Prüfen Sie Ihre IP und suchen Sie nach Leaks

Kurze Antwort: Was Sie prüfen sollten und in welcher Reihenfolge

Was von Ihnen sichtbar ist, wenn Sie eine Website öffnen

Keine Seite braucht Ihre Erlaubnis, um bestimmte Dinge zu erfahren: Sie kommen mit jeder Anfrage von selbst mit oder der Browser liefert sie, wenn er danach gefragt wird. Es lohnt sich, sie auseinanderzuhalten, denn jedes wird auf eine andere Weise korrigiert.

• Ihre öffentliche IP-Adresse. Ohne sie kann der Server Ihnen die Seite nicht zurückschicken. Aus ihr lassen sich Ihr Provider, das Netzwerk, über das Sie ins Internet gehen, und ein ungefährer Standort ableiten.
• Der DNS-Server, der Ihnen antwortet. Ihr Gerät fragt vor dem Öffnen jeder Domain einen Resolver nach deren Adresse. Ist dieser Resolver der Ihres Providers, während der übrige Verkehr einen anderen Weg nimmt, nimmt die Liste der Domains, die Sie abfragen, einen Weg, mit dem Sie nicht gerechnet haben.
• Die Adressen, die WebRTC veröffentlicht. Um Anrufe direkt im Browser aufzubauen, kündigt WebRTC eigene Kandidatenadressen an. Manchmal ist darunter eine öffentliche, die von der sichtbaren abweicht.
• Ob es IPv6 gibt und welchen Weg es nimmt. Viele Netze laufen heute im Dual-Stack. Ein Tunnel, der nur IPv4 routet, lässt den IPv6-Verkehr weiter über die ursprüngliche Verbindung laufen.
• Der Browser-Fingerprint. Sprache, Zeitzone, Auflösung, Schriften und Grafik-Rendering ergeben eine Kombination, an der man Sie auch nach einem Adresswechsel wiedererkennen kann.
• Der User-Agent. Die Zeichenkette, mit der sich Ihr Browser vorstellt: Familie, Version und Betriebssystem. Er ist Kompatibilitätskontext, keine Identifizierung, trägt aber zum Gesamtbild bei.

Ein IP-Wechsel betrifft nur den ersten Punkt; die anderen fünf bleiben gleich. Deshalb lohnt es sich, sie einzeln anzusehen.

Welches Tool für welche Frage

Es gibt zwölf deutsche Seiten, und Sie müssen nicht alle durchgehen. Alle zwölf laufen direkt auf der Seite: Sechs prüfen Ihre eigene Sitzung, sechs fragen eine Domain, eine Adresse oder Ihren Browser ab. Hier steht in einem Satz, wann sich welches lohnt.

Um zu sehen, was Ihre Verbindung gerade zeigt

• Wie lautet meine IP: der Ausgangswert. Die öffentliche Adresse, die Websites erhalten, ob es IPv4 oder IPv6 ist, der Anbieter, zu dem sie gehört, und der ungefähre Standort, auf den sie hindeutet.
• IP-Geolocation: wenn ein Dienst darauf besteht, dass Sie in einem anderen Land sind, oder wenn Sie sehen möchten, wie weit die Stadtschätzung für eine bestimmte Adresse reicht.
• Wie lautet mein User-Agent?: wenn eine Website Sie behandelt, als nutzten Sie einen anderen Browser oder ein anderes Gerät, oder wenn der Support diese Zeichenkette verlangt und Sie nicht wissen, wo Sie sie finden.
• Browser-Fingerprint-Test: wenn Sie die IP wechseln und trotzdem wiedererkannt werden. Er sammelt die sichtbaren Merkmale des Browsers und schätzt, ob sie wenig, etwas oder stark auffallen.

