Hysteria 2 ist kein VPN-Anbieter – es ist eine kostenlose, unter MIT-Lizenz stehende Proxy-Software, die du auf deinem eigenen Server bereitstellst, und dieses Dossier behandelt es entsprechend: Es gibt kein Unternehmen, kein Abonnement, keinen Support und keine Audit-Spur, nur Code und eine Protokollspezifikation. Aufbauend auf QUIC/HTTP3 mit einer benutzerdefinierten „Brutal“-Staukontrolle, die auch bei starkem Paketverlust eine feste, vom Nutzer vorgegebene Rate beibehält, ist es zu einem der am häufigsten verwendeten Zensurumgehungsprotokolle für China, den Iran und Russland geworden, mit 22,8k Sternen auf GitHub und erstklassiger Unterstützung in sing-box, Surge und einer langen Liste weiterer Drittanbieter-Apps. Die Zensurresistenz wirkt auf dem Papier stark: Der Server tarnt sich als gewöhnliche HTTP/3-Website und beantwortet sogar nicht authentifizierte Anfragen wie eine solche, was laut der Kompatibilitätstabelle von sing-box als resistent gegen aktive Anfragen eingestuft wird. Doch die Gegenmaßnahme ist dokumentiert und zielt auf den Transport, nicht auf das Protokoll ab: Russlands TSPU blockiert seit 2022 massenhaft QUIC-Verkehr und filtert mittlerweile nach SNI, die GFW begann ab dem 7. April 2024 im großen Stil, QUIC-Initial-Pakete zu entschlüsseln (laut dem USENIX Security 2025-Paper, das feststellt, dass sogar die Projekt-Domain von Hysteria auf der QUIC-Blockliste steht), und iranische ISPs blockierten bereits 2022 „unbekannte“ UDP-Protokolle. Brutal ist auch ethisch umstritten: Es ignoriert bewusst Stausignale und sendet unter Paketverlust schneller, was ein konkurrierender Entwickler (Xray-core) als Risiko bewertet, dass dein VPS oder dein ISP deinen Datenverkehr einschränkt. Wenn du einen Server betreiben kannst und dein Netzwerk UDP in Ruhe lässt, ist es vermutlich das schnellste ehrliche Tool in dieser Kategorie; falls UDP an deinem Standort eingeschränkt wird, versagt es wie jeder andere QUIC-Proxy.
Open Source4 rote FlaggenFakten verified - operator site (hysteria.network home, protocol spec, 3rd-party apps, changelog), GitHub repos (apernet/hysteria, apernet/tcp-brutal) and developer profile, sing-box + Surge third-party protocol docs, gfw.report USENIX Security 2025 paper page, net4people/bbs issues #181 and #425, HN Algolia thread index + full comment tree, and r/VPN archive all fetched live 2026-11-03. Note: arctic-shift Reddit search was rate-limited (422/429 'Too many requests') on repeat queries during this session; the one successful body=hysteria query returned 200 and its comments are cited below.
Security-fix history is real, not marketing: v2.8.2 fixed a server OOM crash from crafted QUIC packets when sniffing was enabled; v2.9.2 (labeled 'important security fixes... strongly encourage everyone to upgrade') fixed UDP packets bypassing ACL, an ACL bypass via trailing dots in domains, and another server OOM via incomplete/oversized HTTP requests - fixed quickly, but self-hosters who skip upgrades wear the risk alone
The GFW blocks Hysteria's own project domain: the USENIX Security 2025 QUIC-SNI paper notes 'Hysteria faces a situation where not only its main project domain v2.hysteria.network is blocked, but users' custom [server domains too]' - the project homepage being on a censorship blocklist is itself telling about how the tool is classified
Brutal's loss-compensation mechanism is documented in Hysteria's own config docs as sending faster than the set rate under loss; deployed at scale on rented VPS space it is the behavior most likely to trigger provider abuse controls (Xray-core developer's warning on net4people #425)
+1 weitere rote Flaggen - vor der Anmeldung aufklappen
No audit exists (as of 2026-11-03) - trust rests entirely on open code and community scrutiny
Review
Entwurf von Qwen3, faktengeprüft von der vpnvergleich-Redaktion · Review-Version 2 · Text aktualisiert 2026-11-03 · Fakten Stand 2026-11-03 · wie wir verifizieren
Ehrlichkeits-Hinweis: wir haben keine eigenen Tests zu Hysteria2 (QUIC/UDP-based censorship-resistant proxy) gelaufen (Leak-Tests, Tempo, Kill Switch). Alles auf dieser Seite ist quellbasierte Meta-Recherche mit datierten Links. Sobald wir testen, erscheinen die Ergebnisse hier und im Änderungsprotokoll.
