Sicherer unterwegs? Was vor einer Gratis-VPN-App auf Android zu prüfen ist

Im Hotel, im Zug oder im Café ist eine Gratis-VPN-App schnell installiert. Das Schutzgefühl kommt oft sofort. Ob der Dienst den Datenverkehr sauber behandelt, lässt sich am Store-Eintrag dagegen kaum ablesen. Eine aktuelle Analyse von Android-VPN-Apps zeigt vor allem eines: Ein VPN nimmt die Vertrauensfrage nicht ab – es verlagert sie zum Betreiber.

Die App ist schnell da. Das Vertrauen braucht länger.

Ein offenes WLAN wirkt wie eine kleine Zumutung des Alltags: Der Akku ist fast leer, der Mobilfunkempfang schwach, das Hotelnetz steht bereit. Wer dann nach „VPN kostenlos“ sucht, trifft keine abstrakte Technikentscheidung. Die App übernimmt einen Teil des Verbindungswegs – und damit wird ihr Betreiber zu einer zusätzlichen Vertrauensstelle.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt ein VPN als Tunnel zu einem vertrauenswürdigen Endpunkt. Genau dieses Wort ist der Kern der Sache: vertrauenswürdig. Ein Tunnel kann sinnvoll sein, etwa in öffentlichen Netzen. Er beantwortet aber nicht von selbst, wer den Dienst betreibt, wie die App gepflegt wird und ob ihre Angaben einer unabhängigen Prüfung standhalten.

Was die aktuelle MVPNalyzer-Einordnung tatsächlich sagt

Am 14. Juli 2026 veröffentlichte die University of Michigan eine neue institutionelle Einordnung zu MVPNalyzer. Die belastbaren Messdaten stammen aus dem vollständigen NDSS-2026-Paper, das bereits im Februar veröffentlicht wurde. Das ist mehr als eine Fußnote: Die Juli-Mitteilung ist der aktuelle Anlass, nicht der Zeitpunkt der Datenerhebung oder die erste Veröffentlichung der Studie.

Für die Untersuchung kuratierte das Forschungsteam 281 funktionsfähige Android-VPN-Apps, die kostenlos aus Google Play heruntergeladen werden konnten. Die Auswahl begann im November 2024. Apps mit Accountpflicht, In-App-Zahlung, fehlendem Start oder ohne herstellbare VPN-Verbindung gehörten nicht zur finalen Stichprobe. Getestet wurde auf physischen Android-14-Geräten.

Damit beschreibt das Paper eine klar abgegrenzte Momentaufnahme. Es bewertet weder alle Android-VPNs noch alle kostenlosen Dienste, iOS-Angebote oder die heutigen Versionen einzelner Apps. Gerade diese Grenze schützt davor, aus einer aufschlussreichen Untersuchung ein pauschales Urteil zu machen.

Fünf Befunde, die nicht in einen Topf gehören

Die Studie fand mehrere Problemfelder. Ihre Zahlen wirken auf den ersten Blick wie eine Bilanz, sind aber keine gemeinsame Betroffenenquote. Die Kategorien messen unterschiedliche Dinge und überschneiden sich teilweise.

• 61 Apps: Das Team beobachtete insgesamt 10.552 Klartext-Flows, darunter Kontroll- und Konfigurationskommunikation. Das bedeutet nicht, dass der gesamte Nutzerverkehr jeder dieser Apps unverschlüsselt gewesen wäre.
• 29 Apps: Sie fielen in mindestens eine Leak-Kategorie: 24 DNS-Leaks, 6 Browser-Traffic-Leaks und 4 unverschlüsselte Tunnel. Diese Teilmengen können sich überschneiden, und die Leak-Arten funktionieren nicht gleich.
• 169 Apps: Sie waren gegenüber einfachen Erkennungs- und Blockiermethoden auffällig. Das ist von fehlender Tunnelverschlüsselung oder einem Traffic-Leak zu unterscheiden.
• 76 Apps: In der analysierten Kommunikation wurde die Advertising ID übertragen. Auch das ist kein Beweis, dass eine App jede Nutzerin oder jeden Nutzer vollständig identifizieren kann.
• 107 von 108 Apps: Mit analysierten OpenVPN-Konfigurationsdateien hatten mindestens ein geprüftes Konfigurationsproblem. Diese Aussage betrifft nur diesen OpenVPN-Teilbestand, nicht alle 281 Apps.

Besonders konkret ist ein Detail aus dem Paper: Bei fünf Apps wurden VPN-Konfigurationsdateien im Klartext empfangen. Auch daraus folgt kein Gesamturteil über die übrigen Apps. Es zeigt aber, warum ein beruhigender Name, viele Installationen oder ein gutes Sterne-Rating kein technischer Nachweis sind.