Um ein VPN oder einen Proxy zu überprüfen

• VPN-Leak-Test: wenn Sie den Tunnel gerade verbunden haben und alle vier Signale – IP, DNS, WebRTC und IPv6 – in einem Durchgang sehen möchten.
• DNS-Leak-Test: wenn sich die IP schon geändert hat und Sie verstehen möchten, wie ein DNS-Leak entsteht, und sehen wollen, wer Ihre Domains auflöst. Ein Adresswechsel ändert für sich allein nicht, wer sie auflöst: Der Test zeigt den Resolver, der Ihren Browser bedient, und vergleicht ihn mit Ihrer IP.
• WebRTC-Leak-Test: wenn Sie Videoanrufe im Browser oder Datenschutz-Erweiterungen nutzen und wissen möchten, welche Adressen über diesen Weg veröffentlicht werden.
• IPv6-Sichtbarkeitstest: wenn Ihr Provider IPv6 anbietet und Ihr VPN dazu nichts sagt. IPv6 zu sehen ist nicht automatisch ein Leak, aber es lohnt sich zu wissen, über welches Netz es läuft.

Um eine Adresse, eine Domain oder ein Netzwerk zu untersuchen

• DNS-Abfrage: wenn Sie gerade eine Domain umgezogen haben, E-Mail einrichten oder A-, AAAA-, MX-, TXT-, NS- oder CAA-Einträge so lesen müssen, wie ein öffentlicher Resolver sie liefert.
• WHOIS- und RDAP-Abfrage: wenn Sie wissen möchten, bei welchem Registrar eine Domain registriert ist, wann sie angelegt wurde, wann sie abläuft und auf welche Nameserver sie zeigt.
• ASN-Abfrage: wenn eine unbekannte Adresse in einem Log auftaucht und Sie unterscheiden möchten, ob sie von einem Privatkunden-Provider, aus einem Rechenzentrum oder aus einer Cloud stammt.
• IP-Blacklist-Prüfung: wenn Ihre E-Mails zurückkommen oder im Spam-Ordner landen und Sie vermuten, dass der Ruf der ausgehenden IP etwas damit zu tun hat.

Wenn Sie nicht wissen, wo Sie anfangen sollen, passt diese Reihenfolge für fast alle: zuerst die IP, dann die Leaks, dann der Fingerprint.

Sitzungsprüfungen und Abfragen: worin sie sich unterscheiden

Alle zwölf Seiten sind auf Deutsch geschrieben und führen ihr Tool direkt im Tab aus, aber sie tun nicht dasselbe. Sechs prüfen die Signale Ihrer eigenen Sitzung, mit eigenem Button, eigenen Ergebnissen und eigener Sichtbarkeitsschätzung. Die anderen sechs fragen etwas ab, das Sie selbst eingeben – eine Domain oder eine Adresse –, oder lesen die Kennung Ihres Browsers aus, und liefern Einträge statt einer Bewertung. Wir sagen das lieber hier, vor dem Klick, damit Sie wissen, welche Art von Antwort Sie erwartet.

Sechs Prüfungen, die in dieser Sitzung laufen

• Wie lautet meine IP. Öffentliche Adresse, die Websites erhalten, Protokollversion, Provider und ungefährer Standort.
• VPN-Leak-Test. Die vier Signale in einem Durchgang: sichtbare IP, DNS-Signal, WebRTC und IPv6.
• DNS-Leak-Test. Welcher DNS-Resolver Ihren Browser bedient, während der Tunnel steht, verglichen mit Ihrer öffentlichen IP.
• WebRTC-Leak-Test. Welche Kandidatenadressen der Browser veröffentlicht, wenn er einen Anruf vorbereitet.
• IPv6-Sichtbarkeitstest. Ob in dieser Sitzung eine öffentliche IPv6-Adresse sichtbar ist – in der IP-Abfrage oder bei WebRTC.
• Browser-Fingerprint-Test. Sichtbare Merkmale des Browsers und wie stark sie zusammen auffallen.

Sechs Abfragen zu Domains, Adressen und Browser

• DNS-Abfrage. A-, AAAA-, MX-, TXT-, NS- und CAA-Einträge einer Domain, so wie ein öffentlicher Resolver sie liefert.
• WHOIS- und RDAP-Abfrage. Registrar, Registrierungsdatum, Ablaufdatum und Nameserver.
• ASN-Abfrage. Zu welchem autonomen System eine Adresse gehört und welche Art von Netzwerk dahintersteht.
• IP-Blacklist-Prüfung. Ob eine ausgehende Adresse auf Reputationslisten für E-Mail steht.
• IP-Geolocation. Wie weit die Länder- und Stadtschätzung für eine bestimmte Adresse reicht.
• Wie lautet mein User-Agent? Die Zeichenkette, mit der sich der Browser vorstellt, und was sich daraus ableiten lässt.

