VPN einfach erklärt: von der Verschlüsselung bis zum sicheren Tunnel

Wer früher im Unterricht einen Zettel in die letzte Bank schicken wollte, musste ihn durch mehrere Hände reichen lassen. Jede Station auf dem Weg hätte ihn auffalten können und manche taten es auch. Daten im Internet reisen nach einem ähnlichen Muster, über Heimrouter oder Zug-Hotspot, Zugangsanbieter und Netzknoten, deren Betreiber niemand persönlich kennt.

Ein VPN, ausgeschrieben Virtual Private Network, ändert an diesem Weg erstaunlich wenig. Es ändert dafür gründlich, was die Stationen unterwegs zu sehen bekommen.

Ein Brief im Brief

Das Bild vom Tunnel führt leicht in die Irre. Eine eigene Leitung gibt es nicht, die Datenpakete laufen über dieselben Kabel und Funkstrecken wie ohne VPN. Technisch steckt dahinter ein Verpackungsprinzip namens Kapselung. Die VPN-Software verschlüsselt jedes ausgehende Paket samt Zieladresse und legt es in ein neues Paket, auf dessen Umschlag nur noch der VPN-Server als Empfänger steht.

Unterwegs erkennt man damit nur, dass ein Gerät mit einem Server Daten tauscht, dazu Menge und Uhrzeit. Welche Seite angefragt wird, steht im inneren Umschlag, den erst der VPN-Server öffnet und weiterreicht. Gegenüber der Webseite tritt deshalb der Server als Absender auf, die Adresse des Geräts reist verdeckt mit.

Was die Verschlüsselung leistet

Der innere Umschlag taugt nur so viel wie das Verfahren, das ihn verschließt. Im laufenden Betrieb arbeiten VPNs symmetrisch, beide Enden benutzen also denselben Schlüssel. AES mit 256 Bit langem Schlüssel gilt seit Jahren als Standard und wird von vielen Prozessoren direkt in der Hardware beschleunigt. ChaCha20 kommt ohne solche Spezialbefehle aus und läuft deshalb auch auf Smartphones und kleinen Routern zügig.

Wie fest diese beiden Verfahren im Markt verankert sind, zeigt ein Blick in aktuelle Anbietervergleiche. In der VPN-Bestenliste von Cybernews, zuletzt im Mai 2026 aktualisiert, setzen alle fünf Dienste der Spitzengruppe auf AES-256, zwei davon bieten laut den Cybernews-Experten zusätzlich ChaCha20 an (Quelle: https://cybernews.com/de/beste-vpn/). Ebenso wichtig wie die Geheimhaltung ist die Unversehrtheit der Daten. Jedes Paket erhält eine Art Siegel, bei ChaCha20 übernimmt das ein Verfahren namens Poly1305. Wer ein Paket unterwegs verändert, bricht das Siegel und die Gegenseite verwirft es kommentarlos.

Der Handshake: einen Schlüssel vereinbaren, ohne ihn zu verschicken

Offen ist noch, wie beide Seiten an denselben Schlüssel kommen, ohne ihn quer durch den Klassenraum zu rufen. Ein Bild mit Farben hilft weiter.

Beide Seiten einigen sich offen auf eine Grundfarbe, etwa Gelb. Jede mischt heimlich eine eigene Farbe hinein und schickt nur das Ergebnis hinüber. Anschließend gibt jede ihre geheime Farbe noch einmal in die empfangene Mischung. Am Ende stehen auf beiden Seiten identische Töpfe, obwohl keine geheime Farbe je unterwegs war, und Mischungen lassen sich nicht zurück in ihre Bestandteile zerlegen. In der Praxis ersetzen elliptische Kurven die Farbtöpfe, WireGuard verwendet beispielsweise das Verfahren Curve25519.

Zum Handshake gehört außerdem ein Ausweis. Der Server muss belegen, dass er wirklich das erwartete Gegenüber ist, sonst könnte sich ein Angreifer dazwischenschalten und mit beiden Seiten getrennt Farben mischen. Moderne Protokolle wiederholen den Austausch zudem regelmäßig, bei WireGuard alle paar Minuten. Ein später gestohlener Schlüssel öffnet dadurch keine früher mitgeschnittenen Pakete. Fachleute sprechen von Perfect Forward Secrecy.

Drei Protokolle, drei Bauweisen

Ein VPN-Protokoll legt fest, wie Verpackung, Verschlüsselung und Handshake zusammenspielen. Die drei gängigsten unterscheiden sich weniger im Sicherheitsniveau als in ihrer Bauart.

WireGuard

Der jüngste der drei ist bewusst schlank gehalten. Seine Linux-Umsetzung umfasst nur einige Tausend Zeilen Programmcode, was unabhängige Prüfungen erleichtert. Die Algorithmen sind fest vorgegeben, ein Aushandeln zwischen Client und Server entfällt und der Handshake besteht aus genau zwei Nachrichten. Seit Version 5.6 aus dem Jahr 2020 steckt WireGuard direkt im Linux-Kernel. NordVPN hat mit NordLynx eine eigene Variante darauf aufgebaut.

