Sind VPNs in Spanien legal? Die Rechtslage und die 13 Sperrfälle, die die Frage aufgeworfen haben

Die vorherige Fassung dieser Seite begann mit Spanien als dem am zweithäufigsten angegriffenen Land der Welt, mit 45.000 Cyberangriffen pro Tag und einem Sprung von 2.500 % bei den VPN-Anmeldungen. Ich habe versucht, alle drei Angaben zu belegen. Die ersten beiden gehen auf Pressemitteilungen spanischer Sicherheitsanbieter zurück, die keine Methode nennen. Die dritte ist ein Lesefehler: Proton, das Unternehmen, dem sie zugeschrieben wird, meldete in seinem eigenen Beitrag einen Anstieg um 200 %. Keine der drei steht in dieser Fassung.

Die Frage, mit der Leser auf diese Seite kommen, ist einfacher. Sind VPNs in Spanien legal, und oft auch: in Italien oder Spanien? Die kurze Antwort lautet ja. Die längere Antwort ist wichtig, weil in Spanien Sperren gegen Fußballpiraterie Hunderttausende unbeteiligter Websites vom Netz genommen haben und weil ein Gericht dort inzwischen zwei VPN-Anbieter verpflichtet hat mitzumachen. Unten stehen die Regeln mit ihren Rechtsgrundlagen und jeder Sperrfall seit 2017, den ich belegen konnte, jeweils mit einem Urteil darüber, ob ein VPN ihn umgangen hätte.

Sind VPNs in Spanien legal?

Ja. Ein VPN darf in Spanien legal verkauft und legal genutzt werden, und kein spanisches Gesetz, das ich finden konnte, erwähnt VPNs überhaupt. Ich habe das Gesetz über die Informationsgesellschaft durchsucht, das Telekommunikationsgesetz von 2022, das Gesetz zur Vorratsdatenspeicherung, das Urheberrechtsgesetz, das Glücksspielgesetz und Artikel 270 des Strafgesetzbuchs. Es gibt keinen einzelnen amtlichen Satz, der sagt "VPNs sind legal", weil niemand ihn schreiben musste. Am nächsten kommt dem das staatliche Institut für Cybersicherheit INCIBE, dessen erste Empfehlung für öffentliche WLANs lautet, eines zu verwenden.

Zwei Punkte aus diesen 11 Zeilen. Spanien kennt fünf getrennte Wege zu einer gesperrten Website, nämlich das allgemeine Gesetz über die Informationsgesellschaft, die Zivilgerichte, die Kommission des Kulturministeriums, die Glücksspielaufsicht und die Strafgerichte, und drei der fünf kommen ohne Richter aus: der allgemeine Weg, über den die Arzneimittelbehörde Women on Web gesperrt hat, die Kulturkommission, sobald eine Website als Wiederholungstäter gilt, und die Glücksspielaufsicht. Und in keiner der 11 Zeilen legt das Gesetz der Person, die ein VPN nutzt, irgendeine Pflicht auf. Jede Verpflichtung trifft einen Betreiber, einen Vermittler oder einen Rechtsverletzer. Das spanische VPN-Recht besteht vorerst darin, dass es kein VPN-Recht gibt.

Welche Sperranordnungen haben die Spanier nach VPNs fragen lassen?

Die Tabelle führt 13 Fälle zwischen 2017 und September 2026 auf. Die letzte Spalte beantwortet eine enge technische Frage: Hätte ein VPN die Sperre umgangen, so wie sie gebaut war? Sie sagt nichts darüber, was rechtmäßig angesehen werden durfte.

Die Urteile ergeben zehnmal ja, zweimal teilweise und einmal nicht nötig. Der Grund liegt im Aufbau. Zehn der dreizehn Sperren wurden im Netz des Zugangsanbieters errichtet, und ein VPN-Tunnel läuft ungeöffnet durch dieses Netz. Das Geoblocking von GitHub aus dem Jahr 2019 hing an einer spanischen IP-Adresse, und die ändert ein VPN ebenfalls. Zwei Fälle sind anders. 2017 ging der Staat zur Domain-Registrierungsstelle, und eine beschlagnahmte Domain ist für die ganze Welt weg. 2026 gingen die Rechteinhaber zu den VPN-Anbietern selbst. Das sind die beiden Richtungen, in die Sperren gehen können, wenn das Zugangsnetz nicht mehr ausreicht.

Für das Ausmaß der Fußballsperren gibt es echte Messungen. OONI ermittelte 7.441 IP-Adressen, die zwischen dem 1. Januar und dem 1. Juni 2026 in spanischen Netzen gesperrt waren, und glich dann 9,2 Millionen populäre Domains damit ab: 554.507 davon, also 5,8 %, lagen zu irgendeinem Zeitpunkt auf einer gesperrten Adresse. Mehr als 501.000 dieser Domains lagen hinter 2.218 Cloudflare-Adressen, und es reichte, in einer einzigen Stunde zwischen 4 und 20 Adressen zu sperren, um über 400.000 Domains zu stören. Betroffen waren unter anderem Länderseiten von UNICEF und des UN-Flüchtlingshilfswerks, Amnesty-Sektionen und eine Software-Registry. LaLiga vertritt die Position, die Sperren hätten die Piraterie an Wochenenden um 40 bis 60 % gesenkt, "ohne Kollateralschäden". Das Gericht in Barcelona wies im März 2025 die Nichtigkeitsanträge von Cloudflare und der Sicherheitskonferenz RootedCON ab und sah einen Schaden für Dritte als nicht bewiesen an. Die Beschwerden wegen Netzneutralität beim Ministerium stiegen von etwa zehn auf etwa 265 im Jahr 2025.

