VPN-Protokolle erklärt: Typen, beste Einsatzbereiche und Unterstützung durch Dienste

Ein VPN-Protokoll ist die Menge an Regeln, nach denen eine App und ihr Server den Tunnel aufbauen: Schlüsselaustausch, Verschlüsselung und der darunterliegende Transport, UDP oder TCP. Das bestimmt die Geschwindigkeit, die Stabilität auf schlechten Verbindungen und was eine Firewall oder ein DPI-Filter sieht. Für maximale Geschwindigkeit wählen Sie WireGuard, für ein Gerät mit nur integriertem Client IKEv2, für ein Netzwerk, das VPNs jagt, einen verschleierten Transport wie VLESS mit Reality – und vermeiden Sie PPTP überall.

Drei Protokollfamilien und wofür jede gut ist

Klassische Tunnel: WireGuard, OpenVPN, IKEv2 und die Alt-Optionen

WireGuard nutzt eine kleine Codebasis, moderne Kryptografie und ausschließlich UDP und rotiert Sitzungsschlüssel alle paar Minuten, was Perfect Forward Secrecy ergibt (WireGuards eigene Protokollbeschreibung). OpenVPN ist schwerer, läuft aber über UDP oder TCP; auf TCP 443 ähnelt es Web-Traffic, wobei DPI seinen Handshake weiterhin per Fingerabdruck erkennen kann (Dienste mit OpenVPN-Unterstützung). IKEv2 nutzt UDP 500 und 4500, verbindet sich schnell neu, wenn ein Telefon das Netzwerk wechselt, und ist in Windows, macOS, iOS und Android integriert. L2TP/IPsec, SSTP und SoftEther sind für alte Router relevant; PPTP ist veraltet und hat eine defekte Verschlüsselung.

Zensurresistente Transporte: VLESS Reality, Trojan, Hysteria2, Shadowsocks

Diese lassen VPN-Traffic wie gewöhnliches HTTPS oder Rauschen aussehen, damit Deep Packet Inspection ihn nicht herausfiltern kann. VLESS mit Reality leiht sich den TLS-Handshake einer echten Website, Trojan gibt sich als normaler HTTPS-Server über TCP mit TLS aus, und Hysteria2 und TUIC laufen über QUIC (UDP), was bei verlustreichen Verbindungen hilft, aber auf Netzwerken scheitert, die UDP blockieren. Diese Transporte benötigen meist einen Client eines Drittanbieters wie v2rayNG plus einen Konfigurationslink oder QR-Code.

Eigene Protokolle der Anbieter: was NordLynx, Lightway oder Hydra tatsächlich sind

Einige bauen auf WireGuard auf: NordLynx nutzt es direkt, und Protons Stealth hüllt es in TLS ein. Andere, wie ExpressVPNs Lightway und Hotspot Shields Hydra (auch von Betternet und Bitdefender VPN verwendet), sind eigenständige Entwürfe, und manche Marken beschreiben ihre Protokolle überhaupt nicht. Siehe das Ranking der Dienste mit eigenem Protokoll.

Wie viele der 371 Dienste welches Protokoll unterstützen

Die Zahlen stammen aus dem Hauptranking von VPNRadarLab; die Hub-Tabelle oben ist größer, weil sie auch Clients und Panels listet.

Die Tabelle lässt L2TP/IPsec, SSTP, SoftEther, VMess, Trojan, AmneziaWG und obfs4 aus; ihre Zahlen im Hauptranking sind L2TP/IPsec 63, SSTP 19, VMess 17, SoftEther 11, Trojan 11, AmneziaWG 9 und obfs4 6. Zur Einordnung: 273 von 371 listen einen klassischen Tunnel, nur 66 listen ein zensurresistentes Protokoll, und 50 listen kein Protokoll – das bedeutet, das Protokoll ist nicht angegeben, nicht dass es fehlt.

Protokoll nach Aufgabe wählen

• Geschwindigkeit, Gaming, Streaming: WireGuard, einschließlich WireGuard-basierter Entwürfe wie NordLynx.
• WLAN, das VPNs in einem Hotel oder Büro blockiert: zuerst OpenVPN über TCP 443, dann der Verschleierungsmodus des Anbieters; der Kill Switch verhindert Lecks, wenn der Tunnel abbricht.
• Filterung auf Länderebene: VLESS mit Reality oder Trojan; Hysteria2, wenn die Verbindung instabil ist und UDP durchkommt.
• Ein Smart TV, Router oder Firmenlaptop, der keine App zulässt: IKEv2 oder eine manuelle OpenVPN-Konfiguration.

Wie Protokolle die Teilwertungen für Sicherheit und Zensurumgehung beeinflussen

Sicherheit, 20 % der Gesamtwertung mit 14 verfügbaren Punkten, vergibt 1,5 für WireGuard oder ein eigenes Protokoll des Anbieters gleichermaßen, 1 für Post-Quanten-Verschlüsselung und 0,5 für Perfect Forward Secrecy; OpenVPN allein bringt keine Protokollpunkte, und PPTP als einzige Option kostet 2. Von den 10,5 Punkten in der Teilwertung für Zensurumgehung (Gewichtung 15 %) liefern die zensurresistenten Protokolle 7, wobei VLESS Reality mit 1,5 am höchsten gewichtet ist und die anderen weniger erreichen, während ein Verschleierungs- oder Stealth-Modus separate 2 bringt. Mediane über alle 371: 3,3 mit mindestens einem Tarnungsprotokoll, 1,9 mit nur einem Verschleierungsschalter, 0,0 ohne beides und 6,2 für die 11 Dienste mit drei oder mehr. Nur 9 von 371 erreichen 5 oder mehr, und 173 liegen bei null. VPNRadarLab wertet nur, was Anbieter veröffentlichen; es führt keine Geschwindigkeits- oder Blockadetests durch.

FAQ

Was ist das sicherste VPN-Protokoll?

WireGuard oder ein richtig konfiguriertes OpenVPN. Die Protokollierungsrichtlinie des Anbieters ist wichtiger als die Chiffre.

Ist ein VPN TCP oder UDP?

Überwiegend UDP: WireGuard, Hysteria2 und TUIC basieren auf UDP, und IKEv2 nutzt ebenfalls UDP. OpenVPN kann über TCP laufen, wenn UDP blockiert ist.

Bedeutet ein eigenes Protokoll mehr Sicherheit?

Die Wertung gibt ihm dieselben 1,5 Punkte wie WireGuard, ohne zu prüfen, wie gut es ist – suchen Sie daher selbst nach einer technischen Beschreibung und Audits.

Kurzantwort

WireGuard für Geschwindigkeit, IKEv2 für integrierte Clients, OpenVPN über TCP 443 für wählerische Netzwerke, VLESS Reality oder Trojan für echte Zensur. Klassische Tunnel dominieren das Ranking; Tarnungstransporte sind selten, und diese Seltenheit erklärt ihre Gewichtung in der Zensurumgehungs-Wertung.