VPNs Mitte 2026: Zensur, leckende Apps und ein ungleiches Wettrennen

Vier verschiedene Geschichten haben die VPN-Welt in den letzten drei Monaten aufgemischt. Für sich genommen wirkt jede wie eine Randnotiz. Zusammen zeigen sie eine Branche, die von zwei Seiten gleichzeitig unter Druck gerät: Regierungen ziehen die Zügel an, wo und wie VPNs genutzt werden dürfen, während sich die Tools selbst als weniger vertrauenswürdig entpuppen, als ihr Marketing verspricht.

Hier die vier Fälle, warum sie zählen, und was sich dadurch tatsächlich ändert, wenn du jetzt ein VPN aussuchst. Keiner davon ist Panikmache, alle vier zusammen sind aber ein ziemlich klares Signal.

Russland kämpft nicht mehr gegen das Netz, sondern gegen die App

Jahrelang blockierte Russland VPNs auf Infrastrukturebene: Protokolle wurden gedrosselt, Server-IPs auf schwarze Listen gesetzt, Provider mussten verschlüsselten Datenverkehr stören. Wer das umgehen wollte, spielte Katz und Maus mit dem Staat, und meistens fanden VPN-Anbieter einen Weg, zumindest eine Zeit lang.

Das änderte sich am 15. April 2026. Ozon, Russlands größte E-Commerce-Plattform, und Kinopoisk, ein wichtiger Streaming-Dienst, erkennen VPN-Nutzer inzwischen direkt und verweigern ihnen den Zugriff. Keine Blockade auf Netzwerkebene nötig, die Seite selbst prüft jetzt. Banking-Apps und Fahrdienste hatten um dasselbe Datum ähnliche Störungen, allerdings zog nicht jede Plattform mit: VKontakte und Wildberries sollen mit aktivem VPN weiterhin problemlos funktioniert haben.

Die Anordnung dahinter soll vom russischen Ministerium für digitale Entwicklung stammen, das eine Frist für mehr als 20 Plattformen gesetzt hat. Der Druck auf die VPN-Branche selbst wuchs parallel dazu: Mehr als 100 VPN-Apps wurden 2025 aus russischen App-Stores entfernt, und Apple stellte im April 2026 die mobile Abrechnung in Russland ein, was das Bezahlen eines VPN-Abos dort deutlich erschwert, noch bevor überhaupt eine Blockade greift. Wer trotzdem an ein funktionierendes Abo kommt, muss also erst noch eine Zahlungsmethode finden, bevor die eigentliche Blockade überhaupt zum Problem wird.

Dieser Wandel zählt, weil er eine Lücke schließt, die bisher zuverlässig funktionierte: Selbst wenn das Netzwerk feindselig war, kümmerte sich die Zielseite kaum darum, wie jemand dort ankam. Jetzt prüft die Anwendung selbst, und es gibt keinen Serverwechsel, der eine App-seitige Erkennung ausgleicht, so wie es einen für Drosselung auf Netzwerkebene gab. Die Mechanik, die betroffenen Plattformen und was noch funktioniert, haben wir ausführlich in unserem vollständigen Bericht zu Russlands VPN-Vorgehen beschrieben.

Eine Studie hat 281 Android-VPNs getestet, die meisten fielen durch

Während Regierungen mit dem Blockieren von VPNs beschäftigt waren, prüften Forscher, ob die VPNs, die Nutzer noch verwenden können, überhaupt ihre Aufgabe erfüllen. Die University of Michigan baute ein Testframework namens MVPNalyzer und stellte es am 7. Juli beim NDSS 2026 Symposium vor. Es ist das größte unabhängige Audit, das der Markt für mobile VPNs je bekommen hat, und es prüfte Apps auf mehreren Ebenen gleichzeitig: den tatsächlich abgehenden Traffic, die gestellten DNS-Anfragen, die Konfigurationsdateien für die Verschlüsselung und die an Drittserver übermittelten Kennungen.

