Kostenlose Proxys: Risiken, Grenzen und ein sicherer Test

Sind kostenlose Proxys sicher? Was der Betreiber mitlesen kann, warum HTTPS nicht alles schützt, wo Gratis-Listen scheitern und wie Sie einen Test richtig deuten.

Kostenlose Proxys: Risiken, Grenzen und ein sicherer Test

Dieser Text ist für alle, die vor der Wahl stehen: eine Adresse aus einer öffentlichen Gratis-Liste nehmen oder einen Testzugang bei einem Anbieter holen. Sie erfahren, was der Betreiber eines Proxys sehen kann, was HTTPS davon abfängt und was nicht, und wie Sie einen Test so lesen, dass er nichts Falsches verspricht. Eine Liste mit Gratis-Proxys finden Sie hier nicht. Top Proxy verkauft keine IP-Adressen, wir vergleichen Anbieter.

01Öffentliche Liste oder offizieller Testzugang: worum es eigentlich geht#

Die Frage "kostenlos oder bezahlt" klingt nach Geld. In Wahrheit geht es um Vertrauen. Ein Proxy ist ein fremder Rechner, über den Ihre Verbindungen laufen. Die HTTP-Spezifikation RFC 9110 nennt ihn einen Vermittler, der eine Verbindung zu Ihnen und eine zum Ziel führt. Wer diesen Rechner betreibt, sitzt mitten in Ihrem Datenverkehr.

Bei einer öffentlichen Gratis-Liste wissen Sie über diesen Betreiber nichts. Oft weiß nicht einmal der Listen-Betreiber, wem die Adresse gehört. Solche Listen sammeln offene Proxys, die irgendwo im Netz antworten. Manche davon sind falsch konfigurierte Server, deren Besitzer gar nicht ahnen, dass Fremde sie nutzen. Andere stehen absichtlich offen. Und wer einen Proxy kostenlos für alle betreibt, hat Kosten für Strom und Bandbreite. Irgendwoher muss der Gegenwert kommen. Das muss nicht Böswilligkeit sein, aber Sie können es nicht prüfen.

Ein offizieller Testzugang ist etwas anderes. Sie haben einen Anbieter mit Namen, Impressum und Geschäftsbedingungen. Sie bekommen eigene Zugangsdaten statt einer Adresse, die tausend andere ebenfalls nutzen. Sie wählen Land und IP-Typ selbst. Wichtig ist allerdings die Erwartung. Ein kostenloser Test ist bei großen Anbietern nicht die Regel. Bei SOAX etwa vermerkt unsere Anbieterkarte keinen Gratis-Test, sondern eine Sandbox mit bezahlter Aufladung. "Offizieller Test" heißt also oft ein kleines bezahltes Paket, nicht null Euro.

Mein Fazit vorweg: Für alles, was mit Ihrem Namen, einem Konto oder Geld zu tun hat, kommt eine Gratis-Liste nicht in Frage. Für einen kurzen Blick auf eine öffentliche Seite ohne Login ist das Risiko klein. Der Nutzen allerdings auch.

02Was der Betreiber sieht: HTTP, HTTPS und Zugangsdaten#

Wie gefährlich ein unbekannter Proxy ist, hängt fast vollständig davon ab, ob die Verbindung zur Website verschlüsselt ist.

Bei einer unverschlüsselten HTTP-Seite liest der Proxy alles. Er sieht die vollständige Adresse, jeden Header, jedes Formularfeld, Cookies und Passwörter. Er kann auch Inhalte verändern, also Werbung einbauen, Skripte einschleusen oder auf eine andere Seite umleiten. Für den Proxy ist das keine besondere Leistung. Er ist schlicht der Rechner, über den die Seite läuft.

Bei HTTPS sieht die Sache anders aus. Ihr Browser schickt dem Proxy die Methode CONNECT mit Hostname und Port, etwa example.com:443. Laut RFC 9110, Abschnitt 9.3.6 baut der Proxy daraufhin einen Tunnel und reicht die Daten nur noch blind weiter. Die TLS-Verschlüsselung (RFC 8446) läuft direkt zwischen Ihrem Browser und der Website. Seiten, Formulare und Passwörter bleiben für den Proxy unlesbar.

