IPsec erscheint normalerweise an einer von mehreren Stellen. Im Protokollmenü einer VPN-App, neben WireGuard und OpenVPN. Oder in einer E-Mail von der IT, in der steht, dass das alte Unternehmens-VPN eingestellt wird und dies es ersetzt.
Was ist also ein IPsec VPN? Die kurze Antwort: IPsec ist eine Reihe von Regeln zur Verschlüsselung des Internetverkehrs, und ein IPsec VPN ist ein VPN, das auf diesen Regeln basiert.
Alles, was danach kommt, ist verwirrend, und es gibt einen Grund dafür: IPsec wurde in den 1990er Jahren entwickelt, und das Internet, für das es entworfen wurde, ist nicht das, das wir heute nutzen. Es wurde seitdem ständig gepatcht und erweitert, um Schritt zu halten, was es heute so kompliziert erscheinen lässt. Dieser Leitfaden sortiert aus, welche Teile für Sie noch wichtig sind und welche Sie ignorieren können.
Table of Contents
Was ist IPsec?
Bevor wir zu IPsec kommen, gibt es zunächst etwas anderes zu besprechen: das Internetprotokoll. Dies ist der Teil des Internets, der Daten von einem Ort zum anderen bewegt. Es wurde entwickelt, um Daten ohne Schutz zu übertragen, sodass alles, was es transportiert, offen reist und von jedem gelesen werden kann, der es auf dem Weg bearbeitet. IPsec ist die später hinzugefügte Normenreihe, um diese Lücke zu schließen. Der Name ist eine Kombination dieser beiden Ideen: Internetprotokoll plus Sicherheit.
IPsec ist also kein einzelnes VPN-Protokoll, und es ist auch nicht der Name eines VPN. Es ist eine Reihe von Standards, die das Internetprotokoll sicherer machen, um Daten zu übertragen.
Der Unterschied ist nebeneinander leichter zu erkennen:
IPsec ist die Gruppe von Standards.
IPsec VPN ist ein VPN, das mit ihnen erstellt wurde.
IKEv2/IPsec ist die Option, die Sie in VPN-Apps sehen werden. Es ist eine bestimmte Art, IPsec zu nutzen, und es ist fast die einzige, die noch im Alltag verwendet wird.
Die meisten Erklärungen verbringen ihre Zeit mit den ersten beiden. Die dritte ist die, mit der Sie tatsächlich umgehen werden.
Was IPsec tatsächlich für Sie tut
Also zurück zu IPsec. Was macht es eigentlich? Es übernimmt zwei Aufgaben.
Das erste ist Verschlüsselung. Daten, die Ihr Gerät verlassen, werden durcheinandergebracht, sodass jeder, der sie auf dem Weg bearbeitet, einschließlich Ihres Internetanbieters, ein Durcheinander von Zeichen sieht, das er nicht entschlüsseln kann. Das hält Ihre Daten privat.
Der zweite Punkt ist Verifizierung. IPsec bestätigt, dass die Daten tatsächlich von dem Gerät stammen, von dem sie zu stammen behaupten, und dass während der Übertragung nichts verändert wurde. Das hält die Daten intakt.
Verschiedene Teile von IPsec übernehmen diese beiden Aufgaben, weshalb einige Anleitungen sie als eine Wahl präsentieren, die Sie treffen müssen. Sie werden normalerweise die beiden nebeneinander aufgeführt sehen, einer, der nur Daten überprüft, und einer, der sie auch verschlüsselt, mit einer Linie darunter, die besagt, dass der zweite sicherer ist. Es war jedoch vor Jahren keine echte Wahl mehr, obwohl viele Artikel es immer noch als solche beschreiben.
💡 Eine Sache, die zu beachten ist, ist, dass IPsec auch paketweise funktioniert, bei jedem Datenstück, das Ihr Gerät sendet, sodass es nicht auf das beschränkt ist, was in einem Browser passiert. Welcher Datenverkehr durch den Tunnel geht, hängt davon ab, wie das VPN eingerichtet ist.
Warum IPsec komplizierter erscheint, als es sein sollte
Was IPsec so kompliziert erscheint, liegt daran, wann es entwickelt wurde. Es stammt aus den mittleren 1990er Jahren, und das Internet war damals ein viel einfacherer Ort als heute.
Die Annahme zu dieser Zeit war, dass zwei Geräte direkt miteinander kommunizieren konnten, jedes mit seiner eigenen öffentlichen Adresse, und dass alles dazwischen die Daten weiterleiten würde, ohne sie zu berühren oder zu überprüfen, um welche Art von Daten es sich handelte.
