Läuft mein VPN?

Was zeigt der Check und was nicht?

Wenn du dein VPN testen willst, brauchst du eine klare Antwort auf eine einfache Frage: Sieht die Gegenseite meine echte Adresse oder die des VPN-Servers? Der Check oben stellt dafür vier Fragen an deinen Browser und deine Verbindung.

• Öffentliche IP-Adresse und Land: Ein Abfrage-Dienst im Internet meldet zurück, unter welcher Adresse du dort ankommst. Steht hier das Land deines VPN-Servers, läuft der Tunnel.
• WebRTC: Der Browser fragt einen STUN-Server, welche Adresse von außen sichtbar ist. Taucht darin deine echte Adresse auf, ist das ein WebRTC-Leck.
• IPv6: Der Check versucht eine Adresse zu erreichen, die nur über IPv6 antwortet. Gelingt das, besteht neben dem IPv4-Tunnel eine zweite, ungeschützte Verbindung.
• Zeitzone: Der Browser verrät die Zeitzone deines Geräts. Passt sie nicht zum IP-Land, fällt das Webseiten und Diensten auf.

Ein DNS-Leck-Test ist nicht dabei. Dafür braucht es Server, die Namensabfragen eigens protokollieren und dir zuordnen können, und die betreibt diese Seite nicht. Weiter unten steht, wie du ein DNS-Leck trotzdem erkennst.

Die Frage „Läuft mein VPN?“ beantwortet der Check also in vier Teilen statt mit einem einzigen Haken. Ein grünes Ergebnis heißt: In diesen vier Punkten ist im Moment des Tests nichts aufgefallen. Es heißt nicht, dass du anonym bist. Cookies, Konten und der Browser-Fingerabdruck verraten dich weiter, egal wie dicht der Tunnel ist. Läuft mein VPN nur zum Teil, ist meist ein einzelner Punkt rot. Dann such den passenden Abschnitt weiter unten und starte den Check nach jeder Änderung neu, damit du siehst, ob sie gewirkt hat. Ändere immer nur eine Sache auf einmal, sonst weißt du nicht, was geholfen hat. Mehr zur Grundidee findest du in Was ist ein VPN?.

Was ist ein WebRTC-Leck und wie schaltest du es ab?

WebRTC ist die Technik hinter Videoanrufen und Dateiaustausch im Browser. Damit zwei Geräte sich finden, fragt der Browser einen STUN-Server nach der Adresse, die von außen sichtbar ist (MDN beschreibt diese Adresskandidaten in der Dokumentation zu WebRTC-Verbindungen). Diese Abfrage geht am Tunnel vorbei, wenn Browser und VPN nicht sauber zusammenspielen. Dann kennt eine Webseite deine echte Adresse, obwohl du verbunden bist. Mullvad nennt das in seiner Hilfe ausdrücklich: WebRTC kann deine echte IP-Adresse offenlegen.

So gehst du vor:

• Firefox: Gib about:config in die Adresszeile ein, bestätige die Warnung, suche media.peerconnection.enabled und setze den Wert auf false. Laut Mullvad ist Firefox der einzige Browser, der WebRTC vollständig abschalten kann. Als einfachere Variante nennt Mullvad die Erweiterung „Disable WebRTC“.
• Chrome und Edge: Hier gibt es keinen solchen Schalter. Mullvad verweist auf WebRTC-Erweiterungen aus dem Chrome Web Store; manche davon verlangen, dass du ihre Einstellungen anpasst.
• Brave: Suche in den Einstellungen nach „webrtc“ und stelle die „WebRTC IP Handling Policy“ auf „Disable Non-Proxied UDP“.
• VPN-App oder Erweiterung: Schau in den Einstellungen deines Anbieters nach, ob er einen WebRTC-Schutz anbietet. Wie das bei Erweiterungen aussieht, steht in VPN-Browser-Erweiterungen im Überblick.

Der Preis des Abschaltens: Videokonferenzen im Browser können danach nicht mehr funktionieren. Mullvad rät deshalb, WebRTC wieder einzuschalten, wenn du kein VPN nutzt. Starte den Check nach jeder Änderung neu. So lässt sich ein VPN testen, ohne dass du raten musst.

Warum ist IPv6 ein so verbreitetes Leck?

