WebRTC-Leak: Wie eine Browser-Anruffunktion Ihre IP trotz VPN preisgibt

Ein WebRTC-Leak liegt vor, wenn eine Seite die eingebaute Echtzeit-Kommunikationsfunktion des Browsers nutzt, um die öffentliche Adresse abzugreifen, die Ihr Anbieter Ihnen zugewiesen hat, während das VPN verbunden ist. Die Seite selbst sieht den VPN-Server; ein Skript auf ihr sieht Ihre Heimverbindung. Weil gewöhnliche IP-Prüfseiten das Request-Log der Seite statt der Kandidatenliste des Browsers auslesen, bleibt dieses Leak lange unbemerkt.

Warum Browser überhaupt eine Telefonie-Engine mitbringen

Browserbasierte Meeting- und Chat-Dienste laufen auf WebRTC (Web Real-Time Communication), APIs für Sprache, Video, Bildschirmfreigabe und Dateiübertragung direkt zwischen zwei Browsern, ganz ohne Plugin. Damit zwei Peers direkt miteinander sprechen können, ermittelt jede Seite alle möglichen Netzwerkpfade. Diese Aufgabe übernimmt ICE, Interactive Connectivity Establishment: Der Browser sammelt „Kandidaten“ und teilt die Liste der Gegenseite mit. Die Typen, die er sammelt, sind: host, die Adresse einer lokalen Schnittstelle; server-reflexive, die öffentliche Adresse, von der ein STUN-Server die Anfrage kommen sieht; relay, eine Adresse auf einem TURN-Server, der Medien weiterleitet, wenn kein direkter Pfad funktioniert.

Ein STUN-Server beantwortet eine Frage: Von welcher öffentlichen Adresse stammt diese Anfrage. Öffentliche Server großer Unternehmen sind kostenlos und erfordern kein Konto. Viele Menschen nehmen an, WebRTC frage vorher um Erlaubnis, bevor es etwas preisgibt – das tut es nicht: Jede Seite mit JavaScript kann eine Peer-Verbindung aufbauen und STUN abfragen, ohne Rückfrage und ohne etwas auf dem Bildschirm.

Vier Wege, auf denen die tatsächliche IP-Adresse am Tunnel vorbei offengelegt wird

Bei einer VPN-App für das ganze Gerät reist die STUN-Abfrage im Tunnel, und der reflexive Kandidat zeigt den VPN-Ausgang. Ein Leak bei einer solchen App weist auf einen dieser Punkte hin: WebRTC, das in einem Browser mit Proxy-Erweiterung die Proxy-Einstellungen standardmäßig nicht beachtet und deshalb seine UDP-Anfrage an STUN über die normale Verbindung sendet; Split-Tunneling, das den Browser außen vor lässt; ein reiner IPv4-Tunnel in einem Netzwerk, das auch IPv6 hat; oder ein Skript, das ausgeführt wird, während die Tunnelverbindung wiederhergestellt wird.

Die IETF hat in RFC 8828, WebRTC IP Address Handling Requirements, festgelegt, wie Browser mit Adressen umgehen sollen. Sie listet vier Modi auf, vom Aufzählen aller Adressen (nur nach Einwilligung, etwa Kameraberechtigung) bis zur verpflichtenden Weiterleitung des gesamten Datenverkehrs über einen Proxy, und nennt Nutzer von Split-Tunnel-VPNs als den Fall, bei dem sowohl die VPN-Adresse als auch die Anbieteradresse entdeckt werden können.

Was die „.local“-Namen in einem Test bedeuten

Aktuelle Chrome-, Edge-, Firefox- und Safari-Versionen ersetzen die private LAN-Adresse in Host-Kandidaten durch einen zufälligen Namen mit der Endung „.local“, solange die Seite keine Kamera- oder Mikrofonberechtigung hat. Diese Maskierung betrifft nur die lokale Adresse; die öffentliche reflexive bleibt unangetastet. Safari zeigt nur die Adresse an, mit der es die Seite erreicht, sofern Sie ihm keinen Medienzugang gewähren.

Durchführung des Tests

Verbinden Sie das VPN und öffnen Sie dann das VPN-Prüfungstool von VPNRadarLab, das die Adresse zeigt, die Websites sehen, und einen WebRTC-Leak-Test im Browser durchführt. Finden Sie unter den Ergebnissen die Adresse Ihres Heim-Providers, ist das ein Leak; sehen Sie nur den VPN-Ausgang, einen „.local“-Namen oder einen privaten Bereich, wird Ihre tatsächliche öffentliche IP-Adresse dabei nicht offengelegt. Wiederholen Sie den Test in jedem genutzten Browser, in einem IPv6-fähigen Netzwerk und direkt nachdem das VPN erneut verbunden hat.

Das Leak schließen

WebRTC komplett zu deaktivieren ist die grobste Lösung und zerstört Browser-Anrufe. Es zu behalten, aber auf die Standard-Route zu beschränken, erhält Meetings auf Kosten eines langsameren Aufbaus oder weitergeleiteter Medien.

Was die Daten von VPNRadarLab zeigen

Das Hauptranking von 371 Diensten hat kein eigenes WebRTC-Feld; der nächste Datenpunkt sind Browser-Erweiterungen, wo 99 Dienste angeben, eine anzubieten, 2 teilweise, 47 mit Nein antworten und 229 keine Angabe machen (das heißt, der Anbieter veröffentlicht die Information nicht). Das sichere VPN-Ranking ordnet Dienste nach Sicherheitsprüfungen wie Schutz vor Datenlecks, Logging und Audits.

FAQ

Kann ein WebRTC-Leak auch bei einer VPN-App auftreten, nicht nur bei einer Erweiterung?

Ja. Die üblichen Ursachen sind Split-Tunneling, ein reiner IPv4-Tunnel in einem Netzwerk mit IPv6 oder ein Skript, das während einer Wiederverbindungspause ausgeführt wird.

Zerstört das Abschalten von WebRTC Videoanrufe?

Browser-Anrufe und Bildschirmfreigabe funktionieren nicht mehr. Native Meeting- und Chat-Apps sind nicht betroffen.

Ist die lokale Adresse in einem Testergebnis ein Problem?

Nein. Ein „.local“-Name oder ein privater Bereich zeigt nur auf ein Gerät im Heimnetzwerk und identifiziert Sie nicht im Internet, es ist also kein Leak.

WebRTC-Leaks in Kürze

Jede Seite kann Kandidaten ohne Rückfrage sammeln. Eine richtige Full-Tunnel-App liefert die VPN-Ausgangsadresse; Proxy-Erweiterungen, Split-Tunneling, offenes IPv6 und Wiederverbindungspausen liefern Ihre. Prüfen Sie jeden Browser in einem Netzwerk mit IPv6 und schließen Sie dann die Lücke in den Browser-Einstellungen, der Erweiterung oder der App-Konfiguration.