Warum VPNs in Russland jetzt mit ganzen Hosting-Subnetzen ausfallen

Nutzer von VPN-Diensten in Russland erleben eine neue Welle von Ausfällen, und die Art, wie die Dienste ausfallen, hat sich geändert. Seit August treffen die Sperren nicht mehr einzelne VPN-Server, sondern ganze Adressbereiche bei den Hosting-Anbietern, auf denen diese Server laufen. Am 14. Oktober berichtete der russische Tech-Kanal Techmedia unter Berufung auf den Telegram-Kanal Krovavaya Barynya, mehrere Anbieter verzeichneten einen sprunghaften Anstieg der Einschränkungen: „Jetzt sperren sie nicht mehr einzelne IP-Adressen, sondern ganze Subnetze mit Hunderten von Adressen. Die Zahl der Sperren ist um ein Vielfaches gestiegen, sagen Marktteilnehmer." Der Kanal nannte weder Dienste noch Zahlen, und Roskomnadsor hat sich nicht geäußert. Hier ist erklärt, wie diese Art der Sperrung funktioniert und warum sie weit über VPNs hinausreicht.

Von einer Adresse zu Hunderten

Jeder Server im Internet hat eine IP-Adresse, und Hosting-Firmen vergeben diese Adressen in Blöcken. Der häufigste Block, geschrieben als /24, umfasst 256 Adressen. Sperrt ein Zensor die Adresse eines einzelnen VPN-Servers, kann der Betreiber den Server auf eine Nachbaradresse beim selben Anbieter verschieben und weitermachen. Sperrt der Zensor das ganze /24, legt eine einzige Regel Hunderte Adressen auf einmal lahm, und ein Umzug innerhalb des Bereichs hilft nicht mehr.

Die nächste Stufe ist die Sperre nach Netzen. Große Hosting-Firmen kündigen ihren Adressraum im Internet als autonomes System an, ein nummeriertes Netz mit eigener Liste von Präfixen. Im August sagte Michail Klimarew von der Internet Protection Society gegenüber Euronews, die Behörden hätten mit Hilfe von IT-Unternehmen mehrere Dutzend autonome Systeme ermittelt, in denen sich VPN-Server „konzentrieren", und alle ihre Präfixe gesperrt. Das war die Welle vom 4. August: Der Telegram-Kanal Exploit zählte mehr als 20 betroffene Dienste, und mehrere, darunter VPN Legend, GaMMa VPN und LTVPN, meldeten Probleme.

Die Welle nach den Duma-Wahlen

Die aktuelle Runde begann nach den Wahlen zur Staatsduma vom 18. bis 20. September. Laut SecurityLab datiert ein Dienst ihren Beginn auf den 21. September, ein anderer auf den 25. September, als die Einschränkungen sich verschärften. Mindestens zehn VPN-Dienste meldeten Probleme. Ein Betreiber ersetzte binnen fünf Tagen acht Server, andere berichteten, fast alle ihre ausländischen Standorte seien unerreichbar geworden. Ein Dienst sagte, OpenVPN-Verbindungen von Heimroutern funktionierten für viele russische Nutzer nicht mehr, während ähnliche Einschränkungen früher nur ein paar Stunden gedauert hätten.

Es gibt keine öffentlichen Daten, die einen einheitlichen Mechanismus bei allen Betreibern und in allen Regionen belegen, betont SecurityLab, und Ausfälle können auch durch Protokollerkennung oder Routingprobleme entstehen. Was die Dienste schildern, passt aber zur Sperrung ganzer Bereiche: Server, die immer wieder ersetzt werden müssen, und ganze ausländische Standorte, die auf einen Schlag verschwinden.

Wer sonst noch abgeschnitten wird

Eine Bereichssperre weiß nicht, was hinter den einzelnen Adressen steckt. Im selben Subnetz kann ein Onlineshop, der Mailserver einer Firma oder ein CRM-System laufen, und alle verschwinden für russische Nutzer zusammen mit dem VPN nebenan. Unternehmen klagen, dass ihre eigenen Tunnel ausfallen: Der entfernte Server antwortet auf ping und SSH, aber der verschlüsselte VPN-Kanal kommt nicht zustande. Im April erklärte Roskomnadsor, firmeneigene VPNs innerhalb russischer Netze seien nicht eingeschränkt, und man habe Ausnahmen für Zehntausende Adressen und Subnetze gewährt, die für die Arbeit mit ausländischen Ressourcen genutzt werden.

Auch auf der eigenen Seite formt der Staat den Adressraum um. Am 31. August bat das Ministerium für Digitale Entwicklung laut RBC, wie Kommersant und Vedomosti berichten, Hosting-Firmen, CDNs und DDoS-Schutzdienste, die IP-Adressen von Seiten auf der „Whitelist" in eigene Subnetze zu verlegen. Die Whitelist umfasst Dienste wie Yandex, Ozon und Gosuslugi, die auch dann weiterlaufen sollen, wenn das mobile Internet abgeschaltet wird. Weil Seiten sich Adressen oft mit anderen Kunden desselben CDN oder Schutzdienstes teilen, könnten VPNs gemeinsam mit ihnen auf der Whitelist landen. Die Maßnahme wird vom FSB unterstützt, berichtet Kommersant.

Was sich für VPN-Betreiber und Nutzer ändert

Für einen VPN-Betreiber wird jeder gesperrte Server teurer: Eine neue Adresse hilft nicht mehr, und ein Umzug bedeutet, den Hosting-Anbieter oder das Land zu wechseln. Vor dem gleichen Problem stehen Menschen, die auf einem gemieteten VPS ihren eigenen Server betreiben. Ist der Bereich ihres Anbieters gesperrt, wird eine neue Adresse vom selben Anbieter wahrscheinlich ebenfalls gesperrt. Für Nutzer ergibt sich, was Russen seit August beschreiben: Dienste, die an einem Tag laufen und am nächsten ausfallen, häufige Serverwechsel und kein Ende in Sicht. Der Druck wird zudem mit mehr Geld unterfüttert: Russland verdoppelt sein Budget für Internetsperren und den Kampf gegen VPNs.