IPv6 im VPN: Blockieren ist nicht dasselbe wie unterstützen

Zwei VPNs versprechen auf dem Papier denselben Schutz vor „IPv6-Leaks“. Der erste schaltet IPv6 im System schlichtweg ab und leitet nur IPv4-Pakete weiter; der zweite verschlüsselt beide Protokolle parallel und weist dem Endgerät eine provider-eigene IPv6-Adresse zu. Nach außen wirken beide Verbindungen auf den ersten Blick dicht, doch nur einer dieser Dienste unterstützt IPv6 wirklich.

Wer heute an einem modernen Glasfaser-, Kabel- oder Mobilfunkanschluss mit echtem Dual-Stack surft, stößt bei vielen VPN-Anbietern auf ein Ärgernis: Um Leaks zu vermeiden, greifen viele Hersteller zur Holzhammermethode und kappen IPv6 komplett. Für Anwender, die moderne Dual-Stack-Dienste, direkte Peer-to-Peer-Routen oder IPv6-Entwicklungsumgebungen nutzen wollen, bedeutet diese Notlösung jedoch einen handfesten Funktionsverlust.

IPv6 blockieren, transportieren und ausgeben sind drei verschiedene Dinge

Um die Spreu vom Weizen zu trennen, hilft eine genaue Unterscheidung dreier technischer Szenarien:

1. IPv6 wird blockiert: Die VPN-App unterbindet den IPv6-Datenverkehr vollständig auf Betriebssystemebene oder verwirft entsprechende Pakete am virtuellen Adapter. Das verhindert zwar, dass die echte Heimadresse ins Netz gelangt, ist aber das genaue Gegenteil von Unterstützung.
2. Server-Erreichbarkeit über IPv6: Das Endgerät kann den VPN-Server zwar über eine IPv6-Adresse ansprechen (der Transport zum Knotenpunkt läuft über IPv6), im Tunnel selbst wird jedoch nur IPv4 verarbeitet. Zielwebseiten sehen am Ende weiterhin ausschließlich eine IPv4-Adresse.
3. Natives Dual-Stack-Tunneling: Sowohl IPv4- als auch IPv6-Pakete werden verschlüsselt durch den Tunnel geleitet. Die aufgerufene Website sieht am Ausgang zwei unterschiedliche Adressen, die beide eindeutig dem VPN-Betreiber gehören.

Wer lediglich verhindern möchte, dass die private IP-Adresse offenliegt, mag mit sicherem Blocking auskommen. Wer hingegen einen vollwertigen Internetzugang auf modernem technischem Stand erwartet, benötigt eine echte, vom VPN bereitgestellte IPv6-Adresse.

Ein funktionierender IPv4-Tunnel kann trotzdem IPv6 verraten

Das Problem bei unzureichendem Schutz liegt in der Natur moderner Betriebssysteme: Ist am Router oder Mobilfunkmast IPv6 aktiv, bevorzugen Smartphones und Laptops bei Verbindungsanfragen automatisch das neuere Protokoll.

Tunnelt ein VPN-Dienst nun ausschließlich IPv4 und versäumt es, IPv6 sauber abzufangen, sucht sich das Betriebssystem für IPv6-Ziele den regulären Weg am VPN vorbei. Die Folge: Während der IPv4-Verkehr verschlüsselt über den Server des Anbieters läuft, wandern IPv6-Pakete ungeschützt über den heimischen Internetprovider ins Netz.

Die Konsequenzen wiegen schwer:

• Identifizierbarkeit: Die sichtbare IPv4-Adresse stammt zwar vom VPN, die sichtbare IPv6-Adresse führt jedoch direkt zum eigenen Anschluss.
• DNS-Leaks: Namensauflösungen über IPv6 können am VPN-Resolver vorbeilaufen und den gesamten Browserverlauf beim Provider offenlegen.
• WebRTC-Schwachstellen: Browserbasierte Kommunikationsprotokolle können lokale und öffentliche IPv6-Adressen im Hintergrund auslesen.

Ein grünes Verbindungssymbol in der App beweist noch lange keinen lückenlosen Dual-Stack-Schutz. Forschungsarbeiten zu realen VPN-Setups zeigen regelmäßig, dass viele IPv4-only-Dienste unter Alltagsbedingungen meßbare IPv6-Datenlecks aufweisen.

