Wie Websites dein VPN erkennen (und wie du deins testest)

Dein VPN sagt, du bist in Frankfurt. Die Seite, die du gerade geöffnet hast, ist nicht überzeugt, und raten musste sie dafür nicht. Irgendwo zwischen deiner neuen IP-Adresse und deinem alten Browser steckt ein Widerspruch, und Widersprüche zu finden ist der ganze Job eines Erkennungssystems. Das Panel auf dieser Seite fährt dieselben Vergleiche in diesem Moment gegen deinen Browser.

Die Verwirrung beginnt bei dem, was ein VPN tatsächlich tut. Es verschlüsselt deinen Traffic und übergibt ihn dem Internet von einer anderen Adresse aus. Das ist alles. Es ändert weder die Uhr in deinem Betriebssystem noch die Sprachen, die dein Browser anfordert, noch die Form deiner TCP-Pakete, noch die Tatsache, dass die neue Adresse einer Firma gehört, die Server vermietet. Eine Seite, die es wissen will, liest genau das aus, und diese Signale stimmen untereinander überein, nur nicht mit der IP.

Deine neue IP kommt mit Etikett

Jede öffentliche IP-Adresse gehört zu einem autonomen System, einem Adressblock, der auf eine Organisation registriert ist, und diese Registrierung ist öffentlich. Dein Heimanschluss kommt aus einem Bereich, der Comcast, Vodafone oder Ziggo gehört. Ein VPN-Exit kommt aus einem Bereich von M247, DataCamp, Leaseweb oder wem auch immer der VPN-Anbieter seine Racks abmietet, und dieselbe Abfrage, die einer Seite dein Land verrät, verrät ihr auch das, in derselben Antwort, als org oder asn. Der Scan auf der Startseite zeigt dir die Zeile; im Panel oben ist es die Zeile „Netzbetreiber“.

An dieser Abfrage ist nichts clever. Consumer-ISPs verteilen Adressen an Menschen; Hosting-Firmen verteilen sie an Maschinen. Eine Adresse aus der zweiten Gruppe, die in einem Shop stöbert, sich bei einer Bank einloggt oder eine Serie streamt, wirkt seltsam, bevor überhaupt irgendetwas anderes geprüft wurde, und Fraud-Engines gewichten sie entsprechend. Es ist dasselbe Signal, das wir in warum du ständig CAPTCHAs bekommst beschrieben haben, weil dieselbe Engine fragt.

Reputationslisten kennen die VPN-Bereiche längst

Über dem ASN sitzt eine zweite Schicht: kommerzielle IP-Reputationsdatenbanken. IPQualityScore, die Privacy-Erkennung von ipinfo, IP2Proxy, Spur und ein Dutzend andere klassifizieren jeden Bereich als Residential, Business, Hosting, Proxy, VPN oder Tor, und schwer zu bauen sind diese Listen nicht. VPN-Anbieter veröffentlichen ihre Serverlisten, damit die eigenen Apps sich verbinden können. Hosting-Bereiche stehen in den Registries. Abuse-Meldungen und schiere Dichte erledigen den Rest: Hinter einer Residential-Adresse steckt eine Handvoll Menschen, hinter einem beliebten VPN-Exit stecken Hunderte gleichzeitig, quer durch alle Zeitzonen, und dieses Muster ist am Traffic allein ablesbar. Die Zeile „IP-Reputationsliste“ im Panel fragt genau so eine Datenbank nach deiner Adresse.

Deshalb sind die großen Streaming-Dienste so gut darin. Sie erkennen nicht deine VPN-App; sie führen eine Liste von Adressen, die sich wie VPN-Exits verhalten, und weisen die ab. Und deshalb funktioniert ein VPN, das heute läuft, nächsten Monat plötzlich nicht mehr: Der Bereich ist auf der Liste gelandet.

Der Browser sagt weiter die Wahrheit

Bis hierhin ging es nur um die Adresse. Der Rest handelt vom Browser, und das ist der Teil, den die meisten VPN-Guides überspringen, weil kein VPN ihn behebt.

Zeitzone. Die Uhr deines Betriebssystems sagt Europe/Amsterdam, und JavaScript liest das mit einem einzigen Aufruf aus, ohne Berechtigungsdialog. Eine deutsche IP mit einer niederländischen Uhr ist ein Widerspruch, den eine Seite in einer Millisekunde prüfen kann, und wir haben einen ganzen Post darüber geschrieben, warum das VPN die Zeitzone nicht reparieren kann.

Sprachen. Jede Anfrage deines Browsers trägt einen Accept-Language-Header, und navigator.languages erzählt Skripten dasselbe. Ein VPN rührt beides nicht an. nl-NL von einer deutschen Adresse ist derselbe Widerspruch in einer anderen Spalte; der Post zum Sprachen-Leak nimmt ihn auseinander, inklusive des Falls, in dem er nur ein schwaches Signal ist, etwa ein rein englischer Browser im Ausland.

WebRTC. Browser dürfen einen STUN-Server fragen, „was ist meine öffentliche Adresse?“, um einen Call aufzubauen, und manche VPN-Setups lassen diese Frage am Tunnel vorbei. Die Antwort ist deine echte Adresse, direkt neben deiner VPN-Adresse auf derselben Seite. Das ist das WebRTC-Leak, und das Panel oben führt den Check aus.

