Was ist ein VPN? So funktioniert das virtuelle private Netzwerk

Jedes Gerät im Internet hat eine IP-Adresse, eine Nummer, über die Datenpakete den Weg zu ihm finden – vergleichbar mit einer Postanschrift. Ohne VPN schickt dein Handy oder Laptop seine Anfragen direkt über den Internetanbieter an die Website, und die Website antwortet an deine Adresse. Der Internetanbieter sieht dabei, mit welchen Servern du dich verbindest, und die Website sieht, von welcher Adresse die Anfrage kommt. Welche Adresse das gerade ist, zeigt unsere Anleitung (→ Eigene IP-Adresse herausfinden – und was sie über dich verrät).

Ein VPN schiebt zwischen dich und das Internet eine Zwischenstation. Auf deinem Gerät läuft ein Programm, der VPN-Client (meist einfach die App des Anbieters), das alle ausgehenden Daten verschlüsselt und in neue Pakete verpackt. Diese Pakete gehen an einen VPN-Server, der sie entschlüsselt und an das eigentliche Ziel weiterleitet. Die Antwort nimmt denselben Weg zurück. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt diese verschlüsselte Strecke als «Tunnel»: Für jeden, der dazwischen mitliest, sind die Inhalte unlesbar. NordVPN formuliert es in seiner Erklärung so, der Server ersetze deine sichtbare IP-Adresse durch seine eigene.

Daraus ergibt sich, wer was sieht. Dein Internetanbieter oder der Betreiber des WLAN sieht nur noch, dass dein Gerät eine verschlüsselte Verbindung zu einem bestimmten VPN-Server hält – nicht, welche Websites du dahinter aufrufst. Die Website wiederum sieht die IP-Adresse des VPN-Servers und ordnet dich dem Land zu, in dem dieser Server steht. Der VPN-Anbieter sieht beides: woher du kommst und wohin du gehst. Das ist der Kern der ganzen Technik, und daraus folgen sowohl ihr Nutzen als auch ihre Grenzen.

Damit Client und Server einander vertrauen und einen gemeinsamen Schlüssel haben, führen sie zu Beginn einen Handshake durch: Sie weisen sich gegenseitig aus und einigen sich auf die Schlüssel, mit denen die Sitzung verschlüsselt wird. Wie genau das abläuft, legt das Protokoll fest – das Regelwerk, das beide Seiten sprechen müssen, so wie HTTPS das Regelwerk zwischen Browser und Website ist. Ursprünglich wurden VPN laut BSI vor allem im Berufsleben genutzt, um Home-Office-Arbeitsplätze und Aussendienst sicher ans Firmennetz anzubinden oder Standorte zu vernetzen. Dass Privatpersonen ein Abo bei einem kommerziellen Dienst abschliessen, um mit dessen Servern zu surfen, ist eine spätere Entwicklung – aber heute die Form, in der die meisten dem Begriff begegnen.

Firmen-VPN: Das ist die klassische Form. Das Unternehmen betreibt einen VPN-Server am Rand seines Netzes, Mitarbeitende verbinden sich von zu Hause oder von unterwegs damit und sind dann so im Firmennetz, als sässen sie im Büro. Das britische National Cyber Security Centre (NCSC) beschreibt in seiner Geräte-Sicherheitsleitlinie genau diesen Zweck – sichere Verbindungen zwischen Geräten an physisch getrennten Orten – und empfiehlt Organisationen dafür IPsec mit Zertifikaten und ein VPN, das sich automatisch verbindet, damit niemand vergisst, es einzuschalten. Mit Streaming oder Anonymität hat diese Spielart nichts zu tun; sie schützt den Zugang zu internen Systemen.

