VPN verbunden, aber kein Internet? Ursachen und Lösungen

Sie wählen in der VPN-App „Verbinden“, und die Schaltfläche wird grün. Windows zeigt unter dem Namen des VPN „Verbunden“ an, und auf dem Netzwerksymbol erscheint ein blauer Schild. Dann lädt nichts: Der Browser landet auf einer Fehlerseite, und ein Videoanruf bricht ab. Schalten Sie das VPN aus, ist sofort alles wieder da.

Dieser Leitfaden behandelt genau diesen Fall: Die App meldet eine Verbindung, aber Seiten laden nicht. Erreicht die App nie den Status „Verbunden“, lesen Sie stattdessen VPN verbindet nicht? Ursachen, Fehlercodes und Lösungen. Unten finden Sie einen Zwei-Minuten-Test, die üblichen Ursachen in der Reihenfolge, in der sich die Prüfung lohnt, was Sie der IT-Abteilung zu einem Firmen-VPN sagen, und einen optionalen Befehl.

Was bedeutet „verbunden, aber kein Internet“?#

Eine VPN-App meldet „Verbunden“, sobald sie einen Tunnel aufgebaut hat: eine verschlüsselte Verbindung zwischen Ihrem Gerät und dem VPN-Server, in der Ihr gesamter Datenverkehr läuft. Der Status beschreibt nur diesen Tunnel. Er prüft nicht, ob der Server den Rest des Internets erreicht.

Unter Windows zeigt Einstellungen > Netzwerk und Internet > VPN unter dem Namen des VPN Verbunden an; Smartphones zeigen oben auf dem Bildschirm ein VPN-Symbol. Gleichzeitig zeigt der Browser vielleicht „Kein Internet“ oder „Die Server-IP-Adresse von example.com wurde nicht gefunden.“ (ERR_NAME_NOT_RESOLVED); diese Fehler erklärt Die Website ist nicht erreichbar.

Was passiert mit Ihrem Datenverkehr, wenn Sie „Verbinden“ wählen?#

1. App und Server erkennen einander und vereinbaren Schlüssel für die Verschlüsselung. Manche Protokolle richten den Tunnel zuerst auf Ihrem Gerät ein: Laut der Protokollseite von WireGuard schalten Sie die Schnittstelle ein, und um alles andere wird sich automatisch gekümmert.
2. Das VPN übernimmt die Standardroute, also den Weg, den Ihr Gerät für jede Adresse nimmt, für die es keinen genaueren Weg kennt. Das Referenzhandbuch von OpenVPN beschreibt seine Umleitungsoption so: Das VPN ersetzt das Standardgateway, bis der Tunnel geschlossen wird.
3. Das VPN setzt eigene DNS-Server. DNS übersetzt Namen wie example.com in IP-Adressen.
4. Jedes Paket wird verpackt und an den Server geschickt, meist über UDP, eine Übertragungsart, die nicht auf die Bestätigung jedes einzelnen Stücks wartet. Durch das Verpacken wird jedes Paket etwas größer.
5. Der Server leitet die Anfrage ins Internet weiter und schickt die Antwort zurück.

„Verbunden“ erscheint nach Schritt 2. Die Schritte 3, 4 und 5 können trotzdem scheitern, und von Ihrem Platz aus sieht jeder dieser Fehler gleich aus: Nichts lädt.

Beginnen Sie mit einem Zwei-Minuten-Test#

1. Schalten Sie das VPN aus. Funktioniert das Internet dann immer noch nicht, liegt es nicht am VPN; prüfen Sie Ihren Router.
2. Verbinden Sie sich mit einem anderen Server. Klappt das, war der erste Server überlastet oder gestört.
3. Probieren Sie ein anderes Netz, etwa den Hotspot Ihres Smartphones. Funktioniert das VPN dort, liegt das Problem am ersten Netz: eine nicht abgeschlossene Anmeldeseite oder ein Netz, das VPN-Datenverkehr nicht durchlässt.
4. Beenden Sie die App vollständig und starten Sie das Gerät neu. Wer nur das Fenster schließt, lässt die App oft weiterlaufen.

