Proxy-Anonymitätstest: VPN-Leak & Datenschutz-Prüfer

Weil diese beiden Angaben von unterschiedlichen Schichten stammen und nur eine davon im Browser manipuliert werden kann. Der User-Agent ist eine reine Textzeichenkette, die von jedem Browser oder jeder Erweiterung überschrieben werden kann. Das TCP-SYN-Paket zum Verbindungsaufbau wird jedoch vom Betriebssystem-Kernel generiert. Seine Optionsreihenfolge, Fensterskalierung und Zeitstempel-Verhalten unterscheiden sich zwischen Linux-, Windows- und Apple-Systemen. Apple-Geräte senden TCP-Optionen in der Reihenfolge MSS, NOP, WS, NOP, NOP, TS, SACK_PERM, EOL. Linux sendet MSS, SACK_PERM, TS, NOP, WS. Wenn Ihr Browser iOS vorgibt, die Kernel-Signatur jedoch Linux ist, wurde die TCP-Verbindung nicht von Ihrem Telefon aufgebaut. Sie wurde von einer anderen Maschine neu erstellt — fast immer einem Proxyserver oder einem CDN-Edge-Knoten.

💡 Prüfen Sie Ihre Hardware- und Browserkonsistenz mit dem Browser-Fingerprint-Test.

Die im SYN-Paket deklarierte MSS (Maximum Segment Size) erlaubt den Rückschluss auf die Pfad-MTU: MTU entspricht MSS plus 40 Bytes bei IPv4 und plus 60 Bytes bei IPv6. Unterschiedliche Anschlusstypen weisen typische Werte auf: Heim-Breitband über PPPoE liegt bei 1492. Mobilfunkanbieter liegen meist zwischen 1400 und 1430. WireGuard-Tunnel nutzen standardmäßig 1420. Reines Ethernet — in der Praxis ein Server im Rechenzentrum — liegt bei 1500. Wenn ein Smartphone 1500 meldet, ist dies ein klarer Widerspruch: Keine Mobilfunkverbindung liefert diesen Wert. Auf einem Desktop-Gerät ist derselbe Wert weniger aussagekräftig, da auch Büro-LANs und Glasfaseranschlüsse ohne PPPoE 1500 erreichen, weshalb wir dies dort wesentlich geringer gewichten.

💡 Bei Routing-Auffälligkeiten testen Sie mehrere Endpunkte mit unserem Split-Tunneling-Test.

Weil IP-Reputation und Protokollverhalten voneinander unabhängig sind. Der Kauf einer echten Residential-IP ändert zwar den Datenbankeintrag Ihrer IP-Adresse, nicht aber die Art und Weise, wie die Exit-Maschine Netzwerkpakete baut. Handelt es sich um einen Linux-Server, sendet dieser weiterhin Linux-TCP-Optionen, deklariert eine Rechenzentrums-MTU und terminiert TLS mit seinem eigenen Fingerabdruck. Ein Risikosystem, das nur IP-Listen abgleicht, sieht eine saubere Wohnsitz-IP. Ein System, das den Protokoll-Stack analysiert, erkennt einen Server. Dies ist der häufigste blinde Fleck, weshalb unser Bericht protokollarisch bewiesene Nachweise strikt von reinen Reputationsattributen trennt.

💡 Prüfen Sie detaillierte ASN- und Betrugsbewertungen auf der MyIPDNS-Startseite.

Das bedeutet, dass wir auf Protokollebene keinen Widerspruch finden konnten und uns auf Reputationsdatenbanken stützen müssen. Dies geschieht, wenn Ihr eigenes Gerät und der Proxyserver dieselbe Betriebssystemfamilie nutzen. Ein Linux-Desktop hinter einem Linux-Proxy erzeugt eine einheitliche Linux-Signatur, sodass der schichtenübergreifenden Analyse Vergleichspunkte fehlen. Wir kennzeichnen dieses Urteil transparent: Nachweise mit der Kennzeichnung "protocol" wurden aus Paketen bewiesen, solche mit "reputation" nicht. Ein Urteil mit geringer Zuverlässigkeit, das nur auf Reputation basiert, sollte als Hinweis und nicht als Beweis verstanden werden.

💡 Entwickler können strukturierte ASN- und Risikodaten über unsere Kostenlose IP-API abrufen.

Einige Signale sind Konfigurationssache, andere physikalische Tatsachen. Eine Rechenzentrums-MTU lässt sich verbergen, indem die MTU der Tunnelschnittstelle auf Ihrem Server auf einen Wert zwischen 1420 und 1450 gesetzt wird, wodurch der Pfad wie ein normaler Verbrauchertunnel aussieht. Geteilte TCP-Zeitstempel-Offsets verschwinden, wenn der Exit-Host einen Kernel nutzt, der den Offset für jede Verbindung neu würfelt anstatt ihn pro Adresspaar zu hashen. Eine Diskrepanz zwischen dem tatsächlichen Exit-Betriebssystem und der Angabe im Browser lässt sich durch Client-Einstellungen überhaupt nicht beheben: Sie verschwindet nur, wenn der Exit-Host dieselbe Systemfamilie nutzt oder SYN-Optionen am Exit umgeschrieben werden. Keine Browser-Erweiterung kann dies ändern, da diese Daten nicht vom Browser erzeugt werden.

💡 Nach Anpassungen führen Sie auf der Startseite eine vollständige Neumessung durch.

Nein. Alle hier beschriebenen Rückschlüsse basieren ausschließlich auf Paketen, die unsere Sonden erreichen und die nur Ihre Exit-Adresse enthalten. Wir können oft erkennen, dass eine Verbindung unterwegs neu aufgebaut wurde, und Eigenschaften dieses Hosts beschreiben. Die IP-Adresse des ursprünglichen Geräts ist in diesem Datenverkehr jedoch nicht enthalten und kann daraus nicht rekonstruiert werden. Unabhängig davon können WebRTC- und DNS-Prüfungen auf dieser Website lokale Adressen aufdecken, falls Ihr Browser oder Resolver diese leckt — dies ist ein separater Mechanismus und wird gesondert ausgewiesen.

💡 Zur Diagnose von Routing- und DNS-Abweichungen nutzen Sie unsere Routing-Leck-Diagnose.