VPN ins eigene Heimnetz: Viele Router können selbst VPN-Server sein. Die FRITZ!Box unterstützt laut Hersteller fritz.com sowohl IPsec als auch WireGuard; mit WireGuard genügt auf Smartphone oder Tablet laut fritz.com das Scannen eines QR-Codes, und danach erreichst du von unterwegs deinen Netzwerkspeicher, deine Kameras oder dein Smart Home, als wärst du zu Hause. Das BSI nennt genau das als Vorteil: Smart-Home-Geräte lassen sich so über den eigenen Router steuern, ohne Umweg über eine Hersteller-Cloud und ohne offene Portfreigaben, die ein Sicherheitsrisiko wären. Deine öffentliche IP-Adresse ist in diesem Fall die deines Heimanschlusses – du surfst also aus Sicht der Websites von zu Hause aus, auch wenn du im Ausland sitzt.

Kommerzielle VPN-Dienste: NordVPN, Surfshark, Proton VPN, ExpressVPN, CyberGhost und viele weitere betreiben Tausende Server in Dutzenden Ländern und vermieten den Zugang im Abo. Du installierst die App, wählst ein Land, und ab dann läuft dein Verkehr über einen Server dort. Das BSI nennt als Kriterien eine schnelle Anbindung auch bei hoher Auslastung und mehrere Serverstandorte – und weist darauf hin, dass für Server im Ausland kein deutsches Datenschutzrecht gilt und die Wahl des Anbieters «Vertrauenssache» sei, weil der gesamte Datenverkehr über dessen Server läuft. Um diese dritte Spielart geht es im Rest dieses Artikels, wenn nichts anderes steht.

Was kein VPN ist: Ein Browser-Plugin, das nur den Verkehr des Browsers umleitet, ist laut BSI kein vollwertiges VPN – Mail-Programm, Messenger und andere Apps laufen daran vorbei; für den gesamten Netzwerkverkehr braucht es eine eigene VPN-Software. Ein einfacher Proxy leitet Anfragen ebenfalls um, verschlüsselt sie aber nicht zwingend. Tor ist ein eigenes Netzwerk mit mehreren Zwischenstationen und einem anderen Sicherheitsmodell (dazu weiter unten). Und ein VPN ist kein Virenschutz: Es prüft keine Downloads, erkennt keine Schadsoftware und warnt nicht vor gefälschten Websites.

Das Protokoll legt fest, wie Client und Server den Tunnel aufbauen, welche Verschlüsselung sie verwenden und wie sie Schlüssel erneuern. Für dich als Nutzer ist es meist ein Menüpunkt in der App, der standardmässig auf «Automatisch» steht. Trotzdem lohnt es sich, die drei grossen Namen zu kennen, weil sie sich in Geschwindigkeit, Alter und Prüfbarkeit deutlich unterscheiden.

WireGuard ist das jüngste der drei und beschreibt sich auf wireguard.com als «extremely simple yet fast and modern VPN». Es verzichtet auf Wahlmöglichkeiten bei der Kryptografie und legt sich auf einen festen Satz moderner Verfahren fest: ChaCha20 mit Poly1305 für die Verschlüsselung, Curve25519 für den Schlüsselaustausch, BLAKE2s zum Hashen, SipHash24 und HKDF. Der Handshake folgt dem Noise-Protokoll-Framework und braucht laut Protokollbeschreibung nur eine Nachricht hin und eine zurück, also einen einzigen Round-Trip; die Sitzungsschlüssel werden «alle paar Minuten» erneuert, sodass ein später gestohlener Schlüssel vergangene Sitzungen nicht entschlüsselt (Perfect Forward Secrecy). Alle Pakete laufen über UDP. Das Projekt ist Teil des Linux-Kernels und läuft laut wireguard.com auch auf Windows, macOS, BSD, iOS und Android; es soll in sehr wenigen Codezeilen umsetzbar und damit von Einzelpersonen prüfbar sein.