Overview
Hysteria2 (QUIC/UDP-based censorship-resistant proxy) homepage - live capture 2026-09-29
Hysteria2 is not a VPN provider but a free, open-source, self-hosted proxy tool built on QUIC/HTTP3 for users in censored regions. It’s maintained by a volunteer community led by an anonymous developer ("Toby") under the MIT license. You run it on your own VPS - there’s no central service, no subscription, and no support. The real cost is your hosting bill, not a software fee.
Logging & privacy
There is no central logging claim because there is no operator - logging depends entirely on how you configure your own server. The software is open source (MIT), so server behavior is auditable, but no third-party security audit of the codebase exists as of 2026. The protocol mimics standard HTTP/3 traffic to unauthenticated clients, reducing detection risk. Jurisdiction is irrelevant: no legal entity exists, and the lead developer uses a fictional location (40 Eridani) on GitHub.
Pricing & the renewal trap
Hysteria2 itself is free - no intro or renewal pricing applies. The real cost is your VPS, typically $4-6/month. The derived renewal ratio is 1 (same monthly cost), and the three-year cash total is not applicable - money goes to your hosting provider, not Hysteria. No refunds, contracts, or billing cycles exist. You can pay for VPS anonymously using crypto, but Hysteria collects nothing.
Hysteria2 uses QUIC with obfuscation (Salamander, Gecko, Chrome fingerprinting), port hopping, and ECH to resist detection. It supports SOCKS5, HTTP, TProxy, and TUN modes across Windows, Mac, Linux, Android, iOS (via Surge), and routers. No multihop, kill switch, or split tunneling is built in. P2P is supported; streaming is not a design goal. Performance relies on its "Brutal" congestion control, which maintains fixed speeds under loss - but risks triggering VPS abuse limits.
Ownership & track record
Hysteria is community-driven, led by anonymous developer Toby (GitHub: tobyxdd). No corporate owner exists. Security fixes are prompt - v2.8.2 and v2.9.2 patched OOM crashes and ACL bypasses - but self-hosters bear full responsibility for updates. The GFW blocks its domain (v2.hysteria.network), and Russian and Iranian networks actively target QUIC. No audit exists, so trust rests on code transparency and community scrutiny.
Censorship resistance
Hysteria2 is designed for high-censorship environments like China, Iran, and Russia, using HTTP/3 masquerading, Salamander obfuscation, and port hopping. It resists passive detection and active probes per sing-box’s compatibility table. However, the GFW now decrypts QUIC Initial packets (since April 2024), and Russia blocks QUIC wholesale. If your network blocks UDP/QUIC, Hysteria2 will fail - despite its strong design, it’s not magic.
Verdict
Hysteria2 is a top-tier censorship-circumvention tool for technical users who can self-host on a VPS and accept full responsibility for setup, updates, and risk. It’s fast, stealthy, and widely trusted - but fails where UDP/QUIC is blocked. No affiliate trail exists: Hysteria pays no review sites, and no one profits from its promotion.
