Wirecutter о VPN: разбор выбора для России 2026

Wirecutter о VPN: разбор выбора для России 2026

Wenn Sie nachwirecutter vpn gesucht haben und hofften, einfach die erste Nummer aus ihrer Liste zu nehmen – muss ich Sie enttäuschen. Die Methodik der Jungs von NYT ist gut, die Tests sind ehrlich, aber ihre gesamte Arbeit wird aus den USA und Europa gemacht, wo der Anbieter Ihnen nicht durch DPI in die Pakete schaut und Instagram nicht auf Anforderung von Roskomnadsor blockiert. Hier werde ich erläutern, was genau sie testen, wo sie in Bezug auf Russland eine Lücke haben – und wie man einen VPN auswählt, der tatsächlich funktioniert.

Wen und warum Wirecutter in seinem VPN-Überblick empfiehlt

Wirecutter ist die Redaktion der New York Times, die sich auf Verbraucherbewertungen spezialisiert hat. Ihre VPN-Methodik ist sehr durchdacht: unabhängige Sicherheitsprüfungen, No-Logs-Politik, Geschwindigkeit auf Servern in verschiedenen Ländern, Benutzerfreundlichkeit der Anwendungen, Preisgestaltung und Jurisdiktion des Unternehmens. All das ist wichtig und all das ist wahr.

Aktuelle Favoriten von Wirecutter und ihre Auswahlkriterien

Konkrete Namen in ihrem Top ändern sich – Wirecutter aktualisiert das Ranking mehrmals im Jahr. Historisch gesehen waren dort Mullvad, ExpressVPN, ProtonVPN und ähnliche Dienste vertreten. Gemeinsames Merkmal: Alle haben unabhängige Prüfungen von bekannten Firmen (Cure53, SEC Consult), öffentliche No-Logs-Politiken und Anwendungen für alle gängigen Plattformen.

Mullvad kostet 5 €/Monat und erfordert keine E-Mail bei der Registrierung – man kann bar oder mit Krypto bezahlen. ProtonVPN wird oft als Open-Source-Anwendung angeboten. Beide sind in Bezug auf Privatsphäre wirklich gut. Aber beide haben in Russland Probleme – dazu später mehr.

Worauf Wirecutter Wert legt: Audit, Privatsphäre, Jurisdiktion

Ihre Checkliste sieht so aus: Gibt es ein öffentliches Audit der letzten zwei Jahre, speichert der Dienst Verbindungsprotokolle, wo ist das Unternehmen registriert (vorzugsweise nicht in den USA oder der EU mit der Jurisdiktion der 14 Augen), wie schnell sind die Server laut Speedtest. Plus Benutzerfreundlichkeit – sie installieren tatsächlich Anwendungen und klicken auf die Schaltflächen.

Das ist normale Journalismus. Das Problem ist, dass sie die Geschwindigkeit aus dem amerikanischen Büro über einen amerikanischen Anbieter messen. Dort gibt es grundsätzlich kein DPI.

Was in der Methodik von Wirecutter für den russischen Nutzer fehlt

Es gibt kein Wort über Obfuskation. Es gibt keine Tests zur Blockierung durch Protokoll-Signaturen. Es gibt keine Überprüfung, ob die Website des VPN-Dienstes aus Russland geöffnet werden kann – und das ist bereits eine Frage, denn einige Anbieter blockieren sogar die Download-Seiten. Wirecutter bewertet VPNs als ein Werkzeug für die Privatsphäre eines Bewohners eines westlichen Landes. Das ist eine ehrliche Position, einfach nicht unsere Aufgabe.

Warum die Empfehlungen von Wirecutter in Russland schlecht funktionieren

Hier beginnt das Wichtigste. Russische Anbieter – große wie Rostelekom und MTS sowie kleine regionale – installieren TSPU-Ausrüstung (technische Mittel zur Bekämpfung von Bedrohungen), die in der Lage ist, DPI auf der Ebene des gesamten Traffics durchzuführen. Das ist kein Firewall von 2010, der einfach auf IP schaut. Das ist die Analyse von Protokoll-Signaturen in Echtzeit.

