Wie wir VPNs testen

Detaillierte Testprotokolle

Für jedes VPN, das wir testen, wenden wir fünf verschiedene Protokolle an. Jedes Protokoll erzeugt reproduzierbare Daten: Ein anderer ordnungsgemäß ausgestatteter Betreiber sollte in der Lage sein, das Experiment zu wiederholen und vergleichbare Zahlen innerhalb von ± 10% zu erreichen.

1. P1

   DNS-Lecktest

   Methode: Öffnen Sie eine VPN-Sitzung und führen Sie dann vier gleichzeitige DNS-Tests gegen vier verschiedene Resolver durch (1.1.1.1 Cloudflare, 8.8.8.8 Google, 9.9.9.9 Quad9, der vom VPN beworbene Resolver). Überprüfen Sie die zurückgegebene IP über vier Dienste (ipleak.net, dnsleaktest.com, browserleaks.com/dns, mullvad.net/check). Akzeptable Schwelle: kein Leck erkannt über wiederholte kumulative Prüfungen pro Anbieter. Jeder Anbieter mit auch nur einem teilweisen Leck wird als fehlgeschlagen markiert und herabgestuft.

2. P2

   WebRTC + IPv6-Lecktest

   Methode: Öffnen Sie Chrome auf chrome://webrtc-internals + ipleak.net parallel, überprüfen Sie den ICE-STUN-Kandidaten und die aufgetauchte öffentliche IP. Kreuztest gegen browserleaks.com/webrtc und browserleaks.com/ip, um falsch-negative Ergebnisse auszuschließen. Akzeptable Schwelle: keine echte IP sichtbar auf ICE/STUN oder IPv6 über wiederholte Prüfungen pro Anbieter.

3. P3

   iperf3-Geschwindigkeitstest

   Methode: iperf3-Client/Server gegen 12 europäische Server (Deutschland, Frankreich, Niederlande, UK, Italien, Spanien, Schweden, Polen, Schweiz, Belgien, Österreich, Irland) + 4 US-Server (Ashburn, Dallas, Los Angeles, New York) + 2 Asien-Server (Tokio, Singapur). Drei Sitzungen pro Server, zu drei Zeitfenstern (9 Uhr, 14 Uhr, 21 Uhr Europa/Paris), Medianmessung. Kreuzvalidiert mit fast.com und Cloudflare-Speedtest, um Anomalien bei öffentlichen iperf-Servern auszuschließen.

4. P4

   Kill-Switch-Test

   Methode: Öffnen Sie eine aktive VPN-Sitzung mit Streaming-Verkehr im Flug, dann erzwingen Sie das Herunterfahren des Tunnels (VPN-Prozess beenden, Ethernet ausstecken, virtuelle Netzwerkschnittstelle deaktivieren). Überwachen Sie den Netzwerkverkehr parallel über Wireshark auf der physischen Schnittstelle. Akzeptable Schwelle: kein Klartext-Ausgangspaket zwischen Tunnelabbruch und Wiederherstellung. Test mehrfach pro Anbieter wiederholt.

5. P5

   No-Log-Politik-Verifizierung

   Vollständige Lektüre der veröffentlichten Datenschutzrichtlinie des Anbieters, Vergleich mit der neuesten verfügbaren unabhängigen Prüfung (PwC, Deloitte, KPMG, Cure53), Kreuzprüfung gegen bekannte Gerichtsverfahren (Tor-Anfragen, DMCA, Serverbeschlagnahmen). Qualitativer Score: 0 = keine Prüfung, 1 = interne Prüfung, 2 = veröffentlichte Big-Four-Prüfung, 3 = veröffentlichte Big-Four-Prüfung + ein Gerichtsverfahren, das das Fehlen von Protokollen in der Praxis validierte.

Tools, die wir verwenden

Open-Source- oder kommerzielle Tools, die wir für jede Testbatterie verwenden. Keine proprietären Werkzeuge, keine geheimen Skripte: alles ist reproduzierbar.