Welche Ursache passt zu dem, was Sie sehen?#

Warum scheitern Websites am Namen, obwohl das VPN steht?#

Bevor Ihr Gerät eine Website öffnet, fragt es einen DNS-Server nach deren IP-Adresse. Mit eingeschaltetem VPN fragt es die Server, die das VPN beim Verbinden übergeben hat. Sind diese ausgefallen oder durch den Tunnel nicht erreichbar, bleibt der Tunnel bestehen, aber jeder Name scheitert.

• Neu verbinden, dann einen anderen Server versuchen. Ein anderer Server bringt oft funktionierendes DNS mit.
• Selbst eingetragenes DNS zurücksetzen. Ein eigener Anbieter im sicheren DNS des Browsers, auf dem Smartphone oder am Netzwerkadapter kann mit den Servern des VPN kollidieren. Stellen Sie für einen Test wieder auf automatisch; wo diese Einstellungen liegen, zeigt Was ist DNS und wie ändern Sie Ihren DNS-Server?.
• Lassen Sie den DNS-Schutz der App eingeschaltet. Wer ihn ausschaltet, schickt Namensanfragen womöglich am Tunnel vorbei. Dieses DNS-Leak erklärt WebRTC- und DNS-Lecks.

Warum muss die WLAN-Anmeldeseite vor dem VPN kommen?#

WLANs in Hotels, Cafés und Flughäfen lassen Sie oft erst ins Internet, wenn Sie auf einer Anmeldeseite die Bedingungen akzeptiert haben, und bis dahin halten sie alles andere zurück, auch das VPN. Apple nennt solche Netze Captive-Netzwerke; seine Hilfeseite rät, Einstellungen > WLAN zu öffnen, auf den Namen des Netzwerks zu tippen und zu warten, bis ein Anmeldebildschirm erscheint.

Ein VPN, das automatisch startet, greift nach seinem Server, bevor Sie sich angemeldet haben. Schalten Sie das VPN aus, schließen Sie die Anmeldeseite ab (am Computer genügt es meist, irgendeine Website aufzurufen, damit sie erscheint) und schalten Sie das VPN dann wieder ein. Manche Netze beenden die Anmeldung nach einigen Stunden.

Schneidet Sie der Kill Switch vom Internet ab?#

Ein Kill Switch blockiert jeden Internetverkehr, wenn der Tunnel abbricht, damit nichts Ihr Gerät außerhalb des VPN verlässt. Viele VPN-Apps für Computer haben einen, und Android bringt einen mit: Unter Einstellungen > Netzwerk & Internet > VPN führt das Einstellungssymbol neben einem VPN zu Durchgehend aktives VPN, und Googles Hilfe für verwaltete Geräte beschreibt Verbindungen ohne VPN blockieren: Diese Option trennt Apps vom Netz, sobald das VPN ihren Datenverkehr nicht transportiert. Googles Android-Hilfe zu VPN ergänzt, dass bei einem durchgehend aktiven VPN, das nicht mehr funktioniert, eine Benachrichtigung stehen bleibt, bis Sie sich wieder verbinden.

„Kein Internet“ nach einem Abbruch ist also oft der Kill Switch, der seine Arbeit macht: Verbinden Sie sich neu, oder trennen Sie die Verbindung ordnungsgemäß in der App. Bleibt die Sperre, nachdem Sie die App beendet haben, öffnen Sie sie erneut und schalten Sie den Kill Switch dort aus. Das letzte Mittel unter Windows ist Einstellungen > Netzwerk und Internet > Erweiterte Netzwerkeinstellungen > Netzwerkzurücksetzung; Microsofts Seite zur Behebung von WLAN-Problemen warnt, dass Sie danach womöglich die VPN-Clientsoftware neu installieren müssen.

Können sich zwei VPNs oder ein VPN und ein Proxy in die Quere kommen?#

Nur ein VPN kann gleichzeitig über die Standardroute und das DNS bestimmen, doch eine zweite VPN-App, das eingebaute VPN eines Browsers oder ein Werbeblocker, der als VPN-Profil läuft, können jeweils versuchen, beides zu übernehmen. Trennen Sie alles außer dem VPN, das Sie nutzen wollen, und verbinden Sie es dann neu.

