Anleitung
VPN auf einem Mac einrichten
Welche der beiden Client-Versionen installiert werden sollte, welche Genehmigung macOS verlangt, bevor der Tunnel bestehen kann, welche Einstellungen eine Prüfung wert sind und wie sich bestätigen lässt, dass der Tunnel tatsächlich den Datenverkehr überträgt, statt nur verbunden auszusehen. Verfasst für macOS 27.
Bevor du beginnst
Dieser Leitfaden nimmt dir die Wahl nicht ab
Jeder folgende Schritt ist unabhängig vom verwendeten Anbieter gleich, weshalb hier keiner genannt wird. Die Auswahl ist eine separate Aufgabe und erfolgt im Register, wo sie anhand eines veröffentlichten Scores statt anhand einer Download-Seite getroffen wird.
Installiere den Client von der eigenen Website des Anbieters oder aus dem Mac App Store, niemals über ein Suchergebnis oder ein Download-Portal. Ein VPN-Client installiert eine Netzwerkerweiterung, die jedes vom Mac gesendete Byte sehen kann; ein neu verpackter Installer ist das Schlimmste, was man einer Software mit dieser Position anvertrauen kann.
Client installieren
- Wähle die Version von der Website des Anbieters und nicht aus dem Store, sofern beide verfügbar sind. Die App-Store-Version läuft innerhalb der Sandbox von Apple. Diese Sandbox verhindert einige Funktionen, für die ein VPN-Client gedacht ist: einen Kill Switch, der bereits vor der Anmeldung greift, sowie Split-Tunnelling nach Anwendung. Der direkte Download ist üblicherweise der vollständige Client. Verwende die Store-Version nur, wenn sie als einzige angeboten wird.
- Melde dich zuerst auf der Website des Anbieters an und lade den Client aus dem Kontobereich herunter, damit die ausgeführte Datei aus der Sitzung stammt, in der dein Abonnement bestätigt wurde.
- Öffne den Installer und genehmige die Erweiterung, wenn macOS danach fragt. Das System teilt mit, dass der Client eine Netzwerkerweiterung oder eine VPN-Konfiguration hinzufügen möchte, und führt dich zu Systemeinstellungen › Allgemein › Anmeldeobjekte & Erweiterungen. Erlaube sie. Ein Client, dessen Erweiterung nicht erlaubt ist, öffnet sich, meldet dich an und verbindet sich trotzdem nie.
- Lass das Hintergrundobjekt aktiviert. Auf derselben Einstellungsseite wird der Client unter Im Hintergrund erlauben aufgeführt. Es auszuschalten, um die Liste aufzuräumen, führt dazu, dass der Tunnel nach dem Ruhezustand keine Verbindung mehr herstellt.
- Melde dich im Client an und gib dem Gerät einen Namen, der dich nicht identifiziert; der Anbieter speichert diesen Namen.
- Stelle noch keine Verbindung her. Öffne zuerst die Einstellungen. Zwei der drei folgenden Einstellungen sind in den meisten Clients standardmäßig deaktiviert.
Die drei prüfenswerten Einstellungen
Die Client-Menüs unterscheiden sich, die Einstellungen jedoch nicht. Zu jeder der drei Einstellungen gibt es einen Eintrag im Glossar, falls der Name unbekannt ist.
Der Kill Switch
Er blockiert den gesamten Datenverkehr, wenn der Tunnel abbricht, statt die Verbindung unbemerkt auf das normale Netzwerk zurückfallen zu lassen. Standardmäßig ist er meist deaktiviert, weil das Produkt dadurch weniger zuverlässig wirkt — ein abgebrochener Tunnel wird zu einer unterbrochenen Verbindung statt zu einem unbemerkten Abbruch. Genau das ist sein Zweck. Schalte ihn ein. Wenn der Client zwischen einem Schalter unterscheidet, der nur während einer bestehenden Verbindung gilt, und einem, der immer gilt, wähle den zweiten: Ein Mac, der in einem unbekannten WLAN aufwacht, verbringt mehrere Sekunden im offenen Netzwerk, bevor der Client die Verbindung wiederherstellt. Diese Lücke ist entscheidend. Wofür der Schalter gedacht ist, steht auf seiner eigenen Seite.
