VPNs sind als Anonymisierungsdienste ungeeignet

"Verbergen Sie Ihre Online-Identität und surfen Sie anonym im Netz!"
(Bullshit-Werbung eines VPN Anonymisierungsdienstes)

VPNs wurden NICHT als Anonymisierungsdienste konzipiert. Für den Einsatz als Billig-Anonymisierer sind sie aus folgenden Gründen nicht geeignet:

VPNs anonymisieren lediglich die IP-Adresse eines Internetnutzers. Für Trackingdienste ist die IP-Adresse aber nur ein geringwertiges Trackingfeature. Durch die Verbreitung mobiler Internetnutzung mit ist der Wert dieses Merkmals weiter gesunken. Modernes Tracking verwendet Browser Fingerprinting und EverCookies, gegen die VPNs nicht schützen. Somit ist durch VPNs keine Anonymität bei Surfen gegeben.

(Anonymisierungsdienste wie Tor Onion Router adressieren das Problem durch eine einheitliche Browserkonfiguration (TorBrowser), die eine Anonymitätsgruppe schafft, in der einzelne Surfer nicht unterscheidbar sind.)
Die IP-Anonymisierung von VPNs kann relativ einfach durch Traffic Korrelation oder Traffic Fingerprinting ausgehebelt werden. Die mathematischen Grundlagen dafür lernt jeder Informatikstudent im ersten Jahr im Mathe Grundkurs.

Hermann/Wendolsky/Federrath haben bereits 2009 in dem Paper Attacking Popular Privacy Enhancing Technologies with the Multinomial Naïve-Bayes Classifier gezeigt, dass man die Nutzer eines OpenVPN Anonymisierers zu 95% durch Beobachtung des Eingangs- und Ausgangstraffics des VPN-Servers deanonymisieren kann ohne die Krypto zu knacken. Bei Tor war der gleiche Ansatz unter Laborbedingungen mit 3% Erkennungsrate erfolglos.

(Inzwischen gibt es auch einige mathematisch ausgefeiltere Angriffe dieser Art auf Tor Onion Router unter Laborbedingungen, die aber nicht so einfach auf die reale Welt übertragbar sind, wie M. Perry in einem Blogartikel schreibt. Tor Onion Router enthält Schutzmaßnahmen gegen diese Angriffe.)
Ein VPN Betreiber hat wie ein Internet Zugangsprovider Zugriff auf das gesamte Nutzungsverhalten. Das erfordert ein hohes Maß an Vertrauen in den VPN Betreiber, was bei vielen Betreibern nicht gerechtfertigt ist.
- Der von Facebook betriebene VPN-Dienst Onavo spioniert seine Nutzer aus und speichert, welche Apps und Internetdienste die Nutzer verwenden. Damit kann Facebook frühzeitig Konkurrenten erkennen und darauf reagieren.
- Der VPN Dienst AnchorFree verwendet JavaScript im Angebot Hotspot Shield Free, um IFrames mit personalisierten Werbeanzeigen zu injizieren und außerdem den Standort des Nutzers zu tracken. Eindeutige Merkmale wie MAC-Adressen und IMEI-Nummern werden an Werbenetzwerke weitergegeben und damit sind die Nutzer deanonymisiert.
Statt einem Gewinn an Privatsphäre wird man als Nutzer solcher VPN Dienste ausspioniert.
Bei vertrauenswürdigen VPN Providern ist zu beachten, dass sie den Gesetzen des jeweiligen Landes folgen müssen. Da diese Dienste wie Zugangsprovider zum Internet arbeiten, kann sich daraus eine deutliche Absenkung der Sicherheit und Privatsphäre ergeben, wenn die Gesetze des Heimatlandes des VPN Anbieters eine Vorratsdatenspeicherung fordern oder unlimitierten Zugriff auf den entschlüsselten Datenverkehr für Geheimdienste.
1. HideMyAss (Testsieger beim VPN Magazine) hat z.B 2011 den LuzSec Hacker Cody Kretsin, der dem Anonymitätsversprechen von HideMyAss vertraute, an das FBI verraten. Dabei hat HideMyAss im Rahmen der gesetzlichen Vorgaben kooperiert.
2. PureVPN ist ebenfalls ein hoch bewerteter und oft als besonders vertrauenswürdig gelobter VPN Dienst. PureVPNs Privacy Policy:
  We do NOT keep any logs that can identify or help in monitoring a users activity.
  Außerdem:
  PureVPN specifically chose Hong Kong (HK) for its headquarter because there are "No Mandatory Data Retention Laws" in Hong Kong.
  Trotzdem hatte PureVPN die Logdaten und die Hilfsbereitschaft gegenüber dem FBI, um anhand von IP-Adressen einen Stalker aus den USA zu identifizieren.
Es gibt keinen Grund, einem VPN Anonymisierer mehr zu vertrauen, als einem Internet Zugangsanbieter wie Telekom oder Vodafon oder …