Bestes VPN mit zuverlässigem Kill Switch: Für „kein VPN, kein Internet“ würde ich Mullvad wählen

Wer nach einem VPN mit einem verlässlichen Kill Switch sucht, testet die Funktion meist auf die denkbar einfachste Art: Man verbindet den Tunnel, trennt kurz das WLAN und sieht nach, ob die Verbindung blockiert wird. Das fühlt sich beruhigend an, greift im Alltag jedoch viel zu kurz.

Ein echter Ausfall verläuft selten so geordnet. Ein Router startet mitten in der Nacht neu, das Notebook klappt im Ruhezustand zu, eine VPN-App stürzt unbemerkt im Hintergrund ab oder man trennt die Verbindung gedankenversunken per Hand.

In den Feature-Tabellen der Marketingabteilungen steht fast überall der gleiche Haken: Kill Switch vorhanden. Doch dieser Begriff deckt zwei völlig verschiedene Schutzkonzepte ab. Wer sicherstellen will, dass ein Gerät unter keinen Umständen ungeschützt online geht, muss genauer hinsehen.

Ein Kill Switch nach einem Abbruch ist kein permanenter Lockdown

Die meisten gängigen VPN-Dienste bieten einen sogenannten Standard-Kill-Switch. Seine Aufgabe ist rein reaktiv: Er überwacht einen bestehenden Tunnel. Bricht diese Verbindung unerwartet weg – etwa durch einen Serverfehler –, kappt die Software die Internetverbindung, bis der Tunnel wieder aufgebaut werden kann.

Das Problem dabei: Was passiert, wenn du selbst auf „Trennen“ klickst? Was geschieht, wenn der Rechner frisch hochfährt, die App aber noch gar nicht geladen ist?

Bei einem Standard-Schutz öffnet sich das System in diesen Momenten sofort für den normalen, unverschlüsselten Datenverkehr. Wer dagegen ein striktes Prinzip verfolgen möchte – kein VPN, überhaupt kein Internet –, benötigt einen permanenten Modus, oft als Advanced Kill Switch oder Lockdown bezeichnet.

Dass diese Unterscheidung grundlegend ist, dokumentieren Anbieter wie Proton ganz offiziell: Während der normale Kill Switch nur auf Verbindungsabbrüche reagiert, blockiert der Advanced-Modus das Internet auch nach dem manuellen Trennen und bleibt auf Desktop-Systemen selbst über einen Neustart hinweg aktiv (Proton VPN Support: How to use Advanced Kill Switch). Auch Google integriert in Android mit „Durchgehend aktives VPN“ und der Option „Verbindungen ohne VPN blockieren“ genau so eine systemweite Vollsperre Android-Hilfe: VPN auf Android-Geräten einrichten.

Ein einfacher Menühaken sagt also nichts darüber aus, ob die Leitung nur bei Pannen oder grundsätzlich dichtbleibt.

Warum Mullvad für diese Anforderung vorne liegt

Sucht man einen Dienst, dessen gesamte Architektur auf maximale Lecksicherheit getrimmt ist, führt der direkteste Weg zu Mullvad.

Der Grund dafür sind keine bunten Schalter, sondern eine konsequente Designentscheidung: Auf Desktop-Systemen (Windows, macOS, Linux) ist der reguläre Kill Switch fest in die App integriert, dauerhaft aktiv und lässt sich gar nicht erst versehentlich in den Einstellungen deaktivieren (Mullvad Help: Using the Mullvad VPN app).

Wer absolute Dichtheit verlangt, schaltet zusätzlich den Lockdown Mode ein. Dieser Modus verändert das Verhalten radikal:

• Drückst du manuell auf „Disconnect“, bleibt das gesamte Internet gesperrt.
• Beendest du die Mullvad-App, bleibt das Internet gesperrt.
• Selbst wenn der Rechner hochfährt, wird der Datenverkehr blockiert, bis ein sicherer Tunnel steht.

Als Ergänzung sorgt eine Auto-Connect-Funktion dafür, dass der Verbindungsaufbau automatisch startet. Die eigentliche Sperre übernimmt aber der Lockdown.

Als Alternative auf Augenhöhe bietet sich Proton VPN mit seinem Advanced Kill Switch an, der unter Windows und Linux persistente Systemfilter nutzt. Wenn es jedoch darum geht, von Haus aus so wenig Raum für Fehlbedienungen wie möglich zu lassen, ist Mullvads kompromisslose Standardkonfiguration die verlässlichste Ausgangsbasis.

Der gleiche VPN verhält sich je nach Betriebssystem anders

Ein VPN-Anbieter kann noch so vorbildlich programmiert sein – am Ende bestimmt das Betriebssystem, wie absolut ein Kill Switch in der Praxis greifen kann. Wer davon ausgeht, dass sich ein Dienst auf dem Mac oder iPhone genauso verhält wie unter Windows, erlebt unter Umständen böse Überraschungen.

