Ik stopte met het vertrouwen in VPN's nadat ik ontdekte wat ze eigenlijk wel (en niet) verbergen

Jarenlang dacht ik dat het inschakelen van mijn VPN betekende dat ik anoniem aan het internetten was. De marketing suggereert inderdaad dat — uitdrukkingen zoals 'volledige privacy' en 'online onzichtbaar' zijn overal te vinden. Maar nadat ik had uitgezocht wat VPN's eigenlijk doen, realiseerde ik me dat ik ze veel te veel krediet had gegeven.

VPN's verbergen je IP-adres, en dat is nuttig in bepaalde situaties. Toch is het maskeren van je IP slechts één laag van online tracking, en adverteerders, websites en zelfs je VPN-aanbieder hebben andere manieren om je te identificeren. Het begrijpen van deze hiaten heeft me gedwongen om online privacy opnieuw te overwegen. Ik gebruik het nog steeds, maar ik beschouw een VPN niet langer als een onzichtbaarheidsmantel.

Je VPN-provider ziet alles wat je ISP vroeger zag

Je haalt de bewaking niet weg, je leidt het alleen ergens anders naartoe

Wanneer je verbinding maakt met een VPN, wordt je internetverkeer via de servers van je provider geleid in plaats van rechtstreeks naar websites te gaan. Dit betekent dat je internetprovider niet langer kan zien welke sites je bezoekt, maar je VPN-provider kan dat absoluut wel. Je elimineert toezicht niet; je kiest gewoon een ander bedrijf om met je gegevens om te gaan.

Dit is het deel dat me het meest stoort. Marketing voor virtuele private netwerken doet het lijken alsof je browsegedrag onzichtbaar wordt, maar de werkelijkheid is dat je het vertrouwen verschuift van je internetprovider naar een bedrijf waar je waarschijnlijk nog minder van weet. Veel VPN's adverteren met "no-log" beleid en beweren dat ze geen enkel spoor van je activiteit opslaan. Het probleem is dat sommige van deze beweringen vrijwel onmogelijk te verifiëren zijn.

Je internetprovider is ten minste gereguleerd en opereert binnen een juridisch kader dat je kunt onderzoeken. Een VPN-bedrijf dat in een ander land is gevestigd, kan moeilijker te evalueren zijn. Sommige zijn eigendom van grotere bedrijven met onduidelijke gegevenspraktijken, terwijl andere van eigenaar zijn veranderd zonder de gebruikers hiervan op de hoogte te stellen. Ik zeg niet dat internetproviders betrouwbaar zijn — dat zijn ze niet. Maar voordat je betaalt voor een VPN, is het de moeite waard om hun no-log claims te verifiëren en te vragen of je dat bedrijf werkelijk meer vertrouwt dan degene die al je internetverbinding levert.

Browser-fingerprinting volgt je zelfs met een VPN

Je browser laat een uniek spoor achter dat VPN's niet kunnen wissen

VPN-aanbieders vermelden zelden dat je browser een unieke handtekening achterlaat op elke website die je bezoekt, en het verbergen van je IP-adres doet daar niets tegen.

Browserfingerprinting verzamelt gegevens over je systeem, waaronder schermresolutie, geïnstalleerde lettertypen, browser-plugins, tijdzone, taalinstellingen en zelfs hoe je apparaat graphics weergeeft. Gecombineerd creëren deze gegevenspunten een profiel dat vaak uniek genoeg is om je over verschillende sessies te identificeren — zonder dat een IP-adres nodig is.

Adverteerders en trackingbedrijven weten dat mensen VPN's gebruiken, dus zijn ze overgestapt op fingerprinting, omdat dit IP-gebaseerde privacytools omzeilt. Je zou tien keer per dag van server kunnen wisselen, en je fingerprint zou consistent blijven.

Een VPN helpt hier niet omdat je een privacygerichte browser nodig hebt zoals Firefox met privacy-instellingen of ingeschakelde extensies, of de Tor Browser, die vingerafdrukgegevens over gebruikers heen standaardiseert. De meeste mensen die een virtueel privé-netwerk in Chrome gebruiken, hebben geen idee dat ze nog steeds op een geheel andere manier worden gevolgd.

Cookies en aanmeldingen omzeilen je VPN volledig

Inloggen op je accounts vertelt bedrijven precies wie je bent

Dit lijkt achteraf vanzelfsprekend, maar het duurde even voordat ik het volledig begreep: als je bent ingelogd bij Google, Facebook of Amazon terwijl je een VPN gebruikt, weten die bedrijven precies wie je bent. Je IP-adres is onbelangrijk omdat ze je identificeren via je account.