Unsichtbar sind Sie damit aber nicht. Der Betreiber sieht, welchen Host Sie wann ansteuern, wie lange die Verbindung dauert und wie viele Daten fließen. Aus diesem Muster lässt sich einiges ablesen, auch ohne Inhalt.

Es gibt eine Ausnahme, die man kennen sollte. Firmennetze betreiben oft Proxys mit TLS-Inspektion. Sie brechen die Verschlüsselung auf und bauen sie neu auf. Das funktioniert nur, weil auf den Dienstrechnern ein eigenes Stammzertifikat der Firma installiert ist. Ein Gratis-Proxy aus dem Netz hat diese Möglichkeit nicht, solange Sie ihm nicht selbst helfen. Wenn der Browser beim Surfen über einen Proxy eine Zertifikatswarnung zeigt, kann ein Abfangversuch oder ein anderer Zertifikatsfehler vorliegen. Dann klicken Sie nicht auf "Trotzdem fortfahren", sondern schalten den Proxy ab. Und Sie installieren nie ein Zertifikat oder Programm, das ein Proxy-Angebot von Ihnen verlangt.

Bleiben die Zugangsdaten für den Proxy selbst. Ein klassischer HTTP-Proxy und auch SOCKS5 sprechen mit Ihrem Gerät unverschlüsselt. Die Anleitung von curl zu HTTPS-Proxys sagt das deutlich: Auf diesen Protokollen kann jemand im lokalen Netz mitlesen. Für SOCKS5 legt RFC 1929 fest, dass Benutzername und Passwort im Klartext übertragen werden. Verwenden Sie für einen Proxy deshalb nie ein Passwort, das Sie auch anderswo nutzen.

Ein sogenannter HTTPS-Proxy verschlüsselt die Strecke von Ihrem Gerät zum Proxy. Das schützt im Café-WLAN vor neugierigen Nachbarn. Für den Betreiber des Proxys ändert sich nichts. Was nicht zusätzlich per TLS bis zur Website verschlüsselt ist, liest er weiterhin. Unterstützt wird diese Variante auch nicht überall. Die aktuelle Chromium-Dokumentation nennt Unterstützung in Chrome, Firefox und Opera. In Chrome lässt sich ein HTTPS-Proxy etwa per PAC-Datei oder Startoption konfigurieren. Prüfen Sie die Unterstützung in Ihrem konkreten Programm.

03Protokoll, IP-Typ und Vertrauen sind drei getrennte Fragen#

Viele Gratis-Listen schreiben neben jede Adresse "HTTPS", "Elite" oder "anonym". Das klingt nach Qualität, mischt aber Dinge, die nichts miteinander zu tun haben. Das Protokoll sagt, wie Ihr Gerät mit dem Proxy spricht. Der IP-Typ sagt, wie der Proxy für die Website aussieht. Und das Vertrauen hängt allein davon ab, wer den Rechner betreibt.

Die letzte Spalte ist die wichtigste. Kein Protokoll macht Sie anonym. Die Website sieht weiterhin Cookies, Ihr Konto, Browser-Merkmale, Zeitzone und Sprache. Und kein IP-Typ garantiert, dass eine bestimmte Website ihn akzeptiert. Auch bei bezahlten Residential-Adressen kann eine Zielseite blocken. Der Unterschied ist, dass Sie dann einen Anbieter haben, den Sie fragen können.

Bei SOCKS5 kommt noch DNS dazu. Nach RFC 1928 darf der Client dem Proxy einen Domainnamen übergeben, dann löst der Proxy ihn auf. Viele Programme fragen aber trotzdem selbst beim DNS-Server Ihres Providers nach. Das Chromium-Projekt beschreibt in seiner Dokumentation zu SOCKS-Proxys, dass etwa der DNS-Prefetcher von Chrome lokale DNS-Anfragen am SOCKS5-Proxy vorbei stellen kann. In curl entscheidet socks5h:// statt socks5:// darüber, wo aufgelöst wird. Ihr Provider sieht dann zumindest, welche Domains Sie aufrufen.

