VPN-Leak-Test: IP, WebRTC, IPv6 und DNS richtig prüfen
VPN-Leak-Test mit Checkliste: Öffentliche IP, WebRTC und IPv6 prüfen, Ergebnisse verstehen und erfahren, wann ein separater DNS-Leak-Test nötig ist.
Was „funktioniert“ bei einem VPN bedeutet
Ein Leck ist Verkehr außerhalb der Routing- oder Datenschutzregeln, die dein VPN durchsetzen soll. Die Absicht zählt: Eine bewusst ausgenommene App oder Split-Tunnel-Adresse ist nicht automatisch eine Fehlfunktion. Lege Browser, Apps, Adressfamilien und DNS im Tunnel fest, bevor du Beobachtungen bewertest. Dieser Check prüft nicht das gesamte Gerät und zertifiziert keinen Kill-Switch.
Die meisten Leaks sind keine spektakulären Ausfälle. Häufig wurde die VPN-App für bestimmte Daten, etwa IPv6, nicht eingerichtet oder Browserfunktionen öffnen eigene Verbindungen. Eine vollständige Prüfung betrachtet vier getrennte Wege:
- Öffentliche IPv4: die Adresse, die viele Websites sehen.
- Öffentliche IPv6: eine zweite Adresse, die viele Verbindungen ebenfalls besitzen.
- WebRTC: Browserfunktion für Videoanrufe, die selbst Adressen ermitteln kann.
- DNS: Abfragen, die Namen wie example.com in Adressen auflösen.
Den Test in etwa zwei Minuten durchführen
Benötigt werden nur IPNixa im Browser und die VPN-App. Die Reihenfolge macht den Vorher-nachher-Vergleich aussagekräftig.
- Bei ausgeschaltetem VPN den IPNixa-VPN-Test öffnen und „Aktuelle Verbindung speichern“ wählen. Bestätigte IPv4, IPv6 und Netzwerk notieren. Die gespeicherte Verbindung bleibt bis zu 30 Minuten in diesem Tab erhalten.
- VPN verbinden und die Verbindungsbestätigung der App abwarten.
- „Erneut prüfen und vergleichen“ wählen. Jede bestätigte IP-Version sowie Land und Netzwerk mit der gespeicherten Verbindung vergleichen.
- WebRTC- und IPv6-Beobachtungen lesen. Zusätzliche öffentliche Adressen oder abweichende Länder prüfen. Gleiche Länder allein schließen Leaks nicht aus.
- Auf der separaten VPN-Erkennungsseite Hinweise zu VPN, Proxy, Tor und Hosting ansehen. Eine Einstufung beschreibt eine beobachtete Adresse, nicht die Sicherheit des Tunnels.
- Abschließend den DNS-Leak-Test des VPN-Anbieters oder eines spezialisierten Dienstes verwenden.
Die einzelnen Ergebnisse verstehen
Die Tabelle hilft, normale Beobachtungen, prüfbedürftige Hinweise und nötige Änderungen zu unterscheiden.
| Prüfung | Erwartete Beobachtung | Prüfbedarf | Nächster Schritt |
|---|---|---|---|
| Öffentliche IP | Neue Adresse aus dem VPN-Netz | Dieselbe Adresse wie ohne VPN | Erneut verbinden und Browserausnahmen im Split-Tunneling prüfen |
| Netzwerk / ASN | Passt zum gewählten Ausgangsnetz | Unerwarteter Anbieter oder unverändert gegenüber der gespeicherten Verbindung | Routing prüfen; Hosting- oder Anbietername allein ist nicht eindeutig |
| Standort | Schätzung passt zum gewählten Server | Unerwartete Stadt oder anderes Land | Serverwahl prüfen; Datenbanken können veraltet sein |
| WebRTC | Abgeschlossene Ermittlung zeigt nur erwartete Adressen | Zusätzliche öffentliche Adresse oder unvollständige Ermittlung | Adressen prüfen; leere, abgebrochene oder nicht unterstützte Ergebnisse bestätigen keinen Schutz |
| IPv6 | Bestätigte Adresse folgt der vorgesehenen Route | IPv4 geändert, IPv6 unverändert oder unerwartetes Ausgangsland | Vor dem VPN speichern und beide IP-Versionen vergleichen; dasselbe Land allein reicht nicht |
| DNS (separater Dienst) | Resolver passen zur vorgesehenen DNS-Konfiguration | Unerwarteter Resolver außerhalb dieser Konfiguration | Separaten DNS-Test nutzen und DNS-Einstellungen des VPN prüfen |
Warum IPv6 separat geprüft werden muss
Viele Heim- und Mobilfunkanschlüsse nutzen IPv4 und IPv6. Manche VPN-Apps leiten nur IPv4 durch den Tunnel. Der Browser kann Dual-Stack-Websites weiterhin über IPv6 erreichen, oft sogar bevorzugt. Diese sehen dann die vom Internetanbieter vergebene IPv6-Adresse, die Anbieter und ungefähren Standort verrät.
IPNixa prüft beide IP-Versionen getrennt. Ein anderes Ausgangsland fordert zur Prüfung von Routing oder Standortdaten auf. Auch bei einem VPN im selben Land ist ein Adressvergleich nötig. Eine fehlgeschlagene Abfrage beweist keine sichere IPv6-Blockierung. IPv6-Routing und Leak-Schutz der VPN-App prüfen.