Geolocation und IPv6. Hast du einer Seite jemals Standortzugriff gewährt, kommt die Position des Browsers von GPS oder umliegenden WLANs und zieht nicht mit dem VPN um. Und ein VPN, das nur IPv4 tunnelt, lässt deine IPv6-Adresse, vergeben von deinem heimischen ISP, für jede Seite mit IPv6-Endpunkt erreichbar.

VPN aus VPN an (Exit Frankfurt)

IP-Standort

Frankfurt, DE

vom VPN verschoben

Netzbetreiber

M247 Europe (hosting)

ein Server-Rack, kein Wohnzimmer

Browser-Zeitzone

Europe/Amsterdam

widerspricht der IP

Browser-Sprachen

nl-NL, en

widerspricht der IP

3 Widersprüche

Die IP ist nach Deutschland umgezogen. Das Netzwerk gehört jetzt einer Hosting-Firma, und die Uhr und die Sprachen sagen weiterhin Niederlande. Eine Website muss nicht wissen, was ein VPN ist, um das zu merken.

Nichts davon setzt voraus, zu wissen, was ein VPN ist. Ein Detektor denkt nicht „VPN“; er denkt „die Signale dieses Besuchers widersprechen sich“, und Widerspruch ist das, was in den Score einfließt.

Die Signale, die keine Webseite lesen kann

Zwei weitere Checks passieren unterhalb des Browsers, und sie zählen, weil sie erklären, wie ein sauberer Browser auf einem Residential-Exit trotzdem auffliegen kann.

Der TCP-Fingerprint. Ein VPN-Tunnel verpackt deine Pakete in seine eigenen, also sind die Pakete, die bei der Seite ankommen, etwas kleiner als bei einer normalen Verbindung (die Maximum Segment Size schrumpft um den Overhead des Tunnels), und ihre Time-to-live hat einen Hop extra hinter sich. Passive Fingerprinting-Tools aus der p0f-Familie lesen diese Felder an der Netzwerkkarte des Servers ab, bevor deine erste Anfrage überhaupt beantwortet ist, und „MSS 1360 von einer Adresse, die behauptet, ein Heimrouter zu sein“ ist eine bekannte Silhouette.

DNS. Wenn dein Browser einen Hostnamen auflöst, schickt irgendein Resolver irgendwo diese Anfrage an den DNS-Server der Seite. Gehört dieser Resolver deinem heimischen ISP, während dein Web-Traffic von einem VPN-Exit in einem anderen Land kommt, hat die Seite wieder zwei Adressen von dir. Leak-Tests lassen deinen Browser einen einmaligen Hostnamen auflösen und schauen, welcher Resolver auftaucht; genau so wird die Einstellung „DNS leak protection“ einer VPN-App getestet.

Warum obfuskierte Server hier nicht helfen

VPN-Apps verkaufen „Stealth“- oder „obfuskierte“ Server, und die lösen ein echtes Problem: VPN-Traffic durch ein Netz zu bekommen, das ihn blockiert, indem der Tunnel für die Firewall dazwischen wie gewöhnliches HTTPS aussieht. Das ist ein Kampf mit deinem ISP oder deinem Firmennetz. Die Website am anderen Ende sieht den Tunnel nie. Sie sieht die Exit-Adresse und deinen Browser, beides exakt so lesbar wie vorher. Obfuskierung und Erkennung sind zwei verschiedene Probleme, und das Marketing wirft sie in einen Topf.

Was du konkret tun solltest

1. Führe den Test aus und behebe, was er anstreicht. Das Panel oben auf dieser Seite ist eine faire Annäherung an das, was eine Seite sieht; der komplette Browser-Scan legt die Fingerprint- und Leak-Checks noch daneben. Ein verräterisches Signal, das du selbst findest, ist eines, das du beheben kannst.
2. Bring den Browser dazu, der Adresse zuzustimmen. Passe Zeitzone und Sprache an das Exit-Land an, oder wähle einen Exit im eigenen Land, wenn es dir um Privatsphäre geht und nicht um Geografie. Schalte WebRTC ab oder überlass das der VPN-App. Eine konsistente Geschichte von einer Rechenzentrums-IP erzielt einen besseren Score als eine widersprüchliche.
3. Wenn du wie ein Mensch aussehen musst, nimm die Adresse eines Menschen. Rechenzentrums-Bereiche stehen auf den Listen und bleiben dort; dedizierte oder Residential-IPs sind der einzige Weg von dieser Liste herunter. Ob sich das lohnt, hängt davon ab, was du vorhast.
4. Wenn du mehrere Identitäten betreibst, trenne sie vollständig. Jedes Profil braucht seine eigene Exit-Adresse und einen Browser, dessen Uhr, Sprachen und Fingerprint zu dieser Adresse passen, sonst tauchen die Widersprüche von oben pro Account wieder auf. Genau dafür gibt es Anti-Detect-Browser. Incogniton bindet an jedes Profil einen Proxy und stellt Zeitzone und Sprache passend dazu ein, sodass Browser und Adresse eine Geschichte erzählen statt zwei.

Ein VPN ist nach wie vor das richtige Werkzeug für das, wofür es gebaut wurde: deinen Traffic in Netzen zu verschlüsseln, denen du nicht traust, und deine Adresse zu verlegen. Die IP-Adresse, wohlgemerkt: Deine MAC-Adresse war für Websites nie sichtbar. Gebaut wurde ein VPN nie dafür, einen Browser überzeugend lügen zu lassen, und das meiste an Erkennung hier oben ist schlicht der Browser, der die Wahrheit sagt.