps, deren Konfigurationsdateien die Forscher einsehen konnten, setzten 107 die empfohlenen Verschlüsselungsstandards nicht korrekt um.

Lies die letzte Zeile ruhig zweimal. Fast jede App, die das Team auf Konfigurationsebene prüfen konnte, hat die Grundlagen falsch gemacht. Das sind keine paar schwarze Schafe. Das ist fast die gesamte Stichprobe.

Warum ein leckendes VPN schlimmer ist als gar kein VPN

Ein VPN, das DNS- oder Browser-Verkehr leakt, ist nicht neutral, es schadet aktiv. Nutzer, die diese Apps installieren, glauben, sie seien vor ihrem Provider, ihrem Netzbetreiber oder wem auch immer sie ausweichen wollen, versteckt. Stattdessen bekommen sie das falsche Vertrauen eines Schloss-Symbols, während ihre Anfragen trotzdem offen rausgehen. Wer diesen Verkehr mitliest, sieht genau das, was er auch ohne installiertes VPN sehen würde, nur dass der Nutzer inzwischen aufgehört hat, andere Vorsichtsmaßnahmen zu treffen, weil er sich abgesichert fühlt.

Die Sache mit der Advertising ID macht es noch schlimmer. Eine Kennung, die eigentlich für Werbeeinblendungen innerhalb von Apps gedacht ist, wird zu einem stabilen Fingerabdruck, sobald eine angeblich datenschutzfreundliche App sie zusammen mit Netzwerkdaten an Dritte weitergibt. Das ist das genaue Gegenteil dessen, wofür eine VPN-App verkauft wird, und es passiert bei mehr als einem Viertel der getesteten Apps.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Woran man ein VPN erkennt, das lügt

MVPNalyzer selbst kannst du nicht laufen lassen, aber du kannst dieselbe Skepsis anwenden wie die Forscher. Ein paar praktische Filter:

Ignoriere “unblockbar” und “100 Prozent anonym”. Kein ehrliches VPN verspricht absolute Anonymität. Anbieter, die ihre Aussagen mit Belegen untermauern, sprechen über Jurisdiktion, Audit-Daten und konkrete Verschlüsselungsprotokolle, nicht über Superlative.

Prüfe auf ein veröffentlichtes, datiertes Audit. Kein Blogpost über “militärische Verschlüsselung”, sondern ein echter Bericht eines Drittanbieters mit Firmenname, Datum und Prüfumfang. Wie man ein echtes Audit von einer Marketingübung unterscheidet, steht in unserem Leitfaden zur Prüfung von No-Logs-Behauptungen.

Sei misstrauisch bei kostenlosen Apps ohne klares Geschäftsmodell. VPN-Serverinfrastruktur zu betreiben kostet Geld. Wenn eine App kostenlos ist, kein Abo anbietet und trotzdem irgendwo Bandbreite bezahlen muss, kommt das Geld wahrscheinlich aus deinen Daten. Unser Vergleich zwischen kostenlosen und bezahlten VPNs zeigt, welche kostenlosen Optionen tatsächlich sicher sind und welche nicht.

Schau dir an, wer die App gebaut hat. Ein Unternehmen mit öffentlichem Sitz, Erfahrung und etwas zu verlieren bei einer Klage verhält sich anders als ein anonymes Entwicklerkonto mit generischem Namen und einer Handvoll fast identischer Apps.

Prüfe die angeforderten Berechtigungen. Eine VPN-App, die Zugriff auf Kontakte, Kamera oder SMS verlangt, hat dafür keinen technischen Grund.

Nichts davon braucht Spezialwerkzeug. Es braucht nur die Bereitschaft, “VPN” als Kategorie zu behandeln, die sowohl geprüfte, professionell betriebene Dienste umfasst als auch Apps, die ein Entwickler letzten Monat hochgeladen hat, ohne jede unabhängige Überprüfung seiner Behauptungen.

Was das für die Anbieter bedeutet, die es wert sind

Diese Studie ist kein Urteil gegen die VPN-Branche als Ganzes, und sie so zu behandeln wäre ein Fehler. Die Anbieter, die wir auf dieser Seite empfehlen, haben unabhängige, namentlich genannte Audits durchlaufen, genau weil unbelegte Behauptungen wertlos sind, wie diese Forschung gerade im großen Stil gezeigt hat. NordVPN und Proton VPN haben beide Audit-Ergebnisse mit namentlich genannten Sicherheitsfirmen veröffentlicht, und genau diese Trennlinie zieht die Studie.

Die Lücke, die die Forscher gefunden haben, ist eigentlich kein Problem der VPN-Technologie. WireGuard und OpenVPN, richtig konfiguriert, leaken keinen DNS-Verkehr. Die Lücke liegt zwischen Anbietern, die sich prüfen lassen und Verantwortung übernehmen, und solchen, die “VPN” auf eine App kleben, die technische Arbeit auslassen und darauf setzen, dass fast niemand nachprüft.

Was jetzt zu tun ist

Wenn du gerade eine kostenlose oder unbekannte VPN-App aus dem Play Store nutzt, ist jetzt ein guter Moment, ihre Berechtigungen zu prüfen, ihren Namen zusammen mit “Audit” zu suchen und zu schauen, ob etwas dabei rauskommt. Kommt nach mehreren Jahren am Markt nichts dabei raus, ist genau dieses Schweigen schon eine Aussage.

Wenn du zum ersten Mal ein VPN aussuchst, lass die Apps links liegen, die das Blaue vom Himmel versprechen, und fang bei Anbietern an, die auf ein datiertes, namentlich genanntes Audit verweisen können. Das ist eine Fünf-Minuten-Prüfung, an der die meisten der 281 Apps aus dieser Studie gescheitert wären.

Unser Fazit

Das ist eine der nützlichsten unabhängigen VPN-Untersuchungen dieses Jahres, gerade weil sie tatsächliches Verhalten gemessen hat statt Marketingtexte zu lesen. Die Erkenntnis ist nicht, dass VPNs nicht funktionieren. Sie ist, dass die meisten VPNs, die Leute tatsächlich installieren, noch nie von jemandem geprüft wurden, der dazu qualifiziert ist. Bleib bei Anbietern mit einem namentlich genannten, datierten, öffentlichen Audit, und behandle jede ungeprüfte Behauptung auf einer Play-Store-Seite genau als das: ungeprüft.

Quellen: University of Michigan College of Engineering | Tech Xplore