Die meisten VPN-Nutzer aktivieren den Kill-Switch einmal und schauen nie wieder danach. Das ist ein Problem, denn ein Kill-Switch, der still versagt, ist schlimmer als gar keiner: Man surft weiter im Glauben, geschützt zu sein, während die echte IP im Hintergrund durchsickert. Diese Anleitung zeigt, wie der Kill-Switch in den gängigen Apps aktiviert wird, und danach den konkreten Test, mit dem sich bestätigen lässt, dass er tatsächlich greift.

Wer nicht genau weiß, was ein Kill-Switch macht und warum er wichtig ist, sollte zuerst unsere Erklärung, was ein VPN-Kill-Switch ist, lesen. Dieser Artikel setzt voraus, dass das Konzept bereits bekannt ist und es nur noch um Aktivierung und Überprüfung geht.

So aktivieren Sie den Kill-Switch in Ihrer VPN-App

Die Einstellung findet sich in den meisten VPN-Apps an ungefähr derselben Stelle: in den App-Einstellungen, unter einem Reiter namens Verbindung, Sicherheit oder Netzwerk. Gesucht wird nach den Begriffen “Kill Switch” oder “Network Lock.” Manche Anbieter trennen die Option in zwei Varianten, eine für das gesamte System und eine für bestimmte Apps, also beide prüfen, bevor man sich in Sicherheit wiegt.

NordVPN: Einstellungen öffnen, dann Kill Switch. NordVPN trennt Internet Kill Switch (blockiert den gesamten Traffic systemweit) von App Kill Switch (blockiert nur die gelisteten Apps). Für vollständigen Schutz den Internet Kill Switch aktivieren.

ExpressVPN: die Network-Lock-Einstellung liegt im allgemeinen Einstellungsmenü der App. Es ist ein einzelner systemweiter Schalter, ohne Trennung zwischen App-Ebene und System-Ebene.

ProtonVPN: zu Einstellungen, dann Kill Switch gehen. Proton bietet Standard (blockiert Traffic, solange die App läuft) und Permanent (blockiert Traffic auch bei vollständig geschlossener App), verfügbar für Windows, macOS, Linux und Android.

Surfshark: Einstellungen, dann Konnektivität, dann Kill Switch. Surfshark bietet zusätzlich einen Strict-Mode für eine strengere Dauerblockade.

Alle vier Anbieter, NordVPN, ExpressVPN, ProtonVPN und Surfshark, liefern einen funktionierenden Kill-Switch als Kernfunktion, nicht als Extra. Fehlt bei einem Anbieter jeglicher Kill-Switch, ist das allein Grund genug, zu wechseln.

NordVPN ist hier eine vernünftige Standardwahl: Die Einstellung Internet Kill Switch ist ein einziger Schalter, auf manchen Plattformen bei Neuinstallationen bereits standardmäßig aktiv, und hat bei jedem Trennungstest, den wir für diese Anleitung durchgeführt haben, sauber gehalten.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Warum Aktivieren allein nicht reicht

Ein Schalter, der von aus auf ein springt, bestätigt nur, dass die Einstellung gespeichert wurde. Er sagt nichts darüber aus, ob die dahinterliegende Firewall-Regel tatsächlich greift, sobald der Tunnel abbricht. Kill-Switches versagen in der Praxis aus Gründen, die in keinem Einstellungsbildschirm sichtbar werden: ein Firmware-Update ändert, wie die Netzwerkkarte ihren Status meldet, ein App-Update bringt eine Regression mit sich, oder der Kill-Switch erkennt nur saubere Trennungen und übersieht einen plötzlichen Absturz. Die einzige Möglichkeit, die eigene Konfiguration wirklich zu kennen, ist, einen Ausfall zu erzwingen und zu beobachten, was passiert.

So testen Sie Ihren VPN-Kill-Switch Schritt für Schritt

Dieser Test simuliert genau den Ausfall, den ein Kill-Switch abfangen soll: das VPN, das mitten in einer Sitzung ohne Vorwarnung stirbt. Am besten auf einer Verbindung durchführen, bei der eine kurze Unterbrechung egal ist, nicht mitten in etwas Zeitkritischem.

Schritt 1: Verbinden und Ausgangswert notieren

Wie gewohnt mit dem VPN verbinden. Einen Browser öffnen und eine IP-Prüfseite wie ipleak.net oder whatismyipaddress.com aufrufen. IP-Adresse und Standort notieren. Das sollte zum VPN-Server passen, nicht zum echten Standort. Zeigt sich hier schon die echte IP, sofort stoppen: Das VPN routet den Traffic nicht korrekt, und der Kill-Switch-Test bringt an dieser Stelle keine brauchbare Information.

Schritt 2: Fortlaufende Verbindungsprüfung starten

Ein Terminal oder eine Eingabeaufforderung öffnen und einen fortlaufenden Ping an einen stabilen öffentlichen Server starten, zum Beispiel ping 1.1.1.1 -t unter Windows oder ping 1.1.1.1 unter macOS/Linux. Das liefert eine Live-Ansicht, Sekunde für Sekunde, ob überhaupt Internetzugang besteht, präziser als eine Webseite immer wieder neu zu laden.