💡 Der mittlere Teil ist es wert, erklärt zu werden. Daten reisen nicht direkt von einem Gerät zum anderen. Sie werden von Geräten dazwischen, hauptsächlich Routern, weitergegeben, wobei jeder von ihnen sie in die Richtung weiterleitet, in die sie unterwegs sind.
Keine dieser Annahmen trifft jetzt zu. Zu Hause ändert Ihr Router die Adressen, während Daten gesendet werden. Außerhalb des Hauses filtern Hotel- und Büronetzwerke nach Verkehrsart, lassen einige durch und blockieren den Rest. Und Telefone wechseln mehrmals am Tag zwischen WLAN und mobilen Daten.
Das ursprüngliche Design von IPsec berücksichtigte nichts davon, und es wurde nie darum herum neu aufgebaut. Jedes Mal, wenn eine neue Situation auftrat, wurde eine weitere Schicht oben draufgelegt, damit die Verbindungen weiterhin durchgingen.
Das sind die seltsamen Namen, auf die Sie stoßen werden: die zusätzlichen Portnummern und die Komponenten, die in anderen Artikeln beschrieben werden. Der Großteil davon war zu Beginn nicht vorhanden. Es wurde hinzugefügt, um IPsec in einer Welt funktionsfähig zu halten, für die es nicht entwickelt wurde.
IKEv2: der Teil von IPsec, den Sie tatsächlich sehen werden
IPsec ist eine Gruppe von Standards, und einer davon regelt alles, was geklärt werden muss, bevor Daten übertragen werden. Dieser heißt IKE, kurz für Internet Key Exchange. Es ist auch der Name, den Sie in einer VPN-App sehen werden, dort aufgeführt als IKEv2/IPsec.
Im Detail regelt IKE, welche Verschlüsselungsmethode die Verbindung verwenden wird, ob jede Seite tatsächlich die ist, die sie vorgibt zu sein, und welche Schlüssel alles, was folgt, verschlüsseln und entschlüsseln werden. Sobald IKE all das geklärt hat, übergibt es die Aufgabe an die Teile von IPsec, die Ihre Daten übertragen.
IKE hat zwei Versionen, IKEv1 und IKEv2. Einige Anleitungen beschreiben diese beiden Versionen als zwei Stufen, wie IKE funktioniert, aber das ist falsch. Es sind zwei Versionen desselben, sieben Jahre auseinander, und IKEv2 wurde geschrieben, um IKEv1 zu ersetzen. Jede Verbindung verwendet die eine oder die andere.
Die Verwirrung kommt wahrscheinlich daher, dass IKEv1 zwei interne Phasen hat, die als Phase 1 und Phase 2 bekannt sind. IKEv2 hat eine solche Struktur überhaupt nicht.
IKEv1 wurde mittlerweile ebenfalls eingestellt. Die meisten VPN-Clients haben die Unterstützung dafür eingestellt, und es wird nicht empfohlen, es für neue Installationen zu verwenden, was IKEv2/IPsec als nahezu die einzige Version lässt, die noch allgemein verwendet wird.
IKEv2 hat noch eine weitere Funktion, die es wert ist, bekannt zu sein. Wenn Sie ein VPN auf Ihrem Telefon verwenden, kann es die Verbindung aufrechterhalten, wenn sich das zugrunde liegende Netzwerk ändert. Angenommen, Sie verlassen das Haus: Ihr Telefon trennt die Wi-Fi-Verbindung und wechselt zu mobilen Daten, und der VPN-Tunnel bleibt aktiv, anstatt abzubrechen und Sie aufzufordern, sich erneut zu verbinden. Dies stammt von einem optionalen Teil von IKEv2 namens MOBIKE, daher hängt es davon ab, ob Ihre App und deren Server dies unterstützen. Wenn sie es tun, ist es eine echte Erleichterung.
Die Schwachstelle von IPsec: Warum Ihr VPN im Hotel-WLAN fehlschlägt
IKE muss seine Vorbereitung abschließen, bevor der Rest von IPsec mit der Übertragung Ihrer Daten beginnen kann, und diese Vorbereitung erfolgt über spezifische Portnummern: UDP 500 oder UDP 4500 in Netzwerken, die NAT verwenden.
Diese Portnummern sind Bezeichnungen. Jedes Datenpaket, das ein Netzwerk überquert, trägt eine, die angibt, um welche Art von Verkehr es sich handelt, und die Geräte auf dem Weg lesen sie, um zu entscheiden, was mit den Daten zu tun ist. Webverkehr trägt eine Bezeichnung, E-Mail-Verkehr trägt eine andere, und IPsec hat seine eigene.
