Kurz gesagt
Notiere ohne VPN, unter welchen Adressen der Browser-Einblick dich sieht, und vergleiche mit eingeschaltetem VPN: Keine Zeile in Kammer 1 und in der Netzmessung darf dann noch eine deiner Adressen oder deinen Netzbetreiber zeigen. Achte besonders auf IPv6, denn ein VPN, das nur IPv4 umleitet, lässt die bevorzugte IPv6-Verbindung vorbei. Namensanfragen prüft HexWarte noch nicht; dafür siehst du in die Einstellungen von VPN, Browser und System. Zuletzt testest du, ob das Programm beim Abbruch sperrt.
Worum es geht
Ein VPN soll jede Verbindung deines Geräts durch einen Tunnel schicken, sodass Websites den VPN-Server sehen statt deiner IP-Adresse. Diese Anleitung prüft, ob das für alle Wege gilt: für IPv4 und IPv6, den Nebenweg über WebRTC, das Nachschlagen von Namen und den Moment, in dem der Tunnel abreißt. Was ein VPN überhaupt leistet, steht in Wie anonym bin ich wirklich?.
Was du brauchst
- Dein eigenes Gerät und deinen eigenen VPN-Zugang. Auf einem Dienstgerät entscheidet die IT, und ein Firmen-VPN kann mit Absicht nur den Firmenverkehr umleiten. Prüfe dort nur mit Erlaubnis.
- Etwa 15 Minuten, eine Notiz und JavaScript: Zweite Adresse und Netzmessung brauchen ein Skript, die skriptfreie Fassung zeigt nur die Adresse des Seitenabrufs.
- Zugang zu den Einstellungen deines VPN-Programms. Die Bezeichnungen unten sind Beispiele mit Stand Oktober 2026.
Immer im selben NetzMiss vorher und nachher im selben WLAN oder Mobilfunknetz, sonst vergleichst du zwei Anschlüsse.
1. Ohne VPN: deine eigenen Adressen notieren
Trenne das VPN; eine Sperre ohne VPN (Schritt 6) schaltest du dafür kurz aus. Im Browser-Einblick füllt sich Kammer 1 ohne Klick. Notiere von der Tafel „Adresse & Ankunft“:
- „Deine IP-Adresse“ — so hat dich die Seite gesehen.
- „Deine Adresse gegenüber einem IPv4-Server“ — so sieht dich ein zweiter Dienst, der nur IPv4 spricht.
- „Netzbetreiber“ — meist dein Zugangsanbieter, siehe Autonomes System (ASN).
Starte dann „Netzmessung starten“ und notiere „Öffentliche IPv4-Adresse über WebRTC“ und „Öffentliche IPv6-Adresse über WebRTC“. IPv4 sind vier Zahlen mit Punkten, IPv6 Blöcke mit Doppelpunkten. Bei IPv6 zählt die vordere Hälfte, meist die ersten vier Blöcke; die hintere wechseln viele Geräte absichtlich (RFC 8981). Mehr dazu in Was deine IP-Adresse verrät — und wie genau der Ort ist.
2. VPN einschalten und Kammer 1 vergleichen
Verbinde das VPN und starte den Browser neu, denn ältere Verbindungen können außerhalb des Tunnels weiterlaufen; unter iOS rät Proton deshalb, nach dem Verbinden kurz den Flugmodus einzuschalten. Öffne Kammer 1 erneut. Dicht ist dieser Teil, wenn keine Zeile mehr einen Wert aus deinen Notizen zeigt. Am leichtesten erkennst du es am „Netzbetreiber“, der aber nur zu „Deine IP-Adresse“ gehört.
Die Zeile „Wie du ankommst“ allein genügt nicht. Belegen kann HexWarte einen VPN-Ausgang nur bei VPN by Google, das seine Adressen veröffentlicht. Andere erkennt die Seite nur an Hinweisen („Vermutlich über einen VPN-Dienst“, „Vermutlich über VPN oder Proxy“), viele gar nicht — dann steht dort „Wahrscheinlich mit deiner echten IP-Adresse“, obwohl dein VPN arbeitet.
