Wenn zwei VPN-Abonnenten dieselbe Seite öffnen, kann die Website sehen, dass ihre Anfragen von einer einzigen öffentlichen IP-Adresse kommen. Das bedeutet nicht, dass der VPN-Server sie verwechselt: Damit die Antworten richtig weitergeleitet werden, ordnet er jeden Austausch einer vorübergehenden Zuordnung und einem Tunnel zum betreffenden Gerät zu.
Diese Unterscheidung macht zwei häufig vermischte Fragen deutlich. Eine gemeinsame IP-Adresse kann die ursprüngliche öffentliche IP-Adresse gegenüber den besuchten Websites verbergen. Für den Netzwerkbetrieb muss der VPN-Server jedoch zumindest während der laufenden Datenübertragung genügend Informationen speichern, um zu wissen, wohin er die Pakete zurückschicken muss. Diese Verbindungsdaten sind für sich genommen kein Browserverlauf.
Eine sichtbare Adresse, mehrere Verbindungen
Eine IP-Adresse dient dazu, Pakete zwischen Netzwerken weiterzuleiten. Im klassischen Fall von IPv4 können bereits mehrere Geräte im selben Heimnetzwerk die öffentliche IP-Adresse gemeinsam nutzen, die dem Router zugewiesen wurde. Innerhalb der Wohnung haben sie private Adressen; beim Verlassen des Netzwerks ersetzt der Router diese durch seine eigene. Auf dem Rückweg nimmt er die umgekehrte Übersetzung vor.
Ein VPN-Server kann für den Datenverkehr, der über ihn läuft, eine vergleichbare Rolle übernehmen. Das Gerät des Abonnenten sendet seine Daten durch einen verschlüsselten Tunnel an den VPN-Server. Innerhalb des VPN-Netzwerks kann der Server den Client anhand seiner internen Adresse und der mit dem Tunnel verbundenen Informationen identifizieren. Um den Datenverkehr ins Internet weiterzuleiten, verwendet er anschließend seine öffentliche IP-Adresse.
Die entfernte Website sieht diese öffentliche IP-Adresse, nicht die öffentliche IP-Adresse des Netzwerks, über das sich der Abonnent mit dem VPN verbunden hat. Wenn mehrere Clients über dieselbe VPN-Adresse ins Internet gelangen, reicht diese also nicht aus, um sie voneinander zu unterscheiden. Der Server muss deshalb auch die Verbindungen selbst nachverfolgen.
Der Port ergänzt die Adresse
Bei einer TCP- oder UDP-Verbindung enthalten die Paket-Header neben den IP-Adressen auch Portnummern. Ein Port bezeichnet einen Kommunikationsendpunkt, der einem Datenaustausch zugeordnet ist. Für die Verbindung zu einer Website über HTTPS wird der Datenverkehr gewöhnlich an Port 443 des Servers adressiert. Auch der Browser verwendet auf der Client-Seite einen Port, den sogenannten Quellport.
Stellen wir uns zu Erläuterungszwecken zwei Clients vor, deren Anfragen über dieselbe VPN-Adresse an denselben Webserver gehen. Das VPN kann ihren Datenaustausch unterschiedliche Quellports auf seiner öffentlichen Adresse zuweisen. Der Webserver antwortet an die Adresse und den Port, die der jeweiligen Anfrage zugeordnet sind. Das VPN schlägt dann in seiner Zuordnungstabelle die interne Adresse und den internen Port des betreffenden Clients nach und sendet ihm die Daten über seinen Tunnel zurück.
Diese Übersetzung von Adresse und Port heißt NAPT, kurz für „Network Address and Port Translation“. RFC 3022 der Internet Engineering Task Force beschreibt diesen Mechanismus für IPv4-Netzwerke: Mehrere interne Adressen und ihre Ports können einer einzigen externen Adresse und unterschiedlichen Ports zugeordnet werden. Bei der Zuordnung wird das verwendete Protokoll berücksichtigt, insbesondere TCP oder UDP.
