So funktioniert es
Bei einem Leak läuft ein Teil Ihres Verkehrs nicht wie angenommen über Proxy oder VPN, sondern geht direkt über Ihr lokales Netzwerk hinaus – und übergibt der Gegenseite Ihre echte IP. Wenn ein Proxy-Client „verbunden“ anzeigt, heißt das nicht, dass er jede Anfrage kontrolliert.
Bevor Ihr Gerät eine Website erreicht, löst es die Domain in eine IP auf. Umgeht dieser Schritt den Proxy, sieht der Resolver Ihres ISP jede Domain, die Sie besuchen – selbst wenn die anschließende Verbindung verschlüsselt ist und korrekt über den Proxy läuft.
Typische Ursachen sind DNS-Einstellungen auf Systemebene, die Vorrang vor den Proxy-Regeln haben, oder ein Proxy-Client, der DNS von vornherein nie übernommen hat.
WebRTC ist der im Browser eingebaute Peer-to-Peer-Stack, auf dem Videoanrufe und Bildschirmfreigabe laufen. Um eine direkte Verbindung aufzubauen, fragt er einen STUN-Server „Wie lautet meine öffentliche Adresse?“ – und diese Anfrage kann am Proxy vorbeigehen.
Das Ergebnis: Die Seite sieht die IP des Proxys, während WebRTC Ihre echte IP preisgibt. Das ist der klassische Leak – und der am leichtesten übersehene.
Viele Proxys verarbeiten nur IPv4. Hat Ihr Netz auch IPv6 und unterstützt das Ziel es, bevorzugt der Browser unter Umständen eine direkte IPv6-Route – und der Proxy bleibt komplett außen vor.
Das Erkennungszeichen ist einfach: Zeigt diese Seite sowohl eine IPv4- als auch eine IPv6-Adresse an, die zu verschiedenen Netzen gehören, wird Ihr Verkehr auf die beiden Stacks aufgeteilt.
Streng genommen ist das kein Leak, sondern ein Widerspruch. Systemzeitzone, Browsersprache und IP-Standort sollten übereinstimmen. Eine amerikanische IP mit einer Uhr auf UTC+8 ist schon für sich ein starkes Signal – ein Risikosystem braucht Ihre echte IP nicht, nur den Beleg, dass Sie eine verschleiern.
Das bedeutet, dass die von dieser Prüfung abgedeckten Pfade derzeit sauber sind. Erweiterungen, andere Anwendungen und Systemupdates können neue Leak-Pfade einführen – testen Sie daher nach jeder Änderung erneut.
Aktivieren Sie zuerst in Ihrem Proxy-Client „DNS über den Proxy auflösen“ oder eine gleichwertige Option. Geht das nicht, richten Sie das System-DNS auf die Adresse, die der Proxy bereitstellt. Eine Änderung der Einstellung für sicheres DNS im Browser wirkt nur auf diesen einen Prozess.
Abschalten ist nicht empfehlenswert: Ein Chromium-Browser ohne WebRTC ist selbst identifizierbar. Beschränken Sie stattdessen, welchen Weg WebRTC nehmen darf: In Chrome / Edge setzen Sie die Unternehmensrichtlinie WebRtcIPHandling auf disable_non_proxied_udp, in Brave wählen Sie „Disable non-proxied UDP“, und in Firefox aktivieren Sie media.peerconnection.ice.proxy_only_if_behind_proxy in about:config. Am zuverlässigsten ist der TUN-Modus Ihres Proxy-Clients.
Lassen Sie den Proxy auch IPv6 verarbeiten, oder deaktivieren Sie IPv6 in den Netzwerkeinstellungen Ihres Systems. Letzteres ist gründlicher, macht aber reine IPv6-Dienste unerreichbar.