Was ist ein SOCKS5-Proxy? Funktionsweise, SOCKS4 vs. SOCKS5

Ein Spielclient, der den Proxy Ihres Browsers ignoriert, eine Telegram-App, die nach einem „SOCKS5-Server“ fragt, ein Scraper, dessen DNS-Anfragen Ihr Büronetz nicht verlassen sollen: Alle drei führen zum selben Protokoll. SOCKS5 baut in Ihrem Auftrag eine Verbindung auf und reicht die Bytes in beide Richtungen weiter, ganz gleich, welcher Verkehr darüber läuft.

Dieser Beitrag erklärt SOCKS4 und SOCKS5, den Verbindungsaufbau Schritt für Schritt, UDP und DNS über den Proxy, die Einrichtung, die Prüfpunkte vor dem Kauf und die häufigsten Fehler. Der Code wurde gegen einen lokalen SOCKS5-Server getestet.

Was ist SOCKS?#

Ein SOCKS-Proxy ist ein Vermittler zwischen Ihrem Programm und dem Zielserver. Der Client teilt dem Proxy mit, welche Adresse und welchen Port er erreichen will, der Proxy baut diese Verbindung auf und reicht von da an den Verkehr zwischen beiden Seiten weiter. Die Gegenstelle sieht die IP-Adresse des Proxys und nicht Ihre.

Anders als ein HTTP-Proxy arbeitet SOCKS nicht auf der Anwendungsschicht: Er liest die Pakete nicht und verändert sie nicht, sondern reicht den Verkehr unverändert weiter. Deshalb ordnet man SOCKS der Schicht 5 des OSI-Modells zu, unterhalb von HTTP, und deshalb kommt ein SOCKS5-Proxy mit Programmen zurecht, die ganz eigene Protokolle sprechen: Ein Spielclient, ein Mailprogramm und eine SSH-Sitzung können denselben Proxy nutzen. OpenSSH wird mit ssh -D sogar selbst zu einem lokalen SOCKS-Server (OpenSSH-Handbuch).

Es gibt zwei Hauptversionen: SOCKS4 und SOCKS5. Wenn ein Anbieter heute von „SOCKS“ spricht, meint er SOCKS5.

Was ist das ältere Protokoll SOCKS4?#

SOCKS4 ist die frühere Version und nur für TCP-Verbindungen gedacht. Die Anfrage ist winzig: ein Versionsbyte, ein Befehl, der Zielport, die IPv4-Zieladresse und eine Benutzerkennung (SOCKS4-Spezifikation).

Eigenschaften von SOCKS4#

• Nur TCP: CONNECT für ausgehende und BIND für eingehende Verbindungen. UDP gibt es nicht.
• Nur IPv4: Das Zielfeld ist vier Bytes lang, adressierbar sind also nur IPv4-Ziele.
• Kein Passwort: Die Benutzerkennung (User-ID) benennt einen Nutzer, meldet ihn aber nicht an. In der Praxis regeln SOCKS4-Server den Zugang über die IP des Clients.
• Namensauflösung beim Client: Der Client muss den Domainnamen selbst auflösen und eine IP senden. Die Erweiterung SOCKS4a hat das behoben: Der Client darf den Namen schicken, und der Proxy löst ihn auf (SOCKS4a-Spezifikation).

SOCKS4 lebt in älteren Werkzeugen und einfachen internen Weiterleitungen fort. Moderne Spielclients brauchen UDP und Hostnamen, deshalb nimmt SOCKS5, wer einen Gaming-Proxy sucht. Ein reiner SOCKS5-Server lehnt SOCKS4-Anfragen ab; prüfen Sie also, welche Version Ihr Werkzeug sendet.

