Diese Woche dominierten zwei Themen Hacker News. Das eine war technischer Natur: „Mullvad-Exit-IPs lassen sich überraschend gut identifizieren“ (613 Punkte) – Forscher zeigten, dass die Exit-IP eines VPNs Nutzer serverübergreifend fingerprinting-fähig macht. Das andere war struktureller Art: „Wem gehören ExpressVPN, Nord, Surfshark?“ (673 Punkte, 427 Kommentare) – eine Beziehungskarte, die zeigt, in wie wenigen Händen der Consumer-VPN-Markt tatsächlich liegt.
Die Fingerprinting-Forschung haben wir separat behandelt in VPN-Exit-IPs können dich identifizieren – kurz gesagt: Jeder Tunnel hat eine Exit-IP, unserer eingeschlossen, und kein VPN der Welt umgeht das vollständig. In diesem Beitrag geht es um die zweite Geschichte, die weniger Aufmerksamkeit bekommt, aber genauso wichtig ist: Die meisten Menschen wissen nicht, wem das Unternehmen gehört, dem sie ihren Datenverkehr anvertrauen.
Diese beiden Themen sind keine Zufälle. Sie stellen dieselbe Frage aus zwei Richtungen – wie viel weißt du eigentlich über das Tool, von dem du deinen Datenschutz abhängig gemacht hast?
Die Konsolidierung, die du nicht bemerkt hast
Die von Windscribe erstellte Karte hinter dem 673-Punkte-Thread zeigte ein Bild, das die meisten Nutzer nie sehen. Das Mutterunternehmen von NordVPN fusionierte mit Surfshark – zwei Marken, die als unabhängige Alternativen vermarktet wurden, sitzen jetzt unter einem Dach. Kape Technologies – ein Unternehmen mit Wurzeln in Adware – übernahm ExpressVPN, CyberGhost und Private Internet Access. Eine Handvoll Private-Equity-gestützter Holdinggesellschaften steht inzwischen hinter einem Großteil der Namen, die du kennen würdest.
Der praktische Effekt: Nutzer, die glaubten, ihr Risiko zu streuen, indem sie „ein anderes VPN“ wählten, konzentrierten sich oft beim selben Mutterkonzern. Die Logik des „kein einzelner Ausfallpunkt“ beim Aufteilen des Vertrauens auf mehrere Anbieter kollabierte still und leise.
Warum Eigentümerschaft eine Datenschutzfrage ist
Ein VPN nimmt eine privilegierte Stellung ein: Es sieht, über welche Server du dich verbindest, wann – und je nach Produkt und seinen Richtlinien möglicherweise noch mehr. Das macht die Frage, wem das Unternehmen gehört und welche Interessen es verfolgt, untrennbar von der Frage, wie privat das Produkt wirklich ist. Richtlinien werden von Eigentümern geschrieben. Eigentümer wechseln. Ein No-Logs-Versprechen ist nur so beständig wie die Absichten des Unternehmens und die Gesetze, unter denen es operiert – und beides kann sich ändern, sobald eine Holdinggesellschaft den Besitzer wechselt oder ein Gericht eine Anordnung erteilt.
Das ist keine Anschuldigung gegen irgendeinen bestimmten Anbieter. Es ist ein struktureller Punkt: Wenn Eigentumsverhältnisse undurchsichtig sind oder sich konsolidieren, trägt die Phrase „Vertrau uns“ weit mehr Gewicht, als den meisten Käufern bewusst ist.
Wo Casper's Cloak steht
Casper's Cloak ist unabhängig. Es ist kein Teil dieser Konsolidierung – weder Kape noch der Nord-Surfshark-Verbund noch eine der anderen Holdinggesellschaften auf der Karte, die diese Woche 673 HN-Nutzer aufgeschreckt hat, steht dahinter. Die Eigentümerfrage führt in unserem Fall schlicht nicht zu einem Konzern.
Außerdem ist es mehr als ein VPN. Casper's Cloak vereint On-Device-Bedrohungserkennung, DNS- und Netzwerkfilterung, Anti-Tracking und einen verschlüsselten WireGuard-Tunnel in einer App – der Mehrwert liegt also nicht nur im Tunnel (der, wie die Fingerprinting-Forschung zeigte, nie die ganze Geschichte war), sondern in den Schutzschichten, die parallel dazu laufen.
Was du fragen solltest, bevor du einem Datenschutz-Tool vertraust
Wenn du nach den HN-Threads dieser Woche deinen Datenschutz-Stack neu bewertest, lohnen sich weniger Fragen zum Marketing und mehr zur Struktur:
- Weißt du, wem das Unternehmen dahinter wirklich gehört – nicht die Marke, sondern der Mutterkonzern?
- Könnte es den Besitzer wechseln, ohne dass du je davon erfährst?
- Ist dein Datenschutz das Produkt – oder nur ein Posten in der Bilanz von jemandem?
Die Fingerprinting-Geschichte und die Eigentümergeschichte sind in derselben Woche aufgetaucht, und das hat seinen Grund: Beide drehen sich im Kern darum, wie wenig die meisten Menschen über die Tools wissen, auf die sie sich verlassen. Das lässt sich nicht beheben, indem man zu einer anderen Black Box wechselt. Man behebt es, indem man Tools wählt, deren Aufbau – und Eigentümerverhältnisse – man tatsächlich nachvollziehen kann.