VPN-Protokolle nach Generationen – mit 6 Prüfpunkten für die Wahl
Ein VPN-Protokoll ist das Regelwerk, an das sich die App und der Server halten. Diese Regeln betreffen den Schlüsselaustausch, das Verpacken Ihres Datenverkehrs und seine Zustellung über andere Netzwerke. Das Protokoll bestimmt, wie schnell eine Verbindung zustande kommt. Es beeinflusst auch, ob die Verbindung einen Wechsel vom WLAN zu mobilen Daten übersteht. Hinzu kommt als dritter Faktor, wie sichtbar das VPN für das Netzwerk dazwischen ist. Jedes Protokoll wurde für ein Problem seiner Zeit entworfen. In den 1990er-Jahren war das die Einwahl in ein Firmennetz. Heute ist es der Zugang über Netzwerke, die VPN-Verbindungen an ihren ersten Bytes erkennen. Dieser Artikel ordnet die Protokolle nach Generationen. Am Ende helfen Ihnen 6 Prüfpunkte bei der Wahl.
Protokolle unterscheiden sich in Handshake, Transport und Fingerabdruck
Was Adapter, Tunnel und Server sind, beschreibt unser Grundlagenartikel zum Thema VPN. Jedes Protokoll baut den Tunnel auf seine eigene Weise. Die Unterschiede betreffen 3 Bereiche.
Der Handshake legt die Sitzungsschlüssel fest
App und Server prüfen gegenseitig ihre Identität und einigen sich auf Sitzungsschlüssel, bevor Daten fließen. WireGuard braucht dafür eine Nachricht in jede Richtung, IKEv2 insgesamt 4. OpenVPN führt in seinem eigenen Steuerkanal einen vollständigen TLS-Handshake aus. Je weniger Nachrichten hin- und hergehen, desto schneller steht die Verbindung auf Leitungen mit langen Antwortzeiten. Typische Beispiele sind Satelliteninternet und überlastete Mobilfunknetze.
Verlorene Pakete bremsen einen Tunnel über TCP
UDP sendet jedes Paket einmal und prüft nicht, ob es angekommen ist. TCP wartet auf eine Bestätigung für die gesendeten Daten. Kommt die Bestätigung nicht rechtzeitig, sendet TCP die Daten erneut und senkt seine Senderate. Bei einem Tunnel über TCP stecken 2 solche Schichten ineinander. Die Tunnelschicht sendet ein fehlendes Paket erneut, und das kostet Zeit. Währenddessen wertet die Verbindung des Browsers im Tunnel das Paket als verloren. Auch diese Verbindung sendet eine eigene Kopie und senkt ihre Senderate. Seiten laden dadurch ungleichmäßig und stocken immer wieder. Aus diesem Grund läuft WireGuard nur über UDP. Das Entwicklerteam erklärt, dass WireGuard keinen TCP-Modus bekommen wird, weil TCP-over-TCP schlecht funktioniert. Die Kehrseite: In einem Netzwerk, das UDP sperrt, kann sich WireGuard nicht verbinden.
Das Netzwerk sieht den Fingerabdruck, nicht den Inhalt
Ihr Internetanbieter kann den Inhalt des Tunnels nicht lesen. Er sieht aber den Port, die Größe der ersten Nachrichten und alle unverschlüsselten Header-Felder. Zusammen bilden diese Merkmale den Fingerabdruck eines Protokolls. Manche Filtersysteme schicken einem verdächtigen Server außerdem Testanfragen und prüfen, wie er antwortet. Beim Entwurf älterer Protokolle spielten solche Prüfungen keine Rolle. Bei neueren Protokollen ist der Fingerabdruck ein zentraler Teil des Entwurfs.
10 VPN-Protokolle aus den 1990er- bis 2020er-Jahren
Neue Protokolle haben die alten nicht ersetzt. PPTP findet sich bis heute in der Firmware von Routern. Windows und macOS haben L2TP und IKEv2 eingebaut. Die Tabelle nennt zu jedem Protokoll das Jahrzehnt und den ursprünglichen Zweck.