Deshalb wurde "sind VPNs in Spanien legal" zu einer häufigen Suchanfrage. Die meisten Fragenden suchten keinen Fußball. Es waren Entwickler, deren Deployments an einem Samstagabend fehlschlugen, und Kunden, deren Bezahlseite nicht laden wollte.

Ist ein VPN in Italien oder Spanien legal, und wie schneiden die beiden im Vergleich ab?

Die Nutzung eines VPN ist in beiden Ländern legal. Sie unterscheiden sich darin, wie weit Sperrpflichten auf VPN- und DNS-Unternehmen abgewälzt wurden, und Italien ist weiter gegangen.

Der Gegensatz ist der zwischen einer Aufsichtsbehörde und einem Gerichtssaal. Italien hat VPN-Anbieter in ein dauerhaftes Verwaltungssystem hineingeschrieben. Spanien hat eine einzige einstweilige Anordnung, und das Gericht, das sie erließ, lehnte es danach ab, sie mit Zwangsgeldern durchzusetzen. Keines der beiden Länder hat den Nutzer angetastet. Unsere Seiten zur Nutzung eines VPN in Spanien und in Italien behandeln die Alltagsseite, und das Register der Website-Sperren in Frankreich zeigt das dritte Modell: Dort haben Pariser Gerichte seit Mai 2025 fünf VPN-Anbieter verpflichtet, Domains mit Sportpiraterie zu sperren.

Wie steht es um Privatsphäre, Vorratsdatenspeicherung und Cyberkriminalität in Spanien?

Die alte Seite stützte sich auf alarmierende Zahlen. Dies sind die amtlichen. Das Reaktionsteam von INCIBE bearbeitete im Jahr 2025 insgesamt 122.223 Cybersicherheitsvorfälle, 26 % mehr als im Vorjahr, davon 45.445 Fälle von Online-Betrug einschließlich Phishing. Die Datenschutzbehörde erhielt im Jahr 2025 insgesamt 30.931 Beschwerden, 64 % mehr und so viele wie nie zuvor, und verhängte Bußgelder von 48,1 Millionen €.

Bei der Vorratsdatenspeicherung gilt in Spanien noch immer die 12-Monats-Regel, die das Land 2007 einführte, um eine EU-Richtlinie umzusetzen. Diese Richtlinie hat der Gerichtshof der EU 2014 gekippt, im ersten einer Reihe von Urteilen gegen die anlasslose Speicherung. Das Gesetz bindet Telekommunikationsbetreiber, es verlangt für den Zugriff eine richterliche Genehmigung, und es wurde nicht neu gefasst. Ihr Internetanbieter bewahrt deshalb ein Jahr lang Aufzeichnungen darüber auf, wann und wo Sie sich verbunden haben, allerdings nicht darüber, was Sie gelesen haben. Ein VPN ersetzt das, was dieser Anbieter über Ihre Ziele aufzeichnen kann, durch einen einzigen Eintrag, den VPN-Server. Unsere Tabelle der Gesetze zur Vorratsdatenspeicherung in 16 Rechtsordnungen zeigt, wie andere Länder mit derselben Frage umgehen. Le VPN hat einen Serverstandort in Spanien unter mehr als 100, erlaubt 10 gleichzeitige Verbindungen und bietet eine 30-tägige Geld-zurück-Garantie.

Was ändert sich als Nächstes?

• Verfassungsgericht. RootedCON kündigte am 16. Mai 2025 seine Beschwerde gegen die Fußballsperren an, und Cloudflare reichte bis Juni 2025 eine eigene ein. Am 18. September 2026 hatte das Gericht noch immer nicht entschieden, ob es die von RootedCON zulässt.
• Córdoba. Die einstweilige Anordnung gegen die beiden VPN-Anbieter bleibt in Kraft, und das Hauptverfahren ist anhängig. Ich habe keinen Bericht darüber gefunden, ob Proton die Anordnung umgesetzt hat.
• Das Urteil aus Barcelona läuft mit der Saison 2026/2027 aus, etwa am 20. Juni 2027. Die Ausschreibung von LaLiga für die Übertragungsrechte 2027 bis 2032 macht die Mitwirkung an Sperren und die Unterstützung rechtlicher Schritte gegen VPNs und DNS-Dienste zur Bedingung für Bieter. Ein neuer Antrag im Jahr 2027 ist wahrscheinlich.
• Kongress. Ein Ausschuss nahm am 29. April 2026 einen nicht bindenden Antrag an, der die Regierung auffordert, "technologische Verhältnismäßigkeit" ins Gesetz zu schreiben. Für sich genommen ändert er nichts, und es ist kein Gesetzentwurf gefolgt.
• Das Minderjährigengesetz. Die Regierung will das Organgesetz vor Ende 2026 verabschieden. Im Blick zu behalten ist der Änderungsantrag 89, der VPN- und DNS-Anbieter als Vermittler mit einer 30-minütigen Sperrpflicht in das Gesetz über die Informationsgesellschaft schreiben würde. Ich konnte nicht feststellen, ob der Ausschuss ihn angenommen hat.
• Women on Web gegen Spanien wurde am 12. Juni 2026 beim Europäischen Gerichtshof für Menschenrechte eingereicht.
• Italien. Das Verwaltungsgericht Latium bestätigte das Bußgeld gegen Cloudflare am 17. Juli 2026 im Urteil 13201/2026. Cloudflare hat angekündigt, erneut Rechtsmittel einzulegen.