Wirecutter о VPN: разбор выбора для России 2026

Wenn Sie nach wirecutter vpn gesucht haben und hofften, einfach die erste Nummer aus ihrer Liste zu nehmen – muss ich Sie enttäuschen. Die Methodologie der Jungs von NYT ist gut, die Tests sind ehrlich, aber ihre gesamte Arbeit wird aus den USA und Europa gemacht, wo der Anbieter Ihnen nicht durch DPI in die Pakete schaut und Instagram nicht auf Anforderung von Roskomnadzor blockiert. Hier werde ich erläutern, was genau sie testen, wo sie in Bezug auf Russland eine Lücke haben – und wie man einen VPN auswählt, der wirklich funktioniert.

Wen und warum empfiehlt Wirecutter in seinem VPN-Überblick

Wirecutter ist die Redaktion der New York Times, die sich auf Verbraucherbewertungen spezialisiert hat. Ihre VPN-Methodologie ist ziemlich durchdacht: unabhängige Sicherheitsprüfungen, No-Logs-Politik, Geschwindigkeit auf Servern in verschiedenen Ländern, Benutzerfreundlichkeit der Apps, Preisgestaltung und Jurisdiktion des Unternehmens. All das ist wichtig und all das ist wahr.

Aktuelle Favoriten von Wirecutter und ihre Auswahlkriterien

Konkrete Namen in ihrem Top ändern sich – Wirecutter aktualisiert das Ranking mehrmals im Jahr. Historisch gesehen waren dort Mullvad, ExpressVPN, ProtonVPN und ähnliche Dienste vertreten. Gemeinsames Merkmal: Alle haben unabhängige Prüfungen von bekannten Firmen (Cure53, SEC Consult), öffentliche No-Logs-Politiken und Apps für alle wichtigen Plattformen.

Mullvad kostet 5 €/Monat und erfordert keine E-Mail bei der Registrierung – man kann bar oder mit Krypto bezahlen. ProtonVPN wird oft als Open-Source-Option für Apps angeboten. Beide sind in Bezug auf Privatsphäre wirklich gut. Aber beide haben in Russland Probleme – dazu gleich mehr.

Worauf Wirecutter Wert legt: Audit, Privatsphäre, Jurisdiktion

Ihre Checkliste sieht so aus: Gibt es ein öffentliches Audit in den letzten zwei Jahren, speichert der Dienst Verbindungsprotokolle, wo ist das Unternehmen registriert (vorzugsweise nicht in den USA oder der EU mit einer 14-Augen-Jurisdiktion), wie schnell sind die Server laut Speedtest. Plus Benutzerfreundlichkeit der Oberfläche – sie installieren tatsächlich Apps und klicken auf die Schaltflächen.

Das ist normale Journalismus. Das Problem ist, dass sie die Geschwindigkeit aus dem amerikanischen Büro über einen amerikanischen Anbieter messen. Dort gibt es prinzipiell kein DPI.

Was in der Methodologie von Wirecutter für den russischen Nutzer fehlt

Es gibt kein Wort über Obfuskation. Es gibt keine Tests zur Blockierung nach Protokollsignaturen. Es gibt keine Überprüfung, ob die Website des VPN-Dienstes aus Russland geöffnet werden kann – und das ist bereits eine Frage, denn einige Anbieter blockieren sogar die Download-Seiten. Wirecutter bewertet VPN als ein Privatsphäre-Tool für einen Bewohner eines westlichen Landes. Das ist eine ehrliche Position, einfach nicht unsere Aufgabe.

Warum die Empfehlungen von Wirecutter in Russland schlecht funktionieren

Hier beginnt das Wichtigste. Russische Anbieter – große wie Rostelekom und MTS sowie kleine regionale – installieren TSPU-Ausrüstung (technische Mittel zur Bekämpfung von Bedrohungen), die in der Lage ist, DPI auf der Ebene des gesamten Traffics durchzuführen. Das ist kein Firewall von 2010, die einfach auf IP schaut. Das ist die Analyse von Protokollsignaturen in Echtzeit.