++ Was hält stand
Genuin kostenlos und quelloffen (MIT, Spezifikation in PROTOCOL.md veröffentlicht) – die einzigen Kosten sind dein eigener VPS, etwa 5 USD/Monat
Entwickelt für genau die Netzwerke, in denen WireGuard/OpenVPN versagen: Brutale Congestion Control hält die Zielgeschwindigkeit auf verlustreichen, hochlatenzbehafteten Verbindungen aufrecht (die sing-box-Dokumentation bezeichnet Brutal als 'den entscheidenden Vorteil')
HTTP/3-Masquerading mit Reverse-Proxy-Modus: Unauthentifizierte Besucher sehen einen funktionierenden Webserver – in der eigenen Protokollvergleichstabelle von sing-box als resistent gegen aktive Erkundungsversuche eingestuft
Umfangreiches Ökosystem: Unterstützt von sing-box, Surge (iOS/Mac) und Dutzenden weiteren Drittanbieter-Clients, die in den offiziellen Dokumenten aufgelistet sind; Plattformübergreifende Builds überall verfügbar
Dokumentierte, disziplinierte Entwicklung: Das Änderungsprotokoll zeigt schnelle Sicherheitskorrekturen (Server-OOB-Fix in 2.8.2, ACL-Umgehungs-Fixes in 2.9.2) und kontinuierliche Einführung von zensurumgehenden Funktionen (ECH, Chrome-Parroting, Port-Hopping, Realms NAT-Traversierung)
Der Entwickler tauscht sich öffentlich mit Zensurforschern auf net4people/bbs aus und implementierte Gegenmaßnahmen (obfs off, alpn h3, faketcp) als Reaktion auf gemessene Blockierungen
-- Worauf du achten solltest
UDP ist die Achillesferse: QUIC-basierte Proxys sind das dokumentierte Ziel von Russlands QUIC-Blockade (ab 2022), Chinas QUIC-SNI-Zensur (April 2024, USENIX Security 2025) und Irans Blockade von 'unbekannten' UDP-Protokollen (2022)
Du bist der Betreiber: Jedes Protokoll, jedes Problem mit der IP-Reputation und jede rechtliche Haftung des Servers liegen bei dir; verschmutzte VPS-IP-Bereiche sind eine Hauptursache für Verbindungsfehler (net4people Iran-Thread)
Die brutale Congestion Control verhält sich bewusst unangemessen – sie reduziert die Übertragungsrate bei Paketverlust nicht, sondern kompensiert, indem sie schneller sendet, was gemeinsam genutzte Verbindungen überlasten und, laut Xray-core-Entwickler, VPS-/ISP-Einschränkungen provozieren kann
Das offizielle Installations-Skript (bash <(curl -fsSL https://get.hy2.sh/)) erntete Kritik auf HN wegen des curl-in-root-Patterns; sicherheitsbewusste Nutzer binden es an einen Commit-Hash oder bauen es aus dem Quellcode
Kein Unternehmen, kein Support, keine Drittanbieter-Audits, kein Kill-Switch oder Verbraucher-App-Features – alles jenseits des Protokolls hängt von Drittanbieter-Clients ab
Das 'benutzerdefinierte QUIC' ist näher am Standard, als die README suggeriert (RFC 9000 + RFC 9221), doch HN-Rezensenten bemängeln weiterhin das Vertrauensproblem bei einem Projekt, das von der chinesischen Diaspora stammt und über gepipelte Shell-Skripte installiert wird
Preis-Realitätscheck
Einführungspreis
ca. 4,40 € /mo · Verlängerung ca. 4,40 €/Mon.
Verlängerungspreis
ca. 4,40 €/Mon.
Hinweise
Es existiert kein Anbieterpreis: Die Software ist kostenlos und MIT-lizenziert. Die echten Kosten bestehen darin, einen eigenen VPS zur Serverausführung zu mieten (Einstiegsstufen bei großen Anbietern kosten etwa 4–6 USD/Monat) sowie optional einen Domainnamen für automatische ACME-TLS-Zertifikate. Community-Beiträge beschreiben das Modell klar: „Du kannst einen VPS kaufen und eines dieser Protokolle selbst bereitstellen“ (HN).
