Anleitung
So prüfen Sie, ob Ihr VPN funktioniert
Sechs Prüfungen, die zeigen, ob der Tunnel Ihren Datenverkehr überträgt – in der Reihenfolge, die häufige Fehler zuerst findet. Keine davon benötigt Software außer einem Browser, und jede belegt genau eine Sache. Verfasst für die Clients von Ende 2026.
Was damit geklärt wird
Ein Client, der verbunden meldet, gibt seinen eigenen Status an, nicht den Weg Ihres Datenverkehrs. Die sechs folgenden Prüfungen beantworten die zweite Frage. Führen Sie sie einmal nach der Installation, einmal nach jedem Client- oder Systemupdate und einmal in jedem Netzwerk durch, das Sie bisher nicht verwendet haben. Zusammen dauern sie einige Minuten; die ersten drei nur eine.
Stellen Sie zuerst eine Verbindung zum Exit her, den Sie normalerweise verwenden. Arbeiten Sie dann die Liste in dieser Reihenfolge ab: Jede Prüfung setzt voraus, dass die vorherige bestanden wurde, und die häufigsten Fehler stehen oben.
1. Ihre Adresse hat sich geändert
- Öffnen Sie eine beliebige Seite mit dem Titel „Wie lautet meine IP-Adresse?“ und lesen Sie die dort angegebene Adresse und das Land. Das Land muss zum gewählten Exit passen; die Adresse darf keine sein, die Sie als Ihre eigene erkennen.
- Trennen Sie die Verbindung und laden Sie dieselbe Seite neu. Die Adresse sollte zu Ihrer eigenen zurückwechseln. Falls nicht, ist die Seite aus dem Cache geladen oder ein zweiter Tunnel greift ein – das erste Ergebnis hat dann nichts belegt.
- Stellen Sie die Verbindung wieder her und laden Sie die Seite erneut. Drei Messungen, von denen sich zwei von der mittleren unterscheiden, bilden die vollständige Prüfung. Eine einzelne Messung während der Verbindung reicht nicht aus.
Damit ist belegt, dass der Exit vor Ihrem Browser liegt. Über Namensauflösungen, andere Anwendungen oder das Verhalten beim Abbruch des Tunnels sagt das nichts aus; darum geht es auf dem restlichen Teil dieser Seite.
2. Namensauflösungen laufen durch den Tunnel
- Führen Sie einen DNS-Leak-Test durch — auf einer beliebigen Seite, die einen erweiterten Test anbietet, bei dem viele statt nur einer Auflösung gesendet werden — und lesen Sie die Liste der gemeldeten Resolver samt ihren Eigentümern.
- Jeder Resolver muss zum VPN-Anbieter gehören oder sich im Land des Exits befinden. Ein Eintrag, der zu Ihrem Internetanbieter gehört oder in Ihrem eigenen Land liegt, bedeutet einen fehlgeschlagenen Test – unabhängig davon, was die anderen Einträge aussagen.
- Wenn der Test fehlschlägt, stellen Sie im Client den DNS auf den eigenen Resolver des Anbieters oder aktivieren Sie dessen Leak-Schutz, stellen Sie die Verbindung erneut her und wiederholen Sie den Test. Die Einstellung wird in jeder Plattformanleitung beschrieben; die Bedeutung des Leaks steht auf der Seite zu DNS-Leaks.
3. Der Browser gibt Ihre Adresse nicht bekannt
Browser verwenden für Anrufe und Video ein Protokoll, das Ihre lokalen und öffentlichen Adressen direkt an eine Seite übermitteln kann – am Tunnel vorbei. Das ist eine Browsereinstellung, keine Client-Einstellung. Daher kann ein korrekt konfigurierter Client alle anderen Prüfungen bestehen und diese hier nicht.
- Führen Sie in jedem von Ihnen verwendeten Browser einen WebRTC-Leak-Test durch, während die Verbindung besteht. Private Fenster und Profile haben eigene Einstellungen; testen Sie daher genau das Fenster beziehungsweise Profil, in dem Sie tatsächlich surfen.
- Die gemeldete öffentliche Adresse muss die des Exits sein – oder es darf überhaupt keine gemeldet werden. Eine lokale Adresse, wie sie der Router verteilt, ist normal und harmlos; Ihre eigene öffentliche Adresse bedeutet einen Fehler.
