Was ist Split-Tunneling? 3 Arten, das Risiko und ein WireGuard-Setup

Standardmäßig ist ein VPN eine Alles-oder-nichts-Sache: Schalten Sie es ein, und alles, was Ihr Gerät sendet, geht durch den verschlüsselten Tunnel. Split-Tunneling bricht diese Regel. Damit wählen Sie aus, welcher Verkehr durch das VPN geht und welcher Ihre normale Verbindung nimmt: nützlich, aber mit einem Haken, den man verstehen sollte. Dieser Leitfaden erklärt, was Split-Tunneling ist, welche Arten es gibt, warum man es nutzt, den ehrlichen Kompromiss und wie Sie es auf einem selbst gehosteten WireGuard-Setup umsetzen.

Was ist VPN-Split-Tunneling?

Split-Tunneling ist eine VPN-Funktion, die einen Teil Ihres Datenverkehrs durch den verschlüsselten Tunnel leitet und den Rest direkt über Ihre normale Internetverbindung laufen lässt. Statt eines Tunnels, der alles transportiert, teilen Sie Ihren Verkehr auf zwei Wege auf: geschützt (durch das VPN) und direkt (ohne). Sie entscheiden, was wohin geht.

Wie leitet Split-Tunneling Ihren Verkehr tatsächlich?

Sie legen Regeln fest, die dem VPN sagen, welcher Verkehr ein- oder ausgeschlossen wird. Diese Regeln funktionieren meist auf eine von wenigen Arten:

• App-basiert: Sie wählen bestimmte Apps, die durch das VPN gehen (oder davon ausgenommen sind). Üblich bei VPN-Clients für Desktop und Android.
• Zielbasiert: Routing nach IP-Bereich oder Domain, sodass Verkehr zu bestimmten Websites oder Netzen den Tunnel nutzt und der Rest nicht.
• Inverser Split-Tunnel: Alles geht durch das VPN, außer einer kurzen Liste, die Sie ausschließen (praktisch für eine einzelne App, die hinter einem VPN Probleme macht).

Unabhängig von der Methode wendet der VPN-Client Ihre Regeln auf jede Verbindung an und schickt sie auf den richtigen Weg.

Warum sollten Sie Split-Tunneling nutzen?

Bei Split-Tunneling geht es vor allem um Komfort und Leistung:

• Geschwindigkeit und Bandbreite. Verkehr, der keinen Schutz braucht, spart sich den zusätzlichen Hop über das VPN, ist schneller und frisst nicht den Durchsatz des Tunnels. Große Downloads oder Videoanrufe laufen oft direkt.
• Zugriff aufs lokale Netz. Sie erreichen Drucker, NAS oder andere Geräte zu Hause, während das VPN für alles andere aktiv bleibt; ein vollständiger Tunnel würde Sie normalerweise davon abschneiden.
• Doppelter Zugriff. Nutzen Sie einen Dienst, der VPNs blockiert (manche Banking- oder Streaming-Apps), über Ihre echte Verbindung, während eine andere App im VPN bleibt, ganz ohne Ein- und Ausschalten.

Welche Risiken hat Split-Tunneling?

Jetzt der entscheidende Teil: Alles, was Sie außerhalb des Tunnels leiten, ist nicht geschützt. Dieser Verkehr nutzt Ihre echte IP und ist für Ihr Netzwerk und Ihren Provider sichtbar, genau so, als wäre das VPN aus. Split-Tunneling tauscht etwas Schutz gegen Komfort, und das Hauptrisiko ist eine Fehlkonfiguration: versehentlich etwas Sensibles ausschließen, oder eine DNS-Anfrage, die außerhalb des Tunnels leakt und verrät, was Sie tun.

Die Faustregel ist daher einfach: Schließen Sie nur Verkehr aus, bei dem es Ihnen wirklich nichts ausmacht, dass er ungeschützt ist. Wenn Sie ein VPN für den Datenschutz oder in einem feindlichen Netzwerk nutzen, ist ein vollständiger Tunnel (alles durch das VPN) die sicherere Standardeinstellung, und Split-Tunneling ist die bewusste Ausnahme, die Sie für eine bestimmte App machen.

Nutzen Windows oder macOS standardmäßig Split-Tunneling?

Die meisten Erklärungen zu Split-Tunneling überspringen die Frage, die in der Praxis alles entscheidet: Was passiert, wenn Sie gar nichts konfigurieren?

