Netze sperren Websites auf drei Hauptwegen: Sie verweigern die Namensauflösung (DNS), sie lesen den Namen zu Beginn der sicheren Verbindung (SNI), oder sie verwerfen den Verkehr zur Adresse der Seite (IP). Ein VPN packt alle drei in einen verschlüsselten Tunnel, sodass das Netz nur eine Verbindung zum VPN-Server sieht. Sperrt das Netz auch VPNs, reist der Tarnmodus von PryVPN wie gewöhnliches HTTPS über Port 443.
Eine Nachrichtenseite öffnet sich zu Hause, aber nicht im Büro-WLAN. Ein Messenger funktioniert über mobile Daten und hängt im Flughafennetz. Eine Seite, die gestern noch lud, zeigt heute „Die Website ist nicht erreichbar“. 2026 haben fast alle diese Fälle dieselbe Erklärung: Das Netz dazwischen hat entschieden, diesen Verkehr nicht durchzulassen.
Sperren klingen technisch, funktionieren aber nur auf wenige Arten. Sobald du weißt, welche vor dir liegt, weißt du, was durchkommt.
Zuerst: gesperrt oder down?
Bevor du dem Netz die Schuld gibst, schließ ein Problem der Seite selbst aus. Unser kostenloses Tool Ist die Seite down? prüft die Adresse gleichzeitig von unserem Server und von deiner Verbindung aus:
- Von beiden Seiten down: Die Seite hat ein Problem. Nichts auf deiner Seite öffnet sie; warte ein wenig.
- Von unserem Server erreichbar, von deinem nicht: Etwas zwischen dir und der Seite steht im Weg. Das ist eine Sperre, ein Filter oder die Anmeldeseite des WLANs.
Noch schneller geht es am Handy: Wechsle vom WLAN zu mobilen Daten oder umgekehrt. Öffnet sich die Seite im einen Netz und im anderen nicht, sperrt sie das Netz, in dem du warst.
Wer Seiten sperrt, und warum
Sperren gibt es überall, und meistens sind sie Routine:
- Schulen, Unis und Arbeitgeber filtern Kategorien wie Spiele, soziale Netzwerke oder Videos, um Bandbreite zu sparen oder eigene Regeln durchzusetzen. Unser Artikel darüber, warum Uni- und Firmen-WLANs VPNs sperren, behandelt diesen Fall.
- Hotels, Cafés und Flughäfen kaufen oft einen Router mit eingeschaltetem „Safe Browsing“-Filter, der mehr erwischt, als er sollte.
- Mobilfunkanbieter und Internetprovider setzen Jugendschutzfilter ein, sperren Seiten, deren Sperrung ein Gericht angeordnet hat, und folgen in manchen Ländern staatlichen Sperrlisten.
- Live-Sport ist ein häufiger Grund geworden. Manche Rechteinhaber erwirken Gerichtsbeschlüsse, die während der Spiele Serveradressen sperren. Weil sich viele völlig unbeteiligte Websites in großen Hosting-Netzen dieselben Adressen teilen, haben solche Sperren auch gewöhnliche, legale Seiten stundenlang lahmgelegt.
Genau das ist 2026 das eigentliche Problem mit Sperren: Sie sind grob. Die gewählte Methode entscheidet, wie viel harmloser Verkehr mit erwischt wird.
Methode 1: DNS-Sperren
Jedes Mal, wenn du eine Seite öffnest, fragt dein Handy zuerst einen DNS-Server nach ihrer Adresse. Standardmäßig ist das der DNS-Server des Netzes, in dem du bist, und die Frage reist unverschlüsselt.
Ein Netz, das eine Seite sperren will, antwortet einfach falsch: „Diese Seite gibt es nicht“ oder mit der Adresse seiner eigenen Hinweisseite.
Was du siehst: „Die Website ist nicht erreichbar“, DNS_PROBE_FINISHED_NXDOMAIN oder eine Seite deines Anbieters oder deiner Schule, die sagt, dass die Seite gesperrt ist.
