VPN-Kill-Switch erklärt (und was er übersieht)

Was ein VPN-Kill-Switch wirklich tut

Ein Kill-Switch ist kein Zauber. Es ist eine Funktion – manchmal in die VPN-App integriert, manchmal Teil deines Betriebssystems oder deiner Firewall – die verhindert, dass dein Gerät Daten über das Internet sendet, wenn der verschlüsselte Tunnel zum VPN-Server zusammenbricht. Seine Aufgabe ist einfach: verhindern, dass deine echte IP-Adresse und dein Standort versehentlich preisgegeben werden, wenn die Verbindung abbricht. Ohne ihn könnte dein Datenverkehr sofort über deine normale ISP-Verbindung laufen, sobald das VPN ausfällt, und dabei deine Identität, deinen Standort oder deine Aktivitäten offenlegen.

Doch die Realität sieht so aus: Ein Kill-Switch macht dich nicht anonym. Er verschlüsselt deine Daten nicht über das hinaus, was das VPN bereits tut. Er stoppt keine Tracking-Skripte, Werbung oder Malware. Er ist eine Absicherung gegen Ausfälle, kein Datenschutzschild. Wenn dein Bedrohungsmodell jemanden umfasst, der dein Netzwerk überwacht – wie ein ISP, Arbeitgeber oder eine Regierung – dann verringert ein funktionierender Kill-Switch das Risiko einer Offenlegung bei kurzen Unterbrechungen. Wenn du dich aber nur darauf verlässt, übersiehst du das größere Bild.

Es gibt zwei Hauptmethoden, wie Kill-Switches funktionieren: über Firewallregeln oder durch Manipulation der Routingtabellen. Die Firewall-Methode blockiert aktiv Datenverkehr mithilfe der paketbasierten Filterung des Betriebssystems. Die Routing-Methode entfernt oder verändert die Standardroute, sodass kein Datenverkehr außer über die VPN-Schnittstelle gesendet werden kann. Beide haben Vor- und Nachteile hinsichtlich Zuverlässigkeit, Geschwindigkeit und Kompatibilität.

Wie Kill-Switches funktionieren: Firewall vs. Routing

Firewallbasierte Kill-Switches, wie sie von IVPN [2] verwendet werden, nutzen die integrierte Firewall des Betriebssystems (wie pf unter macOS, nftables oder iptables unter Linux oder die Windows-Firewall), um jeglichen Nicht-VPN-Verkehr zu blockieren. Wenn der Kill-Switch aktiviert ist, wird die Firewall so konfiguriert, dass nur über den verschlüsselten Tunnel (z. B. die tun0-Schnittstelle) Daten gesendet werden dürfen. Fällt der Tunnel aus, bleiben die Firewallregeln aktiv und blockieren alles andere. Diese Methode ist in der Regel zuverlässiger, da sie nicht davon abhängt, dass der Routing-Stack intakt bleibt – wenn die Regeln korrekt angewendet wurden, kann der Datenverkehr einfach nicht austreten.

Routingbasierte Kill-Switches hingegen funktionieren, indem sie die Routingtabelle des Systems verändern. Sie entfernen die Standardgateway-Route (die Route, die dem Gerät sagt, wohin Daten gesendet werden sollen, wenn keine spezifische Route existiert) und ersetzen sie durch eine Route, die nur zum VPN-Server zeigt. Fällt die Verbindung ab, wird die Standardroute nicht wiederhergestellt, sodass das System keine Zieladresse für den Datenverkehr hat. Diese Methode ist softwareseitig schneller umzusetzen, aber anfälliger. Ein Hintergrundprozess oder ein Netzwerkmanager könnte die Routing-Änderungen überschreiben, insbesondere unter Linux mit NetworkManager oder bei automatischen Wiederverbindungs-Tools.

Keine der Methoden ist narrensicher. Firewallregeln können durch Fehlkonfiguration oder erhöhte Rechte umgangen werden. Routing-Änderungen können von Netzwerkmanagern oder automatischen Wiederverbindungs-Tools rückgängig gemacht werden. Und beide können still versagen – du glaubst, du seist geschützt, bist es aber nicht. Deshalb ist das Testen wichtig.

