Warum das VPN in Russland aufhört zu funktionieren, und wie der Stealth-Modus funktioniert

Wenn ein VPN, das jahrelang funktioniert hat, plötzlich keine Verbindung mehr aufbaut, liegt es nicht an Ihrem Gerät: Netzwerke haben gelernt, VPN-Protokolle zu erkennen und zu blockieren. Welches VPN heute funktioniert, ist eines, das die Verbindung als gewöhnliche Website tarnt; in der NvoVPN-App ist das der Stealth-Modus, und er schaltet sich von selbst ein. Unten steht, wie Sie ihn in vier Schritten von Hand einschalten, falls die Automatik nicht geholfen hat, und wie das alles in einfachen Worten funktioniert: DPI, AmneziaWG und VLESS/Reality.

1. 1

   Schalten Sie „Maximale Zuverlässigkeit“ in der App ein

   Auf dem Startbildschirm von NvoVPN gibt es den Schalter „Maximale Zuverlässigkeit“. Schalten Sie ihn ein — die Verbindung läuft dann immer über den Stealth-Modus, ohne zu warten, bis das Netzwerk das Hauptprotokoll blockiert. Dasselbe in den Einstellungen: „Anwendung“ → „Stealth mode“ — „Disabled“ (aus), „Auto (on block)“ (schaltet sich bei einer Blockierung selbst ein, Standardeinstellung), „Always on“ (immer an).

2. 2

   Brauchen Sie einen anderen Client? Öffnen Sie Ihr Konto → „Stealth-Modus“

   Eine eigenständige App brauchen Sie auf einem Gerät ohne NvoVPN oder als Ersatzclient griffbereit. In Ihrem Konto → „Stealth-Modus“ liegt ein Abonnement-Link — er enthält sofort alle Server — und ein QR-Code.

3. 3

   Installieren Sie v2RayTun oder Hiddify und fügen Sie das Abonnement hinzu

   v2RayTun ist eine kostenlose App für iPhone und Android, Hiddify für alle Plattformen, einschließlich Windows, Mac und Linux. Tippen Sie in Ihrem Konto auf „Mit einem Tap verbinden (v2RayTun)“ oder „In Hiddify öffnen“ — die Server werden automatisch hinzugefügt. Am Computer kopieren Sie einfach den Abonnement-Link und fügen ihn in die App ein. Sind Sie in Russland und haben ein iPhone — lesen Sie den Abschnitt weiter unten.

4. 4

   Tippen Sie auf „Verbinden“ und prüfen Sie

   Die App wählt selbst einen funktionierenden Server. Geht nichts — wechseln Sie zum nächsten in der Liste. Öffnen Sie „Wie ist meine IP“: Sie sehen die Adresse des Servers, nicht die Ihres Providers.

Wie ein Netzwerk ein VPN erkennt

Bei den Anbietern läuft Technik zur Tiefenanalyse des Datenverkehrs — DPI. Sie schaut nicht nur, wohin ein Paket geht, sondern auch, wie es aussieht. VPN-Protokolle verraten sich auf vier Arten:

• Handshake-Signatur. Bei WireGuard ist das erste Paket immer 148 Byte groß, die Antwort 92, und beide beginnen mit denselben Bytes. Dieser „Fingerabdruck“ wird binnen einer Sekunde erkannt.
• TLS-Fingerabdruck. OpenVPN und viele Proxys listen die Chiffren in einer anderen Reihenfolge auf als ein echter Browser — das reicht, um sie zu unterscheiden.
• Zu zufälliger Datenverkehr. Ein Datenstrom ganz ohne Struktur ist schon für sich verdächtig — keine gewöhnliche Website sieht so aus.
• Hosting-Adressen. Ganze IP-Bereiche von Rechenzentren, in denen VPN-Server laufen, werden pauschal gedrosselt oder blockiert.

Deshalb funktionierten in Russland seit 2023 nacheinander OpenVPN und IPsec nicht mehr, dann WireGuard und Shadowsocks, und bis 2026 kommt gewöhnliches WireGuard fast nirgends mehr durch. Ähnliche Filter gibt es seit langem in China, im Iran, in Turkmenistan und in Teilen der Netzwerke der VAE.

