Die tatsächlichen Risiken der VPN-Nutzung in Russland Ende 2026

Rund 40 Prozent der Menschen in Russland nutzen inzwischen ein VPN, und der Anteil der Bezahlangebote unter ihnen stieg zwischen 2024 und 2026 von 15 auf 48 Prozent. Dutzende Millionen Menschen haben eine VPN-App auf dem Smartphone, und ein großer Teil von ihnen hat irgendwo eine Abbuchung für ein Abo im Kontoauszug. Jeder von ihnen hat Grund zu fragen, was diese App und diese Abbuchung kosten könnten.

Die Nutzung eines VPN ist in Russland im November 2026 kein Verstoß, und auch das Bezahlen eines VPN ist kein Verstoß. Anton Gorelkin, stellvertretender Vorsitzender des IT-Ausschusses der Duma, erklärte im Februar 2026, dass ein Bußgeld für die VPN-Nutzung nicht geplant und nicht einmal im Gespräch sei. Eine von Izvestia am 28. Oktober 2026 veröffentlichte juristische Einschätzung kam zum selben Ergebnis.

Das Risiko hat sich von der Verbindung selbst wegbewegt. Es liegt nun an zwei Stellen. Die eine ist alles, womit die VPN-Nutzung in Verbindung gebracht wird, etwa eine Suchanfrage oder eine Anklage. Die andere sind Aufzeichnungen. Eine Zahlung, eine Kundenliste oder ein Verbindungsprotokoll wird jahrelang aufbewahrt, und es kann später nach Regeln ausgewertet werden, die zum Zeitpunkt der Aufzeichnung noch nicht existierten. Drei dieser Regeln traten in den vergangenen 14 Monaten in Kraft.

Ist die Nutzung eines VPN in Russland illegal?

Nein. Das Gesetz bestraft einen engeren Sachverhalt, und die Details sind entscheidend.

Seit dem 1. September 2025 bestraft Artikel 13.53 des Gesetzbuchs über Verwaltungsrechtswidrigkeiten, eingeführt durch das Bundesgesetz 281-FZ, das absichtliche Suchen nach und den Zugriff auf Materialien auf der föderalen Liste extremistischer Materialien. Das Bußgeld beträgt 3.000 bis 5.000 Rubel, und der Artikel wurde so gefasst, dass er Suchen über ein VPN abdeckt. Das erste Bußgeld in Höhe von 3.000 Rubeln wurde am 10. Dezember 2025 verhängt, gegen einen Einwohner von Kamensk-Uralski. Gegen einen 16-Jährigen in Myski verhängte eine Jugendkommission Anfang 2026 dasselbe Bußgeld, und am 12. November 2026 verhängte ein Gericht ein Bußgeld gegen einen Einwohner von Dmitrow. Eine Gesamtzahl solcher Bußgelder wurde bisher nicht veröffentlicht.

Dasselbe Paket machte die Werbung für VPN-Dienste zur Ordnungswidrigkeit, mit Bußgeldern von bis zu 500.000 Rubeln für Unternehmen. Seit März 2024 ist die Veröffentlichung von Informationen, die Umgehungswerkzeuge bekannt machen, ein Grund für die Sperrung des Herausgebers. Anbieter unterliegen einer eigenen Regel: Ein Dienst, der sich weigert, sich an die Sperrliste des Staates anzuschließen, wird selbst gesperrt. Roskomnadzor meldete bis Ende Februar 2026 469 gesperrte VPN-Dienste, gegenüber 258 im Oktober 2025. Für den Herbst wurde bis November 2026 keine offizielle Zahl veröffentlicht.

Ein Gerücht vom Sommer lässt sich abhaken. Am 7. Juli 2026 dementierte das Digitalministerium, dass es eine Gebühr für ausländischen Datenverkehr erwäge, einschließlich VPN-Verkehr.

Stellt man die Regeln, die einen VPN-Nutzer oder eine VPN-Zahlung betreffen, nebeneinander, ergibt sich folgendes Bild. Unser Verzeichnis der VPN-Regeln Russlands verfolgt sie bei jeder Änderung.

Die dritte Zeile wird am leichtesten missverstanden, denn sie ist die einzige, in der das Werkzeug selbst im Strafgesetzbuch auftaucht.

Was bedeutet „VPN als erschwerender Umstand“ in der Praxis?

