VPN-Protokollierungsrichtlinien und Datenschutz-Jurisdiktionen: die Referenztabelle 2026

Fast jede VPN-Datenschutzseite sagt dieselben drei Dinge: Das Unternehmen speichert nichts, es sitzt irgendwo mit freundlichen Gesetzen, und ein Prüfer hat dem einmal zugestimmt. Diese Behauptungen kosten nichts und lassen sich, bis eine gerichtliche Anordnung oder eine Polizeidurchsuchung eintrifft, nicht überprüfen. Diese Seite ist die Referenz, die ich gesucht und nicht gefunden habe: was das Gesetz in jeder Jurisdiktion mit Stand September 2026 tatsächlich sagt, mit Link auf das Gesetz oder das Urteil, sowie die zehn am besten dokumentierten Fälle, in denen die Polizei die Protokollierungsangabe eines VPN geprüft hat, und was sie dabei mitgenommen hat.

Die Kurzfassung ist für die gesamte Branche unbequem, uns eingeschlossen. Das Land auf der "Über uns"-Seite erweist sich als schwacher Indikator dafür, was passiert, wenn die Anordnung eintrifft. Entscheidend ist, ob an diesem Tag identifizierende Daten vorhanden sind oder nicht.

Was deckt eine VPN-Protokollierungsrichtlinie eigentlich ab?

Zwei verschiedene Dinge werden "Logs" genannt, und Datenschutzseiten verwischen den Unterschied absichtlich. Aktivitätsdaten sind das, was Sie durch den Tunnel getan haben: die Websites, die DNS-Anfragen, der Datenverkehr. Verbindungsdaten sind die Buchführung rund um den Tunnel: wann sich ein Konto verbunden hat, mit welchem Server und wie viele Daten übertragen wurden. Ein Anbieter kann das Zweite ohne das Erste speichern, und die meisten kommerziellen Dienste tun das, weil sich Bandbreitenmissbrauch und Limits für gleichzeitige Verbindungen sonst kaum durchsetzen lassen.

Die Frage, die ein Gericht stellt, ist enger als beides: Kann dieses Unternehmen heute eine zu einem bestimmten Zeitpunkt gesehene IP-Adresse einem zahlenden Kunden zuordnen? Diese Verknüpfung kann in einem Verbindungsdatensatz existieren, in einem Kontosystem, in den Unterlagen eines Zahlungsdienstleisters oder in einem Tool zur Betrugsprävention. Selten liegt sie dort, wovon die Datenschutzseite spricht.

Le VPNs eigene Position ist einen Satz lang: Wir speichern Verbindungsprotokolle, keine Aktivitätsprotokolle. Dieser Artikel soll Ihnen die Werkzeuge geben, einen solchen Satz zu prüfen, unseren eingeschlossen.

Welche Länder zwingen VPN-Anbieter zur Datenspeicherung?

Die Tabelle stellt die Speicherregeln der Jurisdiktionen zusammen, in denen die meisten kommerziellen VPNs eingetragen sind, plus die vier, die den Markt durch Gesetze gegen sie verändert haben. "Erreicht VPNs" bedeutet, dass die Speicherpflicht für einen VPN-Dienst gilt, der von diesem Land aus betrieben wird, und nicht nur für lizenzierte Telekommunikationsanbieter. Quellen sind das Gesetz, das Urteil oder die eigene Erklärung der Regierung, wo immer es eine gibt.

Lesen Sie die dritte Spalte durch, und das Muster ist offensichtlich. Von 16 Jurisdiktionen haben fünf eine geltende Speicherpflicht, unter die ein dort betriebenes VPN fallen könnte. Indien hat seine Regel ausdrücklich für VPN-Dienste geschrieben. Russland, Frankreich, das Vereinigte Königreich und Australien haben ihre für Betreiber, Hosting-Anbieter oder "Telekommunikationsbetreiber" geschrieben, Definitionen, die weit genug sind, um ein VPN zu erfassen, und die bislang selten an einem erprobt wurden. Überall sonst gibt es gar keine Pflicht. Die beliebten "Datenschutz-Häfen" und die angeblich feindlichen Niederlande oder Rumänien stehen in derselben Zeile: kein Speichergesetz.

