Welches VPN-Protokoll solltest du nehmen?
Fünf Fragen, dann eine klare Antwort — auch „du brauchst das getarnte nicht“.
Nehmen Sie
tool.proto.p.wireguard.name
Der moderne Standard. Eine kleine, auditierte Codebasis mit festgelegter moderner Kryptografie, schnell genug, dass sie selten zum Flaschenhals wird.
- In Ihrem Netz blockiert nichts VPN-Verkehr, es gibt also keinen Grund, für Verschleierung zu bezahlen. WireGuard ist der moderne Standard und wird in der Regel nicht Ihr Flaschenhals sein.
Zweite Wahl · tool.proto.p.openvpn.name
Halten Sie OpenVPN über TCP/443 in Reserve für Hotel- und Konferenznetze, die Web-Verkehr erlauben und sonst nichts. Es ist langsamer, und in solchen Netzen ist es oft das Einzige, was überhaupt eine Verbindung bekommt.
Bei JaguarVPN
Umbra ist die Voreinstellung bei JaguarVPN und hier die richtige Antwort — ausgelegt auf volle Leitungsgeschwindigkeit, mit frischen Schlüsseln je Sitzung und einem Notausschalter, der im Zweifel dichtmacht. MIRAGE, die Stealth-Option, ist ebenfalls schnell, aber in einem Netz, das Sie nicht filtert, ist der direkte Weg der kürzere, und eine Verbindung zu tarnen, die niemand inspiziert, löst ein Problem, das Sie nicht haben.
Wie Umbra funktioniert →Alle nebeneinander vergleichen
tool.proto.p.wireguard.name
Der moderne Standard. Eine kleine, auditierte Codebasis mit festgelegter moderner Kryptografie, schnell genug, dass sie selten zum Flaschenhals wird.
- Durchweg die schnellste verbreitete Option, und nach einem Abbruch schnell wieder verbunden
- Rund 4.000 Zeilen Code — klein genug, um wirklich geprüft worden zu sein
- Hervorragendes Akkuverhalten auf Telefonen — es ruht, wenn Sie ruhen
- Für Deep-Packet-Inspection trivial erkennbar: markanter Handshake und keine Tarngeschichte
- Nur UDP; ein Netz, das ausschließlich TCP/443 durchlässt, blockiert es vollständig
- Weist jedem Client eine feste interne Adresse zu, was Anbieter einplanen müssen statt zu ignorieren
Lassen Sie es, wenn das Netz, in dem Sie sind, aktiv nach VPN-Verkehr sucht und ihn blockiert.
tool.proto.p.openvpn.name
Der Platzhirsch seit zwanzig Jahren. Langsamer und schwerfälliger als WireGuard, läuft aber über TCP — und gelegentlich zählt genau das.
- Läuft praktisch auf jeder Plattform, jeder Router-Firmware und jedem Gerät, das es gibt
- Über TCP-Port 443 kommt es durch Netze, die nur Web-Verkehr erlauben
- Ausgiebig auditiert und jedem Netzwerkadministrator vertraut
- Merklich langsamer als WireGuard, besonders auf bescheidener Hardware
- Der TCP-Modus bricht ein: Ein zuverlässiges Protokoll in einem zweiten zuverlässigen Protokoll überträgt doppelt neu, und auf einer verlustbehafteten Strecke kollabiert der Durchsatz
- Für Inspektion weiterhin erkennbar — auf Port 443 zu laufen heißt nicht, wie HTTPS auszusehen
Lassen Sie es, wenn Sie einen WireGuard-fähigen Client haben und nichts UDP blockiert.
tool.proto.p.ikev2.name
Der Spezialist für Mobilgeräte. Sein Kennzeichen: Es übersteht einen Netzwechsel, ohne den Tunnel fallen zu lassen.
