Wie ein IPv6-Leak Ihre echte Adresse hinter einem VPN offenlegt

Von 534 Privatkunden-VPNs in unseren Daten geben 9 an, keinen anzubieten. Unten: die Dienste, die dafür am höchsten ranken.

Zum Ranking: VPNs mit IPv6-Unterstützung

26Privatkunden-VPNs bieten ihn

499äußern sich nicht dazu

Ein IPv6-Leak bedeutet, dass das VPN den IPv4-Pfad abschirmt, während dieselbe Verbindung auch IPv6 trägt – und dieser zweite Pfad umgeht den Tunnel vollständig. Websites, die über IPv6 erreicht werden, sehen die Adresse, die Ihr Internetanbieter zugeteilt hat, nicht die Adresse des von Ihnen gewählten Servers. Währenddessen meldet die App weiter „verbunden“, und eine Prüfung, die nur IPv4 kontrolliert, zeigt zufrieden die Adresse des VPN-Servers an. Nur ein Test, der beide Protokolle abdeckt, legt die Lücke offen.

Was die echte IPv6-Adresse verrät

Eine IPv6-Adresse besteht aus zwei Hälften: dem Präfix vorn, das Ihr Anbieter Ihrer Leitung zuweist, und einem gerätespezifischen Suffix dahinter, das von den Privacy-Extensions regelmäßig geändert wird. Das Durchmischen des Suffixes ändert nichts am Präfix. Es zeigt weiterhin auf Ihren Anbieter, seine grobe Region und Ihr bestimmtes Abo, womit eine Website Ihre Besuche zusammenführen kann.

Wie IPv6-Verkehr außerhalb des Tunnels landet

Ursache	Was passiert
Nur-IPv4-VPN in einem Dual-Stack-Netzwerk	Das VPN ersetzt nur die IPv4-Standardroute; die IPv6-Standardroute zeigt weiterhin auf Ihren lokalen Router, sodass jedes v6-Paket den Tunnel umgeht
Das System bevorzugt IPv6	Wenn eine Website sowohl einen A- als auch einen AAAA-Eintrag hat, versuchen viele Betriebssysteme zuerst IPv6, und Dual-Stack-Websites sind so verbreitet, dass der alltägliche Datenverkehr leakt
Angriff über öffentliches WLAN	Ein feindliches Gerät im selben Netzwerk kann auf Ihrem Laptop IPv6 mit gefälschten Router Advertisements einschalten, selbst wenn der Hotspot selbst kein IPv6 hat
Vom Netzwerk bekannt gegebener IPv6-Resolver	Anfragen an ihn umgehen das eigene DNS des VPNs
Split-Tunneling oder manuell erstellte Konfigurationen	Routen, die nur für IPv4 hinzugefügt wurden, lassen die v6-Seite außen vor; eine selbst geschriebene WireGuard- oder OpenVPN-Konfiguration ohne IPv6-Zeilen tut dasselbe

Die IETF hat sowohl das versehentliche Umgehen als auch den WLAN-Angriff in RFC 7359 (August 2014) dokumentiert.

Prüfung auf ein IPv6-Leak

Verbinden Sie das VPN und warten Sie, bis die App dies bestätigt.
Öffnen Sie eine Testseite, die IPv4- und IPv6-Adressen getrennt ausweist.
Prüfen Sie, wem das IPv6-Ergebnis gehört, verbinden Sie dann erneut und wiederholen Sie den Test in jedem Netzwerk, das Sie nutzen: Heim-WLAN, mobile Daten, Hotelnetzwerke. Führen Sie ihn auch nach App- oder Systemupdates erneut aus.

Drei Ergebnisse sind möglich. Eine IPv6-Adresse, die zu Ihrem Anbieter gehört, bedeutet, dass Sie leaken. Eine IPv6-Adresse, die zum VPN-Unternehmen gehört, bedeutet, dass der Tunnel beide Protokolle trägt. Wird gar kein IPv6 angezeigt, ist das ebenfalls in Ordnung: Es ist blockiert oder abgeschaltet. Unter Linux zeigt ip -6 route, ob die v6-Standardroute durch das Tunnel-Interface läuft.

