Kill Switch im VPN: Wie er Leaks blockiert, wenn der Tunnel abbricht

Ein Kill Switch ist ein Regelsatz, der Datenverkehr nur durch den VPN-Tunnel zulässt; fehlt der Tunnel, wird ausgehender Datenverkehr verworfen, statt über die normale Leitung zu laufen. Ihre echte öffentliche IP und Ihre DNS-Anfragen bleiben im Tunnel. Für Sie zeigt sich das als Stillstand: Seiten laden nicht mehr, Apps melden kein Netz, und alles läuft weiter, sobald die VPN-Verbindung wiederhergestellt ist.

Die Sekunden direkt nach dem Abbruch eines Tunnels

Tunnel brechen aus banalen Gründen ab: schwaches WLAN, ein Wechsel zu mobilen Daten, Aufwachen aus dem Standby. Ohne einen Kill Switch leitet das Betriebssystem den Datenverkehr stillschweigend über die normale Verbindung, und offene Programme wie ein Torrent-Client verbinden sich innerhalb von Sekunden mit Ihrer echten IP neu. Mit einem Kill Switch stoppt der Datenverkehr einfach, bis der Tunnel wieder steht. Die robuste Variante sitzt in der Firewall des Betriebssystems, deren Regeln nur die VPN-Schnittstelle und die Adresse des Servers zulassen, sodass die Sperre auch dann hält, wenn die App abstürzt. Die schwächere Variante ist ein Wächter innerhalb der App, der erst nach dem Erkennen eines Abbruchs reagiert – und ein Absturz nimmt ihn gleich mit.

Blockierung des gesamten Geräts oder eine Liste von Apps

Ein Kill Switch auf Systemebene blockiert alle Apps und Systemdienste, während der Tunnel nicht steht, sodass nichts außerhalb der Regeln bleibt. Ein Kill Switch auf App-Ebene unterbricht nur die Netzwerkverbindungen der von Ihnen ausgewählten Programme, während alles andere über die offene Leitung weiterläuft; bei manchen Apps ist diese Funktion standardmäßig ausgeschaltet.

Blockierung auch bei ausgeschaltetem VPN

Der Standardmodus reagiert nur auf einen unerwarteten Abbruch; ein manuelles Trennen hebt die Sperre auf. Der dauerhafte Modus (je nach App „advanced“ oder „strict“ genannt) lässt Datenverkehr nur zu, solange das VPN verbunden ist: nach dem manuellen Trennen, nach dem Schließen der App, nach einem Neustart geht nichts online. Der Preis: kein Internet, bis Sie sich verbinden oder den Modus ausschalten, und lokale Geräte wie Drucker und NAS sind möglicherweise nicht mehr erreichbar. Auf manchen Plattformen entsteht auch beim Wechsel des Servers ein kurzer Moment, in dem Datenverkehr direkt nach außen gelangen kann.

Smartphones: Was Android und iOS einer VPN-App erlauben

Android: Always-on-VPN und die Blockierungsoption

Seit Android 7.0 kann das System die ausgewählte VPN-App beim Start laden und am Laufen halten. Neben dem Always-on-Schalter in den Einstellungen findet sich „Verbindungen ohne VPN blockieren“, das allen Datenverkehr außerhalb des Tunnels verwirft. Viele Android-VPN-Apps stützen ihren Kill Switch auf diese Systemoptionen, und der eigene Schalter der App öffnet oft nur diesen Einstellungsbildschirm. Bekannte Lücke: Ein Audit der Mullvad-App aus dem Jahr 2022 (Befund MUL22-03) zeigte, dass Android seine Konnektivitätsprüfungen bei jedem WLAN-Verbinden außerhalb des Tunnels sendet, selbst wenn die Blockierung aktiviert ist; keine App kann das verhindern, und Standard-Android bietet keine Einstellung, um die Prüfungen abzuschalten (GrapheneOS schon). Details finden Sie in der Android-Entwicklerdokumentation.