Ein erschwerender Umstand ist ein Fakt, der keine Straftat schafft, aber einem Gericht erlaubt, dafür ein härteres Urteil zu fällen. Das Bundesgesetz Nr. 282-FZ vom 31. Juli 2025 fügte einen solchen Fakt in Artikel 63 Teil 1 des Strafgesetzbuchs ein. Es handelt sich um Buchstabe „f“ in der Transliteration, den russischen Buchstaben „ф“, und er ist seit dem 1. September 2025 in Kraft. Der Wortlaut erfasst „die Begehung einer Straftat unter Verwendung von Software- und Hardwaremitteln des Zugriffs auf Informationsressourcen und Informations- und Telekommunikationsnetze, zu denen der Zugang beschränkt ist“. Die Staatsanwaltschaft veröffentlichte am 12. September 2025 ihre eigene Erläuterung.

Zwei Eigenschaften des Buchstabens bestimmen seine Reichweite. Er steht im Allgemeinen Teil des Gesetzbuchs, sodass er auf jede Straftat angewendet werden kann. Zudem benötigt er eine Straftat, an die er anknüpfen kann. Wer ein VPN nutzt und keine Straftat begeht, fällt nicht unter ihn. Der Buchstabe nennt VPNs nicht. Er beschreibt eine Kategorie von Werkzeugen, und ein VPN, das zum Zugriff auf eine gesperrte Ressource verwendet wird, fällt unter diese Beschreibung.

Das Gesetz ist 14 Monate alt, und die bekannte Gerichtspraxis ist dünn. Im April 2026 fand Verstka die ersten beiden Urteile, die ihn anwandten, beide in Drogenfällen. In Nowomoskowsk in der Oblast Tula verurteilte ein Gericht im Dezember 2025 einen Mann zu 1 Jahr und 8 Monaten in einer Kolonie, nachdem er über ein VPN die Seite eines gesperrten Verkäufers erreicht hatte. In Uchta in der Republik Komi erging im Februar 2026 ein Urteil mit drei Jahren auf Bewährung. Berichte von Meduza und Novaya Gazeta Europe weisen darauf hin, dass unklar ist, ob das Werkzeug ein VPN oder Tor war. OVD-Info erklärte damals, es kenne keine politischen Fälle, in denen der Buchstabe verwendet wurde.

Zwei spätere Entwicklungen gehören in den Zusammenhang mit dem Buchstaben, obwohl keine davon Gesetz ist. Am 28. Oktober 2026 teilte Jewa Merkatschowa, Mitglied des Präsidialrats für Menschenrechte, der Fontanka mit, dass Ermittler die Nutzung von VPNs und verschwindenden Nachrichten als „Methoden der Konspiration“ anführen, wenn sie Gerichte um Anordnung von Untersuchungshaft bitten. Ihre Schilderung ist anekdotisch und nennt keine Zahl von Fällen. Sie betrifft Haftverhandlungen, die ein eigenes Thema sind und nichts mit dem Buchstaben „f“ zu tun haben. Am 28. Juli 2026 erklärte Alexander Bastrykin, Leiter des Ermittlungskomitees, ein Gesetzentwurf sei vorbereitet, der die Nutzung von KI, VPNs und Proxys zu einem neuen erschwerenden Umstand machen würde, wenn Informationstechnologie das Hauptwerkzeug der Straftat ist. In der Duma wurde bis November 2026 keine Gesetzentwurfsnummer veröffentlicht. Es bleibt ein Vorschlag.

Für einen gewöhnlichen Nutzer ist der Buchstabe nur relevant, wenn eine strafrechtliche Anklage besteht. Die Nutzung eines VPN allein führt zu nichts. Sobald eine Person mit einer Anklage jeglicher Art konfrontiert ist, ist ein VPN auf dem Gerät oder in den Akten etwas, das die Anklage nutzen kann.

Was hinterlässt die Bezahlung eines VPN?

Eine App lässt sich löschen. Eine Zahlung nicht, und sie ist oft die langlebigste Spur eines VPN-Abonnements.

