Die EU führt strenge Sicherheitsregeln für VPN-Dienste ein.

Nutzer, die ihre Online-Privatsphäre schützen möchten, waren bisher weitgehend auf Werbeversprechen von VPN-Anbietern oder gelegentliche externe Prüfungen der Verschlüsselungs- und Protokollierungsrichtlinien angewiesen. Aus diesem Grund führt das Europäische Institut für Telekommunikationsnormen (ETSI) mit EN 304 620 einen einheitlichen, rechtsverbindlichen Standard ein. Die neuen Regeln schreiben vor, dass alle auf dem europäischen Markt angebotenen VPN-Dienste strenge, unabhängig überprüfbare Anforderungen an Verschlüsselung, Authentifizierung und Schwachstellenmanagement erfüllen müssen.

Der neue Normenentwurf richtet sich direkt an VPN-Clients, -Server und -Gateways. Er legt fest, wie diese Produkte den Internetverkehr der Nutzer in ungesicherten oder öffentlichen Netzwerken schützen und verschlüsseln müssen. Unabhängig davon, ob ein Anbieter die branchenübliche AES-256-Verschlüsselung, moderne WireGuard-Protokolle oder Server verwendet, die vollständig im Arbeitsspeicher laufen, muss er die Funktionsweise seiner Sicherheitsmechanismen transparent nachweisen.

Der Standard ist ein wichtiger Bestandteil des umfassenderen Cyber Resilience Act, der alle Hersteller digitaler Produkte verpflichtet, bis Ende 2027 grundlegende Cybersicherheitsanforderungen zu erfüllen. Die neuen Regeln sehen zudem die verpflichtende und unverzügliche Meldung aktiv ausgenutzter Sicherheitslücken vor, was für Anbieter im Falle eines Sicherheitsvorfalls eine deutlich höhere Haftung bedeutet. Für den Durchschnittsnutzer bedeutet dies ein wesentlich höheres Sicherheitsniveau, da nicht geprüfte oder gar gefährliche kostenlose VPN-Apps ihren Schutz verbessern müssen, um nicht vom europäischen Markt entfernt zu werden.

Gleichzeitig beschränkt sich die regulatorische Aufsicht nicht auf VPNs. ETSI hat das Genehmigungsverfahren für insgesamt 17 europäische Standards eingeleitet, die die CRA-Gesetzgebung unterstützen. Diese umfassen auch andere alltägliche digitale Lösungen wie Passwortmanager, Antivirensoftware, Smart-Home-Assistenten, vernetztes Spielzeug und Wearables. Das Ergebnis dieser Bemühungen wird eine deutlich sicherere und widerstandsfähigere digitale Welt für alle europäischen Verbraucher sein.