Was kostenlose Android-VPNs wirklich kosten: Tracking und Lecks
Kostenlose VPNs locken mit einem unschlagbaren Versprechen: Privatsphäre, ohne einen Cent dafür zu bezahlen. SplitVPN warb damit besonders unverblümt. Auf der Website hieß es: „VPN that makes you forget about privacy issues!“ Gleich darunter die Zusage: unbegrenztes Datenvolumen, schnelle Server — und „No Logs“.
Ganz kostenlos ist SplitVPN streng genommen allerdings nicht. Es gibt sowohl kostenlose als auch kostenpflichtige Tarife, und im Google Play Store wird darauf hingewiesen, dass die App Werbung und In-App-Käufe enthält. Aber die kostenlose Version verkauft trotzdem die verlockende Idee von Privatsphäre ohne Zahlung. Für diese Menschen wird der Preis im Kleingedruckten sichtbar.
Die Datenschutzerklärung, die mit dem aktuellen Google-Play-Eintrag verlinkt ist, sagt, dass Drittanbieter-Werbedienste Informationen wie Werbe-IDs, IP-Adressen, Gerätedetails, App-Nutzung und den ungefähren Standort erfassen dürfen. Sie räumt außerdem ein, dass einige werbefinanzierte Versionen des Produkts nach der Definition des kalifornischen Datenschutzrechts bestimmte Daten an Werbepartner „verkaufen“ können.
Browsing-Aktivitäten seien davon ausgenommen — das widerspricht dem No-Logs-Versprechen also nicht direkt. Es relativiert die kostenlose Privatsphäre aber gewaltig: Wer keinen Abo-Preis zahlt, bezahlt mit Aufmerksamkeit und Daten.
Ende Juli bekam die Idee, dass Daten einen kommerziellen Wert haben, eine düstere Bedeutung. In Hackerkreisen kursierten Meldungen, dass eine aus SplitVPN gestohlene Datenbank — das Produkt wurde früher als NotVPN vermarktet — zum Verkauf angeboten wurde. Der Verkäufer behauptete, sie enthalte Daten von Millionen Menschen, darunter E-Mails, IP-Adressen, Geräte- und Abo-Informationen sowie Zahlungsdaten. Besonders verheerend: In der Datenbank sollen auch knapp 58 Millionen Verbindungsprotokolle (Logs) stecken — ein harter Schlag für einen Dienst, der mit „No Logs“ wirbt.
SplitVPN/NotVPN bestätigte den Datenleak, bestritt jedoch, dass Verbindungsprotokolle betroffen waren. Jemand habe am 21. Juli Zugriff auf die Abonnenten-Datenbank erlangt. Dabei seien E-Mail-Adressen, Länderangaben, Abo-Status, Gerätenamen und begrenzte Zahlungsinformationen durchgesickert. Aufgezeichnete Website-Besuche gebe es aber nicht — die Angreifer hätten die angebliche Log-Tabelle nur erfunden, um den Datensatz wertvoller wirken zu lassen.
Es war nicht das erste Mal, dass NotVPN beim Thema Datenschutz auffiel. Eine wissenschaftliche Studie über Android-VPNs deckte auf, dass mit der App verknüpfte Pakete manche Daten unverschlüsselt übertrugen und leicht als VPN-Traffic zu erkennen waren. Wichtig dabei: Die Forschenden warfen NotVPN nicht vor, Surf-Traffic zu leaken oder Aktivitätsprotokolle zu führen.
Doch NotVPN ist nur die Spitze des Eisbergs.
Viele kostenlose VPNs sind Zeitbomben für Privatsphäre und Sicherheit. Server, Bandbreite, Entwicklung und Wartung kosten Geld. Wenn niemand für den Dienst zahlt, verdient der Anbieter womöglich mit Werbung, Tracking oder Datensammlung. Und weil ein VPN privilegierten Zugriff auf die Internetverbindung hat, ist der potenzielle Preis viel höher als bei einer gewöhnlichen kostenlosen App.
