SOCKS5-Proxy-Grundlagen: Wie RFC 1928 den Traffic jeder App weiterleitet, ohne ihn zu verschlüsseln

SOCKS5 ist die fünfte Version des SOCKS-Proxy-Protokolls, definiert in RFC 1928 (IETF, März 1996). Es leitet die TCP-Verbindungen einer Anwendung und, wo unterstützt, UDP-Datagramme auf Sitzungsebene über einen Proxy, ohne den Traffic zu lesen oder umzuschreiben. Eine Anmeldung ist optional, Verschlüsselung fehlt, und die meisten Apps müssen einzeln auf den Proxy eingestellt werden.

Der SOCKS5-Handshake im Detail

Der Client beginnt damit, die von ihm unterstützten Authentifizierungsmethoden aufzulisten; der Server wählt eine aus oder lehnt ab. Zur Auswahl stehen keine Anmeldung, ein Benutzername mit Passwort (RFC 1929) oder Kerberos über GSS-API (RFC 1961). Danach nennt der Client den Befehl: CONNECT für eine ausgehende Verbindung, BIND für eine eingehende (altes aktives FTP) oder UDP ASSOCIATE für Datagramme. Das Ziel kann eine IPv4- oder IPv6-Adresse oder ein Domänenname plus Port sein. Übliche Server lauschen auf Port 1080, doch VPN-Anbieter wählen oft einen eigenen. SOCKS4 bot weder UDP noch IPv6 noch Passwort-Anmeldung; SOCKS4a ergänzte lediglich Hostnamen. Der vollständige Ablauf findet sich in RFC 1928.

SOCKS5 gegenüber einem HTTP-Proxy

Ein Game-Client oder ein Torrent-Schwarm kann nicht über einen Web-Proxy kommunizieren, während SOCKS5 deren Bytes weiterleitet, wie sie ankommen. Bei HTTPS öffnet der HTTP-Proxy lediglich einen CONNECT-Tunnel. Keines der beiden Protokolle verschlüsselt die Verbindung zum Proxy selbst. Andere Proxy-Server-Typen behandelt das VPNRadarLab-Glossar.

Was SOCKS5 nicht verschlüsselt

SOCKS5 bringt keine eigene Verschlüsselung mit. Der Handshake, das Ziel, die Nutzdaten unverschlüsselter Protokolle und bei einer Anmeldung per RFC 1929 das Passwort selbst laufen lesbar über das Netz: jeder auf der Strecke, vom Besitzer des Café-WLAN über den eigenen Anbieter bis zum Proxy-Betreiber, kann sie mitlesen. Von der App per TLS versiegelter Traffic bleibt Ende-zu-Ende geschützt. Das feste Klartextmuster macht das Protokoll für DPI zudem leicht zu fingerprinten und zu blockieren. Ein SSH-Tunnel mit dynamischem Forwarding hüllt den Traffic in Verschlüsselung; Tools wie Shadowsocks, V2Ray und Tor-Clients bieten einen lokalen SOCKS5-Port mit verschlüsseltem Hop zu ihren Servern. Kostenlose öffentliche SOCKS5-Listen sind mit besonderer Vorsicht zu genießen: Der Betreiber sieht jedes unverschlüsselte Byte und Ihre Anmeldung.

Warum VPN-Abos einen SOCKS5-Proxy bündeln

Der Zielanwendungsfall ist Torrenting. Leitet man nur den Torrent-Client über den Proxy, erhält er eine andere Exit-IP, während der Rest des Geräts seine normale Verbindung behält – ohne dass zusätzlicher Verschlüsselungsaufwand den Durchsatz verringert. Die Anbieter vergeben meist gesonderte Proxy-Zugangsdaten, deren Passwort sich vom Kontopasswort unterscheidet. Drei Stolperfallen: Aktivieren Sie Peer-Verbindungen über den Proxy, sonst sehen die Peers weiterhin Ihre tatsächliche IP-Adresse. Prüfen Sie, ob der Server UDP ASSOCIATE unterstützt, wenn Sie UDP-Tracker oder DHT nutzen. Stellen Sie sicher, dass der Client bei einem Proxy-Ausfall abbricht, statt auf eine direkte Verbindung zurückzufallen. Der Proxy allein verheimlicht Ihrem Anbieter nicht, was Sie herunterladen. Er erlaubt dem Betreiber zudem, die Peers aufzulisten, mit denen Sie sich verbinden.