• iperf3

  TCP/UDP-Durchsatz- und Latenzmessung im Client/Server-Modus. Wird gegen öffentliche iperf-Server für Referenzzahlen verwendet.

• Wireshark

  Echtzeit-Paketinspektion, um die Tunnel-Dichtheit zu überprüfen, den Kill-Switch zu validieren (kein Klartext-Paket zwischen Tunnelabbruch und Wiederherstellung) und DNS-Lecks außerhalb von UDP/53 sichtbar zu machen.

• Speedtest CLI (Ookla)

  Ookla-Kommandozeilen-Geschwindigkeitsbenchmark, gegen geolokalisierte Speedtest-Server in der Nähe des VPN-Endpunkts. Wird verwendet, um den relativen Durchsatzverlust gegen die Nicht-VPN-Basislinie im selben Zeitfenster zu vergleichen.

• dnsleaktest.com + ipleak.net + browserleaks.com

  Kreuztests für DNS, IP, WebRTC und IPv6. Drei Dienste werden verwendet, um falsch-positive Ergebnisse auszuschließen, die mit dem Cache oder der Geolokalisierung eines einzelnen Dienstes zusammenhängen.

• Benutzerdefinierte Python-Skripte (github.com/ricco020)

  Standard-Browser-basierte Leckprüfungen (dnsleaktest.com, ipleak.net, browserleaks.com), wiederholt pro Anbieter.

Testumgebungseinrichtung

Bewertungsmethodik

Der endgültige AnonymFlow-Score eines VPNs kombiniert sechs gewichtete Achsen. Kein Score tritt außerhalb dieser Formel — keine subjektive Anpassung, um einen Partner zu begünstigen.

• Gemessene Geschwindigkeit (25%)

  Medianer Durchsatzverlust über die 18 getesteten Server. Basislinie: keine VPN-Leitung Nennleistung.

• Sicherheit — DNS + WebRTC + Kill-Switch (30%)

  Komposit-Score: 10% DNS-Leck, 10% WebRTC/IPv6-Leck, 10% effektiver Kill-Switch. Ein einziges Leck senkt diese Achse auf 0.

• No-Log-Politik (20%)

  Qualitativer 0-bis-3-Score (siehe Protokoll 5). Multipliziert mit 100/3, um einen Prozentsatz zu erhalten.

• Realer Preis (10%)

  Effektiver 24-Monats-Tarif, gemittelt mit dem offenbarten Verlängerungstarif. Nicht nur der Einstiegspreis.

• Support (10%)

  Support-Antwortzeit über fünf Test-Tickets, Antwortqualität (technisch vs. geskriptet), 24/7-Chat-Verfügbarkeit.

• Ergonomie / UX (5%)

  Installationsreibung, App-Lesbarkeit, einfacher Zugang zu erweiterten Einstellungen. Niedrigstes Gewicht, da am subjektivsten.

Jedes bewertete VPN wird wiederholt über ein Fenster von mindestens 30 Tagen getestet. Ein vollständiges jährliches Update (vollständiger Retest) ist für empfohlene VPNs garantiert; das Frontmatter-Datum dateModified spiegelt jede Aktualisierung wider.

Grenzen & Transparenz

Referenzdaten — zitierbare Zahlen

Zusammenfassung, wie wir VPNs bewerten: dokumentierte Fähigkeiten, veröffentlichte unabhängige Prüfungen und die Leck-/Geschwindigkeitstests, die jeder Leser mit den oben aufgeführten Tools reproduzieren kann.

Vollständiger Datensatz : Dokumentierte Fähigkeiten + veröffentlichte unabhängige Prüfungen

Wichtige Definitionen

Technische Begriffe, die in unseren Tests verwendet werden, präzise definiert, um jegliche Mehrdeutigkeit bei der Interpretation der Ergebnisse zu vermeiden.