iPhone und iPad: durch das Design begrenzt

Apples eigenes Always On VPN gibt es nur auf überwachten Geräten unter Mobile-Device-Management, sodass Sie auf einem privaten Gerät auf das includeAllNetworks-Flag angewiesen sind – mit seinen Systemausnahmen und dem in der Tabelle genannten Vorbehalt zu DNS-Anfragen von Apple-Diensten. 2020 berichteten Forscher von Proton VPN, dass iOS 13.3.1 und 13.4 Verbindungen, die beim Start des VPNs bereits offen waren, nicht schlossen, sodass langlebige Verbindungen wie Apple-Push-Benachrichtigungen minuten- oder stundenlang außerhalb des Tunnels bleiben konnten; 2022 berichteten sie, dass einige DNS-Anfragen von Apple-Diensten weiterhin direkt hinausgehen und dass iOS 16 das nicht behoben hat. Ihr Workaround: das VPN verbinden, dann den Flugmodus ein- und wieder ausschalten, damit die Verbindungen im Tunnel neu aufgebaut werden – ohne Garantie. Eine strenge Konfiguration kann auch AirDrop, CarPlay und Personal Hotspot stören. Lesen Sie die Offenlegung von Proton VPN für die Aktualisierungen.

Den eigenen Kill Switch prüfen

1. Starten Sie in einem Terminal einen kontinuierlichen Ping an eine öffentliche Adresse oder öffnen Sie eine Seite, die Ihre IP anzeigt.
2. Brechen Sie den Tunnel auf mehrere Arten: Flugmodus ein- und ausschalten, die VPN-App zwangsweise beenden, den Server wechseln.
3. Ping-Timeouts während der Lücke bedeuten, dass der Kill Switch funktioniert; eine Antwort mit Ihrer echten Adresse bedeutet ein Leak.
4. Für einen tieferen Nachweis beobachten Sie das Gerät vom Router aus mit tcpdump oder Wireshark: Bei nicht stehendem Tunnel sollte außer Paketen zum VPN-Server nichts zu sehen sein.
5. Wiederholen Sie die Prüfung nach jedem App- und OS-Update, auf jedem Gerät separat.

Wie verbreitet die Funktion ist

In dem VPNRadarLab-Katalog mit 543 Privatkunden-VPNs geben 193 Anbieter an, einen Kill Switch anzubieten, 59 geben an, keinen zu haben, und 291 erwähnen ihn gar nicht (das bedeutet, dass der Anbieter nichts dazu veröffentlicht, nicht, dass die Funktion fehlt). Die Ranking-Seite führt die 193 auf.

FAQ

Warum habe ich nach dem Ausschalten des VPNs kein Internet?

Der dauerhafte Modus ist noch aktiv: Er blockiert alles, bis ein Tunnel besteht. Verbinden Sie sich neu, oder schalten Sie diesen Modus aus.

Funktioniert ein Kill Switch, wenn die VPN-App abstürzt?

Wenn er durch Firewall-Regeln durchgesetzt wird, ja. Wenn die App die Verbindung selbst überwacht, kann ein Absturz den Schutz gleich mit herunterreißen.

Verlangsamt er meine Verbindung?

Nein. Er greift nur, wenn der Tunnel fehlt.

Kill Switch in Kürze

Ein Kill Switch lässt Datenverkehr nur durch den VPN-Tunnel fließen und verwirft alles andere, wenn der Tunnel weg ist, und schützt so Ihre echte IP und Ihre DNS-Anfragen. Nutzen Sie die Blockierung auf Systemebene als Standard, aktivieren Sie den dauerhaften Modus auf Geräten, die niemals ungeschützt ins Netz gehen dürfen, und prüfen Sie die Konfiguration mit einem erzwungenen Abbruch, statt sich auf den Schalter zu verlassen.