Wie funktioniert ein VPN? Technik, Tunnel & Protokolle einfach erklärt

Ein VPN funktioniert, indem es einen verschlüsselten Tunnel zwischen deinem Gerät und einem Server des VPN-Anbieters aufbaut. Sämtlicher Internetverkehr wird vor dem Verlassen deines Geräts mit AES-256 verschlüsselt, durch diesen Tunnel zum VPN-Server geschickt, dort entschlüsselt und mit der IP-Adresse des Servers ins offene Internet weitergeleitet. Für Websites bist du der VPN-Server, dein Internetanbieter sieht nur, dass du irgendetwas zum VPN-Server schickst — aber nicht, was. In diesem Ratgeber zerlegen wir die Technik in vier Schritte: Verbindungsaufbau, Verschlüsselung, Datenversand und Antwort-Weg. Anschließend vergleichen wir die wichtigsten Protokolle (WireGuard, OpenVPN, IKEv2) und erklären, warum Anbieter unterschiedlich schnell sind.

Stand: 4. September 2026 – Preise laut deutschen Anbieterseiten in Euro; die Anbieter weisen darauf hin, dass je nach Land Mehrwertsteuer anfallen kann.

Technik-Kontext: Alle fünf Anbieter aus unserem Vergleich – Proton VPN, CyberGhost, ExpressVPN, Surfshark und NordVPN – setzen standardmäßig auf WireGuard oder darauf aufbauende Protokolle mit geringem Overhead. Der Wechsel weg von OpenVPN als Standard begann 2020 mit der Aufnahme von WireGuard in den Linux-Kernel.

Du suchst die Grundlagen statt der technischen Tiefe? Dann starte mit unserem allgemeinen Ratgeber Was ist ein VPN? — dieser Artikel hier setzt das Basis-Verständnis voraus und geht in die Mechanik.

Schritt 1: Der Tunnelaufbau (Handshake)

Bevor auch nur ein einziges Datenpaket fließt, müssen sich dein Gerät und der VPN-Server gegenseitig identifizieren und auf einen gemeinsamen Verschlüsselungs-Schlüssel einigen. Diesen Prozess nennt man Handshake. Er dauert je nach Protokoll einen Sekundenbruchteil bis wenige Sekunden und läuft so ab:

1. Verbindungsanfrage: Deine VPN-App schickt eine Anfrage an die IP-Adresse des gewünschten VPN-Servers. Das Betriebssystem öffnet dafür einen UDP- oder TCP-Port.
2. Zertifikatsprüfung: Der VPN-Server schickt sein digitales Zertifikat zurück. Deine App prüft, ob es von einer vertrauenswürdigen Zertifizierungsstelle signiert wurde — analog zum HTTPS-Schloss-Symbol im Browser.
3. Schlüsselaustausch: Beide Seiten generieren mit dem Diffie-Hellman-Verfahren einen gemeinsamen geheimen Schlüssel, ohne ihn jemals direkt zu übertragen. Selbst ein Angreifer, der die gesamte Kommunikation aufzeichnet, kann diesen Schlüssel nicht rekonstruieren.
4. Tunnel-Etablierung: Ab jetzt steht der verschlüsselte Tunnel. Alle weiteren Daten — bis zur Trennung — laufen ausschließlich verschlüsselt durch diesen Tunnel.

Bei WireGuard und NordLynx ist dieser Handshake auf eine einzige Nachrichtenrunde reduziert und deshalb sehr schnell. Klassisches OpenVPN durchläuft einen mehrstufigen TLS-Handshake, der spürbar länger dauert — merkbar bei jedem Server-Wechsel.

