Regulierung
Die spanische Fußballliga LaLiga reichte eine auf den 10. September 2026 datierte 14-seitige Eingabe ein, in der sie die Europäische Kommission auffordert, NordVPN, Proton VPN, ExpressVPN und Surfshark auf die Beobachtungsliste für Nachahmungen und Piraterie 2027 zu setzen. Die Eingabe ging in die öffentliche Konsultation der Kommission ein, die vom 11. Juni bis 21. September 2026 lief. LaLiga erklärt, dass sich das Ersuchen gegen die bewusste Vermarktung und Affiliate-Werbung für die Umgehung gerichtlich angeordneter Sperrmaßnahmen richtet, nicht gegen das Anbieten von VPN-Diensten als solches. Zuvor erließ das Handelsgericht Nr. 1 von Córdoba am 17. Februar 2026 einseitige vorsorgliche Maßnahmen gegen NordVPN und Proton VPN, wonach von der Klägerin genannte IP-Adressen aus Spanien unzugänglich gemacht werden müssen; im Mai lehnte dasselbe Gericht Zwangsgelder gegen NordVPN ab, während das Hauptverfahren weiterläuft.
Wenn Sie eine der genannten Marken in Spanien oder der EU nutzen, beobachten Sie, ob sich die an Affiliates gerichtete 'unblock sports'-Botschaft ändert und ob sich die spanischen IP-Sperren ausweiten; die Liste der Kommission ist für Q2 2027 vorgesehen und stellt selbst kein rechtliches Verbot dar.
Via BetaNews
Unabhängig vom Vorstoß zur EU-Beobachtungsliste in dieser Woche hieß es in Berichten vom 3. Juli 2026, dass die indische Regierung einen umfassenderen Rechtsrahmen für VPN-Anbieter vorbereitet, nachdem die Richtlinien von CERT-In vom April 2022 – die eine fünfjährige Speicherung von Abonnentennamen, Kontaktdaten und zugewiesenen IP-Adressen vorschreiben – bei großen No-Logs-Marken keine Einhaltung durchsetzen konnten. Beamte erörterten Anforderungen an eine lokale Niederlassung in Indien, benannte Compliance-Beauftragte und mögliche Haftstrafen für lokale Mitarbeiter, was Elementen der IT Rules, 2021 entspricht. Proton VPN, NordVPN, ExpressVPN und Surfshark hatten physische Server in Indien bereits entfernt und leiten den Indien-Verkehr über Standorte wie Singapur, statt die vorgeschriebenen IDs zu speichern.
Käufer in Indien sollten Anbieter bevorzugen, die Zuständigkeit, Protokollierung und die Weiterleitung des indischen Verkehrs öffentlich dokumentieren, und davon ausgehen, dass Vorschriften zur lokalen Präsenz mit mehr Biss zurückkehren können als die Richtlinien von 2022.
Internetsicherheit
Am 6. Oktober 2026 veröffentlichten das U.S. Federal Bureau of Investigation und der United States Secret Service die gemeinsame Cybersicherheitswarnung JCSA-20261006-01 zu FortiBleed, einer aktiven Kampagne zur Kompromittierung von Zugangsdaten gegen internetzugängliche Fortinet FortiGate-Firewalls und SSL-VPN-Gateways. SOCRadar hat mehr als 86,644 kompromittierte Geräte in 194 Ländern verifiziert. Angreifer verwenden geleakte Zugangsdaten erneut, führen Password-Stuffing und Password-Spraying durch, knacken ältere SHA-256-Admin-Hashes offline mit Hashcat und Hashtopolis, legen neue Admin-Konten an und löschen oder ändern in manchen Fällen bestehende Admin-Passwörter, sodass legitime Betreiber ausgesperrt werden. Die FortiBleed-Kette wurde als Initial-Access-Pfad für Ransomware-Affiliates einschließlich INC/Lynx und Payload beobachtet.
Administratoren von Enterprise- und selbst gehosteten SSL-VPN-Instanzen sollten das Management über das Internet nach Möglichkeit entfernen, alle Admin- und VPN-Sitzungen beenden, Zugangsdaten zurücksetzen, phishing-resistente MFA durchsetzen, die Speicherung von Admin-Passwörtern auf PBKDF2 umstellen und nach unbekannten FortiGate-Konten suchen.