Sie unterscheiden sie auf einen Blick, ohne die Liste auswendig zu lernen: Im Menü oben stehen die sechs Sitzungsprüfungen, und die sechs Abfragen erreichen Sie über die Liste im vorigen Abschnitt. Jede Abfrageseite verlinkt außerdem auf die englische Version desselben Tools.

Die Daten sind dieselben wie in der englischen Version: dasselbe Formular, dieselbe Anfrage an den Server, dieselbe Antwort. Übersetzt sind die Beschriftungen, die Statusmeldungen und die Erklärungen, also alles, was Sie lesen, aber nichts von dem, was gemessen wird. Deshalb lautet die ehrliche Zahl zwölf, und keine der zwölf schickt Sie für das eigentliche Ergebnis auf eine englische Seite.

Wie Sie ein englisches Tool nutzen, ohne sich zu verirren

Zwölf Tools gibt es auf Deutsch; die übrigen Tools von MyIPScan, etwa der Public Exposure Report oder die einzelnen Fingerprint-Tests, gibt es nur auf Englisch. Der Sprung ist weniger abschreckend, als er wirkt: Die meisten sind Formulare mit einem einzigen Feld, und das Vokabular wiederholt sich immer. Mit diesem Mini-Glossar decken Sie fast alles ab, was Ihnen auf dem Bildschirm begegnet.

• Lookup heißt „Abfrage“ oder „Suche“; query ist das, was Sie in das Feld eingeben.
• Record type ist der Typ des DNS-Eintrags: A, AAAA, MX, TXT, NS oder CAA.
• Registrar ist die Registrierungsstelle, bei der die Domain registriert ist; expiry oder expiration date das Ablaufdatum.
• Name servers sind die Nameserver, auf die die Domain zeigt.
• Listed bedeutet, dass die Adresse auf einer Reputationsliste steht; not listed, dass sie auf der abgefragten Liste nicht steht.
• Autonomous system ist das Netzwerk, das einen Adressblock ankündigt, und die Nummer, die es kennzeichnet, ist die ASN.

Zwei praktische Hinweise, bevor Sie etwas interpretieren. Erstens: Diese Abfragen beschreiben eine Domain oder eine Adresse, nicht Ihre Sitzung, also können Sie sie von jedem Gerät und aus jedem Land starten, und das Ergebnis ist dasselbe. Ob Ihr VPN läuft, spielt keine Rolle. Zweitens: Eine leere Antwort ist nicht immer ein Fehler. Eine Domain ohne MX-Einträge nennt keinen eigenen Mailserver – Absender greifen dann auf ihren A-Eintrag zurück –, und eine Adresse, die auf einer Blacklist nicht auftaucht, ist auf der abgefragten Liste sauber, nicht auf allen, die es gibt.

Und ein dritter, der mehr mit Erwartungen als mit Technik zu tun hat: Auf diesen Seiten finden Sie weder den Button „Safe Copy“ noch die Bewertungskarte. Beides gehört zu den Sitzungsprüfungen, weil es zusammenfasst, was von Ihnen sichtbar war. Hier gibt es öffentliche Einträge, die man ungefiltert kopiert und einfügt, weil sie nichts von Ihnen enthalten.

So prüfen Sie, damit das Ergebnis etwas aussagt

Der übliche Fehler: drei Dinge gleichzeitig ändern und danach nicht wissen, welches die Veränderung bewirkt hat. Diese Reihenfolge verhindert das.

