Wie man die Blockierung von Websites und Diensten ohne Geschwindigkeits- und Anonymitätsverlust umgeht

Blockierungen von Internetressourcen sind für Millionen von Nutzern Teil der alltäglichen Realität geworden. LinkedIn ist seit 2016 in Russland blockiert, Discord unterliegt gelegentlich Einschränkungen, und der Zugang zu ausländischen Streaming-Plattformen hängt von der Region ab. Dabei verringern die meisten beliebten Umgehungsmethoden entweder erheblich die Verbindungsgeschwindigkeit oder gefährden die Vertraulichkeit der Daten. In diesem Artikel werden wir spezifische technische Lösungen untersuchen, die den Zugang zu blockierten Ressourcen ermöglichen und dabei hohe Geschwindigkeit und Anonymität bewahren.

Warum Standardmethoden zur Umgehung von Blockierungen nicht mehr funktionieren

Roskomnadsor und ähnliche Regulierungsbehörden in anderen Ländern verbessern ständig die Methoden zur Filterung von Datenverkehr. Wenn es 2015 ausreichte, den DNS-Server zu wechseln, verwenden Anbieter jetzt die Technologie der Deep Packet Inspection (DPI). Diese analysiert nicht nur die Header von Paketen, sondern auch deren Inhalt, was es ermöglicht, VPN-Datenverkehr, Tor und andere Protokolle selbst bei Verschlüsselung zu identifizieren und zu blockieren.

Der Standard OpenVPN auf Port 1194 wird innerhalb von Minuten nach der Verbindung blockiert – DPI erkennt leicht seine Signatur. Kostenlose Browsererweiterungen wie Hola oder ZenMate verkaufen den Nutzerdatenverkehr an Dritte. Öffentliche Proxy-Server sind in den meisten Fällen bereits auf schwarzen Listen oder arbeiten mit einer Verzögerung von über 500 ms.

Methoden zur Umgehung von Blockierungen: von einfach bis zuverlässig

DNS-Server wechseln: schneller Start für einfache Fälle

Ein Teil der Blockierungen wird nur auf DNS-Ebene umgesetzt – der Anbieter gibt eine falsche IP-Adresse für die blockierte Domain zurück. In solchen Fällen hilft ein einfacher Wechsel des DNS-Servers.

Die bewährtesten Optionen:

• Cloudflare 1.1.1.1 – schnell, protokolliert keine Anfragen, unterstützt DNS over HTTPS (DoH)
• Google 8.8.8.8 / 8.8.4.4 – stabil, aber Google sammelt Anfragedaten
• Quad9 9.9.9.9 – blockiert schädliche Domains, speichert keine IP-Adressen von Nutzern

Einrichtung unter Windows 11: Einstellungen → Netzwerk und Internet → WLAN (oder Ethernet) → DNS-Einstellungen ändern → IPv4-Adresse manuell angeben. Um die DNS-Anfragen vor dem Abfangen durch den Anbieter zu schützen, sollte DNS over HTTPS im Browser oder auf dem Router aktiviert werden.

Einschränkung der Methode: funktioniert nur gegen DNS-Blockierungen. Wenn der Anbieter die IP-Adresse blockiert oder DPI verwendet, hilft ein DNS-Wechsel nicht. Zum Beispiel wird diese Methode nur teilweise funktionieren, um auf LinkedIn in Russland zuzugreifen.

VPN: Die Wahl des Protokolls entscheidet alles

Nicht alle VPNs sind gleich widerstandsfähig gegen Blockierungen. Der Unterschied ist grundlegend:

WireGuard – modernes Protokoll mit hoher Geschwindigkeit (bis zu 90 % der Geschwindigkeit ohne VPN bei Tests von Ookla Speedtest), wird aber von DPI leicht durch den charakteristischen Handshake auf UDP-Port 51820 erkannt. In Ländern mit aggressiver Datenverkehrsfilterung (Russland, China, Iran) funktioniert es ohne zusätzliche Tarnung instabil.

