VPN vs verschlüsselter Transfer: brauchen Sie beides?
VPN vs verschlüsselter Transfer verglichen. Verstehen Sie, was jeder schützt und ob Sie beide Sicherheitsschichten brauchen.
Ein VPN tunnelt Ihren Netzwerkverkehr durch einen Vermittler und verbirgt Ziele vor Ihrem Internetanbieter und dem lokalen Netzwerk. Verschlüsselter Dateitransfer macht den Dateiinhalt unleserlich, sodass nur der Empfänger ihn entschlüsseln kann. Beide lösen verschiedene Probleme: Das VPN schützt Ihre Verbindungsmetadaten (welche Seiten Sie besuchen, welche IPs Sie kontaktieren), der verschlüsselte Transfer schützt die Nutzlast (was in dem .pdf steckt, das Sie gesendet haben). Beides zugleich zu nutzen kostet nichts und schließt Lücken, die keines allein abdeckt. Ein VPN ohne Ende-zu-Ende-Verschlüsselung gibt Dateien an den VPN-Anbieter preis; E2EE ohne VPN gibt Metadaten an den Server des Dienstleisters preis.
Was ein VPN tatsächlich verbirgt
Ein VPN erstellt einen TLS- oder WireGuard-Tunnel von Ihrem Gerät zu einem Server des VPN-Anbieters. Ihr Internetanbieter sieht verschlüsselten Traffic an Mullvads schwedischer IP; er sieht nicht, dass Sie hexatransfer.com besuchen. Die Zielseite sieht die IP des VPN als Ihre Herkunft. Innerhalb des Tunnels funktioniert Ihr TLS zur Zielseite normal — das VPN liest es nicht, sofern der Anbieter sein No-Logs-Versprechen hält. Was ein VPN nicht tut: die Datei selbst verschlüsseln. Wenn der Zielserver Ihren Upload im Klartext speichert, hat das VPN nur versteckt, wer hochgeladen hat, nicht was hochgeladen wurde.
Was verschlüsselter Dateitransfer verbirgt
Ende-zu-Ende-verschlüsselter Transfer verwendet AES-256-GCM mit einem aus einem Passwort oder zufälligen URL-Fragment abgeleiteten Schlüssel. Der Dienstbetreiber sieht nur Ciphertext — er kann die Datei nicht lesen, kann einer Vorladung bezüglich ihres Inhalts nicht nachkommen und kann kein KI-Modell damit trainieren. Was E2EE nicht verbirgt: Ihre IP-Adresse beim Verbindungsaufbau zum Dienst, die Dateigröße, den Zeitpunkt und (meist) die Tatsache, dass ein Transfer stattgefunden hat. Metadatenlecks bleiben bestehen. Ein Beobachter in Ihrem Netzwerk sieht „Alice hat um 14:03 UTC 4,2 GB auf hexatransfer.com hochgeladen", auch wenn er die Datei nicht lesen kann.
Die Bedrohungsmodelle, in denen jedes gewinnt
Wählen Sie VPN, wenn Ihre Bedrohung Netzwerk-Überwachung ist: ein feindseliger Internetanbieter, ein Angreifer im Café-WLAN, ein Land, das bestimmte Seiten sperrt, ein Unternehmens-Proxy, der URLs protokolliert. Wählen Sie verschlüsselten Transfer, wenn Ihre Bedrohung der Dienstbetreiber ist, eine Vorladung an den Dienst, ein Cloud-Storage-Einbruch oder Strafverfolgung, die einen Server beschlagnahmt. Wählen Sie beides, wenn Ihre Bedrohung ein sophistizierter Angreifer ist, der Metadaten über Schichten hinweg korreliert — zum Beispiel ein Journalist, der Quelldokumente an eine Redaktion sendet, oder ein Whistleblower, der Zuordnung vermeiden will.
Wo ein VPN allein nicht ausreicht
Dienste wie NordVPN, Mullvad und ProtonVPN verschlüsseln nicht, was Sie zu Drittzielen hochladen, außer dem Standard-TLS. Wenn Sie ein 200-MB-.docx in einen Dienst hochladen, der es im Klartext speichert (einige alte Unternehmens-Dateiablagen tun das noch), hat das VPN Ihre IP verborgen, aber der Dienst hält Ihr Dokument lesbar. Außerdem können VPN-Anbieter selbst kompromittiert werden — PureVPNs Logs halfen 2017 dem FBI, einen Stalker zu identifizieren, trotz „No Logs"-Marketing. Ihr Bedrohungsmodell muss dem VPN-Betreiber vertrauen, was nicht null Risiko bedeutet.
