Wer eine eigene Webseite betreibt, öffnet früher oder später die Logdatei des Servers. Jede Zeile beginnt mit einer Zahlenfolge wie 203.0.113.42, danach folgen Zeitstempel, aufgerufene Datei und der User-Agent des Browsers. Für den Betreiber ist das Routine. Andersherum gelesen legt jede besuchte Seite dieselbe Notiz über ihre Gäste an.
Abschalten lässt sich diese Absenderangabe nicht, denn ohne sie wüsste der Server nicht, wohin er antworten soll. Interessant ist deshalb, welche Schlüsse sich aus ihr ziehen lassen und wer sie einem Menschen zuordnen kann.
Provider und grobe Herkunft stehen offen da
Jede öffentliche Adresse stammt aus einem Block, den ein Netzbetreiber registriert hat. Eine Whois-Abfrage zeigt in Sekunden, ob ein Zugriff aus dem Netz der Telekom, eines Kabelanbieters oder aus einem Rechenzentrum kommt. Shops und Werbenetzwerke stufen Anfragen aus Serverfarmen so als automatisiert ein.
Den Ort liefern Geolokalisierungsdatenbanken wie die von MaxMind. Beim Land treffen sie fast immer, bei der Stadt deutlich seltener. Straße und Hausnummer bleiben verborgen, für regionale Werbung oder die Ländersperre einer Mediathek genügt die grobe Verortung trotzdem.
Den Namen kennt nur der Anschlussanbieter
Wer hinter einer Adresse steckt, weiß zunächst nur der Internetanbieter, der sie dem Router des Kunden zuteilt. Der Europäische Gerichtshof hat 2016 entschieden, dass auch wechselnde Adressen personenbezogene Daten sein können, weil sich der Inhaber über den Provider ermitteln lässt.
Ein VPN setzt an dieser Zuordnung an und verlagert sie zu einem anderen Unternehmen. Wie vertrauenswürdig die einzelnen Dienste dafür sind, ordnet das Cybernews-Team beim VPN-Vergleich von Cybernews nach Sicherheit, Datenschutz und Funktionsumfang ein. Der eigene Provider sieht anschließend nur noch eine Verbindung zum VPN-Server, die Zielseite nur dessen Adresse. Beide Enden kennt dann der VPN-Betreiber, deshalb hängt der Schutz an seiner Protokollierung, seinem Firmensitz und unabhängigen Prüfberichten.
Wie viel an der Zuordnung hängt, zeigt eine laufende Debatte. Im April 2026 brachte das Bundeskabinett einen Gesetzentwurf auf den Weg, nach dem Internetanbieter die vergebenen IP-Adressen ihrer Kunden drei Monate lang speichern sollen. Nach der ersten Lesung im Juni hörte der Rechtsausschuss des Bundestags am 7. Oktober 2026 Sachverständige an, die sich uneins zeigten. Beschlossen ist das Gesetz bislang nicht. Laut Entwurf geht es nur um die Zuordnungen, nicht um Inhalte oder besuchte Seiten.
Wiedererkennung läuft über mehr als die Adresse
Für Tracking ist die IP-Adresse ein eher wackeliges Merkmal. Sie wechselt und im Mobilfunk teilen sich häufig viele Kunden eine einzige öffentliche Adresse. Werbenetzwerke kombinieren sie deshalb mit Cookies, Anmeldedaten und dem sogenannten Fingerprint, also der Summe aus Bildschirmgröße, Schriften, Spracheinstellung und Browserversion.
Daraus folgt eine nüchterne Rechnung. Wer im Browser bei Google, Amazon oder einem sozialen Netzwerk angemeldet bleibt, wird mit VPN genauso erkannt wie ohne. Der Dienst weiß dann lediglich nicht mehr, aus welcher Stadt der Zugriff kommt. Gegen Cookies helfen Browsereinstellungen und Blocker, gegen Fingerprinting ein Browser, der seine Merkmale vereinheitlicht.
Was sich mit VPN tatsächlich ändert
Auf der Gegenseite taucht im Log nun eine Adresse aus dem Bestand des VPN-Dienstes auf. Whois zeigt ein Rechenzentrum, die Geolokalisierung den Standort dieses Servers. Weil sich dort meist viele Nutzer eine Adresse teilen, lässt sich ein einzelner Zugriff kaum noch einer Person zuordnen, solange der VPN-Anbieter selbst keine Verbindungsdaten aufbewahrt. Manche Webdienste reagieren darauf mit zusätzlichen Sicherheitsabfragen, weil Adressen aus Rechenzentren bei ihnen als verdächtig gelten. Das ist lästig, zeigt aber, dass die Herkunft tatsächlich verschleiert ist.
Der heimische Provider erfährt in dieser Konstellation, wann und wie viel Datenverkehr zum VPN-Server fließt. Welche Seiten aufgerufen werden, bleibt ihm verborgen. Im WLAN der Bahn oder eines Cafés ist das ein angenehmer Nebeneffekt, für die Frage dieses Artikels ist es der Kern.
Wo die echte Adresse trotzdem durchrutscht
Eine VPN-App kann aktiv sein und die eigene Adresse dennoch verraten. Drei Lücken tauchen in Tests immer wieder auf:
- WebRTC: Die Browsertechnik für Video- und Sprachanrufe fragt die öffentliche Adresse beim Verbindungsaufbau ab und kann dabei am VPN vorbeigehen. Eine Webseite braucht dafür nur ein paar Zeilen JavaScript.
- DNS: Laufen die Namensanfragen weiter über den Server des Providers, sieht dieser, welche Domains aufgerufen werden.
- IPv6: Leitet die App nur IPv4 um, nimmt der übrige Verkehr den direkten Weg.
Ob alles dicht ist, zeigt ein Leak-Test im Browser bei eingeschaltetem VPN. Erscheint dort die Adresse des eigenen Anschlusses oder der DNS-Server des Providers, führt der nächste Weg in die Einstellungen der App. WebRTC lässt sich in manchen Browsern abschalten oder per Erweiterung einschränken.
Grenzen, die bleiben
Verboten ist ein VPN hierzulande nicht. Rechtswidriges Verhalten wird dadurch nicht legal und Ermittler können sich mit einem Auskunftsersuchen an den VPN-Betreiber wenden. Was dieser herausgeben kann, hängt davon ab, was er speichert. Streamingdienste wiederum schließen das Umgehen ihrer Ländersperren in den Nutzungsbedingungen regelmäßig aus und blockieren bekannte VPN-Adressen.
Für Webseitenbetreiber hat das Thema eine zweite Seite. Die Logdatei vom Anfang enthält personenbezogene Daten und für deren Speicherung braucht es eine Rechtsgrundlage, eine überschaubare Aufbewahrungsfrist und einen Hinweis in der Datenschutzerklärung. Viele kürzen die Adressen deshalb vor dem Speichern um das letzte Oktett. Wer selbst Besucher protokolliert, versteht schneller, wie viel die eigene Adresse beim Surfen über einen preisgibt.
