Turbo VPN zeigte „verbunden“, während Ihre echte IP sichtbar blieb
Der Windows-Client von Turbo VPN meldete eine aktive Verbindung, während die echte IPv4-Adresse des Nutzers sichtbar blieb. TechRadar veröffentlichte den Befund diese Woche, und das Unternehmen brauchte zwei Patches, bis die Lecks aufhörten: Der Notfall-Build 3.7.0.0 kam erst, nachdem die Forscher ein zweites Paket technischer Belege geschickt hatten. Gefährlich ist daran, dass nichts verdächtig aussah. Die App zeigte verbunden, und es gab keinen Anlass, daran zu zweifeln.
Die App baute überhaupt keinen Tunnel
Das Aufschlussreiche ist nicht, dass etwas leckte, sondern warum. Das hauseigene Protokoll Lepus baute keinen systemweiten verschlüsselten Tunnel, wie ein VPN es normalerweise tut. Stattdessen startete es einen lokalen ShadowsocksR-Prozess, schaltete die Windows-Proxy-Einstellung ein und betrieb einen Proxy auf Port 46288.
Genau dieser Unterschied entscheidet, was geschützt ist. Ein in den Windows-Einstellungen konfigurierter Proxy erfasst Anwendungen, die diese Einstellung beachten, und das sind vor allem Browser. Alles andere nutzt weiter die normale Verbindung: Hintergrundverkehr des Betriebssystems, Desktop-Messenger, Update-Dienste, Kommandozeilenwerkzeuge. Die Oberfläche meldet trotzdem verbunden, denn aus Sicht der App steht der Proxy. Der Nutzer sieht Grün und nimmt an, dass es den ganzen Rechner abdeckt.
Erst der zweite Patch schloss es
Nach dem ersten Hinweis lieferte Turbo VPN eine Korrektur. Sie reichte nicht. Version 3.6.0.0 gab weiterhin IPv6-Adressen preis, und zwar nicht nur über die hauseigenen Protokolle Lepus und LinkSentinel, sondern auch über gewöhnliche OpenVPN-Verbindungen. Erst nach weiteren technischen Belegen kam Version 3.7.0.0, die unverschlüsseltes IPv6 clientseitig blockiert und den Verkehr in den verschlüsselten IPv4-Tunnel zwingt. Tests bestätigten, dass dieser Build hält.
Der Umfang gehört ehrlich benannt: Die beschriebenen Lecks wurden im Windows-Client gefunden. Das ist kein Grund, bei den mobilen Apps ruhig zu sein, aber getestet und berichtet wurde dies.
Es war nicht die erste Warnung zu diesen Apps
Vor dem Hintergrund ergibt die Bauweise mehr Sinn. 2025 veröffentlichte Citizen Lab auf der FOCI eine Untersuchung über verborgene Verbindungen zwischen VPN-Apps. Bei acht Anwendungen von Innovative Connecting, Autumn Breeze und Lemon Clove, darunter Turbo VPN, Snap VPN und VPN Proxy Master, mit zusammen über 380 Millionen Downloads, fanden sich gemeinsamer Code, gemeinsame Abhängigkeiten und ein fest einprogrammiertes Shadowsocks-Passwort. Ein gemeinsames fest einprogrammiertes Passwort bedeutet: Wer es ausliest, kann den Verkehr entschlüsseln, den es schützen soll.
Dieselbe Arbeit nennt veraltete Verschlüsselungsverfahren, nicht offengelegte Erhebung von Standortdaten, Anfälligkeit für Paketinjektion, verschleierten Code, der die Analyse erschwert, und Eigentumsverbindungen aller drei Firmen zu Qihoo 360, einem chinesischen Sicherheitsunternehmen, das die USA 2020 sanktionierten. Sie macht außerdem einen Punkt, der die Architektur erklärt: Es sind Dienste auf Anwendungsebene auf Basis von Shadowsocks, einem Protokoll, das für das Durchkommen durch die Great Firewall gebaut wurde und nicht für Privatsphäre.
So prüfen Sie Ihr eigenes VPN in fünf Minuten
Das gilt für jeden Anbieter, auch für gute. Erst verbinden, dann prüfen:
- Eine Leaktest-Seite öffnen und bestätigen, dass die angezeigte IPv4-Adresse die des Servers ist und nicht Ihre.
- Auf derselben Seite IPv6 prüfen. IPv6-Lecks sind der häufigste Fehler, weil viele Clients IPv4 tunneln und IPv6 stillschweigend ignorieren.
- Die aufgeführten DNS-Server prüfen. Gehören sie Ihrem Heimanbieter, sieht dieser Ihr Surfverhalten unabhängig vom Tunnel.
- Nicht-Browser-Verkehr testen. Aus einem Terminal pingen oder eine Route verfolgen und sehen, ob es durch den Tunnel geht. Genau daran scheitert eine reine Proxy-Lösung.
- Den Tunnel während eines Downloads kappen. Läuft der Download weiter, gibt es keinen funktionierenden Kill Switch, und jede künftige Trennung entblößt Sie.
Daraus folgt das praktische Argument für einen Anbieter, den man prüfen kann, und nicht bloß für einen beliebten. Einen ernsthaften Dienst zeichnet nicht die Zahl der Installationen aus, sondern ob das Protokoll dokumentiert ist, ob unabhängige Prüfer hineingelassen und ihre Berichte veröffentlicht wurden, ob Leckschutz und Kill Switch standardmäßig an sind, und ob die Eigentümer klar benannt werden statt aus Handelsregisterauszügen zusammengesucht. Eine kostenlose App mit Hunderten Millionen Installationen kann trotzdem ein Browser-Proxy mit geteiltem Passwort sein. Einen verwandten Fehlschlag haben wir betrachtet, als WebKit echte IP und DNS an Proxys vorbei preisgab, und die Lücke zwischen Versprechen und Praxis, als ein No-Logs-VPN 58 Millionen Verbindungsdatensätze verlor.