DNS innerhalb des Tunnels
Namensauflösungen können den Mac außerhalb des Tunnels verlassen, selbst wenn alles andere innerhalb des Tunnels bleibt. Dein Netzwerk erfährt dadurch, welche Websites du besucht hast, während nur verborgen bleibt, was du dort getan hast. Suche nach DNS-Leak-Schutz, DNS des Anbieters verwenden oder einem Feld für benutzerdefiniertes DNS und stelle die Option auf den eigenen Resolver des Anbieters statt auf den eines Dritten. Du vertraust dem Anbieter bereits deinen Datenverkehr an; eine zweite Partei, die nur die Auflösungen sieht, erhöht die Zahl der beteiligten Parteien, ohne zu verringern, was eine von ihnen weiß. Wie ein Leak entsteht, steht auf der Seite zu DNS-Leaks.
Das Protokoll
Lass das moderne Standardprotokoll aktiviert, sofern nichts fehlerhaft ist — die Protokollseite führt auf, welche Protokolle aktuell und welche veraltet sind. Wenn der Client eine ältere Option zur Behebung eines Verbindungsproblems anbietet, ist das ein bewusster Kompromiss, den du anschließend wieder rückgängig machen solltest: Das Register kennzeichnet das schwächste Protokoll, das ein Anbieter noch anbietet. Wenn du es manuell auswählst, entscheidest du dich selbst für diese Kennzeichnung.
Bestätigen, dass es tatsächlich funktioniert
Stelle eine Verbindung her und prüfe anschließend, statt es einfach anzunehmen. Drei Prüfungen, in dieser Reihenfolge, alle kostenlos und ohne zusätzliche Software:
- Deine Adresse hat sich geändert. Öffne eine beliebige Seite zur Frage „Wie lautet meine IP-Adresse?“ und bestätige, dass das Land mit dem gewählten Exit übereinstimmt. Wird dein eigenes Land angezeigt, obwohl der Client „verbunden“ meldet, läuft die Erweiterung, aber der Datenverkehr wird nicht über sie geleitet.
- Auflösungen laufen innerhalb des Tunnels. Führe einen DNS-Leak-Test durch und lies die dort gemeldeten Resolver. Gehören sie zu deinem Internetanbieter, wurde die oben genannte DNS-Einstellung nicht übernommen.
- Der Kill Switch tut, was er verspricht. Starte einen Download, öffne die Aktivitätsanzeige, suche den Hilfs- oder Daemon-Prozess des Clients — er trägt den Namen des Anbieters — und beende ihn sofort, sodass der Tunnel abbricht, ohne dass dies im Client ausgelöst wird. Die Übertragung sollte sofort stoppen. Läuft sie weiter, ist der Schalter nur dekorativ.
Die ausführlichere Testreihe und die Informationen darüber, was die einzelnen Tests zeigen können und was nicht, findest du in diesem eigenen Leitfaden.
Was diese Prüfungen belegen
+Dein Datenverkehr verlässt das Netzwerk über den Exit-Server im ausgewählten Land
+Das Netzwerk, mit dem du verbunden bist, kann nicht mehr lesen, welche Websites du aufrufst
+Ein abgebrochener Tunnel fällt geschlossen aus, statt unbemerkt zurückzufallen
Was sie nicht belegen
−Sie sagen nichts darüber aus, was der Anbieter speichert — das ist eine Frage der Dokumente, die auf den Seiten zur Speicherdauer beantwortet wird
−Sie machen dich nicht anonym: Dein Browser und deine Anmeldungen bleiben unverändert. Siehe wovor dich ein VPN nicht schützt
−Ein heute bestandener Leak-Test ist keine Zusage für das Update des Clients von morgen
Ruhezustand, Aufwachen und unbekannte WLANs
Ein Laptop ist ein Gerät, das sich mit Netzwerken verbindet, die es noch nie gesehen hat. Ein Mac erledigt den gefährlichen Teil — dem WLAN beitreten, E-Mails abrufen, synchronisieren — in den ersten Sekunden nach dem Öffnen des Deckels, bevor ein Client die Verbindung wiederhergestellt hat. Zwei Einstellungen schließen dieses Zeitfenster. Automatisch verbinden im Client, damit die Wiederherstellung Aufgabe des Clients und nicht deine ist; und der oben genannte Always-on-Kill-Switch, damit der Mac bis zur Wiederherstellung nichts sendet. Mit beiden Einstellungen sieht ein Café-Netzwerk einen Laptop, der beigetreten ist und anschließend still blieb, bis der Tunnel aktiv war. Was ein solches Netzwerk sonst lesen kann, steht auf der Seite zu öffentlichen WLANs.
