Was ist VPN-Rückverfolgung? Und wie schützen Sie sich vor Tracking?

Einführung: Warum ein VPN kein „Freifahrtschein“ ist

Die typische Annahme lautet: NordVPN / Surfshark / ein selbst gehostetes WireGuard installieren, die Ausgangs-IP wechseln – und „niemand weiß mehr, wer man ist“. Das ist eine Denkweise aus den 2010er-Jahren. Tracking-Technik ist längst über die „IP-Ebene“ hinausgewachsen:

• Zu erkennen, dass „Sie ein VPN nutzen“, ist eine Grundfunktion jeder Risikoprüfung (geprüft wird, ob die IP zur ASN eines VPN-Anbieters gehört – fast alle Rechenzentrumsbereiche kommerzieller VPN-Dienste sind bereits markiert)
• Um „Ihre frühere echte IP“ zu ermitteln, genügt schon die IP-Ebene – WebRTC-, IPv6- oder DNS-Leaks bzw. eine CDN-Umgehung zum Ursprungsserver –, und ein einziger Ausrutscher reicht, damit Sie dauerhaft per Cookie markiert sind
• Um herauszufinden, „welche Person genau Sie sind“, braucht es überhaupt keine IP – dafür genügen Browser-Fingerprinting, Verhaltensmuster und kontoübergreifende Verknüpfungen
• In Extremfällen können Rechtshilfeverfahren (gerichtliche Anordnungen / grenzüberschreitende Ermittlungen) VPN-Anbieter zur Herausgabe von Logs zwingen

Mit anderen Worten: Was Sie verrät, ist keine einzelne Schwachstelle, sondern die Schnittmenge aus N Dimensionen – Sie müssen jede einzelne davon abwehren, dem Tracker genügt dagegen ein Erfolg in irgendeiner. Deshalb ist „vollständige Anonymität“ technisch nahezu unmöglich, eine „deutlich geringere Verknüpfbarkeit“ aber erreichbar – und wie, zeigt dieser Artikel.

① Leaks auf IP-Ebene – Ihre echte IP liegt offen

Der klassischste und häufigste Fall. Ein VPN übernimmt nur den HTTP-/TCP-Verkehr des Browsers, doch die folgenden Kanäle können das VPN komplett umgehen und Ihre öffentliche IP von zu Hause direkt an die Gegenseite weitergeben:

1.1 WebRTC-Leaks

Das in den Browser integrierte WebRTC (für Videoanrufe) ermittelt per STUN-Protokoll aktiv die öffentliche IP, unter der es erscheint, und JavaScript kann diesen Wert direkt auslesen. HTTP-/SOCKS-Proxys leiten nur TCP weiter, STUN läuft jedoch über UDP: Es umgeht den Proxy vollständig, geht direkt über die Netzwerkkarte Ihres Heimnetzes hinaus und legt Ihre echte IP offen.

Schutz: Nutzen Sie ein VPN im TUN-Modus (Mihomo / Clash Premium / WireGuard TUN / Tailscale), das den gesamten TCP- und UDP-Verkehr am virtuellen Netzwerkadapter übernimmt. Verwenden Sie nur einen Browser-Proxy, beschränken Sie WebRTC per Richtlinie, statt es zu entfernen: in Chrome / Edge die Unternehmensrichtlinie WebRtcIPHandling = disable_non_proxied_udp; in Brave „Disable Non-Proxied UDP“ aktivieren; in Firefox about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

Selbst testen: Mit unserem Leak-Test unter /leak prüfen Sie, ob die per WebRTC-STUN ermittelte öffentliche IP mit Ihrem HTTP-Ausgang übereinstimmt.

1.2 IPv6-Dual-Stack-Leaks

Ihr VPN tunnelt nur IPv4, Ihr Breitbandanschluss hat aber auch IPv6 – der Browser bevorzugt dann IPv6 und umgeht das VPN vollständig. Bei Breitbandkunden von China Telecom ist das eine äußerst häufige Schwachstelle.

Schutz: Nutzen Sie entweder ein VPN, das IPv4 und IPv6 gleichermaßen tunnelt, oder deaktivieren Sie IPv6 auf System- bzw. Browserebene. Unter Windows geht das über die Registry, unter macOS mit networksetup.

1.3 DNS-Leaks (eigener Abschnitt, siehe ② DNS-Ebene)

1.4 CDN-Umgehung zum Ursprungsserver

Nutzt eine Website ein CDN wie Cloudflare, verbinden Sie sich eigentlich mit der IP eines CDN-Edge-Knotens – gelangt ein Angreifer jedoch an die echte IP des Ursprungsservers, kann er das CDN umgehen und direkt darauf zugreifen. Umgekehrt gilt das auch für Tracker: Liegt der CDN-Knoten, den Sie erreichen, in China, wird aber ein statisches Asset derselben Sitzung direkt vom Ursprungsserver geladen (ohne CDN), landet Ihre echte IP in dessen Zugriffslogs.

