Wyden fordert NSA auf: VPN-Empfehlungen aktualisieren und vor ausländischer Spionage warnen

Senator Ron Wyden schickte am 2. September 2026 einen Brief an NSA-Direktor Gen. Joshua Rudd, in dem er die Behörde auffordert, ihre Cybersicherheitsrichtlinien mit klareren, ehrlicheren Warnungen darüber zu aktualisieren, wovor ein kommerzielles VPN Amerikaner schützen kann und wovor nicht. Es ist sein dritter Brief zu diesem allgemeinen Thema in diesem Jahr, nach früheren im März und Juli, und er trifft eine echte technische Lücke statt eine konstruierte Panikmache. Für Beobachter, die die frühere Korrespondenz verfolgt haben, wirkt dieser Brief wie die logische Zuspitzung eines Arguments, das seit Monaten aufgebaut wird.

Was Wyden konkret fordert

Das Kernargument des Briefs, wie von CyberScoop berichtet, ist unmissverständlich: Kommerzielle VPNs würden zwar von Bundesbehörden empfohlen und breit als Schutzschild gegen Online-Spionage vermarktet, schützten normale Nutzer aber nicht ausreichend vor hochentwickelten Angreifern. Das Problem ist nicht, dass die VPN-Verschlüsselung kaputt wäre. Es ist, dass Bundesrichtlinien, die VPN-Nutzung empfehlen, derzeit eine bestimmte, gut verstandene Einschränkung nicht klar benennen: Traffic-Analyse, bei der ein Angreifer mit Einblick in beide Enden einer VPN-Verbindung Timing und Datenvolumen korrelieren kann, um Aktivität zu enttarnen, ohne je etwas zu entschlüsseln.

Warum es immer wieder auf Traffic-Analyse hinausläuft

Laut Berichterstattung von TechRadar hält ein im Zusammenhang mit dem Brief zitiertes Memo des Congressional Research Service unumwunden fest, dass Verschlüsselungsstärke allein Nutzer nicht vor einer fortgeschrittenen, andauernden Bedrohung schützt, die massenhafte Traffic-Datensammlung betreibt. Das beschreibt genau die Traffic-Analyse: Single-Hop-VPNs leiten alles über einen einzigen Server, und ein Angreifer, der sowohl Ein- als auch Ausgangspunkt dieses Servers beobachten kann, kann Traffic-Muster miteinander abgleichen, eine Fähigkeit, die realistisch auf gut ausgestattete staatliche Akteure mit Überwachungsinfrastruktur auf Backbone-Ebene beschränkt ist, nicht auf einen gewöhnlichen Hacker oder Werbetreibenden.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Auf welche Alternativen der Brief verweist

Wydens Brief empfiehlt Berichten zufolge, dass die NSA-Richtlinien Nutzer auf Architekturen verweisen sollten, die speziell dafür gebaut sind, dieser Art von Korrelation zu widerstehen: Multi-Hop-VPN-Konfigurationen, Apples iCloud Private Relay (das Traffic auf zwei getrennt betriebene Relais aufteilt), Tor, und Mixnet-basierte Dienste wie NymVPN. Keines davon wird als Ersatz für kommerzielle VPNs im allgemeinen Gebrauch beschrieben. Sie werden als die passenden Werkzeuge für eine engere Kategorie von Hochrisiko-Nutzern positioniert, Journalisten, Aktivisten und andere, die tatsächlich hochentwickelten staatlichen Bedrohungen ausgesetzt sind, wo die Einschränkung eines Standard-Single-Hop-VPNs tatsächlich zählt.

Ein Muster, kein einmaliger Brief

Das ist Wydens dritter Brief, der 2026 auf VPN-bezogene Bundesrichtlinien drängt, nach früheren im März und Juli. Frühere Antworten des Office of the Director of National Intelligence boten Berichten zufolge nur allgemeine Warnhinweise zur sorgfältigen Prüfung von VPN-Anbietern, ohne die Lücke bei der Traffic-Analyse direkt anzusprechen, die dieser neueste Brief gezielt benennt. Das wiederkehrende Thema über alle drei Briefe hinweg: Bundesbehörden empfehlen VPN-Nutzung breit, aber die konkreten technischen Vorbehalte dazu, was diese Empfehlung abdeckt und was nicht, haben nach Wydens Ansicht nicht mit der Raffinesse der Bedrohungen Schritt gehalten, die anderswo in denselben Richtliniendokumenten beschrieben werden, einschließlich eines früheren NSA-Hinweises zu einer chinesisch gesponserten Kampagne gegen Telekommunikations- und Regierungsnetzwerke.