- Wenn der Test fehlschlägt, suchen Sie die WebRTC-Einstellung im Browser selbst oder in der Browser-Erweiterung des Anbieters, wo die meisten Clients sie unterbringen, und wiederholen Sie den Test nach der Änderung.
4. IPv6 läuft nicht am Tunnel vorbei
Die meisten Netzwerke vergeben inzwischen zwei Arten von Adressen. Ein Client, der die ältere Art durch den Tunnel leitet und die neuere ignoriert, leakt an jede Seite, die über beide antwortet – also an die meisten großen Seiten. Die obige Adressprüfung übersieht das häufig, weil die verwendete Seite die Adresse meldet, über die sie erreicht wurde.
- Öffnen Sie während der Verbindung eine IPv6-Testseite. Die korrekten Ergebnisse sind „keine IPv6-Konnektivität“ oder eine IPv6-Adresse, die zum Exit gehört. Eine IPv6-Adresse in Ihrem eigenen Land ist ein Leak.
- Wenn der Test fehlschlägt, suchen Sie im Client nach einer IPv6-Einstellung: blockieren ist die sichere Wahl, weiterleiten die bessere, sofern angeboten. Wenn ein Client keine dieser Optionen hat, muss IPv6 auf Betriebssystemebene für den Netzwerkadapter deaktiviert werden.
- Wiederholen Sie anschließend die erste Prüfung: Durch das Deaktivieren von IPv6 ändert sich, über welche Adresse die Testseite Sie erreicht, daher muss das frühere Ergebnis unter den neuen Bedingungen bestätigt werden.
5. Ein abgebrochener Tunnel blockiert den Datenverkehr
Alles Bisherige beschreibt den Tunnel im aktiven Zustand. In einem schlechten Netzwerk ist entscheidend, was passiert, wenn er nicht aktiv ist. Dafür gibt es ein eigenes Verfahren: So testen Sie einen VPN-Kill-Switch. Führen Sie es auf jedem Gerät durch, das das Haus verlässt. Kurz gesagt muss ein laufender Download sofort stoppen, wenn der Tunnel beendet wird, ohne dass der Client dazu aufgefordert wurde. Warum das wichtig ist, steht auf der Seite zum Kill-Switch.
6. Etwas anderes als der Browser
Alle bisherigen Prüfungen liefen in einem Browser. Ein Browser kann jedoch anders weitergeleitet werden als der Rest des Geräts: Eine Proxy-Erweiterung, ein Browser-only-VPN oder eine Split-Tunnelling-Regel kann dafür sorgen, dass der Browser besteht, während eine andere Anwendung leakt – oder umgekehrt.
- Wählen Sie eine Anwendung, die ihre eigene Verbindungsadresse anzeigt — etwa die eigene Adressprüfung eines Torrent-Clients, das Verbindungsprotokoll eines Mail-Clients oder die Netzwerkansicht eines Spiels — oder führen Sie die Adressprüfung in einem zweiten Browser durch, den Sie nicht konfiguriert haben.
- Ihre Adresse muss die des Exits sein, genau wie bei der ersten Prüfung. Eine andere Adresse bedeutet, dass der Tunnel nicht systemweit gilt. Verantwortlich ist dann entweder die Browser-Erweiterung oder eine Split-Tunnelling-Regel.
Was ein bestandenes Ergebnis bedeutet
Was diese Prüfungen belegen
+Ihr Datenverkehr verlässt das Gerät über den Exit-Server im ausgewählten Land – aus jeder Anwendung, nicht nur aus einer
+Das Netzwerk, in dem Sie sich befinden, sieht weder die von Ihnen aufgerufenen Seiten noch die Auflösungen, mit denen sie gefunden werden
+Weder der Browser noch die neuere Adressfamilie trägt Ihre Adresse am Tunnel vorbei
Was sie nicht belegen
−Sie sagen nichts darüber aus, was der Anbieter speichert — das ist eine Frage der Dokumente, die auf den Seiten zur Speicherdauer beantwortet wird
−Sie machen Sie nicht anonym: Ihr Browser, Ihre Anmeldungen und Ihre Gewohnheiten bleiben unverändert; siehe was ein VPN nicht schützt
−Ein heute bestandenes Ergebnis bezieht sich auf den heutigen Client; das nächste Update kann jede Einstellung auf dieser Seite zurücksetzen
Wenn eine Prüfung fehlschlägt
Die Adressseite zeigt mein eigenes Land, obwohl der Client verbunden meldet
Der Client läuft, aber der Datenverkehr läuft nicht durch ihn. Trennen Sie die Verbindung, beenden Sie den Client vollständig, statt nur sein Fenster zu schließen, starten Sie ihn erneut und stellen Sie erst danach wieder eine Verbindung her. Wenn sich das Ergebnis wiederholt, übernimmt meist ein zweites VPN, eine Proxy-Einstellung im Browser oder ein Sicherheitsprodukt mit eigenem Netzwerkfilter den Datenverkehr zuerst.