Schritt 2: Verschlüsselung am Endgerät

Hat der Tunnel gestanden, passiert die eigentliche Arbeit auf deinem Gerät. Jedes einzelne Datenpaket — egal ob HTTPS-Anfrage, Streaming-Video, Spiele-Traffic oder System-Update — wird vor dem Verlassen der Netzwerkkarte verschlüsselt. Das geschieht im VPN-Software-Kernel, transparent für alle Apps:

• Symmetrische Verschlüsselung: Verwendet wird der AES-Standard mit 256-Bit-Schlüssel (AES-256-GCM). Symmetrisch heißt: derselbe Schlüssel ver- und entschlüsselt. Das ist deutlich schneller als asymmetrische Verfahren — wichtig, weil die Verschlüsselung in Echtzeit passieren muss.
• Authentifizierung: Jedes Paket bekommt einen kryptografischen Hash (MAC), der beim Empfänger geprüft wird. Wenn ein Angreifer auch nur ein einziges Bit auf dem Weg verändert, fällt das auf, das Paket wird verworfen.
• Padding: Pakete werden auf eine einheitliche Größe gepolstert, damit ein Beobachter aus der Paketgröße keine Rückschlüsse auf den Inhalt ziehen kann (z. B. „kleines Paket = Tippen, großes Paket = Video").

Das Ergebnis ist ein Datenstrom, der für jeden Beobachter — Internetanbieter, WLAN-Betreiber, Behörde, Hacker im selben Netz — wie zufälliges Rauschen aussieht. Ohne den Schlüssel ist eine Entschlüsselung nach heutigem Stand der Mathematik nicht in vernünftiger Zeit möglich (geschätzte 10^60 Jahre für Brute-Force auf einen 256-Bit-Schlüssel).

Schritt 3: Der Weg durchs Internet

Das verschlüsselte Paket verlässt jetzt dein Gerät, geht über deinen Router zu deinem Internetanbieter und von dort ins offene Internet — Ziel: die IP-Adresse des VPN-Servers. Was dabei jeder Beobachter auf dem Weg sieht:

Wer schaut	Sieht ohne VPN	Sieht mit VPN
WLAN-Betreiber (Café, Hotel)	Alle aufgerufenen Websites, DNS-Anfragen, ggf. unverschlüsselte Inhalte	Nur, dass du eine Verbindung zu IP X.X.X.X (VPN-Server) hast
Internetanbieter (z. B. Telekom, Vodafone)	Welche Domains du aufrufst, wann, wie oft, wie lange	Eine einzige Verbindung zum VPN-Server, keine Domain-Informationen
Ziel-Website (z. B. netflix.com)	Deine echte IP, dein ungefährer Standort, Browser-Fingerprint	IP des VPN-Servers + ggf. Browser-Fingerprint

Wichtig: Dein Internetanbieter sieht nicht, dass du anonym sein willst, sondern nur, dass du eine VPN-Verbindung nutzt. Das ist in Deutschland völlig legal — siehe Ist VPN legal in Deutschland?. Auch der WLAN-Betreiber kann dich nicht „bestrafen" — viele Hotel-WLANs blocken VPNs zwar (siehe unten), Privatnutzung ist aber kein Vergehen.

Schritt 4: Entschlüsselung & Weiterleitung am VPN-Server

Am VPN-Server angekommen, wird das Paket mit dem gemeinsamen Schlüssel entschlüsselt. Erst jetzt ist wieder lesbar, was du eigentlich willst: „Ich möchte die Startseite von netflix.com sehen." Der VPN-Server ersetzt nun die Absender-IP in deinem Paket — statt deiner echten IP-Adresse steht jetzt seine eigene drin — und schickt die Anfrage an Netflix.

Netflix antwortet an die IP des VPN-Servers (es kennt deine echte IP gar nicht), der Server verpackt die Antwort wieder verschlüsselt und schickt sie durch den Tunnel zurück an dein Gerät. Dort wird sie entschlüsselt, an die anfragende App (deinen Browser) weitergereicht — und du siehst die Netflix-Startseite. Für Netflix bist du der VPN-Server, für dich war es eine ganz normale Anfrage. Dieser Hin-und-Rückweg passiert für jedes einzelne Paket, viele tausend Mal pro Sekunde beim Streaming.

