Wyden verlangt von der NSA: Ein VPN-Hop reicht nicht
Ein amtierender US-Senator hat die National Security Agency aufgefordert, offen auszusprechen, was Datenschutzforscher seit Jahren sagen: Ein gewöhnliches kommerzielles VPN schützt nicht vor einem staatlichen Gegner. Am 2. September 2026 schrieb Ron Wyden an NSA-Direktor General Joshua Rudd, die Empfehlungen des Bundes behandelten ein Single-Hop-VPN immer noch als ausreichenden Schutz, und bat um unklassifizierte Antworten bis zum 14. Oktober. Die Anfrage ist eng und technisch, und sie trifft genau die schwächste Annahme im üblichen Verkaufsargument für VPN-Dienste.
Was in dem Brief steht
Wydens Argument stützt sich auf eine Analyse des Congressional Research Service, die er direkt zitiert: Ein Single-Hop-VPN biete, wie stark auch verschlüsselt, im Grunde keinen Schutz vor einem Gegner, der diesen einen Anbieter zwingen oder unterwandern kann. Die Schwachstelle ist nicht die Verschlüsselung, sondern die einzige Konzentrationsstelle. Alles läuft über ein Unternehmen, in einer Jurisdiktion, auf einem Satz Server, und wer dieses Unternehmen erreicht, sieht das andere Ende jeder Verbindung.
Dagegen nennt der Brief Architekturen, die genau diesen einen Punkt beseitigen: Routing über mehrere Knoten und Mixnets. Wyden bittet die NSA einzuschätzen, wie gut sie praktisch funktionieren, und nennt dabei Tor, Nym und Apple Private Relay, dazu die Frage, wie Multi-Hop-Proxys im Vergleich zu Mixnet-Designs abschneiden.
Der Angriff braucht keine gebrochene Verschlüsselung
Der beschriebene Mechanismus heißt Verkehrskorrelation, und man sollte ihn verstehen, denn er erklärt, warum "Verschlüsselung auf Militärniveau" hier keine Antwort ist. Wer beide Seiten eines VPN-Servers beobachten kann, muss nichts entschlüsseln. Er vergleicht Zeitpunkt und Menge der verschlüsselten Daten am Eingang mit Zeitpunkt und Menge am Ausgang, und das Muster verbindet einen Nutzer mit einem Ziel. Verschlüsselung verbirgt Inhalte. Die Form des Verkehrs verbirgt sie nicht.
Solche Beobachtung steht nicht dem Nachbarn oder einem Cafe-Netz zur Verfügung. Sie steht einer Organisation zur Verfügung, die große Teile des Internets gleichzeitig sieht oder sich in einen Anbieter hineinsetzen kann. Genau über dieses Bedrohungsmodell schreibt Wyden.
Worum es in den heutigen offiziellen Empfehlungen wirklich geht
Die Lücke, auf die der Brief zeigt, besteht nicht darin, dass die Behörden etwas Falsches gesagt hätten. Sie besteht darin, dass die vorhandenen Ratschläge eine andere Frage beantworten. Was NSA und CISA zu VPNs veröffentlicht haben, dreht sich vor allem darum, Remote-Access-VPN-Geräte vor Angriffen zu schützen: patchen, härten, veraltete Produkte ausmustern. Das ist Anleitung für Administratoren, die ein Firmen-Gateway absichern.
Es ist keine Anleitung für einen Menschen, der ein Verbraucher-VPN wählt, um einen ausländischen Nachrichtendienst aus seiner Kommunikation herauszuhalten. Wyden formuliert es so: Amerikaner, die fortgeschrittenen ausländischen Bedrohungen ausgesetzt sind, darunter Regierungsbeschäftigte, Rüstungsauftragnehmer, Journalisten und Menschenrechtsverteidiger, verdienen klaren, ehrlichen Rat, wie sie ihre Kommunikation vor Überwachung durch ausländische Gegner schützen. Derzeit lesen diese Menschen einen Rat, der für ein anderes Problem geschrieben wurde.
Was das für gewöhnliche Nutzer bedeutet
Man könnte das als "VPNs sind nutzlos" lesen, und das steht dort nicht. Ein Single-Hop-VPN erledigt weiterhin, was es immer erledigt hat: Es nimmt den Verkehr aus dem lokalen Netz und dem Blickfeld des Providers, es verhindert, dass Websites den Wohnort aus der IP ablesen, es umgeht Sperren, die daran hängen, von wo man zu kommen scheint. Gegen Werbenetzwerke, Netzbetreiber und Zensur ist das real.
Mit dem Bedrohungsmodell ändert sich die Rolle des Anbieters selbst. Wenn der Gegner das Unternehmen zwingen oder übernehmen kann, wird das, was vorher der Vorteil war, ein Betreiber sieht beide Enden, zur Bruchstelle. Deshalb gibt es Multi-Hop-Routing, und deshalb sind Tor und Mixnets so gebaut, wie sie gebaut sind: Kein einzelner Betreiber soll gleichzeitig wissen, wer Sie sind und was Sie abgerufen haben. Der Preis ist Geschwindigkeit, und für die meisten Menschen lohnt dieser Tausch meistens nicht.
Warum die Frage jetzt gestellt wird
Wyden zieht seit Jahren an demselben Faden: was der Staat über die Überwachung von Amerikanern weiß und was er ihnen davon sagt. Wir haben über seine früheren Warnungen berichtet, darunter der Punkt, dass die Nutzung eines VPN den rechtlichen Schutz von US-Nutzern schwächen kann. Dieser Brief ist die technische Hälfte desselben Arguments: Wenn die offizielle Position lautet, ein kommerzielles VPN genüge, dann braucht sie entweder Belege oder eine Aktualisierung.