Für Windows beantwortet die Dokumentation von Microsoft das direkt. Force Tunnel ist die Standardkonfiguration und greift, wenn keine Routen angegeben sind. In einer Force-Tunnel-Konfiguration läuft der gesamte Verkehr über das VPN. Split-Tunneling ist also kein Zustand, in den Sie versehentlich geraten, sondern einer, den Sie ausdrücklich anfordern müssen.

Der Mechanismus ist wissenswert, weil er das ganze Thema entmystifiziert. Microsoft beschreibt die einzige Auswirkung von Force Tunnel als die Manipulation von Routing-Einträgen: Die IPv4- und IPv6-Standardrouten des VPNs, 0.0.0.0/0 und das v6-Gegenstück, werden der Routing-Tabelle mit einer niedrigeren Metrik als die anderer Schnittstellen hinzugefügt. Der Verkehr läuft dann durch das VPN, solange es keine spezifischere Route auf der physischen Schnittstelle gibt.

Das ist dieselbe Idee, die die WireGuard-Konfigurationen weiter unten mit AllowedIPs ausdrücken. Andere Hersteller, andere Syntax, ein Mechanismus: Wer die spezifischste Route besitzt, bekommt den Verkehr.

Daraus folgen zwei praktische Punkte.

Split-Tunneling ist eine Routing-Entscheidung, keine Sicherheitsfunktion. Microsoft beschreibt die Wahl als eine, die die Konfiguration, die Kapazitätsplanung und die Sicherheitserwartungen an die Verbindung beeinflusst. Sie ändert, welche Pakete geschützt sind, und damit, was die Verbindung verspricht. Das ist eine Entscheidung, die Sie bewusst treffen sollten, keine Einstellung, die man aktiviert, weil sie schneller klingt.

Es gibt auch Ausschlussrouten. Mit dem Windows-VPN können Sie Routen angeben, die nicht über den Tunnel gehen sollen, also das Spiegelbild davon, festzulegen, was hindurchgeht. Beide Richtungen ergeben einen Split-Tunnel; sie unterscheiden sich darin, ob Ihr Ausgangspunkt Vertrauen oder Ausschluss ist.

Wie richten Sie Split-Tunneling bei WireGuard ein?

Bei WireGuard gibt es keinen Schalter namens "Split-Tunnel": Sie entscheiden alles über AllowedIPs, das auflistet, was der Tunnel erfasst. Alles, was nicht in dieser Liste steht, nutzt weiterhin Ihre normale Verbindung.

Der Fehler, der daraus folgt, ist immer derselbe: ein Bereich, der so breit ist, dass er das lokale Netz verschluckt, sodass Drucker und NAS nicht mehr antworten, solange der Tunnel steht, und niemand die beiden Tatsachen in Verbindung bringt. wg-clients-audit liest einen Ordner mit Konfigurationen und meldet genau das, zusammen mit doppelten Adressen und wiederverwendeten Schlüsseln.

Wenn Sie Ihr eigenes VPN betreiben, haben Sie Split-Tunneling bereits: Es ist einfach die Einstellung AllowedIPs in Ihrer WireGuard-Client-Konfiguration. AllowedIPs = 0.0.0.0/0, ::/0 leitet den gesamten Verkehr durch den Tunnel (ein vollständiger Tunnel). Listen Sie stattdessen nur bestimmte Subnetze auf, nutzt nur dieser Verkehr WireGuard, während alles andere auf Ihrer normalen Verbindung bleibt (ein Split-Tunnel). Kein spezieller Schalter nötig: Die Routing-Konfiguration ist die Steuerung, ein weiterer Grund, warum Ihnen ein selbst gehosteter WireGuard-Server präzise Kontrolle über Ihren Verkehr gibt.

Mit unserem kostenlosen WireGuard-Konfigurationsgenerator wählen Sie beim Erstellen Ihrer Client-Konfigurationen einen vollständigen Tunnel (0.0.0.0/0, ::/0) oder einen Split-Tunnel, wobei die Schlüssel in Ihrem Browser erzeugt werden. Der Generator ist kostenlos und ohne Konto, bis 250 Geräte, und sein ZIP-Export enthält jede Client-.conf mit ihrem QR-Code als PNG, praktisch, um ein ganzes Büro oder eine Familie auf einmal auszustatten.

Konkrete WireGuard-Konfigurationen

Weil AllowedIPs die Steuerung ist, hilft es, die tatsächlichen Zeilen zu sehen statt nur das Prinzip. Sie gehören in den Abschnitt [Peer] Ihrer Client-Konfiguration.