OpenVPN

OpenVPN ist der erfahrene Allrounder. Für den Schlüsseltausch nutzt es TLS, also dieselbe Technik, mit der auch Onlinebanking-Seiten ihre Verbindung absichern. Es läuft wahlweise über UDP, was meist schneller ist, oder über TCP. Auf TCP-Port 443 eingestellt, ähnelt der Verkehr gewöhnlichem Webverkehr und passiert dadurch auch strenge Firewalls in Hotels oder Firmennetzen.

IKEv2/IPsec

IKEv2 bringen Windows, macOS, iOS und Android häufig schon von Haus aus mit. Seine Stärke zeigt sich in Bewegung. Über die Erweiterung MOBIKE behält der Tunnel seine Gültigkeit, wenn das Gerät die Netzadresse wechselt. Springt das Smartphone morgens beim Verlassen des Hauses vom heimischen WLAN ins Mobilfunknetz, muss die Verbindung nicht neu aufgebaut werden.

DNS: die Auskunft, die mehr verrät als gedacht

Bevor ein Gerät eine Seite aufrufen kann, fragt es beim Domain Name System nach, welche numerische Adresse zu einem Namen gehört. Das ähnelt der alten Telefonauskunft. Der Inhalt eines Gesprächs bleibt dort zwar unbekannt, die Liste der erfragten Nummern ergibt trotzdem ein recht genaues Bild.

Zum Problem werden diese Anfragen, sobald das Betriebssystem sie ohne Umschlag an den gewohnten Namensserver des Zugangsanbieters schickt. Die Inhalte reisen dann verschlüsselt, die Namen der besuchten Seiten dagegen offen. Fachleute nennen das ein DNS-Leck. Gute VPN-Apps leiten deshalb auch die Namensanfragen durch den Tunnel und beantworten sie mit eigenen Servern. Ob das klappt, verraten frei verfügbare Leak-Tests im Browser.

Kill Switch: die Notbremse für den Tunnel

In Lokomotiven gibt es seit Jahrzehnten die Sicherheitsfahrschaltung. Reagiert der Lokführer nicht mehr, bremst der Zug von selbst. Ein Kill Switch folgt demselben Gedanken. Bricht der Tunnel ab, etwa in einem Funkloch, beim Serverwechsel oder nach dem Aufwachen aus dem Ruhezustand, sperrt die App jeden Datenverkehr, bis die Verbindung wieder steht.

Ohne diese Sperre würden Hintergrunddienste wie Mailabruf, Cloud-Synchronisation oder Messenger in der Lücke einfach weiterfunken, und zwar unverpackt. Manche Apps aktivieren die Funktion ab Werk, bei anderen versteckt sie sich in den Einstellungen.

Wo ein VPN an seine Grenzen stößt

So solide die Technik ist, ihr Schutzbereich endet an klar benennbaren Punkten:

Der VPN-Anbieter sieht, was vorher der Zugangsanbieter sehen konnte. Das Vertrauen wandert also nur weiter, weshalb extern geprüfte No-Logs-Zusagen und ein nachvollziehbarer Firmensitz zählen.
Hinter dem VPN-Server reist der Inhalt nur noch so geschützt weiter, wie es die aufgerufene Seite selbst vorsieht.
Angemeldete Konten, Cookies und Merkmale des Browsers machen Nutzer weiterhin wiedererkennbar.
Schadsoftware und gefälschte Anmeldeseiten passieren den Tunnel ungehindert, denn er prüft nicht, was er transportiert.
Streamingdienste regeln in ihren Nutzungsbedingungen, ob ein Zugriff über VPN erlaubt ist, und einige Staaten schränken VPNs gesetzlich ein.

Zurück zum Zettel im Klassenzimmer. Mit VPN erreicht er die letzte Bank verschlossen und unterwegs kann niemand die Schrift entziffern oder etwas dazukritzeln. Was der Empfänger mit der Nachricht anfängt und ob überhaupt der richtige Adressat gewählt wurde, liegt außerhalb seiner Reichweite. Innerhalb dieser Grenzen leistet es zuverlässige Arbeit.

Autoren Profil

Philipp Hartmann: Philipp Hartmann ist Chef-Redakteur und kümmert sich vor allem um Themen, die nicht klar in eine feste Kategorie passen. Ob aktuelle Entwicklungen, ungewöhnliche Alltagsthemen, digitale Trends oder spannende Fundstücke aus dem Netz – er behält den Überblick und greift Inhalte auf, die informativ, relevant oder einfach interessant sind. Dabei legt er Wert auf verständliche Texte, klare Einordnungen und einen praxisnahen Blick auf Themen, die Leser im Alltag wirklich beschäftigen.

Nach mehreren Jahren im Online-Redaktionsbereich und verschiedenen Projekten rund um Content, News und Webseitenentwicklung übernahm er die redaktionelle Leitung der Plattform. Neben klassischen redaktionellen Aufgaben beschäftigt er sich auch mit neuen Themenideen, Seitenstrukturen und der Weiterentwicklung des Angebots. Privat interessiert er sich unter anderem für Sport, Filme und digitale Trends – Themen, die gelegentlich auch in seine Artikel und Themenideen einfließen. Besonders gerne schreibt er über alles, was aktuell diskutiert wird oder sich nicht eindeutig in ein festes Themengebiet einordnen lässt.