Diese Woche erreichte ein Beitrag mit dem Titel „Mullvad-Exit-IPs sind überraschend identifizierend“ 613 Punkte und 389 Kommentare auf Hacker News. Ein separater Thread — „Wem gehören ExpressVPN, Nord, Surfshark?“ — erzielte am selben Tag 673 Punkte. Zusammen sorgten sie für eine schwierige Woche für die VPN-Branche: Die Tools, die Menschen für Anonymität kaufen, werden zu Fingerabdruck-Oberflächen, während die dahinterstehenden Unternehmen sich still konsolidieren.
Dieser Beitrag behandelt das erste Problem — die Exit-IP-Fingerabdruck-Forschung — und die unbequeme Wahrheit, die die meisten Datenschutz-Werbeversprechen dir nicht verraten werden: Jeder VPN-Tunnel hat eine Exit-IP. Auch unserer. Was das konkret für deinen Selbstschutz bedeutet, erklären wir hier.
Was die Mullvad-Forschung herausgefunden hat
Die Forschung bei tmctmt.com zeigte, dass Mullvads WireGuard-Exit-IPs als stabiler Fingerabdruck-Vektor über verschiedene Server hinweg wirken können. Da der Pool an Exit-IPs, aus dem eine Sitzung schöpft, klein und vorhersehbar ist, kann ein Beobachter von mehreren Beobachtungspunkten aus Sitzungen korrelieren, die der Nutzer für unabhängig hält. Das ist kein Fehler, der mit einem Patch behoben wird — es ist eine Eigenschaft, die sich daraus ergibt, wie gemeinsam genutzte VPN-Infrastruktur im großen Maßstab funktioniert.
Das ist relevant, weil es eine Lücke zwischen dem Versprechen eines VPNs — dass der Ursprung deines Datenverkehrs verschleiert wird — und der Realität aufzeigt, wie die Exit-Node-Zuweisung funktioniert, sobald du einer von Millionen Nutzern bist, die dieselbe Infrastruktur teilen.
Jeder Tunnel hat eine Exit-IP — auch der von Casper's Cloak
Es wäre einfach, daraus einen Verkaufspitch zu machen, indem wir behaupten, Casper's Cloak habe dieses Problem nicht. Das werden wir nicht tun, weil es nicht der Wahrheit entspräche. Casper's Cloak enthält einen verschlüsselten WireGuard-Tunnel, und wie jeder VPN-Tunnel endet auch dieser an einer Exit-IP. Jedes Produkt, das deinen Datenverkehr über einen Server leitet — auch unseres — hat einen Exit-Punkt, der im Prinzip analysiert werden kann. Ein Tool, das behauptet, „keine Exit-IP“ zu haben, ist entweder kein echtes VPN — oder es ist nicht ehrlich mit dir.
Die Lehre aus der Mullvad-Forschung lautet also nicht: „Wechsle zum einen magischen VPN ohne Exit-IP.“ So etwas gibt es nicht. Die Lehre ist, dass der Tunnel nie der Teil war, der beim Datenschutz die schwere Arbeit geleistet hat.
Warum „Mehr als ein VPN“ der eigentliche Punkt ist
Ein VPN-Tunnel verändert, woher dein Datenverkehr zu kommen scheint. Er tut fast nichts gegen das, was dich nach der Ankunft trackt — die Werbenetzwerke, die App-übergreifenden Kennungen, die schädlichen Domains, die Tracker, die in den Apps selbst eingebaut sind. Diese Arbeit findet auf einer völlig anderen Ebene statt.
Casper's Cloak ist um genau diese Ebene herum aufgebaut. Der verschlüsselte Tunnel ist eine Komponente; der Schutz, der deine Angriffsfläche tatsächlich reduziert, läuft parallel dazu:
Bedrohungserkennung auf dem Gerät. Echtzeitanalyse der Verbindungen, die deine Apps aufbauen — Phishing und bekannte Schaddomains werden erkannt, bevor sie geladen werden.
DNS- und Netzwerkfilterung. Blockierung von Werbe- und Tracker-Domains systemweit, in jeder App — nicht nur im Browser.
Anti-Tracking. Abschneiden der App-übergreifenden Kennungen und Surfmuster-Analysen, die dich verfolgen — unabhängig davon, welche Exit-IP du gerade verwendest.
Datenverkehrs-Tarnung. Täuschungsverkehr und Verschleierungsfunktionen („Phantom Barriers“), die Datenverkehrsmuster-Analysen erschweren sollen.
Keine dieser Funktionen hängt davon ab, dass deine Exit-IP geheim bleibt. Sie funktionieren weiterhin, egal ob jemand sehen kann, wo dein Tunnel endet — genau das ist die Eigenschaft, die die Mullvad-Forschung gezeigt hat, dass ein Tunnel allein nicht garantieren kann.
Was du jetzt tun kannst
Wenn dein heutiges Datenschutz-Setup aus einem VPN-Tunnel und sonst nichts besteht, ist die Mullvad-Forschung ein guter Anlass, dich zu fragen, was dich eigentlich schützt, sobald dein Datenverkehr angekommen ist. Die ehrliche Antwort für reine Tunnel-Setups lautet meistens: nicht viel.
Casper's Cloak kombiniert Bedrohungserkennung auf dem Gerät, DNS- und Netzwerkfilterung, Anti-Tracking und einen verschlüsselten WireGuard-Tunnel in einer einzigen App für iOS, macOS und Android — ein Abonnement statt VPN plus separater Werbeblocker plus DNS-Filter.
Und falls dich die andere Hälfte der Neuigkeiten dieser Woche — wem die großen VPN-Marken tatsächlich gehören — mehr beunruhigt, ist das eine eigene Frage. Wir haben darüber in Wem gehört dein VPN? geschrieben.