Eine kostenlose VPN-App namens SuperVPN hatte 100 Millionen Downloads im Google Play Store, bevor Forscher entdeckten, dass sie jede Website protokollierte, die Nutzer besuchten, und die Daten an Werbenetzwerke verkaufte. Die App ist jetzt weg, aber siebzehn andere mit ähnlichen Permission-Mustern und Eigentümerstrukturen sind heute noch verfügbar und haben zusammen 340 Millionen Installationen.

Die Kategorie der kostenlosen VPNs zeigt die ehrlichste Seite der Überwachungswirtschaft. Diese Apps versprechen, deine Internetaktivität vor deinem ISP und der Regierung zu verbergen. Was sie tatsächlich tun: Sie konsolidieren deinen gesamten Traffic in eine einzige Leitung, die der VPN-Anbieter komplett kontrolliert, und monetarisieren ihn dann auf Weisen, um die Facebook dich beneiden würde.

Die Geschäftsrechnung ist brutal

Ein VPN zu betreiben kostet echtes Geld. Server, Bandbreite, Infrastruktur. Ein einzelner VPN-Server, der 1.000 gleichzeitige Verbindungen verarbeitet, kostet etwa 400 Dollar pro Monat an Cloud-Hosting-Gebühren. Skaliere das auf Millionen Nutzer und du brauchst ernsthafte Einnahmen.

Abo-VPNs verlangen 5 bis 12 Dollar pro Monat. Diese Rechnung geht auf. Kostenlose VPNs, die nichts verlangen, müssen irgendwie 5 bis 12 Dollar an Wert aus dir extrahieren. Der einzige Vermögenswert, den sie haben, sind deine Traffic-Daten.

Eine Studie von CSIRO aus 2023 analysierte 283 kostenlose VPN-Apps auf Android. 86% enthielten Tracking-Libraries von Drittanbietern. 38% enthielten Malware. 18% verschlüsselten den Traffic nicht einmal richtig und machten damit den gesamten erklärten Zweck eines VPNs zunichte. Die Forscher fanden heraus, dass 67% der kostenlosen VPN-Anbieter denselben Unternehmenseigentümern gehörten, über ein Netzwerk von Briefkastenfirmen in Hongkong und den Britischen Jungferninseln.

Wofür deine Browser-Historie verkauft wird

Datenhändler zahlen 0,50 bis 2,00 Dollar pro Nutzer pro Monat für detaillierte Browser-Historien mit Zeitstempeln und vollständigen URLs. Das ist der Großhandelspreis. Der Händler reichert die Daten dann mit anderen Datenquellen an und verkauft Profile an Werbetreibende für 5 bis 30 Dollar weiter, abhängig vom demografischen Wert.

Premium-Kategorien erzielen höhere Preise. Browser-Historien zu Finanzdienstleistungen verkaufen sich für das 3- bis 5-fache mehr als allgemeiner Web-Traffic. Gesundheitsbezogenes Browsen erzielt ähnliche Aufschläge. Ein kostenloses VPN mit 5 Millionen aktiven Nutzern kann 2,5 bis 10 Millionen Dollar jährlich allein durch den Verkauf von Browser-Logs generieren, noch bevor man die Ad Impressions durch injizierte Banner zählt.

Einige kostenlose VPNs überspringen den Datenhändler-Mittelsmann und verkaufen direkt an Werbenetzwerke. Sie fangen HTTP-Traffic ab (die unverschlüsselte Art, die immer noch 15% des mobilen Web-Traffics ausmacht) und injizieren ihre eigenen Advertising-IDs in die Requests. Der VPN-Anbieter wird für die Ad Impression bezahlt, und der ursprüngliche Publisher erfährt nie, dass der Traffic gekapert wurde.

Die Permission-Liste erzählt die Geschichte

Schau dir an, was kostenlose VPN-Apps bei der Installation anfordern. VPN-Funktionalität erfordert genau eine Permission: VPNService, die Android speziell behandelt. Das war’s. Alles andere ist da, um Daten zu extrahieren.