| Protokoll | Entstehung | Wofür es entwickelt wurde |
|---|---|---|
| PPTP | 1990er-Jahre | Eine Einwahlverbindung über das Internet bis ins Firmennetz führen |
| L2TP/IPsec | Um 2000 | Das proprietäre PPTP durch einen offenen Standard ersetzen und die Verschlüsselung IPsec überlassen |
| OpenVPN | 2000er-Jahre | Jedem System einen TLS-Tunnel über einen einzigen Port geben |
| IKEv2/IPsec | 2000er-Jahre | Schlüssel schneller aushandeln und die Sitzung beim Wechsel des Netzwerks halten |
| SSTP | 2000er-Jahre | Netzwerke passieren, die nur HTTPS erlauben |
| Shadowsocks | 2010er-Jahre | Datenverkehr ganz ohne Fingerabdruck übertragen |
| WireGuard | 2010er-Jahre | Den Tunnel schlicht und den Code so klein halten, dass er sich prüfen lässt |
| VLESS + REALITY | 2020er-Jahre | Wie eine HTTPS-Verbindung zu einer echten, bekannten Website aussehen |
| Hysteria2 | 2020er-Jahre | Auf Leitungen mit Paketverlust schnell bleiben und wie HTTP/3 aussehen |
| XHTTP | 2020er-Jahre | Daten als gewöhnliche HTTP-Anfragen übertragen, auch über CDNs |
PPTP und L2TP/IPsec stammen aus der Zeit der Einwahlverbindungen
PPTP
PPTP wurde entwickelt, um Beschäftigte mit Modem über das Internet mit dem Firmennetz zu verbinden. Es tunnelt PPP, das Protokoll, über das Einwahlverbindungen zum Internetanbieter liefen. Seine Spezifikation RFC 2637 erschien 1999. Der Steuerkanal nutzt TCP-Port 1723, und die Daten laufen innerhalb von GRE. GRE kennt keine Ports, deshalb haben Heimrouter bis heute die Einstellung „PPTP Passthrough“.
Bruce Schneier und Peiter Zatko (Mudge) beschrieben 1998 und 1999 die Schwächen von PPTP. 2012 zeigte ein Vortrag auf der DEF CON, dass eine mitgeschnittene MS-CHAPv2-Authentifizierung von einem einzigen DES-Schlüssel abhängt. Ein Schlüssel dieser Länge lässt sich per Brute Force in vertretbarer Zeit finden. Der MPPE-Schlüssel für die Verschlüsselung stammt aus denselben Authentifizierungsdaten, deshalb erhöhen seine 128 Bit den Schutz nicht. Microsoft veröffentlichte daraufhin eine Sicherheitsempfehlung, die vor MS-CHAPv2 ohne zusätzlichen Schutz warnte. Seitdem gilt PPTP nicht mehr als sicher.
L2TP/IPsec
L2TP (RFC 2661, 1999) verbindet Ideen aus PPTP und dem Protokoll L2F von Cisco. L2TP hat keine eigene Verschlüsselung und läuft deshalb fast immer innerhalb von IPsec (RFC 3193, 2001). Jedes Paket bekommt 2 Schichten, zuerst L2TP, dann IPsec. Beide Schichten fügen Bytes hinzu, und beide müssen konfiguriert werden. Der Schlüsselaustausch nutzt UDP-Port 500, die Daten laufen über UDP 4500 oder über das separate Protokoll ESP. Die festen Ports machen das Paar gut erkennbar, und schon wenige Firewall-Regeln sperren es.
2008 führte Microsoft SSTP ein. Es transportiert dasselbe PPP innerhalb von HTTPS über TCP-Port 443. Von außen sieht die Verbindung wie gewöhnliches Surfen im Web aus. Firewalls, die nur Webverkehr erlauben, lassen sie durch. Unter den Desktop- und Mobilsystemen hat nur Windows einen SSTP-Client eingebaut.
IKEv2, OpenVPN und WireGuard verschlüsseln gut und haben deutliche Fingerabdrücke
Alle 3 Protokolle schützen Ihre Daten gut und funktionieren in einem gewöhnlichen Netzwerk problemlos. Gemeinsam ist ihnen eine Schwäche: ein Fingerabdruck, den das Netzwerk erkennen kann. In Netzwerken, die VPN-Verbindungen filtern, wiegt diese Schwäche schwerer als die Stärke der Verschlüsselung.
