VPN verbindet nicht? Ursachen, Fehlercodes und Lösungen

Sie tippen in Ihrer VPN-App auf Verbinden, und der Kreis dreht sich, bis die App mit einer Meldung wie „Verbindung nicht möglich“ aufgibt, oder Windows zeigt ein Fenster mit einer Nummer wie 809 oder 691. Gestern hat es zu Hause funktioniert, heute scheitert es im Hotel-WLAN. Oder es ist der Firmenlaptop, und in zehn Minuten brauchen Sie das Firmennetz.

Dieser Beitrag behandelt einen VPN-Tunnel, der gar nicht erst zustande kommt. Wir gehen die schnellen Prüfungen durch, die Schritte, die ein VPN beim Verbinden durchläuft, die Protokolle in den Apps, das Netzwerk, in dem Sie sich befinden, die Smartphone-Einstellungen, die Windows-Fehlercodes mit Microsofts Bedeutung für jeden einzelnen, Firewalls, Router und die Serverseite. Zeigt Ihre App Verbunden an, laden aber keine Seiten, lesen Sie stattdessen VPN verbunden, aber kein Internet? Ursachen und Lösungen.

Was bedeutet „VPN verbindet nicht“?#

Ein VPN (virtuelles privates Netzwerk) leitet den Datenverkehr Ihres Geräts durch einen verschlüsselten Tunnel, der an einem VPN-Server endet; das ganze Prinzip erklärt Was ist ein VPN und wie funktioniert es?. „Verbindet nicht“ heißt, dass dieser Tunnel nie aufgebaut wird: Die App bleibt bei „Verbindung wird hergestellt“ stehen oder zeigt einen Fehler, während Ihr normales Internet weiter funktioniert.

Der Fehler hat meist eine von zwei Formen. Eine lange Wartezeit, die mit einer Zeitüberschreitung endet, bedeutet, dass der Server Sie nie gehört hat. Eine schnelle Ablehnung wegen Passwort, Konto oder Zertifikat bedeutet, dass der Server Sie gehört und Nein gesagt hat.

Wie verbindet sich ein VPN Schritt für Schritt?#

1. Die App sucht die Adresse des Servers. Ein Name wie vpn.example.com wird über DNS, das Adressbuch des Internets, in eine IP-Adresse übersetzt. Wird der Name nicht gefunden, zeigt Windows den Fehler 868.
2. Die ersten Pakete reisen zum Server, durch Ihr WLAN, Ihren Router, Ihren Internetanbieter und jede Firewall dazwischen. Verwirft eine dieser Stationen die Pakete, läuft die App in eine Zeitüberschreitung; Windows zeigt 809.
3. Beide Seiten prüfen einander, mit einem Zertifikat (einem digitalen Ausweis) oder einem Pre-shared Key (einem gemeinsamen Passwort für die Verbindung). Ein Zertifikat gilt nur zwischen zwei Daten, deshalb kann eine falsch gestellte Geräteuhr diesen Schritt scheitern lassen. Bei L2TP-Verbindungen meldet Windows diesen Schritt als 789.
4. Sie melden sich an. Ein falsches Passwort oder ein abgelaufenes Konto stoppt die Verbindung; unter Windows ist das 691.
5. Der Server prüft seine Regeln, etwa welche Anmeldeverfahren er akzeptiert. Passt etwas nicht zusammen, erscheint 812.
6. Der Tunnel öffnet sich, und die App zeigt „Verbunden“. Unter Windows erscheint auf der Taskleiste ein blaues Schildsymbol.