DPI und die Blockierung beliebter VPN-Protokolle durch Anbieter

Deep Packet Inspection – das ist buchstäblich das Lesen des Inhalts Ihrer Pakete. Nicht des verschlüsselten Inhalts, sondern der Metadaten und charakteristischen Muster der Verbindung. OpenVPN hat einen erkennbaren Handshake. WireGuard auch. Der Anbieter ist nicht verpflichtet zu wissen, was genau Sie ansehen, um die Tatsache der VPN-Verbindung zu blockieren.

In der Praxis sieht das so aus: Sie verbinden sich mit dem Mullvad-Server über WireGuard, die ersten 30 Sekunden funktioniert alles, dann bricht die Verbindung ab oder hängt. Oder es wird überhaupt nicht hergestellt. Das hängt vom Anbieter und seinen aktuellen Blockierungseinstellungen ab.

Wie Roskomnadzor OpenVPN und WireGuard nach Signaturen blockiert

WireGuard verwendet UDP und hat ein charakteristisches Handshake-Muster am Port 51820 (standardmäßig). Der Portwechsel hilft für kurze Zeit – nach einer Weile wird das DPI aktualisiert und beginnt nicht mehr auf den Port, sondern auf die Struktur der Pakete zu schauen. OpenVPN über TCP/443 ist besser, weil es sich als HTTPS tarnt, hat aber auch einen erkennbaren TLS-Handshake mit charakteristischen Mustern.

Die Situation ist nicht statisch – die Blockierungen nehmen in Wellen zu. Ein Protokoll, das im letzten Monat hervorragend funktionierte, kann nach einem weiteren Update des TSPU aufhören, sich zu verbinden. Das ist eines der Argumente für das Vorhandensein einer Backup-Option.

Verlangsamung von Websites und warum ein normaler VPN nicht hilft

Die Verlangsamung von YouTube seit 2023 ist eine eigene Geschichte. Roskomnadzor wendet keine vollständige Blockierung an, sondern Throttling: Der Traffic zu den Google-Servern wird auf einige Megabit verlangsamt, was 1080p unmöglich macht. Wenn der VPN funktioniert, wird diese Verlangsamung automatisch umgangen – Ihr Traffic geht durch ein anderes Land und sieht aus Sicht des russischen Anbieters nicht mehr wie YouTube aus.

Aber wenn Ihr VPN durch DPI blockiert ist – wird es sich überhaupt nicht verbinden, und die Verlangsamung wird Sie nirgendwo hinlassen. Instagram, Facebook, Twitter/X sind seit 2022 vollständig blockiert. Telegram wurde nach mehreren Jahren der Blockierung wieder freigegeben, aber die Situation kann sich ändern. Normaler WireGuard ohne Obfuskation hat damit instabile Ergebnisse.

Welche Protokolle tatsächlich Blockierungen umgehen: was in den Bewertungen von Wirecutter fehlt

Das ist der Abschnitt, den wirecutter vpn niemals schreiben wird – einfach weil sie nicht die Aufgabe haben, die Umgehung staatlicher Zensur zu testen. Aber wir haben diese Aufgabe. Lassen Sie uns die Protokolle durchgehen.

Shadowsocks und VLESS/XRay: Tarnung als normales HTTPS

Shadowsocks entstand in China als Antwort auf die GFW (Great Firewall of China). Die Idee: Verschlüsselung des Traffics so, dass er wie ein normaler, verrauschter Strom ohne offensichtliche Anzeichen eines VPN aussieht. Auf der DPI-Ebene ist das nicht von zufälligem HTTPS-Traffic zu unterscheiden.

VLESS mit dem Transport XRay ist eine modernere Entwicklung in dieselbe Richtung. Es kann sich als WebSocket-Traffic zu einer normalen Website tarnen, über das CDN Cloudflare, was die Blockierung der IP-Adresse des Servers nahezu unmöglich macht – man müsste ganz Cloudflare blockieren. Das wird bereits im Iran und in Russland verwendet. Es funktioniert stabil dort, wo WireGuard nicht hochfährt.

Amnezia und obfuskiertes WireGuard (AmneziaWG)

Amnezia VPN ist ein russisches Open-Source-Projekt, das eine gesonderte Erwähnung verdient. AmneziaWG nimmt das Standard-WireGuard und modifiziert den ursprünglichen Handshake: Es fügt zufälligen Müll in die initiierenden Pakete ein, sodass die Signatur nicht mehr mit dem übereinstimmt, was das DPI sucht. Dabei fällt die Geschwindigkeit praktisch nicht ab.