Kill-Switch

Ein Mechanismus, der automatisch die Internetverbindung kappt, wenn der VPN-Tunnel abbricht. Ohne Kill-Switch wird der Datenverkehr für einige Sekunden im Klartext fortgesetzt — die echte IP wird ohne sichtbare Warnung exponiert. Getestet durch erzwungenes Trennen des Tunnels (VPN-Prozess beenden) mit Wireshark, um Klartextpakete zu erkennen.

DNS-Leck

Situation, in der DNS-Anfragen außerhalb des VPN-Tunnels ausgehen und über den Resolver des ISP laufen, wodurch besuchte Domainnamen trotz aktivem VPN preisgegeben werden. Erkennbar über dnsleaktest.com oder ipleak.net. Häufige Ursache: VPN-Client erfasst den Systemresolver nicht auf Windows Smart Multi-Homed Named Resolution.

WebRTC-Leck

Offenlegung der realen IP-Adresse (lokal oder öffentlich) über die WebRTC-API des Browsers (STUN/ICE), selbst bei aktivem VPN. Betrifft ~30% der Chrome/Edge-Konfigurationen. Erkennbar über browserleaks.com/webrtc oder unser eingebautes Tool.

IPv6-Leck

IPv6-Datenverkehr, der im Klartext außerhalb des VPN-Tunnels übertragen wird, wenn der VPN-Client die IPv6-Schnittstelle nicht blockiert. Auf ~40% der französischen Faserverbindungen vorhanden. Erkennbar über den IPv6-Abschnitt von ipleak.net.

No-Log

Politik, die erklärt, dass der VPN-Anbieter weder Benutzer-IP-Adressen noch besuchte Seiten noch Verbindungstimestamps speichert. Nur über veröffentlichte unabhängige Prüfungen (PwC, Deloitte, Cure53) verifizierbarer Wert — eine kommerzielle Erklärung ohne Prüfung ist ein nicht überprüfbares Versprechen.

Five Eyes-Jurisdiktion

Geheimdienst-Allianz zwischen den USA, UK, Kanada, Australien und Neuseeland mit gegenseitiger Überwachung und Datenaustausch. Ein in einem Mitgliedsland ansässiges VPN kann gesetzlich zur Zusammenarbeit gezwungen werden. Nicht-Allianz-Jurisdiktionen (Panama, Schweiz, Rumänien) reduzieren dieses rechtliche Risiko.

Perfect Forward Secrecy (PFS)

Mechanismus, der automatisch die Verschlüsselungsschlüssel bei jeder Sitzung rotiert: Wenn ein Schlüssel kompromittiert wird, bleiben vergangene Sitzungen geschützt. In WireGuard und modernem OpenVPN vorhanden. Wesentlich für langfristigen Schutz.

Double VPN (Multi-Hop)

Datenverkehr, der durch zwei aufeinanderfolgende VPN-Server geleitet wird: geschichtete Verschlüsselung, kein einzelner Server sieht sowohl die Quell-IP als auch das Ziel. Höhere Latenz (+40-80 ms typisch). Nützlich für Journalisten und Aktivisten unter aktiver Überwachung.

Unsere redaktionellen Prinzipien

• Kein Score unter 3/5 wird als "empfohlen" akzeptiert

  Wenn ein VPN auf unserem Raster unter 3/5 bewertet wird, empfehlen wir es nicht, unabhängig von der angebotenen Provision.

• Nachteile schwarz auf weiß aufgelistet

  Jeder Testbericht enthält einen Abschnitt "was uns weniger gefällt" — keine versteckte Werbung.

• Quartalsweise Mindestaktualisierung

  VPNs entwickeln sich: Preise, Netflix-Sperren, Prüfungen. Wir testen jeden empfohlenen Anbieter mindestens alle 3 Monate erneut.

• Transparenz über Vergütung

  Wir verdienen eine Provision, wenn Sie über unsere Links abonnieren — auf jeder Seite erwähnt (Banner + Links mit dem Attribut rel="sponsored nofollow").