Traffic-Analyse-Angriffe erklärt: Kann ein VPN wirklich deanonymisiert werden?

Jedes VPN verspricht verschlüsselten Traffic, und dieses Versprechen hält: Niemand knackt AES-256- oder ChaCha20-Verschlüsselung per Brute Force in einem realistischen Zeitrahmen. Traffic-Analyse, manchmal auch Flow-Korrelation oder Timing-Analyse genannt, umgeht dieses Problem vollständig. Sie rührt die Verschlüsselung nicht an. Stattdessen beobachtet sie die Form Ihres Traffics, und gegen einen ausreichend gut positionierten Angreifer kann das reichen, um Sie zu enttarnen.

Was Traffic-Analyse tatsächlich ist

Eine normale VPN-Verbindung funktioniert wie ein einzelner Tunnel zwischen Ihnen und einem Server. Traffic-Analyse nutzt eine simple Tatsache dieses Aufbaus aus: Timing und Volumen der verschlüsselten Pakete, die von Ihrem Gerät am VPN-Server ankommen, stimmen eng mit Timing und Volumen der Pakete überein, die denselben Server in Richtung seines endgültigen Ziels verlassen. Ein Beobachter, der beide Enden dieses Tunnels sehen kann, Ihre Internetverbindung auf der einen Seite und die ausgehende Verbindung des VPN-Servers auf der anderen, kann die beiden Traffic-Muster miteinander abgleichen, ohne je ein einziges Paket zu entschlüsseln.

Stellen Sie sich zwei Wasserrohre vor, die aus der Distanz beobachtet werden. Man sieht nicht, was durch sie fließt, aber wenn ein Wasserschub genau in dem Moment in Rohr A eintritt, in dem ein passender Schub aus Rohr B austritt, und das wiederholt sich in einem konstanten Muster, lässt sich vernünftigerweise schließen, dass beide verbunden sind, auch ohne das Wasser selbst zu sehen.

Warum das keine Schwachstelle Ihres spezifischen VPNs ist

Das ist eine strukturelle Eigenschaft davon, wie VPNs mit einem einzigen Hop funktionieren, kein Bug, den ein Anbieter vergessen hätte zu patchen. Jedes verbreitete VPN für Endverbraucher, NordVPN, ProtonVPN, ExpressVPN, Surfshark, Mullvad, alle, leitet Ihren Traffic über einen einzigen Server, das Problem des Musterabgleichs besteht also für alle gleichermaßen. Eine strengere No-Logs-Politik oder ein besseres Audit ändern daran nichts, denn der Angriff beruht überhaupt nicht darauf, dass der Anbieter Logs führt oder herausgibt. Er beruht ausschließlich darauf, dass ein Außenstehender den Netzwerktraffic an zwei Punkten gleichzeitig beobachtet.

Wer das in der Praxis tatsächlich kann

Das ist der Teil, der in vielen alarmistischen Berichten untergeht. Traffic an zwei getrennten Punkten des Internets in Echtzeit zu korrelieren, mit genug Präzision, um einzelne Sitzungen zuzuordnen, erfordert Einblick in einen bedeutenden Teil der Internet-Backbone-Infrastruktur. Das ist eine Fähigkeit, die realistisch auf staatliche Geheimdienste mit Überwachungsprogrammen auf Backbone-Ebene beschränkt ist, nicht auf einen gewöhnlichen Hacker, einen neugierigen Internetanbieter oder eine Website, die Sie besuchen. Wenn Ihr Risikoprofil lautet „ich will nicht, dass wahllose Leute oder Werbetreibende mich verfolgen", ist Traffic-Analyse nicht das Risiko, um das Sie sich sorgen müssen. Wenn Ihr Risikoprofil einen gut ausgestatteten staatlichen Angreifer einschließt, ist es eine echte Grenze jedes Single-Hop-VPNs, Punkt.

Das aktuelle Beispiel, das das Thema zurück in die Nachrichten brachte

Genau dieses Thema tauchte Anfang September 2026 wieder auf, als Senator Ron Wyden einen Brief an die NSA schickte und sie aufforderte, ihre Cybersicherheitsrichtlinien mit klareren Warnungen zu den Grenzen kommerzieller VPNs gegenüber ausgeklügelter ausländischer Überwachung zu aktualisieren. Das Kernargument deckte sich mit dem, was hier beschrieben wird: Verschlüsselungsstärke allein schützt nicht vor einem Angreifer, der zu Massen-Trafficerfassung und -korrelation fähig ist. Es handelte sich nicht um eine neu offengelegte Schwachstelle, sondern um einen Aufruf zu mehr Ehrlichkeit in offiziellen Richtlinien über eine Einschränkung, die es so lange gibt wie Single-Hop-VPNs selbst. Der Brief nannte ausdrücklich Tor und Mixnet-Dienste wie NymVPN als stärkere Alternativen für Hochrisiko-Nutzer, neben dem Zwei-Hop-Design von Apples iCloud Private Relay, statt zu suggerieren, kommerzielle VPNs seien kaputt oder nutzlos.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Was wirklich hilft: mehr Hops hinzufügen

Die zentrale Verteidigung gegen Traffic-Analyse ist architektonischer Natur: Traffic über mehrere unabhängige Punkte statt nur einen leiten, damit kein einzelner Beobachter Ein- und Ausgang gleichzeitig sehen kann. Tor macht das standardmäßig, indem die Verbindung über drei getrennte Relais unterschiedlicher, nicht verbundener Betreiber geleitet wird, was Ende-zu-Ende-Korrelation deutlich erschwert, da ein Angreifer Einblick in mehrere unabhängig betriebene Hops gleichzeitig bräuchte, nicht nur in einen VPN-Server.