Ein übrig gebliebener Proxy ist der andere häufige Konflikt. Windows hat eine systemweite Einstellung unter Einstellungen > Netzwerk und Internet > Proxy (Proxyserver verwenden), und jede VPN-Verbindung kann eine eigene haben: Wählen Sie das VPN unter Einstellungen > Netzwerk und Internet > VPN aus, dann Erweiterte Optionen und Proxyeinstellungen für diese VPN-Verbindung. Ein Proxy, den Sie nicht eingerichtet haben, ist Ihre Spur; bei einem Firmen-VPN fragen Sie zuerst die IT-Abteilung. Wie Sie einen Proxy entfernen, steht in Proxy-Fehler: Was tun, wenn der Proxyserver nicht reagiert?.

Blockiert Ihr Virenschutz oder Ihre Firewall das VPN?#

Apples Support-Artikel sagt, dass Sicherheitssoftware von Drittanbietern, die Netzwerkverbindungen überwacht, manche Verbindungen blockieren kann, auch solche, die für den Internetzugang nötig sind. In Chrome kann eine solche Sperre als „Deine Internetverbindung ist gesperrt“ und „Möglicherweise wurde die Verbindung von einer Firewall oder Antivirensoftware blockiert.“ (ERR_NETWORK_ACCESS_DENIED) erscheinen.

Pausieren Sie nur die Firewall oder den Webschutz der Sicherheitssoftware für eine Minute und verbinden Sie sich neu. Laden die Seiten dann, schalten Sie den Schutz wieder ein und fügen Sie die VPN-App als Ausnahme hinzu. Für das iPhone schlägt Apple vor, in den Einstellungen nach unten zu streichen, bis das Suchfeld erscheint, und nach „VPN“, „Profil“, „Firewall“ und „Filter“ zu suchen (auf dem Mac in den Systemeinstellungen). Manche Werbeblocker laufen als VPN-Profile; sie stehen unter Einstellungen > Allgemein > VPN und Geräteverwaltung.

Warum laden Seiten nur halb?#

Jedes Netz hat eine größte Paketgröße, die es in einem Stück transportiert: die MTU. Durch das Verpacken wird ein Paket voller Größe etwas zu groß, und wenn ein Gerät auf dem Weg übergroße Pakete stillschweigend verwirft, kommen kleine Stücke durch und große nicht: Der Titel einer Seite erscheint, dann bleibt sie hängen. Laut OpenVPN-Handbuch zeigen sich MTU-Probleme oft als Verbindungen, die bei aktiver Nutzung hängen bleiben. Probieren Sie einen anderen Server oder ein anderes Protokoll, ändern Sie eine MTU-Einstellung nur auf einen Wert, den der Anbieter nennt, und sagen Sie bei einem Firmen-VPN der IT-Abteilung, dass Seiten „zu laden beginnen und dann hängen bleiben“.

IPv6, die neuere und längere Form der IP-Adresse, kann ein ähnliches Bild ergeben: Manche VPNs transportieren nur IPv4 und blockieren IPv6, damit es nicht am Tunnel vorbeischlüpft. Browser versuchen beides und nehmen, was antwortet; hängt eine einzelne App, fragen Sie den Anbieter nach der IPv6-Einstellung dieser App.

Was, wenn das Netz den Datenverkehr des VPN nicht durchlässt?#

WireGuard schickt jedes Paket über UDP („Alle Pakete werden über UDP gesendet“, heißt es auf seiner Protokollseite), und OpenVPN nutzt standardmäßig UDP; laut Handbuch gibt es die TCP-Unterstützung für Situationen, in denen UDP nicht genutzt werden kann. Manche Gäste-, Hotel- und Büronetze lassen Webverkehr durch, verwerfen aber anderen UDP-Verkehr. Weil WireGuard den Tunnel zuerst auf Ihrem Gerät aufbaut, kann die App dann eingeschaltet wirken, während nichts zurückkommt.