Was ist ein SOCKS5-Proxy?#

SOCKS5 ist die aktuelle Version des Protokolls, 1996 als RFC 1928 veröffentlicht. Es tut dasselbe wie SOCKS4, ergänzt aber, was moderne Anwendungen brauchen:

• TCP und UDP: Neben CONNECT und BIND gibt es den Befehl UDP ASSOCIATE. SOCKS5 transportiert damit Webverkehr, E-Mail, Dateiübertragungen, Sprachanrufe, DNS-Anfragen und Spieldaten.
• Anmeldung: Client und Server einigen sich auf ein Verfahren: keines, GSSAPI oder Benutzername und Passwort nach RFC 1929. Kommerzielle Anbieter nutzen Benutzername und Passwort oder eine IP-Whitelist.
• IPv6: Ein Ziel kann eine IPv4-Adresse, eine IPv6-Adresse oder ein Domainname sein.
• Namensauflösung am Proxy: Der Client darf den Hostnamen übergeben. Dann löst der Proxy ihn auf, und die DNS-Anfrage verlässt Ihr eigenes Netz nie.

Für die Einrichtung brauchen Sie einen Host, einen Port und meist Benutzername und Passwort. Unterschiede gibt es bei der Unterstützung in den Werkzeugen: Chrome kann kein SOCKS5-Passwort senden, die WLAN-Einstellungen von iPhone und Android akzeptieren nur HTTP-Proxys, und manche Bibliotheken brauchen ein Zusatzpaket.

Wie funktioniert eine SOCKS5-Verbindung?#

Jede SOCKS5-Sitzung beginnt mit einem kurzen Austausch über eine TCP-Verbindung zum Proxy. Die Schritte folgen RFC 1928:

1. Begrüßung. Der Client sendet die Version und die Anmeldeverfahren, die er beherrscht, zum Beispiel 05 02 00 02: keine Anmeldung (0x00) und Benutzername/Passwort (0x02).
2. Auswahl des Verfahrens. Der Server antwortet mit seiner Wahl, etwa 05 02, oder mit 05 FF, wenn keines akzeptabel ist.
3. Anmeldung. Der Client sendet Benutzername und Passwort, jeweils mit vorangestellter Länge. Status 0 bedeutet Erfolg.
4. Anfrage. Der Client sendet einen Befehl (CONNECT = 1, BIND = 2, UDP ASSOCIATE = 3), einen Adresstyp (IPv4 = 1, Domainname = 3, IPv6 = 4), die Adresse und den Port.
5. Antwort. Der Proxy versucht die Verbindung und antwortet mit einem Code: 0 Erfolg, 1 allgemeiner Fehler, 2 durch Regeln nicht erlaubt, 3 Netz nicht erreichbar, 4 Host nicht erreichbar, 5 Verbindung abgelehnt, 6 TTL abgelaufen, 7 Befehl nicht unterstützt, 8 Adresstyp nicht unterstützt.
6. Weiterleitung. Der Proxy kopiert die Bytes in beide Richtungen. Bei HTTPS läuft TLS innerhalb dieses Tunnels, der Proxy sieht also nur verschlüsselte Daten.

Das folgende Skript führt diese Schritte von Hand aus und öffnet danach durch den Tunnel eine TLS-Verbindung zu httpbin.org. Gegen unseren Testserver gab es server picked method 0x2, auth status 0, reply code 0 und die Ausgangs-IP aus; mit falschem Passwort brach es bei auth status 1 ab.

import socket
import ssl
import struct

PROXY_HOST, PROXY_PORT = "pr.proxynet.io", 1080
USER, PASSWORD = b"user", b"pass"
TARGET_HOST, TARGET_PORT = "httpbin.org", 443


def recv_exact(sock, n):
    data = b""
    while len(data) < n:
        chunk = sock.recv(n - len(data))
        if not chunk:
            raise ConnectionError("proxy closed the connection")
        data += chunk
    return data


sock = socket.create_connection((PROXY_HOST, PROXY_PORT), timeout=15)

