Proxy vs. VPN: Unterschiede und passende Einsatzfälle

Proxy oder VPN? Welche Programme jeweils umgeleitet werden, wovon Verschlüsselung und DNS abhängen, was für Browser und Software passt und wie Sie die Ausgangs-IP prüfen.

Proxy und VPN ändern beide die IP-Adresse, unter der Ihre Anfragen im Internet ankommen. Damit hört die Gemeinsamkeit aber schon fast auf. Dieser Vergleich richtet sich an alle, die zwischen beidem wählen: für einen Browser, ein einzelnes Programm, ein Skript oder das ganze Gerät. Wir verkaufen keine IP-Adressen und verteilen keine Gratis-Zugänge. Wir erklären die Technik und zeigen, wie Sie das Ergebnis selbst überprüfen.

01Der Kernunterschied: Welche Programme werden umgeleitet?#

Ein Proxy ist ein Vermittler auf Anwendungsebene. Ein Programm schickt seine Anfrage nicht direkt an die Zielseite, sondern an den Proxy-Server, und der leitet sie weiter. Die Zielseite sieht dann die IP des Proxys. Entscheidend ist: Nur Programme, die den Proxy kennen und nutzen, gehen diesen Weg. Ist der Proxy im Browser eingetragen, läuft der Browser darüber. Ein Messenger, ein Spiele-Client oder ein Update-Dienst auf demselben Rechner verbindet sich weiter direkt, solange er den Proxy nicht selbst verwendet.

Auch die Proxy-Einstellung des Betriebssystems ändert daran grundsätzlich wenig. Windows und macOS bieten einen systemweiten Proxy an, doch ob ein Programm ihn beachtet, entscheidet das Programm. Viele Browser übernehmen die Systemeinstellung, andere Anwendungen haben eigene Felder oder ignorieren sie ganz.

Ein VPN (Virtual Private Network) setzt eine Ebene tiefer an. Die VPN-Software richtet auf dem Gerät eine virtuelle Netzwerkschnittstelle ein und baut einen Tunnel zu einem VPN-Server auf. Je nach Routing-Konfiguration läuft dann der gesamte IP-Verkehr des Geräts durch diesen Tunnel, also auch Programme, die nichts von einem VPN wissen. Viele VPN-Clients erlauben zusätzlich Split-Tunneling: Bestimmte Apps oder Adressbereiche gehen am Tunnel vorbei. Dann gilt die Aussage „alles läuft durchs VPN“ nicht mehr.

Kurz gesagt: Ein Proxy wirkt pro Anwendung, ein VPN wirkt pro Gerät oder pro Netzwerkroute. Daraus ergeben sich fast alle praktischen Unterschiede.

Schematische Darstellung zur Erklärung, keine Messung echter Verbindungen. DNS-Einstellungen, Split-Tunneling und Richtlinien können den tatsächlichen Weg ändern.

02Verschlüsselung: was ein Proxy leistet und was nicht#

Ein häufiger Irrtum: „Mit Proxy bin ich verschlüsselt.“ Ein HTTP-Proxy oder ein SOCKS5-Proxy verschlüsselt die Verbindung zwischen Ihrem Gerät und dem Proxy-Server nicht von sich aus. SOCKS5 ist in RFC 1928 als Weiterleitungsprotokoll beschrieben, nicht als Verschlüsselungsverfahren. Auch die Anmeldung mit Benutzername und Passwort (RFC 1929) läuft dabei grundsätzlich unverschlüsselt.

Was in der Praxis trotzdem schützt, ist HTTPS auf der Seite der Zielwebsite. Rufen Sie eine HTTPS-Seite über einen Proxy auf, baut der Browser die TLS-Verbindung bis zur Zielseite auf. Der Proxy sieht dann, mit welchem Host Sie sprechen, aber nicht den Inhalt der Seiten. Das gilt, solange der Browser das Zertifikat der Zielseite prüft und auf dem Gerät kein zusätzliches Stammzertifikat installiert ist, mit dem ein Proxy oder eine Sicherheitssoftware TLS aufbrechen kann. Bei unverschlüsseltem HTTP kann der Proxy-Betreiber dagegen alles mitlesen und theoretisch verändern. Manche Anbieter bieten zusätzlich Proxys an, deren Verbindung selbst per TLS gesichert ist. Ob das bei Ihrem Tarif so ist, steht in der Dokumentation des Anbieters, nicht im Protokollnamen.