OpenVPN mit Obfuscation – die Hinzufügung von obfs4 oder scramblesuit über OpenVPN tarnt den Datenverkehr als zufälligen Datenstrom. Die Geschwindigkeit sinkt um etwa 20–30 %, aber die Widerstandsfähigkeit gegen Blockierungen ist deutlich höher.

AmneziaVPN – eine Open-Source-Lösung, die speziell für den Betrieb unter russischen Blockierungen entwickelt wurde. Verwendet ein modifiziertes WireGuard mit Randomisierung der Paket-Header, was den Datenverkehr von normalem HTTPS nicht unterscheidbar macht. Die Geschwindigkeit bleibt dabei hoch – die Verluste betragen weniger als 10 % im Vergleich zur direkten Verbindung.

AmneziaVPN: Einrichtung auf dem eigenen Server

Der entscheidende Vorteil von AmneziaVPN gegenüber kommerziellen VPN-Diensten ist die Nutzung eines eigenen Servers. Die IP-Adressen kommerzieller VPNs werden ständig blockiert, während ein persönlicher Server mit einer einzigartigen IP unbemerkt bleibt.

Minimale Anforderungen an den Server: VPS mit 512 MB RAM, 1 CPU-Kern und einer externen IP-Adresse. Geeignete Hosting-Anbieter sind Hetzner (Deutschland, ab 3,29 €/Monat), DigitalOcean (USA, ab $4/Monat), Vultr (viele Standorte, ab $2,50/Monat).

Der Installationsprozess dauert etwa 10 Minuten:

1. Laden Sie die AmneziaVPN-Anwendung auf Ihren Computer oder Smartphone von der offiziellen Website amnezia.org herunter
2. Wählen Sie in der Anwendung „Mit Ihrem Server verbinden“ und geben Sie die SSH-Daten des VPS ein
3. Die Anwendung installiert automatisch den Serverteil und erstellt ein Verbindungsprofil
4. Exportieren Sie die Konfiguration für andere Geräte über einen QR-Code

Das Standardprotokoll ist AmneziaWG (modifiziertes WireGuard). Für maximale Tarnung wird empfohlen, auf das Protokoll AWG mit den Einstellungen Junk packets: 4, Junk packet min size: 40, Junk packet max size: 70 umzuschalten – diese Parameter simulieren zufälligen Netzwerkrauschen.

VLESS + XTLS-Reality: wenn maximale Tarnung erforderlich ist

Das Protokoll Reality, das Teil des Projekts Xray-core ist, stellt einen grundlegend anderen Ansatz zur Tarnung dar. Anstatt zufälligen Datenverkehr zu simulieren, gibt es die VPN-Verbindung als Anfrage an eine echte HTTPS-Website aus – zum Beispiel an die Server von Microsoft oder Cloudflare.

Technisch funktioniert das so: Der Client verbindet sich mit Ihrem Server, gibt aber im TLS-Handshake SNI (Server Name Indication) der echten Domain an – sagen wir, www.microsoft.com. DPI sieht eine legitime TLS-Verbindung mit einer bekannten Domain und lässt sie passieren. Der Datenverkehr ist dabei vollständig verschlüsselt und geht an Ihren Server.

Einstellung über das 3x-ui-Dashboard (wird auf VPS mit dem Befehl installiert):

bash<(curl -Ls https://raw.githubusercontent.com/mhsanaei/3x-ui/master/install.sh)

Nach der Installation wird im Webinterface eine eingehende Verbindung mit dem VLESS-Protokoll, Sicherheit: Reality, uTLS: chrome und Fingerabdruck der echten Website erstellt. Die endgültige Konfiguration wird in den Client v2rayNG (Android), Streisand (iOS) oder v2rayN (Windows) importiert.

Geschwindigkeitswerte: Bei einer Bandbreite von 100 Mbit/s überschreiten die Verluste nicht 5%, die Latenz beträgt etwa 2–5 ms im Vergleich zu einer direkten Verbindung.