# 1. Begrüßung: Version 5, zwei angebotene Verfahren (0x00 ohne Anmeldung, 0x02 Benutzername/Passwort)
sock.sendall(b"\x05\x02\x00\x02")
ver, method = recv_exact(sock, 2)
print("server picked method", hex(method))
if method == 0xFF:
    raise SystemExit("no acceptable authentication method: send credentials or whitelist your IP")

# 2. Anmeldung mit Benutzername und Passwort (RFC 1929)
if method == 0x02:
    sock.sendall(b"\x01" + bytes([len(USER)]) + USER + bytes([len(PASSWORD)]) + PASSWORD)
    _, status = recv_exact(sock, 2)
    print("auth status", status)  # 0 = Erfolg
    if status != 0:
        raise SystemExit("wrong username or password")

# 3. CONNECT-Anfrage mit Domainname (ATYP 0x03): Der Proxy löst DNS auf
name = TARGET_HOST.encode()
sock.sendall(b"\x05\x01\x00\x03" + bytes([len(name)]) + name + struct.pack(">H", TARGET_PORT))
ver, rep, _, atyp = recv_exact(sock, 4)
print("reply code", rep)  # 0 = Erfolg, 4 = Host nicht erreichbar, 5 = Verbindung abgelehnt
if rep != 0:
    raise SystemExit(f"SOCKS5 request failed with REP={rep}")
addr_len = {1: 4, 4: 16}.get(atyp) or recv_exact(sock, 1)[0]
recv_exact(sock, addr_len + 2)  # gebundene Adresse und Port, hier nicht benötigt

# 4. Ab hier ist der Socket ein reiner Tunnel: TLS läuft Ende-zu-Ende mit dem Ziel
tls = ssl.create_default_context().wrap_socket(sock, server_hostname=TARGET_HOST)
tls.sendall(b"GET /ip HTTP/1.1\r\nHost: httpbin.org\r\nConnection: close\r\n\r\n")
response = b""
while chunk := tls.recv(4096):
    response += chunk
print(response.decode(errors="replace").split("\r\n\r\n", 1)[1])

Wie transportiert SOCKS5 UDP-Verkehr?#

Der Proxy leitet UDP nicht einfach über den Port weiter, mit dem Sie sich verbinden:

1. Der Client öffnet die übliche TCP-Verbindung, meldet sich an und sendet eine UDP-ASSOCIATE-Anfrage.
2. Der Proxy antwortet mit Adresse und Port seines UDP-Relays.
3. Der Client schickt jedes Datagramm mit einem kleinen Header, der Zieladresse und Zielport enthält, an das Relay. Das Relay leitet es weiter und verpackt die Antworten auf dieselbe Weise.
4. Die Zuordnung besteht so lange wie die TCP-Verbindung aus Schritt 1.

Beide Seiten müssen das umsetzen: Chrome zum Beispiel leitet UDP nie über SOCKS5, wie die Chromium-Dokumentation zu Proxys festhält. Der SOCKS5-Dienst von Proxynet unterstützt UDP. Die beiden Transportprotokolle vergleicht TCP und UDP: Was ist der Unterschied?

Was sind die Unterschiede zwischen SOCKS4 und SOCKS5?#

SOCKS4a steht mit in der Tabelle, weil es die DNS-Lücke schon vor SOCKS5 geschlossen hat.

Unterm Strich ist SOCKS5 die flexiblere Fassung. Es hält Unbefugte mit einem Passwort fern, während SOCKS4 nur nach IP filtern kann, erreicht auch IPv6-Ziele (siehe IPv4- und IPv6-Proxys: Welche sollten Sie wählen?) und transportiert UDP für Anrufe, Streaming und Spiele. In der Praxis begegnet Ihnen SOCKS4 kaum noch.