Die problematischen Apps aus der Studie hatten zusammen mehr als 2,4 Milliarden Installationen gesammelt. Hier sind die wichtigsten Ergebnisse.
Was die Studie untersucht hat
Die Studie stammt von Forschenden der University of Michigan, der University of New Mexico und des IIT Delhi und wurde im Februar 2026 auf dem Network and Distributed System Security Symposium (NDSS) vorgestellt.
Im November 2024 stellte das Team seinen Datensatz zusammen. Dafür durchsuchte das Team den Google Play Store nach 40 typischen VPN-Suchbegriffen wie „VPN“, „kostenloses VPN“, „bestes gratis VPN“, „sicheres VPN“, „VPN ohne Logs“, „VPN für Privatsphäre“, „VPN für Streaming“ und „VPN für Gaming“. Der Play Store lieferte bis zu 30 Apps pro Suchbegriff, also bis zu 1.200 Ergebnisse pro Land, bevor Duplikate entfernt wurden. Die endgültige Stichprobe umfasste 281 kostenlose VPN-Apps.
Diese wurden auf einem echten Android-14-Gerät mit dem eigens entwickelten Framework MVPNalyzer auf Herz und Nieren geprüft:
unverschlüsselte Kommunikation zwischen App und eigenen Servern;
DNS- oder Surf-Traffic, der am VPN-Tunnel vorbeigeht;
Übermittlung von Werbe-IDs und Gerätedaten an Tracker;
schwache oder veraltete VPN-Konfigurationen;
VPN-Traffic, der leicht erkannt und blockiert werden kann.
Leaks, Tracking und Fingerprinting: Die Gefahren hinter Gratis-VPNs
Das erste Problem widersprach dem eigentlichen Zweck eines VPNs: 61 Apps sendeten eigene Daten unverschlüsselt an Server. Es handelte sich um von der App erzeugten Traffic, nicht um Surf-Traffic — aber der Anbieter, der Betreiber eines öffentlichen WLANs oder ein Angreifer in der Leitung konnte ihn trotzdem sehen oder verändern.
In 5 Fällen luden Apps sogar ihre VPN-Konfigurationsdateien so herunter. Ein Angreifer hätte diese Datei austauschen und die vermeintlich geschützte Verbindung auf einen eigenen Server umleiten können — während die App stur „Verbunden“ anzeigte.
Bei weiteren 29 Apps entkam Traffic dem VPN-Tunnel. Dieser Datenverkehr war zwar teilweise per HTTPS durch die Website verschlüsselt, verlor aber den zusätzlichen Schutz des VPNs. Dazu gehörten Leaks von DNS-Anfragen, abfließender Browser-Traffic und Tunnel, die Daten völlig unverschlüsselt transportierten. Jedes dieser Probleme hebelt den Sinn eines VPNs aus. Ein DNS-Leak verrät beispielsweise genau, welche Websites oder Dienste aufgerufen werden — selbst wenn der Inhalt der Seite verschlüsselt bleibt.
Noch erschreckender war das Ausmaß des Trackings: Über 80% der getesteten Apps kontaktierten Werbe- oder Tracking-Domains. Die Forschenden identifizierten sie mithilfe von EasyList, EasyPrivacy, Disconnect und dem AdGuard-Filter gegen Mobile-App-Banner.
76 Apps übertrugen die Android-Werbe-ID, andere gaben IP-Adressen, Gerätemodelle, Betriebssystemversionen, Sprache oder Standortinformationen weiter. Eine App übermittelte sogar exakte Koordinaten. Für sich genommen wirken die meisten dieser Daten harmlos. Zusammen ergeben sie ein dauerhaftes Geräteprofil, verbinden Aktivitäten über Apps und Sitzungen hinweg und lassen sich womöglich einem echten Netzwerk oder Standort zuordnen.
Statt eine Überwachungsebene zu entfernen, fügt ein kostenloses VPN womöglich einfach eine neue hinzu.
