Was sieht mein Internetanbieter, wenn das VPN an ist? Was verborgen bleibt und was nicht (2026)

Kurz gesagt: Was im VPN läuft, kann dein Internetanbieter nicht lesen. Er sieht aber, dass es ein VPN gibt, mit welcher Adresse es verbunden ist, wann es an war und wie viel darüber lief. Dasselbe gilt für den Mobilfunkanbieter und für den Betreiber des WLANs im Café. Ein VPN verkleinert deutlich, was über dich sichtbar ist, aber es macht es nicht zu null – und fast alle Missverständnisse stecken in diesem Unterschied.

Was ohne VPN sichtbar ist

Ohne Tunnel steht dein Anbieter auf dem Weg jedes Pakets. Er sieht die Adresse jedes Servers mit Uhrzeit, die DNS-Anfragen, wenn sein eigener Resolver die Namen auflöst, und den Namen der Seite am Anfang fast jeder HTTPS-Verbindung (das Feld SNI) – auch dann, wenn DNS verschlüsselt ist. Encrypted Client Hello ändert das, ist aber noch längst nicht überall angekommen. Unterseiten, Formulare und Nachrichten auf HTTPS-Seiten sieht er nicht.

Was trotz VPN sichtbar bleibt: Server, Zeit, Menge

Mit VPN gehen alle Pakete an einen einzigen Server. Aus der langen Liste von Adressen wird ein Datenstrom. Die Adresse dieses Servers bleibt aber sichtbar, und sie verrät etwas: Rechenzentrumsnetze sehen anders aus als Anschlüsse von Privatkunden. Eine lange Verbindung vom Heimanschluss zu einer einzigen Maschine im Rechenzentrum ist für sich schon ein erkennbares Muster.

Verschlüsselung schützt den Inhalt, nicht den Umschlag. Der Anbieter sieht weiterhin, wann die Verbindung beginnt und endet, wie viele Bytes in welche Richtung gehen und in welchen Schüben. Ein gleichmäßiger Strom in beide Richtungen über eine halbe Stunde sieht aus wie ein Anruf, mehrere Gigabyte in eine Richtung wie ein Download. Welche Seite du geöffnet hast, verrät das nicht, deinen Tagesablauf schon. Die ehrliche Formel lautet: Ein VPN verbirgt, was durch es läuft, nicht dass du es nutzt.

Der Handschlag des Tunnels selbst

Die Handschläge der Seiten, die du öffnest, laufen im Tunnel. Der Handschlag des Tunnels selbst liegt aber außen, und was darin zu sehen ist, hängt vom Protokoll ab:

• VLESS Reality richtet den Handschlag auf eine echte fremde Website und trägt deren Namen. Eine eigene Domain, die man protokollieren könnte, gibt es nicht. Die Schwachstelle liegt woanders: Die Verbindung geht an eine Adresse, zu der dieser Name nicht gehört, und das lässt sich vergleichen.
• Hysteria2 und andere QUIC-Protokolle: Das erste QUIC-Paket ist mit Schlüsseln geschützt, die aus einem in RFC 9001 veröffentlichten Wert abgeleitet werden. Jeder auf dem Weg kann es entschlüsseln und den Namen lesen. QUIC allein versteckt den Namen nicht.
• VLESS oder Trojan über normales TLS mit eigener Domain: Die Domain steht im Klartext im Handschlag – ein dauerhaftes Etikett deines Datenverkehrs.
• WireGuard hat kein TLS und daher keinen Namen. Unsichtbar ist es trotzdem nicht: Der Handschlag besteht aus Nachrichten von 148 und 92 Byte mit festem erstem Byte, und eine einfache Regel nach Länge erkennt sie.