Wenn ein Client eine Liste vertrauenswürdiger Netzwerke anbietet, in denen er deaktiviert bleibt, halte diese Liste kurz. Das Heimnetz gehört hinein, weil dort der Drucker steht, nicht weil der dahinterstehende Internetanbieter nichts sehen kann.
Wenn es nicht funktioniert
Der Client wird installiert, verbindet sich aber nie
Fast immer fehlt die Genehmigung. Öffne Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen und sieh unter Netzwerkerweiterungen nach: Der Client muss dort erlaubt sein. Die entsprechende Abfrage lässt sich während der Installation leicht versehentlich schließen.
Wenn er erlaubt ist und trotzdem nichts passiert, entferne den Client mit seinem eigenen Deinstallationsprogramm, starte den Mac neu und installiere ihn erneut, damit die Abfrage ein zweites Mal erscheint.
Der Tunnel ist jedes Mal verschwunden, wenn der Mac aus dem Ruhezustand aufwacht
Ohne automatische Verbindung ist das erwartetes Verhalten: Die Netzwerkschnittstelle wird beim Schließen des Deckels deaktiviert, und der Client wartet auf einen entsprechenden Befehl. Aktiviere die automatische Verbindung des Clients oder die Einstellung zur Verbindung in nicht vertrauenswürdigen Netzwerken. Dann wird die Verbindung wiederhergestellt, bevor du mit der Eingabe des Passworts fertig bist.
Bei aktiviertem Kill Switch sind die Sekunden zwischen dem Aufwachen und der erneuten Verbindung eine unterbrochene Verbindung und kein Leak. So soll der Schalter funktionieren.
AirDrop, ein Drucker oder der Fernseher funktioniert nicht mehr, während die Verbindung besteht
Auch der lokale Datenverkehr wird in den Tunnel geleitet, der Drucker befindet sich aber nicht auf dessen anderer Seite. Die meisten Clients haben eine Einstellung namens Zugriff auf lokales Netzwerk, LAN-Zugriff oder Split-Tunnelling. Wenn du sie aktivierst, werden Adressen in deinem eigenen Netzwerk außerhalb des Tunnels geleitet, während alles andere innerhalb bleibt.
In einem Netzwerk, das du selbst betreibst, ist das unbedenklich. In einem fremden Netzwerk solltest du die Einstellung deaktiviert lassen.
In der App-Store-Version fehlt eine Einstellung, die in der Website-Version vorhanden ist
Die beiden Versionen sind unterschiedliche Programme. Die Store-Version läuft innerhalb der Sandbox von Apple. Einige Funktionen eines VPN-Clients — ein beim Systemstart aktiver Kill Switch oder Split-Tunnelling nach Anwendung — sind innerhalb dieser Sandbox nicht möglich. Der eigene Download des Anbieters ist der vollständigere Client.
Wenn du die Store-Version bereits installiert hast und die Einstellung benötigst, deinstalliere sie zuerst. Zwei parallel installierte Versionen konkurrieren um dieselbe Netzwerkerweiterung.
Gleiche Schritte, andere Geräte
Die übrigen Plattformen
Jede Plattform hat eine eigene Anleitung statt eines Tabs auf dieser. Die Schritte weichen voneinander ab, sobald sich das Installationsprogramm öffnet, und eine Seite, die drei Plattformen auf einmal beantwortet, beantwortet keine davon richtig.