Ein wichtiger Punkt: AmneziaWG erfordert Unterstützung von beiden Seiten – sowohl auf der Client- als auch auf der Serverseite. Fertige Dienste mit diesem Protokoll sind bisher selten, aber das Projekt entwickelt sich aktiv weiter. Die eigenständige Installation über den Amnezia-Client auf Ihrem VPS ist eine durchaus funktionierende Geschichte.

Vergleich: Geschwindigkeit gegen Widerstandsfähigkeit gegen DPI

OpenVPN, IKEv2, WireGuard — wenn sie noch ausreichend sind

Es ist nicht alles so schlecht mit klassischen Protokollen. Wenn Sie einen Unternehmensanbieter oder einen kleinen regionalen Anbieter ohne aktives DPI haben — kann normales WireGuard hervorragend funktionieren. IKEv2 auf iOS ist praktisch, da es im System integriert ist und die Verbindung stabil hält, wenn zwischen Wi-Fi und Mobilfunk gewechselt wird. OpenVPN über TCP 443 funktioniert dort gut, wo DPI nicht sehr aggressiv ist.

Aber als primäres und einziges Werkzeug im Jahr 2026 — ist das unzuverlässig. DPI wird aktualisiert, Regionen unterscheiden sich, und eines Morgens festzustellen, dass das gewohnte Protokoll sich nicht mehr verbindet — ist unangenehm.

Wie man ein VPN für Russland auswählt: Checkliste statt fremdem Ranking

Die Kriterien von Wirecutter VPN — eine gute Basis, aber für Russland ist eine erweiterte Liste erforderlich. Das sind die Punkte, die ich zuerst überprüfen würde.

Obfuskation des Traffics unter DPI ist erforderlich

Die erste Frage an jeden Dienst: Unterstützt er Shadowsocks, VLESS, AmneziaWG oder zumindest obfs4 für OpenVPN? Wenn nicht — fällt er aus der Betrachtung für die Nutzung in Russland, unabhängig davon, wie sehr Wirecutter ihn lobt. Das ist keine negative Bewertung des spezifischen Dienstes, sondern einfach unterschiedliche Anforderungen.

Ein separater Punkt: Wenn die Website des Dienstes vom Anbieter blockiert ist — stellen Sie sicher, dass es ein Spiegel oder die Möglichkeit gibt, die Konfiguration im Voraus herunterzuladen. Mullvad.net ist beispielsweise zeitweise bei einigen Anbietern direkt nicht verfügbar.

Unterstützung für Android, iPhone/iOS, Windows, Mac, Router und Smart TVs

iOS — ein separates Problem. Apple schränkt die Hintergrundaktivität von Drittanbieter-Netzwerkerweiterungen ein, und einige obfuskierte Clients funktionieren instabil oder verlieren die Verbindung, wenn der Bildschirm gesperrt wird. Überprüfen Sie das Verhalten des spezifischen Clients auf dem iPhone getrennt von Android.

Smart TVs und Apple TVs unterstützen überhaupt keine benutzerdefinierten VPN-Clients. Der einzige Weg hier ist die Einrichtung auf dem Router. Das bedeutet, dass Ihr Router das benötigte Protokoll unterstützen muss. OpenWRT mit dem Plugin shadowsocks-libev ist eine funktionierende Option. Oder Sie nehmen einen Router mit vorinstallierten Firmware-Versionen wie Keenetic — dort gibt es Unterstützung für einige Protokolle direkt ab Werk.

Echte Geschwindigkeitstests auf Ihrem eigenen Kanal

Glauben Sie nicht den Geschwindigkeitstests anderer — weder Wirecutter noch jemand anderem. Die Geschwindigkeit hängt von Ihrem Anbieter, Ihrer Region und der aktuellen Serverauslastung ab. Testen Sie selbst: speedtest.net vor der Verbindung, denselben Test danach. Fast.com für YouTube-spezifische Messungen. Wenn Sie einen 100 Mbit/s Kanal haben und über VPN 30 erhalten — ist das für Shadowsocks normal; wenn 5 — stimmt etwas nicht.

