Was ist ein VPN Kill Switch?

Ein VPN Kill Switch ist eine Funktion, die den Netzwerkverkehr blockiert, wenn der VPN-Tunnel unerwartet abbricht. Dieser Artikel erklärt, was ein Kill Switch tatsächlich macht, wie er auf Betriebssystem-Ebene umgesetzt wird und wie du prüfst, ob die Funktion korrekt arbeitet.

Definition

Ein Kill Switch ist eine Kontrolle auf Netzwerkebene, die verhindert, dass Datenverkehr über eine ungeschützte Schnittstelle das Gerät verlässt, während das VPN nominell aktiv ist. Wenn der VPN-Tunnel abbricht — sei es durch Netzwerkwechsel, Serverausfall oder einen anderen Grund — stellt der Kill Switch sicher, dass der Verkehr nicht unbemerkt auf die Standard-Netzwerkschnittstelle zurückfällt.

Die Funktion wird manchmal auch “Network Lock”, “Always-On-Schutz” oder “Internet Kill Switch” genannt. Das Verhalten ist unabhängig vom Namen dasselbe.

Warum es Kill Switches gibt

VPN-Tunnel sind nicht immer perfekt stabil. Netzwerkwechsel — der Wechsel von WLAN zu Mobilfunk, der Wechsel zwischen Zugangspunkten, die Durchfahrt durch Tunnel — können die Verbindung kurz unterbrechen. Auch Serverwartung, zeitweise Peering-Probleme oder seltene Protokollfehler können zu Verbindungsabbrüchen führen.

Ohne Kill Switch leitet das Betriebssystem den Verkehr über die Schnittstelle, die gerade verfügbar ist. Aus deiner Sicht scheint das Gerät ganz normal weiterzuarbeiten — Webseiten laden, Apps verbinden sich — aber der Verkehr läuft jetzt über das lokale Netzwerk und den Internetanbieter statt über das VPN.

Wenn du dich für deine Privatsphäre oder für den Zugriff auf standortbezogene Dienste auf das VPN verlässt, untergräbt dieser unbemerkte Rückfall den Zweck eines VPN. Der Kill Switch stellt sicher, dass die Verbindung ausgesetzt und nicht still umgeleitet wird.

Wie er umgesetzt wird

Die Umsetzung eines Kill Switch unterscheidet sich je nach Plattform. Es gibt zwei grundsätzliche Ansätze.

Umsetzung auf Systemebene

Auf Plattformen mit integrierter VPN-Unterstützung wird der Kill Switch vom Betriebssystem durchgesetzt. Unter iOS bietet das Network Extension Framework eine Option namens “includeAllNetworks”, die in Kombination mit passenden Routing-Regeln verhindert, dass Verkehr über eine andere Schnittstelle als den Tunnel das Gerät verlässt. Das wird auf Kernel-Ebene durchgesetzt und gilt für alle Anwendungen, auch für solche, die im Hintergrund laufen.

Unter Linux werden Kill Switches in der Regel über Firewall-Regeln umgesetzt — iptables oder nftables — die jeglichen Verkehr außer Paketen an die Adresse des VPN-Servers blockieren. Die Regeln werden hinzugefügt, wenn der Tunnel aufgebaut wird, und entfernt, wenn er bewusst getrennt wird.

Umsetzung auf App-Ebene

Manche VPN-Apps setzen den Kill Switch innerhalb der App selbst um, überwachen den Tunnel und passen Routing- oder Firewall-Regeln als Reaktion auf einen Abbruch an. Umsetzungen auf App-Ebene sind flexibler, hängen aber davon ab, dass die App aktiv bleibt, um die Regel durchzusetzen.

Die Durchsetzung auf Systemebene ist in der Regel zuverlässiger, weil sie selbst dann weiterarbeitet, wenn die VPN-App abstürzt oder beendet wird.

Typen von Kill Switches

Kill Switches lassen sich in mehreren Modi einrichten, die sich darin unterscheiden, wie aggressiv sie Verkehr blockieren.