Der Geldfluss - was Testportale mit dieser Empfehlung verdienen
Affiliate-Status noch nicht verifiziert
Sollten wir dieses Programm joinen, wird jeder Link hier rel="nofollow sponsored" und läuft über /go/. Bis dahin zeigen unsere Links direkt auf die Anbieter-Website, ohne jegliches Tracking. Die Ranking-Logik kann Affiliate-Felder physisch nicht lesen - hier der Beweis.
On the website
Captured by our screenshot bot from the live site (or its public archive). A capture is evidence of what the page showed at capture time - not an endorsement.
Hysteria2 (QUIC/UDP-based censorship-resistant proxy) homepage - live capture 2026-09-29Hysteria2 (QUIC/UDP-based censorship-resistant proxy) apps / download page - live capture 2026-09-29
Bevor du zahlst: prüfe den Verlängerungspreis, das Erstattungsfenster und ob ein günstigerer oder Gratis-Weg deinen Anwendungsfall abdeckt - die ehrliche Checkliste.
Ist Hysteria2 (QUIC/UDP-based censorship-resistant proxy) seriös?
Stand unserer Prüfungen: 2026-11-03. Hysteria2 (QUIC/UDP-based censorship-resistant proxy) erreicht 4.3/10 in unserem gewichteten Review. Wir haben 4 rote Flaggen vermerkt (oben aufgelistet). Nutzerberichte, Eigentum und die Vorfallhistorie sind mit datierten Quellen im Meta-Review unten dokumentiert.
What do I actually get for the price?
You get free, open-source software - no account, no fee. You must rent your own VPS (~$5/month) and configure the server yourself using the official install script and config.
What is the renewal price and total cost over three years?
There is no renewal price - Hysteria2 is free. The derived renewal monthly equivalent is $5, reflecting typical VPS costs. The three-year cash total is not applicable - costs depend on your hosting provider.
What evidence supports the no-logs claim?
There is no vendor to log - logging is whatever your server config allows. The code is open (MIT), but no third-party audit exists. Trust comes from transparency, not certification.
Does it work in heavily censored countries like China or Iran?
It can, but with caveats: the GFW now decrypts QUIC, and Iran/Russia block UDP/QUIC. Success depends on your server’s location, domain, and whether your network allows QUIC traffic.
Can I pay anonymously?
Yes - Hysteria2 requires no payment. Your VPS provider may accept crypto, and no KYC is needed to use the software. Your anonymity depends on your hosting choice.
What happens if the project shuts down?
Nothing - since it’s self-hosted and open source, your instance keeps running. Development continues on GitHub (22.8k stars), and the protocol is embedded in clients like sing-box and Surge.
What’s the honest free or cheap alternative?
Shadowsocks or Trojan for TCP-based stealth; TUIC for another QUIC option. For non-technical users, consider a reputable, audited, independent VPN - but expect higher cost and less control.
Der Meta-Review: was das Internet über Hysteria2 (QUIC/UDP-based censorship-resistant proxy) sagt
Wir erwarten nicht, dass du uns vertraust. Dieser Review ist ein Meta-Review: unten siehst du, was andere Testportale behaupten - mit ihren Interessenkonflikten gekennzeichnet -, was Nutzer auf Reddit und in Foren berichten und wer Hysteria2 (QUIC/UDP-based censorship-resistant proxy) wirklich betreibt. Jede Behauptung verlinkt ihre Quelle, damit du sie selbst prüfen kannst.
Was andere Tester sagen (3)
Jede Quelle trägt ein Konflikt-Label aus unserer Testportal-Datenbank. „Affiliate-finanziert“ heißt: Die Seite verdient mit, wenn du kaufst, was sie empfiehlt. Kritische Stimmen nehmen wir bewusst auf.