Mobilfunkanbieter und Heimprovider können sich unterschiedlich verhalten. Es kommt vor, dass VPN über das Heim-Internet hervorragend funktioniert, aber über das Mobilfunknetz nicht funktioniert — oder umgekehrt. Das sind unterschiedliche Ebenen von DPI und unterschiedliche Blockierungseinstellungen.

Transparenz und keine Protokolle

Hier sind die Kriterien von Wirecutter direkt anwendbar: Suchen Sie nach einem öffentlichen Audit, idealerweise aus den Jahren 2024–2026, von einer unabhängigen Firma. Mullvad hat 2024 ein Audit von Cure53 bestanden, die Ergebnisse sind veröffentlicht. ProtonVPN wird regelmäßig auditiert. NvoVPN positioniert sich als No-Logs-Dienst mit Unterstützung für obfuskierte Protokolle — als eine der Optionen für russische Bedingungen. Amnezia — Open-Source, der Code kann selbst überprüft werden.

Was in der Praxis zu tun ist: Einrichtung eines blockierungsresistenten VPN

Genug Theorie. Zwei reale Wege.

Fertiger Service gegen selbstständige Konfiguration auf VPS

Fertiger Service mit Unterstützung für Shadowsocks oder VLESS — am einfachsten für die meisten. App installiert, Server ausgewählt, verbunden. Nachteil: Sie sind davon abhängig, wie schnell der Service die Konfigurationen bei Blockierungen aktualisiert. NvoVPN zum Beispiel ist auf den russischen Markt ausgerichtet und unterstützt obfuskierte Protokolle — das ist ein Plus. Bezahlen müssen Sie mit einer russischen Mir-Karte oder Krypto, da Visa/Mastercard von ausländischen Services aus dem Wirecutter-Ranking nicht alles akzeptiert.

Eigenes VPS — maximale Kontrolle. Sie mieten einen Server in den Niederlanden oder Finnland für €3-5/Monat (Hetzner, Contabo), installieren Amnezia über ihren offiziellen Client in 10 Minuten. Sie erhalten AmneziaWG mit Ihrer einzigartigen Konfiguration, die niemand vorher blockiert hat. Nachteil: Man muss sich ein wenig auskennen und selbst auf den Server achten.

Backup-Protokoll für den Fall verstärkter Blockierungen

Stellen Sie unbedingt eine Backup-Option ein. Wenn das Haupt-AmneziaWG plötzlich nicht mehr funktioniert — wechseln Sie zu Shadowsocks oder VLESS. Wenn das auch nicht funktioniert — versuchen Sie OpenVPN über 443. Gute Services ermöglichen den Wechsel zwischen Protokollen innerhalb einer App. Bei der selbstständigen Konfiguration halten Sie zwei bis drei Konfigurationen für verschiedene Protokolle bereit.

Blockierungen verstärken sich unregelmäßig und manchmal plötzlich. Ein gestern funktionierendes Protokoll kann heute Morgen nicht mehr verbinden — und es ist besser, dies nicht im Moment zu entdecken, wenn man dringend Zugang benötigt.

Überprüfung auf DNS-Lecks und Funktion nach der Verbindung

Überprüfen Sie nach der Verbindung drei Dinge. Erstens: Gehen Sie auf ipleak.net — dort sehen Sie Ihre echte IP und DNS-Server. Wenn DNS die Adressen Ihres russischen Providers bei aktivem VPN anzeigt — ist das ein Leck, das in den Einstellungen behoben werden muss (DNS über VPN aktivieren oder 1.1.1.1 zwingend eintragen). Zweitens: Öffnen Sie instagram.com oder eine andere blockierte Ressource — es sollte sich öffnen. Drittens: Führen Sie einen Speedtest durch, um sicherzustellen, dass die Geschwindigkeit akzeptabel ist.

DNS-Leck ist das häufigste Problem. Technisch funktioniert der VPN-Tunnel, aber DNS-Anfragen gehen vorbei und der Provider sieht, was Sie tatsächlich öffnen. Die meisten normalen Clients beheben dies automatisch, aber es ist besser, dies zu überprüfen.