- MOBIKE hält die Sitzung am Leben, während Sie zwischen WLAN und Mobilfunk wechseln
- In iOS, macOS und Windows eingebaut, es braucht also keinen Fremdclient
- Schnell, und nach einer Unterbrechung fast sofort wieder verbunden
- Nutzt feste, wohlbekannte UDP-Ports (500 und 4500), die restriktive Netze als Erstes sperren
- Überhaupt keine Verschleierung
- Die Implementierungsqualität schwankt stark zwischen den Anbietern
Lassen Sie es, wenn Sie durch ein Netz müssen, das nach Ports filtert.
tool.proto.p.stealth.name
Eher eine Kategorie als ein einzelnes Protokoll: Entwürfe, deren Ziel es ist, dass die Verkehrsanalyse nichts findet, das sich zu blockieren lohnt. Genau das brauchen Sie dort, wo VPNs selbst gefiltert werden.
- Kommt durch Netze, die herkömmlichen VPN-Verkehr erkennen und verwerfen
- Die besseren Entwürfe überstehen auch aktives Sondieren, bei dem ein Zensor einen verdächtigen Server anspricht, um zu sehen, wie er antwortet
- Meist das Einzige, was unter landesweiter Filterung funktioniert
- Historisch langsamer, teils dramatisch — die älteren Entwürfe bezahlen die Tarnung mit Rundenzeiten und Overhead, auch wenn die besseren aktuellen den Abstand großteils geschlossen haben
- Mehr bewegliche Teile, also mehr, was schiefgehen kann
- In jedem Netz, das nicht filtert, unnötig — dort ist es reiner Aufwand
Lassen Sie es, wenn in Ihrem Netz nichts VPNs blockiert — die zusätzliche Maschinerie bringt Ihnen dann nichts.
tool.proto.p.legacy.name
Veraltet. Hier aufgeführt, damit die Antwort auf „Soll ich PPTP nehmen?“ eindeutig ist.
- In sehr alten Geräten vorhanden
- Die Verschlüsselung von PPTP ist seit 2012 praktisch zu brechen und bietet keinen nennenswerten Schutz
- L2TP/IPsec ist langsam, doppelt gekapselt und fast überall blockiert
- Beide sind in aktuellen Betriebssystemen weitgehend abgeschaltet oder entfernt
Lassen Sie es, wenn immer — es sei denn, ein Altgerät lässt Ihnen keine Wahl; dann gehen Sie davon aus, dass der Verkehr mitlesbar ist.
Die Frage hinter der Frage
Fast jeder Artikel über „das beste VPN-Protokoll“ setzt vier Protokolle in eine Tabelle und kürt einen Sieger. Diese Rahmung ist auf eine bestimmte Weise falsch: Die Protokolle konkurrieren nicht auf einer Achse. WireGuard ist schneller als OpenVPN und wird es bleiben. OpenVPN kommt durch ein Hotelnetz, das UDP verwirft, WireGuard nicht. Keine der beiden Tatsachen schlägt die andere, denn sie beantworten verschiedene Fragen.
Deshalb beginnt der Ratgeber oben mit dem Netz, in dem Sie sich befinden, und behandelt alles Weitere als Korrektur. In der Praxis entscheidet eine einzige Unterscheidung das meiste: Blockiert dort, wo Sie sind, irgendetwas aktiv VPN-Verkehr? Wenn nein, nehmen Sie das schnelle und denken Sie nicht weiter darüber nach. Wenn ja, hilft keine Geschwindigkeit, denn die Verbindung kommt gar nicht zustande.
Wofür die vier Optionen tatsächlich da sind
WireGuard — für die meisten die Voreinstellung
Klein, modern und schnell. Rund viertausend Zeilen Code gegenüber Hunderttausenden bei OpenVPN, und das zählt, denn diese Codebasis kann ein Mensch tatsächlich prüfen. Es handelt keine Cipher Suite aus, sondern nutzt einen Satz moderner Primitive und hat keinen Downgrade-Pfad, was eine ganze Angriffsklasse beseitigt.
Seine Schwäche ist, dass es unverkennbar ist. Der Handschlag hat eine feste Struktur und keine Tarngeschichte, ein Netz mit tiefer Paketanalyse erkennt es also sofort. WireGuard wollte nie unsichtbar sein — es wollte schnell und korrekt sein, und das ist es.