Via FBI IC3 / USSS JCSA-20261006-01
Anbieter
Am 7. Oktober 2026 gab Surfshark bekannt, dass die WireGuard-Implementierung auf iOS und macOS nun vollständig Post-Quantum-sicher ist und ML-DSA zur Authentifizierung zusätzlich zum früheren Post-Quantum-Schlüsselaustausch mit ML-KEM einführt. Das Unternehmen erklärt, dass beide gitterbasierten NIST-Standards erforderlich sind, um Steal-now-decrypt-later-Angriffe sowie künftige Echtzeit-Quantenbedrohungen gegen Handshake und Serverauthentifizierung zu schließen. Derselbe Doppelstandard-Ansatz treibt Surfsharks eigenes Dausos-Protokoll auf macOS an; weitere Plattformen sind für die Einführung von Post-Quantum-WireGuard geplant.
Wenn Post-Quantum-Handshakes für Sie wichtig sind, prüfen Sie, ob die Funktion in Ihrem Betriebssystem-Build aktiviert ist, und gehen Sie nicht davon aus, dass Android-, Windows- oder Linux-Clients denselben doppelten ML-KEM-plus-ML-DSA-Stack bereits ausgeliefert haben.
Via Surfshark-Blog
Am 3. September 2026 kündigte Mullvad an, die öffentlichen verschlüsselten DNS-over-HTTPS-Server abzuschalten und stattdessen die Quad9 Foundation finanziell zu unterstützen. Nutzer des Mullvad Browser mit den standardmäßigen DoH-Einstellungen werden automatisch umgestellt; wer Mullvad-DoH manuell konfiguriert hat, muss vor dem 2. November 2026 wechseln, und vorhandene Mullvad-DoH-Konfigurationsprofile für iOS und macOS funktionieren nicht mehr und müssen durch Quad9-Alternativen ersetzt werden. Mullvad betont, dass der Datenverkehr innerhalb von Mullvad VPN bereits den internen DNS des Anbieters nutzt, sodass der öffentliche DoH-Dienst vor allem für den Browser- und Nicht-VPN-Einsatz gedacht war.
Ersetzen Sie vor dem 2. November alle manuellen Mullvad-DoH-Endpunkte und Apple-Konfigurationsprofile durch Quad9; Nutzer eines VPN-Tunnels sind beim DNS innerhalb des Tunnels nicht betroffen.
Via Mullvad-Blog
VPN-Technologie
Das Community-Projekt OpenVPN hat am 7. Oktober 2026 OpenVPN 2.7.8 als sicherheitsorientiertes Bugfix-Release veröffentlicht. Zu den Korrekturen gehören die Ablehnung von Zertifikaten mit NULL-Bytes in Subjects (CVE-2026-84790), die Behebung eines vorzeichenlosen Underflows beim Leeren von domain_search_list (CVE-2026-88964) sowie das Unterbinden der Variablenexpansion von cmd.exe in Windows-Argumenten in Anführungszeichen (CVE-2026-84256). Das mitgelieferte Update des ovpn-dco-win-Treibers auf v2.8.13 behebt CVE-2026-105390, einen lokalen Locking-Fehler, der einen Host in einen Deadlock versetzen konnte. Früher in derselben Release-Linie behob OpenVPN 2.7.7 am 3. September CVE-2026-84732, einen Denial-of-Service auf der Reliability-Schicht durch unbegrenzte TLS-Neuübertragungs-Timeouts und Bestätigungen für nicht ausstehende Pakete, der 2.6.22 und 2.7.6 betrifft.
Selbst gehostete und Appliance-basierte OpenVPN-Installationen sollten zügig auf 2.7.8 oder die passende 2.6.23-Linie wechseln, insbesondere Windows-MSI-Installationen, die den dco-win-Treiber mitliefern.
Via OpenVPN-Community ReleaseHistory
Foren
Am 9. Oktober 2026 veröffentlichte das Tor Project eine Community-Erklärung, in der es darlegt, dass es die eng begrenzte technische Zusammenarbeit mit Mullvad fortsetzen wird, nach interner Due Diligence, die Community-Diskussionen, eine Mitarbeiterumfrage, eine Vorstandsüberprüfung und finanzielle Szenarioplanung umfasste. Tor erklärte, dass jüngste Bedenken wegen einer politischen Spende eines Mullvad-Mitgründers Forderungen ausgelöst hätten, die Beziehung zu beenden. Das Project pausiert proaktives Co-Branding, stellt klar, wie der Mullvad Browser auf tor-eigenen Kanälen beschrieben wird, und betont, dass die Zusammenarbeit der menschenrechtlichen Mission von Tor dienen muss, ohne eine umfassendere Werteunterstützung zu implizieren.
Mullvad Browser und Tor Browser als verwandte, aber getrennt gesteuerte Produkte behandeln; gemeinsame technische Arbeit nach der Co-Branding-Pause von Tor nicht als pauschale Unterstützung lesen.
Via Tor Project Blog