04Geschwindigkeit, Stabilität und Sperrlisten: die Grenzen im Alltag#

Selbst wenn ein Gratis-Proxy ehrlich betrieben wird, stößt er schnell an praktische Grenzen. Die meisten Leute merken das, bevor sie über Sicherheit nachdenken.

Erstens die Last. Eine Adresse aus einer öffentlichen Liste teilen Sie mit allen, die dieselbe Liste gelesen haben. Wie schnell sie gerade ist, hängt davon ab, wer sie in diesem Moment noch nutzt. Eigene Messwerte dazu nennen wir hier bewusst nicht, weil eine einzelne Messung bei solchen Adressen nach wenigen Minuten nichts mehr bedeutet.

Zweitens die Lebensdauer. Offene Proxys verschwinden, sobald der Besitzer die Fehlkonfiguration bemerkt, der Server neu startet oder der Hoster ihn abschaltet. Eine Adresse, die heute Morgen antwortet, kann am Nachmittag tot sein. Für Aufgaben, die Stunden laufen oder dieselbe IP über mehrere Tage brauchen, ist das unbrauchbar.

Drittens der Ruf der Adresse. Was viele Fremde über eine IP schicken, landet früher oder später in Sperrlisten. Dazu kommen oft Rechenzentrums-Adressen, die Websites ohnehin als Hosting erkennen. Die Folge sind Captchas, Fehlerseiten oder stille Blockaden. Ob eine Adresse auf bekannten Sperrlisten steht, ist eine eigene Prüfung. Sie sagt aber nur etwas über die Vergangenheit.

Viertens der fehlende Ansprechpartner. Wenn etwas nicht geht, gibt es niemanden, den Sie fragen können. Bei einem bezahlten Zugang wechseln Sie das Land, den Typ oder schreiben dem Support. Bei einer Gratis-Liste nehmen Sie die nächste Zeile und hoffen.

Ein bezahlter Zugang löst nicht jedes dieser Probleme. Auch dort gibt es langsame Stunden und gesperrte Adressen. Aber Sie können die Bedingungen nachlesen, Länder und IP-Typen gezielt wählen und auf eine Antwort bestehen. Die Unterschiede der IP-Typen vergleichen Sie im Katalog unter Rechenzentrums-Proxys, Residential-Proxys und mobilen Proxys.

05Gratis-Liste oder offizieller Test: so entscheiden Sie#

Die Entscheidung hängt an der Aufgabe, nicht am Preis.

Eine Gratis-Liste kommt höchstens in Frage, wenn Sie eine öffentliche Seite ohne Anmeldung ansehen wollen, etwa um zu prüfen, ob eine Seite aus einem anderen Land überhaupt lädt. Kein Login, keine Formulare, keine Zahlungsdaten, keine Downloads. Und auch dann nur über HTTPS.

Einen offiziellen Test nehmen Sie, sobald es um Ihre eigentliche Aufgabe geht. Das gilt für Konten, Werbung, Preisbeobachtung im größeren Umfang und alles, was zuverlässig laufen muss. Fragen Sie vorher drei Dinge. Gibt es einen Test, und kostet er etwas? Wird nach Gigabyte, nach IP oder nach Zeit abgerechnet? Welche Länder und IP-Typen sind im Test enthalten? Die Antworten stehen auf der Anbieterkarte und beim Anbieter selbst.

Brechen Sie jeden Test sofort ab, wenn eines dieser Dinge passiert:

• Der Browser zeigt eine Zertifikatswarnung.
• Die Aufgabe würde einen Login oder eine Zahlung über eine unbekannte Adresse erfordern.
• Meine IP zeigt trotz Proxy weiterhin Ihre eigene Adresse.
• Das Angebot verlangt, ein Programm, eine Erweiterung oder ein Zertifikat zu installieren.
• Seiten zeigen plötzlich fremde Werbung oder leiten auf unbekannte Adressen um.

Wenn Sie einen Anbieter für einen kleinen, kontrollierten Test suchen: Diese drei haben wir im Katalog mit Residential-Netzen und weiteren IP-Typen. Ob und wie ein Test angeboten wird, steht auf der jeweiligen Karte.

