Hoe verdient een gratis VPN zijn geld? Vijf verdienmodellen uitgelegd
Het verdienmodel van een gratis VPN bepaalt wat je teruggeeft voor de dienst. Servers en bandbreedte kosten geld, dus iemand betaalt: de klanten van een betaald abonnement, adverteerders, kopers van gegevens over je surfgedrag, klanten die je internetverbinding gebruiken, of een groot bedrijf dat elders verdient. Facebook gebruikte zijn gratis VPN Onavo Protect om het gebruik van andere apps te volgen, en Hola liet de verbindingen van gratis gebruikers doorverkopen. Deze gids legt de vijf modellen uit, met voorbeelden die toezichthouders, rechters en onderzoekers hebben vastgelegd.
Of: wie de benzine betaalt als de taxi gratis is
Een VPN-dienst draait op servers in datacenters, met bandbreedte die elke maand gefactureerd wordt. Wie een VPN die niets kost aanbiedt, heeft dus een verklaring nodig voor die factuur. Er zijn er grofweg vijf, en ze lopen van een eerlijke etalage tot een zaak voor de rechtbank, zoals bij Onavo Protect van Facebook.
Het korte antwoord: ofwel betaalt een andere klant, ofwel betaalt een groter bedrijf erachter. Die andere klant kan een abonnee zijn, een adverteerder, een koper van gegevens of een koper van bandbreedte. Bij de eerste weet je wat je geeft. Bij de andere vaak niet.
Verdienmodel van een gratis VPN: vijf manieren om de servers te betalen
| Model | Wie betaalt | Wat jij geeft | Gedocumenteerd voorbeeld |
|---|---|---|---|
| Freemium | de abonnees | niets, binnen de grenzen van het plan | Proton VPN, Windscribe, TunnelBear |
| Reclame | adverteerders | je aandacht, vaak met trackers | 75 procent van 283 gratis Android-apps had trackers (CSIRO, 2016) |
| Gegevens | wie je surfgedrag wil kennen | wat je doet en welke apps je gebruikt | Onavo Protect (Facebook) |
| Bandbreedte | klanten die via jouw verbinding surfen | je internetverbinding en je IP-adres | Hola, en zonder toestemming 911 S5 |
| Bijproduct | een groot bedrijf dat elders verdient | meestal niets extra, maar een beperkte dienst | Cloudflare WARP, de VPN in Opera, Edge en Firefox |
1. De abonnees betalen mee
Het eerlijkste model: een betaald abonnement, en een gratis plan als etalage. Bij Proton VPN is dat plan beperkt tot één toestel en servers in tien landen, bij Windscribe tot 10 GB per maand met een bevestigd e-mailadres, bij TunnelBear tot 2 GB. Die grenzen zijn het verdienmodel: ze moeten je ooit doen overstappen. Daar is niets mis mee, zolang je weet dat het gratis plan bewust krap is.
2. Reclame
Een gratis app met advertenties is op zich niet verdacht. Het wordt anders als de reclame uit je verkeer komt. De onderzoekers van CSIRO vonden in 2016 trackers van derden in 75 procent van de gratis VPN-apps voor Android, en twee apps die zelf JavaScript voor reclame en tracking in de bezochte pagina’s injecteerden. Google Play verbiedt sindsdien in zijn regels voor VPN-apps dat een app het verkeer van andere apps omleidt of advertenties manipuleert om er geld aan te verdienen.
3. Gegevens over wat je doet
Het bekendste voorbeeld komt van Facebook. Het kocht het Israëlische Onavo in oktober 2013 en bood de VPN-app Onavo Protect gratis aan. Het verkeer dat door de VPN liep, werd geanalyseerd om te zien welke andere apps mensen gebruikten, en Facebook gebruikte die cijfers om concurrenten in het oog te houden. In augustus 2018 haalde Facebook de app uit de App Store, nadat Apple had laten weten dat ze de regels over het verzamelen van gegevens van andere apps overtrad. In februari 2019 stopte de dienst ook op Android. De Australische consumentenwaakhond ACCC stapte naar de rechter, en in juli 2023 legde een Australische federale rechtbank een boete op van 20 miljoen Australische dollar.
Apple heeft de regel intussen scherper gemaakt. Volgens richtlijn 5.4 voor de App Store mogen VPN-apps geen gegevens verkopen, gebruiken of aan derden geven, voor welk doel ook.
4. Je eigen internetverbinding
Hola was een gratis VPN met een bijzondere constructie: de gratis gebruikers waren zelf de uitgangen van het netwerk. Sinds eind 2014 verkocht het bedrijf toegang tot die verbindingen aan klanten van Luminati, dat in 2021 Bright Data werd. In mei 2015, na publieke kritiek, zette Hola in zijn FAQ dat gratis gebruikers zo hun verbinding delen, volgens het overzicht op Wikipedia. Betalende gebruikers deden niet mee.
De criminele variant van hetzelfde idee is 911 S5, dat de FBI in mei 2024 beschreef: gratis VPN-programma’s die met illegale software werden verspreid en computers zonder medeweten van hun eigenaar als doorgeefluik gebruikten. Voor een zaak is het gevolg in beide gevallen hetzelfde. Verkeer van vreemden vertrekt vanaf het IP-adres van je kantoor, en wat die vreemden doen, wordt eerst aan dat adres gekoppeld.
5. Een bijproduct van een groter bedrijf
Sommige gratis VPN’s zijn een onderdeel van iets anders. Cloudflare verkoopt zijn netwerk aan bedrijven en biedt WARP gratis aan consumenten aan; volgens zijn privacybeleid verkoopt het geen persoonsgegevens. Opera, Microsoft en Mozilla stoppen een gratis VPN in hun browser; Opera en Mozilla verkopen ernaast een betaalde VPN voor het hele toestel. Apple steekt Private Relay in iCloud+, een betaald abonnement. Het gratis deel is dan vaak beperkt tot de browser, tot Safari of tot een datalimiet, maar het verdienmodel ligt op tafel.
De gratis dienst van een groot netwerk
WARP is het duidelijkste voorbeeld van model 5, en het wordt vaak met een gewone VPN verward. Wat het versleutelt en wat niet, lees je bij de 1.1.1.1-app van Cloudflare.
Als het verdienmodel misloopt
Malware, onversleutelde tunnels en gedeelde wachtwoorden: wat onderzoekers in gratis VPN-apps vonden, staat bij de risico’s van gratis apps.
Wat Apple en Google verbieden
De regels van de appwinkels sluiten een deel van deze modellen uit, maar niet alles. Hoe je dat in de winkel herkent, staat bij de regels van de appwinkels.