DNS- und IP-Lecks: was das ist und wie man sie prüft

Ein Tunnel verschlüsselt, was in ihm läuft, garantiert aber nicht von sich aus, dass der gesamte Traffic dort landet. Ein Teil der Anfragen kann direkt hinauslaufen, am geschützten Kanal vorbei — und genau diese verraten Sie: Ihren Provider, Ihre Stadt und manchmal Ihre echte IP-Adresse. Im Folgenden die drei häufigsten Lücken und eine Möglichkeit, jede davon in fünf Minuten zu prüfen.

Drei Arten von Lecks einfach erklärt

Bevor man etwas prüft, hilft es zu wissen, wonach man eigentlich sucht. Es gibt drei Arten von Lecks, mit unterschiedlichen Mechanismen:

• DNS-Leck. Jedes Mal, wenn Sie eine Website öffnen, fragt Ihr Gerät einen DNS-Server, welche IP dem Domainnamen entspricht. Geht diese Anfrage an den Server Ihres Internetanbieters statt durch den Tunnel, sieht der Anbieter die Liste der von Ihnen besuchten Seiten — selbst wenn der Traffic selbst verschlüsselt ist.
• IP-Leck. Eine Website oder ein Dienst erkennt Ihre echte Adresse statt der Adresse des VPN-Servers. Anhand der IP lassen sich Anbieter und ungefährer Standort leicht ermitteln.
• WebRTC-Leck. Die in Browser eingebaute Technologie für Videoanrufe kann Ihre lokalen und öffentlichen IP-Adressen direkt erfahren, vorbei an Proxy- und Tunneleinstellungen.

Warum DNS Sie am häufigsten verrät

DNS ist das Adressbuch des Internets: Es übersetzt lesbare Namen wie example.com in numerische IPs. Das Problem ist, dass klassische DNS-Anfragen im Klartext hinausgehen und oft an einen Server geleitet werden, der in den Netzwerkeinstellungen eingetragen oder vom Provider zugewiesen ist. Selbst bei aktivem Tunnel kann das System aus Gewohnheit den „eigenen" DNS anfragen — und dann ist die Liste Ihrer Domains netzseitig sichtbar.

Die Lösung auf Protokollebene besteht darin, die DNS-Anfragen selbst zu verschlüsseln. Der Standard RFC 8484 beschreibt DNS over HTTPS (DoH): Die Anfrage wird in eine gewöhnliche HTTPS-Verbindung verpackt, sodass sie vom übrigen Web-Traffic nicht zu unterscheiden und vor Manipulation geschützt ist. Laut Cloudflares Dokumentation läuft eine solche Anfrage über Port 443 — denselben, den auch gewöhnliche Websites nutzen —, wodurch sie sich im Gesamtverkehr schwer herausfiltern lässt. Was Verschlüsselung generell leistet, haben wir im Beitrag Grundlagen der Verschlüsselung behandelt, und worin sich ein DNS-Wechsel grundsätzlich von einem VPN unterscheidet, im Artikel VPN, Proxy und DNS: der Unterschied.

IP-Lecks und die Tücken von WebRTC

Beim „gewöhnlichen" IP-Leck ist alles klar: Sieht eine Website die Adresse des VPN-Servers statt Ihrer eigenen, ist alles in Ordnung. Deutlich trickreicher verhält sich WebRTC. Das ist eine Browsertechnologie für Anrufe und die direkte Dateiübertragung zwischen Geräten; um eine direkte Verbindung herzustellen, muss sie die echten Adressen beider Seiten kennen.

Dazu wendet sich WebRTC an sogenannte STUN-Server. Wie die WebRTC-Dokumentation von MDN erklärt, liefert ein STUN-Server einen „server reflexive"-Kandidaten zurück — im Grunde Ihre öffentliche IP-Adresse, wie sie von außerhalb Ihres Heimnetzes sichtbar ist. Der Browser erhält diese Adresse und kann sie per JavaScript an die Webseite weitergeben, selbst wenn aller übrige Traffic durch den Tunnel läuft. Deshalb zeigt ein Test manchmal zwei Adressen gleichzeitig: die „richtige" vom VPN und die echte von WebRTC.

Wie man sich selbst in fünf Minuten prüft

Das ist eine tiefergehende Prüfung als die Basisprüfung — falls Sie noch nicht sichergestellt haben, dass der Tunnel überhaupt verbunden ist, beginnen Sie mit wie man prüft, dass das VPN funktioniert. Konkret zu Lecks:

1. Ermitteln Sie die Adresse ohne Tunnel. VPN ausschalten, einen beliebigen „meine IP"-Dienst öffnen und Adresse sowie Provider notieren — das ist Ihr Ausgangspunkt.
2. Tunnel aktivieren und Seite neu laden. Die IP sollte sich zur Adresse und zum Land des VPN-Servers ändern. Bleibt sie gleich, liegt ein IP-Leck vor.
3. DNS prüfen. Eine Website mit DNS-Leak-Test öffnen. Der Name Ihres heimischen Providers sollte nicht in der Serverliste auftauchen.
4. WebRTC prüfen. Einen Online-WebRTC-Leak-Test finden. Zeigt er Ihre öffentliche IP aus Schritt eins — liegt ein Leck vor.
5. In einem anderen Netz wiederholen. Besonders wichtig in Cafés und Flughäfen — über die Risiken offenen WLANs haben wir in Sicherheit in öffentlichen Netzen berichtet.

Was zu tun ist, und wie ein korrekt aufgebauter Tunnel hilft

Ein guter Client schließt diese Lücken selbst, ohne dass Sie manuell etwas einstellen müssen. Worauf zu achten ist:

• DNS innerhalb des Tunnels. Alle DNS-Anfragen sollten durch denselben verschlüsselten Kanal zum DNS-Server des VPN gehen, nicht zu dem des Providers.
• Schutz vor Verbindungsabbruch (Kill-Switch). Bricht die Verbindung ab, darf der Traffic nicht direkt hinauslaufen, bis der Kanal wiederhergestellt ist.
• WebRTC-Kontrolle. Im Browser schließt man das Leck über eine Einstellung oder Erweiterung, die Seiten das Abfragen lokaler Adressen untersagt.

HamikVPN verschlüsselt den gesamten Traffic und verpackt DNS-Anfragen in denselben geschützten Kanal, sodass Website-Namen nicht an fremde DNS-Server durchsickern und Ihre echte IP vor den besuchten Ressourcen verborgen bleibt. Zeigen Tests bei aktivem Client dennoch beständig Lecks, ist das ein Warnsignal — worauf noch zu achten ist, haben wir im Beitrag zu den Anzeichen eines unzuverlässigen VPN zusammengetragen.