Was AmneziaWG ändert

AmneziaWG ist das Hauptprotokoll von NvoVPN: dasselbe WireGuard mit offenem Quellcode, aber ohne die „Fingerabdrücke“, an denen DPI das Original erkennt. In der Konfiguration sind das ein paar Parameter mit unverständlichen Namen:

• Jc, Jmin, Jmax — vor dem eigentlichen Handshake sendet der Client ein paar „Müll“-Pakete zufälliger Größe. Die Abfolge „148 → 92 Byte“ verschwindet.
• S1, S2 — den Dienstpaketen wird eine zufällige Füllung hinzugefügt, ihre Größe stimmt nicht mehr mit dem Referenzwert überein.
• H1–H4 — die Paket-Header, an denen der Filter WireGuard erkannte, werden ersetzt.

Geschwindigkeit und Verschlüsselung bleiben dieselben wie bei WireGuard — auf dem Smartphone merken Sie keinen Unterschied. Die App trägt die Parameter selbst ein, in der Datei aus Ihrem Konto stehen sie bereits. Wichtig: Ein gewöhnlicher WireGuard-Client baut mit dieser Datei ebenfalls eine Verbindung auf, aber ohne Tarnung — für gefilterte Netzwerke brauchen Sie genau den AmneziaWG-Client.

Stealth-Modus: VLESS/Reality

Es gibt Netzwerke, in denen der Filter jeden unbekannten UDP-Verkehr kappt. Dafür hat NvoVPN ein zweites Protokoll — VLESS mit der Technologie Reality. Ihr Smartphone baut zum Server eine ganz gewöhnliche TLS-Verbindung auf, wie sie jede Website öffnet, und der Server zeigt das echte Zertifikat einer großen öffentlichen Website. Für den Filter ist das nicht davon zu unterscheiden, dass Sie diese Website besuchen; innerhalb der Verbindung läuft Ihr Datenverkehr.

Reality hält auch „aktiver Sondierung“ stand — wenn das Prüfsystem selbst an einer verdächtigen Adresse anklopft: Auf eine fremde Anfrage antwortet der Server wie die gewöhnliche Tarn-Website. Das läuft über TCP wie HTTPS und kommt deshalb auch dort durch, wo UDP komplett gesperrt ist — in Hotel- und Büronetzwerken.

Wie das in der App funktioniert

Sie müssen nichts auswählen. Die App verbindet sich über AmneziaWG und beobachtet, ob Daten fließen. Kommt der Handshake zustande, folgt aber kein Datenverkehr — das klassische Bild eines DPI-Abbruchs —, wechselt sie von selbst in den Stealth-Modus und merkt sich, dass dieses Netzwerk ihn braucht. Das dauert bis zu einer Minute. Daher der Rat aus der Anleitung „Was tun, wenn das VPN nicht verbindet“: warten und erneut verbinden, bevor Sie von Hand etwas ändern.

Welcher Modus wann

Kurz zu den Regeln

Die Nutzung eines VPN durch Privatpersonen ist in Russland nicht verboten — die Einschränkungen betreffen die Werbung für solche Dienste und den Zugriff auf einzelne verbotene Inhalte. Wir beschreiben, wie die Technologie auf Ihren Geräten funktioniert; welche Websites Sie öffnen, verantworten Sie selbst. Das ist keine Rechtsberatung: Regeln ändern sich, prüfen Sie vor Reisen die örtlichen Vorschriften.

Häufige Fragen

Wie unterscheidet sich AmneziaWG von WireGuard bei der Geschwindigkeit? Praktisch gar nicht: Die „Müll“-Pakete werden nur beim Verbindungsaufbau gesendet, danach läuft es wie gewöhnliches WireGuard.

Warum reicht es nicht, einfach den Port zu wechseln? Der Filter schaut auf den Inhalt der Pakete, nicht auf die Portnummer. Ein Portwechsel half vor rund zehn Jahren, heute nicht mehr.

Funktioniert der Stealth-Modus auf einem Router? Standardmäßig nicht: Router verwenden eine AmneziaWG- oder WireGuard-Konfiguration. Für einen Router in einem stark gefilterten Netzwerk schreiben Sie dem Support, wir sehen uns Ihr Modell an.

Was tun, wenn auch der Stealth-Modus nicht verbindet? Wechseln Sie den Server, dann das Netzwerk, und schreiben Sie dann dem Support mit dem Namen des Anbieters und dem Zeitpunkt des Versuchs — solche Meldungen zeigen uns neue Blockaden oft früher als unser eigenes Monitoring.

Passend dazu: VPN für China: was 2026 funktioniert · AmneziaWG und WireGuard: der Unterschied · VPN verbindet nicht — was tun