Schutz: Dieser Randfall hängt vor allem davon ab, wie streng die Zielwebsite selbst konfiguriert ist – auf Nutzerseite lässt sich nur wenig tun.

② Leaks auf DNS-Ebene – welche Domains Sie abfragen, verrät Ihre Identität

Ihr IP-Verkehr läuft über das VPN, DNS-Abfragen gehen aber möglicherweise weiterhin über Ihren lokalen ISP. Dabei gibt es zwei Arten von Leaks:

2.1 Resolver-Land stimmt nicht überein

Ihr VPN-Ausgang liegt in den Niederlanden, doch bei DNS-Abfragen nutzt der Stub-Resolver Ihres Systems den DNS-Server, den Ihr Breitbandanbieter zu Hause vorgibt (China Telecom). Erhält der autoritative Nameserver die Anfrage, sieht er eine Quell-IP von China Telecom – und verrät so Ihren echten Standort an die Betreiber jeder Domain, die Sie aufrufen.

2.2 ECS-Subnetz-Leaks

Öffentliche rekursive Resolver (bei 8.8.8.8 von Google ist EDNS Client Subnet standardmäßig aktiv) leiten Ihr echtes /24-Subnetz an den autoritativen Zielserver weiter – für „standortbasiertes CDN-Routing“. Damit ist Ihr Subnetz in diesem Moment jedoch gegenüber der entfernten autoritativen Instanz offengelegt: genauer als die Ausgangs-IP des Resolvers, bis hin zum Subnetz Ihrer eigenen Wohngegend.

Schutz:

• Legen Sie in Ihrem VPN-Client einen eigenen DNS-Server fest – nutzen Sie den DNS-Server des VPN-Anbieters (NordVPN / Mullvad / ProtonVPN bieten alle einen an)
• Lassen Sie keine DNS-Abfragen außerhalb des Tunnels durchsickern – der Resolver sähe dann Ihre echte IP, die nicht zu Ihrem Web-Verkehr passt, und Sie wären sofort enttarnt. Beachten Sie: 1.1.1.1 / 8.8.8.8 sind Anycast-Adressen. Solange die Abfrage durch den Tunnel geht, landet sie in der Nähe Ihres VPN-Ausgangs und verrät nichts. Das eigentliche Problem entsteht, wenn das System den Tunnel umgeht und sie direkt erreicht
• Wenn Sie doch einen öffentlichen rekursiven Resolver wählen, achten Sie zumindest darauf, dass er im selben Land wie Ihr VPN-Ausgang steht
• Nutzen Sie DoH (DNS-over-HTTPS), um DNS-Abfragen zwingend zu verschlüsseln und eine Man-in-the-Middle-Überwachung durch den ISP zu verhindern

Selbst testen: Unser DNS-Leak-Test unter /leak betreibt einen eigenen autoritativen Nameserver und routet die Abfragen Ihres Browsers tatsächlich an unseren Server – so sehen Sie Resolver-IP und ECS-Subnetz. Die vollständige Funktionsweise erklärt der Leitfaden zu öffentlichen DNS-Resolvern.

③ TLS-Fingerprinting (ja3 / ja4) – wer ist Ihr Client?

Beim HTTPS-Handshake sendet der Client ein Paket namens ClientHello an den Server, in dem er die unterstützten TLS-Versionen, Cipher-Suites, Erweiterungen, elliptischen Kurven und mehr auflistet. Reihenfolge und Inhalt dieser Felder unterscheiden sich von Client zu Client (Chrome 124 vs. Firefox 123 vs. curl vs. Python requests), und der daraus kombinierte Fingerprint ist branchenweit als ja3 / ja4 bekannt.

Websites können den ja3- / ja4-Fingerprint jedes Besuchers speichern und mit dem User-Agent abgleichen: Gibt sich Ihr UA als Chrome 124 aus, passt Ihr ja3-Fingerprint aber zu Python requests, handelt es sich um Bot- oder Skript-Verkehr. Das ist auch eines der zentralen Signale von Anti-Bot-Diensten wie Cloudflare und Akamai.