Alles blockieren vs. nur Nicht-VPN-Verkehr blockieren

Einige Kill-Switches sind „intelligent“ genug, nur den Verkehr zu blockieren, der nicht über das VPN läuft, während andere sämtlichen Internetzugriff abschneiden. Der Unterschied scheint gering, hat aber reale Auswirkungen.

Ein teilweiser Block erlaubt lokalen Netzwerkverkehr (wie Drucken oder Dateifreigabe), während er internetgebundenen Datenverkehr blockiert, der nicht über den Tunnel geleitet wird. Das ist praktisch, wenn du von zu Hause arbeitest und Zugriff auf gemeinsame Laufwerke oder Smart-Home-Geräte benötigst. Doch es vergrößert die Angriffsfläche. Ist dein lokales Netzwerk kompromittiert, könnte ein Angreifer den Datenverkehr abfangen oder dein Gerät als Sprungbrett nutzen.

Ein vollständiger Block deaktiviert jegliche Netzwerkaktivität, wenn die VPN-Verbindung abreißt – kein Internet, kein lokales Netzwerk. Das ist sicherer, besonders in Umgebungen mit öffentlichem WLAN, wo bösartige Geräte verbreitet sind. Doch es ist auch störend. Reißt die VPN-Verbindung für einige Sekunden ab, bricht die gesamte Verbindung zusammen, und du musst manuell neu verbinden.

Die meisten kommerziellen VPNs nutzen standardmäßig den vollständigen Block, aber nicht alle. Einige Apps erlauben die Auswahl. Wenn dir Datenschutz wichtig ist, wähle den vollständigen Block. Bequemlichkeit sollte niemals über dem Risiko einer Offenlegung deiner echten IP stehen.

Was Kill-Switches übersehen: IPv6, DNS und WebRTC

Selbst ein perfekt implementierter Kill-Switch kann nicht alles schützen. Drei große Leckquellen werden oft ignoriert: IPv6, DNS und WebRTC.

IPv6-Lecks entstehen, wenn dein ISP dir eine IPv6-Adresse zuweist, dein VPN aber nur IPv4-Datenverkehr weiterleitet. Wenn der Kill-Switch IPv6 nicht berücksichtigt, könnte dein Gerät weiterhin über IPv6 außerhalb des Tunnels kommunizieren. Da die IPv6-Nutzung zunimmt, ist dies ein reales Risiko. Laut Wikipedia verwendet IPv6 128-Bit-Adressen und wurde entwickelt, um IPv4 aufgrund der Erschöpfung der Adressen zu ersetzen [3]. Viele Kill-Switches konzentrieren sich weiterhin nur auf IPv4 und lassen IPv6-Verkehr ungeschützt.

DNS-Lecks treten auf, wenn dein System DNS-Abfragen (die Domänennamen wie google.com in IP-Adressen umwandeln) außerhalb des verschlüsselten Tunnels sendet. Dadurch kann dein Surfverlauf preisgegeben werden, selbst wenn der restliche Datenverkehr verschlüsselt ist. Ein guter Kill-Switch sollte jeglichen DNS-Verkehr blockieren, der nicht über das VPN geleitet wird, aber nicht alle tun das. Einige Apps verlassen sich auf die DNS-Einstellungen des Betriebssystems, die von Netzwerkmanagern oder bösartiger Software überschrieben werden können.

WebRTC-Lecks sind browserspezifisch. WebRTC (Web Real-Time Communication) ist ein Protokoll, das Browsern erlaubt, direkte Peer-to-Peer-Verbindungen herzustellen – für Videoanrufe, Dateifreigabe usw. Doch es kann auch deine echte IP-Adresse preisgeben, selbst wenn du ein VPN verwendest. Das ist kein Versagen des Kill-Switches, sondern des Browsers. Der Kill-Switch arbeitet auf Systemebene, WebRTC jedoch innerhalb der Browsersandbox. Um WebRTC-Lecks zu stoppen, benötigst du Browser-Erweiterungen oder Einstellungen, die die Funktion deaktivieren oder blockieren – wie das Ausschalten von media.peerconnection.enabled in Firefox.