DPI und die Blockierung beliebter VPN-Protokolle durch Anbieter

Deep Packet Inspection – das ist buchstäblich das Lesen des Inhalts Ihrer Pakete. Nicht des verschlüsselten Inhalts, sondern von Metadaten und charakteristischen Mustern der Verbindung. OpenVPN hat einen erkennbaren Handshake. WireGuard auch. Der Anbieter ist nicht verpflichtet zu wissen, was genau Sie ansehen, um die Tatsache der VPN-Verbindung zu blockieren.

In der Praxis sieht das so aus: Sie verbinden sich mit dem Mullvad-Server über WireGuard, die ersten 30 Sekunden funktioniert alles, dann bricht die Verbindung ab oder hängt. Oder es wird überhaupt nicht hergestellt. Hängt vom Anbieter und seinen aktuellen Blockierungseinstellungen ab.

Wie Roskomnadsor OpenVPN und WireGuard durch Signaturen blockiert

WireGuard verwendet UDP und hat ein charakteristisches Handshake-Muster am Port 51820 (standardmäßig). Ein Portwechsel hilft für kurze Zeit – nach einer Weile wird das DPI aktualisiert und beginnt nicht mehr auf den Port, sondern auf die Struktur der Pakete zu schauen. OpenVPN über TCP/443 ist besser, weil es sich als HTTPS tarnt, aber es hat auch einen erkennbaren TLS-Handshake mit charakteristischen Mustern.

Die Situation ist nicht statisch – die Blockierungen verstärken sich wellenartig. Ein Protokoll, das letzten Monat hervorragend funktioniert hat, kann nach einem weiteren Update des TSPU aufhören, sich zu verbinden. Das ist eines der Argumente für das Vorhandensein einer Backup-Option.

Verlangsamung von Websites und warum ein normaler VPN nicht hilft

Die Verlangsamung von YouTube seit 2023 ist eine eigene Geschichte. Roskomnadsor wendet keine vollständige Blockierung an, sondern Throttling: Der Traffic zu den Google-Servern wird auf einige Megabit verlangsamt, was 1080p unmöglich macht. Wenn der VPN funktioniert, wird diese Verlangsamung automatisch umgangen – Ihr Traffic geht durch ein anderes Land und sieht aus Sicht des russischen Anbieters nicht mehr wie YouTube aus.

Aber wenn Ihr VPN durch DPI blockiert ist – wird es sich überhaupt nicht verbinden, und die Verlangsamung lässt Sie nirgendwo hin. Instagram, Facebook, Twitter/X sind seit 2022 vollständig blockiert. Telegram wurde nach mehreren Jahren der Blockierung wieder freigegeben, aber die Situation kann sich ändern. Normaler WireGuard ohne Obfuskation hat damit instabile Ergebnisse.

Welche Protokolle tatsächlich Blockierungen umgehen: was in den Bewertungen von Wirecutter fehlt

Das ist ein Abschnitt, den wirecutter vpn niemals schreiben wird – einfach weil sie nicht die Aufgabe haben, die Umgehung staatlicher Zensur zu testen. Aber wir haben diese Aufgabe. Lassen Sie uns die Protokolle durchgehen.

Shadowsocks und VLESS/XRay: Tarnung als normales HTTPS

Shadowsocks entstand in China als Antwort auf die GFW (Great Firewall of China). Die Idee: den Traffic so zu verschlüsseln, dass er wie ein normaler, verrauschter Strom ohne offensichtliche Anzeichen eines VPN aussieht. Auf der Ebene von DPI ist das nicht von zufälligem HTTPS-Traffic zu unterscheiden.

VLESS mit XRay-Transport ist eine modernere Entwicklung in dieselbe Richtung. Es kann sich als WebSocket-Traffic zu einer normalen Website tarnen, über das CDN Cloudflare, was die Blockierung der IP-Adresse des Servers nahezu unmöglich macht – man müsste ganz Cloudflare blockieren. Das wird bereits im Iran und in Russland verwendet. Funktioniert stabil dort, wo WireGuard nicht hochfährt.