Schutz:

• Einen echten, gängigen Browser verwenden (Chrome / Firefox / Edge) – Selenium / Puppeteer nicht ungetarnt einsetzen, ihre ja3-Fingerprints sind äußerst markant
• Für Automatisierung undetected-chromedriver / Playwright + curl-impersonate verwenden
• Keine „Anti-Fingerprint“-Browsererweiterungen installieren – sie machen Ihren ja3 sogar markanter als den eines normalen Chrome und kennzeichnen Sie praktisch als jemanden, der Anti-Tracking-Tools nutzt

④ HTTP- / Browser-Fingerprinting – Canvas / WebGL / Schriftarten / Zeitzone

Auf Anwendungsebene offengelegte Fingerprints sind vielfältiger – und schwerer abzuwehren:

Die größte Falle: Passen Zeitzone / Sprache / Schriftarten nicht zum Land Ihres VPN-Ausgangs, ist das ein extrem starkes Signal für „VPN in Benutzung“. Ihr VPN führt in die USA, doch die Zeitzone des Browsers ist weiterhin Asia/Shanghai und die Sprache zh-CN – das fällt sofort auf.

Schutz:

• „Unauffällig wirken“– installieren Sie keine Anti-Fingerprint-Erweiterungen im Browser, denn gerade das ist auffällig. Der ganz normale Chrome-Fingerprint eines gewöhnlichen Nutzers ist die beste Tarnung.
• Trennen Sie die Einsatzzwecke: Ihren Hauptbrowser für die echte Identität, ein separates Browserprofil / eine VM / Tails / Whonix für datenschutzsensible Aktivitäten
• Stimmen Sie VPN-Ausgangsland, Systemzeitzone und Browsersprache aufeinander ab – zumindest darf nicht das eindeutige Signal „Ich bin ein Nutzer aus China, der über ein US-VPN surft“ durchsickern
• Der Tor Browser wurde genau dafür entwickelt – alle Nutzer sehen identisch aus, allerdings auf Kosten der Leistung

Selbst testen: Nutzen Sie unseren Browser-Fingerprint-Check unter /fingerprint und sehen Sie, wie einzigartig Ihre 14 Fingerprint-Dimensionen sind.

⑤ Fingerprinting auf TCP/IP-Ebene – Initial Window / TTL / MTU

Noch bevor die Anwendungsschicht ins Spiel kommt, gibt es bereits auf Netzwerkebene Fingerprints. Jedes Betriebssystem implementiert seinen TCP/IP-Stack leicht unterschiedlich:

• Initial TTL: Windows standardmäßig 128, Linux 64, macOS 64, iOS 64
• TCP Initial Window Size: Windows 64KB, Linux 14600, macOS 65535
• Reihenfolge der TCP-Optionen: Verschiedene Betriebssysteme senden die Optionen MSS / SACK / Timestamp in unterschiedlicher Reihenfolge
• MTU: normaler Breitbandanschluss 1500, PPPoE 1492, VPN-Tunnel meist 1380-1450

Das Tool p0f (passives OS-Fingerprinting) nutzt genau diese Felder und erkennt das Betriebssystem des Peers, ohne ein einziges Prüfpaket zu senden. Websites können diese Informationen sammeln und mit dem von Ihnen angegebenen UA vergleichen: Meldet Ihr UA Mac Safari, liegt die TTL aber bei 128 und entspricht das Initial Window den Windows-Werten, dann nutzen Sie in Wirklichkeit Windows mit einem gefälschten Mac-UA.

Auch die MTU kann verraten, dass Sie ein VPN nutzen: Da VPN-Tunnel meist eine MTU unter 1500 haben, unterscheidet sich der Traffic deutlich von einem nativen Breitbandanschluss.

Schutz:

• Ein VPN im TUN-Modus nutzen: Der Stack des VPN-Servers übernimmt, sodass der TCP/IP-Fingerprint, den Websites sehen, zum VPN-Server gehört – nicht zu Ihrem Client
• OpenVPN / WireGuard arbeiten standardmäßig im TUN-Modus, HTTP-/SOCKS-Proxys nicht – das ist der entscheidende Unterschied
• Erzwingen Sie keine Tunnel-MTU von 1500, nur um „weniger nach VPN auszusehen“: Die Tunnelkapselung selbst belegt einige Dutzend Bytes, und ein zu hoher Wert führt zu Fragmentierung oder einem PMTUD-Black-Hole (große Pakete hängen, Seiten laden nur zur Hälfte). Behalten Sie den Standardwert Ihres Clients bei (WireGuard 1420, OpenVPN automatisch)

⑥ Verhaltensanalyse – Zugriffszeiten + Eingabegewohnheiten

Diese Dimension ist am schwersten abzuwehren, weil sie auf keinerlei technischen Fingerprint angewiesen ist, sondern vollständig auf maschinelles Lernen setzt:

• Verteilung der Zugriffszeiten: Sind Ihre täglichen Online-Zeiten über mehrere Konten hinweg gleich, handelt es sich um dieselbe Person
• Mausbewegung / Scrollgeschwindigkeit / Tipprhythmus: bei jedem Menschen einzigartig und von Banken / Betrugsabwehrsystemen erfasst
• Sitzungsdauer / Navigationsmuster: Ihre Surfgewohnheiten sind einzigartig
• Merkmale der Texteingabe: Ihre Tippfehlerquote, Ihre Wortwahl und Ihre Grammatik