Multi-Hop-VPN-Konfigurationen, manchmal als „Double VPN" vermarktet, arbeiten nach demselben Prinzip in kleinerem Maßstab und leiten den Traffic über zwei statt einen VPN-Server. Das ist eine spürbare Verbesserung gegenüber einem einzigen Hop, auch wenn es weniger Hops sind als Tors Standard von drei, und wenn beide Server vom selben Unternehmen betrieben werden, sieht ein kompromittierter oder per Gerichtsbeschluss verpflichteter Anbieter immer noch das ganze Bild. Neuere Mixnet-basierte Dienste, speziell gebaut, um Traffic-Korrelation durch randomisiertes Routing und Timing zu widerstehen, sind eine weitere Option in diesem Bereich, auch wenn sie Geschwindigkeit und breite Kompatibilität gegen diese stärkere Resistenz eintauschen.

Was tatsächlich nicht hilft

Der Anbieterwechsel hilft nicht, da die strukturelle Schwachstelle nicht anbieterspezifisch ist. Ein Bezahldienst mit „auditiertem No-Logs" hilft ebenfalls nicht, da hier keine Logs ausgenutzt werden. Ein Kill Switch, DNS-Leck-Schutz und starke Verschlüsselung lohnen sich weiterhin, sie schützen vor anderen, häufigeren Bedrohungen, etwa einer Website, die die echte IP sieht, oder einem Internetanbieter, der unverschlüsselten Traffic mitliest, aber keine davon adressiert speziell die Traffic-Korrelation. Es ist leicht, „mein VPN hat jeden Lecktest bestanden" mit „mein VPN ist vor jeder Art von Überwachung sicher" zu verwechseln, und genau diese Lücke wollen offizielle Richtlinien-Updates wie das von Wyden schließen.

Bedeutet das, ein normales VPN ist zwecklos?

Nein. Für die überwiegende Mehrheit dessen, wofür Menschen ein VPN nutzen, das Verbergen der Aktivität vor dem Internetanbieter, das Vermeiden von Tracking in öffentlichem WLAN, das Entsperren regional beschränkter Inhalte, reicht ein Single-Hop-VPN mit starker Verschlüsselung und einer echten No-Logs-Politik völlig aus. Traffic-Analyse ist eine echte Einschränkung, aber eine, die nur gegen eine bestimmte, enge Kategorie von Angreifern zählt: fähig zu groß angelegter, echtzeitiger Netzwerküberwachung über mehrere Punkte hinweg. Journalisten, Aktivisten und alle anderen, die unter einem wirklich hohen Risikoprofil operieren, sind diejenigen, die tatsächlich über Multi-Hop-Routing oder Tor nachdenken müssen.

Eine praktische Denkweise für das eigene Risiko

Fragen Sie sich, wovor Sie sich tatsächlich schützen. Geht es um einen Internetanbieter, der Ihre Browsing-Daten verkauft, eine Website, die ein Werbeprofil aufbaut, oder ein öffentliches WLAN, das unverschlüsselten Traffic mitliest, deckt ein Standard-VPN mit Audit all das gut ab. Geht es um eine gut ausgestattete Regierung, die gezielt Ihre Kommunikation verfolgt, legen Sie Tor oder eine Multi-Hop-Konfiguration darüber, im Wissen, dass Sie etwas Geschwindigkeit und Komfort gegen spürbar bessere Resistenz gegen Korrelationsangriffe eintauschen. Die meisten Menschen müssen diesen Tausch nie eingehen. Eine kleinere Zahl braucht ihn wirklich, und das Gegenteil zu behaupten, in welche Richtung auch immer, hilft niemandem. Die ehrliche Einordnung gleicht eher einem Spektrum als einer binären Wahl: Ein Single-Hop-VPN plus gute Gewohnheiten deckt die meisten alltäglichen Datenschutzbedürfnisse ab, Multi-Hop bringt eine echte, aber kleinere Verbesserung, und Tor steht am äußeren Ende für Menschen, deren Sicherheit tatsächlich davon abhängt, der Korrelation durch einen gut finanzierten Angreifer zu widerstehen. Das zur eigenen Position auf diesem Spektrum passende Werkzeug zu wählen, zählt mehr, als anzunehmen, die stärkste Option sei automatisch für alle richtig.

Weiterlesen: Double VPN und Multi-Hop erklärt und VPN gegen Tor: Was sollten Sie nutzen?.