3. IPv4 und IPv6 getrennt ansehen
HexWarte ist über IPv4 und IPv6 erreichbar, Browser bevorzugen IPv6 (RFC 8305), und die IPv4-Zeile entsteht immer über IPv4. So sieht ein IPv6-Leck aus: „Deine IP-Adresse“ und „Netzbetreiber“ zeigen weiter deinen Anschluss, die IPv4-Zeile das VPN. Dann führt dein VPN nur IPv4 durch den Tunnel — genau diesen Fall beschreibt RFC 7359. Läuft umgekehrt IPv4 vorbei, steht deine eigene IPv4-Adresse in der zweiten Zeile.
Abhilfe ist eine Einstellung, die IPv6 durch den Tunnel führt oder außerhalb sperrt; Proton etwa führt einen Schutz vor IPv6-Lecks auf. Mullvad sperrt laut eigener Beschreibung ohnehin alles außerhalb des Tunnels; „In-Tunnel-IPv6“ regelt dort nur, ob IPv6 im Tunnel mitläuft. Fehlt eine solche Einstellung, nennt RFC 7359 als Notbehelf, IPv6 am Gerät abzuschalten — ausdrücklich nur übergangsweise.
4. Die Netzmessung wiederholen
Starte mit VPN erneut „Netzmessung starten“. Dein Browser fragt dabei den STUN-Messpunkt von HexWarte über UDP nach seiner Adresse — ein zweiter Weg, den das VPN mitnehmen muss. Gut ist, wenn die Karten zur öffentlichen Adresse nur Adressen des VPN zeigen oder keine. Nennt eine davon eine Adresse aus deinen Notizen, ist es ein WebRTC-Leck.
„Unauffällig“ heißt hier nur: WebRTC verrät nichts, was Kammer 1 nicht schon hatte. Lief schon der Seitenabruf über IPv6 vorbei, bleibt die Karte unauffällig und sagt das im Hinweis. Hintergründe stehen in Wie WebRTC deine Adresse am VPN vorbei verraten kann. „Adressen in deinem eigenen Netz“ zeigt keine Adresse nach außen und zählt für diese Prüfung nicht, siehe mDNS-Kandidat.
5. Namensanfragen: die Einstellungen prüfen
Ob deine Namensanfragen am Tunnel vorbeigehen, kann HexWarte noch nicht messen: Der DNS-Lecktest steht im Prüfkatalog als geplant. Was ein DNS-Leck ist, woran es liegt und wie die Lecktests mancher VPN-Anbieter arbeiten, erklärt Was das Nachschlagen von Namen verrät. Bis dahin prüfst du, was eingestellt ist:
Einstellungen zeigen, was vorgesehen ist, nicht, wer tatsächlich fragt.
6. Den Abbruch prüfen
Reißt der Tunnel ab, darf dein Gerät nicht still über deinen Anschluss weitermachen. Davor schützt ein Schalter, oft „Kill Switch“ genannt:
Sperrt dein Schutz auch nach eigenem Trennen, trenne und lade den Browser-Einblick neu: Richtig ist eine Fehlermeldung des Browsers. Einen Schutz nur für Abbrüche prüfst du annähernd: WLAN kurz aus und ein oder Server wechseln, dann sofort neu laden, bevor das Programm „verbunden“ meldet. Erlaubt sind eine Fehlermeldung oder die Adresse des VPN, nie eine aus deinen Notizen.
Auf iPhone, iPad und Mac legt die VPN-App fest, ob das System fast allen Verkehr in den Tunnel zwingt; ab Werk ist das aus. Ob deine App es tut, steht in ihrer Hilfe.
7. Ausnahmen und Browser-Erweiterungen
Beim geteilten Tunneln gehen einzelne Programme am VPN vorbei oder nur einzelne hindurch. Ausgenommene zeigen laut Mullvad deine eigene Adresse; prüfe, dass dein Browser nicht draußen bleibt. Bei Proton verträgt sich das außer unter Windows nicht mit dem Kill Switch, und laut RFC 8828 kann WebRTC dabei auch die Adresse deines Anschlusses finden.
Ein VPN als Browser-Erweiterung schützt laut Proton ausschließlich den Verkehr im Browser. Die Erweiterung arbeitet über dessen Proxy-Einstellungen wie ein Proxy, und daran können die STUN-Anfragen von WebRTC vorbeigehen (RFC 8828). Für Erweiterungen ist Schritt 4 deshalb entscheidend.