IKEv2/IPsec
IKEv2 handelt die Schlüssel in 4 Nachrichten aus, während IKEv1 für den ersten Austausch 8 Varianten hatte. Auf Smartphones und Laptops wird IKEv2 wegen seiner Erweiterung MOBIKE (RFC 4555) geschätzt. Mit MOBIKE kann ein Laptop vom WLAN im Büro zum Hotspot eines Smartphones wechseln. Der Tunnel zieht dabei auf die neue Adresse um, ohne dass die Authentifizierung wiederholt wird. iOS, macOS, Windows und Android 11 oder neuer haben einen eingebauten IKEv2-Client. Auf diesen Systemen müssen Sie für IKEv2 nichts installieren. Netzwerke erkennen IKEv2 an denselben UDP-Ports 500 und 4500.
OpenVPN
OpenVPN ist ein Open-Source-Projekt mit eigenem Protokoll und ohne RFC. Der Handshake nutzt TLS, und die Daten schützt meist AES-GCM. OpenVPN läuft über UDP oder TCP auf jedem Port, und die IANA führt dafür den Port 1194. Viele Router haben OpenVPN eingebaut. Die Einstellungen liegen dort meist als eine einzige .ovpn-Datei vor. Die Schwachstelle ist der Header, den OpenVPN jedem Paket hinzufügt. Der Nachrichtentyp in diesem Header ist nicht verschlüsselt, und jede Sitzung beginnt auf dieselbe Weise. 2022 prüfte ein Forschungsteam diese Schwachstelle im Netzwerk eines echten Internetanbieters. Das Team erkannte OpenVPN in diesem Datenverkehr, ohne ein einziges Byte zu entschlüsseln.
WireGuard
Jason Donenfeld stellte WireGuard 2017 auf der Konferenz NDSS vor. 2020 wurde WireGuard mit Version 5.6 Teil des Linux-Kernels. Das Protokoll verwendet einen einzigen festen Satz kryptografischer Verfahren (Curve25519, ChaCha20-Poly1305 und BLAKE2s in einem Noise-Handshake). Eine schwache Option können Sie also nicht versehentlich wählen. Der Server antwortet nicht auf Pakete ohne gültigen Schlüssel. Von außen ist nicht zu erkennen, dass dort ein Server läuft.
Der Datenverkehr des Clients hat dagegen einen deutlichen Fingerabdruck. Die erste Nachricht des Handshakes ist immer 148 Byte lang, die Antwort immer 92 Byte. Der Nachrichtentyp wird im Klartext übertragen. Auf der Website von WireGuard heißt es, dass sich das Protokoll nicht auf Verschleierung konzentriert. Die Verschleierung überlässt WireGuard einer eigenen Schicht darüber. In offenen Netzwerken funktioniert WireGuard gut, in gefilterten wird es schnell entdeckt.
VLESS + REALITY, XHTTP, Hysteria2 und Shadowsocks verbergen den Fingerabdruck des VPN
Diese Protokolle entstanden für Netzwerke, die VPN-Verbindungen erkennen und sperren. Die Verschlüsselung ist dabei so stark wie bei den Protokollen oben. Das Hauptziel ist aber ein Fingerabdruck, der dem von gewöhnlichem Datenverkehr nahekommt. Vom Aufbau her arbeiten sie wie Proxys, und die VPN-App leitet den gesamten Datenverkehr Ihres Geräts durch sie. Worin sich beide unterscheiden, erklärt unsere Gegenüberstellung von VPN und Proxy.
VLESS + REALITY
VLESS ist ein kompaktes Protokoll. Weiterentwickelt wird es heute vom Projekt Xray. Das Protokoll übermittelt dem Server die Client-ID und die Zieladresse. Die Verschlüsselung der Daten übernimmt meist TLS. REALITY lässt die Verbindung wie den Besuch einer echten fremden Website aussehen. Im ersten Paket sieht ein Beobachter den Namen dieser Website. Darauf folgt ein gewöhnlicher TLS-1.3-Handshake, und das Zertifikat darin ist bereits verschlüsselt. Der Server braucht weder eine eigene Domain noch ein eigenes Zertifikat. Schickt ein Filtersystem ohne den Schlüssel Testanfragen an den Server, antwortet ihm die echte Website. REALITY leitet solche Verbindungen direkt an diese Website weiter.
XHTTP
XHTTP ist ein Transportverfahren in Xray, und seine frühen Versionen hießen SplitHTTP. Es teilt Daten in Stücke und überträgt sie in HTTP-Anfragen. In einem der Modi laufen Uploads als Folge von POST-Anfragen. Im selben Modus kommen Downloads als eine lange Antwort auf eine GET-Anfrage zurück. Ein HTTP-Proxy oder ein Content-Delivery-Netzwerk (CDN) sieht darin gewöhnlichen Webverkehr. Der Server kann deshalb, wie viele Websites, hinter fremder Infrastruktur laufen.