DNS-Sperren sind am billigsten und deshalb am häufigsten. Verschlüsseltes DNS (DNS over HTTPS oder over TLS, Androids privates DNS) verbirgt diese Fragen vor dem Netz, und damit kommst du an vielen DNS-Sperren vorbei. Bei den nächsten beiden Methoden hilft es nicht.
Methode 2: SNI-Filter
Wenn dein Browser eine sichere HTTPS-Verbindung aufbaut, enthält seine erste Nachricht den Namen der Seite im Klartext. Dieses Feld heißt SNI (Server Name Indication). Es gibt es, damit ein Server viele Seiten hosten kann, und es bedeutet, dass das Netz lesen kann, welche Seite du öffnest, obwohl der Rest verschlüsselt ist.
Ein Filter, der SNI liest, lässt die Verbindung starten, sieht den Namen und kappt sie.
Was du siehst: Die Seite fängt an zu laden und bricht mit „Verbindung zurückgesetzt“ oder einer Zeitüberschreitung ab, während andere HTTPS-Seiten problemlos laufen.
Ein neuerer Standard, Encrypted Client Hello (ECH), verbirgt auch diesen Namen. Browser und große Hosting-Netze führen ihn ein, aber 2026 nutzen ihn viele Seiten und Netze noch nicht, sodass SNI bei einem großen Teil der Verbindungen lesbar bleibt.
Methode 3: IP-Sperren
Die gröbste Methode verwirft jedes Paket an eine bestimmte Adresse. Egal, was du anfragst oder wie: Liegt die Seite unter dieser Adresse, stellt das Netz deinen Verkehr nicht zu.
Was du siehst: eine lange Wartezeit bis zum Fehler, oft in allen Netzen desselben Anbieters.
IP-Sperren richten den größten Kollateralschaden an, weil eine einzige Adresse Tausende Seiten hosten kann, die nichts miteinander zu tun haben.
Die drei Methoden im Vergleich
| Methode | Was das Netz nutzt | Typisches Symptom | Was durchkommt |
|---|---|---|---|
| DNS | Deine unverschlüsselte Namensanfrage | „Nicht erreichbar“ oder eine Hinweisseite | Verschlüsseltes DNS oder ein VPN |
| SNI | Den Seitennamen zu Beginn von HTTPS | Lädt kurz, dann Abbruch | Ein VPN (ECH, wo beide Seiten es können) |
| IP | Die Serveradresse der Seite | Lange Wartezeit | Ein VPN |
Das VPN ist in jeder Zeile die Antwort, weil es ändert, was das Netz sieht. Statt deiner Anfragen, des Seitennamens und der Adresse sieht das Netz eine einzige verschlüsselte Verbindung zum VPN-Server. Darin gibt es nichts zu filtern.
Wenn das Netz auch das VPN sperrt
Manche Netze gehen einen Schritt weiter und sperren VPNs selbst, meist indem sie UDP-Verkehr verwerfen oder den Verbindungsaufbau von VPNs erkennen. WireGuard, das Protokoll von PryVPN, beginnt jede Verbindung mit einer Nachricht fester Größe und Form, die ein Filter erkennen lernen kann.
Dafür gibt es den Tarnmodus von PryVPN. Er transportiert WireGuard in einer echten TLS-1.3-Verbindung über TCP-Port 443, also mit demselben Protokoll und demselben Port wie jede HTTPS-Website. Für die meisten Filter sieht das aus wie eine weitere sichere Website, und die App pinnt das Zertifikat unseres Servers, sodass ein Netz, das die Verbindung abfangen will, erkannt wird, statt dein Vertrauen zu bekommen.
Du musst ihn nicht selbst wählen: Im Modus Automatisch versucht PryVPN zuerst UDP und wechselt, wenn der Server nicht innerhalb von etwa 7 Sekunden antwortet, in den Tarnmodus und merkt sich das für dieses Netz einige Stunden lang. Kommst du gerade nicht weiter, stellt dir der Assistent VPN im WLAN gesperrt zwei Fragen und zeigt dir die Schritte für dein Netz. Hotelnetze haben ihre eigenen Eigenheiten, erklärt in Hotel-WLAN blockiert dein VPN.