Wo Daten am Tunnel vorbeigehen

• DNS außerhalb des Tunnels. Übernimmt der Client die Namensauflösung nicht, gehen die Anfragen an den Resolver des Anbieters – und das ist fast die ganze Liste der Seiten, die das VPN verbergen sollte.
• IPv6. Führt der Tunnel nur IPv4, während dein Anschluss IPv6 hat, erreichst du Seiten mit IPv6 direkt. In Deutschland ist das bei vielen Glasfaser- und Kabelanschlüssen der Normalfall; mehr dazu in DS-Lite und CGNAT erklärt und wie das IPv6-Präfix dich wiedererkennbar macht.
• Ausnahmen. Seiten und Apps, die du am VPN vorbeigeschickt hast, sieht der Anbieter wie ohne VPN.
• Einschalten und Neuverbinden. Solange der Tunnel noch aufgebaut wird – beim Einschalten und nach jedem Netzwechsel –, nimmt der Verkehr den normalen Weg. Ohne Sperre bei Abbruch sind diese Sekunden sichtbar.

Wie unsere App damit umgeht

• Wo du bist. Unter „Where are you?“ gibt es zwei Modi. „I am abroad“: Der ganze Internetverkehr geht durch uns, russische Seiten eingeschlossen. „I am in Russia“: Russische Seiten öffnen sich direkt, und dein Anbieter sieht sie wie ohne VPN. Außerhalb Russlands ist „I am abroad“ die richtige Wahl. Die App gibt es bisher auf Englisch und Russisch.
• DNS auf iPhone und iPad. Namen löst Cloudflare per DNS-over-HTTPS über den VPN-Server auf. Namen von Seiten, die sich direkt öffnen, löst der öffentliche DNS von Yandex außerhalb des VPN auf.
• DNS am Computer. Namen lösen Cloudflare und Google auf, die Anfragen gehen über den VPN-Server; IPv6 schickt die App zusammen mit IPv4 in den Tunnel.
• Die Serveradresse fragt die App vor dem Verbinden über das DNS deines Netzes ab – anders gäbe es nichts, womit sie sich verbinden könnte. Diese eine Anfrage sieht dein Anbieter.
• Abbruch. Auf iPhone und iPad gibt es den Schalter „Block the internet if the VPN drops“: Solange das VPN an ist, geht nichts daran vorbei.

Der Beobachter verschwindet nicht, er zieht um

Alles, was dein Anbieter nicht mehr sieht, sieht jemand anderes: Dein Verkehr geht vom VPN-Server ins Internet, und dessen Betreiber steht jetzt an der Stelle, an der vorher der Anbieter stand. Die Frage „Was sieht mein Provider?“ gehört deshalb immer zusammen mit der Frage „Was sieht der VPN-Dienst?“.

Was dein Anbieter aufbewahren muss, regelt das Gesetz. In der EU hat der Europäische Gerichtshof die anlasslose Vorratsdatenspeicherung mehrfach gekippt, zuletzt für das deutsche Gesetz im Jahr 2022; ob und wie lange IP-Adressen gespeichert werden müssen, wird in Deutschland seit Jahren politisch verhandelt. Maßgeblich ist der aktuelle Stand des Gesetzes, nicht ein Artikel von gestern.

So prüfst du deine Verbindung

1. 1Schalte das VPN ein und öffne unseren Leak-Test: Er zeigt, welche Adresse und welches Land Websites sehen, ein WebRTC-Leck und die Zeitzone. DNS prüft er bisher nicht.
2. 2Prüfe IPv6 am Computer mit curl -6 https://ifconfig.co. Steht deine Heimadresse in der Antwort, geht IPv6 am Tunnel vorbei; ein Verbindungsfehler heißt, dass es gar kein IPv6 gibt – auch das ist in Ordnung.
3. 3Prüfe das Neuverbinden: WLAN aus- und wieder einschalten und sofort den Test öffnen. Genau in diesen Sekunden zeigt sich, ob eine Sperre bei Abbruch greift.
4. 4Wiederhole die Prüfung nach einem Wechsel des Clients, einem Systemupdate oder einem neuen Anschluss – nicht jede Woche.

Häufige Fragen