VPN Split-Tunneling-Test: Routing-Setup überprüfen

Split-Tunneling bedeutet, dass nur ein Teil Ihres Datenverkehrs über das VPN oder den Proxy geleitet wird, während der Rest direkt ins Internet geht. Dies geschieht oft gezielt, da lokaler Datenverkehr oder Streaming außerhalb des Tunnels schneller ist. Ein Leck entsteht, wenn die Trennung anders verläuft als gedacht: Eine Regel für eine Domain deckt möglicherweise nicht alle IP-Adressen ab, zu denen diese Domain auflöst. Eine Regel für IPv4 lässt IPv6 unter Umständen komplett ungeschützt außerhalb des Tunnels. Dieser Test verbindet sich gleichzeitig mit mehreren unabhängigen Endpunkten und vergleicht die jeweils sichtbare Exit-Adresse — so werden Aufteilungen sichtbar, die ein Einzelendpunkt-Test nicht erkennen kann.

Weil sie unterschiedlich geroutet wurden. Wenn zwei Endpunkte unterschiedliche Adressen melden, hat ein Teil Ihres Datenverkehrs den Tunnel verlassen. Häufige Ursachen sind Proxy-Regeln, die auf Hostnamen statt auf Ziel-IPs matchen, Lastverteilung auf Proxy-Seite mit mehreren Ausgangs-IPs sowie Dual-Stack-Setups, bei denen IPv4 getunnelt wird, IPv6 jedoch nicht. Mehrere Exits innerhalb derselben Adressfamilie sind nicht zwingend ein Fehler, bedeuten aber, dass Beobachter Ihre Sitzung über mehrere Adressen korrelieren können, was die Anonymität verringert.

In vielen Setups ist das tatsächlich der Fall. Zahlreiche VPN- und Proxy-Konfigurationen erfassen ausschließlich IPv4-Routen. Jede über IPv6 erreichbare Website wird dann direkt über Ihre echte IP-Adresse kontaktiert, während der restliche Datenverkehr aus dem Tunnel zu stammen scheint. Da moderne Betriebssysteme IPv6 bevorzugen, kann dies unbemerkt den Großteil Ihres Surfverkehrs am Tunnel vorbeileiten. Dieser Test prüft IPv4- und IPv6-Endpunkte getrennt, sodass abweichende Exits sofort auffallen.

Routen Sie nach Möglichkeit nach Ziel-IP-Adressen statt nach Hostnamen, da Hostnamenregeln vor der DNS-Auflösung ausgewertet werden und direkte IP-Verbindungen verpassen. Stellen Sie sicher, dass der Tunnel sowohl IPv6 als auch IPv4 erfasst, oder deaktivieren Sie IPv6 vollständig, falls Ihr Exit dies nicht unterstützt. Aktivieren Sie den Kill-Switch bzw. den Sperrmodus Ihres Clients, damit Datenverkehr bei getrennter Verbindung verworfen statt unverschlüsselt gesendet wird. Führen Sie nach jeder Änderung diesen Test erneut aus: Regeln, die in einer Konfigurationsdatei korrekt aussehen, verhalten sich in der Routing-Tabelle des Betriebssystems oft anders.

Nein. Lokalen Netzwerkverkehr, Drucker oder Streaming-Dienste gezielt außerhalb des Tunnels zu belassen, ist legitim und verbessert oft die Geschwindigkeit. Das Risiko besteht in unbeabsichtigten oder unvollständigen Routen. Die entscheidende Frage ist nicht, ob der Datenverkehr aufgeteilt ist, sondern ob der sensible Datenverkehr geschützt im Tunnel verbleibt. Dieser Test beantwortet genau das, indem er Ihnen zeigt, welcher Endpunkt welche Exit-Adresse gesehen hat.