Von den 371 Privatkunden-VPNs im VPNRadarLab-Ranking machen 332 keine Angaben zu einem im Abo enthaltenen Proxy, 18 geben an, keinen anzubieten, und 27 bestätigen ihn (Schweigen ist kein Nein). IPVanish, TorGuard (als Anonymous Proxy), PrivadoVPN im Premium-Tarif und CactusVPN auf jedem Server nennen ihn ausdrücklich. Die vollständige Liste findet sich im Ranking der VPNs mit gebündeltem SOCKS5-Proxy.

SOCKS5 in Apps einrichten

• Firefox: Einstellungen, Netzwerk-Einstellungen, Manuelle Proxy-Konfiguration. Tragen Sie SOCKS-Host und Port ein, wählen Sie SOCKS v5 und aktivieren Sie „Proxy-DNS bei Verwendung von SOCKS v5“.
• qBittorrent: Tools, Optionen, Verbindung. Stellen Sie den Typ auf SOCKS5 mit Host, Port und Authentifizierung ein, dann aktivieren Sie „Proxy für Peer-Verbindungen verwenden“ und „Hostnamen-Auflösung über Proxy“.
• Telegram: Einstellungen, Daten und Speicher, Proxy, Proxy hinzufügen, SOCKS5.
• curl: Stellen Sie der URL das Schema socks5h voran oder übergeben Sie --socks5-hostname.
• Windows und macOS bieten ein SOCKS-Feld in den Systemeinstellungen, doch viele Apps ignorieren es und benötigen eine eigene Konfiguration.

socks5h und DNS-Leaks

Bei reinem socks5 löst der Client den Hostnamen selbst über den lokalen DNS-Resolver auf, sodass der Anbieter oder WLAN-Betreiber jeden Seitennamen sieht, obwohl die Verbindung über den Proxy läuft. Das h in socks5h (eine curl-Konvention) steht für hostname: Die Domäne wird an den Proxy übergeben, der sie remote auflöst. Das Häkchen in Firefox bewirkt dasselbe, und die Hostnamen-Option von qBittorrent deckt die Torrent-Seite ab. Führen Sie nach der Einrichtung einen DNS-Leak-Test durch; erscheint der Resolver Ihres Anbieters in den Ergebnissen, laufen die Lookups weiterhin lokal.

SOCKS5-Proxy-FAQ

Ist ein SOCKS5-Proxy ein VPN?

Nein, er leitet nur eine App und verschlüsselt nichts.

Lässt sich ein SOCKS5-Proxy erkennen?

Ja, DPI-Filter erkennen seinen Klartext-Handshake.

Reicht SOCKS5 für Torrenting?

Er verbirgt Ihre IP-Adresse vor den Peers, nicht Ihren Datenverkehr vor dem Internetanbieter.

Welchen Port nutzt SOCKS5?

1080 per Konvention; Anbieter wählen oft einen anderen.

SOCKS5 in Kürze

SOCKS5 ist ein Relay auf Sitzungsebene für beliebige TCP-Verbindungen und UDP, mit optionaler Passwort-Anmeldung und ohne Verschlüsselung. Es tauscht die sichtbare IP für eine konfigurierte App und leitet Bytes unverändert weiter. Leiten Sie das DNS darüber, ergänzen Sie wo nötig Verschlüsselung und testen Sie, bevor ein Torrent-Client sich darauf verlässt.