In Russland verläuft diese Spur im Inland. Visa und Mastercard stellten ihre Geschäfte in Russland im März 2022 ein, sodass eine in Russland ausgestellte Karte keinen ausländischen Händler direkt bezahlen kann. Ein ausländischer Dienst, der Zahlung per Mir-Karte oder über SBP, das Schnellzahlungssystem der Zentralbank, anbietet, hat daher irgendwo in der Kette ein inländisches Glied. Öffentliche Berichte beschreiben diese Glieder nach Kategorien. Dazu gehören ein russischer Acquirer hinter einem Shop oder Bot, ein Zahlungsagent, der Rubel entgegennimmt und im Ausland abrechnet, ein Weiterverkaufsmarktplatz sowie eine inländische Überweisung an eine Privatperson. In jedem Fall liegt das Geld im Moment der Zahlung in russischer Zahlungsinfrastruktur. Die ausländische Marke kommt später ins Spiel.

Drei Ebenen können dieses Glied einsehen.

Die mittlere Ebene ist die neue. Das Gesetz 461-FZ trat am 1. September 2026 in Kraft, und von diesem Datum an muss die Finanzermittlungsbehörde Rosfinmonitoring nicht mehr jede Bank gesondert anfragen. Der Umfang, den sie abdeckt, ist groß. SBP allein wickelte 4,7 Milliarden Transaktionen im Wert von 26,5 Billionen Rubel im ersten Quartal 2026 ab.

Anbieter in diesem Markt suggerieren Diskretion oft durch neutrale Händlernamen oder Abbuchungen, die wie Überweisungen an unverbundene Firmen oder Privatpersonen aussehen. Auf Ebene der Buchungsdaten ist das Kosmetik. Die Bank und NSPK ordnen jeden Empfänger einem registrierten Unternehmen oder einer verifizierten Person zu, ganz gleich, was der Anzeigename besagt. In den Strafverfahren wegen Spenden an die Antikorruptionsstiftung von Alexei Nawalny, FBK, ordneten Ermittler Kontoauszüge anhand eines sich wiederholenden Händlerkennzeichens zu. Identische Monatsbeträge an denselben Empfänger bilden für sich genommen bereits ein Abo-Muster.

Ob jemand die Buchungsdaten nach VPN-Abonnements abfragt, ist eine andere Frage. Keine Quelle dokumentiert das, und eine Strafverfolgung wegen einer VPN-Zahlung ist nirgendwo belegt. Da inzwischen fast die Hälfte der VPN-Nutzer in Russland zahlt, beschreiben die potenziell abfragbaren Unterlagen zig Millionen Menschen.

Eine erwartete Regel ist nicht gekommen. Im Frühjahr 2026 erwartete die Branchenberichterstattung ein Verbot, VPNs mit russischen Karten zu bezahlen, im Rahmen des Gesetzentwurfs „Antifraud 2.0“, und mindestens ein großer russischer Acquirer habe laut Berichten die Betreuung von VPN-Anbietern eingestellt. Der Entwurf wurde zum Gesetz 210-FZ vom 26. Juni 2026, und die veröffentlichte Zusammenfassung des Gesetzes enthält keine Bestimmung zu VPN-Zahlungen. Stand November 2026 wurde ein solches Verbot nicht erlassen.

Ist es wichtig, wer Ihr Geld entgegennimmt?

Eine Zahlung hat zwei Enden, und das zweite Ende kann wichtiger sein als das erste. Das russische Recht behandelt einige Empfänger sehr unterschiedlich, und einige seiner Regeln treffen den Zahler, während andere nur den Empfänger betreffen.

Bei ausländischen Agenten ist die Verwirrung am größten. Kein Gesetz bestraft es, an einen ausländischen Agenten zu zahlen oder von ihm zu kaufen. Ein VPN-Dienst wurde erstmals im November 2023 in das Register der ausländischen Agenten aufgenommen. Anwaltinnen und Anwälte, die Fontanka damals interviewte, sagten, dass „finanzielle Beziehungen zu einem ausländischen Agenten nicht verboten sind“. Einer von ihnen fügte hinzu, dass die Durchsetzung in diesem Bereich „absolut willkürlich“ sei. Die Geldregeln, die existieren, binden den Agenten. Seit dem 1. März 2025 geht das Einkommen eines ausländischen Agenten aus russischen Quellen wie Immobilienverkäufen und Miete, Zahlungen für geistiges Eigentum, Zinsen und Dividenden auf ein spezielles Rubelkonto, das eingefroren bleibt, bis die Person aus dem Register gestrichen wird. Gehälter und Honorare sind nicht erfasst. Stand November 2026 gibt es keine Regel, die die zahlende Person sanktioniert.

