Anleitung
Split-Tunneling einrichten
Wie du einige Anwendungen oder Adressen außerhalb des Tunnels weiterleitest, während alles andere darin bleibt, was jede Ausnahme kostet und welcher Test belegt, dass die Aufteilung der von dir gewünschten entspricht. Verfasst für die Clients von Ende 2026 und Android 17.
Was damit geklärt ist
Split-Tunneling leitet eine ausgewählte Gruppe von Anwendungen oder Adressen außerhalb des Tunnels weiter und lässt alles andere darin. Jeder Eintrag in der Liste bezeichnet Datenverkehr, den das VPN im normalen Netzwerk vollständig nicht mehr erfasst. Richtig eingerichtet behebt es Probleme mit dem Drucker und der Banking-App, ohne etwas anderes zu beeinflussen; nachlässig eingerichtet ist es ein von dir selbst konfiguriertes Leck. Die folgenden Schritte beschreiben die enge Variante.
Zwei Arten von Regeln
Pro Anwendung
Die Regel benennt ein Programm, dessen Verbindungen den Tunnel umgehen. Windows-, macOS- und Android-Clients bieten diese Funktion; seit Android 17 kann ein Client die Liste an einen vom System verwalteten Bildschirm übergeben, sodass das Betriebssystem die Ausnahmen und nicht der Client durchsetzt — ein Client, der diesen Bildschirm aus seinen eigenen Einstellungen öffnet, verwendet ihn. iOS bietet gewöhnlichen Clients kein Split-Tunneling pro Anwendung; die nächstgelegene Möglichkeit ist der unten beschriebene Schalter für das lokale Netzwerk.
Pro Adresse oder Subnetz
Die Regel benennt ein Ziel, und Datenverkehr von jedem Programm zu diesem Ziel umgeht den Tunnel. Das ist gröber und im Nachhinein schwerer zu überblicken, weil eine Adressregel alles abdeckt, was morgen unter dieser Adresse antwortet. Für ein Gerät in deinem eigenen Netzwerk ist das das richtige Werkzeug, für einen Internetdienst das falsche.
Was nach außen geht
- Ein Gerät in deinem eigenen Netzwerk — ein Drucker, ein NAS, ein Medienserver — das die Weiterleitung des Tunnels vor dir verbirgt. Probiere zuerst den Schalter für das lokale Netzwerk aus; das ist die kleinere Einstellung und deckt die meisten dieser Fälle ohne Regel ab.
- Eine Anwendung, die Verbindungen von den Adressen des Exits ablehnt, typischerweise die einer Bank. Die Regel sorgt dafür, dass nur diese Anwendung deine echte Adresse sieht. Die Bank weiß dann, wo du bist – das ist der Preis dafür.
- Standardmäßig nichts anderes. Jeder Eintrag bezeichnet eine Anwendung, deren Datenverkehr das Netzwerk, mit dem du verbunden bist, lesen kann. Eine lange Liste ergibt ein VPN, das den Browser schützt und kaum mehr.
Eine Ausnahme ist für eine Anwendung gedacht, die über den Tunnel nicht funktioniert. Sie ist kein Weg, einen Dienst zu erreichen, der sich entschieden hat, den Exit in seinem Land nicht zu bedienen; das ist die Entscheidung des Dienstes, und eine Umgehung der Weiterleitung ist nicht Gegenstand dieser Seite.
Die Regel festlegen
- Öffne den Bereich des Clients für Split-Tunneling, häufig unter den Verbindungs- oder erweiterten Einstellungen. Unter Android 17 und höher öffnet der Client möglicherweise einen vom System verwalteten Bildschirm für dieselbe Liste; in beiden Fällen gibt es eine einzige Liste, und der eigene Bereich des Clients führt dorthin.
- Prüfe den Modus, bevor du etwas hinzufügst. Die meisten Clients bieten zwei Möglichkeiten: Die aufgelisteten Apps umgehen den Tunnel, oder nur die aufgelisteten Apps verwenden ihn. Die zweite Variante ist inverses Split-Tunneling; bei einer leeren Liste bedeutet sie, dass nichts durch den Tunnel geleitet wird. Vergewissere dich, dass der Modus deinen Vorstellungen entspricht.
- Füge die Anwendung hinzu, nicht ihren Ordner, und füge die eine ausführbare Datei hinzu, die die Verbindung herstellt. Bei einer Suite mit mehreren Prozessen kann jeder einzelne erforderlich sein; wenn du den Installationsordner hinzufügst, wird auch der Updater einbezogen.
- Beende die Anwendung vollständig und verbinde den Client neu. Regeln gelten für neue Verbindungen. Eine Anwendung, die geöffnet blieb, behält ihren alten Pfad bei und führt beim Test zu einem falschen Ergebnis.
