VPN-Apps mit Trackern: Proton hat mehr als 7.000 VPNs untersucht. 85 Prozent der US-Apps enthalten Tracker, einige erfassen den Standort.
Eigentlich sollte ein VPN die Privatsphäre schützen, indem es die eigene IP-Adresse verschleiert und neugierige Blicke vom eigenen Datenverkehr fernhält. Eine Untersuchung von Proton führte aktuell allerdings zu einem alarmierenden Ergebnis: 85 Prozent der VPN-Apps mit Trackern in den USA erfassen Daten über ihre Nutzer. Ein Teil davon erfasst sogar den physischen Standort.
VPN statt Überwachung?
Mit der Nutzung eines VPN bezweckt man, privat zu bleiben. Statt dass Provider, Werbenetzwerke oder andere Dritte Internetnutzer auf Schritt und Tritt verfolgen können, soll eine VPN-Verbindung für Anonymität sorgen. Mit diesem Schutzversprechen werben VPN-Anbieter schließlich um ihre Kundschaft. Offenbar ist diese Zusage jedoch nicht bei allen Anwendungen belastbar.
Proton hat im Rahmen einer mehrmonatigen Untersuchung über 7.000 mobile VPN-Apps weltweit untersucht. Für die Analyse der Tracker griff das Schweizer Unternehmen auf Daten von Exodus Privacy zurück. Die Open-Source-Plattform untersucht Android-Apps anhand von Code-Signaturen auf Analyse-, Werbe- und Profiling-Tracker.
Für den US-Markt nahm Proton 390 VPNs unter die Lupe, die über den Apple App Store und Google Play verfügbar waren. Das Ergebnis fällt ernüchternd aus: 85 Prozent dieser VPNs enthielten Tracker. Rund ein Viertel der untersuchten Anwendungen verfolgte laut Proton zudem aktiv den physischen Standort ihrer Nutzer. Damit werden zahlreiche VPN-Apps mit Trackern selbst zur zusätzlichen Datenquelle für Informationen über ihre Nutzer.
Welche Daten sammeln VPN-Apps mit Trackern?
Tracker sind eigenständige Software-Elemente oder Skripte, die überwiegend das Verhalten von Nutzern analysieren. Ihr Einsatz kann dabei beispielsweise Analysezwecken, Werbung, Absturzberichten oder der Messung der App-Nutzung dienen. Entscheidend ist deshalb, welche Informationen sie erfassen und wohin diese übertragen werden.
Problematisch wird es dort, wo umfangreiche Informationen über den Nutzer erfasst und an Dritte weitergegeben werden. Proton nennt diesbezüglich unter anderem die Google Advertising ID (GAID), das Gerätemodell, den verwendeten Netzwerktyp und den Namen des Mobilfunkanbieters. Rund ein Viertel der untersuchten VPN-Apps erfasst den physischen Standort des Nutzers. Für eine Anwendung, deren zentraler Verkaufsgrund die Privatsphäre ist, dürfte das bei sicherheitsbewussten Nutzern für Skepsis sorgen.
Außerdem stellte Proton fest, dass Tracker aus den untersuchten VPN-Apps Daten unter anderem nach China, Russland und Israel übermittelten. In der von dem Unternehmen ausgewerteten Download-Menge entfielen im Juni 2026 rund 1,5 Millionen Downloads auf Apps, deren Tracker Daten nach China sendeten. Für Russland nennt Proton 1,4 Millionen und für Israel 2,6 Millionen Downloads.
64 VPNs gehören chinesischen Unternehmen
Ein Blick auf die Eigentümer der Anwendungen offenbart, dass von den 390 in den USA betrachteten VPNs 64 chinesischen Unternehmen gehören sollen. Bei 31 dieser VPNs sei die tatsächliche Eigentümerstruktur laut Proton durch Briefkastenfirmen in Ländern wie Singapur, Hongkong und Großbritannien verschleiert worden.
Proton verweist darauf, dass chinesische Unternehmen nach dortigem Recht verpflichtet werden können, Nutzerdaten auf Anfrage staatlichen Stellen zur Verfügung zu stellen. Für einen Dienst, der Zugriff auf besonders sensible Informationen haben kann, ist die Eigentümerstruktur daher ein relevanter Vertrauensfaktor.
Die fraglichen VPN-Anwendungen wurden laut Proton allein im Juni mehr als drei Millionen Mal heruntergeladen. Insgesamt kamen die von Proton untersuchten verdächtigen VPNs in diesem Monat auf mehr als 13,2 Millionen Downloads.