Schutz:

• Trennen Sie die Nutzungszeiten der einzelnen Konten strikt – melden Sie sich nicht gleichzeitig bei „Konto A + Konto B“ an, sondern mit mehreren Stunden Abstand
• Wenn Sie wirklich Anonymität brauchen, wechseln Sie das Gerät (vom Laptop zum Smartphone / Tablet)
• Vollständig abwehren lässt sich das nicht, aber Sie können die Verknüpfung deutlich erschweren

⑦ Logs des VPN-Anbieters + Gerichtsbarkeit

Bei VPN-Diensten ist das die Erbsünde. Sie vertrauen darauf, dass der VPN-Anbieter keine Logs speichert, doch in der Praxis gilt:

• Kommerzielle VPN-Anbieter können übernommen werden (Avast wurde von NortonLifeLock übernommen → die Datenschutzrichtlinie hat sich geändert)
• Ein Anbieter kann heimlich Logs sammeln (2017 übergab PureVPN Nutzerlogs an das FBI, obwohl der Dienst sich zuvor als „No-Log“ bezeichnet hatte)
• Gerichtliche Anordnungen können die Mitwirkung erzwingen – die USA / das Vereinigte Königreich / Kanada / Australien / Neuseeland (Five Eyes) kooperieren bei grenzüberschreitenden Ermittlungen
• Nine Eyes = Five Eyes + Dänemark / Frankreich / Niederlande / Norwegen
• Fourteen Eyes = Nine Eyes + Deutschland / Belgien / Italien / Spanien / Schweden

Auswahlkriterien:

Ein selbst gehostetes VPN gibt Ihnen mehr Kontrolle – doch VPS-Anbieter (Vultr / Hetzner / DigitalOcean) führen eigene Logs und kooperieren unter Umständen ebenfalls mit Ermittlern. Echte Anonymität erfordert einen mit Bargeld / Kryptowährung bezahlten VPS, registriert unter falscher Identität, was einen erheblichen technischen Aufwand bedeutet.

⑧ Kontoverknüpfung – mehrere Konten mit denselben Cookies / Fingerprints

Nach der Anmeldung bei Konto A speichert der Browser Cookies / localStorage / Cache. Wechseln Sie im selben Browser zu Konto B, erkennt die Website sofort, dass Sie dieselbe Person sind.

• Gleicher Fingerprint + Anmeldung bei mehreren Konten in kurzer Zeit = kontoübergreifende Verknüpfung
• Websiteübergreifendes Tracking per Cookies (moderne Browser schränken das allerdings zunehmend ein)
• Tracking-Skripte von Drittanbietern (Google Analytics / Facebook Pixel), die Aktivitäten über mehrere Websites hinweg verknüpfen

Schutz:

• Die Firefox-Erweiterung Multi-Account Containers – jedes Konto erhält eigene, isolierte Cookies und eigenen Speicher
• Mehrere Profile in Chrome (Avatar oben rechts → Person hinzufügen)
• Extremlösung: Betreiben Sie die Konten in jeweils eigenen virtuellen Maschinen, jede VM mit einem anderen VPN-Ausgang

Übersicht der Schutzmaßnahmen

Praxistipp: Wie anonym müssen Sie wirklich sein?

Bevor Sie entscheiden, wie weit Ihre Abwehr gehen muss, klären Sie zuerst, wer Sie überhaupt verfolgt:

• Werbetreibende + Datenhändler (geringe Intensität): uBlock Origin + Drittanbieter-Cookies ablehnen + ein normales VPN decken die allermeisten Alltagsszenarien ab
• Risikokontrolle zur Betrugsabwehr (mittlere Intensität): alles oben Genannte + konsistentes VPN-DNS + passende Zeitzone/Sprache + getrennte Browserprofile
• Konkurrenten / Web-Scraper (mittlere bis hohe Intensität): alles oben Genannte + TUN-Modus + ein echter Browser (ohne Selenium-Spuren) + Bereinigung verbliebener Cookies
• Behörden / grenzüberschreitende Ermittlungen (extreme Intensität): Alles oben Genannte ist nur die Grundlage. Sie brauchen Tor / Whonix / Tails / einen bar bezahlten VPS + XMR + vollständig isolierte Geräte

Die meisten Menschen brauchen nur Stufe 1-2; ab Stufe 3 beginnt das Terrain für Spezialisten. Belasten Sie Ihren Alltag nicht mit Anonymität, die Sie gar nicht brauchen.