SOCKS5 oder HTTP-Proxy: Was brauchen Sie?#

Ein HTTP(S)-Proxy versteht Webanfragen; SOCKS5 transportiert jede TCP- oder UDP-Verbindung, ohne HTTP zu kennen. Für Webverkehr funktionieren beide, und HTTP(S) wird von mehr Werkzeugen unterstützt. SOCKS5 ist richtig, wenn das Programm kein HTTP spricht, etwa bei Desktop-Clients, Spielen und VoIP, oder wenn Sie UDP brauchen. Geht es dagegen um reines Web-Scraping, bringt ein HTTPS-Proxy keine Nachteile. Den vollständigen Vergleich finden Sie in SOCKS und HTTP Proxy im Vergleich: was wählen?

socks5 oder socks5h: Wo wird DNS aufgelöst?#

Eine SOCKS5-Anfrage kann das Ziel per IP oder per Domainname benennen, und davon hängt ab, wer den Namen nachschlägt:

• cURL: socks5:// löst lokal auf; socks5h:// oder --socks5-hostname überlässt die Auflösung dem Proxy (Everything curl).
• Python Requests und HTTPX: dieselben Schemata; laut Requests-Dokumentation löst socks5h am Proxy auf.
• Firefox: das Kästchen „Bei Verwendung von SOCKS v5 den Proxy für DNS-Anfragen verwenden“, seit Firefox 128 standardmäßig aktiv.
• Chrome: überlässt die Auflösung bei SOCKS5 immer dem Proxy.

Im Log unseres Testservers kam cURL mit socks5h:// als domain httpbin.org:443 an; mit socks5:// kam eine nackte IP an, die Anfrage war also schon über den lokalen Resolver gelaufen. Das ist mehr als eine Formsache: Löst Ihr eigener Rechner den Namen auf, verrät die DNS-Anfrage Ihrem Netz und Ihrem Anbieter jede Domain, die Sie aufrufen, auch wenn der Verkehr danach über den Proxy geht. Bevorzugen Sie deshalb die Auflösung am Proxy. Lecktests finden Sie in WebRTC- und DNS-Lecks: Was sie sind und wie Sie sie stoppen.

Ist ein SOCKS5-Proxy sicher? Verschlüsselt er den Verkehr?#

Nein. SOCKS5 ändert den Weg Ihres Verkehrs, nicht seinen Inhalt. HTTPS verschlüsselt Webseiten ohnehin, der Proxy erfährt dann nur Ziel und Port; unverschlüsseltes HTTP, FTP oder E-Mail ohne TLS kann er dagegen lesen.

• Das Proxy-Passwort geht im Klartext über die Leitung. RFC 1929 sagt das selbst. Verwenden Sie ein Passwort, das Sie nirgends sonst nutzen, und in geteilten Netzen besser eine IP-Whitelist.
• Der Betreiber sieht Ihre Verbindungen. Einen bezahlten Proxy betreibt ein bekanntes Unternehmen, bei kostenlosen SOCKS5-Listen wissen Sie das nicht. Siehe Sind kostenlose Proxys und Web-Proxy-Seiten sicher?

Muss schon die Strecke zum Proxy verschlüsselt sein, liefert ssh -D 1080 user@server einen lokalen SOCKS-Server, dessen Verkehr innerhalb von SSH läuft.

Wie nutzen Sie einen SOCKS5-Proxy?#

Schritt-für-Schritt-Anleitungen: Firefox, Windows und Chrome, Telegram und Proxifier.

Den Proxy mit cURL testen#

# Der Proxy löst DNS auf (empfohlen)
curl -x "socks5h://user:pass@pr.proxynet.io:1080" https://httpbin.org/ip

# Dieselbe Anfrage mit getrennten Optionen
curl --socks5-hostname pr.proxynet.io:1080 --proxy-user user:pass https://httpbin.org/ip

Die Antwort zeigt die Ausgangs-IP des Proxys. Weitere Optionen stehen in cURL mit Proxy verwenden; eine Prüfung nur im Browser beschreibt Funktioniert mein Proxy? So testen Sie einen Proxy.