Was du siehst — ein Beispiel
Malte hat zu Hause einen Kabelanschluss mit IPv4 und IPv6. Ohne VPN notiert er „Deine IP-Adresse“ 2001:db8:5e:21a0:…, die IPv4-Zeile 198.51.100.40 und als Netzbetreiber AS64500, seinen Anbieter (alles Beispielwerte).
Mit VPN zeigen „Deine IP-Adresse“ und die IPv4-Zeile dieselbe Adresse 203.0.113.77; sein Programm sperrt IPv6 außerhalb des Tunnels. Als Netzbetreiber steht ein Hoster, unter „Art des Netzes“ „Rechenzentrum oder Hoster“, oben „Vermutlich über VPN oder Proxy“. Die Netzmessung nennt über IPv4 dieselbe Adresse und über IPv6 keine. Schritte 2 bis 4: bestanden.
Dann der Abbruch: Malte schaltet das WLAN kurz aus und lädt neu, sobald es wieder steht. Kammer 1 zeigt seine IPv6-Adresse und AS64500: Der Schutz vor Abbrüchen war aus. Mit eingeschaltetem Schutz zeigt derselbe Test erst eine Fehlermeldung und nach „verbunden“ wieder 203.0.113.77.
Wenn etwas nicht passt
- „Nicht ermittelt“ in der IPv4-Zeile: Der zweite Dienst nutzt einen eigenen Port, den manche Netze sperren, oder war nicht erreichbar. Vergleiche dann die IPv4-Karte der Netzmessung.
- „Der Messpunkt hat nicht geantwortet“: keine Entwarnung, nur keine Auskunft.
- Zwei Adressen derselben Familie: Ein VPN, das nicht jede Verbindung umleitet, ist möglich, ein Anschluss mit mehreren Leitungen harmlos.
- „Erkennbar“ an der IPv4-Zeile, obwohl dein VPN IPv4 und IPv6 führt: HexWarte sieht zwei Adressen verschiedener Familien und weiß nicht, dass beide dem VPN gehören. Entscheidend ist dein Vergleich.
- Mit Sperre lädt nichts mehr: Das VPN ist nicht verbunden, die Sperre wirkt. Verbinde neu oder wechsle den Server; schalte sie nur zur Not kurz aus.
So machst du es rückgängig
Notiere vorher, was du änderst, und nimm es an derselben Stelle zurück: Sperre, Not-Aus, IPv6- und DNS-Einstellungen. Abgeschaltetes IPv6 schaltest du wieder ein, sobald dein VPN es selbst abdeckt. Auf HexWarte bleibt nichts zurück: „Anzeige entfernen“, „Ergebnis entfernen“, „Bericht entfernen“ oder das Schließen des Tabs verwirft die Werte.
So prüfst du erneut
- Nach jedem Update von VPN-Programm, System oder Browser und in jedem neuen Netz die Schritte 2 bis 4 wiederholen, nach jeder Änderung am Schutz auch Schritt 6; die Messung gilt nur für diesen Moment.
- „Bericht zusammenstellen“: Unter „Verschiedene Adressen in diesem Besuch“ stehen alle Adressen beisammen. Keine darf zu deinen Notizen passen, bei IPv6 gemessen an der vorderen Hälfte.
Was dieser Artikel nicht sagt
- Die Anleitung empfiehlt keinen Anbieter; die genannten Programme belegen nur Bezeichnungen und dokumentiertes Verhalten.
- HexWarte sieht nur deinen Browser. Ob andere Programme am Tunnel vorbeigehen, zeigt diese Prüfung nicht.
- Ein dichtes VPN macht nicht anonym; die EFF nennt Cookies und Fingerabdruck als Wege, dich trotzdem zu verfolgen.
- Ein echter Abbruch lässt sich nur annähern; ein bestandener Test ist keine Garantie für morgen.
Weiter
Im Browser-Einblick deine Adressen ohne und mit VPN vergleichen →Passende Artikel
Begriffe dazu
Quellen
Geprüft am 3. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.