Behebung des Leaks und was jede Lösung kostet

Die saubere Lösung ist ein VPN, das IPv6 tunnelnt: Beide Protokolle laufen durch eine Verbindung, und Websites sehen die Adresse des Servers. Die App und der gewählte Server müssen das beide unterstützen.

Zweite Option: eine App mit Schutz vor IPv6-Lecks, die den gesamten v6-Verkehr verwirft, solange die Verbindung besteht. Das System fällt auf IPv4 zurück, und die meisten Websites laden trotzdem, weil sie auch IPv4-Einträge veröffentlichen.

Dritte Option: IPv6 auf dem Gerät deaktivieren. Unter Windows entfernen Sie das Häkchen bei TCP/IPv6 in den Adaptereigenschaften. Unter macOS konfigurieren Sie IPv6 so, dass nur linklokale Adressen verwendet werden. Unter Linux verwenden Sie sysctl net.ipv6.conf.all.disable_ipv6=1. Die Umstellung im Router erfasst alle Geräte auf einmal, wirkt sich aber auch auf solche aus, die das VPN nie berühren, und in Netzwerken, die auf IPv6 aufgebaut sind, können manche Apps hängen; RFC 7359 nennt dies eine vorübergehende Notlösung. Bei manuellen Konfigurationen ergänzen Sie ::/0 in der WireGuard-Zeile AllowedIPs neben 0.0.0.0/0; in OpenVPN verwenden Sie redirect-gateway ipv6, um v6 in den Tunnel zu ziehen, oder block-ipv6, um es abzulehnen. Ein Kill Switch schließt das Leak nur, wenn seine Regeln IPv6 ebenso abdecken wie IPv4.

Was die Daten von VPNRadarLab sagen

Von den 371 Diensten im Hauptranking geben 23 IPv6-Unterstützung oder Leak-Behandlung an, 4 nennen teilweise, 5 sagen Nein, und 345 machen keine Angabe. Im gesamten Katalog von 543 Privatkunden-VPNs geben 26 an, dass sie es anbieten, 9 erklären, es nicht anzubieten, und 508 schweigen. Schweigen bedeutet, dass der Anbieter nichts veröffentlicht, nicht dass die App leakt. Das IPv6-Feld erscheint auf jeder Dienstkarte, bringt aber keine Punkte. Der Kill Switch ist eines der bewerteten Sicherheitskriterien. Das IPv6-Ranking listet die Dienste, die ihre Behandlung offenlegen.

FAQ

Ist das Abschalten von IPv6 sicher?

Für die meisten Menschen ja, nichts Sichtbares geht kaputt. Achten Sie auf Apps, die in mobilen oder Firmennetzwerken v6 benötigen.

Legt ein IPv6-Leak meine genaue Heimatadresse offen?

Nein. Es zeigt Ihren Anbieter, eine grobe Region und Ihre Leitung – genug, um Besuche zu verknüpfen.

Mein VPN bietet keine IPv6-Unterstützung. Habe ich ein Leak?

Nur wenn Ihr Netzwerk IPv6 vergibt und die App es nicht blockiert. Führen Sie den Test aus, um es herauszufinden.

IPv6-Leaks in Kürze

Der Tunnel schützt IPv4, IPv6 entwischt, und Websites sehen Ihr vom Anbieter zugeteiltes Präfix. Prüfen Sie beide Protokolle in jedem Netzwerk, das Sie nutzen, und beheben Sie es dann, indem Sie IPv6 tunneln, es in der App blockieren oder es deaktivieren – und darauf achten, dass die Regeln eines etwaigen Kill Switch IPv6 einschließen.

Top-Dienste: VPNs mit IPv6-Unterstützung