Windscribe-CEO Beruhigt: Keine Nutzerdaten Gefährdet Trotz Beschlagnahmung eines Servers in den Niederlanden

Am Freitag beschlagnahmten niederländische Behörden einen VPN-Server von Windscribe, wie das Unternehmen in einem Beitrag auf X (früher Twitter) bestätigte. Konkrete Details über den Auslöser der Beschlagnahmung wurden nicht genannt. Die Behörden führten die Maßnahme ohne Durchsuchungsbefehl durch und erklärten, dass der Server nach einer vollständigen Analyse an Windscribe zurückgegeben werde.

Windscribe versicherte der Öffentlichkeit, dass durch die Beschlagnahmung keine Nutzerinformationen gefährdet seien. Das Unternehmen betonte, dass alle Server ausschließlich mit RAM betrieben werden, sodass die Behörden lediglich eine Standardinstallation von Ubuntu vorfinden würden. In der Mitteilung hieß es: „Die niederländischen Behörden haben ohne Durchsuchungsbefehl einen unserer VPN-Server beschlagnahmt und angegeben, ihn nach einer vollständigen Analyse zurückzugeben. Da Windscribe RAM-Server nutzt, werden nur Standard-Ubuntu-Dateien sichtbar sein.“

Der CEO von Windscribe, Yegor Sak, erklärte in einer E-Mail an CNET, dass die Behörden den Server im Rahmen einer laufenden Untersuchung benötigten, ohne weitere Details zu nennen. Er vermutete, dass die Behörden möglicherweise einen RAM-Dump durchführen wollten, bei dem der flüchtige Speicher des Servers erfasst wird. Selbst in diesem Fall wären keine Nutzerdaten zugänglich gewesen, da keine Verbindungsprotokolle oder IP-Daten im RAM verbleiben, sobald das Netzwerkkabel getrennt wird.

RAM-Server speichern Daten ausschließlich im flüchtigen Arbeitsspeicher, sodass beim Ausschalten oder Neustart des Servers alle Informationen vollständig gelöscht werden. Daher konnten die niederländischen Behörden aus der Beschlagnahmung keine sensiblen Daten extrahieren. Windscribe setzt daher auf RAM-Server oder alternativ vollständige Festplattenverschlüsselung, um die Privatsphäre der Nutzer bei einer Serverbeschlagnahmung zu sichern.

Die Datenschutzrichtlinie von Windscribe stellt klar, dass keine Protokolle zu Nutzer-IP-Adressen, VPN-Sitzungen oder besuchten Webseiten gespeichert werden. Ohne diese Daten existieren auf den Servern keine relevanten Informationen, die von den Behörden abgerufen werden könnten.

Obwohl „No-Logs“-Ansprüche nie vollständig verifizierbar sind, unterstreichen regelmäßige Audits durch unabhängige Dritte die Vertrauenswürdigkeit der VPN-Dienste. Windscribe lässt seit 2021 wiederkehrende Audits durchführen, das jüngste wurde im Sommer 2024 veröffentlicht und prüfte die Infrastruktur des Dienstes FreshScribe. Solche Prüfungen dienen als wichtiges Vertrauenssignal, da sie die Datenschutzmaßnahmen der Anbieter bewerten, auch wenn sie nicht alle Eventualitäten abdecken können.

Ein realer Test der Server-Sicherheit erfolgte 2023, als griechische Behörden CEO Yegor Sak wegen angeblichen „illegalen Zugriffs auf ein Informationssystem“ anklagten, nachdem ein Nutzer einen Windscribe-Server für den Zugriff auf eine griechische Webseite und den Versand von Spam nutzte. Der Fall wurde nach einem längeren Rechtsstreit abgewiesen, da Windscribe nachweisen konnte, dass keine verwertbaren Daten zur Verfügung standen. Sak kommentierte: „Es wäre schneller gewesen, die Protokolle zu übergeben, um den Täter zu identifizieren. Aber man kann nicht etwas herausgeben, das nicht existiert.“

Im aktuellen Vorfall mit den niederländischen Behörden betonte Windscribe, dass das Unternehmen regelmäßig Anfragen von Strafverfolgungsbehörden erhält. Normalerweise weist Windscribe diese zurück, da keine Protokolle existieren. In diesem Fall wurde der Server jedoch ohne formelle Anfrage entfernt, um direkt auf die Daten zuzugreifen.

Die Transparenzberichte von Windscribe dokumentieren kontinuierlich die eingehenden rechtlichen Anfragen. Laut aktuellem Bericht wurden „keine Anfragen erfüllt, da keine relevanten Daten vorhanden waren“. Dies unterstreicht die wirksame Trennung der Nutzerinformationen von den Serverdaten und die Schutzmaßnahmen des Unternehmens gegen die Weitergabe personenbezogener Daten.