Vollständiger Tunnel: alles durch das VPN, die sichere Standardeinstellung:

AllowedIPs = 0.0.0.0/0, ::/0

Split-Tunnel, nur entferntes Subnetz: Sie erreichen Ihr Heim- oder Büronetz über das VPN, alles andere geht direkt:

AllowedIPs = 10.0.0.0/24

Split-Tunnel, VPN-Netz plus ein Dienst: Der Tunnel transportiert Ihr privates Subnetz und ein bestimmtes Ziel:

AllowedIPs = 10.0.0.0/24, 203.0.113.10/32

Eine einzelne Adresse braucht das Suffix /32 (oder /128 bei IPv6). Beachten Sie, was dieses Design bedeutet: WireGuard trennt nach Ziel, nicht nach Anwendung. Wenn Sie Regeln pro App brauchen, liegt diese Logik in Ihrem VPN-Client oder Ihrem Betriebssystem, nicht in WireGuard selbst.

Brauchen Sie das Gegenteil, also alles außer Ihrem LAN oder einer Adresse? AllowedIPs hat keine Ausschluss-Syntax, also müssen Sie jedes andere Netz auflisten. Unser kostenloser WireGuard-AllowedIPs-Rechner erledigt diese Subtraktion für IPv4 und IPv6 und liefert die exakte Zeile, plus den Ausschluss der Server-IP, den wg-quick unter Linux braucht.

Wie prüfen Sie, ob Split-Tunneling funktioniert?

Ein Split-Tunnel, der unbemerkt mehr oder weniger leitet als beabsichtigt, ist der häufigste Fehler. Zwei Prüfungen schaffen Klarheit.

Welche Route genutzt wird. Unter Linux oder macOS zeigt ip route get 1.1.1.1 (oder route get 1.1.1.1) die Schnittstelle, die ein Ziel nutzen wird. Nennt sie Ihre WireGuard-Schnittstelle für etwas, das Sie ausschließen wollten, ist Ihr AllowedIPs breiter, als Sie denken.

Was das Internet sieht. Laden Sie eine Seite zur IP-Prüfung aus der App, die Sie durch den Tunnel leiten, und aus einer App, die Sie ausgeschlossen haben. Die erste sollte die Adresse des VPN-Servers zeigen, die zweite Ihre echte. Zeigen beide dieselbe Adresse, haben Sie keinen Split-Tunnel, sondern einen vollständigen Tunnel oder gar keinen.

Die DNS-Falle

Das ist der Fehler, der viele erwischt, und er verdient eine eigene Warnung. Ihre DNS-Anfragen können außerhalb des Tunnels leaken, selbst wenn Ihr Verkehr korrekt geroutet wird.

Schickt Ihr Client DNS an einen Resolver, der außerhalb des Tunnels erreicht wird, sieht Ihr Provider den Namen jeder Website, die Sie besuchen, auch der, die Sie sorgfältig durch das VPN geleitet haben. Der Verkehr ist verschlüsselt; die Namensauflösung davor nicht. Das macht einen Großteil des Nutzens zunichte.

Bei WireGuard legt die Zeile DNS = im Abschnitt [Interface] des Clients den Resolver fest, der genutzt wird, solange der Tunnel steht. Richten Sie ihn auf einen Resolver, der durch den Tunnel erreichbar ist, wenn Ihre Anfragen geschützt sein sollen. Prüfen Sie das anschließend mit einem DNS-Leak-Test, statt es anzunehmen, denn Betriebssysteme haben ihre eigene Meinung zur Reihenfolge der Resolver und überschreiben Ihre Einstellung manchmal.

Das Fazit

Split-Tunneling ist eine wirklich nützliche Funktion für Geschwindigkeit, lokalen Zugriff und doppelte Verbindungen, solange Sie daran denken, dass ausgeschlossener Verkehr keinerlei Schutz durch das VPN erhält. Setzen Sie es gezielt für die Apps ein, die davon profitieren, halten Sie alles Sensible im Tunnel, und leiten Sie im Zweifel alles durch das VPN.

Das hier beschriebene Standardverhalten von Windows, einschließlich der Tatsache, dass Force Tunnel die Standardkonfiguration ist, wenn keine Routen angegeben sind, der Manipulation von Routing-Einträgen mit einer niedrigeren Metrik als die anderer Schnittstellen, der Verfügbarkeit von Ausschlussrouten und der Einordnung der Wahl als Faktor für Konfiguration, Kapazitätsplanung und Sicherheitserwartungen, stammt aus der Dokumentation von Microsoft zu VPN-Routing-Entscheidungen, geprüft zum Zeitpunkt der Erstellung. Andere Plattformen verhalten sich standardmäßig anders; prüfen Sie die Dokumentation Ihres eigenen Clients.