VPN-Kill-Switch-Test: Den Abbruch aufzeichnen, während er passiert

Das Heikle an der Messung eines abgebrochenen Tunnels: Der Abbruch stört auch die Messung selbst. Eine fehlgeschlagene und eine erfolgreiche Messung bedeuten Gegensätzliches. Deshalb ordnet der Recorder jede Messung einem von vier Ergebnissen zu, und nur eines davon zählt als Offenlegung.

Gar keine Antwort

Nichts ist aus dem Browser hinausgekommen. Das passt zu einem Kill Switch, der hält – und ebenso zu einem gezogenen Kabel. Der Recorder meldet die Stille, nicht ihre Ursache.

Die Tunneladresse

Die Messung stimmt mit dem überein, was Sie in Schritt 2 erfasst haben. Der Tunnel transportiert noch Verkehr.

Ihre eigene Adresse

Die Messung stimmt mit dem überein, was Sie in Schritt 1 erfasst haben. Verkehr hat das Gerät außerhalb des Tunnels verlassen: Das ist der Leak, und nur er wird als Leak gezählt.

Eine andere Adresse

Keine der beiden Referenzen passt. So sieht es aus, wenn Sie sich mit einem anderen Server desselben VPN neu verbinden. Das ist kein Leak; diese Zeit wird deshalb getrennt gemessen und nie zur Offenlegung addiert.

Das gemeldete Zeitfenster kommt immer mit beiden Grenzen. Die untere ist die tatsächlich beobachtete Spanne, von der ersten passenden Messung bis zur letzten. Die obere ist das breiteste Fenster, das die Messungen noch zulassen, denn ein Leak kann im Augenblick nach einer Messung beginnen und im Augenblick vor der nächsten enden. Ein Ergebnis wie mindestens 3,6 s, höchstens 4,8 s nennt die Messung und ihre Auflösung in einem Atemzug.

Damit ist der Abstand zwischen den Messungen die Zahl, auf der alles andere beruht. Die Schleife fordert alle 1,5 Sekunden eine Messung an und, sobald sich etwas ändert, für zwölf Messungen alle 0,6 Sekunden. Das gelingt nicht immer: Um einen Abbruch zu erzwingen, wechseln Sie zur VPN-App; dadurch rückt dieser Tab in den Hintergrund, und Browser drosseln Timer in Hintergrund-Tabs auf etwa einen pro Sekunde. Deshalb meldet der Recorder den Abstand, den er tatsächlich erreicht hat, nicht den gewünschten, und gibt an, wie lange der Tab verborgen war. Jedes Fenster, das kürzer ist als dieser Abstand, kann ihm entgangen sein.

• Sie ist eine Sitzung, ein Gerät, ein Browser und ein Moment. Zwei Durchläufe können zwei verschiedene Antworten liefern, und beide sind echt.
• Sie ist kein Test einer VPN-Anwendung. Nichts hier deckt andere Server, andere Plattformen, andere Protokolleinstellungen oder andere Versionen derselben App ab. Eine Aufzeichnung belegt also Ihren Durchlauf, nicht die Software im Allgemeinen.
• Stille ist kein Beweis. Messungen ohne Antwort zeigen, dass kein Verkehr floss, nicht, wer ihn gestoppt hat.
• Hat sich Ihre eigene Adresse seit dem Erfassen geändert – durch einen neu verbundenen Router, einen Zellenwechsel im Mobilfunknetz oder Carrier-Grade NAT –, kann eine echte Offenlegung in der Spalte „eine andere Adresse“ landen. Der Recorder meldet also eher zu wenig, und der Treffer „im selben Netz“ soll einen Teil dieser Lücke auffangen.
• MyIPScan sammelt diese Aufzeichnungen nicht, vergleicht keine Anbieter und veröffentlicht keine Rangliste. Sie erhalten Ihre eigene Messung und können damit machen, was Sie möchten.

So gehen Sie vor

1. Erfassen Sie eine Messung bei getrenntem VPN, damit der Recorder Ihr eigenes Netz zum Vergleich hat.
2. Verbinden Sie sich neu, erfassen Sie die Tunneladresse, starten Sie dann die Aufzeichnung und unterbrechen Sie den Tunnel so, wie er im echten Leben abbricht.
3. Lesen Sie das Paar der Grenzen, nicht die einzelne Zahl: Die untere ist das Beobachtete, die obere das, was die Lücken zwischen den Messungen noch zulassen.

Grenzen der Messung

• Eine Messung ohne Antwort zeigt, dass nichts den Browser verlassen hat, nicht, was es aufgehalten hat. Ein Kill Switch, ein gezogenes Kabel und ein schlafendes Funkmodul sind aus einer Webseite heraus nicht zu unterscheiden.
• Ohne die Messung bei getrenntem VPN gibt es keine Referenz. Eine Adresse, die nicht der Tunnel ist, kann dann nur als nicht zugeordnet gemeldet werden, nicht als Ihre.
• Browser drosseln Timer in einem Hintergrund-Tab auf etwa einen pro Sekunde, und wer einen Abbruch erzwingt, schickt diesen Tab meist in den Hintergrund. Deshalb wird der erreichte Abstand gemessen und ausgegeben, nicht angenommen. Ein Fenster, das kürzer ist als dieser Abstand, kann vollständig entgehen.
• Eine Adresse, die sich seit dem Erfassen geändert hat, landet in der Spalte „nicht zugeordnet“ statt „offengelegt“; die Zählung fällt also eher zu niedrig aus.
• Der Test zeichnet eine Sitzung auf einem Gerät zu einem Zeitpunkt auf. Über eine VPN-Anwendung sagt er nichts aus – weder über Server noch über Plattformen, Protokolle oder Versionen.