1. Halten Sie einen Referenzwert ohne VPN fest. Führen Sie die Prüfung mit Ihrer normalen Verbindung aus und notieren Sie Provider, ASN und das DNS-Signal. Ohne diesen Referenzwert können Sie das Folgende nicht deuten.
2. Ändern Sie nur eine Sache. Verbinden Sie das VPN, wechseln Sie den Server, aktivieren Sie verschlüsseltes DNS oder wechseln Sie zu mobilen Daten. Eine Änderung pro Durchgang.
3. Erneut ausführen und vergleichen. Landen ASN und Land dort, wo Sie es erwartet haben, funktioniert dieser Teil. Ändert sich nichts, prüfen Sie, ob die App wirklich verbunden ist oder ob der Browser ein anderes Profil oder einen Proxy nutzt.
4. Wiederholen Sie das in jedem Browser, den Sie nutzen. Die Signale werden im geöffneten Tab gemessen. Ein anderer Browser, ein anderes Profil oder ein privates Fenster können ein anderes Ergebnis liefern, ohne dass etwas kaputt ist.
5. Speichern Sie das Ergebnis mit Safe Copy. Der sichere Export fasst Kategorien zusammen und lässt die vollständige IP, die genaue Stadt, den vollständigen User-Agent, die Rohwerte des Fingerprints und die WebRTC-Kandidaten weg. Sie können ihn in ein Ticket einfügen, ohne mehr Daten als nötig preiszugeben.

Die Kriterien, nach denen jedes Signal eingestuft wird, und die Grenzen jedes Tests stehen in der Methodik auf Deutsch.

Wie Sie die Ergebnisse lesen, ohne zu erschrecken

Die sechs Prüfungen, die auf Deutsch laufen, fassen das Gesehene in einer Sichtbarkeitsschätzung von 0 bis 100 zusammen: Je höher, desto mehr Signale können eine Prüfung erfordern. Signale, die nicht gelesen werden konnten, senken die Konfidenz. Es ist keine Sicherheitsnote.

• Geringe Sichtbarkeit. Zum Zeitpunkt des Tests tauchte kein Signal an der falschen Stelle auf. Eine gute Nachricht, begrenzt auf diese Sitzung und diesen Browser.
• Mittlere Sichtbarkeit. Etwas passt nicht ganz zum erwarteten Weg. Das verdient einen zweiten Durchgang, keinen Schreck.
• Hohe Sichtbarkeit oder Vorrangig prüfen. Mehrere Signale verlangen eine genauere Prüfung: eine DNS-Antwort, die zur Prüfung markiert ist, ein öffentlicher WebRTC-Kandidat oder eine sichtbare öffentliche IPv6-Adresse.
• Nicht geprüft. Der Test wurde nicht ausgeführt, oder der Browser hat das Signal blockiert und es kam keine Antwort. Das ist nicht gleichbedeutend mit einem sauberen Ergebnis.

Die sechs Seiten mit Netzwerkabfragen geben keine Bewertung aus, und das ist kein Versehen: Eine WHOIS-, DNS-, ASN-, Blacklist- oder Geolocation-Abfrage betrachtet nicht Ihre Sitzung, sondern eine Domain oder Adresse, die Sie selbst eingeben. Sie liefern Einträge, Daten und Servernamen, und die liest man so, wie sie sind, ohne Skala. Falls Sie dort einen Sichtbarkeitsbalken erwartet haben: Es fehlt nicht der Wert – diese Kennzahl hätte bei einer fremden Domain schlicht keinen Sinn.

Die Einschränkung, die man wiederholen sollte: Ein sauberes Ergebnis beweist nicht, dass es kein Leak gibt, sondern nur, dass in diesem Moment und auf diesem Weg keines sichtbar war.

Fünf Fehler, die eine Prüfung wertlos machen

Die meisten verwirrenden Ergebnisse stammen nicht von einem Netzwerkfehler, sondern von der Art der Messung. Diese fünf kommen häufig vor, und für alle fünf gibt es eine Lösung.