In Python mit Wiederholungen nutzen#

Dieses Skript wiederholt Anfragen bei kurzen Netzwerkstörungen, bricht bei Konfigurationsfehlern aber sofort ab, denn die behebt auch ein zweiter Versuch nicht.

# pip install "requests[socks]"
import time

import requests

PROXY = "socks5h://user:pass@pr.proxynet.io:1080"  # socks5h = der Proxy löst DNS auf
PROXIES = {"http": PROXY, "https": PROXY}

# Konfigurationsfehler: Wiederholen hilft hier nicht
FATAL = ("SOCKS5 authentication failed", "sent invalid data", "Missing dependencies for SOCKS")


def fetch(url, attempts=3):
    for attempt in range(1, attempts + 1):
        try:
            r = requests.get(url, proxies=PROXIES, timeout=(10, 30))
            r.raise_for_status()
            return r
        except (requests.ConnectionError, requests.Timeout, requests.exceptions.InvalidSchema) as exc:
            message = str(exc)
            if any(text in message for text in FATAL) or attempt == attempts:
                raise
            print(f"attempt {attempt} failed, retrying: {exc.__class__.__name__}")
            time.sleep(2 ** attempt)


start = time.perf_counter()
r = fetch("https://httpbin.org/ip")
print("exit IP:", r.json()["origin"], f"({time.perf_counter() - start:.2f}s)")

In unserem Test gab es die Ausgangs-IP aus, scheiterte mit falschem Passwort sofort und versuchte es bei einem geschlossenen Port noch zweimal. Die Ports hier sind Beispiele; Ihre eigenen zeigt das Dashboard.

Wofür werden SOCKS5-Proxys genutzt?#

• Onlinespiele. Spielclients nutzen eigene Protokolle und oft UDP; ein Routing-Werkzeug leitet sie über SOCKS5. Ein Beispiel ist unsere Seite zum Growtopia-Proxy.
• Messenger. Telegram akzeptiert SOCKS5 mit Passwort in den eigenen Einstellungen.
• Programme ohne Proxy-Einstellung. Proxifier leitet jedes Desktop-Programm über SOCKS5, getrennt pro Anwendung.
• Datenerfassung. Scraper, die DNS erst am Ausgang auflösen sollen, nutzen SOCKS5 mit socks5h; siehe unsere Lösungen für Web-Scraping.

Residential, Mobile, ISP oder Datacenter: Was Sie vor dem Kauf von SOCKS5-Proxys prüfen sollten#

SOCKS5 ist ein Protokoll und keine Art von IP. Wer einen SOCKS5-Proxy kauft, wählt also einen IP-Typ, der zur Aufgabe passt, und einen Dienst, der mit den eigenen Werkzeugen zusammenarbeitet.

Ein privater SOCKS5-Proxy ist eine IP, die nur Sie nutzen; Residential- und Mobile-IPs stammen dagegen aus einem geteilten Pool. Mehr dazu in Residential- und Datacenter-Proxy im Vergleich. Prüfen Sie vor dem Kauf:

1. UDP. Nicht jeder SOCKS5-Dienst leitet UDP weiter. Der von Proxynet tut es.
2. Anmeldung. Kann Ihr Werkzeug wie Chrome kein SOCKS5-Passwort senden, brauchen Sie eine IP-Whitelist; Proxynet erlaubt bis zu 10 IPs. Siehe Proxy-Authentifizierung: User:Pass oder IP-Whitelist.
3. DNS am Proxy. Der Dienst sollte Domainnamen annehmen, damit socks5h funktioniert.
4. Ports und Zugangsdaten. Bei Proxynet nutzen Residential und Mobile ein gemeinsames Gateway mit getrennten Ports für HTTP und SOCKS5; der Endpoint-Generator im Dashboard erstellt den Benutzernamen mit Land, Stadt und Sitzung.
5. Sitzungen. Sticky-Sitzungen (bei Proxynet 1 bis 60 Minuten) halten eine IP über einen ganzen Login-Ablauf.
6. Erst testen. Führen Sie den cURL-Befehl aus und prüfen Sie Standort und DNS-Lecks.