Andere Einstufungen erreichen durchaus den Zahler. Die Finanzierung einer Organisation, die als „unerwünscht“ erklärt wurde, ist nach Artikel 284.1 Teil 2 des Strafgesetzbuches eine Straftat. Im Februar 2026 wurde Ksenia Belova zu anderthalb Jahren in einer Strafkolonie mit offenem Vollzug verurteilt, weil sie 150.000 Rubel auf die Bankkarte eines Aktivisten der AllatRa-Bewegung überwiesen hatte. Die Überweisung ging auf die private Karte einer Einzelperson, und das Gericht wertete sie als Finanzierung der Organisation. Sie sagte, man habe sie über den Zweck des Geldes getäuscht. Das Gericht behandelte das als „Verteidigungstaktik“.

Die Finanzierung einer Organisation, die als „extremistisch“ erklärt wurde, ist nach Artikel 282.3 eine Straftat. Mediazona zählte bis zum 21. April 2026 mindestens 225 Strafverfahren in 64 Regionen wegen Spenden an die FBK, das ist die letzte vollständige Zählung. Die Beträge können klein sein. Im Oktober 2026 wurde ein Moskauer namens Ainulin zu drei Jahren verurteilt, weil er 2.100 Rubel gespendet hatte. Am 12. November 2026 forderten Staatsanwälte im Fall Leonovich fünf Jahre. Zu den verfolgten Zahlungen gehörten automatische Abbuchungen, die nach Inkrafttreten der Einstufung eingingen, aus Abonnements, von denen die Spender sagen, sie hätten sie gekündigt oder nie bewusst eingerichtet.

Ein dritter Mechanismus betrifft den Empfänger und stoppt die Zahlung. Rosfinmonitoring führt eine Liste von Terroristen und Extremisten, die im Oktober 2026 etwa 23.000 Einzelpersonen und 900 Organisationen umfasste. Personen werden aufgenommen, sobald sie angeklagt werden, noch vor jeder Verurteilung. Ihre Konten werden eingeschränkt und Banken frieren ihre Gelder ein. Eine Überweisung an eine gelistete Person ist als solche nicht strafbar, aber die Bank blockiert sie.

Keine dieser Regeln betrifft VPNs, und kein Fall verbindet einen VPN-Kauf mit einer von ihnen. Sie erklären dennoch, warum ein Verkäufer unter staatlicher Prüfung ein schlechter Vertragspartner für den Käufer ist. Das Zahlungsprotokoll des Käufers liegt in der Finanzakte einer Person, die der Staat untersucht, und diese Akte wird von Leuten gelesen, die nach anderen Dingen suchen. Einstufungen können später ausgesprochen werden, und die Spenderfälle zeigen, dass Zahlungen, die über eine Einstufung hinaus weiterliefen, verfolgt wurden. Eine Zahlung an eine gelistete Person wird von der Bank blockiert, was den Käufer ohne den Dienst lässt. Das Verzeichnis eines grauen Zwischenhändlers kann auch den Besitzer wechseln. Als die Zentralbank 2024 die Lizenz der QIWI Bank entzog, gingen ihre Unterlagen an die Strafverfolgungsbehörden.

Einzelverkäufer in Messengern sind ein eigener Fall. Kein Gesetz bezieht sich speziell auf den Kauf eines VPNs bei einem solchen Verkäufer. Das dort beschriebene Risiko ist Betrug und Erpressung, einschließlich Drohungen, die sich auf einen „Straftatbestand“ berufen. Die Beleglage dafür ist dünn und beschränkt sich auf Frage-und-Antwort-Seiten von Anwältinnen und Anwälten.

Können durchgesickerte oder kopierte Datenbanken einen VPN-Dienst mit Ihnen verknüpfen?

Buchungsdaten sind eine Art von Aufzeichnung. Kundenlisten, Registrantenlisten und Kundentabellen sind eine andere, und sie gelangen auf zwei Wegen zum Staat. Der eine ist ein Leak. Der andere ist seit dem 1. April 2026 eine rechtmäßige Kopie.

Bei Leaks ist die Rechtslage klar. Stand November 2026 erlaubt kein Gesetz der russischen Polizei, durchgesickerte Datenbanken zur Identifizierung von Personen oder als Beweismittel zu verwenden. Kein veröffentlichtes Gesetz, kein Dekret, kein Urteil des Obersten Gerichts und kein Duma-Gesetzentwurf autorisiert dies.