VPN-Apps mit Trackern: Das VPN weiß, wo du bist
Laut Proton sollen 64 VPN-Apps GPS- oder andere Geolokalisierungsdaten aktiv erfassen. Allein diese Anwendungen wurden im Juni mehr als drei Millionen Mal heruntergeladen. Zu den von Proton genannten Beispielen gehören VPN Proxy Master, VPN – Fast VPN Super und X-VPN. Die Untersuchung ergab, dass rund 20 Prozent aller Downloads im untersuchten Datensatz von Anwendungen stammen, die den Standort ihrer Nutzer erfassen.
So funktioniert das Tracking in VPN-Apps
Die Ursache muss laut Proton allerdings nicht in einer gezielten Überwachungsabsicht der jeweiligen VPN-Anbieter liegen. Viele US-amerikanische VPN-Apps hätten kommerzielle Vereinbarungen mit ausländischen Unternehmen geschlossen und deren Tracking-Software in ihre Anwendungen integriert.
Häufig handelt es sich dabei um White-Label-Produkte, also fertige VPN-Lösungen, die unter verschiedenen Markennamen angeboten werden. Die Betreiber können ihre Anwendungen damit über Werbung monetarisieren. Proton sieht darin ein grundsätzliches Problem des mobilen App-Geschäftsmodells. Zahlen die Nutzer nicht für eine Anwendung, können ihre Daten oder ihre Aufmerksamkeit zur Einnahmequelle werden.
Bei einer VPN-Anwendung ist dieses Geschäftsmodell besonders fragwürdig. Schließlich installiert der Nutzer die Software gerade in der Erwartung, dass sie seine Privatsphäre schützt und nicht, um selbst zum Tracking-Objekt zu werden.
Auch die Großen tracken
Bereits 2019 untersuchte der Sicherheitsexperte Mike Kuketz die Android-App von VyprVPN. In Version 2.30.0 fand er unter anderem Tracker von Adjust, Google Analytics, Google Crashlytics und Google Firebase Analytics. Zudem übermittelte die App bei der Registrierung die E-Mail-Adresse des Nutzers an die Marketing-Plattform Iterable.
Auch im vergangenen Jahr sorgten mehrere bekannte VPN-Anbieter für Schlagzeilen. Kuketz fand in den Android-Apps von NordVPN, ExpressVPN, Surfshark, Secure VPN und Thunder VPN jeweils mehrere Analyse- und Tracking-Komponenten. Bei NordVPN und Surfshark waren es jeweils drei, bei den anderen genannten Anwendungen zwei Tracker.
Solche Tracker können eine erhebliche Menge an Informationen verarbeiten. Im Fall von AppsFlyer nannte Kuketz Geräte- und Werbe-IDs, das Android-Modell, die Android-Version, Sprache und Region sowie Angaben zum Netzwerk und Mobilfunkanbieter.
Apple und Google stehen ebenfalls in der Kritik
Proton richtet seine Kritik aber auch gegen Apple und Google. Beide Unternehmen verlangen von Entwicklern u.a. Angaben zur Identität und zu Datenschutzrichtlinien. Nach Darstellung von Proton verlassen sie sich dabei jedoch weitgehend auf die Angaben der Entwickler, anstatt das tatsächliche Verhalten der VPN-Apps unabhängig zu überprüfen.
Proton weist darauf hin, dass Anwender bei einer offiziell im App Store oder bei Google Play erhältlichen Anwendung gewöhnlich kaum damit rechnen, dass diese umfangreiche Tracking-Komponenten enthält. Das Unternehmen fordert deshalb strengere Prüfungen der VPN-Apps. Dazu gehören eine genauere Untersuchung der Eigentümerstrukturen, forensische Sicherheitsprüfungen sowie mehr Transparenz darüber, wo ein VPN-Anbieter tatsächlich ansässig ist und was mit den erhobenen Daten geschieht.
Ein VPN macht noch nicht anonym
Ein seriöser VPN-Dienst kann die IP-Adresse gegenüber Webseiten verbergen und den Datenverkehr zwischen Gerät und VPN-Server verschlüsseln. Dennoch wird dem Betreiber des VPN-Dienstes ein erhebliches Maß an Vertrauen entgegengebracht, da der Datenverkehr über dessen Infrastruktur läuft. Eine sorgfältige Auswahl des VPN-Anbieters ist daher entscheidend. Proton empfiehlt diesbezüglich transparente Eigentumsverhältnisse, einen Unternehmenssitz in einem Land mit starken Datenschutzgesetzen und unabhängige Audits.
Aber auch die Wahl der App spielt eine Rolle. Wer einen VPN-Dienst auf dem Smartphone nutzt, sollte nicht nur auf Preis, Geschwindigkeit und die Zahl der verfügbaren Server schauen. Ebenso interessant ist, welche Tracker und Analysekomponenten in der Anwendung stecken.
