WebRTC-Leak-Test
Ein VPN ändert die Adresse, die Websites sehen. Ihr Browser kann trotzdem eine andere durchrutschen lassen, über WebRTC, die Funktion hinter Anrufen im Browser. Dieser Test stellt beide nebeneinander.
01 · Was unser Server sieht
216.73.216.109
Amazon.com, Inc. · AS16509
Die Adresse, von der Ihr Datenverkehr ausgeht. Mit verbundenem VPN sollte es die des VPN sein.
02 · Was WebRTC verrät
Der Vergleich verwendet nur öffentliche Adressen und läuft in Ihrem Browser. Um seine eigene öffentliche Adresse zu erfahren, fragt der Browser zwei STUN-Server ab, einen von Google und einen von Cloudflare betrieben, und diese sehen Ihre Adresse genauso wie jede Website. Auftauchende öffentliche Adressen werden zu einem einzigen Zweck an unseren Server gesendet: um das Netz zu benennen, zu dem sie gehören. Lokale Adressen bleiben auf Ihrem Gerät und wir speichern nichts.
Warum ein Browser mehr als eine Adresse kennen kann
Eine Webseite zu laden ist ein einfacher Austausch. Ihr Browser fragt, ein Server antwortet, und der Server erfährt eine Sache über Ihr Netz, nämlich die Adresse, von der die Anfrage kam. Ein Videoanruf funktioniert anders. Zwei Browser versuchen, Ton und Bild direkt zueinander zu schicken, und dafür muss jeder dem anderen sagen, wo er erreichbar ist.
WebRTC ist die Browserfunktion, die sich darum kümmert. Vor einem Anruf sammelt sie jede Adresse, die funktionieren könnte, ein Schritt namens ICE Gathering. Sie listet die Adressen der Netzwerkschnittstellen Ihres Geräts auf und stellt dann einem öffentlichen Helfer, einem STUN-Server, eine Frage: „Von welcher Adresse siehst du mich kommen?“ Jede Antwort wird zu einem „Kandidaten“.
Jede Webseite kann dieses Sammeln mit ein paar Zeilen JavaScript starten. Dafür braucht es weder einen Anruf noch eine Berechtigungsabfrage, und auf dem Bildschirm ist nichts zu sehen. Läuft die STUN-Frage außerhalb Ihres VPN-Tunnels oder über eine Schnittstelle, die das VPN nicht abdeckt, enthält die Kandidatenliste die Adresse, die Ihnen Ihr Anbieter gegeben hat. Genau das ist ein WebRTC-Leak.
Was der Test macht
- Beim Laden der Seite notiert unser Server die Adresse, von der Ihre Anfrage kam, und nennt das Netz, dem sie gehört. Das ist Feld 01.
- Ihr Browser öffnet eine WebRTC-Verbindung ins Leere, gerichtet an zwei STUN-Server, einen von Google und einen von Cloudflare, und sammelt bis zu sieben Sekunden lang Kandidaten.
- Die Kandidaten werden sortiert. Private Bereiche (
10.x,172.16bis172.31,192.168.x), von Providern geteilte Adressen (100.64bis100.127), Link-Local-Adressen und.local-Namen werden als lokal beiseitegelegt. Der Rest ist öffentlich. - Bis zu sechs öffentliche Adressen gehen an unseren Server, der für jede das zugehörige Netz zurückmeldet.
- Jede öffentliche Adresse wird mit Feld 01 verglichen und erhält ein Label.
Die Labels lesen
| Label | Regel | Bedeutung |
|---|---|---|
| Gleich | Identisch mit der Adresse, die unser Server gesehen hat | WebRTC verrät nichts zusätzlich. Mit aktivem VPN sind beide die Adresse des VPN. |
| Anders | Gleiche Familie (beide IPv4 oder beide IPv6), aber eine andere Adresse | Mit aktivem VPN entweicht hier sehr wahrscheinlich Ihre echte Adresse. |
| Gleicher Anbieter | Andere Familie, gleicher Netzbetreiber wie Feld 01 | Typischerweise die IPv6-Seite derselben Verbindung oder desselben VPN. Kein Leck. |
| Anderer Anbieter | Andere Familie, anderer Netzbetreiber | Meist eine IPv6-Adresse Ihres Internetanbieters, während das VPN nur IPv4 tunnelt. |
| Zu prüfen | Andere Familie, Betreiber nicht ermittelbar | Vergleichen Sie sie selbst mit der Adresse, die Sie bei ausgeschaltetem VPN haben. |
Unter der Liste steht, ob lokale Adressen sichtbar sind. Aktuelle Browser ersetzen sie durch einen Zufallsnamen mit der Endung .local, der einer Website nichts verrät. Eine einfache 192.168.x.x-Adresse führt auch nicht zu Ihnen zurück, ist aber ein weiteres Detail, mit dem ein Tracker Geräte unterscheiden kann.