Wie PryVPN dich durchbringt
- Deine Anfragen bleiben im Tunnel. Während du verbunden bist, gehen DNS-Anfragen an den Resolver deines PryVPN-Servers, der DNSSEC prüft und keine Anfrageprotokolle führt. Das DNS des Netzes sieht sie nie und kann deshalb nicht falsch antworten.
- Name und Adresse der Seite bleiben verborgen. SNI und Zieladresse reisen im verschlüsselten Tunnel. Das Netz sieht nur den PryVPN-Server.
- Tarnmodus über Port 443, automatisch gewählt. Der Modus Automatisch wechselt in den Tarnmodus, wenn ein Netz VPN-Verkehr sperrt, und merkt sich das pro Netz.
- Ein anderer Weg, wenn einer gesperrt ist. Smarter Standort wählt den Server nach Latenz, Auslastung und Stabilität, und unter Standorte kannst du eine andere Stadt wählen. Jede Verbindung hat außerdem einen Ersatzserver, wenn möglich in einer anderen Stadt, der in Sekunden bereitsteht.
- Nichts entwischt beim Verbinden. Mit Androids Durchgehend aktivem VPN und Verbindungen ohne VPN blockieren gehen Apps nur durch den Tunnel online, sodass ein Netz mit Sperren sie nicht auf die gefilterte Verbindung zurückdrängen kann.
Was ein Netz vor und nach dem Verbinden über dein Surfen lesen kann, zeigt dir Was dein WLAN sieht; mehr dazu im Artikel was der WLAN-Besitzer sehen kann.
Legal und verantwortungsvoll nutzen
VPNs sind in den meisten Ländern legal, und einen zu breiten Filter zu umgehen, um Nachrichten zu lesen, an deine Arbeitswerkzeuge zu kommen oder deiner Familie zu schreiben, ist genau das, wofür VPNs da sind. Ein paar Punkte sorgen dafür, dass es so bleibt:
- Es gilt das Recht des Landes, in dem du bist. Manche Länder beschränken oder verbieten VPNs; prüf das vor der Reise. Unser Hilfeartikel für Reisen fasst das Wichtigste zusammen.
- Ein VPN ändert nicht, was legal ist. Raubkopierte Streams und andere rechtswidrige Inhalte bleiben rechtswidrig, mit oder ohne Tunnel. Nutze es für das, was du sehen darfst.
- Netze, deren Bedingungen du zugestimmt hast, haben Regeln. In der Firma oder an der Uni frag die IT, wenn etwas gesperrt ist, das du brauchst, und umgehe nie die Einstellungen eines Geräts, das dein Arbeitgeber oder deine Hochschule verwaltet.
Häufige Fragen
Warum öffnet sich eine Seite über mobile Daten, aber nicht im WLAN?
Weil das WLAN sie filtert, meist per DNS, oder weil es darauf wartet, dass du dich auf seiner Anmeldeseite anmeldest. Mit einem VPN sehen beide Netze dasselbe: eine verschlüsselte Verbindung zum VPN-Server.
Hebt ein anderer DNS-Server Sperren auf?
Er bringt dich an DNS-Sperren vorbei, den häufigsten. Er hilft nicht, wenn das Netz SNI liest oder die Adresse der Seite sperrt. Ein VPN deckt alle drei auf einmal ab.
Sieht das Netz, dass ich ein VPN nutze?
Es sieht eine Verbindung zu einem VPN-Server. Im Tarnmodus sieht diese Verbindung aus wie gewöhnliches HTTPS über Port 443, also genau das, was die meisten Netze den ganzen Tag transportieren.
Welche Seiten kann PryVPN öffnen?
Seiten, die im offenen Internet funktionieren, aber vom Netz gesperrt werden, in dem du gerade bist. Ist eine Seite für alle down, zeigt dir das die Prüfung Ist die Seite down?, und kein VPN kann sie zurückholen.
PryVPN ist ein kostenloses WireGuard-VPN für Android ohne Aktivitätsprotokolle. Mach bei der Beta mit, und wir schreiben dir, sobald Platz ist; installiert wird es über Google Play.
Quellen
Einen Fehler entdeckt? Schreib uns an support@pryvpn.com. Wir korrigieren ihn und aktualisieren das Datum.