VPN-Protokolle im Vergleich

Das Protokoll ist die Regelsammlung, nach der Tunnelaufbau, Verschlüsselung und Paketversand ablaufen. Verschiedene Protokolle sind unterschiedlich schnell, sicher und kompatibel. 2026 sind drei Protokolle relevant:

Protokoll	Geschwindigkeit	Sicherheit	Stabilität bei Netz-Wechsel	Standard bei
WireGuard	Sehr hoch (geringer Overhead)	Modern, kryptografisch geprüft	Sehr gut (Roaming-fähig)	Surfshark, CyberGhost, Proton VPN
NordLynx (WireGuard-basiert)	Sehr hoch	Wie WireGuard + zusätzliches Identitätsschutz-Layer	Sehr gut	NordVPN (proprietär)
Lightway (proprietär)	Sehr hoch	Modern, wolfSSL-basiert	Sehr gut (besonders bei Mobilgeräten)	ExpressVPN (proprietär)
OpenVPN	Mittel (mehr Overhead, User-Space)	Sehr hoch, lange erprobt	Mittel (Reconnect oft nötig)	Praktisch alle Anbieter als Fallback
IKEv2/IPsec	Hoch	Hoch	Sehr gut (Mobile-Friendly)	iOS-Standard bei vielen Anbietern

Praxis-Empfehlung 2026: Lass dein VPN auf der Standard-Einstellung — sie wählt für deine Plattform das beste Protokoll automatisch. WireGuard (oder NordLynx/Lightway) ist auf Desktop und Android meist die richtige Wahl, IKEv2 auf iOS. Manuell zu OpenVPN wechseln musst du nur, wenn du in einem Netzwerk bist, das WireGuard blockt (manche restriktive Firmen-WLANs). Tiefer im Detail: WireGuard vs OpenVPN.

Warum sind VPNs unterschiedlich schnell?

Wie viel von deiner Leitung mit VPN übrig bleibt, unterscheidet sich zwischen Anbietern spürbar. Eigene Messwerte veröffentlichen wir nicht – sie hängen von Anschluss, Server, Auslastung und Tageszeit ab und lassen sich nicht übertragen. Vier Faktoren erklären die Unterschiede:

1. Server-Anzahl & -Auslastung: Mehr Server pro Region bedeuten weniger Nutzer pro Server, also höhere Geschwindigkeit für jeden. Proton VPN nennt über 20.000 Server in 148 Ländern, CyberGhost rund 9.800 in 100 Ländern, NordVPN mehr als 8.000 an über 224 Standorten, Surfshark 4.500+ in 100 Ländern; ExpressVPN gibt 113 Länder, aber keine Serverzahl an (Anbieterangaben, Stand 4. September 2026). Bei Anbietern mit nur einigen hundert Servern machen sich Abend-Spitzenzeiten deutlicher bemerkbar.
2. Hardware der Server: Die Anbindung der Server begrenzt den Durchsatz – Surfshark etwa bewirbt 10 Gbit/s je Server. Wer Server-Splittlinge bei Cloud-Anbietern mietet, teilt sich CPU und Leitung mit anderen, was die Verschlüsselungs-Performance limitiert.
3. Protokoll-Implementierung: WireGuard ist auf den meisten Plattformen spürbar schneller als OpenVPN, weil es im Kernel läuft und pro Paket weniger Overhead erzeugt. NordLynx und Lightway optimieren WireGuard zusätzlich. Anbieter, die nur OpenVPN anbieten, sind systembedingt langsamer.
4. Geografische Nähe zum Server: Je weiter weg der gewählte Server, desto höher die Latenz (Ping). Für Streaming spielt das kaum eine Rolle, für Gaming sehr wohl. Faustregel: Ein Server im selben Land kostet nur wenige Millisekunden zusätzlich, ein Server in Übersee spürbar mehr – die Signallaufzeit lässt sich physikalisch nicht abkürzen.

Wie sicher ist ein VPN wirklich?