Hysteria2
Hysteria2 läuft auf QUIC (RFC 9000), dem UDP-basierten Transportprotokoll unter HTTP/3. Beim Verbindungsaufbau meldet der Client die Bandbreite seiner Leitung. Hysteria2 sendet Daten mit dieser Rate und wiederholt verlorene Pakete, ohne die Rate zu senken. Das hilft auf Leitungen mit häufigem Paketverlust, etwa bei mobilen Daten im Zug. Wer das Passwort nicht kennt, sieht eine gewöhnliche HTTP/3-Website. Je nach Einstellung liefert der Server eine 404-Seite, Dateien oder eine andere Website aus. In einem Netzwerk ohne UDP funktioniert Hysteria2 nicht.
Shadowsocks
Shadowsocks erschien 2012 und ist das älteste und schlichteste der 4 Protokolle. Es ist ein verschlüsselter Proxy, vom ersten Byte an ohne Header und ohne erkennbaren Handshake. Outline, das Projekt von Jigsaw, auf dem die App Ben's VPN aufbaut, läuft auf Shadowsocks. Die anderen 3 Protokolle dieser Gruppe ahmen den Fingerabdruck von gewöhnlichem Webverkehr nach. Der Datenverkehr von Shadowsocks ähnelt dagegen keinem bekannten Protokoll. Auch das Fehlen jedes Musters ist ein Fingerabdruck. 2023 beschrieb ein Forschungsteam ein Filtersystem, das solche Verbindungen nach wenigen einfachen Tests sperrte. Die Tests prüften nur das erste Paket. In stark gefilterten Netzwerken reicht Shadowsocks allein deshalb nicht aus.
6 Prüfpunkte für die Wahl eines Protokolls
Kein VPN-Protokoll eignet sich für jeden Fall. Welches das richtige ist, hängt von Ihrem Netzwerk und Ihrer Aufgabe ab. Gehen Sie die Prüfpunkte der Reihe nach von oben nach unten durch. Meist entscheidet der erste Punkt, der auf Sie zutrifft, über das Protokoll.
Zuerst entscheidet, wem der Server gehört
Im Netzwerk einer Firma oder Schule verwenden Sie das Profil, das Sie vom Administrator bekommen. Für einen eigenen Server lässt sich WireGuard mit dem geringsten Aufwand konfigurieren. Dafür genügen ein Schlüsselpaar und eine kurze Konfigurationsdatei. Ein VPN-Dienst lässt das Protokoll meist von seiner App wählen.
Gefilterte Netzwerke schließen IKEv2, OpenVPN und WireGuard aus
Ein Netzwerk, das nach VPN-Fingerabdrücken sucht, erkennt IKEv2, OpenVPN und WireGuard. Verwenden Sie in einem solchen Netzwerk Protokolle, die wie gewöhnlicher Datenverkehr aussehen, etwa VLESS + REALITY, XHTTP und Hysteria2. In einem offenen Netzwerk funktionieren IKEv2, OpenVPN und WireGuard problemlos.
Ein Netzwerk ohne UDP verlangt ein Protokoll über TCP
Manche Firewalls in Unternehmen und Universitäten lassen Websites durch und sonst nichts. Das übliche Anzeichen: Seiten öffnen sich, aber WireGuard oder IKEv2 verbindet sich nie. Dort funktionieren unter anderem VLESS + REALITY, XHTTP und OpenVPN über TCP auf Port 443.
Häufige Netzwerkwechsel sprechen für IKEv2 und WireGuard
Ein Smartphone wechselt viele Male am Tag zwischen WLAN und mobilen Daten. IKEv2 mit MOBIKE hält den Tunnel über diese Wechsel hinweg. Auch WireGuard kommt damit zurecht und übernimmt die neue Adresse des Clients automatisch. Apps von VPN-Diensten verbinden sich nach jedem Wechsel meist neu.
Anrufe und Spiele laufen über UDP besser
Bei einem Anruf fällt ein kleines verlorenes Stück Ton kaum auf. Eine Verzögerung fällt dagegen sofort auf. WireGuard und Hysteria2 sind Beispiele für UDP-Protokolle, die sich für Anrufe und Spiele eignen. TCP hält alle späteren Daten zurück, bis das verlorene Paket erneut gesendet ist. Deshalb kommt der Ton verzögert an.
