Android-VPN-Apps: 281 getestete Apps mit gravierenden Sicherheitslücken
Veröffentlicht: 07.07.2026 um 22:25 Uhr, Redaktion boerse-global.de
Von 281 getesteten Anwendungen schützen viele ihre Nutzer nicht wie versprochen.
Die auf der Fachkonferenz NDSS 2026 vorgestellte Untersuchung zeigt ein erschreckendes Bild: Ein systematischer Test mit dem Analyse-Framework MVPNalyzer deckte weitreichende technische Mängel auf. Ganze 29 der geprüften Apps gaben DNS-oder Browserdaten preis – der verschlüsselte Tunnel, der die Privatsphäre schützen soll, war damit wirkungslos.
Datenleck statt Privatsphäre
Die Probleme gehen weit über undichte Verbindungen hinaus. Mehr als 20 Prozent der Anwendungen übertrugen Daten völlig unverschlüsselt. Über 60 Prozent der Apps verzichteten auf grundlegende Sicherheitsvorkehrungen. Besonders alarmierend: 76 der getesteten Programme leiteten eindeutige Gerätekennungen an Drittanbieter weiter.
Die von der National Science Foundation finanzierte Studie förderte zudem ein fast flächendeckendes Problem zutage: 107 von 108 untersuchten Apps missachteten etablierte VPN-Konfigurationsstandards. Für deutsche Nutzer bedeutet das: Selbst vermeintlich vertrauenswürdige Anbieter aus dem Play Store können sensible Daten preisgeben.
Die aufgedeckten Sicherheitslücken bei VPN-Anbietern zeigen, wie wichtig zusätzliche Schutzmaßnahmen für mobile Endgeräte sind. Dieser kostenlose Ratgeber unterstützt Sie dabei, Ihre Daten im Home-Office und von unterwegs wirksam abzusichern. Kostenlose Vorlagen und Checklisten für sofortige Umsetzung
Grenzen des VPN-Schutzes
Die Forschungsergebnisse fallen mit einem spektakulären Fall zusammen, der die Grenzen von VPNs deutlich macht. Bei der Jagd nach der Hackergruppe Scattered Spider nutzte das FBI eine wenig bekannte Windows-Funktion: die Global Device ID (GDID). Diese Kennung übersteht selbst Betriebssystem-Updates und lässt sich vom Nutzer nicht deaktivieren.
Trotz VPN-Nutzung eines 19-jährigen Verdächtigen konnten die Ermittler seinen Computer mit konkreten Tatzeitpunkten und Hacking-Werkzeugen in Verbindung bringen. Ein Weckruf für alle, die VPNs als Allheilmittel betrachten.
Enterprise-VPNs im Visier von Angreifern
Nicht nur Consumer-Apps haben Sicherheitsprobleme. Auch Unternehmenslösungen geraten zunehmend ins Fadenkreuz. Seit dem 17. Mai 2026 wird eine kritische Sicherheitslücke in Palo Alto Networks' GlobalProtect VPN aktiv ausgenutzt. Die Schwachstelle CVE-2026-0257 ermöglicht die Umgehung der Authentifizierung.
Die US-Behörde CISA stufte den Fehler mit einem CVSS-Score von 7,8 als schwerwiegend ein und ordnete eine sofortige Patches für Bundesbehörden bis zum 1. Juni an. Bisher blieben die Angriffe zwar begrenzt, doch der Vorfall entfacht die Debatte um die Sicherheit von Netzwerk-Gateways neu.
Auch BeyondTrust kämpft mit Sicherheitslücken: Die Schwachstellen CVE-2026-40138 und CVE-2026-40139 betreffen Remote-Support-Software. Während Cloud-Versionen bereits am 21. April gepatcht wurden, blieben rund 2.000 selbst gehostete Installationen ungeschützt.
Branche reagiert mit strengeren Standards
Die Industrie zieht Konsequenzen. ExpressVPN ließ sich kürzlich zum 28. Mal öffentlich auditen – diesmal von Cure53. Das Ergebnis: keine kritischen Lücken, aber zwölf Funde, darunter fünf mittelschwere Probleme wie Phishing-Risiken durch benutzerdefinierte URL-Schemata.
Gleichzeitig setzt ein Umbruch bei den Authentifizierungsmethoden ein. Immer mehr Anbieter setzen auf Passkeys und Post-Quanten-Kryptografie. ExpressVPN integrierte Passkey-Unterstützung in seinen Passwort-Manager, Yubico brachte Android-Passkeys für seine Hardware-Sicherheitsschlüssel.
Angesichts der zunehmenden Angriffe auf Authentifizierungsverfahren bieten Passkeys eine moderne und deutlich sicherere Alternative zu klassischen Passwörtern. Erfahren Sie in diesem kostenlosen Report, wie Sie die Technologie bei Amazon, Microsoft und WhatsApp sofort einrichten. Passkeys: Die sichere Methode für stressfreies Einloggen
Cisco treibt die Entwicklung quantenresistenter VPNs voran – als Schutz vor der wachsenden Gefahr von "Harvest now, decrypt later"-Angriffen. Experten sehen in der Implementierung quantensicherer Schlüsselaustausche nach NIST-Standards wie ML-KEM eine dringende Priorität für die Netzwerksicherheit.