Auch die Konfigurationen hinter dem „Verbinden“-Button machten keine bessere Figur: Von 108 untersuchten OpenVPN-Konfigurationen fielen 107 durch mindestens einen Sicherheitstest. Viele nutzten schwache Authentifizierungen, veraltete Einstellungen oder boten keinen Schutz vor bekannten Angriffsformen.
Für alle, die mit einem VPN Zensur umgehen wollen, gab es noch einen Haken. Die Forschenden konnten 169 Apps über Standard-Ports, gängige Protokolle oder offensichtliche Domainnamen problemlos als VPNs erkennen. In 101 Fällen kontaktierten Apps Domains, die das Wort „vpn“ enthielten. Wenn ein Zensor eine VPN-Verbindung erkennt, wird das Blockieren deutlich einfacher.
Die Forschenden wollten die beliebtesten Android-VPN-Apps untersuchen — wer also denkt, es handle sich um obskure Dienste mit ein paar tausend Installationen, irrt leider. Ein Blick in den Play Store zeigt, dass etliche der genannten Apps die Marke von 100 Millionen Downloads geknackt haben:
Instabridge (über 100 Mio. Downloads) — fiel durch unverschlüsselten Traffic, Tracking, leichte Erkennbarkeit und Konfigurationsmängel auf.
VPN Proxy Master (über 100 Mio. Downloads) — zeigte unverschlüsselten Traffic, Tracking und war leicht zu identifizieren.
Super VPN (über 100 Mio. Downloads) — übertrug Daten teilweise unverschlüsselt.
Thunder VPN (über 100 Mio. Downloads) — gehörte zu den Apps, die die Werbe-ID weitergaben.
Die Download-Zahlen machen die Ergebnisse nur unangenehmer. Diese Apps versteckten sich nicht in obskuren Ecken des Internets: Die Menschen fanden sie im Google Play Store, umgeben von Bewertungen, Download-Zahlen, Privacy-Labels und Häkchen, die sie wie geprüft aussehen ließen.
Googles Schutzmaßnahmen reichen nicht
Google Play stellt durchaus Anforderungen an VPN-Apps. Um im Store zu bleiben, müssen sie die Nutzung des Android-VPN-Dienstes offenlegen und Daten zwischen Gerät und VPN-Endpunkt verschlüsseln, Googles Richtlinien zu Nutzerdaten und Malware einhalten, eine Datenschutzerklärung veröffentlichen und das Formular zur Datensicherheit ausfüllen. Google gibt zudem an, Apps auf Einhaltung dieser Regeln zu prüfen. Aus Nutzersicht wirkt das verständlicherweise so, als hätte Google die App gründlich auf Sicherheit getestet.
Das Problem: Diese Prüfungen sind deutlich weniger umfassend, als die Labels vermuten lassen. Der Bereich „Datensicherheit“ basiert größtenteils auf Selbstauskünften der Anbieter — Google untersucht nicht unabhängig, was die App tatsächlich überträgt. In Googles eigener Dokumentation heißt es wörtlich: „Sie allein sind dafür verantwortlich, vollständige und genaue Angaben im Google Play-Eintrag Ihrer App zu machen.“ Google schreitet zwar bei Verstößen ein, prüft aber keineswegs jede Angabe im Voraus. Was wie ein Gütesiegel aussieht, ist oft nicht mehr als das Wort des Anbieters. Schlimmer noch: Statt Transparenz zu schaffen, können diese Angaben ein falsches Gefühl von Sicherheit vermitteln.
Zum Beispiel steht auf der aktuellen Datensicherheits-Seite von VPN Proxy Master im Play Store, dass Daten während der Übertragung verschlüsselt werden — inklusive eines Häkchens „Independent security review“. Doch genau die von den Forschenden untersuchte Version fiel durch unverschlüsselten Traffic, Tracking und leicht erkennbaren VPN-Datenverkehr auf.
