Ein VPN kann so wirken, als würde es funktionieren, Schloss-Symbol, Status verbunden, Serverliste zeigt ein fremdes Land, und trotzdem die echte IP-Adresse, die DNS-Server des Internetanbieters oder beides durch Lücken preisgeben, die die meisten Nutzer nie prüfen. Die Leak-Schutz-Werte in unserer Vergleichstabelle reichen von einer perfekten 5 von 5 bei Anbietern wie NordVPN, ProtonVPN, Surfshark und Mullvad bis zu 0 bei einigen Budget-Optionen, und der einzige Weg, herauszufinden, wo das eigene VPN landet, ist der eigene Test. Das dauert etwa fünf Minuten und braucht nichts außer einem Browser.

Was ein VPN-Leck eigentlich ist

Ein VPN soll den gesamten Traffic, und die DNS-Anfragen, die Website-Namen in Adressen übersetzen, durch seinen verschlüsselten Tunnel leiten. Ein Leck passiert, wenn ein Teil dieses Traffics den Tunnel umgeht und direkt das offene Internet erreicht, wodurch Informationen preisgegeben werden, die das VPN eigentlich verbergen sollte. Es gibt drei Arten, die geprüft werden sollten, und sie versagen unabhängig voneinander, ein bestandener Test sagt also nichts über die anderen beiden aus.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

IP-Lecks: Wird die echte Adresse angezeigt?

Ein IP-Leck bedeutet, dass die tatsächliche öffentliche IP-Adresse, die vom Internetanbieter zugewiesen wurde, trotz aktivem VPN für eine Website sichtbar ist. Das ist der grundlegendste Fehler, den ein VPN haben kann, und gleichzeitig der am einfachsten zu prüfende.

  1. Vor der Verbindung mit dem VPN nach “wie ist meine IP” suchen und die angezeigte Adresse notieren, das ist die echte, ungeschützte IP.
  2. Mit dem VPN verbinden und einen beliebigen Serverstandort außerhalb des eigenen Landes wählen.
  3. Erneut nach “wie ist meine IP” suchen. Die Adresse sollte jetzt anders sein als die echte und das Land des verbundenen Servers zeigen, nicht das eigene.

Zeigt die zweite Prüfung immer noch die echte IP oder das echte Land, leitet das VPN den Traffic nicht korrekt weiter, und es sollte für nichts Sensibles genutzt werden, bis bestätigt ist, dass die Korrektur funktioniert hat.

DNS-Lecks: Gehen Anfragen noch an den Internetanbieter?

Selbst wenn der eigentliche Traffic korrekt geleitet wird, können DNS-Anfragen, die “beispiel.de” in eine IP-Adresse übersetzen, manchmal am Tunnel vorbei direkt an die DNS-Server des Internetanbieters gehen statt an die des VPN. Das bedeutet, der Internetanbieter sieht weiterhin jede besuchte Domain, obwohl der eigentliche Browsing-Traffic verschlüsselt ist.

  1. Mit dem VPN verbinden und einen Server in einem anderen Land wählen.
  2. Eine dedizierte DNS-Leck-Testseite besuchen, dnsleaktest.com ist eine häufig genutzte, kostenlose Option, und den erweiterten statt des Standardtests ausführen.
  3. Die Ergebnisse mit dem Serverstandort des VPN und dem tatsächlichen Namen des Internetanbieters vergleichen. Die aufgelisteten DNS-Server sollten zum VPN-Anbieter oder einem datenschutzfokussierten Drittanbieter-Resolver gehören, nicht zum heimischen Internetanbieter.

Taucht der Name des Internetanbieters in den Ergebnissen auf, haben die meisten VPN-Apps einen DNS-Leck-Schutz-Schalter in den Einstellungen, meist standardmäßig aktiviert, aber eine manuelle Prüfung lohnt sich trotzdem, besonders nach einem kürzlichen App-Update.

WebRTC-Lecks: die browserspezifische Lücke

WebRTC ist eine Browsertechnologie für Videoanrufe und andere Echtzeitkommunikation und kann die echte IP-Adresse direkt gegenüber einer Website über den Browser preisgeben, völlig unabhängig vom Netzwerkschutz des VPN. Das ist eher ein Browser- als ein VPN-Problem, weshalb es einen eigenen Test braucht.

  1. Bei aktiver VPN-Verbindung eine WebRTC-Leck-Testseite besuchen, der WebRTC-Test von browserleaks.com ist eine weit verbreitete kostenlose Option.
  2. Nach einer “lokalen” oder “öffentlichen” IP-Adresse suchen, die der echten Adresse entspricht statt der des VPN.
  3. Taucht die echte IP auf, entweder WebRTC in den Browsereinstellungen deaktivieren (Firefox hat einen eingebauten Schalter; Chrome braucht eine Erweiterung), oder die Browser-Erweiterung des VPN-Anbieters nutzen, falls sie WebRTC-Leck-Blockierung enthält, was die meisten großen Anbieter mittlerweile standardmäßig tun.