Funktioniert das VPN mit mobilen Daten, scheitert aber in einem bestimmten Netz, und bietet die App Ihres Anbieters eine andere Protokolloption an, probieren Sie diese dort aus; TCP und UDP: Was ist der Unterschied? erklärt den Unterschied. Sperrt ein Arbeitgeber oder eine Schule VPNs absichtlich, halten Sie sich an deren Regeln. Manche Länder und Netze schränken VPNs ein; das behandelt dieser Leitfaden nicht, die rechtliche Seite steht in Sind VPN und Proxy legal?.

Was sagen Sie der IT-Abteilung zu einem Firmen-VPN?#

FortiClient, GlobalProtect, Cisco Secure Client (früher AnyConnect) und ähnliche Clients richtet die IT-Abteilung ein. Bei einem Full Tunnel läuft Ihr gesamter Datenverkehr durch das Firmennetz, Ihr Internet funktioniert also nur, solange die Firma ihn weiterleitet. Beim Split-Tunneling nutzt nur der Firmenverkehr das VPN. Microsofts Artikel zum integrierten Windows-VPN zeigt den klassischen Fehler: Die Option Standardgateway für das Remotenetzwerk verwenden schickt den gesamten Datenverkehr in ein Remotenetz, das ihn nicht ins Internet weitergibt (Microsoft Learn).

Entfernen Sie dieses Häkchen nicht selbst; ein Full Tunnel ist oft eine Sicherheitsvorgabe. Sagen Sie der IT-Abteilung stattdessen, ob das Internet mit ausgeschaltetem VPN funktioniert, ob sich Firmenseiten öffnen und öffentliche nicht, in welchem Netz Sie sind, welche Version der Client hat, wie der Fehler genau lautet und wann er auftrat, dazu das Ergebnis des folgenden Befehls, falls Sie ihn ausgeführt haben.

Für Fortgeschrittene: Was zeigt route print?#

Diesen Abschnitt können Sie überspringen. Unter Windows zeigt ein einziger Befehl, wohin die Standardroute führt:

route print 0.0.0.0

Führen Sie ihn mit ausgeschaltetem VPN aus, dann mit eingeschaltetem. In der Liste der aktiven Routen (im englischen Windows Active Routes) ist jede Zeile, die mit 0.0.0.0 beginnt, eine Standardroute. Die Spalten sind von links nach rechts Ziel, Netzmaske, Gateway, Schnittstelle und Metrik; ein deutsches Windows kann die Überschriften übersetzt anzeigen, die Reihenfolge bleibt gleich. Mit ausgeschaltetem VPN gibt es meist eine Zeile: Ihren Router. Erscheint eine zweite Zeile mit niedrigerer Metrik (der letzten Zahl), transportiert das VPN den gesamten Datenverkehr, denn die Route mit der niedrigsten Metrik wird gewählt (Microsofts Referenz zu route). Eine Netzmaske von 128.0.0.0 bedeutet dasselbe: Manche VPNs decken das Internet mit zwei halben Routen ab.

Gewinnt die Route des VPN und lädt nichts, sagen Sie Ihrem Anbieter oder der IT-Abteilung: „Full Tunnel, Standardroute über das VPN, kein Internet.“

Wann ist ein Proxy das bessere Werkzeug?#

Ein VPN ändert den Weg des gesamten Geräts, deshalb nimmt ein VPN-Fehler alles vom Netz. Wenn Sie nur sehen müssen, wie eine Website oder eine Anzeige aus einem anderen Land in einem Browser oder einem Tool aussieht, ändert ein Proxy den Weg nur für diese eine App.

• Ein Browserprofil oder ein Tool: Mit einem Residential-Proxy wählen Sie Land und Stadt.
• Programme mit einem Proxy-Feld: Ein SOCKS5-Proxy transportiert TCP- und UDP-Datenverkehr.

Proxynet verkauft Proxys, kein VPN. Ein Proxy verschlüsselt nicht das ganze Gerät; in WLANs, denen Sie nicht trauen, und für Firmensysteme bleibt ein VPN das richtige Werkzeug. Siehe Proxy und VPN im Vergleich und Smart DNS, VPN oder Proxy.