Ein häufiges Missverständnis: Ein VPN macht dich nicht unsichtbar — es verschiebt das Vertrauen. Statt deinem Internetanbieter musst du dem VPN-Anbieter vertrauen, dass er keine Aktivitäts-Logs führt und auf Behörden-Anfragen nichts zu liefern hat. Drei Mechanismen helfen, dieses Vertrauen zu validieren:

• Unabhängige Audits: Wirtschaftsprüfer (Deloitte, KPMG) oder Security-Firmen (Cure53, Securitum) prüfen Quellcode und Server-Konfiguration auf Logging-Mechanismen. NordVPN, Surfshark und CyberGhost lassen von Deloitte prüfen (zuletzt Dezember 2025, Juni 2025, Dezember 2025), ExpressVPN von KPMG (Juni 2025), Proton VPN von Securitum (fünftes Jahresaudit 2026).
• RAM-only-Server: Server, die ausschließlich im Arbeitsspeicher laufen — bei jedem Neustart sind alle Daten weg. Behörden, die einen Server beschlagnahmen, finden buchstäblich nichts. Mehrere Anbieter bewerben das für ihr Netz.
• Standort des Anbieters: Sitz in einer Datenschutz-freundlichen Jurisdiktion reduziert das Risiko, dass Behörden Logging-Pflichten durchsetzen können. Im Vergleich: Proton VPN in der Schweiz (Proton AG, Genf), NordVPN in Panama registriert (entwickelt von Nord Security, Litauen), ExpressVPN auf den Britischen Jungferninseln, Surfshark in den Niederlanden (Surfshark B.V.), CyberGhost in Rumänien. Dazu gehört der Blick auf den Eigentümer: NordVPN und Surfshark gehören seit 2022 zu einer gemeinsamen Holding, ExpressVPN und CyberGhost zu Kape Technologies (London); Proton VPN (Proton AG, Genf) ist der einzige Anbieter in unserem Vergleich ohne Konzernmutter.

Was ein VPN nicht kann: Cookies löschen, Browser-Fingerprinting unterbinden, Malware abwehren, Phishing erkennen. Wer maximalen Schutz will, kombiniert VPN mit einem datenschutzfreundlichen Browser (Brave, Firefox mit Tracking-Schutz), einem Virenscanner und einem Passwort-Manager.

DNS, Kill Switch & Co.: Die Sicherheitsnetze

Mehrere zusätzliche Mechanismen verhindern, dass die Verschlüsselung in Edge-Cases umgangen wird:

• DNS-Leak-Schutz: Damit dein Gerät weiß, welche IP-Adresse zu netflix.com gehört, fragt es einen DNS-Server. Ohne Schutz würde diese Anfrage am VPN-Tunnel vorbei direkt an den DNS-Server deines Internetanbieters gehen — und der wüsste damit, welche Websites du besuchst. Premium-VPNs leiten DNS-Anfragen automatisch durch den Tunnel an eigene, loglose DNS-Server.
• Kill Switch: Bricht der VPN-Tunnel unerwartet ab (z. B. WLAN-Wechsel oder Server-Reboot), würden alle Apps sofort wieder die echte IP-Adresse nutzen. Der Kill Switch kappt in diesem Fall die Internetverbindung komplett, bis der Tunnel wieder steht.
• IPv6-Leak-Schutz: Manche Netzwerke routen IPv6-Verkehr am VPN vorbei. Premium-Anbieter erkennen das und blocken IPv6 oder routen es durch den Tunnel.
• Multi-Hop / Double VPN: Bei einigen Anbietern optional (Anbieterangabe, etwa Proton VPN „Secure Core“): Dein Verkehr läuft durch zwei VPN-Server hintereinander. Selbst wenn der erste Server kompromittiert ist, kennt er nur deine echte IP, aber nicht das Ziel; der zweite kennt das Ziel, aber nicht deine echte IP. Kostet Geschwindigkeit, weil zwei Verschlüsselungsstrecken durchlaufen werden.

