Erklärstück
„Unabhängig auditiert“ kann ganz unterschiedliche Arbeiten beschreiben. Diese Seite erklärt die verschiedenen Audit-Arten, was jede davon zeigen kann und welche Fragen Sie stellen sollten, bevor ein Audit Ihre Einschätzung eines Anbieters verändert.
Ein Audit zeigt, dass eine benannte Partei zu einem bestimmten Zeitpunkt eine festgelegte Gruppe von Systemen untersucht und über ihre Feststellungen berichtet hat. Das ist nützlich – und deutlich enger gefasst, als es die Formulierung „unabhängig auditiert“ auf einer Startseite nahelegt.
Bevor ein Audit Ihre Einschätzung eines Anbieters verändert, müssen Sie wissen, um welche Art von Audit es sich handelte, was es umfasste, wann es stattfand und ob Sie den Bericht lesen können.
| Kind | Was es zeigen kann | Was es nicht zeigen kann |
|---|---|---|
| Audit zur Protokollfreiheit | Die erfassten Systeme waren während des Tests nicht so eingerichtet, dass sie die betreffenden Datensätze speicherten | Was außerhalb dieses Zeitraums oder auf diesen Systemen geschieht |
| Client- oder Code-Audit | Sicherheitslücken in der geprüften App oder im geprüften Code | Wie die Server betrieben werden oder welche Daten das Unternehmen speichert |
| Infrastruktur-Audit | Wie die untersuchten Server und Systeme konfiguriert sind | Ob nicht untersuchte Server entsprechend konfiguriert sind |
| Penetrationstest | Worauf die Tester innerhalb der vereinbarten Grenzen zugreifen konnten | Dass nichts anderes kompromittiert werden konnte oder irgendetwas über die Protokollierung |
| Zertifizierung | Die Prozesse eines Unternehmens erfüllen innerhalb eines festgelegten Geltungsbereichs einen bestimmten Standard | Etwas über Ihren Datenverkehr, sofern der Geltungsbereich ihn nicht einschließt |
Eine Behauptung kann wahr sein und trotzdem eine andere Frage beantworten als Ihre. Eine einwandfreie Prüfung einer App sagt nichts darüber aus, ob ein Unternehmen eine Sitzung mit einer Person verknüpfen kann.
Ein Audit berichtet über einen abgeschlossenen Zeitraum. Die Konfiguration kann sich am Tag nach dem Abgang der Auditoren ändern, ohne dass dies im Bericht sichtbar wäre.
Außerdem stützt es sich darauf, was das Unternehmen offenlegt. Auditoren können Systeme untersuchen und Mitarbeitende befragen, haben aber nur begrenzte Möglichkeiten, etwas zu finden, das absichtlich vor ihnen verborgen bleibt. Normalerweise bezahlt der Anbieter die Arbeit und stimmt deren Grenzen zu. Nichts davon macht Audits wertlos, aber es macht sie zu einer von mehreren Arten von Belegen.
Andere Belege können aus Ereignissen stammen, die der Anbieter nicht veranlasst hat, etwa einem beschlagnahmten Server oder einer gerichtlichen Anordnung, die nichts zutage förderte. Solche Fälle sind selten und beschreiben ebenfalls nur einen Zeitpunkt.
Das Register behandelt ein Audit als Beleg mit bestimmten Eigenschaften: Wer hat es durchgeführt, nach welchem Standard, wie viel davon wurde veröffentlicht und wie alt ist es? Die Fragen und die Methodik legen dar, wie stark jede dieser Eigenschaften zählt und wie dieses Gewicht mit der Zeit abnimmt.
Ein Datensatz nennt den Audit, der hinter jedem Wert steht, und gibt dessen Datum an, damit Sie die Quelle selbst öffnen können. Für die vielen Anbieter, bei denen es nichts zu belegen gibt, sagt der Datensatz das ebenfalls aus, und der Score spiegelt dies wider.
Es zeigt, was die Auditoren während des untersuchten Zeitraums auf den erfassten Systemen vorgefunden haben. Es kann nicht zeigen, was davor oder danach oder auf nicht untersuchten Systemen geschah. Es ist ein guter Beleg, bleibt aber hinter einem Beweis zurück.
