Ein No-Logs-VPN-Leak hat einen der deutlichsten Widersprüche des Jahres geliefert. Am 23. Juli 2026 tauchte in einem Cybercrime-Forum eine 17 GB grosse Datenbank auf, die SplitVPN zugeschrieben wird - einem russischen Dienst, der früher als NotVPN firmierte und als Mittel zur Umgehung von Internetsperren verkauft wurde. Eine am 29. Juli veröffentlichte Analyse ergab: Der Dienst schrieb über ein Jahr lang durchgehend Verbindungsprotokolle, während sein eigenes Marketing versprach, keine zu speichern.
Was tatsächlich in der Datenbank steht
Das Forschungsteam von Mysterium erhielt eine Kopie des Dumps und glich Tabellenstrukturen, Zähler und Stichproben mit der Rohdatei ab. Die bestätigten Zahlen:
- 23,4 Millionen Nutzerdatensätze.
- 13,6 Millionen Gerätedatensätze.
- 2,6 Millionen Zahlungsdatensätze.
- Fast 58 Millionen Zeilen in einer Tabelle namens deviceProxy.
Diese letzte Tabelle ist die eigentliche Geschichte. Jede Zeile verknüpft ein Gerät mit einem bestimmten VPN-Server und dem exakten Verbindungszeitpunkt. Die Einträge laufen durchgehend von Juni 2025 bis zum 21. Juli 2026, dem Tag, an dem die Datenbank abgezogen wurde. Daneben stehen E-Mail-Adressen, zuletzt gesehene IP-Adressen, Land, Abostatus, maskierte Kartennummern mit Beträgen und Zeitstempeln, Authentifizierungstoken, Gerätekennungen, verknüpfte Telegram-Konten und Apple-IDs, WireGuard-Peer-Daten, Server-Metriken sowie fünf Administratorkonten mit bcrypt-Passwort-Hashes.
Was der Dienst versprochen hat
Der Werbetext lässt keinen Spielraum. NotVPN teilte seinen Nutzern mit: "No logs or history: We never store your activity or connection logs. 100% privacy guaranteed" - keine Protokolle und keine Historie, wir speichern niemals Aktivitäts- oder Verbindungsprotokolle, 100 Prozent Privatsphäre garantiert. Die Tabelle deviceProxy ist per Definition ein Verbindungsprotokoll. Sie wurde noch am Tag des Abflusses befüllt.
Die Behauptung, die der Prüfung nicht standhielt
Als das Archiv zum Verkauf angeboten wurde, bewarb der Verkäufer es als Sammlung der Ziele, zu denen der Datenverkehr der Nutzer geleitet wurde, also als Browserverlauf. Dieser Teil hielt nicht. Die Analyse fand in der Datenbank weder besuchte Webadressen noch einen Browserverlauf. Gefunden wurden Metadaten: wer sich verbunden hat, von welcher Adresse, mit welchem Server, zu welchem Zeitpunkt.
Dieser Unterschied ist entscheidend, und er wirkt in eine unangenehme Richtung. Metadaten gelten gemeinhin als die harmlose Hälfte der Überwachung. Für jemanden, der per VPN gesperrte Nachrichten liest, sind sie das nicht. Eine E-Mail-Adresse in Verbindung mit einer IP und einem präzisen Verbindungszeitpunkt verrät nicht, was jemand gelesen hat, beweist aber, dass diese Person zu einem bestimmten Moment von einem bestimmten Ort aus ein Umgehungswerkzeug genutzt hat. Wo genau diese Nutzung das Problem ist, spielt der Inhalt keine Rolle mehr.
Wen es trifft
Laut Verkäufer konzentriert sich die Nutzerbasis auf Russland, Iran, Indien und Myanmar. Das ist kein Zufall: Genau dort erzeugt staatliche Filterung die Nachfrage nach Umgehungswerkzeugen. Allein Russland ist im vergangenen Jahr von Drosselung zu einem Massenbann von MTProto-Proxys und VPN-Endpunkten übergegangen, und der Staat baut parallel eigene Sichtbarkeit darüber auf, wer was nutzt - bis hin zu einem staatlich gestützten Messenger, der beim Erkennen von VPN-Nutzung und beim Protokollieren privater Chats ertappt wurde.
Am härtesten trifft dieses Leck damit jene, die den grössten Grund hatten, dem Versprechen auf dem Etikett zu glauben. Sie wählten ein Produkt, das über Privatsphäre verkauft wurde, in Regionen, in denen es reale Folgen hat, als VPN-Nutzer erkannt zu werden - und das Produkt hob ein Jahr lang Aufzeichnungen auf, die genau das belegen.
Warum "keine Logs" eine Behauptung ist, keine Tatsache
Eine No-Logs-Richtlinie bleibt ein Satz auf einer Website, bis etwas sie auf die Probe stellt. Gewicht bekommt sie nur durch dreierlei: ein unabhängiges Audit einer namentlich genannten Firma mit veröffentlichtem Bericht, eine Historie von Gerichtsbeschlüssen oder Beschlagnahmen, bei denen der Anbieter tatsächlich nichts herausgeben konnte, und technische Entscheidungen wie Server ohne dauerhaften Speicher, die Aufbewahrung konstruktiv erschweren. Ein Slogan auf einer Landingpage ist nichts davon.
Ein bezahltes Abo schliesst diese Lücke ebenfalls nicht. Dieser Dienst nahm Geld, und 2,6 Millionen Zahlungsdatensätze liegen im selben Dump. Geld kauft ein Produkt, aber keine Überprüfung. Dasselbe Versagen an Rechenschaft macht kostenlose VPNs fragwürdig und oft gefährlich, und der Mechanismus ist bei jedem Preis derselbe: ein Anbieter, den niemand geprüft hat, hält Daten, die er nicht halten wollte.
Die Forscher, die den Dump untersucht haben, raten allen, die NotVPN oder SplitVPN genutzt haben, die zugehörige E-Mail-Adresse und IP als kompromittiert zu behandeln: Passwörter überall dort ändern, wo dieselbe Adresse verwendet wurde, Zwei-Faktor-Authentifizierung aktivieren, gezieltes Phishing mit Bezug zur VPN-Nutzung erwarten und die Kartenabrechnungen hinter den Zahlungsdatensätzen prüfen. Die allgemeinere Lehre lautet, Anbieter zu bevorzugen, deren No-Logs-Aussagen tatsächlich überprüft wurden, statt solcher, die sie nur behaupten, und Werkzeuge zu wählen, die DPI-Filterung überstehen, wenn Umgehung überhaupt der Grund für das VPN ist.