Amnezia und obfuskiertes WireGuard (AmneziaWG)

Amnezia VPN ist ein russisches Open-Source-Projekt, das eine gesonderte Erwähnung verdient. AmneziaWG nimmt das Standard-WireGuard und modifiziert den ursprünglichen Handshake: Es fügt zufälligen Müll in die initiierenden Pakete ein, sodass die Signatur nicht mehr mit dem übereinstimmt, wonach das DPI sucht. Dabei fällt die Geschwindigkeit praktisch nicht ab.

Ein wichtiger Punkt: AmneziaWG erfordert Unterstützung von beiden Seiten – sowohl vom Client als auch vom Server. Fertige Dienste mit diesem Protokoll sind bisher selten, aber das Projekt entwickelt sich aktiv weiter. Die eigenständige Installation über den Amnezia-Client auf Ihrem VPS ist eine durchaus praktikable Geschichte.

Vergleich: Geschwindigkeit gegen Widerstandsfähigkeit gegen DPI

OpenVPN, IKEv2, WireGuard — solange sie noch ausreichend sind

Es ist nicht alles so schlecht mit klassischen Protokollen. Wenn Sie einen Unternehmensanbieter oder einen kleinen regionalen Anbieter ohne aktives DPI haben — kann normales WireGuard hervorragend funktionieren. IKEv2 auf iOS ist praktisch, da es im System integriert ist und die Verbindung stabil hält, wenn zwischen Wi-Fi und Mobilfunk gewechselt wird. OpenVPN über TCP 443 funktioniert gut, wo DPI nicht sehr aggressiv ist.

Aber als primäres und einziges Werkzeug im Jahr 2026 — ist das unzuverlässig. DPI wird aktualisiert, die Regionen unterscheiden sich, und eines Morgens festzustellen, dass das gewohnte Protokoll sich nicht mehr verbindet — ist unangenehm.

Wie man ein VPN für Russland auswählt: Checkliste statt fremder Bewertungen

Die Kriterien von Wirecutter für VPN sind eine gute Basis, aber für Russland wird eine erweiterte Liste benötigt. Das sind die Punkte, die ich zuerst überprüfen würde.

Obligatorische Obfuskation des Traffics unter DPI

Die erste Frage an jeden Dienst: Unterstützt er Shadowsocks, VLESS, AmneziaWG oder zumindest obfs4 für OpenVPN? Wenn nicht — fällt er aus der Betrachtung für die Nutzung in Russland, unabhängig davon, wie sehr Wirecutter ihn lobt. Das ist keine negative Bewertung des spezifischen Dienstes, sondern einfach unterschiedliche Anforderungen.

Ein separater Punkt: Wenn die Website des Dienstes vom Anbieter blockiert ist — stellen Sie sicher, dass es ein Spiegel oder die Möglichkeit gibt, die Konfiguration im Voraus herunterzuladen. Mullvad.net ist beispielsweise zeitweise bei einigen Anbietern direkt nicht verfügbar.

Unterstützung für Android, iPhone/iOS, Windows, Mac, Router und Smart TVs

iOS ist ein separates Problem. Apple beschränkt die Hintergrundaktivität von Drittanbieter-Netzwerkerweiterungen, und einige obfuskierte Clients funktionieren instabil oder verlieren die Verbindung, wenn der Bildschirm gesperrt wird. Überprüfen Sie das Verhalten eines bestimmten Clients auf dem iPhone separat von Android.

Smart TVs und Apple TVs unterstützen überhaupt keine benutzerdefinierten VPN-Clients. Der einzige Weg hier ist die Konfiguration am Router. Das bedeutet, dass Ihr Router das benötigte Protokoll unterstützen muss. OpenWRT mit dem Plugin shadowsocks-libev ist eine funktionierende Option. Oder einen Router mit vorinstallierten Firmware wie Keenetic wählen — dort gibt es Unterstützung für einige Protokolle direkt ab Werk.

Echte Geschwindigkeitstests auf Ihrem Kanal

Glauben Sie nicht den Geschwindigkeitstests anderer — weder Wirecutter noch jemand anderem. Die Geschwindigkeit hängt von Ihrem Anbieter, Ihrer Region und der aktuellen Serverauslastung ab. Testen Sie selbst: speedtest.net vor der Verbindung, denselben Test danach. Fast.com für YouTube-spezifische Messungen. Wenn Sie einen 100 Mbit/s Kanal haben und über VPN 30 erhalten — ist das normal für Shadowsocks; wenn 5 — stimmt etwas nicht.