Die Labels von IPsec wurden festgelegt, als die Standards geschrieben wurden. Jede IPsec-Verbindung verwendet dieselben, und jeder kann sie nachschlagen. Das macht eine IPsec-Verbindung leicht erkennbar. Netzwerkgeräte müssen die Verschlüsselung nicht brechen oder etwas im Paket lesen, da das Lesen des Labels ausreicht, um IPsec-Verkehr zu identifizieren. Das bedeutet auch, dass IPsec leicht zu blockieren ist.
Bis jetzt können Sie wahrscheinlich sehen, warum ein VPN, das über IPsec läuft, so oft an einem Flughafen oder in einem Hotel nicht verbindet. Ihr WLAN erlaubt normalerweise das Surfen im Internet und E-Mails und blockiert alles andere. Wenn Ihr VPN über IPsec verbindet, liest das Netzwerk das Label, stellt fest, dass es nicht auf der erlaubten Liste steht, und die Verbindung wird nie hergestellt. Heimrouter mit Elternkontrollen oder Inhaltsfilterung funktionieren auf kleinerer Ebene auf die gleiche Weise, und mobile Netzwerke sind manchmal strenger als Heimverbindungen.
Wenn Sie möchten, dass ein VPN an Orten wie diesen funktioniert, können Sie es auf ein anderes Protokoll umschalten. OpenVPN ist die beste Wahl, da es sich wie gewöhnlicher Webverkehr verhält und auf dieser Grundlage durchgelassen wird. WireGuard wird hier wahrscheinlich nicht helfen. Es verwendet nur UDP und enthält keine integrierte Obfuskation, sodass restriktive Netzwerke es möglicherweise dennoch identifizieren und blockieren, auch wenn es nicht auf einen festen Port angewiesen ist.
Zwei Entscheidungen, die andere Leitfäden sagen, dass Sie treffen müssen: AH vs ESP und Tunnel- vs Transportmodus.
In anderen Artikeln über IPsec werden Sie auf zwei weitere Teile stoßen, die als Entscheidungen beschrieben werden, die Sie treffen müssen. Keine von beiden ist wirklich eine Entscheidung, die Sie heutzutage treffen müssen.
AH und ESP
Die zuvor erwähnten Verschlüsselungs- und Verifizierungsaufgaben werden von verschiedenen Komponenten von IPsec bearbeitet, und diese Komponenten haben Namen:
AH übernimmt nur die Verifizierung.
ESP verarbeitet Verifizierung und Verschlüsselung zusammen.
So getrennt sieht es aus wie etwas, zwischen dem man wählen könnte, und so präsentieren die meisten Artikel über IPsec es. In der Praxis gibt es nichts mehr auszuwählen. Wenn Daten Ihr Netzwerk verlassen, ändert Ihr Heimrouter die Adressinformationen darin, und die Überprüfung von AH deckt diese Adressinformationen ab. AH hat keine Möglichkeit, einen Router, der seine normale Arbeit verrichtet, von jemandem zu unterscheiden, der die Daten auf dem Weg manipuliert, sodass die Überprüfung fehlschlägt und die Verbindung abbricht, sobald sich die Adresse ändert.
Das bedeutet, dass AH in einem gewöhnlichen Heimnetzwerk nicht funktioniert, was es in fast jeder Situation ausschließt. IPsec-Verbindungen verwenden stattdessen ESP. Und wenn die Überprüfung ohne Verschlüsselung alles ist, was Sie benötigen, kann ESP das allein erledigen, was AH noch weniger Grund gibt, zu existieren.
Tunnelmodus und Transportmodus
Dann das zweite Paar. Daten reisen in einem von zwei Modi:
Tunnelmodus: Das ursprüngliche Paket wird vollständig in ein neues Paket eingewickelt, das eine neue Adresse trägt.
Transportmodus: Die Inhalte sind geschützt, aber die ursprünglichen Adressinformationen bleiben unverändert.
Wenn Sie ein VPN verwenden, befinden Sie sich im Tunnelmodus. Der Transportmodus wird hauptsächlich für spezifische Konfigurationen innerhalb privater Netzwerke verwendet und gehört normalerweise nicht zu den Optionen, die Ihnen eine VPN-App bietet.
Kurz gesagt, keine der beiden Gruppen ist es wert, im Gedächtnis behalten zu werden. Die Namen zu kennen, reicht aus. Wenn Sie dann auf eine Vergleichstabelle stoßen, die um sie herum aufgebaut ist, wissen Sie, dass Sie keine Wahl treffen müssen, denn alles wurde bereits für Sie entschieden.
