Was erfährt eine Website über meine Verbindung, bevor ich etwas anklicke — und was ändern VPN, Tor oder Private Relay daran?
Jede Verbindung braucht eine Rückadresse, sonst käme die Antwort nie bei dir an. Etwas über dich wird deshalb immer sichtbar. Die eigentliche Frage dieses Themas lautet: Wer sieht was — und erfasst der Schutz, den du einschaltest, wirklich jeden Weg? Was über deine Verbindung sichtbar wird, liegt in drei Schichten übereinander:
- Die Adresse. Die Website sieht deine IP-Adresse zwangsläufig und liest daraus den Netzbetreiber und einen ungefähren Ort ab: das Land meist richtig, die Stadt nur grob. Deinen Namen verrät die Adresse in aller Regel nicht; wem sie zu einem Zeitpunkt zugeteilt war, weiß nur dein Zugangsanbieter.
- Der Weg. Dein Zugangsanbieter sieht die Gegenrichtung: mit welchen Servern du sprichst und wann. Den Inhalt verschlüsselter Seiten sieht er nicht, ihre Namen meist schon — über das Nachschlagen im DNS (Namensauflösung) und über den Namen, den dein Browser beim Aufbau der verschlüsselten Verbindung offen nennt.
- Die Begrüßung. Bevor eine Seite lädt, stellen sich dein Betriebssystem und dein Browser mit drei Nachrichten vor: dem ersten Paket, der Eröffnung von TLS (zusammengefasst etwa als JA4 und JA3) und der Einrichtung von HTTP/2 (HTTP/2-Fingerabdruck). Sie beschreiben deine Software, nicht dich — verraten aber, wenn die Browserkennung etwas anderes behauptet.
Ein VPN, Tor oder iCloud Private Relay greifen in die ersten beiden Schichten ein: Die Website sieht eine fremde Adresse, und dein Zugangsanbieter sieht deine Ziele nicht mehr — jedenfalls bei allem, was diesen Weg wirklich nimmt. Das Wissen verschwindet dabei nicht, es wandert: beim VPN vollständig zu dessen Betreiber, bei Tor und Private Relay verteilt auf Stationen, von denen keine allein Adresse und Ziel kennt. Die dritte Schicht bleibt fast unberührt: Das erste Paket stammt bei Tor und Private Relay vom Ausgang, bei manchen VPN-Diensten von deren Server — TLS und HTTP/2 aber kommen auf jedem dieser Wege weiter von deinem Browser.
Damit ist der Kern des Themas erreicht: Ein Schutz wirkt nur für den Verkehr, der durch ihn läuft. Die Artikel beschreiben drei Nebenwege — die zweite Adressfamilie, wenn ein VPN nur IPv4 umleitet und IPv6 direkt ins Netz geht; die Pakete von WebRTC, wenn nur der Browser über einen Proxy läuft; und das Nachschlagen von Namen, wenn es am Tunnel vorbeigeht. Alle drei haben dieselbe Ursache: zwei Wege, von denen nur einer geschützt ist. Ein Fall kehrt dabei in jedem Artikel dazu wieder: IPv6 neben einem Tunnel, der nur IPv4 führt. Wer ein VPN prüft, prüft deshalb nicht eine Adresse, sondern jeden dieser Wege einzeln.
Was der Weg ins Netz nicht ändert, gehört zum nächsten Thema: die Merkmale deines Browsers, gespeicherte Cookies und jede Anmeldung. Gegen die Wiedererkennung am Browser hilft von den drei Wegen nur der Tor Browser, gegen eine Anmeldung keiner — mehr dazu in Wie Fingerprinting funktioniert und Wie Cookies dich über Websites hinweg verfolgen.
Kammer 1 des Browser-Einblicks zeigt ohne Klick, was von deiner Verbindung ankommt und was sich daraus ableiten lässt: deine Adressen, Netzbetreiber, Ort und die drei Begrüßungen. Die Netzmessung prüft erst nach deinem Start, ob WebRTC eine andere Adresse nennt. Einen eigenen DNS-Lecktest hat HexWarte noch nicht; er steht im Prüfkatalog als geplant. Gespeichert wird nichts.