Dein Anschluss spricht heute oft zwei Sprachen: das alte IPv4 und das neuere IPv6. Viele VPN-Tunnel tragen nur IPv4. Das Betriebssystem bevorzugt bei Seiten, die beides anbieten, aber häufig IPv6. Das Ergebnis: Der IPv4-Verkehr läuft durch den Tunnel, der IPv6-Verkehr geht am Tunnel vorbei direkt ins Netz. Das beschreibt ein Entwurf der Internet-Standardisierer (IETF) zu Datenlecks bei VPNs in Netzen mit beiden Protokollen. Für einen Client ohne IPv6-Unterstützung empfiehlt das Dokument, IPv6 auf allen Netzwerkschnittstellen abzuschalten, solange das VPN läuft. Unterstützt der Client IPv6, soll auch dieser Verkehr durch den Tunnel gehen.

Für dich heißt das praktisch:

1. Öffne die Einstellungen deiner VPN-App und suche nach einer Option, die IPv6 blockiert oder durch den Tunnel leitet.
2. Findest du keine, schalte IPv6 für die betroffene Netzwerkverbindung im Betriebssystem ab.
3. Starte den Check erneut. Der IPv6-Punkt sollte jetzt „nicht erreichbar“ zeigen.

Wenn nach dem Start des VPN gar nichts mehr lädt, liegt das Problem woanders; dann hilft VPN verbunden, aber kein Internet.

Was ist ein DNS-Leck und wie prüfst du es?

Bevor dein Gerät eine Seite aufruft, übersetzt ein DNS-Server den Namen in eine Adresse. Läuft diese Abfrage nicht über den Server deines VPN-Anbieters, sondern über den deines Internetanbieters oder eines anderen Dienstes, spricht man von einem DNS-Leck. Mullvad definiert es so: Du nutzt einen DNS-Server, der nicht zum VPN gehört. Deine besuchten Adressen sind dann für Dritte sichtbar, auch wenn der eigentliche Verkehr im Tunnel läuft.

Prüfen kannst du das nur mit einem Server, der die Abfragen mitlesen kann. Der Check hier kann das nicht. Der sauberste Weg ist der Resolver deines Anbieters: Viele Anbieter betreiben eigene Prüfseiten auf ihrer Infrastruktur oder nennen in ihrer Hilfe die Adressen ihrer DNS-Server. Frag dort nach, statt einem beliebigen Drittdienst zu vertrauen. Mullvad nennt als häufige Ursachen:

• verschlüsseltes DNS im Browser („DNS über HTTPS“, in Chromium-Browsern „Sicheres DNS“), das den Resolver des VPN umgeht,
• Erweiterungen, die DNS-Einstellungen ändern,
• Sicherheitssoftware, Firewalls oder andere Netzwerk-Programme, die DNS an sich ziehen.

Schalte diese Dinge testweise ab und prüfe erneut beim Anbieter. Eine Anleitung zur Einrichtung findest du unter VPN einrichten.

Was tut ein Kill-Switch?

Ein Kill-Switch sperrt den gesamten Internetverkehr deines Geräts, sobald die VPN-Verbindung abbricht. Proton VPN beschreibt es genau so: Der Verkehr bleibt blockiert, bis das VPN wieder verbunden ist, damit nichts ungeschützt ins offene Netz gelangt. Proton unterscheidet einen Standard-Kill-Switch, der nur bei einem ungewollten Abbruch greift, von einem erweiterten, der Internet nur bei bestehender VPN-Verbindung erlaubt und auch nach einem Neustart aktiv bleibt. Welche Variante deine App bietet, hängt vom Anbieter und vom Betriebssystem ab.

Der Kill-Switch schützt vor dem Moment, in dem die Verbindung wegbricht. Gegen ein Leck bei bestehender Verbindung, zum Beispiel über WebRTC oder IPv6, hilft er nicht. Deshalb ergänzen sich beide: der Check für laufende Lecks, der Kill-Switch für Abbrüche. Wer sein VPN testen will, sollte das nach jedem App-Update und bei jedem neuen Netzwerk wiederholen. Anbieter im Test findest du in der VPN-Übersicht.

Wie geht der Check mit deinen Daten um?

Beim Laden der Seite passiert nichts: Es gibt keine Abfrage an STUN-Server, IP-Dienste oder Testadressen. Erst wenn du auf den Start-Knopf klickst, stellt dein Browser diese Anfragen:

1. eine Abfrage an einen öffentlichen Dienst, der deine IP-Adresse und das Land als JSON zurückgibt,
2. eine WebRTC-Verbindungsanfrage an einen öffentlichen STUN-Server,
3. ein Testaufruf, der nur über IPv6 erreichbar ist.

Die Zeitzone liest der Browser lokal von deinem Gerät, dafür geht keine Anfrage raus. Diese Seite speichert nichts: keine Ergebnisse, kein Konto, kein Protokoll. Die Dienste, die du anfragst, sehen deine Adresse, wie jede Webseite, die du aufrufst. Die Details zum Ablauf stehen im Abschnitt zur Methode unter dem Check.