OpenVPN — das, was noch durchkommt
Langsamer, älter und ungleich weiter verbreitet. Der Grund, es verfügbar zu halten, ist der TCP-Modus auf Port 443, mit dem es Netze durchquert, die Web-Verkehr erlauben und sonst nichts — überwiegend Hotel- und Konferenz-WLAN.
Man sollte verstehen, warum dieser Modus ein letztes Mittel ist und keine Voreinstellung. TCP garantiert die Zustellung, indem es verlorene Pakete erneut sendet. Läuft TCP in TCP, senden beide Schichten denselben Verlust erneut und verschlechtern jeweils die Staukontrolle der anderen. Auf einer sauberen Strecke merkt man kaum etwas; auf einer verlustbehafteten bricht der Durchsatz ein. Man nennt es TCP-Meltdown, und deshalb ist UDP die richtige Wahl, wann immer UDP verfügbar ist.
IKEv2/IPsec — das für Telefone
Sein Alleinstellungsmerkmal ist MOBIKE, das einen Tunnel überleben lässt, wenn der Client die Netzadresse wechselt. Sie verlassen ein Gebäude, fallen vom WLAN auf Mobilfunk, und die Sitzung läuft weiter, statt abzubrechen und neu aufgebaut zu werden. Unter iOS ist es zudem nativ, es sitzt also nichts Drittanbieterartiges im Weg.
Es nutzt feste, wohlbekannte Ports — UDP 500 und 4500 —, und die gehören zum Ersten, was ein restriktives Netz sperrt. Ausgezeichnet, wo es funktioniert; überhaupt keine Hilfe, wo nicht.
Verschleierte Protokolle — für gefilterte Netze
Eine Kategorie, kein Produkt. Diesen Entwürfen ist ein Ziel gemeinsam: dass die Verkehrsanalyse nichts findet, worauf zu reagieren lohnt. Die besseren überstehen zusätzlich aktives Sondieren, bei dem ein Zensor sich selbst mit einem verdächtigen Server verbindet und dessen Antwort beobachtet — ein Server, der beim Sondieren seltsam antwortet, wird erkannt, ganz gleich wie sein Verkehr aussieht.
Es gehört klargestellt: Das ist keine stärkere Verschlüsselung. Die Vertraulichkeit ist dieselbe. Verschleierung erkauft nur, dass die Verbindung sich nicht selbst ankündigt. Die Kategorie hat den verdienten Ruf, das mit Geschwindigkeit zu bezahlen, aber das ist eine Eigenschaft bestimmter Entwürfe und kein Gesetz — die Frage an jeden konkreten lautet, ob er einen Videoanruf und einen großen Download noch gleichzeitig trägt, ohne dass eines von beiden auseinanderfällt.
Was die Protokollwahl nicht behebt
Drei Dinge, die man sich von einer Protokollentscheidung erhofft und die keine Protokollentscheidung liefert:
- Was Ihr Anbieter sehen kann. Jedes davon endet am Server des Anbieters. Das ist eine Frage nach dessen Protokollierungspolitik und Audits, nicht nach der Kryptografie.
- Ihr Browser-Fingerabdruck. Von keinem verändert — er stammt aus Ihrem Gerät, nicht aus Ihrer Verbindung. Sehen Sie sich Ihren an.
- DNS, das am Tunnel vorbeiläuft. Ein Konfigurationsfehler, keine Protokolleigenschaft, und er passiert bei allen. Lieber testen als annehmen.
Die Einstellung, die wirklich mehr zählt als die Protokollwahl und weit seltener besprochen wird, ist der Notausschalter. Ein Tunnel, der ohne ihn abbricht, setzt Sie mitten in der Sitzung wieder ins nackte Netz — lautlos, und genau in dem Moment, in dem Sie am wenigsten nachsehen.
Protokollfragen, die Leute wirklich haben
Welches VPN-Protokoll ist das schnellste?
WireGuard, in praktisch jedem veröffentlichten Vergleich und auf praktisch jeder Geräteklasse. Es verwendet feste moderne Kryptografie, statt eine Suite auszuhandeln, läuft im Kernel, wo die Plattform es zulässt, und trägt weit weniger Overhead pro Paket als OpenVPN. Auf einer schnellen Leitung ist der Unterschied der zwischen einem VPN, das man bemerkt, und einem, das man nicht bemerkt. Der Vorbehalt: Sobald Ihr Server weit weg steht, ist die reine Protokollgeschwindigkeit nicht mehr der begrenzende Faktor — dann ist es die Entfernung.