Hetzelfde geldt voor cookies. Deze kleine bestanden zitten in je browser en volgen je activiteit over sessies heen, waarbij alles wat je doet wordt gekoppeld aan één profiel. Een VPN versleutelt je verbinding, maar het kan geen gegevens beïnvloeden die je browser vrijwillig opslaat en deelt. Daarom volgen gerichte advertenties je zelfs met een VPN. Je zoekt hardloopschoenen op een website, en plotseling laten alle websites je sneakeradvertenties zien. Je VPN heeft niet gefaald — het was gewoon niet ontworpen om dit soort tracking te stoppen.

Cookies van de eerste partij zijn vooral lastig omdat ze essentieel zijn voor dingen zoals ingelogd blijven en voorkeuren opslaan. Het blokkeren ervan breekt de meeste websites. Cookies van derden zijn gemakkelijker uit te schakelen, maar veel browsers staan ze standaard nog steeds toe.

Als je echt privacy wilt ten opzichte van deze bedrijven, moet je uitloggen, privé browsen gebruiken en cookies actief beheren. Alleen een VPN is niet genoeg, en je moet deze extra stappen zelf nemen.

VPN's beschermen niet tegen malware of phishingaanvallen

Versleuteling beveiligt je verbinding, niet je oordeel

Virtuele privénetwerken versleutelen je internetverbinding, maar als je op een phishinglink klikt of een kwaadaardig bestand downloadt, helpt die versleuteling niet. De malware reist door dezelfde beveiligde tunnel als alles andere. Versleuteling beschermt gegevens tijdens het transport tegen onderschepping. Het doet niets om te analyseren wat je daadwerkelijk downloadt of op welke links je klikt.

Phishing-e-mails werken op dezelfde manier met of zonder een VPN. Die nep-inlogpagina van de bank zal nog steeds je inloggegevens verzamelen omdat je VPN niet kan weten dat de site frauduleus is. Je maakt dus gewoon veilig verbinding met een scam. Sommige premium VPN's bundelen basisfuncties voor dreigingsbescherming, zoals het blokkeren van bekende kwaadaardige domeinen. Dit zijn leuke extra's, maar ze vervangen geen degelijke antivirussoftware of voorzichtig browsegedrag. Ze onderscheppen sommige bedreigingen, niet alle.

Een VPN is een privacytool, geen beveiligingspakket. Als je erop vertrouwt om je te beschermen tegen malware, stel je jezelf bloot. Je hebt nog steeds speciale beveiligingssoftware nodig en, nog belangrijker, je moet links controleren voordat je erop klikt.

DNS- en WebRTC-lekken kunnen je echte IP blootgeven

Technische fouten kunnen stilletjes alles tenietdoen wat je VPN doet

Zelfs als je VPN perfect werkt, kunnen technische gebreken in je setup je werkelijke IP-adres lekken zonder dat je het ooit weet. DNS-lekken en WebRTC-lekken zijn de twee grootste boosdoeners, en niet elke aanbieder beschermt daar standaard tegen.

DNS-lekken gebeuren wanneer je apparaat domeinnaamverzoeken buiten de VPN-tunnel stuurt, meestal naar de servers van je ISP. Dit betekent dat je ISP nog steeds kan zien welke websites je bezoekt, zelfs wanneer de VPN actief is. Dit ondermijnt het hele doel.

WebRTC is een browserfunctie die wordt gebruikt voor videogesprekken en realtimecommunicatie. Het probleem is dat het je werkelijke IP-adres aan websites kan onthullen, zelfs wanneer er een VPN actief is. De meeste browsers hebben WebRTC standaard ingeschakeld, en veel mensen zijn zich er niet van bewust dat het hun echte IP-adres kan onthullen. Gratis VPN's zijn bijzonder vatbaar voor deze problemen. Ze hebben vaak geen behoorlijke bescherming tegen lekken en kunnen mogelijk niet al het verkeer correct via de tunnel leiden.

Het frustrerende is dat je actief moet testen op deze lekken met behulp van online tools. Je virtueel privé-netwerk zal je niet waarschuwen als er iets mis is. Ik raad aan om een lektest uit te voeren om te controleren of je VPN je IP of DNS lekt, direct nadat je verbinding hebt gemaakt — sites zoals ipleak.net maken dit eenvoudig. Als je echte IP ergens verschijnt, doet je VPN zijn werk niet.

Ik gebruik nog steeds een VPN, maar nu begrijp ik de werkelijke beperkingen ervan

Een VPN is één hulpmiddel, niet de hele gereedschapskist

Ik heb mijn VPN-abonnement niet opgezegd. Het is nog steeds handig om veilig te blijven bij het gebruik van openbare Wi-Fi, geo-restricties te omzeilen en mijn internetprovider uit mijn browsegeschiedenis te houden. Maar ik doe niet meer alsof het me onzichtbaar maakt.

Absolute privacy vereist lagen. Gebruik een privacygerichte browser, beheer cookies strikt, voer regelmatig lektests uit en blijf uitgelogd wanneer het belangrijk is. Een VPN zien als het begin van je privacy-instelling in plaats van als het geheel ervan is de enige eerlijke manier om er een te gebruiken.