Keines davon wird allein durch einen Kill-Switch behoben. Du brauchst mehrschichtigen Schutz: Deaktiviere IPv6, wenn dein VPN es nicht unterstützt, verwende ein VPN mit DNS-Leckschutz und schütze deinen Browser.

So testest du deinen Kill-Switch

Vertraue nicht dem Marketing. Teste ihn selbst.

Starte damit, ein Leak-Test-Tool wie unseren Leak-Checker aufzurufen. Es prüft auf IPv4-, IPv6-, DNS- und WebRTC-Lecks. Führe den Test durch, während du mit deinem VPN verbunden bist, um sicherzustellen, dass alles verborgen ist. Dann simuliere eine Trennung.

So geht’s:

1. Verbinde dich mit deinem VPN.
2. Öffne den Leak-Test in einem Browser-Tab.
3. Trenne die VPN-Verbindung manuell (schließe die App nicht – trenne nur die Verbindung).
4. Lade die Seite neu.

Wenn deine echte IP erscheint, hat der Kill-Switch versagt. Wenn die Seite gar nicht lädt, funktioniert der Kill-Switch. Doch das reicht nicht.

Teste als Nächstes das Wiederverbindungsverhalten. Nach dem Trennen verbinde dich erneut mit dem VPN. Zeigt der Leak-Test weiterhin deine echte IP an? Einige Kill-Switches stellen Firewallregeln oder Routingtabellen nach einer Wiederverbindung nicht korrekt wieder her und lassen dich selbst dann ungeschützt, wenn die App behauptet, du seist sicher.

Teste außerdem das Hintergrundverhalten. Lass das VPN über Nacht verbunden. Nutze ein Skript oder Tool, um in regelmäßigen Abständen deine IP zu überwachen. Ein Kill-Switch sollte auch nach Systemruhe, WLAN-Wechsel oder App-Updates aktiv bleiben.

Teste schließlich in mehreren Netzwerken – zu Hause, am mobilen Hotspot, im öffentlichen WLAN. Netzwerkmanager verhalten sich in jeder Umgebung anders, und dein Kill-Switch könnte den Wechsel nicht überstehen.

Warum „Keine Logs“ nicht ausreicht

Ein Kill-Switch schützt vor Verbindungsabbrüchen. Doch er schützt dich nicht vor dem VPN-Anbieter selbst. Wenn das Unternehmen Logs speichert – Verbindungszeiten, IP-Adressen, Bandbreitennutzung – hängt deine Privatsphäre von dessen Ehrlichkeit und Sicherheit ab.

„Keine Logs“ ist eine Behauptung, kein Fakt. Bis es unabhängig geprüft oder vor Gericht getestet wurde, betrachte es als Marketing. Einige Anbieter wie Mullvad und IVPN haben unabhängige Audits durchlaufen oder rechtliche Herausforderungen bestanden, ohne Nutzerdaten preiszugeben [2]. Andere behaupten es, liefern aber keinen Beweis.

Selbst mit einem perfekten Kill-Switch vertraust du dem Anbieter deinen Datenverkehr an. Wird er kompromittiert, gerichtlich gezwungen oder handelt bösartig, könnten deine Daten trotzdem preisgegeben werden. Deshalb ist der Standort wichtig. Ein Anbieter in einem Five-Eyes-Land könnte gesetzlich verpflichtet sein, Überwachungsanfragen zu erfüllen. Prüfe, wo das Unternehmen ansässig ist, welche Gesetze gelten und ob es Transparenzberichte veröffentlicht hat.

Und denk daran: Ein Kill-Switch stoppt keine Malware, Phishing oder Social Engineering. Er verbirgt dein Verhalten nicht vor Webseiten. Er ist nur ein Teil einer umfassenderen Datenschutzstrategie – nicht das Ganze.