Der Hoster als Zensor: VPN-Sperren wandern zum Vermieter

Was am 4. August geschah

Mehr als zwanzig populäre VPN-Dienste stellten für russische Nutzer gleichzeitig den Betrieb ein. Genannt wurden unter anderem Amnezia, Paper VPN, VPN Legend und GaMMa VPN. Ziel waren weder Protokolle noch Anwendungen: Auf die Sperrlisten kamen IP-Adressen und ganze Subnetze großer Hosting-Anbieter, in deren Racks die Server vieler Dienste gleichzeitig standen. Leonid Wolkow nannte es den größten Angriff auf Umgehungswerkzeuge überhaupt. Roskomnadsor äußerte sich nicht.

Was vorgeschlagen wird

Parallel wird ein Modell diskutiert, das die Mechanik der Beschränkungen selbst verändert. Die Aufsichtsstelle für das öffentliche Kommunikationsnetz führt eine Ausnahmeliste — Adressen, die nie gesperrt werden: Unternehmens-VPNs und technologische Kanäle von Firmen. Statt einer statischen Liste soll es eine dauerhafte Überwachung geben.

• Wird binnen einer Woche auf einer gelisteten Adresse VPN-Infrastruktur entdeckt, erhält der Hosting-Anbieter eine Anfrage — und 24 Stunden Zeit zur Antwort.
• Kann er keinen legitimen technologischen Zweck belegen, fliegt die Adresse von der Ausnahmeliste und verliert ihren Schutz vor Sperren.
• Die Zahl der akzeptierten Identifizierungswege für Kunden sinkt von zehn auf drei: staatliches ID-System, Biometrie oder Reisepass.
• Einem vollständig identifizierten Kunden würde zuerst die Behebung angeboten. Ein Kunde, der nur über Telefonnummer oder Bankkarte bekannt ist, kann binnen 30 Minuten abgeschaltet werden.

Im Juli 2026 umfasste das Register der Hosting-Anbieter 584 Unternehmen; das Register selbst besteht seit Februar 2024. Die Branche warnt vor Fehlalarmen: IPv4-Adressen wechseln regelmäßig den Besitzer, und eine belastete Vorgeschichte wandert mit der Adresse zum nächsten Mieter.

Warum das schwerer wiegt als eine weitere Protokollsperre

Bisher lief der Kampf auf der Leitung: Filtersysteme versuchten VPN-Verkehr an der Form seiner Pakete zu erkennen, die Dienste antworteten mit Verschleierung. Das ist ein Wettrüsten, das die verteidigende Seite mitspielen kann. Das neue Modell verlagert die Durchsetzung von der Leitung zum Vermieter — vom Datenverkehr zum Mietvertrag.

Der Unterschied ist grundlegend. Tiefe Paketinspektion ist teuer, fehleranfällig und hinkt neuen Tarnungen dauerhaft hinterher. Ein Hosting-Anbieter dagegen ist ein billiger Hebel: eine konkrete juristische Person im Register, die etwas zu verlieren hat. Sobald der Hoster unter Sanktionsdrohung für alles einstehen muss, was auf jeder seiner IP-Adressen läuft, entscheidet die Qualität der Tarnung nichts mehr. Sie werden nicht erkannt — Sie werden geräumt. Gegen eine Räumung helfen weder verschlüsselte Header noch die Imitation von gewöhnlichem HTTPS.

Eine Beobachtung aus der Praxis: entschieden wird pro Adresse

Am 15. August erlebten wir das direkt. Einer unserer Knoten leitete überhaupt keinen Verkehr mehr weiter — von außen sah es wie eine Protokollsperre auf Hoster-Ebene aus. Auf demselben Server änderten wir eine einzige Sache, die IP-Adresse: gleiche Hardware, gleicher Anbieter, gleiches Protokoll, gleiche Konfiguration. Der Knoten lief sofort wieder.

Die praktische Schlussfolgerung ist einfach: Die Beschränkung hing an einer konkreten Adresse, nicht am Netz des Anbieters und nicht an der Art des Verkehrs. Genau dieses Bild setzt das neue Modell voraus — Gegenstand der Sperre werden die Adresse und derjenige, der für sie geradesteht.

Was in dieser Logik wirklich hilft

• Verteilung über unabhängige Hoster und autonome Systeme statt über Länder. Drei Server bei einem Anbieter in drei Ländern sterben an einem einzigen Listeneintrag. Geografie ist keine Vielfalt.
• Die Fähigkeit, Adressen schnell zu wechseln. Wenn ein Knoten in Minuten eine neue Adresse bekommt statt eine Woche umzuziehen, ist eine Räumung keine Katastrophe mehr.
• Automatischer Wechsel auf der Client-Seite. Niemand sollte von einer Sperre durch einen ewigen Verbindungsaufbau erfahren — die App muss selbst auf einen funktionierenden Knoten umschalten.
• Protokoll-Verschleierung bleibt nötig — aber als Schutz gegen einen anderen Angriff, die Verkehrserkennung. Das sind zwei getrennte Ebenen, und beide müssen funktionieren.

Wie das bei HamikVPN aussieht

Wir betreiben eigene Server an verschiedenen Standorten und bei verschiedenen Anbietern — kein weiterverkaufter Zugang zu einem einzigen Hoster. Der Verkehr läuft über AmneziaWG mit Verschleierung. Die App erhält eine geordnete Knotenliste und schaltet beim Ausfall des primären Knotens selbstständig auf den nächsten funktionierenden um.

Eine ehrliche Einschränkung: Niemand kann garantieren, nie gesperrt zu werden, und wer diese Garantie gibt, führt Sie in die Irre. Aber wenn sich der Druckpunkt zum Vermieter verschiebt, gewinnt nicht das cleverste Protokoll, sondern wer seine Adressen verteilt hat und schnell umziehen kann. Genau so bauen wir den Dienst — und der 15. August hat gezeigt, dass es funktioniert.