Warum Bewertungen und Store-Angaben nicht reichen

Google Play zeigt unter anderem Data-Safety-Angaben. Sie sind hilfreich, weil sie Fragen zu Datenpraktiken sichtbar machen können. Auch ein klar benannter Entwickler, ein erreichbares Impressum, nachvollziehbare Updates und verständliche Datenschutzhinweise sind bessere Signale als ein anonymer Store-Auftritt.

Mehr können diese Angaben jedoch nicht leisten. Sie prüfen nicht, ob ein Tunnel in einer bestimmten Version dicht ist, ob DNS-Anfragen wie erwartet laufen oder ob eine App ihre eigene Kommunikation sauber absichert. Das MVPNalyzer-Paper weist selbst darauf hin, dass Store-Signale Transparenz schaffen können, aber keinen vollständigen technischen Audit ersetzen.

Ein VPN ist kein Alltagszauber

Öffentliche WLANs verdienen Aufmerksamkeit. Das BSI nennt VPNs als eine Möglichkeit, Risiken durch unbefugten Zugriff, Ausspähen oder Datenabfluss zu senken. Die US-Verbraucherschutzbehörde FTC ordnet zugleich ein, dass aktuelle Schutzmechanismen wie HTTPS viele Verbindungen bereits absichern können. Daraus folgt keine einfache Regel für jede Situation.

Ein VPN schützt nicht vor einer Phishing-Seite, vor Schadsoftware auf dem Gerät oder vor Daten, die jemand selbst in einem Formular preisgibt. Es macht auch nicht automatisch anonym. Wer keinen konkreten Grund für den Dienst benennen kann, sollte nicht aus Unsicherheit eine weitere App mit weitreichender Rolle im Datenweg installieren.

Drei vernünftige Entscheidungen nach dem Check

Behalten und kontrolliert nutzen

Das passt, wenn der Zweck klar ist, der Betreiber nachvollziehbar auftritt, die App sichtbar gepflegt wird und unabhängige technische Prüfungen vorliegen. Der Dienst bleibt ein Werkzeug für einen konkreten Fall, nicht ein Dauerabonnement aus diffusem Unbehagen.

Zu einem nachvollziehbar geprüften Dienst wechseln

Fehlen transparente Informationen zum Betreiber, aktuelle Wartung oder überzeugende externe Prüfungen, ist ein Wechsel plausibler als das Vertrauen auf Sterne und Werbeversprechen. Das ist keine Empfehlung für einen bestimmten Anbieter, sondern ein Auswahlmaßstab.

Deinstallieren oder verzichten

Wenn der Nutzen unklar bleibt und die App nur ein Sicherheitsgefühl verkauft, ist Verzicht eine gute technische Entscheidung. Weniger zusätzliche Software bedeutet auch weniger Stellen, an denen Daten, Berechtigungen und Updates im Blick bleiben müssen.

Eine kurze Checkliste vor der Installation

Die Grenze der Studie ist Teil ihrer Aussage

Kostenlos bedeutet nicht automatisch unsicher. Ebenso wenig bedeutet eine auffällige Studie, dass jede App in der Stichprobe heute noch dieselben Eigenschaften hat. Die Tests beziehen sich auf eine Auswahl und auf Versionen aus der Studienphase. Ohne aktuelle, versionsgebundene Prüfung lässt sich keine einzelne App fair als sicher oder unsicher einstufen.

Diese Einschränkung macht die Erkenntnis nicht kleiner. Sie verschiebt den Blick weg von einer schnellen Anbieter-Rangliste und hin zu einer besseren Gewohnheit: Schutzversprechen erst dann Vertrauen schenken, wenn Zweck, Betreiber und überprüfbare technische Hinweise zusammenpassen.

TechZeitGeist-Fazit

Eine Gratis-VPN-App kann in einer konkreten Situation nützlich sein. Sie sollte aber nicht aus einem vagen Sicherheitsgefühl heraus zur Dauerlösung werden. Wer vor der Installation kurz prüft, wem der Tunnel anvertraut wird und ob die App nachvollziehbar gepflegt und unabhängig untersucht ist, trifft eine ruhigere und bessere Entscheidung als mit Sternen, Downloadzahlen und großen Sicherheitsversprechen allein.

Quellen und weiterführende Informationen

• University of Michigan CSE: MVPNalyzer reveals security and privacy risks in popular mobile VPNs (14.07.2026)
• NDSS Symposium: MVPNalyzer – Landingpage zum Konferenzpaper
• Wang et al.: MVPNalyzer – vollständiges NDSS-2026-Paper, DOI 10.14722/ndss.2026.231573
• BSI: Wie funktioniert ein Virtual Private Network (VPN)?
• Google: Get more information about your apps in Google Play
• FTC: Are Public Wi-Fi Networks Safe? What You Need To Know

Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-01