(Un)sinn von entgeltlichen VPN Diensten

Hallo Freunde der Bits und Bytes,

ich bin kürzlich auf diesen älteren Forumbeitrag gestoßen. Leider wurde der Thread der vom User @wissensgeist erstellt wurde geschlossen, sonst hätte ich natürlich dort geschrieben.

Aus aktuellem Anlass war ich erst kürzlich bei einem befreundeten Kollegen, dem ich in einer IT-Angelegenheit ausgeholfen habe. Er selbst nutzt auch solch einen Bezahl-VPN-Dienst bei sich zu Hause. Er hat sich damals für NordVPN entschieden und verwendet das schon seit längerer Zeit, sowohl für PC, Notebook als auch auf seinem Ei-Fon. Er hat sich damals von einem Freund dazu überreden lassen, es sei "vorteilhaft" in Bezug auf IPTV Streamdiensten (da er das auch nutzt) aber auch in Themen des Datenschutzes. Ich hatte mit ihm ein intensives Gespräch und ihm erklärt wie ich selbst bisher VPN Verbindungen nutze, sowohl im privaten als auch im geschäftlichen Umfeld. Die Anwendungszwecke waren bei uns natürlich verschieden.

In dem Zusammenhang fand ich den verlinkten Beitrag sehr interessant, abgesehen davon dass mir beim Durchlesen seines Threads der arme Threadersteller schon etwas leid tat. Manch Reaktionen auf seine Frage hätte man sich sicherlich sparen oder zumindest in einem freundlicheren Ton geben können. Aber das soll nicht das Thema sein, nein es geht allgemein um den Sinn oder Unsinn von solchen Bezahl-VPN-Diensten wie NordVPN, Cyberghost, Extreme VPN, Hide my ... und so weiter und so fort.

Ich habe die für mich interessant klingenden und für Diskussion anregenden Stücke aus dem gesperrten Thread rausgepickt:

Was heißt denn überhaupt "richtig einsetzen" mit einem konkreten Beispiel ? Das Wort "schützen" ist ja auch ein sehr schwammiger Begriff, den gerne technisch nicht-affine Personen nutzen. Aus Erfahrung vermengen die Meisten Begriffe wie Sicherheit, Schutz, Anonymität, Pseudonymität, Privatsphäre, IT-Security, ... Ich versuch da immer klar zu differenzieren á-la

Privat ist --> was du nicht mit der ganzen Welt teilen willst
Geheim ist --> was du mit niemanden teilen willst
Und Privatsphäre ist die Freiheit zu wählen, was du preisgeben möchtest.

Das hilft manchen schon zum besseren Verständnis und der Differenzierung. VPN-Server können als Hilfsmittel dazu dienen, ob sie schützen oder nicht das sei mal dahingestellt aber bei den meisten beruhigen sie wohl das Gewissen, da man sich in angeblicher Sicherheit wiegt.


Heiße Luft ist das nicht, denn sie halten doch ihr Versprechen --> man surft über deren Gateway und somit über einer deren IPs das ist ihre Dienstleistung, die halten die auch ein schätze ich? Wenn Sicherheitsbehörden und Regierungen solch einen Dienstleister in die Zange nehmen und zur Herausgabe von Daten zwingen, dann ist das kein negativer Kritikpunkt an die VPN-Dienstleister denn dasselbe gilt auch für alle Internetdienstleister (ISP). Selbst bei eher kleineren Delikten rückt ein ISP auf Anfrage der Staatsanwaltschaft sämtliche Daten heraus, die für eine Strafverfolgung von Nöten wären. Wenn jemand kein VPN in Panama verwenden würde dann hätten die Behörden ein superleichtes Spiel, ohne jeglichen kleinsten Widerstand. In anderem Fall sind die Hürden deutlich (!) größer. Demnach kann ich hier nicht ganz nachvollziehen, dass Bezahl-VPN-Dienst pauschal betrachtet sinnlos wären. Zumal sich schon der einfache Weg zum Aushebeln von Geoip-Restrictions gegeben ist und sich für die entsprechenden Nutzer, die diesen Dienst anfragen, bezahlt macht.


Wie soll das gehen? Wenn ich meine Bank Loginseite aufrufe dann wird das über TLS abgewickelt. Sollte der dubiose VPN-Anbieter on-path Attacken (MiTM) durchführen wollen so würde der Browser-Aufruf von https://banking.meinebank.de sofort Alarm schlagen. Den Inhalt dieses gesicherten Transportwegs kann er niemals mitlesen insofern er mir auf meinem PC kein bösartiges gefaktes Zertifikat auf meinen (!) PC eingespielt hat. Der VPN-Anbieter kann problemlos unverschlüsselte Klartext Übertragungen in Form von z.B. HTTP, Telnet, FTP, ... mitlesen. Aber die allgemeine Aussage ein VPN-Anbieter könne den gesamten Inhalt vom Kunden auslesen stimmt ja so nicht. Sonst wäre VPN in sich unstimmig und es würde kein einziger weltweit VPN-Verbindungen nutzen.