1. Ohne Referenzwert messen. Wenn Sie nicht wissen, welcher Provider und welche Signale bei Ihrer normalen Verbindung erscheinen, können Sie nicht erkennen, ob der Tunnel etwas geändert hat. Der erste Durchlauf sollte immer ohne VPN erfolgen, mit der Heimverbindung, wie sie ist.
2. Mehrere Dinge gleichzeitig ändern. Wer im selben Durchgang das VPN verbindet, verschlüsseltes DNS aktiviert und eine Erweiterung deinstalliert, erhält ein Ergebnis, das sich keiner Ursache zuordnen lässt. Eine Änderung pro Durchlauf, auch wenn es länger dauert.
3. Dem vertrauen, was schon auf dem Bildschirm steht. Ein altes Ergebnis aktualisiert sich nicht von selbst. Wenn Sie den Tunnel neu verbunden oder den Server gewechselt haben, führen Sie den Test erneut aus, bevor Sie Schlüsse ziehen, und laden Sie die Seite neu, wenn der Tab schon stundenlang offen war.
4. Die Stadt mit einer Position verwechseln. Der Standort stammt aus einer Datenbank, die Adressbereichen Orte zuordnet, nicht aus einem GPS. Dass eine andere Stadt erscheint, heißt nicht, dass das VPN versagt: Es heißt, dass dieser Bereich dort registriert ist.
5. „Nicht geprüft“ für „sauber“ halten. Wenn ein Signal nicht gelesen werden konnte, weil eine Erweiterung es blockiert hat oder der Browser es nicht preisgibt, sagt der Test das und senkt die Konfidenz. Eine Lücke ist nicht die Abwesenheit eines Leaks.

Es gibt einen sechsten Fehler, weniger technisch und deutlich menschlicher: die Prüfung so lange zu wiederholen, bis das gewünschte Ergebnis herauskommt. Wenn zwei aufeinanderfolgende Durchläufe Unterschiedliches sagen, ist genau dieser Unterschied das Interessante – eine halbe Neuverbindung, ein gewechselter Server, eine Erweiterung, die sich spät aktiviert hat –, und nicht das günstigere der beiden Ergebnisse.

Was MyIPScan nicht tut

Das muss gesagt werden, denn zu diesem Thema kursiert viel Übertreibung.

• Wir ranken keine Anbieter. Hier gibt es keine Listen der „besten VPNs“, keine Sterne und keine Noten für irgendeinen Dienst. Einen Anbieter nennen wir nur, wenn es nötig ist, um ein Verhalten zu erklären.
• Es gibt keine Affiliate-Links. Kein Link auf diesen Seiten bringt eine Provision ein, also gibt es keinen Grund, Sie zu einem Produkt zu drängen.
• Wir versprechen weder Anonymität noch Sicherheit. Diese Tools berichten über Signale. Eine Diagnose verschlüsselt nichts, schützt Ihr Gerät nicht und macht Sie nicht unsichtbar.
• Wir sehen nicht über den Browser hinaus. Gemessen wird, was dieser Tab preisgibt. Andere Anwendungen, andere Geräte und Verkehr, den der Router eigenständig hinausschickt, bleiben außen vor.
• Ein Konto ist nicht nötig. Der Diagnosepfad läuft innerhalb der Sitzung: ohne Anmeldung, ohne Tracking-Cookies und ohne dauerhafte Speicherung sensibler Signale.

Die englische Version finden Sie auf der Startseite von MyIPScan. Katia Belokon, Privacy Researcher & VPN Analyst, schreibt und prüft diese Seiten; die vollständigen Regeln stehen in der Datenschutzerklärung und in den Nutzungsbedingungen.

Häufige Fragen zur Prüfung von IP und Leaks

Wie finde ich heraus, welche IP-Adresse ich habe?

Öffnen Sie die IP-Prüfung, und Sie sehen sie in wenigen Sekunden, ohne etwas zu installieren. Angezeigt werden die öffentliche Adresse, die Websites erhalten, ob es sich um IPv4 oder IPv6 handelt, der Anbieter, zu dem sie gehört, und ein ungefährer Standort. Über IPv4 ist sie für alle Geräte am selben Router meist gleich; über IPv6 hat oft jedes Gerät eine eigene.

Was ist ein Leak-Test?

Eine Prüfung, die nach Signalen sucht, die einen anderen Weg nehmen als den, den Sie zu nutzen glauben. Der typische Fall: Die sichtbare IP ist die Ihres VPN-Servers, aber die DNS-Anfragen gehen weiterhin an den Server Ihres Providers. Geprüft werden außerdem WebRTC und der IPv6-Verkehr.