Ist WireGuard weniger privat als OpenVPN?
Die Kritik ist berechtigt, aber eng, und sie betrifft die Betriebsweise, nicht das Protokoll. WireGuard weist jedem Client eine feste interne IP-Adresse zu und behält sie für die Sitzung bei; ein Anbieter könnte damit Aktivität mit einem Konto verknüpfen, was die dynamische Vergabe bei OpenVPN nicht erlaubt. Das Problem ist gelöst — Anbieter behelfen sich mit doppeltem NAT oder rotierenden Zuweisungen —, aber man sollte wissen, dass es gelöst werden muss und nicht vorausgesetzt werden darf. Kryptografisch ist WireGuard das modernere und besser prüfbare der beiden.
Brauche ich ein verschleiertes oder Stealth-Protokoll?
Wahrscheinlich nicht, und das gehört klar gesagt, weil diese Option am häufigsten überverkauft wird. Verschleierung löst ein einziges Problem: ein Netz, das VPN-Verkehr erkennt und blockiert. Funktioniert Ihre Verbindung, haben Sie dieses Problem nicht, und in einem Netz, das Sie nicht inspiziert, ist der direkte Weg schlicht der kürzere. Wo Sie sie brauchen — nationale Filterung oder ein Arbeitsplatz- beziehungsweise Campusnetz, das Tunnel aktiv kappt —, funktioniert nichts anderes zuverlässig, denn das Problem ist nicht, dass herkömmliche Protokolle schwach wären, sondern dass sie erkennbar sind. Die alte Annahme, das müsse Geschwindigkeit kosten, sollte man prüfen statt hinnehmen: Für manche Entwürfe stimmt sie, für andere nicht.
Sollte ich jemals PPTP verwenden?
Nein. Seine Verschlüsselung ist seit 2012 praktisch brechbar, und der Angriff ist ein mietbarer Dienst, kein Forschungsergebnis. Aktuelle Versionen von Windows, macOS und iOS haben es entfernt oder deaktiviert. Bietet Ihnen ein Gerät nichts anderes an, behandeln Sie diese Verbindung als unverschlüsselt und planen Sie entsprechend.
Ändert das Protokoll, was mein VPN-Anbieter sehen kann?
Nicht nennenswert. Jedes Protokoll hier beendet den Tunnel am Server des Anbieters, der Anbieter ist also unabhängig von Ihrer Wahl in der Lage, Ihren Verkehr beim Verlassen zu sehen. Was Ihre Preisgabe dort bestimmt, ist die Protokollierungspolitik des Anbieters und ob sie unabhängig geprüft wurde — eine Frage an das Unternehmen, nicht an die Kryptografie. Die Protokollwahl entscheidet, was die Netze zwischen Ihnen und dem Server erkennen können, und das ist eine andere Frage.
Warum lässt mich meine VPN-App kein Protokoll wählen?
Oft weil nur eines anzubieten lohnt, manchmal weil die App automatisch wechselt, je nachdem was das Netz zulässt. Automatische Auswahl ist meist die richtige Voreinstellung — sie fällt von einem schnellen Protokoll auf eines zurück, das ein restriktives Netz übersteht, ohne dass Sie den Fehler diagnostizieren müssen. Übersteuern können sollte man trotzdem, für den Fall, dass Sie das Filtern Ihres Netzes bereits kennen und lieber gleich mit der funktionierenden Option beginnen, als erst zwei Fehlschläge abzuwarten.
Both answers exist in the same app.
Umbra is the fast default and what the recommender picks for most people. MIRAGE is the option for networks that filter — it leaves nothing on the wire that reads as a VPN, and it carries games, calls and 4K at the speed of your line rather than asking you to trade one for the other. You do not choose once and live with it: switch in the app when a network stops cooperating, and switch back when it does.
Zuletzt geprüft . Etwas veraltet gefunden? Sagen Sie uns Bescheid.