Securitywatch: Wie gefährlich ist dein ausländischer VPN?

Ende Mai brach leise eine Geschichte aus, die ich seitdem kaue. Es wurde berichtet, wie Mitglieder des US-Kongresses viel Handarbeit gegen die Bedrohung durch ausländische VPNs geleistet haben. Der Gesetzgeber befürchtete, dass eine ausländische Regierung Ihre Aktivitäten belauschen könnte, wenn Sie ein ausländisches VPN verwenden. Ausländische Unternehmen seien möglicherweise eher dem Druck ausländischer Regierungen ausgesetzt, und diese ausländischen VPNs könnten personenbezogene Daten oder sogar den Inhalt Ihrer Online-Aktivitäten weitergeben.

Das mag alles stimmen, aber nicht weniger für inländische VPNs. Ein VPN stellt eine verschlüsselte Verbindung zwischen Ihrem Gerät und einem Server her, der von der VPN-Firma kontrolliert wird. Ihr Datenverkehr wandert durch den Tunnel und verbirgt ihn vor Snoopern in einem lokalen Netzwerk und vor Ihrem ISP - was laut Kongress ironischerweise dazu führen kann, dass Sie gewinnbringend ausspioniert werden. Wenn Ihr Datenverkehr den VPN-Server erreicht, wird er vor der Rückfahrt ins Internet beendet.

Dies versetzt VPNs effektiv in die Rolle Ihres Internetdienstanbieters, da sie möglicherweise alles sehen können, was Sie online tun. Dies ist eines der Hauptprobleme von VPNs in der Branche und gilt für alle VPNs. Ein in den USA ansässiges VPN könnte Ihre Aktivitäten abhören, Ihre Informationen an die US-Strafverfolgungsbehörden weitergeben oder dem Druck von US-Geheimdiensten unterliegen. Dies sind die Risiken, die mit der Verwendung von VPNs verbunden sind. Sie ändern sich nicht wesentlich, wenn die Büros dieses Unternehmens einfach in eine andere Zeitzone verlegt werden.

Standort, Standort, Standort

VPNs sind im Grunde genommen Datenschutz-Tools, und wenn sie die Privatsphäre der Kunden schlecht schützen, können sie hoffentlich einen schlechten Job auf dem Markt machen. Tatsächlich ist ein großer Teil des (häufig fragwürdigen) Diskurses um VPN-Unternehmen, ob sie Ihre Informationen wirklich privat halten. VPNs versuchen im Allgemeinen, sich zumindest als vertrauenswürdige Verwalter Ihrer Informationen zu positionieren, indem sie in der Regel Unternehmensrichtlinien definieren, die das Sammeln von Benutzerinformationen verbieten, Datenschutzrichtlinien veröffentlichen, in denen die Details erläutert werden, und den Datenschutz in ihr eigentliches Produkt integrieren. Ein aktueller Trend besteht darin, dass Unternehmen Prüfungen ihres Produkts durch Dritte in Auftrag geben, um den Anspruch auf Vertrauenswürdigkeit zu stärken.

Als Beispiel für die Art der Schritte, die VPN-Dienste ausführen, um Ihre Privatsphäre zu schützen, gibt Private Internet Access Ihnen eine Benutzer-ID aus, wenn Sie ein Konto erstellen. Dies unterscheidet sich von den Informationen, die Sie zur Verarbeitung Ihrer Abonnementzahlung angeben. Wenn es richtig funktioniert, bedeutet dies, dass das Unternehmen einen einzelnen Benutzer nicht identifizieren kann, selbst wenn dies gesetzlich vorgeschrieben ist oder die Strafverfolgung seine Server beschlagnahmt hat.

VPNs existieren oft an vielen Orten gleichzeitig. AnchorFree, das Unternehmen hinter Hotspot Shield VPN, hat seinen Sitz in Kalifornien und ein Büro in Zürich, Schweiz. Das Unternehmen gibt an, unter der Gerichtsbarkeit der USA und der Schweiz tätig zu sein. Ist es ein fremdes VPN? Das Produkt von AnchorFree wird von anderen Unternehmen, von denen einige in den USA ansässig sind und andere nicht, umfassend umbenannt und verkauft. Sind das fremde VPNs?

VPN-Unternehmen haben häufig Niederlassungen in einem Land, während sie unter der Rechtsprechung eines anderen Landes tätig sind. VPN-Unternehmen unterhalten auch Server-Flotten auf der ganzen Welt. Jeder dieser Standorte unterscheidet sich möglicherweise von dem Ort, an dem sich das VPN-Unternehmen in der Gerichtsbarkeit befindet.

Allerdings ist die Rechtsprechung von Bedeutung, da dies der Rahmen ist, in dem Ihre Daten geschützt werden. Auf den Britischen Jungferninseln haben VPN-Unternehmen nachgespielt, wie die lokalen Strafverfolgungsbehörden nicht einfach die von anderen Regierungen ausgestellten Haftbefehle akzeptieren. Stattdessen müssen diese Optionsscheine durch zusätzliche Reifen springen, bevor sie bei einem Unternehmen auf den Britischen Jungferninseln eingesetzt werden können. In ähnlicher Weise haben VPN-Unternehmen in Ländern wie Deutschland und der Schweiz die strengen Datenschutzgesetze dieser Länder hervorgehoben.

