Wie funktioniert ein VPN? Tunnel, Verschlüsselung und IP-Adressen
Wenn du auf „Verbinden“ tippst, handelt die VPN-App in Sekundenbruchteilen Schlüssel mit einem Server aus und leitet deinen gesamten Datenverkehr darüber. Was dabei tatsächlich passiert und wovon es abhängt, ob die Verbindung schnell ist.
Ohne VPN
Normalerweise spricht dein Gerät direkt über das Netz deines Providers mit einer Website. HTTPS schützt den Inhalt der Seite, vieles bleibt aber offen sichtbar. Die Website sieht deine IP-Adresse, und dein Provider und der WLAN-Betreiber sehen, mit welchen Domains du dich verbindest, wann und wie lange.
Was sich beim Verbinden ändert
Die App baut eine Verbindung zum gewählten Server auf, und beide Seiten handeln Schlüssel aus, die nur für diese Sitzung gelten. Ab dann wird alles, was dein Gerät sendet, verschlüsselt und in die Verbindung zum VPN-Server verpackt. Dein Provider sieht einen einzigen Datenstrom, den er nicht lesen kann.
Der Server packt deinen Datenverkehr aus und schickt ihn mit seiner eigenen IP-Adresse weiter ins Internet. Die Website antwortet dem Server, und der leitet die Daten durch den Tunnel an dich zurück. Aus Sicht der Website kommuniziert sie mit einem Rechner im Land des Servers.
Verschlüsselung
Moderne VPNs setzen auf gut erprobte Algorithmen, meist AES-256 oder ChaCha20. Ohne den Schlüssel sind abgefangene Daten wertlos. Da die Schlüssel mit jeder Sitzung wechseln, würde selbst ein kompromittierter Schlüssel frühere Verbindungen nicht entschlüsseln.
Protokolle
Das Protokoll legt fest, wie der Tunnel aufgebaut wird. Heute dominiert WireGuard: schlank, schnell und klein genug, um es gründlich zu prüfen. NordVPN nutzt eine eigene Variante namens NordLynx. Das ältere OpenVPN ist langsamer, aber sehr flexibel und praktisch in Netzen, die andere Protokolle blockieren. IKEv2 kommt gut mit dem Wechsel zwischen WLAN und Mobilfunk zurecht und ist deshalb oft auf Smartphones zu finden. Manche Anbieter haben eigene Protokolle, etwa Lightway bei ExpressVPN oder Chameleon bei VyprVPN.
In der Praxis musst du hier selten etwas anfassen, weil die App eine sinnvolle Voreinstellung wählt.
Woher die ausländische IP-Adresse kommt
Jeder VPN-Server hat IP-Adressen, die in dem Land registriert sind, in dem er läuft. Verbindest du dich mit einem Server in Deutschland, bekommst du eine deutsche Adresse, und Websites behandeln dich, als wärst du in Deutschland. Deshalb kommt es darauf an, wo ein Anbieter tatsächlich Server hat. Das kannst du auf der VPN-Karte nachsehen.
Virtuelle Standorte
Manche Anbieter verkaufen zusätzlich virtuelle Standorte. Die IP-Adresse ist im gewählten Land registriert, der Server steht aber in einem anderen, meist in einem Nachbarland mit besserer Infrastruktur. Websites erkennen den Unterschied nicht, eine zusätzliche Latenz kann dir aber auffallen. Das ist verbreiteter, als man denkt: In 65 der 179 Länder auf unserer Karte hat kein Anbieter einen physischen Server. Die Länderliste und die einzelnen Länderseiten zeigen, welcher Anbieter was bietet.
Funktionen, die du kennen solltest
Ein Kill Switch kappt die Internetverbindung, sobald das VPN ausfällt, damit deine echte IP-Adresse nicht einmal für eine Sekunde durchsickert. Der Schutz vor DNS-Leaks schickt auch die Namensauflösung für Websites durch den Tunnel. Mit Split Tunneling legst du fest, welche Apps am VPN vorbeigehen, etwa für einen Drucker im Heimnetz. Multi-Hop, manchmal auch Double VPN genannt, leitet den Datenverkehr über zwei Server in verschiedenen Ländern.
Bremst ein VPN die Verbindung?
Ein wenig. Die Verschlüsselung kostet einen Moment, und deine Daten müssen erst zum Server und wieder zurück. Mit WireGuard und einem Server in der Nähe ist der Unterschied meist kaum zu merken. Verbindest du dich mit dem anderen Ende der Welt, steigt die Latenz spürbar. Nimm für den Alltag einen nahen Server und heb dir weit entfernte Standorte für die Fälle auf, in denen du wirklich eine IP-Adresse von dort brauchst.