Ein VPN verschlüsselt den Weg zwischen Gerät und VPN-Server mit dem jeweiligen Tunnelprotokoll, etwa WireGuard, OpenVPN oder IPsec. Hinter dem VPN-Server geht der Verkehr ganz normal ins Internet. Das bedeutet zweierlei: Ihr Internetanbieter oder der Betreiber eines öffentlichen WLANs sieht nur noch den Tunnel. Der VPN-Betreiber dagegen sitzt an derselben Stelle wie vorher Ihr Internetanbieter. Er kann sehen, wohin Ihr Verkehr geht, und bei unverschlüsseltem HTTP auch den Inhalt.

Deshalb ist weder „VPN“ noch „Proxy“ automatisch die sicherere Wahl. Sie verschieben das Vertrauen von einer Partei zur anderen. Wie gut das ist, hängt vom Betreiber, seinen Protokollierungsregeln und der Konfiguration ab, nicht von der Technikkategorie.

03DNS: Wer löst die Domainnamen auf?#

Bevor ein Programm eine Seite lädt, fragt es per DNS nach der IP-Adresse der Domain. Wer diese Anfrage beantwortet, hängt bei beiden Varianten von der Einrichtung ab.

Beim Proxy gibt es zwei Wege. Bei einem HTTP-Proxy übergibt der Client in der Regel den Hostnamen an den Proxy, und der Proxy löst ihn auf. Bei SOCKS5 kann der Client entweder selbst auflösen und nur die IP weitergeben, oder den Hostnamen an den Proxy schicken. Das Kommandozeilenwerkzeug curl macht diesen Unterschied sichtbar: socks5:// löst lokal auf, socks5h:// lässt den Proxy auflösen (curl-Handbuch). In Firefox legen Sie in den Verbindungseinstellungen fest, ob der System-Proxy, eine manuelle Konfiguration oder eine PAC-Datei gilt. Je nach Firefox-Version kann es dort zusätzlich eine Einstellung geben, die DNS-Anfragen bei SOCKS v5 über den Proxy schickt. Prüfen Sie, ob Ihre Version sie anbietet. Welcher Resolver ohne diese Option antwortet, ist nicht pauschal zu sagen: DNS over HTTPS oder andere Browser- und Systemeinstellungen bestimmen Resolver und Übertragungsweg unabhängig vom Proxy.

Beim VPN gibt der VPN-Server oder das Profil meist eigene DNS-Server vor. Ob das Betriebssystem sie tatsächlich nutzt, hängt vom Client und der Plattform ab. Zusätzlich können Browser DNS over HTTPS (DoH) verwenden. Dann geht die Namensauflösung verschlüsselt an einen gewählten Anbieter, unabhängig von Proxy- oder VPN-Vorgaben für DNS.

Wichtig für die Bewertung von Testergebnissen: Wenn ein Testdienst einen DNS-Resolver anzeigt, der nicht zum Land Ihres Proxys oder VPNs passt, ist das allein noch kein Beweis für ein Datenleck. Es kann ein bewusst gewählter DoH-Anbieter sein oder ein Anycast-Resolver, der von einem anderen Standort aus antwortet. Entscheidend ist, ob der Resolver zu Ihrem eigenen Internetanschluss gehört und Sie das nicht wollten.

04Proxy oder VPN: die Aufgabenmatrix#

Statt „was ist besser“ hilft die Frage „was soll umgeleitet werden, und wer braucht welche IP“. Die folgende Matrix ordnet typische Aufgaben ein. Sie beschreibt die technische Passung, keine Garantie dafür, dass eine bestimmte Website oder App eine IP akzeptiert.

Der vorletzte Punkt verdient eine Erklärung. Proxy-Anbieter verkaufen IPs aus unterschiedlichen Quellen: Rechenzentrums-Proxys, Residential-Proxys mit Adressen privater Internetanschlüsse und mobile Proxys aus Mobilfunknetzen. Ob eine Plattform eine Adresse akzeptiert, hängt oft stärker an diesem IP-Typ als daran, ob die Verbindung per Proxy oder VPN zustande kommt.