Ist ein IPsec-VPN im Jahr 2026 noch sinnvoll?
Auf Smartphones und persönlichen Geräten ist IPsec nicht mehr die gängige Wahl. WireGuard ist schneller und hat sich bereits zum Standardprotokoll in den meisten Verbraucher-VPN-Apps entwickelt. Die einzigen echten Argumente für IPsec sind die Verbindung aufrechtzuerhalten, wenn sich das Netzwerk ändert, und dass es in das Betriebssystem integriert ist, und das reicht nicht mehr aus, um es zur ersten Wahl zu machen.
In Unternehmen ist die Situation umgekehrt. Jahrelang war SSL VPN der Standard für Remote-Arbeit, aber das letzte Jahrzehnt war ihm nicht wohlgesonnen. Dieselben Komponenten wiesen immer wieder kritische Schwachstellen auf, und viele davon wurden ausgenutzt, bevor ein Patch verfügbar war. Die NSA und CISA in den Vereinigten Staaten raten Organisationen, standardsbasiertes IPsec mit IKEv2 gegenüber SSL/TLS VPNs, die auf benutzerdefiniertem Code basieren, zu bevorzugen, und Norwegens nationales Cyber-Sicherheitszentrum ging noch weiter und forderte Organisationen auf, SSL VPN vollständig abzubauen. Fortinet hat den SSL VPN-Tunnelmodus aus FortiOS 7.6.3 und später entfernt, wodurch IPsec als Migrationsweg für seine Kunden bleibt.
Insgesamt ist IPsec eine dreißig Jahre alte Technologie in einer seltsamen Position: auf dem Rückzug bei mobilen Geräten und von Regierungen für Unternehmensnetzwerke dringend empfohlen.
Sollten Sie sich also für IKEv2/IPsec entscheiden?
Die erste Frage, die die Leute stellen, ist normalerweise, welches Protokoll am sichersten ist, und die ehrliche Antwort ist, dass Sicherheit hier nicht der entscheidende Faktor ist. IKEv2/IPsec, WireGuard und OpenVPN gelten alle als sicher, wenn sie richtig eingerichtet sind, und jedes von ihnen wird Ihren Datenverkehr in einem Netzwerk, dem Sie nicht vertrauen, privat halten. Was sie unterscheidet, ist, wie sie sich verhalten, nicht wie stark sie sind.
Das ist auch der Grund, warum die meisten Apps eine automatische Einstellung haben und warum es eine vernünftige Wahl ist, sie in Ruhe zu lassen, anstatt faul zu sein. Die App wählt basierend auf Dingen, die Sie nicht leicht sehen können, und wechselt, wenn eine Verbindung nicht funktioniert.
Wenn Sie lieber selbst wählen möchten:
IKEv2/IPsec, wenn Sie hauptsächlich ein Telefon verwenden und tagsüber zwischen WLAN und mobilen Daten wechseln. Es verbindet sich seltener erneut, und da es in das Betriebssystem integriert ist, bleibt es in der Regel leicht.
WireGuard, wenn Sie die schnellste Option möchten und sich in einem Netzwerk befinden, das nicht damit interferiert.
OpenVPN, wenn Sie sich an einem Ort befinden, der die anderen blockiert, wie in einem Hotel oder am Flughafen.
Und wenn Sie dies einrichten, um auf ein Unternehmensnetzwerk zuzugreifen, liegt die Entscheidung nicht bei Ihnen. Die IT wählt das Protokoll aus, und aus den Gründen im letzten Abschnitt wählen sie zunehmend IPsec.
Häufig gestellte Fragen
Ist IPsec sicher?
Ja, wenn es sich um IKEv2 handelt. Cybersicherheitsbehörden in den Vereinigten Staaten und Norwegen haben beiden Organisationen geraten, IPsec mit IKEv2 anstelle von SSL/TLS-basierten VPNs zu verwenden, partly weil IPsec ein offener Standard mit einer kleineren Angriffsfläche ist. IKEv1 ist die Ausnahme. Es wurde 2023 offiziell eingestellt und sollte nicht mehr verwendet werden.
Ist IKEv2 dasselbe wie IPsec?
Nicht ganz. IKEv2 ist ein Teil von IPsec, der Teil, der alles regelt, bevor Ihre Daten zu übertragen beginnen. Wenn eine App IKEv2/IPsec auflistet, bedeutet das, dass IKEv2 die Verbindung aushandelt und IPsec die Daten schützt. Die beiden Namen werden in der Praxis austauschbar verwendet, da IKEv2 die einzige Version ist, die noch allgemein verwendet wird. Das ist auch der Grund, warum die Suche nach einer IPsec-App oder einer IPsec-Einstellung normalerweise nichts ergibt. IPsec ist nichts, was Sie installieren.