Alle drei Tests zusammen durchführen

Sobald das VPN jeden Test einzeln besteht, lohnt sich eine periodische kombinierte Prüfung, besonders nach jedem VPN-App-Update, Serverwechsel oder Betriebssystem-Update, da jedes davon eine Einstellung still zurücksetzen kann. Erneut mit dem VPN verbinden, dann IP-Check, DNS-Leck-Test und WebRTC-Test nacheinander in derselben Browsersitzung durchführen. Kommen alle drei sauber zurück, zeigen durchgängig den Serverstandort des VPN und keine Spur des Internetanbieters oder der echten IP, ist die Verbindung wirklich geschützt, nicht nur scheinbar.

Was tun, wenn ein Leck gefunden wird

Zuerst prüfen, ob die VPN-App einen Kill Switch hat, und sicherstellen, dass er aktiviert ist; das kappt die Internetverbindung vollständig, wenn die VPN-Verbindung abbricht, was genau den stillen Rückfall auf die ungeschützte Verbindung verhindert, der Lecks verursacht. Zweitens das Protokoll in der App wechseln, WireGuard hat auf manchen Plattformen tendenziell weniger Leck-Probleme als ältere OpenVPN-Konfigurationen. Drittens IPv6 auf dem Gerät deaktivieren, wenn das VPN es nicht vollständig unterstützt, da IPv6-Traffic einen reinen IPv4-Tunnel komplett umgehen kann, ohne jede Fehlermeldung. Löst nichts davon das Problem, ist der Leak-Schutz-Wert in unserer Vergleichstabelle ein guter Hinweis darauf, welche Anbieter das durchgängig gut handhaben und welche nicht, und es ist vielleicht einfach Zeit für einen Wechsel.

Testen auf dem Handy, nicht nur am Rechner

Die meisten Leck-Test-Anleitungen gehen davon aus, dass man am Laptop sitzt, aber Handys lecken auf dieselben drei Arten und werden viel seltener getestet. Auf iOS und Android zuerst die VPN-App verbinden, dann den mobilen Browser öffnen und dieselben IP- und DNS-Prüfungen wiederholen wie am Rechner; dieselben Testseiten funktionieren auf dem Browser eines Handys genauso gut. Der WebRTC-Leck-Test ist auf Mobilgeräten weniger zuverlässig, da die Browser-Unterstützung für die zugrunde liegende Technologie stärker variiert, aber IP- und DNS-Prüfungen allein erfassen bereits die meisten realen Leck-Probleme auf einem Handy. Besonders beachten, was passiert, wenn das Handy während einer Sitzung zwischen WLAN und mobilen Daten wechselt, da manche VPN-Apps während dieses Übergangs kurz den Schutz verlieren, bevor sie sich neu verbinden, eine Lücke, die leicht übersehen wird, wenn nicht gezielt darauf getestet wird.

Split Tunneling und warum es Tests verkompliziert

Wer Split Tunneling nutzt, also manche Apps durch das VPN leitet und andere nicht, für den können Standard-Leck-Tests irreführend sein, da ein “Leck” im klassischen Sinn eigentlich nur eine bewusst ausgeschlossene App sein könnte, die genau wie konfiguriert funktioniert. Vor jedem der obigen Tests die Split-Tunneling-Einstellungen der VPN-App prüfen und bestätigen, dass der getestete Browser nicht auf einer Ausschlussliste steht. Falls doch, entweder in einem anderen Browser testen, der vollständig durch den Tunnel läuft, oder Split Tunneling für die Dauer des Tests vorübergehend deaktivieren und danach wieder aktivieren, sobald bestätigt ist, dass der Tunnel selbst leckfrei ist.

Browser-Erweiterungen als zusätzliche Fehlerquelle

Neben der VPN-App selbst lohnt ein Blick auf installierte Browser-Erweiterungen, vor allem solche, die eigene Netzwerkanfragen stellen oder Standortdaten auslesen, etwa manche Werbeblocker, Preisvergleichs-Tools oder ältere VPN-Erweiterungen, die parallel zur Desktop-App aktiv geblieben sind. Zwei gleichzeitig aktive VPN-Verbindungen, eine über die App und eine über eine vergessene Browser-Erweiterung, können sich gegenseitig stören und in seltenen Fällen genau die Lücke öffnen, die die Tests oben aufdecken sollen. Ein kurzer Blick in die Erweiterungsliste des Browsers vor dem Testlauf schließt diese Fehlerquelle von vornherein aus.

Warum das im öffentlichen WLAN noch mehr zählt

Ein Leck im Heimnetzwerk ist ein Datenschutzproblem. Dasselbe Leck in einem öffentlichen WLAN, im Café, am Flughafen oder im Hotel, ist ein größeres, da jeder andere in diesem Netzwerk mit einfachen Werkzeugen potenziell genau den Traffic sehen kann, den das VPN eigentlich verbergen sollte. Wer regelmäßig öffentliche Netzwerke nutzt, für den ist der Leck-Test kein einmaliger Einrichtungsschritt, sondern eine schnelle erneute Prüfung wert, sobald man sich an einem Ort befindet, dessen Netzwerk man nicht vollständig vertraut.

Weiterlesen: VPN Kill-Switch erklärt: Was ist er und brauche ich ihn? und VPN für öffentliches WLAN 2026: Wie gefährlich ist es wirklich?.