Split-Tunneling: Welcher Traffic das VPN umgeht und was das offenlegt

Split-Tunneling ist eine VPN-Einstellung, die Ihren Traffic auf zwei Routen verteilt: Was Sie auswählen, läuft über den verschlüsselten Tunnel zum VPN-Server, während der Rest über die gewöhnliche WLAN-, Ethernet- oder Mobilfunkleitung unter Ihrer tatsächlichen IP-Adresse das Netz verlässt. Ohne Split-Tunneling arbeitet ein VPN als Full Tunnel und drückt jedes Paket in den verschlüsselten Kanal. Alles, was außerhalb gesendet wird, verhält sich, als wäre das VPN ausgeschaltet: Websites sehen die IP-Adresse Ihres Heimanschlusses, und der Anbieter sieht, wohin dieser Traffic geht.

Wie eine VPN-App entscheidet, welcher Traffic wohin geht

Es gibt zwei Routing-Ansätze. App-basierte Regeln prüfen, welches Programm die Verbindung geöffnet hat, sodass die Banking-App den Tunnel umgeht, während der Browser darin bleibt. Zielbasierte Regeln gleichen ab, wohin Pakete gehen: eine IP-Adresse, ein Subnetz oder ein zur Laufzeit aufgelöster Domainname. Domain-Regeln haben eine Schwachstelle, denn große Websites laufen auf Content-Delivery-Netzwerken, deren Adressen sich verschieben und über nicht verwandte Dienste hinweg geteilt werden – eine an eine IP-Adresse gebundene Regel kann daher nicht mehr funktionieren oder Websites erfassen, für die sie gar nicht gedacht war.

Android gibt das Verhalten app-basierter Regeln in den meisten VPN-Apps für Smartphones vor. Die System-API nimmt entweder eine Allowed-List oder eine Disallowed-List von Programmen, nie beide gleichzeitig, und die Liste muss festgelegt werden, bevor die Verbindung startet; nach einer Änderung kommt der Tunnel nur über einen Reconnect zurück (Android-Entwicklerdokumentation).

Der Ausschlussmodus (auch Bypass genannt) hält alles im Tunnel außer den Einträgen auf Ihrer Liste. Der Inverse-Modus kehrt das um: Nur aufgeführte Apps oder Ziele nutzen das VPN, alles andere geht direkt.

Inverse-Modus, wenn nur die aufgeführten Apps geschützt sind

Der Inverse-Modus (Include) eignet sich für Menschen, die das VPN für einen blockierten Dienst oder eine Arbeitsressource brauchen und den Rest unberührt lassen wollen. Die Falle: Alles, was später installiert wird, startet außerhalb des Tunnels, bis Sie es hinzufügen – und nichts weist Sie darauf hin.

Gute Gründe, es einzuschalten

• Lokale Geräte: Ein Schalter, der den Datenverkehr zum lokalen Netzwerk vom VPN-Tunnel ausnimmt, hält Drucker, NAS-Geräte, Smart TVs und die Admin-Seite des Routers erreichbar, während der Tunnel aktiv ist.
• Banking: Payment-Apps, die VPN-Ausgangsadressen ablehnen, laufen weiterhin über Ihre Heimat-IP.
• Gaming: Match-Traffic umgeht den Umweg über den VPN-Server und hält den Ping niedrig.
• Geschwindigkeit: Große Updates, Videoanrufe und lokales Streaming belasten nicht die Bandbreite des VPN.
• Lokale Dienste: Websites aus Ihrem eigenen Land, die ausländische IPs ablehnen, öffnen sich normal.

Geräteunterstützung: Android und Windows ja, iPhone meistens nein

Apple reserviert Per-App-VPN für Apps, die über Gerätemanagement (MDM) verwaltet werden, sodass eine Consumer-App auf einem privaten iPhone nicht nach Programm routen kann. Proton VPN führt beispielsweise Windows, macOS, Linux, Android, Android TV und seine Browser-Erweiterung auf, ohne iPhone-App auf der Liste; Hotspot Shield deckt Apps und Sites unter Windows und Mac ab, unter iOS aber nur Sites. Prüfen Sie die Einstellungen der jeweiligen App auf Ihrer Plattform, bevor Sie sich darauf verlassen.

Wie Traffic versehentlich außerhalb des Tunnels landet

Ausgeschlossener Traffic trägt Ihre tatsächliche IP-Adresse, und DNS-Anfragen solcher Apps landen typischerweise beim Resolver des Anbieters. Leaks stammen selten von Softwarefehlern; sie entstehen durch Regeln, die niemand mehr überprüft: ein Ausschluss für einen Abend, der ein Jahr bestehen bleibt, ein weiter gefasstes Domainmuster als geplant, eine inverse Liste ohne den neu installierten Browser. In Firmennetzwerken umgeht umgeleiteter Traffic zudem die Filterung und Überwachung des Unternehmens, weshalb Administratoren die Option oft deaktivieren.

Um Ihre Einrichtung zu prüfen, öffnen Sie eine IP-Lookup-Seite einmal in einer App im Tunnel und einmal in einer ausgeschlossenen App und vergleichen Sie dann sowohl die sichtbare Adresse als auch den Resolver.

Split-Tunneling neben einem Kill Switch

Ein Kill Switch schützt nur den Traffic innerhalb des Tunnels (wie er funktioniert). Ausgeschlossene Apps nutzen den Tunnel nie, sodass sie beim Abbruch der VPN-Verbindung absichtlich über die ungeschützte Verbindung online bleiben. Manche Apps führen beide Funktionen nicht zusammen aus oder schwächen den Kill Switch ab, sobald Ausschlüsse aktiv sind, und ein strikter Modus „alles ohne VPN blockieren“ überschreibt Ihre Regeln kurzerhand.

Wie viele Dienste die Funktion ausweisen

Von 371 Diensten im Hauptranking von VPNRadarLab geben 124 an, Split-Tunneling anzubieten, 13 teilweise, 36 sagen, dass sie es nicht anbieten, und 204 veröffentlichen dazu nichts. „Keine Angabe“ bedeutet, dass der Anbieter nichts dokumentiert – nicht, dass die Funktion fehlt. Unser Split-Tunneling-VPN-Ranking vergleicht die Dienste, die sie aufführen.

FAQ

Sollte Split-Tunneling ein- oder ausgeschaltet sein?

Lassen Sie es ausgeschaltet, bis eine bestimmte App oder Site hinter dem VPN scheitert, und schalten Sie es dann nur für diesen Fall ein.

Ist Split-Tunneling sicher?

Traffic innerhalb des Tunnels ist geschützt; was Sie ausschließen, erhält keinerlei VPN-Schutz.

Worin unterscheidet es sich von einem Full Tunnel?

Ein Full Tunnel sendet jedes Paket durch das VPN; ein Split-Tunnel nur das, was Sie ausgewählt haben.

Split-Tunneling auf einen Blick

Die Funktion leitet ausgewählten Traffic um das VPN herum – pro App, pro Adresse oder Domain oder im Inverse-Modus. Sie hilft bei Heimnetzwerken, Banking-Apps, Gaming-Ping und großen Downloads, fehlt auf privaten iPhones meistens, und eine falsche oder vergessene Regel schickt Traffic stillschweigend außerhalb des Tunnels. Halten Sie die Ausschlussliste kurz, prüfen Sie sie nach, und erwarten Sie nicht, dass der Kill Switch abdeckt, was Sie nach draußen geschickt haben.