• Permanenter Kill Switch. Der Verkehr wird immer dann blockiert, wenn das VPN nicht aktiv verbunden ist, auch wenn die App gar nicht gestartet wurde. Das bietet die stärkste Garantie, erfordert aber eine bewusste Handlung zum Deaktivieren.
• Sitzungsbasierter Kill Switch. Der Verkehr wird nur während einer aktiven VPN-Sitzung blockiert. Wenn du die Verbindung manuell trennst, deaktiviert sich der Kill Switch und der normale Verkehr läuft wieder.
• App-spezifischer Kill Switch. Auf manchen Desktop-Plattformen verfügbar, blockiert dieser Modus bestimmte Apps, wenn das VPN nicht aktiv ist, während andere normal weiterlaufen. Diese Einrichtung ist für Tools nützlich, die mit sensiblen Daten umgehen, aber die feinere Steuerung erhöht die Komplexität.

Wann der Kill Switch auslöst

Der Kill Switch ist dafür gedacht, Situationen abzufangen, die das Betriebssystem normalerweise nicht als Fehler behandeln würde. Häufige Auslöser sind:

• Der VPN-Server ist wegen Netzwerkausfällen oder serverseitiger Wartung nicht erreichbar.
• Die Netzwerkschnittstelle des Geräts wechselt — zum Beispiel der Übergang von WLAN zu Mobilfunk — und der Tunnel baut sich nicht schnell genug neu auf.
• Ein Fehler auf Protokollebene beendet den Tunnel.
• Das lokale Netzwerk verwirft Pakete an den oder vom VPN-Server, unter anderem in bestimmten Captive-Portal-Szenarien.

In jeder dieser Situationen setzt der Kill Switch den Verkehr aus, bis entweder der Tunnel neu aufgebaut ist oder du den Kill Switch bewusst deaktivierst.

Grenzen

Ein Kill Switch ist eine Schutzfunktion, keine vollständige Lösung. Zwei Grenzen sind erwähnenswert.

Der Übergang ist nicht immer augenblicklich. Zwischen dem Moment, in dem der Tunnel ausfällt, und dem Moment, in dem der Kill Switch vollständig greift, kann ein kleines Zeitfenster bestehen, in dem theoretisch Verkehr nach außen dringen könnte. Bei gut konzipierten Systemen ist dieses Fenster so kurz, dass es praktisch vernachlässigbar ist — typischerweise wenige Millisekunden — aber es ist nicht immer null. Umsetzungen auf Systemebene schließen dieses Fenster zuverlässiger als solche auf App-Ebene.

DNS-Leaks sind ein eigenes Thema. Ein Kill Switch verhindert, dass IP-Verkehr über ungeschützte Schnittstellen das Gerät verlässt, aber DNS-Anfragen können manchmal über System-Standards am Tunnel vorbei laufen. Eine vollständige Einrichtung nutzt sowohl einen Kill Switch als auch DNS-Routing durch den Tunnel. Snap VPN richtet beides standardmäßig ein.

Überprüfung

Ein Kill Switch lässt sich prüfen, indem du einen Tunnelausfall simulierst und bestätigst, dass der Verkehr blockiert wird.

1. Verbinde das VPN und bestätige, dass ein Dienst zur IP-Anzeige die Adresse des Servers zeigt.
2. Deaktiviere die Netzwerkschnittstelle, die das VPN nutzt, ohne die Verbindung über die App zu trennen — zum Beispiel, indem du WLAN ausschaltest, während der Tunnel aktiv ist.
3. Versuche, eine Webseite zu laden. Mit einem funktionierenden Kill Switch sollte die Seite nicht laden, bis der Tunnel neu aufgebaut oder der Kill Switch bewusst deaktiviert wird.

Unter iOS wird der Kill Switch auf Systemebene durchgesetzt, wenn das VPN-Profil mit den passenden Optionen eingerichtet ist. Snap VPN aktiviert den Kill Switch standardmäßig und zeigt ihn nicht als optionale Einstellung an — die Funktion ist Teil der Standardkonfiguration und keine Einstellung, die man versehentlich deaktivieren kann.

Mehr zur VPN-Einrichtung und dazu, was man von einem VPN erwarten kann, findest du in unserer Einführung zu VPNs und im iPhone-Einrichtungsleitfaden.