Die Ergebnisse sind unschön. Von 281 getesteten populären Android-VPN-Apps ließen 29 DNS- oder Browser-Traffic aus dem verschlüsselten Tunnel entweichen, was heißt: Das Kernversprechen der App, verstecken, was du im Netz tust, hielt dem Test schlicht nicht stand. 76 Apps schickten die Advertising-ID des Geräts an Dritte, ausgerechnet die Tracking-Kennung, vor der ein VPN eigentlich schützen soll, statt sie an Werbenetzwerke weiterzureichen. Über 60% der Apps scheiterten schon an grundlegenden Sicherheitshärtungen wie korrekter Zertifikatsprüfung oder sicheren Standardeinstellungen. Wer eine App aus der Liste bekannter Namen kennt, ist davon vermutlich nicht betroffen. Wer aber die erste kostenlose App aus der Suche nimmt, spielt genau die Lotterie, die die Studie beschreibt.

Nichts davon betrifft die kleine Handvoll geprüfter No-Logs-Anbieter, die wir hier verfolgen. Es geht um den viel größeren Haufen kostenloser und unbekannter Apps, die im Play Store eine Suche entfernt neben ihnen liegen, dieselben drei Buchstaben im Icon tragen und keine der gleichen Garantien bieten. Die vollständige Methodik und alle Zahlen stehen in unserem Artikel zur MVPNalyzer-Studie.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Post-Quanten-Verschlüsselung: ein Vorreiter, der Rest redet noch

Quantencomputer, die heutige VPN-Schlüsselaustausche knacken können, gibt es noch nicht in ausreichender Größenordnung. Aber die Bedrohung heißt nicht “warten, bis es sie gibt”. Sie heißt “harvest now, decrypt later”: Ein Angreifer kann verschlüsselten Traffic heute aufzeichnen und Jahre später entschlüsseln, sobald die Hardware nachzieht. Für alle mit langfristig sensiblen Daten, Journalisten, Anwälte, Forscher, medizinische oder finanzielle Unterlagen, läuft diese Uhr schon jetzt, egal wann ein funktionierender Quantencomputer tatsächlich auftaucht.

Mitte 2026 ist NordVPN der einzige VPN-Anbieter für Privatanwender, der die Umstellung wirklich auf der ganzen Plattformbreite abgeschlossen hat. Sein post-quanten-fähiges NordLynx, aufgebaut auf ML-KEM über dem bestehenden WireGuard-Schlüsselaustausch, kam zuerst im September 2024 für Linux und erreichte bis Mai 2025 alle übrigen Plattformen: Windows, macOS, iOS, Android, Android TV und tvOS. Es läuft standardmäßig auf jeder unterstützten App, ohne dass man in Einstellungen graben oder einen Expertenschalter aktivieren müsste.

ExpressVPN, Surfshark und Proton VPN haben alle eine Roadmap in dieselbe Richtung angekündigt, aber keiner hat bis heute eine vollständige Post-Quanten-Implementierung in Produktion gebracht. Diese Lücke ist keine Kleinigkeit. Es ist der Unterschied zwischen einer Bedrohung, die für alle Nutzer bereits entschärft ist, und einer, die noch auf einer Roadmap-Folie liegt. Für die meisten Nutzer ändert das heute noch wenig, für alle mit einem langen Zeithorizont ist es der Unterschied zwischen Schutz und Hoffnung. Wer was liefert und warum die Lücke für manche Nutzer mehr zählt als für andere, steht in unserem Überblick zur Post-Quanten-VPN-Verschlüsselung.

Altersverifikationsgesetze breiten sich weiter aus, VPNs bleiben der Ausweg

Der vierte Strang ist regulatorisch und baut sich seit Jahresbeginn auf. 25 US-Bundesstaaten haben inzwischen aktive Altersverifikationsgesetze, wobei Utahs SB 73 das schärfste von allen ist: Es zielt direkt auf VPN-Nutzer, macht Websites haftbar, wenn ein Utah-Bewohner die Altersprüfung per VPN umgeht, und verbietet betroffenen Seiten sogar, Anleitungen dazu zu veröffentlichen. Großbritannien, Australien, Brasilien und die Türkei haben im vergangenen Jahr alle ähnliche Gesetze verabschiedet oder durchgesetzt. Die EU arbeitet gerade an einem einheitlichen Rahmen zur Altersverifikation, der bis Ende 2026 in allen 27 Mitgliedstaaten gelten soll.