Spielt die Five-Eyes-Liste noch eine Rolle?

Weniger, als das Marketing suggeriert. Die Five Eyes (Vereinigte Staaten, Vereinigtes Königreich, Kanada, Australien, Neuseeland) sind eine Vereinbarung zum Austausch von Fernmeldeaufklärung, die auf das UKUSA-Abkommen von 1946 zurückgeht. Die Erweiterungen Nine Eyes und Fourteen Eyes stammen aus Dokumenten der Snowden-Ära, die die Gruppe "SIGINT Seniors Europe" beschreiben, die Dänemark, Frankreich, die Niederlande und Norwegen hinzufügt, dann Belgien, Deutschland, Italien, Spanien und Schweden. Der Wikipedia-Eintrag zu Five Eyes verfolgt die Primärdokumente.

Was diese Abkommen regeln, ist, wie Geheimdienste teilen, was sie bereits abgefangen haben. Was sie nicht regeln, ist, ob ein Richter in Panama-Stadt oder Road Town ein Unternehmen zur Herausgabe von Unterlagen zwingen kann, denn das ist eine Frage des nationalen Strafprozessrechts und der Rechtshilfeabkommen. Panama hat seit 1995 ein Rechtshilfeabkommen (MLAT) mit den Vereinigten Staaten; die Britischen Jungferninseln beantworten Ersuchen über das Vereinigte Königreich. Die zweite Tabelle unten zeigt das praktische Ergebnis: Die beiden sauberen US-Fälle stammen aus einem Five-Eyes-Land, und die beiden Anbieter, die 2017 und 2021 identifizierende Daten lieferten, saßen in Hongkong und der Schweiz.

Eine Definition, die man sich merken sollte: Die Jurisdiktion eines VPN ist das Land, dessen Gerichte das Unternehmen zwingen können, das den Dienst betreibt. Das ist nicht immer das Land, in dem die Server stehen, und selten das Land, dessen Flagge auf der Preisseite erscheint.

Welche Speichergesetze ändern sich 2026?

Drei Verfahren sind gleichzeitig offen, und alle drei würden VPN-Anbieter von der Spalte "keine Pflicht" in die Spalte "Pflicht" verschieben, wenn sie wie entworfen verabschiedet werden.

Die Europäische Union unternimmt ihren fünften Anlauf. Die Richtlinie zur Vorratsdatenspeicherung von 2006 wurde in Digital Rights Ireland (8. April 2014) für ungültig erklärt; nationale Kopien fielen in Tele2 und Watson (21. Dezember 2016), La Quadrature du Net (6. Oktober 2020) und SpaceNet (20. September 2022). Der Gerichtshof lenkte in La Quadrature du Net II (30. April 2024) ein und akzeptierte die allgemeine Speicherung von IP-Adressen, die mit der zivilen Identität verknüpft sind, zur Verfolgung gewöhnlicher Straftaten. Die ProtectEU-Strategie der Kommission vom April 2025 versprach eine neue Initiative, eine Folgenabschätzung wurde im Mai 2025 eröffnet, ein Papier der Ratspräsidentschaft vom 27. November 2025 hielt fest, dass die meisten Mitgliedstaaten eine Mindestspeicherfrist von einem Jahr wollen, die nationales Recht überschreiten dürfte, und bei ihrem informellen Treffen in Dublin am 17. Juli 2026 unterstützten die Justizminister das Prinzip. Der Gesetzestext war noch nicht veröffentlicht, als dieser Artikel online ging. Die Seite der Kommission zur Vorratsdatenspeicherung ist der Ort, an dem er zuerst erscheinen wird.

Deutschland versucht, Brüssel zuvorzukommen. Das Bundesjustizministerium veröffentlichte am 22. Dezember 2025 einen Referentenentwurf, das Bundeskabinett beschloss ihn am 22. April 2026, der Bundesrat verabschiedete am 12. Juni seine Änderungsvorschläge, und der Bundestag hielt am 24. Juni 2026 die erste Lesung ab, bevor er ihn an die Ausschüsse überwies. Die Pflicht ist auf dem Papier eng gefasst (IP-Adresse plus Portnummer, 3 Monate, Internetzugangsanbieter), und der Branchenverband eco hat bereits erklärt, er erwarte dasselbe Schicksal wie bei den beiden vorherigen Anläufen. Ein deutsches VPN ist im gewöhnlichen Wortsinn ein Zugangsanbieter, daher werden die Definitionen des Gesetzentwurfs entscheidend sein.