Wo passiert das am häufigsten?#

• Am Firmenlaptop zu Hause, wo ein Full Tunnel vom Internetausgang der Firma abhängt: Was ist ein VPN und wie funktioniert es?
• Im Hotel- und Café-WLAN, wegen Anmeldeseiten und gefiltertem Datenverkehr: Ist öffentliches WLAN sicher?
• Wenn nur eine Website scheitert, weil diese Website VPN-Adressen ablehnt: VPN oder Proxy erkannt
• In Netzen mit IPv6, der neueren Adressart: Was ist eine IP-Adresse?

Häufige Fehler#

• Virenschutz oder Firewall nach einem Test ausgeschaltet lassen.
• Ein zweites VPN installieren, um das erste zu testen. Beide streiten um denselben Datenverkehr.
• Bei einem Firmen-VPN das Häkchen bei „Standardgateway für das Remotenetzwerk verwenden“ entfernen. Firmensysteme funktionieren dann nicht mehr.
• Den DNS-Schutz der App dauerhaft ausschalten. Namensanfragen verlassen den Tunnel.
• MTU-Werte aus Foren übernehmen, statt den Wert des Anbieters zu verwenden.

Entscheidungshilfe#

Häufige Fragen#

Warum meldet Chrome beim Verbinden „Eine Netzwerkänderung ist aufgetreten“?#

Chrome zeigt „Die Verbindung wurde unterbrochen“ und „Eine Netzwerkänderung ist aufgetreten.“ (ERR_NETWORK_CHANGED), weil das VPN mitten im Laden einen Netzwerkadapter hinzugefügt hat. Laden Sie einmal neu. Kommt die Meldung immer wieder, verbindet sich das VPN in einer Schleife neu; probieren Sie einen anderen Server.

Warum erreiche ich mit eingeschaltetem VPN meinen Drucker oder die Seite meines Routers nicht?#

Manche VPNs schicken auch den Verkehr im Heimnetz in den Tunnel; OpenVPN hat sogar eine Option, die das lokale Netz blockiert. Viele Apps haben eine Einstellung, die den Zugriff auf das lokale Netz erlaubt; ein Firmen-VPN kann ihn absichtlich sperren.

Warum kommt das Internet nicht zurück, nachdem ich das VPN ausgeschaltet habe?#

Der Kill Switch ist vielleicht noch aktiv, oder die App läuft noch. Öffnen Sie die App, trennen Sie die Verbindung und beenden Sie die App; prüfen Sie dann, ob ein Proxy eingetragen ist, den Sie nicht eingerichtet haben.

Warum scheitert mit eingeschaltetem VPN nur eine Website?#

Das VPN funktioniert; diese Website lehnt bekannte VPN-Adressen ab oder verlangt zusätzliche Prüfungen. Probieren Sie einen anderen Server.

Warum passiert es nur im WLAN und nicht mit mobilen Daten?#

Das WLAN wartet vielleicht noch auf die Anmeldung über seine Anmeldeseite, oder es verwirft den UDP-Verkehr des VPN. Melden Sie sich an und probieren Sie dann die andere Protokolloption der App.

Ist es sicher, ohne VPN zu surfen, während ich das Problem behebe?#

Zu Hause meist ja: Websites, deren Adresse mit https:// beginnt, bleiben verschlüsselt. In einem öffentlichen WLAN kann das Netz sehen, welche Websites Sie besuchen; warten Sie dort, wenn möglich.

Fazit#

Ein VPN, das „Verbunden“ meldet, während nichts lädt, hat seinen Tunnel aufgebaut, aber der Datenverkehr bleibt danach hängen: am DNS des VPN, an einer WLAN-Anmeldeseite, an einem Netz, das UDP verwirft, am Kill Switch, an Sicherheitssoftware, an zu großen Paketen oder am Server selbst. Schalten Sie das VPN aus, wechseln Sie den Server und dann das Netz, und die Ursache zeigt sich meist innerhalb weniger Minuten; bei einem Firmen-VPN schildern Sie der IT-Abteilung, was Sie gesehen haben. Brauchen Sie die Adresse eines anderen Landes nur in einem Browser oder Tool, ändert ein Proxy nur den Weg dieser App; mehr dazu auf unserer Proxy-Seite.