Zuerst die schnellen Prüfungen#

1. Schalten Sie das VPN aus und öffnen Sie eine Website. Lädt nichts, liegt das Problem an Ihrer Internetverbindung, nicht am VPN.
2. Prüfen Sie das Konto. Bestätigen Sie auf der Website des Anbieters, dass das Abonnement aktiv ist und die Gerätegrenze nicht erreicht ist. Bei einem Firmen-VPN prüfen Sie, ob Ihr Passwort für die Arbeit abgelaufen ist.
3. Stellen Sie Datum und Uhrzeit auf automatisch. Windows: Einstellungen > Zeit und Sprache > Datum und Uhrzeit > Uhrzeit automatisch festlegen. iPhone: Einstellungen > Allgemein > Datum & Uhrzeit > Automatisch einstellen. Android: Uhr-App, Einstellungen > Datum und Uhrzeit ändern > Datum und Uhrzeit automatisch einstellen.
4. Aktualisieren Sie die App, starten Sie das Gerät neu und wählen Sie einen anderen Server.
5. Probieren Sie ein anderes Netzwerk. Verbinden Sie den Laptop mit dem Hotspot Ihres Smartphones oder schalten Sie das Smartphone von WLAN auf mobile Daten um.

Die letzte Prüfung teilt das Problem in zwei Hälften. Verbindet sich das VPN im anderen Netzwerk, sind Gerät und Konto in Ordnung, und die Ursache liegt im ersten Netzwerk.

Häufige Ursachen auf einen Blick#

VPN-Apps: Was die Protokoll-Einstellung bedeutet#

Apps von Anbietern haben meist eine Option Protokoll oder VPN-Typ. Entscheidend ist, welchen Datenverkehr jedes Protokoll nutzt:

• WireGuard, ein neueres, schlankes Protokoll, schickt alle seine Pakete über UDP, die Art von Datenverkehr, die nicht auf eine Bestätigung wartet (siehe TCP und UDP: Was ist der Unterschied?).
• OpenVPN, ein weit verbreitetes Open-Source-Protokoll, läuft je nach Einrichtung des Anbieters über UDP oder TCP.
• IKEv2/IPsec ist in Windows, iPhone und Mac eingebaut, kommt gut mit dem Wechsel zwischen WLAN und mobilen Daten zurecht und braucht freie UDP-Ports 500 und 4500.

Ein Netzwerk, das Webseiten durchlässt, UDP oder diese Ports aber nicht, lässt den Browser arbeiten und stoppt das VPN. Bietet Ihre App mehr als ein Protokoll an, ist ein einmaliger Wechsel zu Hause oder in einem Hotelnetz ein fairer Test; verbindet sich das eine und das andere nicht, sagen Sie es dem Anbieter. Zwei weitere Ursachen liegen in der App selbst: eine zweite VPN-App, die gleichzeitig läuft (beenden Sie eine davon), und eine beschädigte Installation (deinstallieren, neu starten, aus dem offiziellen Store neu installieren).

Blockiert das Netzwerk das VPN?#

WLAN in Hotel, Café und Flughafen. Viele öffentliche Netze zeigen zuerst eine Anmeldeseite, ein sogenanntes Captive Portal, auf der Sie Bedingungen akzeptieren oder eine Zimmernummer eingeben. Bis Sie diese Seite abgeschlossen haben, sperrt das Netzwerk alles andere, auch das VPN. Schalten Sie das VPN aus, öffnen Sie eine beliebige Website, damit die Seite erscheint, schließen Sie sie ab und verbinden Sie sich dann. Mehr über diese Netze steht in Ist öffentliches WLAN sicher?.

Firmen- und Schulnetze. Viele Organisationen erlauben in ihrem Netz keine VPN-Verbindungen, damit der Datenverkehr durch ihre eigenen Sicherheitsprüfungen läuft. Scheitert das VPN nur dort, arbeitet die Regel wie vorgesehen; fragen Sie den Administrator, statt zu versuchen, sie zu umgehen.

Länder. Manche Länder und Netze schränken VPNs ein; diese Situation behandelt dieser Beitrag nicht. Ob die Nutzung eines VPN dort, wo Sie sind, legal ist, erklärt Sind VPN und Proxy legal?.

