VPN-Test: Prüfen Sie, ob Ihre Verbindung IP, DNS, WebRTC oder IPv6 preisgibt

Kurze Antwort: Lässt Ihr VPN etwas durch?

Ein VPN-Test vergleicht die Route, die Sie zu nutzen glauben, mit den Signalen, die Ihr Browser tatsächlich zeigt. Bei verbundenem VPN sollten die sichtbare IP, der antwortende DNS-Server, die WebRTC-Kandidaten und die IPv6-Adresse alle auf den Anbieter verweisen, nicht auf Ihren Anschluss zu Hause. Verweist auch nur eines davon auf Ihren Provider, haben Sie die Ebene gefunden, die geprüft werden muss. Es ist ein begrenztes Signal dieser Sitzung, keine Zertifizierung.

Was ein VPN-Test betrachtet: sechs Signale, die eigene Wege gehen

Ein VPN ändert die Route, über die Ihr Verkehr ins Internet geht, aber nicht alles, was eine Website aus Ihrem Browser auslesen kann. Deshalb bündelt der Test sechs unabhängige Signale.

• Sichtbare öffentliche IP. Die Adresse, die jede Website sieht, und die Organisation, zu der sie gehört: das Signal, das fast alle prüfen, und oft das einzige.
• DNS-Signal. Der Resolver, der die Anfragen dieses Browsers beantwortet, mit Netz und Land, verglichen mit Ihrer öffentlichen IP. Ermittelt wird er von einem externen Testserver (bash.ws), wenn Sie den Button drücken. Dieser Resolver sieht die Liste der Namen, die Sie abfragen, auch wenn Ihre Adresse verborgen ist; liegt er in einem anderen Land und Netz als Ihre VPN-IP, warnt die Karte vor einem möglichen Leak.
• WebRTC-Kandidaten. Die Adressen, die der Browser für Anrufe und Videoanrufe anbietet: Sie entstehen im Browser selbst und gehen nicht immer durch den Tunnel.
• IPv6-Sichtbarkeit. Viele VPNs leiten nur IPv4. Hat Ihr Netz IPv6 und deckt die App es nicht ab, kann der IPv6-Verkehr direkt über Ihren Provider laufen.
• Browser-Signale. Die Browserfamilie, das Betriebssystem und der Status zweier Datenschutzsignale: GPC (Global Privacy Control) und DNT (Do Not Track). Ein VPN ändert keines der vier, denn sie beschreiben das Programm, mit dem Sie surfen, nicht die Route, die der Verkehr nimmt.
• Fingerprint-Angriffsfläche. Die Gesamtheit der Kategorien, die Ihren Browser von jedem anderen unterscheiden, auch wenn sich die IP-Adresse täglich ändert. Die Karte listet auf, welche in dieser Sitzung antworten, und ordnet ihnen eine Stufe zu; „Zeitzone“ erscheint dort als verfügbare Kategorie, nicht als Wert Ihrer Zeitzone.

Die ersten vier beschreiben, welchen Weg der Verkehr nimmt. Die letzten beiden, was Sie identifiziert, auch wenn die Route stimmt: Hier setzt der Browser-Fingerprint-Test an.

So testen Sie vor und nach dem Verbinden des VPN

Ein einzelner Durchlauf sagt wenig. Entscheidend ist der Vergleich: derselbe Test im selben Browser, vor und nach der Änderung genau einer Sache.

1. Führen Sie den Test bei getrenntem VPN aus. Das ist Ihr Ausgangspunkt: Sie sehen die IP Ihres Providers und den DNS-Resolver Ihres normalen Netzes, und genau das sollte erscheinen.
2. Verbinden Sie das VPN und warten Sie, bis sich der Tunnel stabilisiert hat. Die ersten Sekunden nach dem Verbinden liefern unstete Ergebnisse.
3. Führen Sie den Test im selben Tab erneut aus und vergleichen Sie Signal für Signal, nicht nur die IP.
4. Ändern Sie jeweils nur eine Einstellung. Wenn Sie Server, Protokoll und DNS gleichzeitig ändern, sagt Ihnen das Ergebnis nicht, welche der drei sich ausgewirkt hat.
5. Nutzen Sie „Sicheren Bericht kopieren“, um das Ergebnis zu speichern: Der Export kopiert den Wert, die Sichtbarkeitsstufe und die Konfidenz, ohne vollständige IP, genaue Stadt, vollständigen User-Agent oder WebRTC-Kandidaten. Wenn Sie die Übersicht nach Kategorien für einen Vergleich Signal für Signal möchten, kopieren Sie sie mit „Datenschutzbericht kopieren“ im Beleg weiter unten auf dieser Seite.

Wenn Sie zuerst nur die sichtbare Route sehen möchten, zeigt das Tool Wie lautet meine IP Adresse und Netzwerk so, wie sie von außen erscheinen, und die Methodik auf Deutsch erklärt, warum die Bezeichnungen bewusst vorsichtig gewählt sind.

Wie Sie das Ergebnis lesen, ohne zu viel hineinzudeuten

Jede Karte trägt eine Bezeichnung, und die Bezeichnungen beschreiben, was sichtbar war, nicht was sicher ist.

• Unauffällig. Das sichtbare Signal zeigte in dieser Sitzung nichts Unerwartetes.
• Prüfen empfohlen. Etwas passt nicht zu der Route, die Sie erwartet haben. Ein Grund, die Einstellungen anzusehen, kein Beweis, dass das VPN versagt.
• Sichtbar. Die Prüfung hat eine Adresse oder einen offengelegten Wert gefunden, den Sie mit der vorgesehenen Route abgleichen sollten.
• Nicht geprüft. Die Prüfung wurde nicht ausgeführt – wie die DNS-Karte, bevor Sie den Button drücken –, oder der Browser hat nicht genug Daten geliefert.