Woran erkenne ich, ob mein VPN wirklich funktioniert?

Durch Vergleichen. Führen Sie den Test ohne VPN aus und notieren Sie Provider und Land; verbinden Sie dann den Tunnel und wiederholen Sie ihn. Wechseln ASN und Standort zum gewählten Server, funktioniert der Hauptweg. Prüfen Sie danach DNS, WebRTC und IPv6, denn jedes davon kann seinen eigenen Weg nehmen.

Warum erscheint meine IP in einer Stadt, in der ich nicht bin?

Weil eine IP-Adresse keine Koordinaten enthält: Der Standort wird mit Datenbanken geschätzt, die Adressbereichen Orte zuordnen, und diese verweisen auf den Ausgangsknoten des Providers oder auf einen regionalen Standort. In Mobilfunknetzen und bei CGNAT ist eine Abweichung von Hunderten Kilometern normal.

Werden meine Daten gespeichert, wenn ich einen Test ausführe?

Diagnosepfad und Beleg laufen innerhalb der Sitzung: Es kommen keine Tracking-Cookies und keine dauerhafte Speicherung sensibler Signale hinzu, und ein Konto ist nicht nötig. Beim Export mit Safe Copy fasst die Kopie Kategorien zusammen und lässt die vollständige IP, die genaue Stadt und den vollständigen User-Agent weg.

Muss ich mich registrieren oder etwas bezahlen?

Nein. Auf keiner deutschen Seite gibt es ein Konto, eine Pflicht zur Angabe Ihrer E-Mail-Adresse oder eine Bezahlversion: weder bei den sechs Sitzungsprüfungen noch bei den sechs Abfragen. Diese Seiten enthalten auch keine Affiliate-Links und keine Listen empfohlener Anbieter: Sie beschreiben, was in Ihrer Sitzung sichtbar ist, und überlassen Ihnen die Entscheidung.

Funktionieren alle zwölf Tools auf Deutsch?

Ja. Die sechs Sitzungsprüfungen – IP, VPN, DNS, WebRTC, IPv6 und Fingerprint – und die sechs Abfragen – DNS, WHOIS, ASN, Blacklist, Geolocation und User-Agent – laufen direkt auf ihrer Seite, mit deutschen Beschriftungen, Fehlermeldungen und Ergebnissen. Ein Tool zu übersetzen heißt mehr, als einen Text zu übersetzen: Eine falsch übersetzte Beschriftung in einer Diagnose wird zu einer falschen Schlussfolgerung, deshalb wurden Zustände und Ergebnisse einzeln geprüft. Die Daten kommen aus denselben Abfragen wie in der englischen Version.

Geben die Abfrageseiten auch eine Bewertung von 0 bis 100?

Nein. Diese Schätzung fasst die Signale Ihrer Sitzung zusammen, und eine WHOIS-, DNS-, ASN-, Blacklist- oder Geolocation-Abfrage betrachtet nicht Ihre Sitzung: Sie beschreibt eine Domain oder eine Adresse, die Sie selbst eingeben. Zurück kommen Einträge, Daten und Servernamen, die man so liest, wie sie sind. Bewertung und sicherer Export erscheinen nur bei den sechs Sitzungsprüfungen.

Was tue ich, wenn ein Test etwas zur Überprüfung markiert?

Zuerst wiederholen: Ein einzelnes Ergebnis kann von einer Neuverbindung oder einer halb aktivierten Erweiterung stammen. Bleibt es bestehen, isolieren Sie die Ursache, indem Sie genau eine Sache ändern (den VPN-Server, den System-DNS, den Browser), und führen Sie den Test erneut aus. Speichern Sie den sicheren Export vorher und nachher.

Beweisen diese Tests, dass ich anonym bin?

Nein, und kein Tool kann das beweisen. Was Sie sehen, ist eine Momentaufnahme der sichtbaren Signale dieser Browsersitzung in diesem Augenblick. Andere Anwendungen und andere Geräte erfasst sie nicht. Ein sauberes Ergebnis bedeutet, dass kein Signal sichtbar war, nicht dass es kein Leak gibt.