OpenVPN ist der Veteran. Die Projektseite beschreibt es als vollwertige Open-Source-Lösung für SSL-VPN, deren Sicherheitsmodell auf SSL beziehungsweise TLS aufsetzt – derselben Technik, die auch HTTPS im Browser absichert. Für den Datentransport steht ein einzelner UDP- oder TCP-Port zur Verfügung, was OpenVPN in restriktiven Netzen flexibler macht als reine UDP-Protokolle. Verschlüsselt wird über die Bibliothek OpenSSL, die Integrität prüft HMAC. OpenVPN läuft auf Linux, BSD, macOS und Windows, ist gut dokumentiert und seit mehr als zwei Jahrzehnten in Firmen und bei VPN-Diensten im Einsatz; dafür gilt es als langsamer und umfangreicher. NordVPN stellt in seinem Blog rund 400'000 Codezeilen bei OpenVPN einer deutlich kleineren Basis bei seinem WireGuard-Ableger NordLynx gegenüber (rund 10'000 Zeilen laut NordVPN) – kleinerer Code ist leichter zu prüfen und zu warten.

IKEv2/IPsec ist der Standard, den Betriebssysteme von Haus aus mitbringen. Laut Apple sind in iOS die Protokolle IKEv2, L2TP über IPsec und Cisco IPsec eingebaut (Stand 22.10.2026); die FRITZ!Box bezeichnet IPsec als von vielen Betriebssystemen direkt unterstützt, und das NCSC UK empfiehlt Organisationen ausdrücklich IPsec für den VPN-Zugang, weil es ein offener, in Betriebssysteme integrierter Standard ist – mit dem Nachteil, dass manche Fremdnetze IPsec-Verkehr blockieren. Wer ein VPN ohne App einrichten will, etwa zum Heimrouter oder zu einem Anbieter, der das anbietet, landet meist bei IKEv2; wie das auf dem iPhone geht, zeigt (→ VPN auf dem iPhone einrichten – mit App oder von Hand).

Dazu kommen Eigenentwicklungen der Anbieter, die in der Regel Varianten der genannten Protokolle sind. NordLynx von NordVPN baut laut NordVPN-Blog auf WireGuard auf und ergänzt ein doppeltes NAT-System: Weil WireGuard in seiner Grundform jedem Nutzer eine feste interne IP-Adresse auf dem Server zuordnen würde, teilen bei NordLynx alle Nutzer eines Servers nach aussen dieselbe lokale Adresse, während eine zweite Schnittstelle pro Sitzung eine dynamische Adresse vergibt, die mit der Sitzung wieder verschwindet. Für Länder mit starker Zensur empfiehlt NordVPN sein Protokoll NordWhisper, weil WireGuard-Verkehr einen erkennbaren Fingerabdruck hat und UDP in Universitäts- oder Firmennetzen manchmal blockiert ist. Solche Zusatzprotokolle sind kein Qualitätsmerkmal an sich; entscheidend bleibt, dass die Basis offen dokumentiert und geprüft ist.

Öffentliches WLAN absichern: Im Hotel, am Flughafen oder im Café teilst du das Netz mit Fremden. Das Schweizer Bundesamt für Cybersicherheit BACS beschreibt in seinem Wochenrückblick 29/2024 die Risiken: unverschlüsselte oder schwach gesicherte Hotspots, über die Zugangsdaten und Kreditkartendaten abgefangen werden können, sowie gefälschte Zugangspunkte mit vertrauenswürdig klingenden Namen – als Beispiel nennt das BACS einen Fall aus Australien mit falschen Netzen an Flughäfen und in Flugzeugen. Die Empfehlung des BACS lautet wörtlich: «Verwenden Sie, wenn möglich, ein ‹Virtual Private Network (VPN)›. Dieses verschlüsselt den gesamten Datenverkehr, so dass Unbefugte nicht darauf zugreifen können.» Das BSI formuliert es ähnlich: Ein VPN verringere das Risiko, von anderen Nutzern im selben Netz ausgespäht zu werden. Beide Behörden ergänzen allerdings, dass man in öffentlichen Netzen trotzdem keine sensiblen Daten wie E-Banking bearbeiten und auf HTTPS achten sollte.