Jeder badboy, der in der Lage ist die "echte" WAN-IP eines potentiellen Opfers (z.B. eines Telekom-Nutzers) zu ergattern hat "bessere" und signifikant größere Angriffsvektoren, als wenn er die IP-Adresse eine VPN-Dienstleisters aus Panama oder Zypern in der Hand hätte. Völlig irrelevant in welchem Zuge er sich diese beschaffen kann, hierzu gibt es Hunderte Möglichkeiten. Aber es ist immer besser wenn der potentielle Bösewicht nicht die "echte" Hausadresse kennt sondern nur die Nummer der Postfachs vom Opfer.

Das nenne ich hirnrissig. Die Verbindung des ISPs nennt er geschützt, worauf basiert diese plumpe Aussage? Durch Umleitung an einen Unbekannten wird es nicht besser, zugegeben. Aber die Annahme, dass man beim ISP sicher sei, finde ich schon sehr gewagt wenn nicht töricht und sehr naiv.

Vertrauen ist ein gutes Stichwort. Auch hier gilt --> wieso soll ich Firma A (Vodafone Anbieter als ISP) mehr vertrauen als der Firma B (Cyberghost irgendwo auf einer unbekannten Inselgruppe) wobei ich beide nicht kenne, nicht kennen kann und vor allem nicht in der Lage bin diese faktisch zu bewerten in Bezug auf Riskmanagement (es sei denn man hat spezielle Audits und Vereinbarungen mit denen getroffen, aber das ist hier offensichtlich nicht der Fall weil es sich im privaten Umfeld abspielt).

Auch hier gilt das oben genannte Beispiel mit Zugriff auf die TLS-gesicherte Webseite der Hausbank.


Das Problem sehe ich nicht im Loggen an sich, denn loggen tut jeder und eine Staatsmacht oder sagen wir "höhere Gewalt" sitzt nun mal immer am längeren Hebel, die haben große Mittel und einen dicken Meinungsverstärker :P mit richtiger Druckausübung können die jeden überzeugen, Infos/Daten rauszugeben. Es macht absolut keine Unterscheidung zwischen O², Vodafone, Unitymedia, Orange, AT&T, Cyberghost oder Hidemyass.


Ich schätze den Blog von Michael. Das Problem ist nicht NordVPN, die haben Tracker versteckt wie vieeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeele andere Unternehmen von denen man nicht wissen will, dass sie mindestens solchen Schmuh betreiben und sogar abgesegnet sind von "top-down". Anonyme Briefkastenfirma ist nicht nur NordVPN sondern haben auch viele andere dubiose Gestalten (Großunternhmen, ja sogar Konzerne?) von denen du treuer Kunde bist ;)

Mich würde konstruktive Kritik und Meinungen zu dem Thema interessieren, in sachlicher Form. Ich persönlich finde dass auch solche VPN-Dienstleister ihre Daseinsberechtigung haben. Es kommt meiner Ansicht nach um den besonderen Anwendungsfall an aber wenn man die Möglichkeit hat für die Privatsphäre selbst Hand anzulegen, wieso also darauf verzichten? Ich schließe zum Beispiel auch die WC-Tür hinter mir ab wenn ich ungestört mein Geschäft verrichten möchte und mich dabei nicht in den eigenen vier Wänden befinde :D Das hat was mit Privatsphäre für mich zu tun und nicht mit Sicherheit. Und wenn ich mich in einem Forum registriere dann nutze ich als Usernamen ein frei gewähltes Pseudonym statt Thomas Freudinger. Und wenn ich für die politisch brisante Informationen für das Wohl der Bevölkerung an Wikileaks übermitteln wollen würde aber zeitgleich um Immunität fürchten müsste, dann hätte ich das nicht über ExtremeVPN gemacht sondern über mehrere TOR Knotenpunkte, gemischt mit allen möglichen Proxies, VPNs, und und und ... die Anzahl spielt keine Rolle, es geht nur darum dass ich eine Möglichkeit die mir gegeben ist als Privatmensch auch zu Nutzen.

Just my two cents, freue mich auf regen Beitrag und eurer Denkweise zu diesem Thema.