Die Unterschiede sind technisch bedingt:

• Windows und Linux: Hier haben Entwickler weitreichende Kontrolle über die Filtertreiber des Kernels. Sowohl Mullvads Lockdown als auch Protons Advanced Kill Switch können den Netzwerkverkehr extrem zuverlässig und dauerhaft absichern.
• Android: Das Google-Betriebssystem bringt eine eigene systemweite Hürde mit. Über die Systemeinstellungen lässt sich festlegen, dass das Smartphone Verbindungen ohne aktiven VPN schlicht verwirft – eine der saubersten Lösungen auf Mobilgeräten.
• macOS: Mullvad weist transparent darauf hin, dass es während der ersten Sekunden des Systemstarts (Early Boot) theoretisch zu ungeschütztem Datenverkehr kommen kann, bevor der Hintergrunddienst der App vollständig geladen ist (Mullvad Help: Using the Mullvad VPN app).
• iOS (iPhone/iPad): Apples striktes Systemmanagement macht absolute Blockaden schwierig. Mullvad arbeitet hier mit Profilen und Funktionen wie „Force all apps“, dokumentiert in seinen Hilfeseiten jedoch ganz offen, dass iOS bei manchen Systemdiensten oder Netzwerkwechseln dennoch Ausnahmen erzwingen kann (Mullvad Help: Using Mullvad app on iOS).

Ein wichtiger Praxishinweis betrifft das sogenannte Split Tunneling: Wer bestimmte Anwendungen am VPN vorbeileitet, hebelt damit per Definition den vollständigen Schutz aus. Bei Mullvad dürfen vom Nutzer ausgenommene Programme auch im Lockdown Mode direkt ins Internet funken. Wer absolute Abschottung will, darf keine Ausnahmen definieren.

Der Übergangstest: So prüfst du die Funktion selbst

Bevor du einem Dienst sensible Aufgaben anvertraust, solltest du nicht nur auf das grüne Statussymbol vertrauen, sondern realistische Übergänge simulieren.

Lass auf deinem Rechner eine harmlose, kontinuierliche Übertragung laufen (etwa einen Internet-Audiostream oder ein Download-Testfile) und teste schrittweise:

1. Schalte das WLAN kurz aus und wieder ein.
2. Wechsle vom WLAN auf den mobilen Hotspot deines Smartphones.
3. Schicke das Gerät in den Ruhezustand (Standby) und wecke es nach einer Minute wieder auf.
4. Schließe die VPN-App gewaltsam über den Task-Manager.
5. Bei aktiviertem Lockdown-Modus: Trenne den VPN bewusst und versuche, eine normale Website aufzurufen.

In keinem dieser Momente darf die Übertragung einfach über deine reale IP-Adresse weiterlaufen. Erst wenn der Tunnel wieder sauber steht, darf das Internet antworten.

Dass solche Übergangstests notwendig sind, zeigte unter anderem die Sicherheitsanalyse TunnelVision (Leviathan Security Group: TunnelVision): Lokale Netzwerkrouten können in bestimmten Umgebungen so manipuliert werden, dass Datenpakete am Tunnel vorbeifließen, ohne dass ein herkömmlicher VPN-Abbruch registriert wird. Ein System, das Routenwechsel nicht sauber abfängt, bemerkt das Problem oft gar nicht.

Wann Mullvad gewinnt – und wann ein anderer Ansatz sinnvoller ist

Die Entscheidung für den passenden Dienst hängt an einer einfachen Weiche:

Wenn dein wichtigstes Ziel lautet: „Mein Gerät darf niemals, zu keiner Sekunde und bei keinem Verbindungsabbruch ohne Verschlüsselung online sein“, dann ist Mullvad mit aktiviertem Lockdown Mode die erste Wahl. Auf Windows- oder Linux-Systemen ist auch der Advanced Kill Switch von Proton eine hervorragende, gut dokumentierte Option.

Doch nicht jeder Nutzer, der über Verbindungsabbrüche klagt, braucht wirklich eine permanente Internetsperre. Oft ist das eigentliche Problem ein ganz anderes: Man reist viel, bewegt sich zwischen schwachen Hotel-WLANs, Zug-Netzen und Mobilfunk hin und her – und ist schlicht genervt davon, dass ein herkömmlicher Kill Switch bei jedem Funkloch den gesamten Rechner lahmlegt und der Wiederaufbau ewig dauert.

Liegt dein Frust genau hier, lohnt sich ein Blick auf OnlydogVPN^↗.

Die Anwendung versucht gar nicht erst, sich als Werkzeug für den totalen Sicherheits-Lockdown zu positionieren. Ihr Fokus liegt stattdessen auf einer schnellen, automatischen Erholung bei instabilen Verbindungswechseln: Die Software wählt die Route eigenständig, fängt schwankende Netze im Hintergrund ab und stellt die verschlüsselte Verbindung nach einem Wechsel zwischen Mobilfunk und WLAN ohne manuelles Zutun wieder her. Für den entspannten Reisealltag ist das oft deutlich alltagstauglicher als ein harter Lockdown, der bei jeder Netzschwankung die Arbeit blockiert.

Das Fazit bleibt dennoch eindeutig: Geht es dir im Kern um die sicherste, unnachgiebigste Kill-Switch-Architektur, lautet die Antwort Mullvad. Achte nur darauf, die Funktion auf deinem Betriebssystem richtig einzurichten – denn erst dort entscheidet sich, wie lückenlos der Schutz wirklich ist.