Den Internetanbieter aussen vor lassen: Ohne VPN sieht dein Internet- oder Mobilfunkanbieter, zu welchen Servern du dich verbindest. Mit VPN sieht er nur noch den Tunnel zum VPN-Server. Für wen das zählt, ist eine Frage der eigenen Abwägung – in der Schweiz und in der EU gibt es dafür selten einen zwingenden Grund, auf Reisen in Länder mit umfassender Überwachung kann es relevant sein. Wichtig ist das Gegenstück: Was der Internetanbieter nicht mehr sieht, sieht nun der VPN-Anbieter.

Standort wechseln: Weil die Website die IP-Adresse des VPN-Servers sieht, ordnet sie dich dem Land des Servers zu. Das BSI nennt die Umgehung von Geo-Blocking ausdrücklich als Einsatzzweck, weist aber auf lizenzrechtliche Gründe und die Gesetzeslage hin. Typische Fälle sind das eigene Streaming-Abo in den Ferien, Nachrichtenseiten, die aus dem Ausland gesperrt sind, oder Preisvergleiche, bei denen Anbieter je nach Land unterschiedliche Preise zeigen. Eine Garantie ist das nicht, und die Nutzungsbedingungen der Dienste können das Umgehen von Länderbeschränkungen untersagen – das solltest du vorher nachlesen.

Fernzugriff und Tracking-Schutz: Mit einem VPN ins Heimnetz erreichst du von unterwegs deine Geräte zu Hause, ohne sie ins offene Internet zu stellen – das BSI nennt die Vermeidung offener Portfreigaben als Sicherheitsgewinn. Gegen Werbe-Tracking hilft ein VPN nur in einem Punkt: Deine IP-Adresse, die Werbenetzwerke als eines von mehreren Merkmalen zur Wiedererkennung nutzen, wechselt mit jedem Server. Cookies, Geräte-Fingerabdruck und Logins bleiben davon unberührt; wie du Cookies loswirst, steht in (→ Cache und Cookies löschen – in jedem Browser, am Computer und am Handy). Wer vor allem die Frage klären will, ob er überhaupt ein VPN braucht, findet die Abwägung in unserem Ratgeber (→ Brauchst du 2026 wirklich ein VPN? Der ehrliche Ratgeber).

Keine Anonymität: Ein VPN verschiebt das Wissen, es löscht es nicht. Proton VPN schreibt in seinem eigenen Blog, der VPN-Anbieter kenne deine echte IP-Adresse, bearbeite deine DNS-Anfragen und sehe die besuchten Websites – deshalb müsse man ihm vertrauen. Und sobald du bei Google, Facebook, Instagram oder deinem Mailkonto eingeloggt bist, weiss der Dienst ohnehin, wer du bist; Proton formuliert es so, Google könne dann «all aspects of your browsing» verfolgen, nur die aktuelle IP-Adresse bleibe verborgen. Dazu kommen Cookies und Browser-Fingerprinting, also die Wiedererkennung über kleine Unterschiede zwischen Browsern und Geräten – beides lässt sich laut Proton mit einem VPN nicht verhindern.

Kein Schutz vor Phishing, Malware und schwachen Passwörtern: Ein VPN prüft nicht, ob die Website, auf der du gerade deine Kreditkarte eingibst, echt ist. Wer auf eine gefälschte Hotel- oder TWINT-Seite hereinfällt, tut das mit und ohne VPN gleichermassen – ein aktuelles Beispiel aus der Schweiz beschreibt unsere News (→ Hotel-Phishing mit 7,5 Prozent «Cashback» zielt auf TWINT-Konten – das BACS warnt). Proton bringt es auf den Punkt: «A VPN can't overcome a compromised device.» Gegen Schadsoftware brauchst du Updates und einen Virenschutz, gegen Kontoübernahmen starke, einmalige Passwörter und Zwei-Faktor-Authentifizierung (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey) – siehe (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist) und unseren Vergleich (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich).