Fetched 2026-11-03 (HTTP 200): independent multi-protocol client's documentation - 'Hysteria 2 is a simple, Chinese-made protocol based on QUIC. The selling point is Brutal, a congestion control algorithm that tries to achieve a user-defined bandwidth despite packet loss.' Warning: 'Even though GFW rarely blocks UDP-based proxies, such protocols actually have far more obvious characteristics than TCP based proxies.' Compatibility table rates hysteria.network spec: resists passive detection = alert; resists active probes = check.
Fetched 2026-11-03 (HTTP 200): commercial iOS/Mac proxy app ships native Hysteria 2 support (iOS 5.8.0+, Mac 5.4.0+): 'a proxy protocol built on QUIC, designed for high throughput on lossy networks. It always encrypts traffic with TLS over QUIC and supports both TCP and UDP relay with connection multiplexing'; parameters include port hopping and Salamander/Gecko obfuscation - evidence of mainstream client adoption.
Fetched 2026-11-03 (HTTP 200): a commercial VPN provider adding Hysteria 2 as its 8th protocol; country-by-country assessment: China 'partially blocked' (such protocols often have more obvious characteristics than TCP-based proxies), Iran 'partially blocked' (previously blocked outbound QUIC temporarily), Russia 'mostly available' (HTTP/3 not very stable but works well); notes Salamander mode breaks the plain-HTTP/3 camouflage; interview with the Hysteria lead developer announced.
Was Nutzer sagen (5)
Reddit, Foren, HN - paraphrasiert und verlinkt, nie aus dem Kontext gerissen. Anekdoten, keine Beweise - aber Erstattungsbeschwerden und Leak-Reports sind das beste Frühwarnsystem, das dieser Markt hat.
Fetched 2026-11-03 (HTTP 200): Iranian users document Hysteria/TUIC UDP connections being selectively dropped (Ncat packets pass on the same port, Hysteria packets do not; working IPs eventually blocked too); net4people's wkrp concludes 'dynamic protocol detection, not IP blocking'; Hysteria's developer tobyxdd participates: Iranian ISPs 'may be blocking all unknown UDP protocols, including non-HTTP/3 QUIC', suggests alpn=h3 on UDP 443 or faketcp, and previews the HTTP/3-masquerade design that became Hysteria 2.
Fetched 2026-11-03 (HTTP 200): the ecosystem's own state-of-the-field thread; Xray-core developer RPRX ranks methods and says QUIC-class proxies like Hysteria 'have been reported to be blocked on a large scale, but are currently basically available', warning aggressive packet sending invites VPS/ISP restrictions; a user reports port hopping delays but does not prevent whole-IP blocking for UDP gaming.
Fetched 2026-11-03 (HTTP 200): relevant hits - 'VPN ban is strangling communication in Myanmar' (renonce comment, 2024), 'Ask HN: The government of my country blocked VPN access' (2025, Hysteria2/TUIC named as the QUIC generation), 'Quad9 to exit France' (2026, own-your-chain comment citing Hysteria2), 'GitHub permanently banned my account for using Actions to validate VPN nodes' (2026, Hysteria2-based Russian client), 'Show HN: MoaV - Mother of all VPNs' (2026, Hysteria2 in a multi-protocol circumvention stack). Earlier generic 'hysteria' searches return mostly unrelated words, hence the precise query.
Fetched 2026-11-03 (HTTP 200): full comment tree - China field reports (works well as shadowsocks alternative; single-IP traffic eventually blocked), install-script security debate (curl|bash criticism and commit-hash pinning), protocol-scrutiny (standard RFC 9000 + RFC 9221 + custom congestion control), Tor-pluggable-transport question, TikTok-ban use case.