Mobilfunkanbieter und Heimprovider können sich unterschiedlich verhalten. Es kommt vor, dass VPN über das Heimnetzwerk hervorragend funktioniert, aber über das Mobilnetz nicht funktioniert — oder umgekehrt. Das sind unterschiedliche DPI-Ebenen und unterschiedliche Blockierungseinstellungen.

Transparenz und keine Protokolle

Hier gelten die Kriterien von Wirecutter direkt: Suchen Sie nach einem öffentlichen Audit, idealerweise für 2024–2026, von einer unabhängigen Firma. Mullvad hat 2024 ein Audit von Cure53 bestanden, die Ergebnisse sind veröffentlicht. ProtonVPN wird regelmäßig auditiert. NvoVPN positioniert sich als No-Logs-Service mit Unterstützung für obfuskierte Protokolle – als eine der Optionen für russische Verhältnisse. Amnezia ist Open-Source, der Code kann selbst überprüft werden.

Was in der Praxis zu tun ist: Einrichtung eines blockierungsresistenten VPN

Genug der Theorie. Zwei reale Wege.

Fertiger Service gegen Selbstkonfiguration auf VPS

Fertiger Service mit Unterstützung für Shadowsocks oder VLESS – am einfachsten für die meisten. App installiert, Server ausgewählt, verbunden. Nachteil: Sie sind davon abhängig, wie schnell der Service die Konfigurationen bei Blockierungen aktualisiert. NvoVPN beispielsweise ist auf den russischen Markt ausgerichtet und unterstützt obfuskierte Protokolle – das ist ein Plus. Bezahlen müssen Sie mit einer russischen Mir-Karte oder Kryptowährung, da Visa/Mastercard von ausländischen Services aus dem Wirecutter-Ranking nicht alles akzeptiert.

Eigenes VPS – maximale Kontrolle. Sie mieten einen Server in den Niederlanden oder Finnland für €3-5/Monat (Hetzner, Contabo), installieren Amnezia über ihren offiziellen Client in 10 Minuten. Sie erhalten AmneziaWG mit Ihrer einzigartigen Konfiguration, die niemand im Voraus blockiert hat. Nachteil: Man muss sich ein wenig auskennen und selbst auf den Server achten.

Backup-Protokoll für den Fall verstärkter Blockierungen

Stellen Sie unbedingt eine Backup-Option ein. Wenn das Haupt-AmneziaWG plötzlich nicht mehr funktioniert – wechseln Sie zu Shadowsocks oder VLESS. Wenn das auch nicht funktioniert – versuchen Sie OpenVPN über 443. Gute Services ermöglichen den Wechsel zwischen Protokollen innerhalb einer App. Bei der Selbstkonfiguration halten Sie zwei bis drei Konfigurationen für verschiedene Protokolle bereit.

Blockierungen verstärken sich unregelmäßig und manchmal plötzlich. Ein Protokoll, das gestern funktionierte, kann heute Morgen nicht mehr verbinden – und es ist besser, dies nicht im Moment zu entdecken, wenn dringend Zugang benötigt wird.

Überprüfung von DNS-Lecks und Funktion nach der Verbindung

Überprüfen Sie nach der Verbindung drei Dinge. Erstens: Gehen Sie auf ipleak.net – dort sehen Sie Ihre echte IP und DNS-Server. Wenn DNS die Adressen Ihres russischen Anbieters bei aktivem VPN anzeigt – ist das ein Leck, das in den Einstellungen behoben werden muss (DNS über VPN aktivieren oder 1.1.1.1 zwingend eintragen). Zweitens: Öffnen Sie instagram.com oder eine andere blockierte Ressource – es sollte sich öffnen. Drittens: Führen Sie einen Speedtest durch, um sicherzustellen, dass die Geschwindigkeit akzeptabel ist.

DNS-Leck ist das häufigste Problem. Technisch funktioniert der VPN-Tunnel, aber DNS-Anfragen gehen vorbei und der Anbieter sieht, was Sie tatsächlich öffnen. Die meisten normalen Clients beheben dies automatisch, aber es ist besser, dies zu überprüfen.