Die Verschlüsselung endet am Server: Das BSI betont, dass die VPN-Verschlüsselung nur bis zum VPN-Server beziehungsweise Router reicht und dahinter nicht gilt. Von dort bis zur Website schützt dich das, was dich auch ohne VPN schützt: HTTPS, erkennbar am Schloss in der Adresszeile, das heute auf dem weitaus grössten Teil der Websites Standard ist. Deshalb sagt das BSI ausdrücklich, ein VPN ersetze weder HTTPS noch verschlüsselte Messenger. Umgekehrt heisst das auch: Was HTTPS schon verschlüsselt – Passwörter, Inhalte, Zahlungsdaten – wird durch ein VPN nicht noch sicherer, sondern nur zusätzlich vor dem WLAN-Betreiber und dem Internetanbieter verborgen, die ohne VPN zumindest die Zieladresse sehen.

Langsamer und ein neuer Vertrauter: Jeder Umweg über einen zusätzlichen Server kostet Zeit. Das BSI schreibt, die Übertragungsgeschwindigkeit sinke meist; NordVPN räumt ein, die Geschwindigkeit könne «a little» sinken, abhängig von Server, Netzauslastung und Protokoll. Ein naher Server und ein modernes Protokoll halten den Verlust klein, ein weit entfernter Server und ein älteres Protokoll vergrössern ihn. Und schliesslich die Vertrauensfrage: Du tauschst einen Internetanbieter, der Schweizer Recht unterliegt, gegen ein Unternehmen, dessen Server irgendwo auf der Welt stehen. Das BSI nennt die Anbieterwahl deshalb «Vertrauenssache» – und genau hier kommen No-Logs-Versprechen und Audits ins Spiel.

Kill Switch (Notabschaltung): Bricht die VPN-Verbindung unbemerkt ab – etwa beim Wechsel vom WLAN ins Mobilfunknetz –, würde dein Gerät sonst einfach ungeschützt weitersurfen und deine echte IP-Adresse preisgeben. Ein Kill Switch verhindert das: Er blockiert laut NordVPN, Proton VPN und Surfshark den Internetverkehr, bis der Tunnel wieder steht. NordVPN unterscheidet einen System-Level-Kill-Switch, der sofort den gesamten Verkehr kappt, von einem App-Level-Kill-Switch, der nur ausgewählte Programme stoppt; auf Android nutzt NordVPN laut eigener Seite ab Android 7 die Systemfunktion «Always on VPN». Proton VPN bietet neben dem Standard-Kill-Switch, der nur bei unbeabsichtigtem Abbruch greift, einen «Advanced Kill Switch», der Internet grundsätzlich nur mit aktiver Proton-Verbindung erlaubt und einen Neustart überlebt; auf iOS findest du die Funktion laut Proton unter den Einstellungen bei «Security Options». Surfshark nennt seine zwei Stufen «Soft» (nur bei unerwartetem Abbruch) und «Strict» (immer, wenn das VPN aus ist). Wer das VPN ernsthaft nutzt, sollte den Kill Switch einschalten; wer es nur für Streaming braucht, kann ihn weglassen, weil er bei instabiler Verbindung stört.

No-Logs (keine Protokolle): Damit versprechen Anbieter, nicht aufzuzeichnen, was du über ihre Server tust. Proton VPN formuliert es auf seiner Seite so: «We do not keep any logs of your online activity and do not store any metadata» – also keine besuchten Websites, keine Sitzungsdauer, keine IP-Adresse, keine Verbindungslogs. Proton begründet die Haltung mit dem Schweizer Recht, das VPN-Anbieter nicht zur Vorratsdatenspeicherung verpflichte; der Sitz ist Genf. Entscheidend ist aber: Ein No-Logs-Versprechen ist zunächst nur eine Behauptung des Anbieters. Du kannst nicht selbst prüfen, was auf fremden Servern gespeichert wird.