Die Residential- und Mobile-Pools von Proxynet umfassen zusammen 160 Mio. IPs, davon 140 Mio. Residential; der Mobile-Pool enthält in Türkiye Leitungen von Turkcell, Türk Telekom und Vodafone. Produktseiten: SOCKS5-Proxy, Residential-Proxy, Mobile-Proxy und ISP-Proxy. Weitere Fragen beantwortet Proxy kaufen: Worauf sollten Sie achten? Wer SOCKS5 zu welchen Bedingungen anbietet, sehen Sie nebeneinander in Die besten SOCKS5-Proxy-Anbieter - 2026.

Häufige SOCKS5-Fehler und ihre Lösung#

Die Meldungen von cURL 8.21, Python und Chrome haben wir gegen unseren Testserver nachgestellt; den Text zum fehlenden Paket zitieren wir aus dem Quellcode von Requests.

Python verpackt diese Meldungen in eine Zeile mit Max retries exceeded; siehe Max Retries Exceeded With URL: Bedeutung und Lösung.

Entscheidungshilfe#

Häufige Fragen#

Welchen Port nutzt SOCKS5?#

Per Konvention Port 1080. Anbieter verwenden oft andere Ports; nehmen Sie den, den Ihr Dashboard anzeigt. Proxy-Ports erklärt Was ist Port 8080? Proxy-Portnummern und ihre Bedeutung.

Ist SOCKS5 dasselbe wie ein VPN?#

Nein. Ein VPN verschlüsselt den gesamten Verkehr des Geräts bis zu seinem Server. SOCKS5 gilt nur für die Anwendungen, die Sie einrichten, und verschlüsselt nicht. Siehe Proxy und VPN im Vergleich.

Ist ein SOCKS5-Proxy dasselbe wie ein Residential-Proxy?#

Nein. SOCKS5 ist das Protokoll, über das Ihre Anwendung mit dem Proxy spricht; Residential beschreibt, woher die Ausgangs-IP stammt. Residential-, Datacenter-, ISP- und Mobile-Proxys lassen sich alle über HTTP oder SOCKS5 ansprechen.

Funktioniert SOCKS5 mit HTTPS-Websites?#

Ja. TLS-Handshake und Zertifikatsprüfung laufen zwischen Ihrem Client und der Website, der Proxy kann die Seite also nicht lesen.

Kann ich SOCKS5 auf dem iPhone oder unter Android nutzen?#

Nicht über die WLAN-Proxy-Einstellungen, die auf beiden Systemen nur einen HTTP-Proxy annehmen. Apps mit eigener Proxy-Einstellung wie Telegram akzeptieren SOCKS5. Für den systemweiten Einsatz tragen Sie den HTTP(S)-Port desselben Pakets ein, wie in Proxy auf dem Android-Smartphone einrichten gezeigt.

Sind kostenlose SOCKS5-Proxylisten sicher?#

Nicht für alles, was eine Anmeldung erfordert. Sie können nicht wissen, wer einen kostenlosen Server betreibt, und er kann unverschlüsselten Verkehr mitlesen. Nutzen Sie solche Listen nur für Tests, bei denen nichts auf dem Spiel steht.

Fazit#

SOCKS5 leitet TCP- und UDP-Verbindungen weiter, ohne sie zu lesen, und ersetzt SOCKS4 in jeder praktischen Hinsicht, verschlüsselt aber nicht. Nutzen Sie socks5h, eine IP-Whitelist dort, wo ein Werkzeug kein SOCKS5-Passwort senden kann, und prüfen Sie für Spiele oder Anrufe die UDP-Unterstützung. SOCKS5- und HTTP(S)-Zugang im selben Paket finden Sie in unseren Proxy-Diensten.