BERLIN / LONDON (IT BOLTWISE) – Eine neue Untersuchung auf der NDSS 2026 testet 281 Android-VPN-Apps und findet systematische Sicherheitsfehler. Dabei zeigen 29 Apps DNS- oder Browserdatenlecks, obwohl der verschlüsselte Tunnel Privatsphäre versprechen soll. Mehr als 20 % übertragen Daten unverschlüsselt, 76 Programme geben eindeutige Gerätekennungen an Drittanbieter weiter. Ergänzend werden Enterprise-VPNs und aktuell ausgenutzte CVEs in den Blick genommen, darunter GlobalProtect.
VPNs gelten für viele Nutzer noch immer als einfache Zusatzschicht gegen neugierige Netzwerke. Die Ergebnisse einer auf der NDSS 2026 vorgestellten Analyse lassen diesen Komfort deutlich schrumpfen: In einem systematischen Test mit dem Analyse-Framework MVPNalyzer wurden 281 Android-Apps untersucht, die sich selbst als Schutz vor Überwachung positionieren. Das ernüchternde Muster: Viele Anwendungen halten ihre Versprechen technisch nicht ein. Besonders sichtbar wird das bei Daten, die nicht im Tunnel landen, sondern über andere Kanäle abfließen – dann ist die Verschlüsselung, die auf dem Papier zählt, in der Praxis weniger wert.
Die Studie zeigt zunächst ein klassisches Leckbild. 29 der geprüften Apps gaben DNS- oder Browserdaten preis. Das ist mehr als ein Schönheitsfehler, denn DNS- und Webzugriffsmetadaten verraten häufig schon genug, um Profile zu rekonstruieren oder gezielte Angriffe vorzubereiten. Noch kritischer: Die Probleme beschränken sich nicht auf undichte Verbindungen. Mehr als 20 Prozent der Anwendungen übertrugen Daten vollständig unverschlüsselt. Zudem verzichteten über 60 Prozent der Apps auf grundlegende Sicherheitsvorkehrungen, die in modernen Transport- und Session-Setups als Standard gelten.
In der Praxis verschiebt sich damit auch die Bedrohungslage für Unternehmen und Sicherheitsverantwortliche. 76 der getesteten Programme leiteten eindeutige Gerätekennungen an Drittanbieter weiter. Solche Identifier sind für Tracking und Korrelationsangriffe besonders wertvoll, weil sie sich trotz VPN-Nutzung stabil nutzen lassen. Hinzu kommt ein weiterer Befund, der die Ursache oft im Detail verortet: 107 von 108 untersuchten Apps missachteten etablierte VPN-Konfigurationsstandards. Für deutsche Nutzer bedeutet das: Selbst vermeintlich „vertrauenswürdige“ Anbieter aus dem Play Store können die Privatsphäre bereits auf App-Ebene unterlaufen.
Der Blick auf aktuelle Vorfälle macht klar, dass VPNs nicht automatisch „nichts kann passieren“ heißen. Im Kontext der Jagd auf die Hackergruppe Scattered Spider nutzte das FBI eine wenig bekannte Windows-Funktion: die Global Device ID (GDID). Diese Gerätekennung bleibt auch über Betriebssystem-Updates hinweg bestehen und lässt sich vom Nutzer nicht deaktivieren. Der Fall zeigt, dass ein verschlüsselter Tunnel die Identifizierbarkeit nicht garantiert ausschaltet, wenn die Ermittlungs- oder Angriffskette auf andere Persistenzmechanismen trifft. Für Security-Teams heißt das: Schutzkonzept und Bedrohungsmodell müssen zusammenpassen, nicht nur Technologie klingt gut.
Auch im Enterprise-Umfeld bleibt das Risiko real. Seit dem 17. Mai 2026 wird laut CISA eine kritische Schwachstelle in Palo Alto Networks GlobalProtect aktiv ausgenutzt: CVE-2026-0257 ermöglicht die Umgehung der Authentifizierung. Die US-Behörde stuft den Fehler mit einem CVSS-Score von 7, 8 als schwerwiegend ein und ordnete Patches für Bundesbehörden bis zum 1. Juni an. Gleichzeitig geraten weitere Produkte in den Fokus: BeyondTrust meldet Sicherheitslücken in Remote-Support-Software (CVE-2026-40138 und CVE-2026-40139). Während Cloud-Versionen offenbar bereits am 21. April gepatcht wurden, blieben rund 2.000 selbst gehostete Installationen ungeschützt.
Die Branche reagiert darauf mit strengeren Prüfmechanismen und moderneren Authentifizierungsansätzen. ExpressVPN ließ sich nach Angaben aus der Sicherheitslandschaft zum 28. Mal öffentlich auditen – diesmal durch Cure53. Das Ergebnis fällt differenziert aus: Es gab keine kritischen Lücken, aber zwölf Funde, darunter fünf als mittelschwer bewertete Probleme, etwa im Kontext von Phishing-Risiken durch benutzerdefinierte URL-Schemata. Parallel verschiebt sich die Authentifizierung weg von passwortgetriebenen Mustern: Passkeys werden zunehmend integriert, und Anbieter treiben Post-Quanten-Konzepte voran. So hat ExpressVPN Passkey-Unterstützung im Passwort-Manager ergänzt, während Yubico Android-Passkeys für Hardware-Sicherheitsschlüssel bereitstellt.
Für die Praxis ist dabei die Kombination aus Kryptografie-Update und Engineering-Disziplin entscheidend. Passkeys reduzieren die Angriffsfläche klassischer Passwortangriffe, weil sie Widerstand gegen Phishing-Varianten und serverseitige Credential-Abflüsse bieten können. Gleichzeitig bleibt der Systembaukasten wichtig: Wenn Apps oder Gateways Standards missachten, helfen die besten kryptografischen Bausteine wenig. Cisco treibt zudem die Entwicklung quantenresistenter VPNs voran, um die wachsende Gefahr von „Harvest now, decrypt later“-Angriffen abzufedern. Aus Expertensicht ist die Implementierung quantensicherer Schlüsselaustausche nach NIST-Standards wie ML-KEM als Priorität für die Netzwerksicherheit zu behandeln.
Für Betreiber und Entwickler ergibt sich daraus eine klare Roadmap. Erstens sollten VPN-Lösungen nicht nur „funktionieren“, sondern messbar gegen DNS-, Web- und Metadaten-Lecks abgesichert sein – inklusive Tests außerhalb des idealisierten Produktpfads. Zweitens müssen Update- und Patch-Prozesse, besonders im Enterprise, so gestaltet sein, dass ausgenutzte CVEs schnell adressiert werden können. Drittens wird der Rollout von Passkeys und – mittelfristig – Post-Quanten-Mechanismen nicht als isoliertes Projekt funktionieren, sondern in die Architektur von Identity, Session-Management und Schlüsselverwaltung eingebettet. Wer früh automatisiertes Security Monitoring, Konfigurations-Compliance und Zero-Trust-Prinzipien verknüpft, gewinnt Zeit bis zum nächsten Angriffszyklus.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Studie deckt schwere Sicherheitsmängel in Android-VPN-Apps auf" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Studie deckt schwere Sicherheitsmängel in Android-VPN-Apps auf" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Studie deckt schwere Sicherheitsmängel in Android-VPN-Apps auf« bei Google Deutschland suchen, bei Bing oder Google News!