Normalerweise der Anbieter. Das macht die Arbeit nicht wertlos, da eine Audit-Firma ihren eigenen Ruf aufs Spiel setzt. Der Anbieter wählt jedoch die Firma aus, stimmt den Geltungsbereich ab und entscheidet oft, wie viel vom Bericht Sie zu sehen bekommen.
Nicht unbedingt. Das Fehlen eines Audits bedeutet, dass niemand Unabhängiges eine Prüfung vorgenommen hat und Sie sich auf die Angaben des Anbieters verlassen. Das Risiko kann niedrig oder hoch sein; ohne Belege können Sie nicht erkennen, welches zutrifft.
Weiter
Jedes Erklärstück endet damit, die Seiten zu nennen, denen gehört, was es nur gestreift hat.
Öffentliches WLAN ist weniger gefährlich, als die Werbung behauptet, weil HTTPS bereits den Großteil Ihrer Daten schützt. Ein VPN verbirgt weiterhin, welche Websites Sie aufrufen, und einige echte Risiken bleiben bestehen, gegen die es nichts ausrichtet.
Ein DNS-Leak tritt auf, wenn dein VPN deinen Datenverkehr überträgt, die Namensauflösungen aber daran vorbeigehen und dein Netzwerk dadurch die von dir besuchten Websites sieht. Diese Seite erklärt, warum das passiert und wie du es prüfen kannst.
Ein Kill-Switch stoppt deinen Datenverkehr, wenn der VPN-Tunnel abbricht, damit er nicht unbemerkt ungeschützt weiterläuft. Kill-Switches unterscheiden sich darin, was sie abdecken – und diese Unterschiede entscheiden, wann einer tatsächlich hilft.
Beide senden eine Anfrage von einer anderen Adresse. Ein VPN leitet normalerweise den gesamten Datenverkehr Ihres Geräts weiter und verschlüsselt ihn; ein Proxy verarbeitet meist nur eine App und verschlüsselt möglicherweise gar nichts. So erkennen Sie, was Sie verwenden.
Viele Menschen brauchen keines. Ein VPN löst einige wenige konkrete Probleme gut und bewirkt bei den übrigen nichts. Die Antwort hängt daher davon ab, welches Problem Sie haben. Diese Seite geht die häufigsten Fälle durch.
Bei einem VPN müssen Sie einem Unternehmen vertrauen. Tor verteilt Ihre Verbindung auf drei Relays, sodass kein einzelnes Relay zugleich sieht, wer Sie sind und wohin Sie gehen. Sie lösen unterschiedliche Probleme, und keines ersetzt das andere.
Was mit einem Paket zwischen Ihrem Gerät und einer Website passiert, wenn ein VPN aktiv ist: der Handshake, der Tunnel, die Namensauflösung und der Exit. Jeder Schritt erklärt außerdem eine Möglichkeit, wie ein VPN ausfallen kann.
In den meisten Teilen der Welt ist die Nutzung eines VPN legal. Eine kurze Liste von Ländern schränkt VPNs ein, lizenziert sie oder blockiert sie; was Sie darüber tun, ist überall eine separate Frage. Diese Seite ist eine Übersicht, keine Rechtsberatung.
Der Betrieb eines VPN kostet jeden Monat Geld, daher wird ein kostenloses VPN auf irgendeine Weise bezahlt. Diese Seite erklärt, was normalerweise dahintersteckt, was in der Praxis schiefgegangen ist und wie sich ein Beispiel von einem Geschäftsmodell unterscheiden lässt.
Ein VPN schützt einen Abschnitt des Weges: von Ihrem Gerät zu seinem Server. Diese Seite behandelt alles außerhalb dieses Abschnitts – von Ihrem Browser und Ihren Konten bis hin zu Malware, einem abgebrochenen Tunnel und den Werbeversprechen.
Ein verschlüsselter Hop zwischen Ihrem Gerät und dem Internet. Diese Seite ist der Ausgangspunkt für den Abschnitt: Was der Hop bewirkt, vor wem er Sie verbirgt, wem er stattdessen Einblick gibt und welche der dafür gemachten Versprechen dem Mechanismus standhalten.
Kein Erklärstück, sondern das Modell selbst, für einen Leser, der bis zum Ende dieser Seite gekommen ist und wissen will, wie das Urteil zustande kommt.
Was das Register über diesen Markt als Ganzes weiß, und was nicht — jede Zahl aus dem Index, keine aus einer Umfrage.