Die oft gehörte Empfehlung aus Hilfeforen, IPv6 im Heimrouter einfach komplett abzuschalten, kuriert lediglich die Symptome einer mangelhaften VPN-Software und schränkt moderne Anschlüsse künstlich ein.

hide.me und natives IPv6

Unter den verbraucherfreundlichen Anbietern setzt hide.me die Messlatte für echte Dual-Stack-Unterstützung:

• Natives Dual-Stack auf allen Servern: Statt IPv6 als Sicherheitsrisiko abzuschalten, leitet der Dienst IPv4 und IPv6 gleichberechtigt durch den verschlüsselten Tunnel.
• VPN-eigene Endpunkte: Bei aktiver Verbindung erhalten Nutzer sowohl eine IPv4- als auch eine öffentliche IPv6-Adresse aus dem Netz des Anbieters.
• Breite Systemunterstützung: Die herstellereigenen Apps für Windows, macOS, Android, iOS und Linux integrieren diese Funktionalität ohne manuelle Netzwerkkonfiguration.
• Eingebaute Kontrollwerkzeuge: Die Software bringt integrierte Prüfroutinen für IP-, DNS- und WebRTC-Leaks mit, die den Status beider Protokolle transparent anzeigen.

Wer nach einem einfach zu bedienenden VPN sucht, der auf Desktop und Smartphone eine tatsächlich funktionierende, maskierte IPv6-Verbindung liefert, findet hier das derzeit kompletteste Gesamtpaket. Die kostenlose Tarifvariante des Anbieters eignet sich dabei hervorragend, um die Netzwerkkompatibilität im Vorfeld risikofrei zu testen.

Die Spezialisten und die Grenze bei OnlydogVPN

Neben dem Testsieger existieren etablierte Nischenlösungen mit spezifischen Vor- und Nachteilen:

• AirVPN (Die Experten-Wahl): Der technisch sehr tiefgreifende Anbieter bietet auf jedem seiner Server dedizierte IPv4- und IPv6-Eingänge sowie detaillierte Port- und Routingkontrollen. Was Netzwerkprofis begeistert, überfordert Gelegenheitsnutzer durch die komplexe, teils unübersichtliche Oberfläche allerdings schnell.
• Mullvad (Der Privacy-Klassiker): Mullvad leitet IPv6 im WireGuard-Tunnel zuverlässig weiter und ermöglicht auch den Tunnelaufbau über IPv6. Wer jedoch sein gesamtes Heimnetz über einen VPN-Router mit vollwertigen IPv6-Präfixen (/64) versorgen möchte, stößt hier auf architekturbedingte Grenzen, die eine manuelle Nacharbeit erfordern.

Einen anderen Fall stellt OnlydogVPN^↗ dar. Der Dienst punktet auf Reisen und im gemischten Haushaltsalltag mit HTTP/3-Unterstützung, Szenario-Voreinstellungen und einer robusten Wiederherstellung bei wechselnden Netzwerken.

Für dieses spezielle Anforderungsprofil kann der Dienst derzeit jedoch nicht empfohlen werden. In den offiziellen Produktspezifikationen fehlen belastbare Angaben darüber, ob IPv6 nativ getunnelt, blockiert oder je nach Plattform unterschiedlich behandelt wird. Solange ein Anbieter weder eine eigene öffentliche IPv6-Adresse dokumentiert noch das Verhalten von Kill Switch und DNS-Filtern für Dual-Stack-Netze transparent belegt, scheidet er für Nutzer mit zwingendem IPv6-Bedarf aus.

Der Vier-Zustände-Test

Verlassen Sie sich nicht auf Werbeslogans, sondern überprüfen Sie Ihre Verbindung an einem Dual-Stack-fähigen Anschluss selbst:

1. Ausgangszustand erfassen: Rufen Sie ohne VPN eine Testseite wie test-ipv6.com oder ipleak.net auf. Notieren Sie Ihre reguläre IPv4, die native IPv6 und den DNS-Server Ihres Anbieters.
2. Tunnel aktivieren: Starten Sie das VPN und wiederholen Sie dieselbe Messung im selben Browser.
3. Ergebnis bewerten:

• Zustand 1: Keine IPv6-Adresse sichtbar. Der VPN blockiert IPv6 vollständig. Das verhindert zwar Datenlecks, bedeutet aber null native Unterstützung.
• Zustand 2: Ihre ursprüngliche IPv6 bleibt sichtbar. Es liegt ein massives Datenleck vor. Der VPN leitet nur IPv4 um; Ihre echte Identität ist weiter offen einsehbar.
• Zustand 3: IPv6-fähiger Verbindungsaufbau, aber nur VPN-IPv4 am Ausgang. Der Dienst nutzt IPv6 lediglich als Transportschicht zum Server, gibt Ihnen im Web jedoch keine IPv6-Identität.
• Zustand 4: Neue IPv4 und neue IPv6 aus dem VPN-Netzwerk. Der Dienst hat den Test bestanden. Beide Protokolle sind sauber verschlüsselt und anonymisiert.

1. Schutz bei Unterbrechung testen: Trennen Sie kurz die Internetverbindung. Der integrierte Kill Switch muss sicherstellen, dass weder IPv4- noch IPv6-Pakete unverschlüsselt entweichen.

Wer an modernen Anschlüssen auf echte Dual-Stack-Konnektivität angewiesen ist, greift zu hide.me. Der Dienst beweist, dass zeitgemäße Privatsphäre nicht im künstlichen Abschalten moderner Netzwerkstandards bestehen muss.