iPhone und Android: Ursachen auf dem Smartphone#

iPhone. VPN-Dienste kommen meist als App, während Firmen- und Schul-VPNs oft als Konfigurationsprofil eintreffen, das unter Einstellungen > Allgemein > VPN und Geräteverwaltung aufgeführt ist. Ein VPN-Profil, das von einem früheren Job oder einer alten App übrig ist, kann stören; entfernen Sie nur die Profile, von denen Sie wissen, dass Sie sie nicht mehr brauchen, und nie das Ihres Arbeitgebers, ohne zu fragen. Der letzte Ausweg ist Einstellungen > Allgemein > iPhone übertragen/zurücksetzen > Zurücksetzen > Netzwerkeinstellungen zurücksetzen. Laut Apples Anleitung zum Zurücksetzen entfernt das die gespeicherten Netzwerke und die VPN-Einstellungen, die nicht über ein Konfigurationsprofil oder eine Geräteverwaltung installiert wurden; Sie richten WLAN und die VPN-App danach also neu ein.

Android. VPNs finden Sie unter Einstellungen > Netzwerk & Internet > VPN (suchen Sie nach „VPN“, wenn Ihr Hersteller den Menüpunkt anders nennt). Ein dort von Hand hinzugefügtes VPN hat hinter seinem Einstellungssymbol einen Schalter Durchgehend aktives VPN. Googles Android-Hilfeseite zu VPN weist darauf hin, dass VPNs, die über eine App eingerichtet wurden, diese Option dort nicht haben; sehen Sie dann in den Einstellungen der App nach. Der andere übliche Verdächtige ist der Energiesparmodus: Einstellungen > Akku > Energiesparmodus schränkt Hintergrundaktivitäten ein, und Google warnt, dass sich Netzwerkverbindungen verzögern können. Bricht das VPN bei ausgeschaltetem Bildschirm ab, testen Sie einmal mit ausgeschaltetem Energiesparmodus.

Fehlercodes des integrierten Windows-VPN#

Der eigene VPN-Client von Windows unter Einstellungen > Netzwerk und Internet > VPN zeigt beim Scheitern einen nummerierten Fehler; viele Firmen-VPNs nutzen ihn. Die Bedeutungen stammen aus Microsofts Liste der Routing- und RAS-Fehlercodes, die Ratschläge zu 800, 809 und 812 folgen dem Leitfaden zur Problembehandlung bei Always On VPN.

Um diese Einstellungen zu ändern, öffnen Sie Einstellungen > Netzwerk und Internet > VPN, wählen die Verbindung aus und dann Erweiterte Optionen und Bearbeiten, wie Microsofts VPN-Hilfeseite für Windows zeigt. Steht der Typ auf Automatisch, probiert Windows mehrere Tunneltypen aus und meldet 800, wenn alle scheitern. Erscheint 868 bei einem Namen, der früher funktioniert hat, liegt der Fehler womöglich beim DNS-Server des Netzwerks; Was ist DNS und wie ändern Sie Ihren DNS-Server? zeigt, wie Sie ihn ändern. Firmen-Clients wie FortiClient, GlobalProtect und Cisco Secure Client zeigen eigene Meldungen, doch es gelten dieselben Schritte.

Firewall, Virenschutz und der Router#

Sicherheitssoftware. Nach einem Update kann die Firewall einer Sicherheitssuite anfangen, eine VPN-App zu blockieren, die sie früher zugelassen hat. Halten Sie die Firewall für eine Minute an, versuchen Sie die Verbindung und schalten Sie sie sofort wieder ein. Verbindet sich das VPN, während sie angehalten ist, fügen Sie die VPN-App als Ausnahme hinzu, statt den Schutz ausgeschaltet zu lassen. Auf einem Firmenrechner überlassen Sie das der IT-Abteilung.

VPN-Passthrough. Ihr Router zu Hause gibt allen Geräten eine gemeinsame öffentliche Adresse, indem er die Adresse auf jedem Paket umschreibt; dieses Verfahren heißt NAT. Die älteren VPN-Typen PPTP und L2TP/IPsec schicken Datenverkehr, den der Router erst erkennen muss, bevor er ihn weiterleiten kann; die Router-Funktion dafür heißt meist VPN Passthrough und ist oft ab Werk eingeschaltet. Zeigt Windows 809 oder 800 nur zu Hause, öffnen Sie die Einstellungsseite des Routers (die Adresse steht meist auf einem Aufkleber am Gerät), prüfen Sie, ob VPN- oder IPsec-Passthrough eingeschaltet ist, und starten Sie den Router neu. WireGuard und OpenVPN brauchen das normalerweise nicht.

