VPN und virtuelle Nummern: Warum, wer dich angreift, nicht wirklich unsichtbar ist

Wer online belästigt, an den Pranger gestellt oder mit einer Hasskampagne überzogen wird, hört oft denselben Satz: «Mich findet sowieso keiner.» Nachrichten von ausländischen Nummern, Anrufe zu jeder Stunde, Konten, die verschwinden und wieder auftauchen. Manchmal prahlen die Angreifer sogar damit: «Ich benutze ein VPN.»

Dieser Artikel erklärt, was diese Technologien wirklich verbergen, wie du dich schützen kannst und warum eine Anzeige dorthin gelangen kann, wo du allein nicht hinkommst.

Warum sie unantastbar wirken

Unerreichbar zu wirken gehört zum Angriff: Wenn du denkst, eine Anzeige sei nutzlos, hat, wer dich angreift, schon etwas erreicht.

Aber «vor dir versteckt» heisst nicht «vor allen versteckt». Hinter jedem VPN, jeder virtuellen Nummer und jedem Konto steht ein Unternehmen, das Daten hat. Und viele Unternehmen geben sie heraus, wenn eine Justizbehörde danach fragt.

Was ein VPN verbirgt und was nicht

Ein VPN (virtuelles privates Netzwerk) ist ein Dienst, der die Verbindung über einen Zwischenserver leitet. Websites und Apps sehen die IP-Adresse dieses Servers, nicht die echte. Die IP-Adresse ist die Nummer, die eine Internetverbindung zu einem bestimmten Zeitpunkt identifiziert.

Ein VPN löscht die Spuren aber nicht. Es verschiebt sie:

Der VPN-Anbieter sieht die echte IP-Adresse derjenigen, die sich verbinden, und kann sie speichern, wenn seine Regeln es nicht ausschliessen.
Die Zahlung per Karte oder Konto hinterlässt Daten über die zahlende Person.
Konten bleiben Konten. Die Plattformen speichern Daten wie Telefonnummer, E-Mail und IP-Adressen der Zugriffe. Ein einziger Zugriff ohne VPN genügt, damit die echte Adresse in ihren Protokollen bleiben kann.
Das Telefon oder der Computer bleiben dieselben und lassen sich beschlagnahmen.

Die EFF, eine Organisation für digitale Rechte, schreibt es unverblümt: «ein VPN ist kein Werkzeug für Anonymität».

Es gibt auch Anbieter, die wirklich keine Verbindungsprotokolle führen: Bei ihnen nachzufragen bringt nichts. Deshalb enden die Ermittlungen nicht beim VPN und suchen nach anderen Spuren.

Ein italienisches Beispiel. Anfang 2024 gab die Polizia Postale von Rom die Verhaftung eines Mannes bekannt, der beschuldigt wurde, seit zwei Monaten eine frühere Kollegin zu verfolgen. Er nutzte ein rumänisches VPN, schrieb von einer anonymen ausländischen E-Mail-Adresse und zahlte über ausländische Kanäle: Anfangs war er nicht identifizierbar. Die Wende kam, als die Frau einen neuen Vorfall anzeigte, ein teures Geschenk, das zu ihr nach Hause geliefert worden war. Das Verfahren befand sich damals im Ermittlungsstadium, und der Mann gilt bis zu einer rechtskräftigen Verurteilung als unschuldig. Aber der Fall zeigt, dass das VPN nicht genügt hat.

Virtuelle Nummern und Anrufe aus dem Ausland

VoIP-Anrufe laufen übers Internet statt übers klassische Telefonnetz. Eine virtuelle Nummer ist eine Nummer, die bei einem Online-Dienst gemietet wird und über eine App funktioniert, nicht über eine SIM-Karte. Man kann eine englische oder amerikanische Nummer haben und in Italien leben: Die Vorwahl sagt nichts darüber, wo die anrufende Person ist.

Auch die Nummer, die du auf dem Display siehst, lässt sich fälschen: Das heisst Spoofing. Europol, die Polizeibehörde der Europäischen Union, erklärt, dass es oft mit VoIP-Diensten geschieht und «einfach zu machen, aber schwer zu ermitteln» ist.