Wie umgehen VPNs Geoblocking?

Streaming-Plattformen wie Netflix, DAZN, Disney+ haben unterschiedliche Inhalte pro Land — das ist Geoblocking. Die Plattform prüft die IP-Adresse des Besuchers, schlägt in einer Geo-IP-Datenbank das Land nach und liefert die passende Inhalts-Bibliothek.

Ein VPN umgeht das, indem du einen Server im gewünschten Land wählst — die Ziel-Plattform sieht eine IP aus diesem Land und liefert die dortige Bibliothek. Streaming-Plattformen wehren sich allerdings: Sie kaufen Listen bekannter VPN-Server-IPs und blocken diese. Es entsteht ein Katz-und-Maus-Spiel. Premium-Anbieter rotieren ihre IPs deshalb regelmäßig und unterhalten dedizierte „Streaming-Server". Welche Anbieter Streaming ausdrücklich bewerben und was die Nutzungsbedingungen der Dienste dazu sagen, steht in Bester VPN für Streaming und VPN, Streaming und Geoblocking – ein Erfolgsversprechen gibt kein Anbieter.

Grenzen: Was ein VPN nicht leisten kann

So mächtig die Technik ist — ein VPN ist kein Allheilmittel. Folgende Erwartungen sind falsch:

1. VPN macht nicht vollständig anonym. Wenn du dich auf einer Website mit deinem echten Namen einloggst, weiß die Website wer du bist — egal welche IP. Anonymität verlangt zusätzlich anonyme Accounts.
2. VPN schützt nicht vor Malware oder Phishing. Verschlüsselte Verbindung zu einer Phishing-Seite ist immer noch eine Verbindung zur Phishing-Seite. Antivirus und gesunder Menschenverstand bleiben Pflicht.
3. VPN unterbindet nicht Browser-Fingerprinting. Werbe-Netzwerke identifizieren dich nicht über die IP, sondern über Browser, Bildschirmauflösung, installierte Schriften usw. Dafür braucht es einen Tracking-Schutz-Browser.
4. VPN macht dich nicht schneller. Ein VPN kann eine langsame Leitung niemals beschleunigen — bestenfalls bleibt der Verlust so klein, dass du ihn im Alltag nicht bemerkst. Die einzige Ausnahme: Wenn dein Internetanbieter bestimmte Dienste drosselt (Throttling), kann ein VPN das umgehen.
5. VPN funktioniert nicht auf jedem Streaming-Dienst. Einige Anbieter (Netflix US, BBC iPlayer) erkennen VPNs zuverlässig und blocken sie. Premium-VPNs rotieren IPs, aber 100 % Erfolg garantiert niemand.

Fazit: VPN-Technik ist Mainstream geworden

Was vor 15 Jahren noch IT-Profi-Wissen war, ist heute in jeder Premium-VPN-App auf Knopfdruck verfügbar — und läuft schneller, sicherer und stabiler als je zuvor. Wer die Mechanik einmal verstanden hat, trifft bessere Anbieter-Entscheidungen: Audit-Status, RAM-only-Server, WireGuard-Support, Kill Switch und transparente No-Logs-Policy sind nicht Marketing-Floskeln, sondern überprüfbare Kriterien.

In unserem Vergleich liegt Proton VPN mit 8,3 von 10 Punkten auf Platz 1 (Securitum-Audit 2026, quelloffene Apps, größtes Netz), gefolgt von CyberGhost (7,4), ExpressVPN (7,2), Surfshark und NordVPN (je 7,0). Die Preise reichen von 2,19 € (CyberGhost) bis 3,49 € (NordVPN, Proton VPN) im Monat, die Verlängerung kostet das 2,0- bis 3,3-Fache – Details in VPN günstig. Alle fünf im Überblick:

---

Weiterlesen bei Benchmark Buddy: Was ist ein VPN? | WireGuard vs OpenVPN | Top VPN-Anbieter 2026 | Bester VPN 2026 | So testen wir | Die Redaktion