Ein VPN-Server bei Ihnen zu Hause. Erreichen Sie Ihr Heimnetz über ein VPN auf Ihrem eigenen Router, hat sich womöglich die öffentliche Adresse Ihres Anschlusses geändert, wie Statische oder dynamische IP: Was ist der Unterschied? erklärt. Setzt Ihr Anbieter Ihren Anschluss hinter CGNAT, können Verbindungen von außen Ihr Zuhause überhaupt nicht erreichen; Was ist CGNAT? zeigt, wie Sie das prüfen.

Wenn das Problem auf der Serverseite liegt#

Scheitert das VPN in jedem Netzwerk und auf jedem Gerät, während andere Server funktionieren, oder meldet der Anbieter eine Störung, liegt der Fehler nicht bei Ihnen. Wählen Sie einen anderen Standort, melden Sie sich ab und wieder an und wenden Sie sich dann an den Support. Ein Firmen-VPN kann auch aus Gründen scheitern, die Sie nicht sehen, etwa wegen eines abgelaufenen Serverzertifikats oder einer geänderten Anmelderegel; 812 ist einer davon. Installieren Sie kein zweites VPN, um das zu umgehen. Schicken Sie dem Support oder der IT die genaue Meldung oder den Code (am besten als Screenshot), die Uhrzeit, das Netzwerk, in dem Sie waren, ob auch der Hotspot-Test scheitert, und die Version der App.

Wann ist ein Proxy das bessere Werkzeug?#

Ein VPN ändert den Weg des ganzen Geräts. Soll nur ein Browser oder ein Programm eine Adresse in einem anderen Land nutzen, etwa um zu prüfen, wie Ihr eigener Onlineshop Preise in einem anderen Markt anzeigt, ändert ein Proxy nur den Weg dieses einen Programms. Ein Residential-Proxy gibt Ihnen Adressen von Heimanschlüssen in dem Land und der Stadt, die Sie wählen, und ein SOCKS5-Proxy funktioniert in jedem Programm mit einem SOCKS5-Feld. Den Vergleich finden Sie in Proxy und VPN im Vergleich. Ein Proxy ersetzt nicht das VPN Ihres Arbeitgebers und verschlüsselt Ihren Datenverkehr im öffentlichen WLAN nicht; für diese Aufgaben reparieren Sie das VPN.

Für Fortgeschrittene: prüfen, ob der VPN-Server erreichbar ist#

Dieser Abschnitt ist für alle, die mit der Kommandozeile vertraut sind. Windows PowerShell kann testen, ob ein Server auf einem Port antwortet; ersetzen Sie example.com durch die Adresse Ihres VPN-Servers und 443 durch den Port, den Ihr Anbieter oder Ihre IT-Abteilung verwendet:

Test-NetConnection example.com -Port 443

Ist der Server erreichbar, sieht die Ausgabe (hier gekürzt) so aus:

ComputerName     : example.com
RemoteAddress    : 104.20.23.154
RemotePort       : 443
TcpTestSucceeded : True

Eine Warnung mit dem Text Name resolution of … failed entspricht dem Fehler 868. TcpTestSucceeded : False bedeutet, dass auf diesem Port nichts geantwortet hat, wie bei 809. True bedeutet, dass der Server erreichbar ist; prüfen Sie dann die Anmeldedaten und das Protokoll. Der Test deckt nur TCP ab; für WireGuard und IKEv2, die UDP nutzen, verlassen Sie sich auf den Hotspot-Test.

Häufige Fehler#

• Alles neu installieren, bevor Sie den Hotspot-Test gemacht haben. Zwei Minuten in einem anderen Netzwerk zeigen, ob das Gerät überhaupt das Problem ist.
• Das Passwort wieder und wieder eintippen. Viele Dienste sperren ein Konto nach wiederholten Fehlversuchen.
• Den VPN-Typ auf Automatisch lassen, obwohl Sie wissen, welcher Typ der richtige ist.
• Die Firewall anhalten und es vergessen. Fügen Sie stattdessen eine Ausnahme für die VPN-App hinzu.
• Versuchen, die Regeln eines Firmen- oder Schulnetzes zu umgehen. In deren Netz entscheidet deren Richtlinie.