Die Chronologie 2026, der Reihe nach

Wydens Vorstoß zu diesem Thema hat sich im Laufe des Jahres stetig aufgebaut. Im März äußerte ein früherer Brief allgemein Bedenken zur Abhängigkeit des Bundes von VPN-Technologie. Im Juli richtete sich ein Folgebrief speziell gegen veraltete, internetseitig erreichbare VPN-Appliances innerhalb von Bundesbehörden und forderte eine verbindliche Zwei-Jahres-Frist zu deren Abschaffung, ein Vorschlag zur Unternehmensinfrastruktur statt zur VPN-App auf dem eigenen Smartphone. Dieser Septemberbrief ist der gezielteste der drei, er benennt eine konkrete technische Lücke, Resistenz gegen Traffic-Analyse, und eine konkrete Lösung, aktualisierte NSA-Richtlinien, statt einer breiteren institutionellen Beschwerde. Zusammen gelesen, beschreiben die drei Briefe ein sich zuspitzendes Argument, dass die Kommunikation des Bundes zu VPNs nicht mit der Art und Weise Schritt gehalten hat, wie die zugrunde liegenden Bedrohungen anderswo in Regierungshinweisen tatsächlich beschrieben werden.

Wie klarere Richtlinien tatsächlich aussehen würden

Die Lücke, die Wyden beschreibt, betrifft nicht wirklich die Frage, ob VPNs überhaupt empfohlen werden, sondern das Kleingedruckte unter dieser Empfehlung. Aktuelle Bundesrichtlinien befürworten VPN-Nutzung breit, ohne durchgehend zu unterscheiden zwischen der Art von Datenschutz, die ein Single-Hop-VPN gegenüber einem Internetanbieter oder einer Website bietet, was solide ist, und der Art von Schutz, die es gegen einen Angreifer mit den Mitteln, eine Verbindung an mehreren Punkten gleichzeitig zu beobachten, nicht bieten kann. Klarere Richtlinien würden, in Wydens Rahmung, diese zweite Kategorie explizit benennen und gezielt auf Multi-Hop- oder Mixnet-Alternativen für die kleine Gruppe von Menschen verweisen, die das tatsächlich einplanen müssen, statt diese Unterscheidung aus akademischen Papieren und Berichten von Interessenverbänden zusammensuchen zu lassen.

Was das nicht für gewöhnliche VPN-Nutzer bedeutet

Es lohnt sich, hier präzise beim Umfang zu bleiben, da Briefe wie dieser dazu neigen, zu Schlagzeilen wie „VPNs funktionieren nicht" verflacht zu werden, die die Aussage übertreiben. Für die überwiegende Mehrheit dessen, wofür Menschen tatsächlich ein VPN nutzen, das Verbergen der Aktivität vor einem Internetanbieter, den Schutz von Daten in öffentlichem WLAN, das Entsperren regional beschränkter Inhalte, bleibt ein Standard-VPN mit Audit vollständig wirksam. Traffic-Analyse ist eine echte, aber enge Einschränkung, die speziell gegen einen Angreifer zählt, der zu groß angelegter, echtzeitiger Netzwerküberwachung fähig ist, was auf eine kleine Zahl staatlicher Geheimdienste zutrifft, nicht auf die Bedrohungen, um die sich die meisten Verbraucher tatsächlich im Alltag sorgen.

Warum das ein Richtlinienproblem ist, kein Produktrückruf

Nichts in Wydens Brief deutet darauf hin, dass ein bestimmter VPN-Anbieter etwas falsch gemacht hätte, und kein VPN-Unternehmen wurde im Zusammenhang mit dieser Sorge namentlich genannt, eine Unterscheidung, die man im Kopf behalten sollte, falls Schlagzeilen zu diesem Brief auf etwas Alarmistischeres verkürzt werden, als tatsächlich gesagt wurde. Das Problem, so wie es formuliert ist, betrifft ausschließlich die Kommunikation des Bundes: Behörden, die Amerikanern raten, ein VPN zu nutzen, ohne auch klar und konkret zu erklären, welche Bedrohungskategorie ein VPN nicht abdeckt. Diese Unterscheidung zählt dafür, wie ernst man das als Verbraucher nehmen sollte. Es ist ein Aufruf zu besserer Kennzeichnung und klareren Richtlinien, kein Beleg dafür, dass ein verbreiteter VPN-Anbieter einen zu behebenden Fehler hätte.

Was mit dieser Information konkret zu tun ist

Wenn es bei Ihrer alltäglichen VPN-Nutzung um Privatsphäre gegenüber Ihrem Internetanbieter, Sicherheit in öffentlichem WLAN oder Streaming-Zugriff geht, ändert dieser Brief nichts daran, welches VPN Sie wählen sollten oder ob Sie eines weiter nutzen sollten. Wenn Sie einen echten Grund haben zu glauben, gezielt Ziel staatlicher Überwachung zu sein, lohnt es sich, die vom Brief empfohlenen Alternativen, Tor, Multi-Hop-Konfigurationen, oder einen Mixnet-Dienst, direkt zu recherchieren, statt anzunehmen, Ihr bestehendes Verbraucher-VPN-Abo decke dieses Risikoprofil ab. Die NSA hat zum Zeitpunkt dieses Artikels noch nicht öffentlich auf den Brief reagiert. Angesichts des Musters der beiden früheren Briefe aus 2026 kommt eine substanzielle öffentliche Reaktion, falls überhaupt, eher als stille Aktualisierung eines bestehenden Hinweisdokuments Monate später als als formelle, direkt an Wyden adressierte Antwort.

Weiterlesen: Traffic-Analyse-Angriffe erklärt und Senator Wyden will veraltete VPNs aus der US-Regierung verbannen.