Die Schweiz ist der Fall, der VPN-Unternehmen direkt getroffen hätte. Der Entwurf zur Revision der Überwachungsverordnung (VÜPF) vom Januar 2025 sah vor, "abgeleitete Kommunikationsdienste" mit mehr als 5.000 Nutzern wie Fernmeldeanbieter zu behandeln: Identität prüfen, Metadaten 6 Monate speichern, auf Verlangen entschlüsseln, wo der Anbieter die Schlüssel hält. Proton und NymVPN erklärten öffentlich, sie würden das Land verlassen, Threema kündigte an, die Verordnung zu bekämpfen, und Proton begann, Infrastruktur ins Ausland zu verlagern. Zwei parlamentarische Motionen forderten im September 2025 eine Überarbeitung; am 11. Februar 2026 veröffentlichte der Bundesrat die Ergebnisse der Vernehmlassung und gab vor einer zweiten Vernehmlassung eine externe Regulierungsfolgenabschätzung in Auftrag, ohne verbindlichen Zeitplan. Die Zeile über die freundliche Schweiz auf einer VPN-Startseite stimmt vorerst noch, und zum ersten Mal steht sie unter Vorbehalt.

Welche VPN-Protokollierungsangaben wurden von Polizei oder Gerichten geprüft?

Das ist der Teil, den keine Jurisdiktionstabelle ersetzen kann. Zehn Fälle zwischen 2011 und 2023 sind gut genug dokumentiert, um zitiert zu werden: eine Gerichtsakte, die eigene Erklärung des Anbieters oder beides. Die Anbieter werden genannt, weil die Fälle öffentlich sind; es geht um das Muster, nicht um die Marke.

Werten Sie es aus, wie Sie wollen, die Jurisdiktion verliert. Vier der zehn lieferten identifizierende Daten: einer im Vereinigten Königreich, einer in den Vereinigten Staaten, einer in Hongkong, einer in der Schweiz. Sechs lieferten nichts: zwei in den Vereinigten Staaten, je einer in Schweden, der Schweiz, den Britischen Jungferninseln und Kanada. Die Schweiz taucht auf beiden Seiten der Bilanz auf. Was die beiden Gruppen trennt, sind Technik und Kontodesign: ob eine IP-Adresse jemals neben eine Kontokennung geschrieben wird, und wie lange.

Der Fall Proton verdient einen zweiten Blick, denn er zeigt die Form der Zukunft. Proton hatte nichts gespeichert, und das spielte keine Rolle. Die Schweizer Behörden ordneten an, dass das Unternehmen die IP-Adresse eines Nutzers ab sofort erfasst, und das Schweizer Recht verpflichtete es dazu. Speichergesetze handeln von der Vergangenheit; gezielte Protokollierungsanordnungen handeln von der Zukunft, und keine Jurisdiktion in der ersten Tabelle verbietet sie.

Was beweisen Audits und RAM-only-Server, und was nicht?

Seit 2018 bezahlen die größeren Anbieter Deloitte, PwC, KPMG oder Cure53 für regelmäßige Prüfberichte, und seit etwa 2019 sind viele auf festplattenlose Server umgestiegen, die von einem signierten Image booten und ihren Zustand nur im Arbeitsspeicher halten. Beides sind echte Verbesserungen. Beides ist auch enger gefasst, als die Pressemitteilungen vermuten lassen.

Ein Audit ist eine Einschätzung der Konfiguration an den Tagen, an denen der Prüfer hingesehen hat, mit einem Umfang, den der zahlende Anbieter festgelegt hat. Lesen Sie den Abschnitt zum Prüfungsumfang: Die meisten decken VPN-Server ab und schließen die Konto-, Abrechnungs- und Betrugspräventionssysteme aus, in denen die Verknüpfung von IP-Adresse und Kunde meist liegt. RAM-only-Server beantworten eine bestimmte Bedrohung, die beschlagnahmte Maschine, und beantworten sie gut: Die sauberen Ergebnisse von Mullvad und ExpressVPN verdanken sich mehr diesem Design als schwedischem oder karibischem Recht. Über eine gezielte Anordnung, ein Konto ab morgen zu protokollieren, sagen sie nichts.