Schwer heisst aber nicht unmöglich. Wer Nummern und Anrufe übers Internet anbietet, hat in der Regel Registrierungs-, Zahlungs- und App-Verbindungsdaten und antwortet den Behörden:

Twilio, eine grosse Plattform für Anrufe und SMS übers Internet, die viele Unternehmen nutzen, hat 2025 von den Behörden aus aller Welt 4’842 Anfragen erhalten und in 4’285 Fällen Daten geliefert.
TextNow, ein Dienst für virtuelle Nummern, akzeptiert direkte Anfragen nur aus den Vereinigten Staaten und Kanada. Die anderen laufen über das internationale Rechtshilfeersuchen, also die Bitte um Hilfe zwischen Staaten: Es ist langsamer, aber es ist ein Weg.
Im November 2022 hat eine internationale Operation unter Führung des Vereinigten Königreichs, unterstützt von Europol, eine Website geschlossen, die Anrufe mit gefälschter Nummer «in anonymer Form» verkaufte: 142 Verhaftungen unter Nutzenden und Administratoren.

Bei SIM-Karten muss in Italien der Anbieter die Kundschaft vor der Aktivierung mit einem Ausweis identifizieren, auch bei eSIM, Nummernmitnahme und SIM-Wechsel. In der Schweiz gilt eine ähnliche Pflicht. Eine SIM kann aber mit fremden Dokumenten auf jemanden eingetragen werden, und das ist strafbar: Die Nummer, die dich anruft, sagt nicht sicher, wer dahintersteckt. Überlass die Prüfung den Ermittelnden.

Auch Unternehmen antworten der Justiz

Einige dokumentierte Fälle:

2017, Vereinigte Staaten. Ein Mann verfolgte seine frühere Mitbewohnerin online und versteckte sich hinter einem VPN. Die Protokolle des Anbieters, PureVPN, zeigten, dass dieselbe Kundschaft sich von seinem Zuhause und von seinem Büro aus verband. 2018 wurde er wegen einer langen Reihe von Delikten zu über 17 Jahren verurteilt.
Telegram, seit 2024. Auf gültigen Beschluss der Justizbehörde kann es IP-Adresse und Telefonnummer von Tatverdächtigen liefern. Laut den Daten seines Transparenz-Bots, gesammelt von einem unabhängigen Archiv, sind die erfüllten italienischen Anfragen von 6 (Januar–September 2024) auf 407 allein im zweiten Quartal 2026 gestiegen.
Meta (Facebook, Instagram, Messenger). Es kann den Behörden E-Mail, Kreditkartendaten und, falls verfügbar, die IP-Adressen der letzten Zugriffe liefern. Bei den verschlüsselten Messenger-Chats kann es die Inhalte nicht herausgeben, liefert aber die Protokolle von Nachrichten und Anrufen und die IP-Adressen. Auf Anfrage bewahrt es die Daten 90 Tage lang auf, bis der formelle Beschluss vorliegt.
Zahlungen. Auch PayPal erklärt, Daten an Gerichte und Strafverfolgungsbehörden weiterzugeben, wenn das Gesetz es verlangt.
«VPN für Kriminelle», geschlossen durch von Europol unterstützte internationale Operationen: Safe-Inet im Dezember 2020, VPNLab im Januar 2022, First VPN im Mai 2026. Im letzten Fall erhielten die Ermittelnden die Liste der Nutzenden und warnten sie, dass sie identifiziert worden waren. Die Ermittlung hatte im Dezember 2021 begonnen, und auch Staatsanwaltschaft und Kantonspolizei Zürich haben daran teilgenommen. 2022 kommentierte die Polizei Hannover, dass Dienste, die rechtswidrige Aktivitäten unterstützen und den Anfragen der Behörden nicht nachkommen, «nicht kugelsicher sind».

Was sich in Europa und in der Schweiz ändert

Europäische Union. Seit dem 18. August 2026 gilt die europäische Verordnung über elektronische Beweismittel (e-Evidence). Eine italienische Richterin oder ein italienischer Richter kann einem Unternehmen, das in der EU Dienste anbietet, auch wenn es seinen Sitz anderswo hat, direkt befehlen, die Daten herauszugeben: innerhalb von 10 Tagen, innerhalb von 8 Stunden bei unmittelbarer Gefahr für Leben oder Unversehrtheit einer Person. Die Daten, die nötig sind, um zu identifizieren, wer hinter einem Konto steckt (Teilnehmerdaten, IP-Adressen mit Datum und Uhrzeit), können für jedes Delikt verlangt werden. Die Verordnung gilt nur in Strafverfahren und nur für Daten, die das Unternehmen bei Eingang des Beschlusses noch hat.

Italien. Die Anbieter speichern die Daten des Telefonverkehrs 24 Monate lang, jene des Internetverkehrs 12 Monate und jene der unbeantworteten Anrufe nur 30 Tage. Das Gesetz sieht ausdrücklich vor, dass der Richter ihre Beschaffung auch bei schweren Drohungen und Belästigungen am Telefon genehmigt.