Die Praxis ist älter als jedes jüngere Gesetz. Am 17. August 2021 besuchte die Polizei Moskowiter zu Hause, deren Adressen in durchgesickerten Datenbanken der Registrierten für Smart Voting und von Nawalny-Anhängern aufgetaucht waren, wie OVD-Info berichtete. Im Februar 2025 wurde im Fall eines Rentners, der wegen 3.500 an FBK gespendeter Rubel verfolgt wurde, die durchgesickerte Smart-Voting-Liste Berichten zufolge verwendet, um ihn zu finden, während Zahlungsdokumente das Hauptbeweismittel waren. Dieser Bericht stützt sich auf die Darstellung eines einzigen Mediums. Im September 2025 schrieb Mediazona in ihrer Berichterstattung über den Fall Dmitry Regush, dass Sicherheitskräfte diese Leaks als zusätzliches Beweismittel nutzen. Das ist Mediazonas Lesart ähnlicher Fälle, kein Gerichtsurteil. All dies ist Berichterstattung über die Praxis. Keines davon ist eine rechtliche Erlaubnis.

Das Gesetz zu Leaks bewegte sich in die entgegengesetzte Richtung. Seit dem 11. Dezember 2024 macht Artikel 272.1 des Strafgesetzbuchs die Verwendung, Übertragung, Erhebung oder Speicherung illegal erlangter personenbezogener Daten strafbar. Die Strafe beträgt bis zu vier Jahre, in schwerwiegenden Fällen bis zu zehn Jahre. Der Artikel wurde auf Händler von Leaks angewendet. Im Juli 2025 schickte ein Moskauer Gericht sieben Menschen in einem Fall über den Handel mit Datenbanken in Untersuchungshaft oder Hausarrest, darunter mutmaßliche Mitarbeiter des Rechenzentrums des Innenministeriums. Ob die Anmerkungen zu dem Artikel etwas über die Verwendung durch Ermittler selbst aussagen, ist nicht geklärt.

Die neue Befugnis betrifft legitime Datenbanken, und sie ist weiterreichend als alles, was über Leaks gesagt wurde. Seit dem 1. April 2026 dürfen FSB-Stellen Kopien der Datenbanken jeder Organisation in Russland oder Teile davon unentgeltlich und ohne Gerichtsbeschluss erhalten. Die Anordnung muss vom FSB-Direktor, seinen Stellvertretern oder dem Leiter eines regionalen FSB-Büros ausgehen, und die Datenbank muss Informationen enthalten, die der Dienst für seine Aufgaben benötigt. Die Änderung passierte die Duma am 16. Dezember 2025 und trat am 1. April 2026 in Kraft. Die Kopien sind zu vernichten, sobald der Zweck ihrer Erlangung erreicht ist. Laut dem Medium Agentstvo existiert kein Mechanismus, um zu überprüfen, ob diese Löschung erfolgt. Vorher erforderte der Zugriff auf die Datenbanken einer Organisation außerhalb von Sektorenregimen wie SORM im Allgemeinen einen Gerichtsbeschluss. Kein Bericht dokumentiert, dass diese Befugnis zur Identifizierung von VPN-Nutzern eingesetzt wurde.

Eine kopierte Datenbank ist selbst dann von Bedeutung, wenn Namen entfernt sind oder sie nur Fragmente enthält, und die Forschung zur Re-Identifizierung ist sich einig, warum. 2008 nahmen Narayanan und Shmatikov den „anonymisierten“ Netflix-Prize-Datensatz mit Filmbewertungen und identifizierten Nutzer wieder, indem sie ihn mit öffentlichen IMDb-Bewertungen abglichen. 2015 untersuchte eine Studie in Science drei Monate an Kartentransaktionen von 1,1 Millionen Menschen und stellte fest, dass vier Transaktionen mit nur groben Angaben zu Ort und Datum 90 Prozent der Personen re-identifizierten. Die Kenntnis der Beträge erleichterte die Identifizierung noch weiter. Der Befund überträgt sich auf jeden großen Transaktionsdatensatz. Das Entfernen der Namen macht eine Karte nicht anonym.