Wo verschlüsselter Transfer allein nicht ausreicht
Wenn HexaTransfers IP in Ihrem Land gesperrt wird (Russland hat 2024 mehrere Dateiübertragungsdienste gesperrt), hilft clientseitige Verschlüsselung nicht beim Erreichen des Dienstes. Wenn Ihr Internetanbieter Ihren Besuch der Seite protokolliert, kann dieses Metadatum allein in autoritären Kontexten Verdacht erregen. Ein Journalist in einem feindseligen Regime, der nur E2EE nutzt, verrät, dass ein Quellteilungsereignis stattgefunden hat, auch wenn der Inhalt privat bleibt. Für dieses Profil ist Tor plus E2EE oder VPN plus E2EE der richtige Stack.
Beide kombinieren: die praktische Lösung
Zuerst ein VPN zu starten und dann eine verschlüsselte Datei hochzuladen, bietet starke Eigenschaften: Das VPN verbirgt vor Ihrem Internetanbieter, dass Sie hexatransfer.com nutzen, die E2EE verbirgt den Dateiinhalt vor dem Dienst, und kein einzelner Betreiber sieht gleichzeitig Ihre Identität und Ihre Datei. WireGuard fügt etwa 3–5 ms Latenz und vernachlässigbaren Bandbreiten-Overhead hinzu. Die AES-256-GCM-Verschlüsselung ergänzt 500 ms PBKDF2-Ableitung sowie einige Prozent CPU beim Upload. Für eine 1-GB-Datei über eine 100-Mbit/s-Leitung liegt der Gesamtoverhead unter 2 Sekunden. Kombinieren Sie beides.
Unternehmens-VPNs und das Split-Tunnel-Problem
Geschäftliche VPNs (Cisco AnyConnect, Palo Alto GlobalProtect) leiten Mitarbeiter-Traffic über ein Unternehmens-Gateway, das TLS-Inspektion durchführt. Dieses Gateway beendet Ihr HTTPS, liest den Klartext und verschlüsselt neu zur Zielseite. Laden Sie eine unverschlüsselte Datei hoch, sieht das Sicherheitsteam — oder ein kompromittierter Admin — sie. Clientseitige Verschlüsselung umgeht das: Der Ciphertext innerhalb des TLS-Tunnels bleibt für den Inspektions-Proxy undurchsichtig, weil er den AES-Schlüssel nicht hat. Das ist relevant, wenn Sie legitim persönliche Dokumente über ein Arbeitsgerät senden müssen.
Tor als dritte Option
Für extreme Metadaten-Schutz schlägt Tor sowohl VPNs als auch verschlüsselten Transfer. Drei Hops, Onion-Routing, kein einzelnes Relay sieht Quelle und Ziel. Ein Dateiübertragungsdienst mit einer .onion-v3-Adresse (56-stelliger Base32-Hostname, Ed25519-Schlüssel) bietet noch bessere Privatsphäre als IP-basierter Zugang plus VPN. Der Nachteil ist die Geschwindigkeit: Tors aktuelle Bandbreite beträgt 50–200 Mbit/s pro Circuit, sodass eine 10-GB-Datei länger dauert. SecureDrop nutzt diesen Stack für die Dokumentenaufnahme in Redaktionen; für alltägliches Dateiteilen ist VPN plus E2EE der bessere Kompromiss.
Rechtliche Risiken und der Einschüchterungseffekt
In manchen Rechtsordnungen ist die VPN-Nutzung selbst verdächtig — China, Russland, Vereinigte Arabische Emirate und Iran schränken VPN-Nutzung ein. Verschlüsselungsgesetze in Großbritannien (Online Safety Act 2023) und Australien (TOLA 2018) schaffen Regime erzwungener Assistenz, die einen VPN-Anbieter zwingen könnten, bestimmte Nutzer zu protokollieren. E2EE, bei dem der Dienst keine Schlüssel hält, schützt vor erzwungener Assistenz, weil nichts auszuhändigen ist. Deshalb empfehlen Journalismusorganisationen wie die Freedom of the Press Foundation Tor plus SecureDrop plus PGP statt kommerziellem VPN plus Standardtransfer.
Die einfache Empfehlung
Für die meisten Menschen, die ein .pdf an ihren Steuerberater senden, reicht verschlüsselter Dateitransfer allein — die Bedrohung ist Dienstbetreiberzugriff, nicht Netzwerküberwachung. Wer sich in nicht vertrauenswürdigen Netzwerken (Hotel-WLAN, Flughafen) befindet, ergänzt ein VPN. Wer mit einem feindseligen Bedrohungsmodell arbeitet (Journalisten, Aktivisten, Anwälte mit sensiblen Mandaten), ergänzt Tor. Die Werkzeuge lassen sich kombinieren; eines zu wählen, schließt die anderen nicht aus. Investieren Sie in das Minimum, das Ihr Bedrohungsmodell verlangt, und lassen Sie den Rest weg.
Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.
Große Dateien sicher mit Ende-zu-Ende-Verschlüsselung senden
Übertragen Sie Dateien bis zu 10 GB kostenlos mit Ende-zu-Ende-Verschlüsselung. Kein Konto erforderlich. Ihre Dateien werden in Ihrem Browser verschlüsselt, bevor sie hochgeladen werden — niemand sonst kann sie lesen.
Datei senden