Audits (unabhängige Prüfungen): Deshalb lassen seriöse Anbieter ihre Aussagen von aussen prüfen. Ein Audit ist ein Gutachten einer Prüfgesellschaft oder Sicherheitsfirma, die Server, Konfigurationen oder Apps untersucht und bestätigt, dass die Praxis zur Behauptung passt – immer nur für den Zeitpunkt der Prüfung. Proton VPN nennt auf seiner No-Logs-Seite Prüfungen durch die Sicherheitsfirma Securitum und stellt seine Apps vollständig quelloffen, sodass jeder den Code einsehen kann. Surfshark verweist auf Prüfungen seiner No-Logs-Angaben durch Deloitte 2023 und im Juni 2025 (Stand 22.10.2026). Dazu kommt der Gerichtsstand, also das Land, dessen Gesetze für den Anbieter gelten: Surfshark B.V. sitzt in Amsterdam, die Proton AG in Genf (Stand 22.10.2026). Wie die einzelnen Anbieter mit Sitz, Prüfungen und Protokollierung umgehen, steht in unseren Auswertungen (→ Surfshark Test 2026: Günstig, aber auch gut?) und (→ NordVPN Test 2026: Lohnt sich der Marktführer noch?).

Dass Vertrauen keine Einbahnstrasse ist, zeigt ein Vorfall vom Spätsommer 2026. Surfshark berichtete in einem Incident-Report vom September 2026, dass ein interner Testserver der Entwicklungsteams durch eine Fehlkonfiguration aus dem Internet erreichbar war; erste Hinweise gab es laut Surfshark am 31. August, am 2. September wurde der Vorfall bestätigt und eingedämmt. Zugänglich waren laut Bericht interne Engineering-Unterlagen, Teile von Systemdateien, Konfigurationen und Build-Zugangsdaten; «no user data and VPN services were affected», schreibt Surfshark, Nutzer müssten nichts tun, alle betroffenen Zugangsdaten seien ausgetauscht worden. Die Untersuchung führte Surfshark selbst, ein unabhängiges Audit wurde angekündigt. Wir geben das neutral wieder: Der Bericht spricht für Transparenz, zeigt aber auch, dass selbst geprüfte Anbieter Fehler machen – und dass du bei der Anbieterwahl auf den Umgang mit solchen Vorfällen achten solltest.

iCloud Private Relay: Apples Dienst für iCloud+-Abonnenten wird oft mit einem VPN verwechselt, ist aber etwas anderes. Laut Apple-Support schützt Private Relay das Surfen in Safari: Anfragen laufen über zwei getrennte Relays, das erste von Apple betrieben, das deine IP-Adresse sieht, aber dank verschlüsselter DNS-Anfragen nicht, welche Website du aufrufst; das zweite von einem Drittanbieter betrieben, das eine temporäre IP-Adresse vergibt und die Website kontaktiert. Ziel ist laut Apple, dass «no single party — not even Apple — can see both who you are and what sites you're visiting». Der Unterschied zum VPN: Es gilt nur für Safari und nicht für andere Apps, du kannst keinen Standort wählen, und der Dienst ist laut Apple nicht in allen Ländern verfügbar. Für den Alltag im Browser ist es ein guter, unauffälliger Schutz der IP-Adresse – für öffentliches WLAN mit allen Apps oder für einen anderen Standort brauchst du ein VPN.

Tor: Das Tor-Netzwerk verfolgt ein anderes Ziel als ein VPN, nämlich Anonymität ohne einen einzelnen Betreiber, dem du vertrauen musst. Laut der Tor-Projekt-Hilfe leitet der Tor Browser den Verkehr über drei zufällig gewählte Server («relays»); der letzte, das Exit-Relay, schickt die Anfrage ins offene Internet. Dein Internetanbieter sieht nicht, welche Websites du besuchst, und die Website sieht nur eine Verbindung aus dem Tor-Netzwerk, nicht deine Adresse. Der Tor Browser wehrt sich zusätzlich gegen Fingerprinting, speichert keine Chronik und löscht Cookies nach jeder Sitzung. Der Preis ist Komfort: Der Schutz gilt nur im Tor Browser selbst – das Tor-Projekt rät ausdrücklich davon ab, Tor mit anderen Browsern zu verwenden –, und einen wählbaren Standort wie bei einem VPN gibt es nicht. Tor richtet sich laut Projekt an Menschen, die sich gegen Überwachung und Zensur schützen müssen, nicht an Streaming-Nutzer.