Prüfen Sie die Proxy- und Erweiterungseinstellungen des Browsers zuletzt: Eine Erweiterung, die den Browser über ihren eigenen Proxy leitet, hat Vorrang vor dem Systemtunnel. Die Adressseite sieht dann den Exit der Erweiterung, nicht Ihren.
Der DNS-Test listet die Resolver meines Internetanbieters auf
Die Namensauflösungen verlassen den Tunnel. Aktivieren Sie im Client den DNS-Leak-Schutz oder stellen Sie den DNS auf den eigenen Resolver des Anbieters, stellen Sie die Verbindung erneut her und führen Sie den Test noch einmal durch. Wenn die Resolver weiterhin zu Ihrem Internetanbieter gehören, hält das Betriebssystem auf einer anderen Schnittstelle einen eigenen Resolver aktiv. Die Plattformanleitungen behandeln das für die jeweiligen Systeme.
Ein Resolver in der Liste reicht für ein nicht bestandenes Ergebnis: Eine einzige geleakte Auflösung verrät, welche Seite Sie besucht haben.
Der IPv6-Test zeigt eine Adresse, obwohl der Client verbunden ist
Der Client tunnelt IPv4 und lässt IPv6 daran vorbei. Jede Seite, die über beide Protokolle antwortet, sieht dadurch Ihre echte Adresse. Suchen Sie im Client nach einer IPv6-Einstellung und setzen Sie sie auf blockieren oder weiterleiten. Wenn der Client keine dieser Optionen hat, deaktivieren Sie IPv6 auf dem Netzwerkadapter, den das Betriebssystem verwendet. Führen Sie den Test danach erneut durch. Erwartet wird entweder überhaupt keine IPv6-Adresse oder eine Adresse, die zum Exit gehört.
Jede Prüfung besteht in meinem Heimnetz, aber in einem anderen schlägt eine fehl
Das zweite Netzwerk verändert etwas am Datenverkehr. Ein Hotel- oder Büronetzwerk, das DNS abfängt, IPv6 entfernt oder langlebige Verbindungen unterbricht, erzeugt genau einen fehlgeschlagenen Test. Dann liegt die Ursache beim Netzwerk und nicht beim Client. Das Ergebnis ist eine Tatsache über dieses Netzwerk, die Sie berücksichtigen müssen; der Kill-Switch verhindert dort, dass ein fehlerhafter Tunnel zu einer offenen Verbindung wird.
Gestern war alles erfolgreich, heute schlägt der DNS-Test fehl
Etwas hat sich geändert. Die beiden üblichen Ursachen sind ein Clientupdate, das eine Einstellung zurückgesetzt hat, und ein Systemupdate, das einen Resolver hinzugefügt hat. Öffnen Sie die Einstellungen des Clients und lesen Sie sie nach, statt darauf zu vertrauen, wie sie zuvor waren. Die Einträge für DNS und Kill-Switch werden am häufigsten zurückgesetzt. Eine Prüfung beschreibt den Zeitpunkt, zu dem sie durchgeführt wurde. Deshalb lohnt es sich, diese Seite nach jedem Update erneut aufzurufen.
Gleiche Schritte, andere Geräte
Die übrigen Plattformen
Jede Plattform hat eine eigene Anleitung statt eines Tabs auf dieser. Die Schritte weichen voneinander ab, sobald sich das Installationsprogramm öffnet, und eine Seite, die drei Plattformen auf einmal beantwortet, beantwortet keine davon richtig.