Auf einem Router läuft nur, was seine Firmware unterstützt
Bietet die Firmware OpenVPN an, wählen Sie es statt PPTP. Nutzen Sie PPTP nur, wenn die Firmware nichts anderes unterstützt. Auch dann setzen Sie es nur ein, wenn ein Gerät wie ein Fernseher ein anderes Land braucht.
Die App Ben's VPN bestimmt das Protokoll automatisch
VLESS + REALITY, XHTTP, Hysteria2 und Shadowsocks sind die 4 Protokolle der App. Zusammen mit dem Protokoll wählt die App auch die Route. Einen Schalter für das Protokoll gibt es auf dem Bildschirm nicht. Das Einzige, was Sie wählen, ist der Standort. Ihr Internetanbieter sieht eine Verbindung zu einem Server, aber nicht den Datenverkehr darin. Versionen für andere Systeme stehen auf der Seite mit den VPN-Apps.
Ist die Verbindung schlecht, zeigt die App die Meldung „Schlechte Verbindung“ mit der Schaltfläche „Problem beheben“. Tippen Sie darauf, dann sehen Sie 2 Optionen: einen anderen Standort oder die Suche nach einem funktionierenden Server. Die Suche prüft den Server erneut und holt neue IP-Adressen. Hilft das nicht, schaltet die App Multihop über einen zusätzlichen Server in einem Drittland ein. Die gesamte Suche dauert bis zu 2 Minuten. Dieselbe Schaltfläche „Funktionierenden Server finden“ steht unter „Mein Profil“ → „Einstellungen“.
Keenetic, OpenWrt und MikroTik können die App Ben's VPN direkt auf dem Router ausführen. Andere Router sind auf die Protokolle ihrer Firmware beschränkt. Für diese Router bietet die Kontoseite Einstellungen für PPTP und OpenVPN unter „Router“ → „Other routers“. Derselbe Benutzername und dasselbe Passwort gelten für beide Protokolle. Diese Zugangsdaten funktionieren gleichzeitig nur auf einem Router. Die Seite zur Router-Einrichtung beschreibt jeden Schritt der Konfiguration.
Fragen und Antworten
Was ist VPN-Verschleierung, und wie unterscheidet sie sich von Verschlüsselung?
Verschlüsselung verbirgt den Inhalt, und ohne Schlüssel kann niemand die Pakete lesen. Verschleierung verbirgt, dass es sich um eine VPN-Verbindung handelt. Dazu gleicht sie Größe, Reihenfolge und Form der Pakete gewöhnlichem Datenverkehr an. WireGuard verschlüsselt gut, verschleiert seinen Datenverkehr aber nicht. REALITY und Hysteria2 ergänzen die Verschlüsselung um eine Verschleierung.
Soll ich auf meinem eigenen Server WireGuard oder OpenVPN betreiben?
In einem Netzwerk, das UDP und VPN-Verbindungen erlaubt, lässt sich WireGuard mit weniger Aufwand konfigurieren und verbindet sich schneller. OpenVPN ist flexibler und läuft über UDP oder TCP auf jedem Port. Diese Flexibilität hilft in Netzwerken, die nur TCP erlauben. In einem gefilterten Netzwerk werden beide Protokolle an ihren Fingerabdrücken erkannt.
Ist Multihop ein eigenes Protokoll?
Nein, Multihop ist eine Route, kein Protokoll. Ihr Datenverkehr geht zuerst an einen zusätzlichen Server in einem Drittland. Von dort läuft er weiter zum Server am gewählten Standort. Multihop ändert den Weg des Datenverkehrs, nicht seine Verschlüsselung. Bei Ben's VPN schaltet der Modus „Automatisch“ Multihop ein, wenn eine stabile Verbindung es erfordert.
Was bringt ein VPN-Protokoll, wenn die Website ohnehin HTTPS verwendet?
HTTPS verschlüsselt die Seite, aber das Netzwerk sieht trotzdem, welche Website Sie öffnen. Es sieht die IP-Adresse der Website und zu Beginn der Verbindung ihren Namen. Ein VPN-Protokoll verbirgt auch diese Angaben. Ihr Internetanbieter sieht dann nur eine Verbindung zu einem Server. Hinter dem Server läuft die Anfrage außerhalb des Tunnels weiter zur Website. Auf diesem Teil des Weges schützt HTTPS die Anfrage weiterhin.