Wie man bei der Umgehung von Blockaden nicht an Geschwindigkeit verliert

Wahl der Servergeografie

Die physische Entfernung zum Server beeinflusst direkt die Latenz. Für Benutzer aus Moskau sind Server in Finnland (Helsinki), Deutschland (Frankfurt) oder den Niederlanden (Amsterdam) optimal — der Ping beträgt 30–50 ms. Server in den USA verursachen eine Latenz von 100–140 ms, was für Online-Spiele und Videoanrufe kritisch ist.

Für Streaming (Netflix, YouTube Premium) ist die Latenz weniger kritisch, wichtiger ist die Bandbreite. Server in Europa bewältigen 4K-Streams bei einer Bandbreite von 25 Mbit/s.

Getrenntes Tunneling (Split Tunneling)

Es macht keinen Sinn, den gesamten Verkehr über VPN zu leiten, wenn nur einzelne Websites blockiert sind. Getrenntes Tunneling ermöglicht es, nur die benötigten Verbindungen über VPN zu leiten, ohne die Bandbreite mit unnötigem Verkehr zu belasten.

In AmneziaVPN wird diese Funktion im Abschnitt „Traffic Separation“ konfiguriert — man kann spezifische Anwendungen oder Domains angeben. Zum Beispiel gehen nur Twitter, Instagram und LinkedIn über VPN, während Netflix, Online-Banking und russische Dienste über eine direkte Verbindung laufen. Die tatsächliche Geschwindigkeit bleibt bei diesem Ansatz für die meisten Aufgaben nahezu unverändert.

Protokoll UDP vs TCP

WireGuard und seine Modifikationen arbeiten über UDP, was eine niedrigere Latenz im Vergleich zu TCP-Protokollen gewährleistet. Einige Anbieter blockieren oder beschränken jedoch UDP. In diesem Fall ist VLESS+Reality über TCP mit XTLS die beste Wahl — XTLS bietet null Overhead für doppelte Verschlüsselung, da es natives TLS anstelle von erneuter Verschlüsselung verwendet.

Anonymität: Was wirklich schützt und was nicht

DNS-Lecks: Eine versteckte Bedrohung

Ein häufiges Problem bei der Verwendung von VPN ist, dass DNS-Anfragen nicht über den verschlüsselten Tunnel, sondern direkt an den Anbieter gesendet werden. Man kann auf der Website dnsleaktest.com überprüfen, ob ein Leck vorliegt: Wenn in den Ergebnissen der DNS-Server Ihres Internetanbieters angezeigt wird und nicht die Server des VPN, gibt es ein Leck.

Lösung: In den Einstellungen des VPN-Clients die Option „Nur VPN-DNS-Server verwenden“ aktivieren (Kill Switch über DNS). In AmneziaVPN wird dies „Nur über Tunnel“ genannt.

WebRTC-Lecks im Browser

Die WebRTC-Technologie, die bei Videoanrufen und Browserspielen verwendet wird, kann die echte IP-Adresse selbst bei aktivem VPN offenbaren. Der Chrome-Browser ist besonders anfällig dafür.

Überprüfung: browserleaks.com/webrtc bei aktivem VPN öffnen. Wenn die echte IP angezeigt wird, ist das Leck bestätigt.

Behebung: In Firefox about:config in die Adresszeile eingeben und media.peerconnection.enabled auf false setzen. In Chrome das WebRTC Network Limiter-Plugin von Google installieren. In Brave ist der WebRTC-Schutz standardmäßig aktiviert.

Fingerprinting und Browser-Metadaten

Die IP-Adresse ist nur eines der Identifikationsmerkmale. Der Browser-Fingerabdruck umfasst die Browserversion, installierte Schriftarten, Bildschirmauflösung, Zeitzone, Interface-Sprachen und die Liste der Plugins. Die Kombination dieser Parameter ist für die meisten Benutzer einzigartig, selbst ohne Kenntnis der IP.