Der Recorder beantwortet eine Frage. Diese Tools beantworten die benachbarten: was Ihre Sitzung gerade jetzt offenlegt, welcher Resolver für Sie antwortet und wie dieselben Prüfungen mit der App aussehen, die Sie tatsächlich nutzen.

• VPN-Leak-Test – die Momentaufnahme dieser Prüfung, über IP, DNS, WebRTC und IPv6.
• Public Exposure Report (auf Englisch) – der vollständige Beleg einer Browsersitzung.
• DNS-Leak-Test – welcher Resolver geantwortet hat; oft ist genau das der Teil, der eine Neuverbindung übersteht.
• VPN-Selbsttests nach Anbieter (auf Englisch) – dieselben Prüfungen, mit den Einstellungen der jeweiligen App benannt.
• Methodik – wie MyIPScan Verlässlichkeit und Grenzen kennzeichnet.

Was ist ein VPN-Kill-Switch?

Ein Kill Switch soll jedes Paket blockieren, ab dem Moment, in dem der VPN-Tunnel abbricht, bis er wieder steht. Tut er das nicht, ist die darunterliegende Adresse einige Sekunden lang sichtbar. Weil das so kurz ist, bemerkt es die betroffene Person nicht – deshalb zeichnet dieser Test den Abbruch auf, während er passiert.

Beweist eine fehlgeschlagene Anfrage, dass der Kill Switch funktioniert hat?

Nein, und der Recorder behauptet das auch nie. Eine Anfrage ohne Antwort zeigt nur, dass in diesem Moment nichts den Browser verlassen hat. Ein Kill Switch, der Verkehr blockiert, sieht aus einer Webseite heraus genauso aus wie ein gezogenes Kabel, ein schlafendes WLAN-Modul oder ein Serverausfall. Deshalb nennt die Zeitleiste es „keine Antwort“ und überlässt die Ursache Ihnen.

Warum soll ich das VPN zuerst trennen?

Damit es eine Referenz gibt. Ohne sie könnte eine Adresse, die nicht der Tunnel ist, Ihr eigener Internetanbieter sein oder einfach ein anderer VPN-Server – und das sind gegensätzliche Ergebnisse. Erst die Messung bei getrenntem VPN erlaubt dem Recorder zu sagen „das ist Ihre Adresse“ statt „das ist irgendeine Adresse“. Sie können sie auch nach der Aufzeichnung erfassen; die Zeitleiste wird dann neu berechnet.

Wie kurz darf ein Leak sein, damit der Test ihn noch erfasst?

Der Test fordert alle 1,5 Sekunden eine Messung an und, sobald sich etwas ändert, für zwölf Messungen alle 0,6 Sekunden. Ein Fenster, das länger ist als der erreichte Abstand, erhält also mindestens eine Messung. Wer einen Abbruch erzwingt, verlässt meist diesen Tab, und Browser drosseln Timer in Hintergrund-Tabs auf ungefähr einen pro Sekunde. Deshalb misst der Recorder den Abstand, den er tatsächlich geschafft hat, und gibt ihn neben dem Ergebnis aus. Alles, was kürzer ist als dieser Abstand, kann vollständig entgehen.

Ist eine andere VPN-Adresse nach dem Abbruch ein Leak?

Nein. Passt eine Messung weder zu Ihrer eigenen Adresse noch zur erfassten Tunneladresse, sieht das so aus, als hätten Sie sich mit einem anderen Server desselben VPN neu verbunden. Der Recorder misst diese Zeit getrennt und rechnet sie nie in die Offenlegung ein. Als Leak zählt nur eine Messung, die zu Ihrer in Schritt 1 erfassten Adresse passt.

Warum nennt das Ergebnis zwei Zeiten statt einer?

Die untere Grenze ist die tatsächlich beobachtete Spanne, von der ersten passenden Messung bis zur letzten. Die obere ist das breiteste Fenster, das die Messungen noch zulassen, denn ein Leak kann direkt nach einer Messung beginnen und direkt vor der nächsten enden. Ein Ergebnis wie „mindestens 3,6 s, höchstens 4,8 s“ nennt also die Messung und ihre Auflösung zugleich.

Testet die Aufzeichnung meine VPN-App?

Nein. Sie zeichnet eine Sitzung auf einem Gerät, in einem Browser, zu einem Zeitpunkt auf. Andere Server, Plattformen, Protokolleinstellungen oder Versionen derselben App deckt sie nicht ab. Eine Aufzeichnung belegt Ihren Durchlauf, nicht die Software im Allgemeinen, und zwei Durchläufe können zwei verschiedene Antworten liefern, die beide echt sind.

Sammelt MyIPScan diese Aufzeichnungen?

Nein. Die Messungen bleiben auf der Seite, bis Sie den Tab schließen. Nichts wird gespeichert, nichts wird irgendwohin gesendet, und kein Ergebnis eines Besuchers wird zusammengeführt, veröffentlicht oder zu einem Urteil über einen Anbieter gemacht.