Jedes dieser Gesetze hatte denselben Nebeneffekt: Ein Sprung bei VPN-Downloads, oft binnen Wochen nach Inkrafttreten. Normale Menschen greifen zum VPN, um weiter Inhalte zu sehen, die gestern noch legal waren und heute plötzlich gesperrt sind, nicht um irgendetwas Zwielichtiges zu tun. Utahs Gesetz ist gerade der schärfste Testfall dafür, ob ein Bundesstaat Nutzer regulieren kann, deren physischen Standort er rechtlich gar nicht überprüfen kann, und es wird vor einem Bundesgericht angefochten, mit aufgeschobener Durchsetzung, während das Verfahren läuft. Details zu jedem Bundesstaat und jedem Land stehen in unserem Überblick zu den Altersverifikationsgesetzen.

Was das alles zusammen bedeutet

Legt man die vier Stränge nebeneinander, zeigt sich schnell ein Muster. Regulierungsbehörden, in Russland und zunehmend auch in Demokratien, behandeln VPNs nicht mehr als Nischen-Datenschutztool, um das sich niemand kümmern muss. Gleichzeitig hat ein unabhängiges Sicherheitsaudit gerade bestätigt, dass ein großer Teil des VPN-Markts genau das Versprechen nicht einhält, das seine Existenz überhaupt rechtfertigt. Und die Anbieter, die wirklich in zukunftssichere Kryptografie investieren, sind eine kurze Liste, nicht die ganze Branche. Drei dieser vier Entwicklungen laufen komplett unabhängig voneinander, kommen aber im selben Halbjahr zusammen, was die Sache dringlicher macht als jede einzelne für sich.

Das bedeutet nicht, dass VPNs nutzlos geworden sind. Ich benutze selbst täglich eines. Aber die Lücke zwischen einem seriösen Anbieter und einem Namen, der nur so klingt, ist größer geworden, und eine schlechte Wahl kostet jetzt echt etwas: durchgesickerte DNS-Anfragen, eine verkaufte Advertising-ID oder eine App, die genau in dem Moment aussteigt, in dem die Zielseite entscheidet nachzusehen, wer da wirklich verbunden ist. Die guten Anbieter werden dadurch nicht schlechter. Nur der Abstand zu allen anderen wird sichtbarer.

Wie man in dieser Lage ein seriöses VPN auswählt

Drei Filter erledigen den Großteil der Arbeit, und keiner davon braucht technisches Fachwissen. Erstens: einen Anbieter mit abgeschlossenem, unabhängigem No-Logs-Audit wählen, nicht bloß eine Behauptung, die in der Datenschutzerklärung vergraben ist. Zweitens: prüfen, ob die App wirklich ein modernes Protokoll nutzt, WireGuard, NordLynx oder Lightway, statt etwas Veraltetem wie PPTP oder reinem L2TP, und ob der Post-Quanten-Schlüsselaustausch schon läuft oder wenigstens öffentlich auf der Roadmap steht. Drittens: bei kostenlosen Apps außerhalb der wenigen etablierten, geprüften Namen skeptisch bleiben. Die MVPNalyzer-Zahlen von oben sind genau das, was passiert, wenn das Geschäftsmodell eines VPNs auf dem Verkauf von Daten beruht statt auf ihrem Schutz.

NordVPN erfüllt derzeit jeden dieser Punkte: geprüfte No-Logs-Richtlinie, WireGuard-basiertes NordLynx standardmäßig aktiv, und der einzige vollständige Post-Quanten-Rollout am Markt. Proton VPN bleibt eine solide Alternative für alle, die einen Anbieter mit starker Open-Source- und Datenschutz-Historie suchen, auch wenn dessen eigene Post-Quanten-Arbeit noch in Arbeit ist statt fertig.

Quellen: The Moscow Times zur Website-Blockade von VPN-Nutzern in Russland | University of Michigan zur MVPNalyzer-Studie