Oben fasst das Panel die Sitzung mit einer Gesamtbezeichnung zusammen: „Geringe Sichtbarkeit“, „Mittlere Sichtbarkeit“, „Hohe Sichtbarkeit“ oder „Vorrangig prüfen“. Das ist eine Zusammenfassung sichtbarer Signale, keine Note für den Anbieter.

Ein häufiger Hinweis: Der Standort zur IP ist ein Näherungswert, daher beweist eine Länderangabe, die nicht zum gewählten Server passt, für sich allein kein Leak. Der Wert, auf den es ankommt, ist, wem das Netzwerk gehört, und die ASN-Abfrage übersetzt das.

Die richtige IP reicht nicht: DNS, WebRTC und IPv6 gehen eigene Wege

Der häufigste Fall ist nicht „das VPN funktioniert nicht“. Sondern „das VPN funktioniert auf einer Ebene und auf den anderen nicht“. Der Tunnel leitet den Webverkehr, die sichtbare IP ändert sich und alles wirkt korrekt, während ein anderer Weg weiterhin am Tunnel vorbeiführt.

Bei einem DNS-Leak sieht Ihr Provider die Liste der Domains, die Sie abrufen, auch wenn er Ihre Adresse nicht sieht: der Teil Ihrer Aktivität, der einem Verlauf am ähnlichsten ist. Der DNS-Leak-Test isoliert ihn.

Bei einem WebRTC-Leak erscheint Ihre echte Adresse unter den Kandidaten, die der Browser für den Aufbau von Anrufen anbietet; der WebRTC-Leak-Test zeigt, welche Kandidaten erscheinen und welche davon öffentlich sind.

Bei einem IPv6-Leak läuft der IPv6-Verkehr Ihres Netzes direkt ins Internet, während IPv4 im Tunnel bleibt; der IPv6-Sichtbarkeitstest bestätigt das separat.

Es sind unabhängige Ebenen: Die Behebung der einen behebt nicht die anderen, und eine Prüfung, die nur auf die IP schaut, sieht sie nicht.

Was Sie prüfen sollten, wenn ein Signal nicht Ihren Erwartungen entspricht

Wenn etwas nicht stimmt, prüfen Sie in dieser Reihenfolge und wiederholen Sie den Test nach jedem Schritt.

1. Trennen Sie das VPN und verbinden Sie es neu. Viele Abweichungen sind ein Tunnel, der abgebrochen und wiederhergestellt wurde, ohne dass die App es angezeigt hat.
2. Probieren Sie einen anderen Server oder ein anderes Protokoll, wenn IP, ASN, DNS oder WebRTC nicht zueinander passen.
3. Aktivieren Sie den Notschalter (Kill Switch), falls die App ihn anbietet: Er unterbricht den Verkehr, wenn der Tunnel abbricht, statt ihn über das normale Netz laufen zu lassen.
4. Prüfen Sie das Split Tunneling. Eine ausgeschlossene Anwendung – oder der Browser selbst – kann am Tunnel vorbei ins Netz gehen, während die App weiterhin „Verbunden“ anzeigt.
5. Prüfen Sie das sichere DNS des Browsers. In Chrome, Edge oder Firefox kann es vom DNS des Systems und dem des VPN abweichen.
6. Sehen Sie sich IPv6 an. Es zu deaktivieren ist ein Ausweg, wenn das VPN es nicht leitet, betrifft aber Gerät, Router, VPN und andere Anwendungen: Tun Sie das nur, wenn Sie die Auswirkungen verstehen.
7. Wiederholen Sie den Test im selben Tab, bevor Sie eine Einstellung als erledigt betrachten.

Keine Einstellung macht eine Sitzung anonym, und diese Seite verspricht das nicht. Erreichen können Sie, dass die sichtbare Route mit der übereinstimmt, die Sie nutzen wollten.

Was diese Prüfung nicht sehen kann

Der Test läuft in Ihrem Browser: Er fragt den IP-Dienst der Website selbst ab und, wenn Sie den Button drücken, den externen Dienst bash.ws, der Ihre öffentliche IP und Ihre DNS-Resolver sieht, um den Resolver zu ermitteln; MyIPScan speichert das Ergebnis nicht. Das bestimmt seine Reichweite und zugleich seine Grenzen.

Er sieht weder den Verkehr anderer Anwendungen noch, was das Betriebssystem außerhalb des Browsers tut, und vom DNS sieht er nur den Resolver, der diesen Browser bedient: bei einer Weiterleitung die letzte Station, bei aktiviertem sicherem DNS des Browsers dessen Anbieter. Er prüft weder die übrigen Server Ihres Anbieters noch Ihre anderen Geräte oder die Richtlinien des VPN-Betreibers. Und er sagt nichts über künftige Verbindungen: Er beschreibt diese Sitzung, in diesem Browser, jetzt.

Deshalb beweist ein sauberes Ergebnis nicht, dass es kein Leak gibt: Es zeigt, dass die sichtbaren Signale dieser Sitzung keine Abweichung aufwiesen. Das ist nützlich, wiederholbar und begrenzt. Die Methodik auf Deutsch beschreibt, wo jedes Signal endet, und die englische Version dieses VPN-Leak-Tests wendet dieselben Regeln an.