Schritt 3: VPN-Verbindung abrupt kappen

Jetzt die Trennung so erzwingen, dass sie einen echten Ausfall nachahmt statt eines sauberen Herunterfahrens. Optionen, ungefähr nach Realitätsnähe sortiert:

  • WLAN komplett ausschalten, dann nach ein paar Sekunden wieder einschalten, ohne die VPN-App anzufassen.
  • Task-Manager (Windows) oder Aktivitätsanzeige (macOS) öffnen und den Prozess der VPN-App direkt beenden, statt in der App auf Trennen zu klicken.
  • Den Netzwerkadapter für ein paar Sekunden in den Netzwerkeinstellungen des Betriebssystems deaktivieren.

Den Prozess zu killen oder WLAN abzuschalten ist der ehrlichere Test. Auf den Trennen-Button der App zu klicken lässt manche Implementierungen ihren eigenen Kill-Switch sauber herunterfahren, was einen Fehler verstecken kann, der erst bei einem echten Absturz auftritt.

Schritt 4: Beobachten, was im Ping-Fenster passiert

Funktioniert der Kill-Switch, sollte das Ping-Fenster genau in dem Moment, in dem das VPN abbricht, Zeitüberschreitungen oder Fehlschläge zeigen, und das bleibt so, bis das VPN wieder verbunden ist. Laufen die Pings weiter erfolgreich, während das VPN unten ist, fällt der Traffic auf die normale, ungeschützte Verbindung zurück, und der Kill-Switch hat nicht gegriffen.

Schritt 5: Neu verbinden und auf ein Leck prüfen

Nach der Beobachtung des Ping-Verhaltens zurück zum Browser-Tab aus Schritt 1 und die IP-Prüfseite neu laden. Zwei Ergebnisse sind hier aussagekräftig. Lädt die Seite gar nicht, während das VPN noch unten ist, entspricht das dem erwarteten Verhalten. Lädt die Seite und zeigt die echte IP-Adresse statt eines Fehlers oder der VPN-IP, ist der Kill-Switch während der Trennung still gescheitert, genau das Szenario, das er verhindern soll.

Schritt 6: Mit einer zweiten Methode wiederholen

Den Test zweimal mit zwei verschiedenen Trennungsmethoden durchführen (zum Beispiel App-Prozess killen, dann separat den Netzwerkadapter deaktivieren). Manche Kill-Switch-Implementierungen fangen einen Ausfalltyp ab, den anderen nicht. Ein bestandener Test mit der ersten Methode garantiert kein bestandenes Ergebnis bei der zweiten.

Ergebnisse richtig lesen

Bestanden: der Internetzugang stoppt vollständig in dem Moment, in dem der Tunnel abbricht, und die IP-Prüfseite lädt entweder gar nicht oder zeigt einen Fehler, nie die echte Adresse, für die gesamte Dauer der VPN-Trennung.

Teilweise fehlgeschlagen: der Kill-Switch greift, aber mit einer Verzögerung von ein, zwei Sekunden, in denen eine Anfrage durchrutschen könnte. Das zählt besonders beim Torrenten, wo schon ein kurzes Fenster reicht, um die IP gegenüber anderen Peers offenzulegen. Bei diesem Ergebnis prüfen, ob die App einen strengeren Modus anbietet (Strict Mode bei Surfshark, Permanent-Einstellung bei Proton) und diesen aktivieren.

Vollständig fehlgeschlagen: der Traffic läuft nach der VPN-Trennung weiter, und die IP-Prüfseite zeigt die echte Adresse. Das bedeutet entweder, dass der Kill-Switch trotz aktiviertem Schalter nicht wirklich greift, oder dass die Implementierung des Anbieters die getestete Trennungsmethode nicht abdeckt. App neu installieren, Einstellung erneut bestätigen, erneut testen, und wenn es weiterhin fehlschlägt, das als Signal für einen Anbieterwechsel werten.

Wann dieser Test wiederholt werden sollte

Ein einmal bestandener Test ist keine dauerhafte Garantie. Wiederholen nach jedem VPN-App-Update, nach jedem Betriebssystem-Update (sowohl Windows als auch macOS ändern gelegentlich, wie Netzwerkadapter ihren Status an Drittanbieter-Apps melden), und nach jedem Gerätewechsel. Wer sein VPN vor allem unter Windows 11 nutzt, sollte diesen Test direkt nach der Ersteinrichtung durchführen, solange man ohnehin schon in den Einstellungen ist, statt anzunehmen, die Standardkonfiguration sei sicher.

Unser Fazit: Den Kill-Switch zu aktivieren ist ein einziger Schalter in den Einstellungen, aber ihn zu bestätigen braucht den Fünf-Minuten-Test oben, und diesen Schritt zu überspringen ist der Unterschied zwischen Annehmen, geschützt zu sein, und es wirklich wissen. NordVPN, ExpressVPN, ProtonVPN und Surfshark haben unseren erzwungenen Trennungstest alle sauber bestanden. Den Test selbst durchführen, nach der Einrichtung, nach jedem App-Update, und erneut bei einem Netzwerk- oder Gerätewechsel, denn ein ungetesteter Kill-Switch ist nur ein Häkchen, dem blind vertraut wird.