05Browser und Programme: was in der Praxis passt#

Browser. Für einen einzelnen Browser ist ein Proxy die naheliegende Lösung. Firefox hat eigene Proxy-Einstellungen und kann wahlweise den System-Proxy übernehmen oder einen manuell eingetragenen Proxy nutzen. Viele andere Browser greifen auf die Proxy-Einstellungen des Betriebssystems zurück, unter Windows also auf die Proxy-Einstellungen von Windows. Ob das bei Ihrem Browser so ist oder eine Richtlinie etwas anderes vorgibt, sehen Sie in dessen Einstellungen. Wer mehrere Browser-Profile mit unterschiedlichen IPs betreibt, braucht Erweiterungen oder Profilverwaltungen, die pro Profil einen eigenen Proxy setzen. Ein VPN würde hier allen Profilen dieselbe Adresse geben.

Einzelne Programme. Viele Desktop-Anwendungen haben ein eigenes Proxy-Feld. Achten Sie darauf, welches Protokoll angeboten wird: Manche Programme kennen nur HTTP, andere auch SOCKS5. Ein SOCKS5-Proxy kann neben Webverkehr auch andere TCP-Verbindungen weiterleiten, ein HTTP-Proxy ist primär für Webanfragen gedacht. Hat ein Programm gar keine Proxy-Einstellung, bleibt entweder ein VPN oder ein Werkzeug, das Verbindungen einzelner Programme auf einen Proxy umlenkt.

Systemproxy unter Windows. Die Windows-Einstellung ist bequem, aber kein Schalter für alle Programme. Was sie berücksichtigt, ist von Anwendung zu Anwendung verschieden. Auf Firmenrechnern werden Proxy-Einstellungen oft zentral verwaltet. Ändern Sie diese nicht eigenmächtig, sondern sprechen Sie mit der IT.

Code und Automatisierung. In Skripten setzen Sie den Proxy direkt im HTTP-Client. Das gibt die genaueste Kontrolle: welche Anfrage über welchen Ausgang geht, welche Sitzung welche IP behält. Behalten Sie dabei die TLS-Prüfung bei. Ein Proxy ist kein Grund, Zertifikatswarnungen abzuschalten. Ein einfacher Test mit curl, Platzhalter statt echter Zugangsdaten:

curl --proxy "socks5h://BENUTZER:PASSWORT@proxy.example.net:1080" https://example.com/

Rotation und Sitzungen. Viele Anbieter vergeben IPs rotierend oder halten eine IP für eine „Sticky Session“ eine Zeit lang fest. Das Festhalten ist in der Regel nach bestem Bemühen zugesagt, nicht garantiert. Eine neue Sitzungs-ID bedeutet auch nicht zwingend eine andere IP. Prüfen Sie im Zweifel die tatsächliche Ausgangsadresse.

06Ausgangs-IP prüfen: so sehen Sie, was wirklich ankommt#

Egal ob Proxy oder VPN: Verlassen Sie sich nicht auf das Symbol in der Taskleiste oder den Haken im Einstellungsdialog. Prüfen Sie, welche IP eine Website tatsächlich sieht.

1. Öffnen Sie ohne Proxy und VPN die Seite Ihre IP-Adresse und notieren Sie die angezeigte Adresse und den Anbieter (ISP/ASN).
2. Aktivieren Sie den Proxy im gewünschten Programm oder schalten Sie das VPN ein.
3. Rufen Sie dieselbe Seite im selben Programm erneut auf. Ein Proxy im Browser sagt nichts darüber, welche IP ein anderes Programm nutzt.
4. Vergleichen Sie IP, Anbieter und Land mit der Ausgangsadresse, die Sie laut Anbieter erwarten. Bleibt die IP gleich, ist das ein Hinweis, aber noch kein Beweis: Möglicherweise nutzt das Programm den Proxy nicht, das VPN schließt diesen Verkehr per Split-Tunneling aus, oder der Ausgang liegt zufällig im selben Netz. Prüfen Sie dann Programmeinstellung, Routing und die erwartete Ausgangs-IP des Anbieters.