Proxy: Ein Proxy ist ein Stellvertreter-Server, der Anfragen in deinem Namen stellt. Anders als ein VPN wird er meist pro Programm eingerichtet – etwa nur im Browser – und verschlüsselt den Weg dorthin nicht zwingend. Browser-Erweiterungen, die sich «VPN» nennen, sind laut BSI häufig genau das: Sie verschlüsseln nur den Webverkehr, während alle anderen Apps direkt ins Netz gehen. Wer den gesamten Verkehr eines Geräts schützen will, braucht laut BSI eine eigene VPN-Software.

Firmen-VPN: Hat dir dein Arbeitgeber ein VPN auf dem Laptop eingerichtet, dient es dem Zugriff auf interne Systeme und oft auch der Überwachung des Verkehrs durch die Firma – das NCSC UK rät Organisationen ausdrücklich zu einem erzwungenen VPN ohne Split-Tunnelling, damit Apps die Unternehmensüberwachung nicht umgehen können. Privat surfst du über ein Firmen-VPN also aus Sicht des Internets vom Standort der Firma aus, und die IT kann sehen, was du tust. Im Zweifel nutzt du das Firmen-VPN nur für die Arbeit und ein privates Gerät für Privates.

Ein VPN zu nutzen ist in der Schweiz, in Deutschland, Österreich und den übrigen EU-Staaten erlaubt; Firmen, Behörden und Universitäten setzen es täglich ein, und Heimrouter wie die FRITZ!Box bringen die Funktion ab Werk mit. Was verboten ist, bleibt auch mit VPN verboten: Wer über einen ausländischen Server urheberrechtlich geschützte Inhalte unerlaubt lädt oder Betrug begeht, macht sich nicht weniger strafbar, nur weil die IP-Adresse eine andere ist. Das ist keine Rechtsberatung, sondern der Grundsatz, auf den auch das BSI verweist, wenn es beim Geo-Blocking lizenzrechtliche Gründe und die Gesetzeslage anmahnt.

Anders sieht es bei Streaming-Diensten aus. Rechtlich ist das Einloggen ins eigene Abo aus dem Ausland kein Vergehen, vertraglich kann der Anbieter in seinen Nutzungsbedingungen das Umgehen von Länderbeschränkungen untersagen und im äussersten Fall das Konto sperren. Was genau dein Dienst dazu sagt, steht in dessen Bedingungen – wir haben sie für diesen Artikel nicht einzeln geprüft und geben deshalb keine Zusage, bei welchem Dienst was funktioniert.

Auf Reisen gilt: Einige Staaten beschränken oder verbieten VPN. Das BSI nennt als Beispiel China und rät, das bei Reisen zu beachten; das BACS empfiehlt in seinen Hinweisen für Auslandsreisen allgemein, sich vor der Abreise über länderspezifische Auflagen zu informieren und die Reisehinweise des EDA zu beachten, und warnt, dass Grenzbehörden in einigen Ländern Festplatten untersuchen und einbehalten dürfen. Praktisch heisst das: Vor einer Reise in solche Länder informieren, die App gegebenenfalls vorher installieren, und nicht darauf bauen, dass sie dort funktioniert. Für die Verbindung selbst empfiehlt das BACS übrigens, statt fremdem WLAN lieber die eigene mobile Datenverbindung zu nutzen – wie das in der EU mit dem Schweizer Abo oder einer Reise-eSIM günstig geht, erklärt (→ EU-Roaming aus der Schweiz 2026: So entgehst du der Kostenfalle), und was eine eSIM überhaupt ist, steht in (→ Was ist eine eSIM? So funktioniert die digitale SIM-Karte).

