Google One VPN: Übergriffige Zugangs-App gefährdet Datenschutz

Die Zugangs-App für Googles VPN-Dienst manipuliert dauerhaft die Windows-Einstellungen und sorgt damit nicht nur für technische Probleme, sondern potenziell auch für ein handfestes Datenschutzproblem. Google argumentiert, damit die Privatsphäre der Nutzer zu schützen – Experten sind jedoch anderer Meinung.

Wer seinen Internetverkehr mit dem VPN-Dienst "Google One VPN" anonymisieren möchte, benötigt dafür eine Zugangs-App, die für Windows, macOS, iOS und Android verfügbar ist.

Unter Windows legt die App allerdings ein unerwartetes Verhalten an den Tag: Sobald man die VPN-Verbindung über den Schalter in der App aufbaut, ändert sie den im Betriebssystem eingestellten DNS-Resolver ungefragt auf die Google-Resolver um, also 8.8.8.8 und 8.8.4.4 für IPv4 sowie 2001:4860:4860::8888 und 2001:4860:4860::8844 für IPv6.

Diese Änderung gilt für sämtliche Netzwerkverbindungen und wird nicht wieder rückgängig gemacht, wenn man die VPN-Verbindung trennt und die App beendet.

Dadurch kommen fortan sämtliche DNS-Anfragen des Systems bei Google an, anstatt beim ursprünglich eingestellten Resolver (meist ist die Router-IP als DNS-Resolver eingestellt). Das kann verschiedene unerwünschte Effekte haben: etwa kann die Auflösung interner Hostnamen fehlschlagen, weil der externe Google-DNS diese nicht kennt.

Datenschutzprobleme

Auch für den Datenschutz ist das übergriffige Verhalten ein Problem. Ist im Netz ein DNS-Filter wie Pi-hole oder AdGuard Home installiert, kann dieser die DNS-Anfragen nicht länger filtern, weil sie direkt bei Google landen. Man bekommt es also plötzlich wieder mit Werbung und Trackern & Co. zu tun, die der DNS-Filter aufgehalten hätte.

Darüber hinaus erfüllen die Google-Resolver nicht die vollmundigen Privacy-Versprechen, die Google zu seinem VPN-Dienst macht. Das Unternehmen verspricht etwa, dass ich die durch den VPN transportierten Daten nicht den Nutzern zuordnen lassen, da die Authentifizierung durch technische Maßnahmen von den Datenübertragungen getrennt wird. Zur Protokollierung heißt es unter anderem: "Zusätzlich zu diesem Schutz werden die folgenden Daten niemals aufgezeichnet: Netzwerkverkehr, einschließlich DNS […]."

Dies gilt jedoch nicht für die allgemeine, vom VPN-Dienst unabhängige Nutzung der Google-DNS-Resolver, die Google seinen Nutzern durch das Verstellen der Windows-Einstellungen aufdrängt. Denn die öffentlichen Resolver schreiben durchaus mit, wie Google auf einer Infoseite über seine Resolver erklärt. Demnach wird "die IP-Adresse Ihres Geräts, von dem die DNS-Abfrage gesendet wird" temporär geloggt und erst "innerhalb von 24 bis 48 Stunden gelöscht".

Google speichert solche Daten nach eigenen Angaben "zur Behebung von Sicherheits- und Missbrauchsproblemen". Andere technische Informationen wie die angefragten DNS-Namen speichert Google sogar dauerhaft. Das können auch intern genutzte Hostnamen sein, die nicht öffentlich bekannt sind, weil das System sämtliche Anfragen an die Google-Resolver schickt. Während die VPN-Nutzung nach derzeitigem Wissensstand also sicher und privat ist, reißt man sich mit Google One VPN potenziell an anderer Stelle ein Datenleck auf.

Gut gemeint

Das Problem ist schon seit längerer Zeit bekannt. Auf GitHub hat der Nutzer Mr-McMuffin am 20. November Jahres seine Beobachtungen geschildert, in der Annahme, es würde sich um einen Bug handeln. Am 26. Januar antwortete der Google-Mitarbeiter Ryan Lothian schließlich, dass es sich um ein beabsichtigtes Verhalten handelt, das dazu dient, "die Privatsphäre der Nutzer zu schützen". Die Begründung: "Dies verhindert, dass ein bösartiger DNS-Server (der möglicherweise per DHCP eingestellt ist) Ihre Privatsphäre gefährdet."

Laut Lothian könnte die Google-App seinen Nutzern zukünftig die Wahl lassen: "Wir denken, dass dies für die meisten Nutzer eine gute Standardeinstellung ist. Wir sind uns jedoch bewusst, dass einige Nutzer vielleicht ihr eigenes DNS haben möchten oder dass das DNS wiederhergestellt werden soll, wenn die VPN-Verbindung unterbrochen wird. Wir werden in Erwägung ziehen, dies in einer zukünftigen Version der App hinzuzufügen."

Wer Google One VPN nutzen möchte, aber nicht dauerhaft die Google-Resolver, dem bleibt derzeit nichts anders übrig, als die DNS-Einstellungen von Windows nach jedem Verbindungsaufbau zum VPN von Hand auf die gewünschten Einstellungen zu korrigieren. Alternativ lässt sich das zum Beispiel per PowerShell automatisieren.

c’t hat Google bereits am 15. März mit dem Problem konfrontiert. Das Unternehmen versprach, sich der Sache anzunehmen, ist uns eine Antwort aber bis heute schuldig geblieben. Inzwischen sorgt der Fall international für Diskussionsstoff. So haben etwa Ars Technica und Golem das Thema bereits aufgegriffen.

Google One VPN ist Bestandteil der kostenpflichtigen Google-One-Abos. Der unbegrenzte VPN-Zugriff ist bereits im kleinsten Google-Abo für 1,99 Euro im Monat enthalten und damit günstiger als die Angebote der meisten VPN-Anbieter. Auf den Google-Smartphones ist One VPN ab dem Pixel 7 auch ohne Abo nutzbar.

(rei)