„Keine öffentliche Adresse“ und „WebRTC ist ausgeschaltet“ bedeuten beide, dass diese Tür zu ist. Entweder hat der Browser das Sammeln von Kandidaten verweigert, oder es kam keine STUN-Antwort zurück.
Der Test kann nicht wissen, ob Sie ein VPN nutzen. Ohne VPN können zwei verschiedene öffentliche Adressen völlig normal sein, zum Beispiel bei einem Anschluss mit IPv4 und IPv6, und Websites sehen Ihre echte Adresse ohnehin. Ein rotes Ergebnis ist nur dann ein Problem, wenn ein VPN oder Proxy Sie verbergen soll. Der Test deckt außerdem nur WebRTC ab. DNS-Leaks sind ein eigenes Thema.
Das Leck schließen
- In der VPN-Anwendung
- Suchen Sie nach „WebRTC-Leak-Schutz“, „IPv6-Leak-Schutz“ und „Kill Switch“ und schalten Sie alle drei ein. Unterstützt der Anbieter kein IPv6, deaktivieren Sie IPv6 am Netzwerkadapter, solange Sie verbunden sind. Ein VPN, das nur als Browser-Erweiterung existiert, schützt den Seitenverkehr und lässt WebRTC womöglich unberührt, nehmen Sie also die vollständige Anwendung.
- Firefox
- Öffnen Sie
about:configund setzen Siemedia.peerconnection.ice.default_address_onlyauftrue. WebRTC bleibt dann bei der Standardroute, also dem Tunnel. Setzen Siemedia.peerconnection.enabledauffalse, entfernen Sie WebRTC vollständig. - Chrome und Edge
- Einen eingebauten Schalter gibt es nicht. Google veröffentlicht eine Erweiterung, WebRTC Network Limiter, mit der Option „Use my default public interface only“. Die Erweiterung uBlock Origin hat eine ähnliche Einstellung: „Verhindern, dass WebRTC lokale IP-Adressen preisgibt“.
- Brave
- Einstellungen, Datenschutz und Sicherheit, „WebRTC-IP-Verarbeitungsrichtlinie“: Wählen Sie „Nicht über Proxy geleitetes UDP deaktivieren“.
Laden Sie diese Seite nach jeder Änderung bei verbundenem VPN neu. Ihr Ziel: Jede öffentliche Zeile ist mit „Gleich“ oder „Gleicher Anbieter“ markiert, oder es gibt gar keine öffentliche Adresse.
Häufige Fragen
Was ist ein WebRTC-Leak?
Wenn eine Webseite über die WebRTC-Funktion des Browsers an Ihre echte IP-Adresse kommt, obwohl ein VPN oder Proxy sie bei normalen Seitenanfragen verbirgt. Die Seite braucht dafür nur ein kurzes Skript. Eine Kamera- oder Mikrofonberechtigung ist nicht im Spiel.
Ich nutze kein VPN. Ist dieser Test für mich wichtig?
Kaum. Ohne VPN bekommt jede Website Ihre echte Adresse ohnehin mit jeder Anfrage, WebRTC verrät also nichts zusätzlich. Der Test ist für Leute gedacht, die sich darauf verlassen, dass ein VPN oder Proxy ihren Standort verbirgt.
Macht das Deaktivieren von WebRTC etwas kaputt?
Ganz ausgeschaltet funktionieren Anrufe und Bildschirmfreigabe im Browser nicht mehr, also Google Meet, Microsoft Teams im Web, Discord, Jitsi und Ähnliches. Beschränken Sie WebRTC auf die Standardroute oder nutzen Sie den Schutz des VPN selbst, funktionieren Anrufe weiterhin.
Warum zeigt der Test eine IPv6-Adresse, obwohl mein VPN an ist?
Viele VPNs tunneln nur IPv4. Gibt Ihnen Ihr Internetanbieter auch IPv6, kann Verkehr zu IPv6-Zielen am Tunnel vorbeigehen. Schalten Sie den IPv6-Leak-Schutz im VPN ein oder IPv6 auf dem Gerät aus.
Ist eine .local-Adresse oder eine 192.168-Adresse ein Leck?
Nein. Sie kennzeichnen Ihr Gerät in Ihrem eigenen Netz und sind von außen weder erreichbar noch lokalisierbar. Als Leck zählt nur eine öffentliche Adresse, die sich von der unterscheidet, die Ihr VPN zeigt.