Für Aufgaben, die vollständige Anonymität erfordern, wird der Tor-Browser verwendet — er standardisiert alle Fingerabdruckparameter und leitet den Verkehr über drei Knoten. Der Preis — Geschwindigkeit von 2–5 Mbit/s und Latenz von 200 ms. Der Mullvad-Browser mit aktivem Fingerprinting-Schutz ist eine kompromissbehaftete Option zwischen Geschwindigkeit und Anonymität.

Lösungen für den Router: Schutz aller Geräte gleichzeitig

Die Einrichtung von VPN oder Proxy auf jedem einzelnen Gerät ist ein mühsamer Prozess. Ein Router mit Unterstützung für benutzerdefinierte Firmware ermöglicht es, die gesamte Verkehrsbearbeitung auf eine Ebene zu verlagern.

OpenWrt + AmneziaVPN

Router mit OpenWrt-Firmware unterstützen die Installation des AmneziaWG-Clients. Kompatible Geräte: GL.iNet Beryl AX (GL-MT3000), TP-Link Archer C7, Xiaomi AX3200. Nach der Installation des Pakets amneziawg-tools und dem Import der Konfiguration wird der gesamte Verkehr des Heimnetzwerks automatisch über den verschlüsselten Tunnel geleitet — einschließlich Smart-TVs, Spielkonsolen und IoT-Geräte, die keine VPN-Clients unterstützen.

Keenetic mit VPN-Integration

Keenetic-Router haben eine integrierte Unterstützung für WireGuard, ohne dass Drittanbieter-Firmware erforderlich ist. Die Einrichtung dauert etwa 15 Minuten über das Webinterface. Die Funktion „Verbindungsrichtlinien“ ermöglicht es, bestimmten Geräten unterschiedliche Tunnel zuzuweisen — zum Beispiel geht das Arbeitslaptop über VPN, um auf blockierte Ressourcen zuzugreifen, während das Smart-TV direkt für den Zugriff auf russische Geoinhalte läuft.

Vergleich der Methoden: Zusammenfassungstabelle

Praktische Szenarien und Empfehlungen

Für den normalen Benutzer

Wenn Sie Zugang zu LinkedIn, Instagram oder ausländischen Nachrichtenwebsites benötigen, beginnen Sie mit AmneziaVPN auf einem gemieteten VPS. Die Mietkosten für den Server bei Hetzner betragen 3,29 €/Monat, die Einrichtung über die App dauert 10–15 Minuten und erfordert keine technischen Kenntnisse. Die Geschwindigkeit bleibt hoch, die IP-Adresse wird einzigartig und nicht auf Sperrlisten gesetzt.

Für Entwickler und technische Fachkräfte

VLESS + XTLS-Reality über das 3x-ui-Panel bietet maximale Widerstandsfähigkeit gegen Sperren bei minimalen Geschwindigkeitsverlusten. Ein Server kann über den Import von Konfigurationslinks an Kollegen verteilt werden — die Infrastruktur unterstützt 10–20 Benutzer ohne spürbare Belastung des VPS mit 1 vCPU.

Für diejenigen, die mit sensiblen Daten arbeiten

Die Kombination aus VLESS+Reality für alltägliche Aufgaben und Tor Browser für kritische Operationen ist das optimale Gleichgewicht. Tor Browser hinterlässt keine Spuren auf dem Gerät und bietet mehrschichtige Anonymität, allerdings auf Kosten der Geschwindigkeit. Für Finanztransaktionen und den Austausch vertraulicher Dokumente ist dieser Preis gerechtfertigt.

Rechtlicher Aspekt

Die Nutzung von VPN und Tools zum Umgehen von Sperren für persönliche Zwecke ist in den meisten Ländern nicht strafbar. In Russland richtet sich das Gesetz zur Einschränkung von VPN-Diensten aus dem Jahr 2017 gegen VPN-Anbieter, die sich nicht in das Register der verbotenen Websites eingetragen haben, und nicht gegen Endbenutzer. Dennoch ändert sich die rechtliche Situation — es ist wichtig, die aktuellen Änderungen in der Gesetzgebung Ihres Landes zu verfolgen und die beschriebenen Tools ausschließlich für legale Zwecke zu verwenden.