Die drei Fragen, die all das überstehen, sind einfach. Steht irgendwo in den Systemen des Unternehmens jemals eine IP-Adresse neben einer Kontokennung? Wenn ja, wie lange? Und kann das Unternehmen angewiesen werden, diese Verknüpfung für einen Nutzer auf Verlangen herzustellen? Ein Anbieter, dessen Datenschutzseite diese drei Fragen klar beantwortet, hat Ihnen mehr gesagt als jedes Jurisdiktionsabzeichen.

Wie man eine VPN-Datenschutzrichtlinie in zehn Minuten liest

Finden Sie die juristische Person. Die Datenschutzrichtlinie oder die Nutzungsbedingungen nennen ein Unternehmen und ein anwendbares Recht; wenn beide von der Flagge auf der Startseite abweichen, gewinnt die Rechtswahlklausel. Schlagen Sie dieses Land in der ersten Tabelle nach.

Durchsuchen Sie die Richtlinie nach "IP". Jede Richtlinie, die IP-Adressen überhaupt erwähnt, sagt entweder, dass sie gespeichert werden (wie lange?), gekürzt werden oder nie geschrieben werden. Schweigen zu diesem Punkt ist auch eine Antwort.

Prüfen Sie die Zahlungsspur. Karten- und PayPal-Zahlungen identifizieren Sie gegenüber dem Zahlungsdienstleister, unabhängig von der Praxis des VPN selbst; Bargeld und Kryptowährungen tun das nicht. Deshalb musste der Durchsuchungsbeschluss gegen Mullvad von vornherein ins Leere laufen.

Suchen Sie nach einem Transparenzbericht oder einem Warrant Canary und prüfen Sie die Daten. Ein Bericht, der vor zwei Jahren zuletzt aktualisiert wurde, ist ein Bericht, der aufgehört hat.

Fragen Sie, was bei einer gezielten Anordnung passiert. Die ehrliche Antwort lautet in jeder Jurisdiktion der ersten Tabelle: "Wir müssten einer gültigen Anordnung nachkommen, ein Konto zu protokollieren." Eine Richtlinie, die etwas anderes behauptet, beschreibt ein Land, das es nicht gibt.

Wenden Sie dann dieselben fünf Prüfungen auf die Seiten dieser Website an. Le VPN, gegründet in Paris, Frankreich, im November 2010, speichert Verbindungsprotokolle, keine Aktivitätsprotokolle. Die Seiten zu Online-Datenschutz und Verschlüsselung sind der richtige Einstieg. Zur technischen Seite, wie man verborgen bleibt, wenn eine Verbindung abbricht, lesen Sie die Erklärung zum Kill Switch; zur Identitätsebene jenseits des Tunnels den Leitfaden zur anonymen Identität.

Wie diese Tabelle nächstes Jahr aussehen wird

Drei der Zeilen oben tragen ein Datum aus 2026 und müssen bis 2027 neu geschrieben werden. Wenn der Bundestag das Gesetz zur Speicherpflicht für IP-Adressen verabschiedet, rückt Deutschland auf "Ja", und jeder Zugangsanbieter dort, VPNs eingeschlossen, beginnt, 3 Monate Adresszuweisungen zu speichern. Wenn die Kommission ihren Vorschlag mit einer Mindestfrist von einem Jahr veröffentlicht, kommen die seit 2015 und 2014 sauberen Zeilen der Niederlande und Rumäniens in der gesamten EU wieder ins Spiel, Frankreich eingeschlossen. Und wenn die zweite Vernehmlassung der Schweiz an der Schwelle von 5.000 Nutzern festhält, wird das Land, das die meistzitierten Datenschutzunternehmen Europas beherbergt, als erstes eine Speicherpflicht eigens für sie schreiben.

Nichts davon ändert die Lehre der zweiten Tabelle. Gesetze entscheiden, was ein Unternehmen speichern muss. Technik entscheidet, was es hat, wenn die Anordnung eintrifft. Beurteilen Sie das Zweite, bevor Sie dem Ersten vertrauen.