Ein VPN-Dienst kostet Geld: Server in vielen Ländern, Bandbreite, Entwicklung der Apps. Wer das gratis anbietet, muss es anders finanzieren. Das BSI warnt, bei kostenlosen Angeboten gebe es oft Funktionseinschränkungen oder schlechtere Verbindungsqualität, und Nutzer bezahlten häufig mit ihren Daten, die etwa zu Marketingzwecken ausgewertet werden könnten. Bei einem Dienst, der per Definition deinen gesamten Verkehr sieht, ist das ein schlechter Tausch. Das BACS erwähnt in seinem Wochenrückblick zwar, dass es kostenlose VPN-Apps in den Stores gebe, nennt aber keine Namen und keine Kriterien.

Eine Ausnahme, die sich belegen lässt, ist Proton VPN Free: Laut Proton-Support (Stand 22.10.2026) gibt es die Gratis-Stufe ohne Datenlimit und ohne Werbung; Einschränkungen sind ein einzelnes Gerät und Gratis-Server in zehn Ländern (Niederlande, Japan, Rumänien, Polen, Norwegen, Schweiz, Singapur, Mexiko, Kanada, USA). Für den gelegentlichen Schutz im Hotel-WLAN reicht das; wer einen bestimmten Standort oder mehrere Geräte braucht, kommt um ein Abo nicht herum. Der Kill Switch ist laut Proton auch in der Gratis-Stufe enthalten.

Bei den Bezahl-Diensten liegen die Preise bei Zweijahresverträgen nah beieinander, Monatsabos kosten ein Mehrfaches. NordVPN verlangt bei «2 Jahre + 3 Monate» umgerechnet 3,49 $ pro Monat für Basic, 3,99 $ für Complete und 6,99 $ für Prime, das Monatsabo 14,99 $; inbegriffen sind 10 Geräte, über 7'100 Server in 150 Ländern und 30 Tage Geld-zurück-Garantie (Stand 22.10.2026, bestätigt 27.10.2026). Surfshark kostet bei gleicher Laufzeit 2,49 $ (Starter und One) beziehungsweise 3,99 $ (One+) pro Monat und erlaubt unbegrenzt viele Geräte bei über 4'500 Servern in 100 Ländern (Stand 22.10.2026). Proton VPN Plus liegt bei 24 Monaten bei 3,49 $ und im Monatsabo bei 9,99 $ für 10 Geräte (Stand 22.10.2026); ExpressVPN nennt bei «2 Jahre + 4 Monate» 2,99 $ für Basic in 113 Ländern, CyberGhost bei «2 Jahre + 2 Monate» 2,19 $ bei über 9'500 Servern in 100 Ländern (Stand 12.10.2026). Alle Preise werden auf den Anbieterseiten in US-Dollar angezeigt; die Details und die Bedingungen bei Verlängerung stehen in den Auswertungen (→ NordVPN Test 2026: Lohnt sich der Marktführer noch?) und (→ Surfshark Test 2026: Günstig, aber auch gut?).

Was fair ist, hängt davon ab, was du brauchst. Für den reinen WLAN-Schutz ab und zu genügt Proton VPN Free oder – auf dem iPhone in Safari – Apples Private Relay im iCloud+-Abo. Wer regelmässig im Ausland auf das eigene Streaming-Abo zugreifen will, Familie und mehrere Geräte versorgt oder Wert auf geprüfte No-Logs-Angaben legt, ist mit einem Zweijahresabo für umgerechnet rund 2,50 bis 4 $ im Monat gut bedient; das Monatsabo lohnt sich nur für eine einzelne Reise. Und wer vor allem Anonymität sucht, ist bei Tor besser aufgehoben als bei jedem Abo. Welche Variante zu dir passt, klärt unser Ratgeber (→ Brauchst du 2026 wirklich ein VPN? Der ehrliche Ratgeber); läuft gerade eine Aktion wie der NordVPN Black Friday, fassen wir sie unter (→ NordVPN Black Friday 2026: Was die Aktion wirklich bringt) zusammen.