Entscheidungshilfe#

Häufige Fragen#

Warum verbindet sich mein VPN über mobile Daten, aber nicht im WLAN?#

Etwas in diesem WLAN verwirft den VPN-Datenverkehr: eine nicht abgeschlossene Anmeldeseite, eine Router-Einstellung oder eine Netzwerkregel. Ihr Gerät und Ihr Konto sind in Ordnung. Zu Hause prüfen Sie den Router; anderswo fragen Sie den Betreiber des Netzwerks.

Heißt ein VPN, das sich nicht verbindet, dass es blockiert wurde?#

Nicht unbedingt. Abgelaufene Konten, falsch gehende Uhren, überlastete Server und lokale Firewalls verursachen viele Fehlschläge. Scheitert das VPN nur in einem Netzwerk, lehnt dieses Netzwerk es ab; scheitert es überall, sehen Sie sich Gerät, Konto oder Anbieter an.

Was ist Fehler 809 und wie behebe ich ihn?#

Der VPN-Server hat nicht geantwortet, und laut Microsoft lässt womöglich eine Firewall, ein NAT-Gerät oder ein Router dazwischen keine VPN-Verbindungen zu. Probieren Sie zuerst ein anderes Netzwerk; klappt es dort, prüfen Sie das VPN-Passthrough des Routers und Ihre Firewall. Bei einem Firmen-VPN informieren Sie die IT, weil auf der Serverseite womöglich die UDP-Ports 500 und 4500 geöffnet werden müssen.

Warum sagt das VPN, mein Passwort sei falsch, obwohl es stimmt?#

Prüfen Sie die Feststelltaste, die Tastatursprache und das Format des Benutzernamens; manche Firmen-VPNs erwarten Domäne\Name. Manche Anbieter vergeben auf Ihrer Kontoseite eigene Zugangsdaten für das VPN. Ein abgelaufenes oder gesperrtes Konto erzeugt denselben Fehler, unter Windows 691.

Löscht das Zurücksetzen der Netzwerkeinstellungen auf dem iPhone mein VPN?#

Teilweise. Laut Apple werden die VPN-Einstellungen entfernt, die nicht über ein Konfigurationsprofil oder eine Geräteverwaltung installiert wurden; öffnen Sie danach die VPN-App, um das VPN neu einzurichten. Firmen-VPNs, die über ein Profil installiert wurden, bleiben erhalten.

Sollte ich das VPN-Protokoll wechseln, wenn es sich nicht verbindet?#

Zu Hause oder in einem Hotelnetz ist ein einmaliger Versuch mit dem anderen Protokoll der App ein vernünftiger Test, weil manche Netze eine Art von Datenverkehr durchlassen und eine andere nicht. In einem Firmen- oder Schulnetz halten Sie sich an die Regeln des Administrators.

Fazit#

Ein VPN, das sich nicht verbindet, bleibt an einem von wenigen Schritten hängen: dem Servernamen, dem Netzwerkweg, der gegenseitigen Prüfung, der Anmeldung oder den Regeln des Servers. Prüfen Sie das Internet ohne VPN, das Konto, Datum und Uhrzeit, die App und den Server, und machen Sie dann den Hotspot-Test, um Gerät und Netzwerk auseinanderzuhalten. Hotel-WLAN braucht zuerst seine Anmeldeseite; Firmen- und Schulnetze folgen ihren eigenen Regeln. Unter Windows deutet 868 auf den Namen, 809 und 800 auf den Weg, 789 auf die Sicherheitsprüfung, 691 auf das Passwort und 812 auf eine Serverregel. Brauchen Sie nur eine Adresse aus einem anderen Land in einem Programm, ist ein Proxy das einfachere Werkzeug; die Möglichkeiten finden Sie auf unserer Proxy-Seite.