Beispiel (hypothetisch): Sie tragen einen SOCKS5-Proxy nur in Firefox ein. Die IP-Seite zeigt in Firefox die Adresse 203.0.113.10 des Proxys, in einem zweiten Browser ohne Proxy-Eintrag weiter Ihre Anschluss-Adresse 198.51.100.24. Beides ist korrekt: Der Proxy wirkt nur in Firefox. Mit einem VPN ohne Split-Tunneling würden beide Browser in der Regel dieselbe Adresse des VPN-Servers zeigen. Die Adressen stammen aus den für Dokumentation reservierten Bereichen nach RFC 5737 und gehören zu keinem echten Anbieter.

Die Seite zeigt immer nur die Adresse, von der genau diese eine Anfrage kam. Das Land muss sich dabei nicht ändern: Ein Proxy oder VPN-Server kann im selben Land stehen wie Sie. Geolokalisierungsdatenbanken ordnen eine IP außerdem nicht immer dem tatsächlichen Standort zu.

Wenn Sie Proxy-Zugänge vor dem Einsatz testen möchten, ohne sie erst in jedes Programm einzutragen, nutzen Sie den Proxy-Checker. Er prüft HTTP-, HTTPS- und SOCKS5-Proxys aus einer Liste unabhängig von Ihrem Browser und zeigt, ob der Endpunkt antwortet und welche Ergebnisse er liefert. Der Checker verbindet sich dabei von seiner eigenen Server-IP aus. Ist ein Zugang beim Anbieter auf Ihre IP freigeschaltet (Whitelist) oder anderweitig eingeschränkt, kann das Ergebnis deshalb vom Verhalten auf Ihrem Gerät abweichen. Er ersetzt auch nicht den Test im eigentlichen Programm, denn dort entscheidet die Konfiguration, ob der Proxy überhaupt verwendet wird.

07Anbieter für Proxy-Einsatzfälle#

Wenn die Matrix Sie zum Proxy führt, kommt es vor allem auf IP-Typ, Protokolle (HTTP, SOCKS5), Standortauswahl und Sitzungssteuerung an. Die folgenden Anbieter aus unserem Katalog bieten Proxys für solche Aufgaben an. Die Auswahl ist ein Einstieg, kein Kompatibilitätstest für Ihre konkrete App oder Website. Vergleichen Sie Tarife und Bedingungen auf den jeweiligen Anbieterseiten.

Bright Data: Residential- und Datacenter-Proxys4.41438

Bright Data ist ein großes Proxy-Netz für Datenerhebung: Residential-, Mobile-, ISP- und Datacenter-IPs in rund 195 Ländern. Residential-Traffic lässt sich ohne Abo nach Verbrauch bezahlen, Datacenter- und ISP-Adressen gibt es in Paketen ab 10 IPs. Für Residential und Mobile ist eine Identitätsprüfung nötig.

10 Länder

5,00 $

pro 1 GB

Oxylabs: Residential- und Datacenter-Proxys4.0770

Oxylabs verkauft Residential-, Datacenter- und Mobile-Proxys. Residential Self-Serve startet bei $6/GB für 5 GB/Monat. Käuferzahlungen: Karten, Überweisung, AliPay, PayPal.

10 Länder

0,59 $

pro 1 GB

SOAX: Residential- und Mobile-Proxys3.9219

SOAX verkauft rotierende Residential- und Mobile-Proxys über einen gemeinsamen Credit-Pool, mit Datacenter und ISP in denselben Plänen. Der Builder startet bei $200/mo + VAT (200 Credits); Tier-1-Traffic kostet $3/GB im Builder.

85 Länder

3,00 $

pro 1 GB

Decodo (Smartproxy): Residential- und Datacenter-Proxys4.22106

Decodo (ehemals Smartproxy) verkauft Residential- und Datacenter-Proxys. Residential: $4/GB ohne Monatsplan oder monatliche Pakete ab $3.75/GB für 3 GB. Zahlungen: Karten, PayPal, Alipay, Google/Apple Pay, Krypto (mit Einschränkungen).

83 Länder

0,38 $

pro 1 GB

08Häufige Fragen#