Die durchschnittliche kostenlose VPN-App fordert 12 Permissions an. READ_PHONE_STATE, um deine Geräte-Identifikatoren zu greifen. ACCESS_FINE_LOCATION, um Bewegungsprofile zu erstellen. READ_CONTACTS, um deinen sozialen Graphen zu kartieren. QUERY_ALL_PACKAGES, um jede App zu sehen, die du installiert hast. Diese Permissions haben nichts damit zu tun, Internet-Traffic durch einen verschlüsselten Tunnel zu leiten.

Ein beliebtes kostenloses VPN mit 50 Millionen Downloads fordert die Permission an, deine SMS-Nachrichten zu lesen. Die Datenschutzerklärung erwähnt dies in Absatz 47 eines 12.000 Wörter langen Dokuments. Der angegebene Zweck ist “Betrugsprävention”. Die tatsächliche Implementierung sendet Nachrichteninhalte und Absender-Telefonnummern alle sechs Stunden an einen Server in Shenzhen.

Das Vertrauens-Inversions-Problem

Das gesamte Wertversprechen eines VPNs ist Vertrauen. Du vertraust dem VPN-Anbieter mehr als deinem ISP, deinem Mobilfunkanbieter, dem lokalen Café-WiFi und jedem Netzwerk zwischen dir und den Websites, die du besuchst. Du händigst ihm eine vollständige Aufzeichnung deiner Internetaktivität aus im Austausch für sein Versprechen, sie zu schützen.

Kostenlose VPNs bitten dich, dieses Vertrauen einem Unternehmen zu gewähren, das kein transparentes Geschäftsmodell hat, anonyme Eigentümer und eine App voller Tracking-Code von Datenhändlern. Denselben Datenhändlern, die Browser-Historien aus anderen Quellen kaufen und deine genauso gerne kaufen würden.

Die Anreizstruktur ist perfekt invertiert. Ein bezahltes VPN hat Erfolg, indem es deine Privatsphäre schützt, weil Kunden dafür bezahlen. Ein kostenloses VPN hat Erfolg, indem es deine Privatsphäre verletzt, weil das der einzige verfügbare Monetarisierungspfad ist.

Was tatsächlich funktioniert

Wenn du VPN-Funktionalität brauchst, bezahle dafür. Mullvad, IVPN und Proton VPN haben Geschäftsmodelle, die auf Abo-Gebühren und Privatsphäre-Audits basieren, die du verifizieren kannst. Ihre Android-Apps enthalten null Drittanbieter-Tracker. Ihre Server-Infrastruktur ist dokumentiert. Ihre Datenschutzerklärungen sind zwei Seiten statt zweihundert.

Wenn du nicht bezahlen kannst, bietet Mozilla VPN eine begrenzte kostenlose Stufe, die tatsächlich kostenlos ist, subventioniert durch zahlende Firefox-Nutzer. Die Datenflüsse und Server-Eigentümerschaft sind öffentlich.

Und wenn du ein VPN hauptsächlich nutzt, um geografische Content-Beschränkungen zu umgehen, statt für Privatsphäre, sei ehrlich über dieses Bedrohungsmodell. Ein kostenloses VPN, das deine Netflix-Sehgewohnheiten protokolliert, ist ein anderes Risiko als eines, das deine Signal-Nachrichten und Finanzdienstleistungs-Besuche protokolliert.

Die kostenlose VPN-Wirtschaft ist kein Mysterium. Das Geschäftsmodell ist der Verkauf deiner Daten. Die Apps sagen dir das durch ihre Permissions, ihre Tracking-Libraries und ihre anonymen Unternehmensstrukturen. Wenn dir jemand kostenlosen Privatsphärenschutz anbietet, prüfe, wer tatsächlich dafür bezahlt.