Die aktuelle Datensicherheits-Seite von VPN Proxy Master im Play Store, aufgenommen am 30. Juli 2026.
Die Tests stammten aus dem November 2024, der Store-Eintrag aus dem Juli 2026 — neuere Versionen können sich also unterscheiden.
Aussagekräftiger ist das „Verifiziert“-Badge von Google. Dafür muss ein VPN-Anbieter eine Sicherheitsbewertung für mobile Anwendungen auf Stufe 2 (MASA Level 2) durchlaufen. Das ist die höchste Stufe des Programms: Statt auf Selbstauskünfte zu vertrauen, prüft ein von Google autorisiertes Labor die App manuell nach internationalen Sicherheitsstandards. Auch AdGuard VPN hat diese Prüfung erfolgreich bestanden. Das gibt deutlich mehr Sicherheit als reine Selbstauskünfte — deckt aber natürlich immer nur eine bestimmte App-Version zu einem bestimmten Zeitpunkt ab, nicht jedes spätere Update.
Und dann gibt es noch die Zahl, die wohl am meisten überzeugt: die Downloadzahl. Ein VPN mit 100 Millionen Downloads wirkt erprobt und sicher. Doch selbst wenn die Zahl echt ist, garantiert sie weder eine saubere Funktion noch den Schutz der Privatsphäre. Zudem lassen sich solche Zahlen leicht aufblähen. Wie die Studie zeigt: Popularität sagt nur aus, wie weit verbreitet ein VPN ist — nicht, wie gut es schützt.
Wenn das Produkt kostenlos ist, seid ihr wahrscheinlich das Produkt
Kostenlose VPNs laufen nicht von guten Absichten allein. Server, Bandbreite, Entwicklung und Wartung kosten Geld. Wenn niemand die Rechnung bezahlt, muss es jemand anderes tun — in der Regel Werbetreibende oder Unternehmen, die an den Daten interessiert sind.
Das macht nicht jedes kostenlose VPN unsicher. Manche Anbieter bieten eine begrenzte kostenlose Version an, die durch Abos finanziert wird. Der kostenlose Tarif von AdGuard VPN umfasst zum Beispiel 3 GB Traffic pro Monat, vier Serverstandorte und Unterstützung für zwei Geräte — wer zahlt, bekommt unbegrenzten Traffic und mehr Standorte.
Wie unterscheidet man also ein seriöses Gratis-Angebot von einer Datenfalle? Hier ist eine kleine Checkliste für die Auswahl:
Den Namen googeln. Sucht nach dem VPN und dem Betreiber in Kombination mit Begriffen wie „Leak“, „Datenleck“, „Datenschutz“ oder „Scam“.
Den Anbieter prüfen. Eine echte Firma hat eine ordentliche Website, ein Impressum, klare Kontaktdaten und eine Historie. Entwickler, die Dutzende namenlose VPNs anbieten, sind ein Warnsignal.
Das Geschäftsmodell durchleuchten:. Der Anbieter sollte offenlegen, ob er sich über Abos, Werbung oder anderes finanziert. In der Datenschutzerklärung muss klar stehen, welche Daten erfasst werden.
Mehr als nur Sterne und Downloads anschauen. Lest aktuelle Bewertungen, besonders die kritischen. Aber denkt daran: Auch Millionen Downloads garantieren keine Sicherheit.
Berechtigungen hinterfragen. Wenn ein VPN Zugriff auf Kontakte, Fotos, Mikrofon oder den genauen Standort will, ohne dass es dafür einen plausiblen Grund gibt, sucht euch ein anderes.
Diese Prüfungen dauern nur ein paar Minuten, verraten aber viel mehr als Downloadzahlen oder bunte Siegel. Bevor ihr einem VPN den Schlüssel zu eurer Internetverbindung gebt, solltet ihr wissen, wer auf der anderen Seite sitzt. Ein VPN soll Sorgen nehmen — und keine neuen schaffen.