SOAX: Residential- und Mobile-Proxys3.8218

SOAX verkauft rotierende Residential- und Mobile-Proxys über einen gemeinsamen Credit-Pool, mit Datacenter und ISP in denselben Plänen. Der Builder startet bei $200/mo + VAT (200 Credits); Tier-1-Traffic kostet $3/GB im Builder.

85 Länder

3,00 $

pro 1 GB

Website öffnen

Bright Data: Residential- und Datacenter-Proxys4.41449

Bright Data ist ein großes Proxy-Netz für Datenerhebung: Residential-, Mobile-, ISP- und Datacenter-IPs in rund 195 Ländern. Residential-Traffic lässt sich ohne Abo nach Verbrauch bezahlen, Datacenter- und ISP-Adressen gibt es in Paketen ab 10 IPs. Für Residential und Mobile ist eine Identitätsprüfung nötig.

10 Länder

5,00 $

pro 1 GB

Oxylabs — Residential- und Datacenter-Proxys3.9773

Oxylabs verkauft Residential-, Mobile-, ISP- und Datacenter-Proxys in einem einzigen Monatsabo ab 30 $. Zahlung: Karte, Überweisung, AliPay, PayPal.

10 Länder

0,45 $

pro 1 GB

06So testen Sie sicher und lesen das Ergebnis richtig#

Ein guter Test ist klein und hat eine klare Frage. Er beweist nicht, dass ein Proxy sicher ist. Er zeigt nur, ob er in diesem Moment das tut, was Sie erwarten.

Beginnen Sie ohne Proxy. Öffnen Sie Meine IP und notieren Sie Adresse, Land und Netzbetreiber. Nutzen Sie für den Test ein eigenes Browserprofil ohne gespeicherte Logins, damit kein Cookie und kein Passwort über den Proxy geht. Tragen Sie den Proxy nur in diesem Profil ein und laden Sie Meine IP neu.

Jetzt lesen Sie das Ergebnis. Zeigt die Seite eine andere Adresse, ein passendes Land und einen Netzbetreiber, der zum gebuchten Typ passt, läuft der Browser über den Proxy. Steht dort weiter Ihr Heimprovider, geht der Verkehr am Proxy vorbei. Steht dort ein Hoster, obwohl Residential gebucht war, fragen Sie beim Anbieter nach. Was dieses Ergebnis nicht sagt: ob andere Programme denselben Weg nehmen, ob DNS-Anfragen über den Proxy laufen und ob der Betreiber mitliest.

Für einzelne Zugangsdaten oder Adressen gibt es den Proxy-Checker. Sie tragen eine oder mehrere Zeilen ein und wählen die Websites, die der Proxy erreichen soll.

Wichtig ist, was hier eigentlich geprüft wird. Der Checker verbindet sich von seinem eigenen Server aus mit dem Proxy-Endpunkt und testet, ob der antwortet und die gewählten Websites erreicht. Das ist nützlich, um tote Adressen auszusortieren, bevor Sie Zeit in die Fehlersuche stecken. Er sieht aber nicht Ihr Gerät. Ob Ihr Browser, Ihr Skript oder Ihre App den Proxy wirklich benutzt und wo Ihre DNS-Anfragen landen, prüfen Sie auf Ihrem eigenen Gerät: den Web-Verkehr mit Meine IP im selben Programm, DNS mit einer getrennten DNS-Prüfung.

Zwei Ergebnisse führen oft in die Irre. Ein positives Checker-Ergebnis für eine Gratis-Adresse heißt nur, dass sie in diesem Moment geantwortet hat. Über den Betreiber und den Umgang mit Ihren Daten sagt es nichts. Und bei rotierenden Residential-Zugängen sind zwei verschiedene IPs hintereinander normal. Die Adresse wechselt je nach Einstellung bei jeder Anfrage oder nach einigen Minuten.

Wiederholen Sie den Test zu einer anderen Tageszeit, bevor Sie größere Mengen kaufen. Ein einzelner Lauf ist eine Stichprobe, kein Urteil.