Das Muster ist in jedem Fall dasselbe. Ein Datensatz plus eine Identitätsquelle re-identifiziert Menschen. Die Kundenliste eines russischen Resellers, die Buchungsdaten eines Zahlungsagenten, die Kundentabelle eines Cloud-Anbieters und eine durchgesickerte Registrantenliste sind alles Datensätze. Bankunterlagen, die jeden Zahler einem Pass zuordnen, sind die Identitätsquelle.

Warum bergen VPNs, die durch Russlands Whitelist tunneln, eigene Risiken?

Die Datenbankbefugnis gilt für Organisationen in Russland. Seit 2025 sind manche VPN-Konfigurationen genau von solchen Organisationen abhängig geworden, und der Grund dafür sind die Mobilfunkabschaltungen.

Massenhafte regionale Abschaltungen des mobilen Internets begannen im Mai 2025, offiziell als Maßnahme gegen Drohnen. Am 8. Juli 2025 berichteten Nutzer in 77 Regionen von Abschaltungen an einem einzigen Tag, und in jenem Monat wurden mindestens 2.099 Abschaltungen gezählt. Das Monitoringprojekt Na Svyazi stellte fest, dass bis 2026 alle 83 international anerkannten Regionen Russlands mindestens eine Abschaltung erlebt hatten. Der mobile Datenverkehr fiel im ersten Halbjahr 2026 im Jahresvergleich um 22 Prozent, und in den am stärksten betroffenen Regionen, darunter Iwanowo, lag er um mehr als 40 Prozent niedriger.

Was während einer Abschaltung erreichbar bleibt, ist die Whitelist, ein Verzeichnis genehmigter inländischer Dienste, das das Digitalministerium erstmals im September 2025 mit einigen Dutzend Einträgen veröffentlichte. Bis April 2026 überschritt es 500 Einträge. Sein berichteter Kern sind Regierungsportale, VK- und Yandex-Dienste, das Mir-Bezahlsystem, große Banken und Marktplätze. Der Whitelist-Modus kehrt die Zensur um, von einer Liste des Verbotenen zu einer Liste des Erlaubten, sodass alles Neue, Ausländische oder Nichtgenehmigte standardmäßig blockiert wird. Die physische Seite dieser Konstruktion ist Gegenstand unseres Artikels über die Angriffe auf die Rechenzentren von Sber und VK und die Whitelist.

Manche VPN-Konfigurationen blieben in diesem Modus erreichbar, indem sie über Infrastruktur geroutet wurden, die selbst auf der Whitelist steht, etwa über Server, die in russischen Clouds gemietet wurden. Der deutlichste Beleg dafür, dass diese Praxis verbreitet war, ist die Tatsache, dass der Staat 2026 dreimal darauf reagiert hat.

Eine vierte offizielle Runde wurde seit dem 31. August nicht bestätigt. Für September und November 2026 wurden Sperrwellen gemeldet, und die Zuschreibung dazu ist unsicher. Unser Bericht über die Sperrwelle im September 2026 stellt dar, was bekannt ist.

Jede dieser Runden schnitt funktionierende Verbindungen über Nacht ab, daher ist die Verfügbarkeit ein Problem solcher Wege. Das größere Problem ist rechtlicher Natur. Das Routing über eine russische Plattform der Whitelist bringt eine russische juristische Person in den Verbindungsweg, und das russische Gesetz ist eindeutig darüber, was eine solche Organisation tun muss.

Die rechte Spalte bedeutet nicht, dass ein solcher Weg sicher ist. Der eigene russische Mobilfunkanbieter eines Nutzers speichert Verbindungsmetadaten nach denselben Regeln für ein Jahr. Der Vergleich zeigt nur, wo ein Unternehmen sitzt, das zur Kooperation gezwungen werden kann.

Die Unternehmen in der linken Spalte haben eine Vorgeschichte. Eine Studie von Novaya Gazeta Europe zählte mehr als 30.000 Fälle wegen Beiträgen und Memes über alle Plattformen hinweg, wobei VK hinter etwa 80 Prozent der Ordnungswidrigkeitsverfahren und etwa 46 Prozent der Strafverfahren stand. Dokumentierte Herausgaben umfassten die vollständige Login-Historie eines Angeklagten nach IP-Adresse. Yandex meldete 77.979 staatliche Datenanfragen im Jahr 2024 und kam 74 Prozent davon nach. Im April 2026 nahm Yandex' Cloud die staatlich angeordnete Sperrung von Kunden in ihren Standardvertrag auf. Seit dem 1. April 2026 gilt die Befugnis des FSB, Datenbanken ohne Gerichtsbeschluss zu kopieren, für jede dieser Organisationen.