Der Port ist also kein dauerhaftes Kennzeichen eines Internetnutzers. Er dient dazu, laufende Datenaustausche auseinanderzuhalten. Eine Statustabelle speichert die für den Hin- und Rückweg nötigen Zuordnungen; wenn die Verbindung beendet wird oder inaktiv ist, können diese Informationen verfallen. Ohne diesen Status wüsste der Server nicht, welchem Client er eine Antwort zustellen muss, die an einer gemeinsam genutzten Adresse eingeht.
Vom VPN-Server zum richtigen Tunnel
Die Übersetzung der öffentlichen Adresse ist nur ein Teil des Weges. Sobald die Antwort beim VPN-Server eingetroffen ist, muss dieser sie noch durch den entsprechenden Tunnel an das richtige Gerät weiterleiten. Dabei stützt er sich auf die Informationen zum internen Netzwerk und auf die Funktionsweise des VPN-Protokolls.
Bei WireGuard beispielsweise sind die in den Tunneln zugelassenen Adressen den öffentlichen Schlüsseln der Clients zugeordnet. Das trägt dazu bei, die für die Übertragung der Pakete verwendete kryptografische Sitzung auszuwählen. Die Einzelheiten unterscheiden sich je nach Protokoll und Architektur: Das Prinzip einer gemeinsam genutzten Ausgangsadresse bedeutet nicht, dass alle VPNs jeden Schritt genau gleich umsetzen oder dass jede Konfiguration dieselbe Adressübersetzung verwenden muss.
Die allgemeine Regel lautet: Eine Antwort muss über die Einrichtung zurücklaufen, die den zugehörigen Datenaustausch wiedererkennen kann. RFC 3022 weist auf diese Voraussetzung für herkömmliches NAT hin: Der Datenverkehr einer Sitzung muss über den Router laufen, der den Übersetzungsstatus verwaltet, oder über eine Einrichtung, die sich die erforderlichen Informationen mit ihm teilt. Wenn dieser Weg oder dieser Status wegfällt, kann eine laufende Verbindung scheitern, selbst wenn die öffentliche Adresse weiterhin verfügbar ist.
Technische Speicherung ist nicht gleich Browserverlauf
Es gilt, zwei Arten von Informationen zu unterscheiden. Die Zuordnungstabelle dient der Weiterleitung: Sie verknüpft vorübergehend einen externen Datenaustausch mit einer internen Verbindung. Ein Browserverlauf im üblichen Sinn hält die Aktivitäten eines Nutzers fest, beispielsweise besuchte Websites oder Verbindungszeiten. Die Notwendigkeit, den Status von Verbindungen aufrechtzuerhalten, belegt für sich genommen nicht, dass der Anbieter auch diese zweite Art von Daten speichert.
Aus dieser Unterscheidung lässt sich jedoch nicht auf die Richtlinien eines bestimmten Anbieters schließen. Die Speicherdauer, zu anderen Zwecken aufgezeichnete Daten und die Verwaltungspraktiken hängen von seiner Konfiguration und seinen Zusagen ab und müssen gesondert geprüft werden. Die Netzwerkmechanik erklärt, was für die Weiterleitung des Datenverkehrs nachverfolgt werden muss; sie bestätigt nicht die Praktiken des Unternehmens.
Schließlich bedeutet eine gemeinsame IP-Adresse nicht Anonymität. Eine Website kann eine Person wiedererkennen, weil sie sich in ihrem Konto anmeldet, anhand von Cookies oder mithilfe anderer Informationen, die mit ihrem Browser verknüpft sind. Das VPN ändert die öffentliche IP-Adresse, die für die Website sichtbar ist, beseitigt aber nicht diese anderen Möglichkeiten der Wiedererkennung. Es beantwortet somit eine konkrete Frage – nämlich welche Adresse für den Zugang zum Internet verwendet wird –, ohne die Identität zu beseitigen, die mit Konten oder im Browser gespeicherten Spuren verknüpft ist.
Quellen
- RFC 3022, „Traditional IP Network Address Translator“
- Clubic, „Des milliers d’internautes, une seule IP VPN“
Ein Ethernet-Switch. Symbolfoto zum Datenaustausch zwischen Netzwerkgeräten.
Bildnachweis: Raysonho @ Open Grid Scheduler / Grid Engine — Wikimedia Commons — CC0 1.0.