Schweiz. Sie gehört nicht zur EU, die Schweizer Behörden können also e-Evidence nicht nutzen. Wie Proton erklärt, ein für Datenschutz bekannter Schweizer E-Mail-Dienst, darf ein Schweizer Unternehmen Daten nicht direkt an eine ausländische Polizei herausgeben: Das Gesuch läuft über die Schweizer Behörden mit der internationalen Rechtshilfe. Italien und die Schweiz haben die Budapester Konvention des Europarats über Computerkriminalität ratifiziert, die entstand, damit die Länder bei diesen Delikten zusammenarbeiten. Im April 2025 hat der Bundesrat verlangt, einfachere Regeln für elektronische Beweismittel und eine engere Zusammenarbeit mit der EU zu prüfen.

Es ist langsamer, aber es funktioniert. 2021 erhielt Proton Mail eine verbindliche Anordnung der Schweizer Behörden, die auf einer französischen Ermittlung beruhte, und konnte sich nicht widersetzen: Laut Presse lieferte es die IP-Adresse des Kontos. Die verschlüsselten E-Mails blieben unlesbar. 2025 hat Proton Mail 8’313 Anordnungen der Schweizer Behörden ausgeführt.

Wie du dich schützt

Antworte nicht auf unbekannte oder ausländische Nummern und ruf sie nicht zurück.
Auf WhatsApp aktivierst du «Anrufe von unbekannten Nummern stummschalten» (Einstellungen › Datenschutz › Anrufe). Die Anrufe klingeln nicht, bleiben aber in der Liste: Du brauchst sie als Beweis.
Auf Telegram wählst du unter Einstellungen › Datenschutz und Sicherheit, wer deine Nummer sieht, wer dich über die Nummer finden und wer dich anrufen kann. In den Anrufeinstellungen wählst du für «Peer-to-Peer» die restriktivste Option: So laufen die Anrufe über die Server von Telegram, und die andere Person sieht deine IP-Adresse nicht.
Sichere alles, bevor du blockierst: Screenshots der Anrufliste mit Nummer, Datum und Uhrzeit, Nachrichten, Links. Dann melden und blockieren. Hier erklären wir, wie du die Beweise auf Telegram sicherst.
Öffne keine Links, die man dir schickt. Jede Website sieht die IP-Adresse der Besuchenden, und ein eigens präparierter Link kann genau dazu dienen, sie einzusammeln.
Schütze deine Konten mit der Bestätigung in zwei Schritten über eine Authentifizierungs-App, nicht über SMS.
Schütze deine SIM. Frag deinen Anbieter, welche Schutzmassnahmen er für Vorgänge an der Leitung anbietet, etwa eine zusätzliche PIN. Wenn dein Telefon plötzlich den Empfang verliert, ruf sofort den Anbieter an: Jemand könnte in deinem Namen eine neue SIM beantragt haben (SIM-Swap).
Versuche nicht, sie allein zu entlarven. Du riskierst, eine unschuldige Person zu beschuldigen, Beweise zu sammeln, die nicht zählen, und selbst in Schwierigkeiten zu geraten. Darüber sprechen wir hier.

Warum eine Anzeige wirklich etwas bringt

Die Unternehmen geben die Daten den Behörden heraus, nicht den Opfern. Ohne Anzeige kann sie niemand anfordern.

Die Zeit zählt. In Italien werden die Daten unbeantworteter Anrufe nur 30 Tage aufbewahrt, und der europäische Beschluss wirkt nur bei Daten, die noch existieren. Erstatte früh Anzeige, auch gegen Unbekannt, und zeige jeden neuen Vorfall an: Im Fall von Rom war das entscheidend.

Was den Ermittelnden hilft:

die genauen Nummern, mit Datum, Uhrzeit und Zeitzone jedes Anrufs oder jeder Nachricht;
bei Telegram die numerische ID des Kontos, die sich nicht ändert wie Name oder Benutzername;
Links, Benutzernamen und vollständige Screenshots;
die Liste aller Konten und Nummern, auch wenn du glaubst, dass sie derselben Person gehören;
die anderen Betroffenen: Mehrere Anzeigen mit demselben Muster machen den Fall gewichtiger und leichter verknüpfbar.

Wir sind ehrlich: Die Identifizierung ist nicht garantiert. Es kann Monate oder Jahre dauern, und manchmal kommt man nicht zu einem Namen. Aber die Anzeige bleibt in den Akten, wird mit künftigen verknüpft und, wenn neue Anhaltspunkte auftauchen, kann eine eingestellte Ermittlung wieder aufgenommen werden.

Du musst da nicht allein durch. Melde uns deinen Fall oder finde heraus, wer dir helfen kann.