WebRTC-Leaks im Browser
WebRTC ermöglicht Browseranrufe und direkte Videoverbindungen. Um einen direkten Pfad zu finden, fragt der Browser bei einem STUN-Server die eigene sichtbare öffentliche Adresse ab. Läuft die Anfrage außerhalb des VPN, kann sie eine Adresse offenlegen, die die Website im normalen Webverkehr nicht gesehen hat.
Moderne Browser verbergen lokale Adressen standardmäßig. Entscheidend ist deshalb, ob eine andere öffentliche Adresse als die des VPN erscheint. IPNixa ermittelt WebRTC-Kandidaten über Cloudflares öffentlichen STUN-Server und vergleicht sie mit den über das Web bestätigten Adressen. Bei einer weiteren öffentlichen Adresse den WebRTC-Schutz des VPN oder passende Browserbeschränkungen verwenden.
„Beobachtet“ bedeutet, dass eine Adresse oder ein Hinweis sichtbar war. „Verglichen“ bedeutet einen Wertevergleich, keine Bestätigung des VPN-Schutzes. „Nicht bestätigt“ umfasst Ergebnisse ohne öffentliche Adresse, Zeitüberschreitungen oder Ausführungsfehler. „Nicht unterstützt“ bedeutet, dass keine WebRTC-API verfügbar ist. Ein abgeschlossener Test ohne öffentliche Adresse kann durch Datenschutzfunktionen oder einen blockierten STUN-Endpunkt entstehen.
Warum DNS-Leaks einen eigenen Testdienst benötigen
Bevor der Browser eine Website lädt, übersetzt ein DNS-Resolver ihren Namen in eine Adresse. Gehen diese Abfragen an den Internetanbieter statt an die vorgesehenen VPN-Resolver, kann der Anbieter weiterhin besuchte Domains erkennen, obwohl die Seiten durch den Tunnel übertragen werden.
Eine normale Webseite sieht nicht, welcher Resolver die Abfragen beantwortet. Ein echter DNS-Leak-Test lässt das Gerät eindeutige Zufallsnamen auflösen und beobachtet am autoritativen DNS-Server, welche Resolver danach fragen. Das benötigt eigene DNS-Infrastruktur. Diese Prüfung markiert DNS deshalb als nicht getestet. Den Test des VPN-Anbieters oder einen spezialisierten DNS-Leak-Dienst nutzen und den DNS-Leak-Schutz der App aktivieren.
Wenn „VPN erkannt“ nicht stimmt
IPNixa trennt auf der VPN-Erkennungsseite Hinweise aus Netzwerkname, ASN und WARP von optionalen Anbietereinstufungen. VPN, Proxy, Tor und Hosting sind unterschiedliche Signale. Hosting allein beweist keine VPN-Nutzung. Ein nicht erfasstes VPN kann negativ oder unbekannt eingestuft werden. Quelle und genaue Anfrage-IP des Ergebnisses lesen.
iCloud Private Relay schützt vor allem Safari-Browsing; die Abdeckung von Cloudflare WARP hängt vom Modus ab. Der reine DNS-Modus verschlüsselt DNS ohne übrigen Geräteverkehr zu tunneln. Leite aus Relay- oder WARP-Labels keine gleiche Abdeckung ab: Prüfe Produktmodus und getesteten Browser oder App.
Häufige Fragen
Woher weiß ich, ob mein VPN funktioniert?
Speichere bei Bedarf eine direkte Ausgangsverbindung, verbinde das VPN und vergleiche jede bestätigte Familie. Prüfe zusätzliche WebRTC-Adressen und DNS separat gegen deine gewünschte Resolverregel, einschließlich konfiguriertem verschlüsseltem DNS. Passende Werte stützen den Vergleich, zertifizieren aber nicht jede App oder künftige Verbindung.
Was ist ein VPN-Leak?
Verkehr, der die gewünschten VPN-Routing- oder Datenschutzregeln umgeht. Absichtliche Ausnahmen unterscheiden sich von unerwarteten Umgehungen. Adress-, WebRTC- und DNS-Tests liefern Teilbelege für unterschiedliche Wege.
Kann IPNixa DNS-Leaks testen?
Nein. Eine normale Webseite kann den verwendeten DNS-Resolver nicht sehen. Dafür ist ein spezieller DNS-Testdienst nötig. Die Prüfung zeigt DNS deshalb als nicht getestet, statt ein nicht messbares Ergebnis auszugeben.
Warum wird ein VPN erkannt, obwohl ich keines nutze?
Ein Erkennungsanbieter kann veraltete Daten oder Fehlalarme liefern. Netzwerkname und ASN sind als Hinweise gekennzeichnet. Hosting ist von VPN-Erkennung getrennt. Vor einer Schlussfolgerung Quelle, Anfrage-IP und Zeitstempel prüfen.
Funktioniert ein VPN-Leak-Test auf dem Smartphone?
Ja, im Smartphone-Browser. Geprüft wird nur dessen Datenverkehr. Andere Apps können abweichende Routingregeln haben, insbesondere bei Split-Tunneling.