Ich möchte an dieser Stelle darauf hinweisen, dass es schwierig ist zu überprüfen, ob die Verwendung eines Dienstes an einem bestimmten Ort tatsächlich zum Schutz Ihrer Daten beiträgt.

Ein Weg, wie VPNs Kunden schützen und sich selbst vermarkten wollen, ist der Standort des Unternehmens. NordVPN zum Beispiel hat seinen Sitz in Panama, eine Tatsache, die den Kunden aufgrund lokaler Gesetze als Segen für Datenschutz und Sicherheit wirbt. ProtonVPN weist darauf hin, dass es sich um Schweizer handelt. Wenn ich ein VPN überprüfe, liste ich normalerweise seinen Standort und seine Gerichtsbarkeit neben den VPN-Protokollen und den Datenschutzrichtlinien auf, da der Standort eines VPN-Unternehmens eine weitere Funktion darstellt.

Ort kann auch emotionalen Wert haben. Einige Leser haben mir gesagt, dass sie Unternehmen mit Sitz in Osteuropa nicht vertrauen können, weil sie mit russischen Hacking-Gruppen zusammenarbeiten. Andere haben mir gesagt, dass ein in den USA ansässiges VPN aufgrund der Geschichte der Massenüberwachung in diesem Land inakzeptabel ist. VPNs mit Sitz in Hongkong (im Gegensatz zu Festlandchina) werden häufig mit dem Vorwurf angegriffen, der Überwachungsstaat müsse sie fest im Griff haben. Viele sprechen sich ähnlich dagegen aus, dass Huawei Geräte für die Internetinfrastruktur bereitstellt.

Diese Unternehmen widersprechen häufig dem Argument, dass die Stadt aufgrund ihrer besonderen Regeln ein hervorragender Standort für private Daten ist.

In der Tat gibt es ein starkes Argument dafür, dass die USA eine der aggressivsten Überwachungs- und Datenerfassungsoperationen der Welt haben. Social-Media-Unternehmen erhalten von DHS manchmal nationale Sicherheitsbriefe, in denen sie aufgefordert werden, Informationen weiterzugeben, ohne diese offenzulegen. Die NSA betrieb die vielleicht größte Datenüberwachungsoperation, die die Welt je gesehen hat. Davon waren sowohl US-Bürger als auch Überseeziele betroffen.

Darüber hinaus wurde der NSA vorgeworfen, die kritische Position der Vereinigten Staaten in Bezug auf die Dateninfrastruktur ausgenutzt zu haben, die Leitungen des globalen Internetverkehrs abgehört und angeblich in Echtzeit kopiert zu haben - vielleicht ironischerweise, da die USA dasselbe Argument vorbringen gegen Huawei, wie oben erwähnt. Ganz zu schweigen von den Vereinbarungen zum Informationsaustausch, die es zahlreichen verbündeten Nationen, einschließlich der USA, ermöglichen, Informationen unabhängig vom Standort auszutauschen. Angesichts all dessen ist es schwierig, mit Leuten zu streiten, die VPN-Unternehmen mit Sitz in den USA als potenzielles Risiko ansehen.

Es ist (und ist nicht) wichtig

Wenn alles richtig funktioniert, sollte es kaum einen Unterschied zwischen einem fremden VPN und einem VPN geben, das einige oder alle Niederlassungen in den USA hat. Die Mathematik, mit der die Verschlüsselung funktioniert, kennt keine Grenzen. Ebenso sind die Maßnahmen zum Schutz der Privatsphäre und der Sicherheit der Benutzer bekannt und können überall umgesetzt werden. Viele VPN-Unternehmen entscheiden sich, wo sie ihre Firmen gründen möchten, um von den örtlichen Datenschutzgesetzen zu profitieren oder vielleicht um eine emotionale Reaktion der Verbraucher zu erreichen.

• Backstabbing, Desinformation und schlechter Journalismus: Der Stand der VPN-Branche Backstabbing, Desinformation und schlechter Journalismus: Der Stand der VPN-Branche
• Online-Datenschutz ist ein Recht, kein Luxus Online-Datenschutz ist ein Recht, kein Luxus
• Um das Internet zu retten, müssen wir es brechen. Um das Internet zu retten, müssen wir es brechen

Was wichtig ist, ist, wenn VPN-Unternehmen Dinge nicht richtig verschlüsseln oder wenn sie aus Unwissenheit oder Willen nicht die besten Praktiken befolgen, um die Privatsphäre ihrer Benutzer zu schützen. Ein schlecht abgesichertes VPN ist zwar fremd , kann aber auch von mir entfernt sein. Anstatt sich zu fragen, wo sich der Hauptsitz der Unternehmen befindet oder welche "Werte" sie haben, sollte der Kongress Methoden unterstützen, mit denen Benutzer und Forscher die Behauptungen von VPN-Unternehmen überprüfen können.

Die Sicherheitsbranche steckt voller Marketing, das sich aus Angst, Unsicherheit und Zweifel zusammensetzt - gemeinsam als FUD bezeichnet. Eine lange Diskussion über ausländische VPNs in den Kongresshallen fällt in diese Kategorie, insbesondere wenn die Gruppe zu dem Schluss kommt, dass die vorhandenen Bedrohungen minimal sind. FUD hat immer einen Zweck, und anstatt zu fragen, wo am besten ein VPN eingerichtet werden kann, sollten wir uns vielleicht darauf konzentrieren, warum dieses Gespräch überhaupt stattgefunden hat.