Was könnte sich als Nächstes ändern?

Vier Maßnahmen liegen im November 2026 vor, und keine davon ist Gesetz.

Der Vorschlag Bastrykins vom Juli 2026 würde einen zweiten, weiter gefassten Strafschärfungsgrund einführen, der KI, VPNs und Proxys abdeckt. Eine Gesetzesnummer wurde in der Duma nicht veröffentlicht. Sollte ein Text erscheinen, wird seine Formulierung zeigen, ob der bestehende Buchstabe „f“ erweitert oder doppelt ausgeführt wird.

Das Paket „Antifraud 3.0“ ist ein Entwurf des Digitalministeriums, dessen öffentliche Kommentierungsfrist bis zum 15. Oktober 2026 lief. Wie CNews berichtete, würde es Betreibern von VPN-Diensten untersagen, russisches Hosting zu nutzen, möglicherweise ab dem 1. März 2028. Das würde die Anbieter sowie die russischen Relays treffen, von denen das Whitelist-Routing abhängt.

Die ersten formellen Regeln für die Aufnahme in die Whitelist wurden im Oktober 2026 entworfen. CNews berichtete am 5. Oktober, dass der Zeitpunkt ihres Inkrafttretens unbekannt ist. Bis dahin bleiben Aufnahme und Streichung informell.

Die vierte betrifft Zahlungen. Kein Verbot, einen VPN-Dienst mit einer russischen Karte zu bezahlen, wurde erlassen, und die berichtete FSB-Forderung nach Fernzugriff auf Bankensysteme hat einen Zeithorizont von 2027 ohne öffentlichen Text.

Was bedeutet das für einen VPN-Nutzer in Russland?

Die Grundlage hat zwei Jahre neuer Gesetzgebung überstanden. Die Nutzung eines VPN in Russland ist keine Straftat, die Bezahlung eines VPN ist keine Straftat, und eine Strafverfolgung wegen einer VPN-Zahlung ist nicht dokumentiert.

Die Regeln um diese Grundlage haben sich seit September 2025 dreimal geändert. Seit dem 1. September 2025 kann ein VPN jedes Strafurteil schwerer ausfallen lassen, und ein Bericht aus Oktober 2026 besagt, dass Ermittler es erwähnen, wenn sie einen Haftbefehl beantragen. Seit dem 1. April 2026 kann der FSB die Datenbank jeder russischen Organisation ohne Gericht kopieren. Seit dem 1. September 2026 wird der Zahlungsstrom zentral und ohne Benachrichtigung des Kunden ausgelesen. Jede dieser Regeln betrifft Aufzeichnungen oder Kontext. Keine betrifft die VPN-Nutzung allein.

Deshalb ist der Vertragspartner ebenso wichtig wie das Werkzeug. Jede russische Instanz in der Kette, ob sie die Zahlung entgegennimmt, das Relay hostet oder das Abo weiterverkauft, ist ein Ort, an dem nach russischem Recht eine Aufzeichnung über den Nutzer gespeichert wird. Ein Verkäufer, gegen den ermittelt wird oder der als solcher eingestuft ist, fügt die eigene Akte dieses Verkäufers dem Bild hinzu. Die Spenderfälle zeigen, dass die russische Praxis alte Aufzeichnungen nach neuen Einstufungen liest, sodass eine 2026 rechtmäßig erstellte Aufzeichnung nicht garantiert nach den Regeln von 2026 gelesen wird.

Für eine Person in Russland liegt das Risiko Ende 2026 also selten bei der Verbindung selbst. Es liegt in der angesammelten Aufzeichnung darüber, wem man gezahlt hat, über welches russische Unternehmen, und was sonst noch neben dieser Aufzeichnung steht, falls je ein Verfahren jeglicher Art eröffnet wird.

Wir werden diese Seite aktualisieren, sobald eine der ausstehenden Maßnahmen voranschreitet, wenn ein dokumentierter Fall einer zahlungsbasierten Durchsetzung gegen VPN-Käufer auftaucht oder wenn Gerichte beginnen, Buchstabe „f“ außerhalb von Drogenfällen anzuwenden. Die Länderseite zu Russland versammelt unsere weitere Berichterstattung.