Inverser Modus
Im inversen Modus verwenden nur die aufgelisteten Anwendungen den Tunnel, während alles andere ihn umgeht. Das ist die richtige Form, wenn eine Anwendung den Tunnel benötigt und sich der Rest des Geräts so verhalten soll, als wäre kein Client installiert, und für alles andere die falsche Form, weil jede Anwendung, die du nicht aufgelistet hast, im offenen Netzwerk ist. Wenn du ihn verwendest, deckt der Kill Switch bei den meisten Clients nur die aufgelisteten Anwendungen ab; der Rest war von Anfang an nicht darin.
Zugriff auf das lokale Netzwerk
Die meisten Clients haben einen einzigen Schalter, der die Adressen deines eigenen Netzwerks durchlässt, während alles andere im Tunnel bleibt. Das ist Split-Tunneling nach Subnetz, für dich ausgewählt, und deckt den Drucker sowie das NAS ohne Regel ab. In einem Netzwerk, das du selbst betreibst, kostet es wenig; in einem öffentlichen Netzwerk kann dadurch jedes Gerät in diesem Netzwerk dein Gerät erreichen. Deshalb ist die Funktion standardmäßig deaktiviert und sollte vor dem Verlassen des Netzwerks wieder ausgeschaltet werden.
Bestätigen, dass die Aufteilung deinen Vorgaben entspricht
- Suche in der ausgenommenen Anwendung nach deren eigener Adressprüfung — etwa in den Sitzungsdetails einer Banking-App, im Adressfeld eines Torrent-Clients oder auf einer Seite, die in einem ausgenommenen Browser geöffnet wurde — und erwarte deine eigene Adresse und dein eigenes Land.
- Führe die Adressprüfung in einer Anwendung aus, die du nicht ausgenommen hast, und erwarte die Adresse des Exits. Tu dies in einem Browser, den du nicht zur Liste hinzugefügt hast, und in einer weiteren Anwendung, falls eine davon ihre Adresse anzeigt.
- Führe einmal die vollständige Prüfung durch unter So prüfst du, ob dein VPN funktioniert, während die Regeln aktiv sind. Eine Regel, die mehr abdeckt als beabsichtigt, erscheint dort als Leck bei etwas, das deiner Erwartung nach innerhalb des Tunnels sein sollte.
Was diese Prüfungen belegen
+Die von dir aufgelisteten Anwendungen und nur diese befinden sich im normalen Netzwerk
+Alles andere verlässt das Gerät weiterhin über den Exit, einschließlich Abfragen
+Der Modus entspricht deiner Absicht und ist nicht dessen inverse Variante
Was sie nicht belegen
−Sie sagen nichts darüber aus, was der Anbieter vom Datenverkehr speichert, der sich innerhalb des Tunnels befindet — das wird auf den Seiten zur Speicherdauer beantwortet
−Ein Lecktest kann eine absichtliche Ausnahme nicht erkennen; die ausgenommene Anwendung wird aus ihr selbst heraus geprüft oder gar nicht
−Eine heute festgelegte Regel folgt der Anwendung durch ihre Updates, und eine aktualisierte Anwendung kann Verbindungen aus einem Prozess öffnen, den du nicht aufgelistet hast
Wenn die Aufteilung nicht greift
Die ausgenommene App zeigt weiterhin die Adresse des Exits
Die Regel wurde nicht übernommen; der übliche Grund ist, dass die App bereits lief. Split-Tunneling gilt für Verbindungen, die nach dem Festlegen der Regel hergestellt werden. Beende die App vollständig, verbinde den Client neu und öffne sie wieder. Prüfe unter Android, ob die Regel im Client oder in der Systemeinstellung festgelegt ist, denn eine App, die in der einen Einstellung ausgenommen, in der anderen aber nicht ausgenommen ist, folgt der Vorgabe, die das Betriebssystem durchsetzt.
Ein Browser ist der schwierigste Fall: Seine Hintergrundprozesse halten Verbindungen über das Schließen eines Fensters hinaus offen. Daher muss er über sein eigenes Menü beendet werden, nicht über das Fenster.
Eine App, die ich nicht ausgenommen habe, zeigt meine eigene Adresse
Es ist etwas weiter gefasst als eine Regel pro Anwendung aktiv. Eine Regel pro Adresse oder Subnetz, die zufällig das Ziel abdeckt, ein versehentlich aktivierter inverser Modus, bei dem nur die aufgelisteten Apps durch den Tunnel geleitet werden, oder ein Schalter für das lokale Netzwerk in einem Netzwerk, das öffentliche Adressen vergibt, kann jeweils dafür verantwortlich sein. Lies jede Regel und nicht nur die App-Liste, und schalte die gesamte Funktion aus, um zu bestätigen, dass die Adresse wieder zur Adresse des Exits wechselt. Füge die Regeln anschließend einzeln wieder hinzu.
Gleiche Schritte, andere Geräte
Die übrigen Plattformen
Jede Plattform hat eine eigene Anleitung statt eines Tabs auf dieser. Die Schritte weichen voneinander ab, sobald sich das Installationsprogramm öffnet, und eine Seite, die drei Plattformen auf einmal beantwortet, beantwortet keine davon richtig.