Was ist der Unterschied zwischen einem IPsec-VPN und einem SSL-VPN?
Sie arbeiten auf unterschiedlichen Ebenen. IPsec schützt den Datenverkehr paketweise auf der Netzwerkschicht. SSL-VPNs sitzen höher: Einige bieten nur browserbasierten Zugriff auf ausgewählte Anwendungen, während Volltunnelversionen normalen Netzwerkverkehr ähnlich wie ein IPsec-VPN übertragen. IPsec ist ein offener Standard, und SSL-VPN-Produkte sind in der Regel proprietär, was ein Teil des Grundes ist, warum mehrere nationale Cybersicherheitsbehörden jetzt IPsec für den Remote-Zugriff empfehlen.
IPsec vs OpenVPN vs WireGuard: welchen sollte ich verwenden?
Alle drei sind sicher. WireGuard ist der schnellste und einfachste und ist jetzt der Standard in den meisten Verbraucher-Apps. IKEv2/IPsec hält eine Verbindung zusammen, wenn Ihr Telefon die Netzwerke wechselt, und verbraucht weniger Akku. OpenVPN ist der langsamste der drei, hat aber die größte Wahrscheinlichkeit, in einem restriktiven Netzwerk zu funktionieren.
Verlangsamt IPsec meine Verbindung?
Leicht. IPsec fügt jedem Paket ungefähr 50 bis 80 Bytes hinzu, sodass etwas weniger Ihrer eigenen Daten in jedes Paket passt. Bei einer normalen Verbindung werden Sie es nicht bemerken. Ein gut gestalteter VPN-Client übernimmt die Anpassung für Sie, und es ist nichts, was Sie konfigurieren müssen.
Muss ich Ports für IPsec öffnen?
Nicht, wenn Sie eine VPN-App verwenden. Sie müssen kein eingehendes Port-Forwarding auf Ihrem Router einrichten, da Ihr Anbieter die Serverseite verwaltet. Es wird nur relevant, wenn Sie Ihren eigenen IPsec-Server betreiben, und es ist leicht, dabei Fehler zu machen, da der Teil von IPsec, der Ihre Daten überträgt, in seiner ursprünglichen Form überhaupt kein portbasiertes Dienst ist.
Warum verwendet IPsec zwei Portnummern?
UDP 500 ist der Ort, an dem die Einrichtungsverhandlung stattfindet. UDP 4500 existiert aufgrund von Heimroutern. Router verwenden Portnummern, um zu verfolgen, zu welchem Gerät ein Datenstück gehört, und der Teil von IPsec, der Ihre Daten transportiert, hat keine eigene Portnummer, sodass er nicht ungehindert zu Ihnen zurückkehren kann. Port 4500 verpackt es in etwas, dem der Router folgen kann, was der Grund ist, warum fast jede Heimverbindung so funktioniert.
Verbraucht IKEv2 weniger Akku?
Manchmal. IKEv2 ist in iOS, Android, Windows und macOS integriert, sodass das Aktivieren die eigene Implementierung des Systems verwendet, anstatt Code, der in einer App gebündelt ist, und das ist in der Regel leichter für den Prozessor. Es ist jedoch keine Garantie. WireGuard wurde ebenfalls entwickelt, um effizient zu sein, und der tatsächliche Batterieverbrauch hängt von Ihrem Gerät, Ihrer App und der Signalqualität ab.
Was sind die Nachteile von IPsec?
Zwei, hauptsächlich. Es ist für ein Netzwerk einfach zu identifizieren, weshalb es oft bei Hotel- und Flughafen-Wi-Fi fehlschlägt, und es fügt jedem Paket ein wenig Overhead hinzu. Keines von beidem betrifft die Verschlüsselung selbst. Neuere Protokolle wie WireGuard sind schneller und einfacher, weshalb die meisten Verbraucher-Apps jetzt standardmäßig auf sie setzen.
Was ist der Unterschied zwischen VPN und IPsec VPN?
Ein VPN ist die allgemeine Idee, eine verschlüsselte Verbindung zwischen Ihrem Gerät und einem Server an einem anderen Ort. IPsec ist eines von mehreren Regelsets zum Aufbau dieser Verbindung, neben WireGuard und OpenVPN. Ein IPsec-VPN ist also ein VPN, das auf eine bestimmte Weise aufgebaut ist.
