Windows

Die Plattform, auf der die Routentabelle der Kampfplatz ist

Windows leitet Datenverkehr über eine Tabelle, die jeder lokale Angreifer beeinflussen kann – genau das nutzte TunnelVision aus, indem es mittels manipulierter DHCP-Antwort den Datenverkehr bei betroffenen Konfigurationen um den Tunnel herumleitete[1]. 67 Anbieter stellen hier Windows-Clients bereit; das entscheidende Unterscheidungsmerkmal ist nicht die Oberfläche, sondern die dahinterliegende Firewall-Architektur.

Die nie sterbenden Legacy-Lecks

Windows schleppt zwei Jahrzehnte tunnelfeindliches Erbe mit: Teredo-Tunneling, 6to4 und IPv6-Routen, die älter sind als jeder VPN-Client und standardmäßig weiterhin IPv4-basierte Tunnel-Konfigurationen umgehen[6]. Jeder ernsthafte Client blockiert oder tunneln IPv6; jedes Windows-Feature-Update aktiviert Teile des Stacks erneut. Die Notabschaltung muss beide Familien abdecken – und der Leak-Test prüft sie explizit, denn ein Client, der IPv4 perfekt behandelt, aber IPv6 vergisst, ist die häufigste halbherzige Windows-Lösung[4][5].

Der Unterschied in den Reaktionen

PIAs Reaktion auf TunnelVision[2] und Mullvads Analyse zu TunnelCrack[3] sind die beiden öffentlichen Referenzpunkte: Beide erklären die Angriffsklasse und benennen ihre Schutzebene. Vergleiche das mit Anbietern, deren Antwort auf eine CVE-nummerierte lokale Umgehung lediglich ein Support-FAQ war. Die relevante Notabschaltung unter Windows arbeitet auf der Windows Filtering Platform – derselben Ebene, die die Angriffe angreifen[4][5]. Im Anbietervergleich steht jeweils die Evidenzklasse des Betreibers neben den Windows-Hinweisen.

Die Angriffsfläche auf Client-Ebene, quantifiziert

Warum ist der Client unter Windows wichtiger als das Protokoll? Weil der Exploit-Markt dies so bewertet: Zerodiums Belohnungsliste nennt explizit Windows-VPN-Clients[5], und die Angriffsklassen (Routing-Manipulation, Bypass auf Treiberebene) zielen alle auf die privilegierte Ebene des Clients, nicht auf die Kryptografie des Tunnels. WireGuards minimaler Code reduziert die Angriffsfläche; OpenVPNs TAP-Treiber-Vergangenheit zeigt die Alternative. Die praktische Konsequenz: Unter Windows bevorzuge Clients mit veröffentlichten Sicherheitsprüfungen und kleiner Angriffsfläche gegenüber funktionsreichen Paketen mit Plugin-Ökosystemen – der Open-Source-Hub bewertet genau diese Eigenschaft.

Die Windows-spezifische Checkliste

Vier Punkte über das Übliche hinaus: IPv6 und Teredo blockiert oder getunnelt (Legacy-Lecks sterben hart[6]); Firewallregeln auf WFP-Ebene, nicht nur ein App-Schalter; WireGuard als Standardprotokoll mit TCP-Fallback für feindliche Netzwerke; und der Vier-Moment-Test aus dem Leak-Test nach jedem Windows-Update – Feature-Updates setzen Netzwerkstacks zurück, was stillschweigend Client-Konfigurationen wieder brechen kann. Die Kontoseite bleibt unverändert seit dem No-KYC-Hub: Die Installation über den Microsoft Store ist an deine Identität gebunden, unabhängig davon, ob der Tunnel funktioniert. Eine Installation per Developer-ID außerhalb des Stores entfernt diesen einen Anker aus der Kette, erfordert aber manuelle Überprüfung der Signatur.