Die EU schreibt Sicherheitsregeln für VPNs: Was EN 304 620 ändert
Zum ersten Mal schreibt die Europäische Union einen eigenen Sicherheitsstandard für VPNs. Er heißt ETSI EN 304 620 und legt grundlegende Cybersicherheitsanforderungen fest, die ein VPN-Produkt erfüllen muss, um in der EU als sicher zu gelten. Der Entwurf ist aus dem Cyber Resilience Act (CRA) hervorgegangen, dem neuen EU-Gesetz für Software und vernetzte Geräte, und schließt eine einfache Lücke: Bislang konnte jeder eine simple Proxy-App veröffentlichen, «Verschlüsselung auf Militärniveau» auf die Store-Seite schreiben und nichts davon belegen. Der Standard ist noch ein Entwurf, die Veröffentlichung wird für die zweite Jahreshälfte 2026 erwartet.
Was EN 304 620 eigentlich ist
Der Standard wird von ETSI, dem Europäischen Institut für Telekommunikationsnormen, im Rahmen eines formellen Normungsauftrags der Europäischen Kommission (C(2025) 618 final) erarbeitet, der die Verordnung (EU) 2024/2847, also den Cyber Resilience Act, unterstützt. Die Einhaltung ist freiwillig, doch sobald der Standard im Amtsblatt der EU zitiert wird, verschafft die Konformität einem VPN eine «Konformitätsvermutung» mit dem CRA. Im Klartext: Wer den Standard befolgt, gilt als gesetzeskonform. An der Erarbeitung waren Unternehmen aus der ganzen Branche beteiligt, darunter Cisco, Google und Palo Alto Networks sowie Verbraucher-VPN-Anbieter wie NordVPN und Surfshark.
Was er von einem VPN verlangt
Der Entwurf erfasst VPN-Client-Apps auf Smartphones und Computern, VPN-Software auf Heimroutern und geschäftliche VPN-Verwaltungswerkzeuge. Er macht aus vertrauten Datenschutzversprechen überprüfbare Anforderungen:
- Echte Verschlüsselung. Der Datenverkehr muss mit solider Kryptografie gegen Machine-in-the-Middle-Angriffe geschützt sein, nicht nur mit einem Etikett auf der Store-Seite.
- Ordentliche Authentifizierung. Endpunkte müssen prüfen, mit wem sie sprechen, mit strengeren Kontrollen für risikoreichere Anwendungen.
- Leckschutz. Die App muss DNS- und IPv6-Lecks verhindern, die trotz aktivem Tunnel verraten, welche Seiten Sie besuchen.
- Nichts am Tunnel vorbei. Routing- und Verkehrsfilter-Voreinstellungen müssen verhindern, dass Daten die verschlüsselte Verbindung verlassen.
- Datenminimierung und geschützte Protokolle. Die Erhebung beschränkt sich auf das tatsächlich Nötige, und Protokolle müssen manipulationssicher sein.
- Sichere Updates und keine bekannten Lücken. Updates werden sicher ausgeliefert, das Produkt erscheint ohne bekannte ausnutzbare Schwachstellen, und Fehler werden über ein formelles Offenlegungsverfahren behandelt.
- Sichere Schlüsselspeicherung und -löschung. Kryptografische Schlüssel und sensible Daten müssen sicher gespeichert und beim Ausmustern eines Geräts gelöscht werden.
Strengere Profile für gefährdete Nutzer
Ein Detail sticht für den Datenschutz hervor. Der Standard behandelt nicht jeden Nutzer gleich: Er definiert Sicherheitsprofile, und die strengsten richten sich an Menschen wie Journalisten und Aktivisten, für die ein DNS-Leck oder eine schwache Voreinstellung keine Kleinigkeit, sondern eine echte Gefahr ist. Für diese Profile sind Leckschutz, Isolation und geschütztes Protokollieren nicht optional, sondern verschärft. Es ist ein seltener Fall, in dem ein Sicherheitsstandard gefährdete Gruppen ausdrücklich benennt.
Was sich für normale Nutzer ändert
Der praktische Effekt ist eine Abkehr von Werbeslogans hin zu überprüfbaren Kontrollen. Ein Anbieter, der den CRA-«sicheren Hafen» will, muss seine «Militärniveau»-Behauptungen mit echter Kryptografie belegen, funktionierenden Leckschutz liefern und einen ordentlichen Umgang mit Schwachstellen pflegen, statt Probleme still zu flicken. Apps, die diese Grundanforderungen nicht erfüllen und in der EU verkauft werden, riskieren mit der Zeit die Entfernung aus den großen Stores.
Warum das wichtig ist
Ein Sicherheitsstandard ist nur so gut wie seine unabhängige Überprüfung, und ein freiwilliger Weg lässt Anbietern stets die Möglichkeit, ihn zu umgehen. Doch vages Datenschutzmarketing in eine konkrete, prüfbare Checkliste zu verwandeln, ist ein echter Gewinn für die Nutzer, denn es schafft einen gemeinsamen Maßstab, an dem sich VPNs vergleichen lassen, statt an Werbetexten. Die Richtung ist klar: In der EU beginnt der Begriff «sicheres VPN» etwas Konkretes zu bedeuten.