Fetched 2026-11-03 (HTTP 200 via curl): recent r/VPN comments naming Hysteria - a step-by-step self-host install guide (June 2026), 'Trojan and Hysteria work better... VLESS kinda falls behind' on Russia censorship (May 2026), 'for now I'm looking at Hysteria' in an Iran config thread (April 2026). Repeat queries during this session were rate-limited (422/429 'Too many requests'/'Timeout') - r/dumbclub was not usable for the same reason.
KI-Fakten-Report - alles, was wir wissen, komprimiert
Erstellt von Qwen3 am 2026-11-03 aus unserer Faktendatenbank plus den verlinkten Quellen. Er fasst zusammen - er fügt keine Fakten hinzu. Prüfe alles Wichtige gegen die verlinkten Quellen.
Bottom line: Hysteria2 is not a service but free, open-source software you self-host on a VPS. There is no subscription, no provider, and no support - just code. You pay only for the VPS (typically $4-6/month), but you must manage setup, security, and blocking risks yourself.
The logging truth: There is no central logging because there is no operator - logging depends entirely on your server configuration. The code is MIT-licensed and auditable, but no independent audit has been published. Jurisdiction is irrelevant: the project has no legal entity, and the lead developer (Toby, GitHub: tobyxdd) remains anonymous.
Pricing reality: There is no pricing from the project - Hysteria2 is free. You pay your VPS provider monthly (around $5), with no intro discounts or renewal traps. The cost is purely infrastructure; donations to the developer are optional.
What reviewers say vs what users say: Reviewers (e.g., sing-box docs) note Hysteria2 resists active probes but has "far more obvious characteristics" than TCP tools, making it detectable. Users on Reddit and HN confirm it works in Russia and China, but field reports show IP blocks after port hopping fails. Conflict: commercial providers (e.g., Xeovo blog) call it "mostly available," while technical users report transient success and eventual blocking.
Who runs it: Hysteria2 is developed and maintained by a volunteer community led by Toby (GitHub: tobyxdd), with no corporate backing. The project operates under no legal entity, hosted on GitHub under the HyNetworks org, and funded by GitHub Sponsors.
Quellen & wie dieser Review entstand
Jede externe Quelle, die auf dieser Seite verwendet wird, mit dem Abrufdatum und ihrer Belegklasse [A]-[D] (A = Primär-/Betreiberquelle, B = seriöse Presse/Forschung, C = Community, D = eigene Messungen). Methodik: wie wir verifizieren. Quellen verschwinden oder ändern sich - falls ein Link tot ist, sag uns über die Kontaktseite Bescheid.
Evidence classes on this page:[A] A: 7[B] B: 6[C] C: 5[D] D: 0(D stays empty until our own test phase)
A censorship-unblocking tool that now wears nonprofit clothes: Lantern's parent became the 501(c)(3) Brave New Software Project and the site now reads like a…
A DNS-layer filtering service that has grown up in public: born January-April 2021 out of the Windscribe team (same three founders, spun out precisely because…
Open Source
Einstieg ca. 2,70 € /mo
Canada - CONTROLD, Inc., Toronto, Ontario; operator about-us page states 'Founded in 2021 - Toronto, Canada' and site footer reads '2026 CONTROLD, Inc.'; free-dns FAQ calls it 'based in Toronto, Canada... the sister company of Windscribe'datenschutz-werkzeug vor 42 Std.
The mainstream default of DNS-level filtering, with a genuinely honest scoping the operator itself states plainly: AdGuard DNS sits at the resolver - it…
Open Source
Einstieg ca. 2,20 € /mo
Cyprus - operator is Adguard Software Limited, registered in Limassol, Cyprus (privacy policy and about page, both fetched live); the parent AdGuard company was founded in Moscow, Russia in 2009 and later moved its headquarters to Cyprus (Wikipedia)datenschutz-werkzeug vor 42 Std.
Noch keine Kommentare - sei der Erste. Das Posten läuft durch einen kurzen Proof-of-Work in deinem Browser (Anti-Spam), kein Konto nötig.