crackthe.net
Ratgeber: VPN, private E-Mail und Handbuch für Verteidiger
Wie VPNs funktionieren und wie du das passende findest, in fünf Stufen bis zu den Messbelegen. Dazu private E-Mail und ein Handbuch für Verteidiger.
Ist ein VPN neu für dich, fang bei Stufe 0 an. Hast du eine bestimmte Frage, spring direkt in die passende Stufe. Jeder Ratgeber ist kurz, erklärt jeden Fachbegriff und verlinkt die Seite, auf der du die Zahlen selbst nachprüfen kannst.
VPN
Stufe 0: Grundlagen
Was ein VPN ist, was es tut und ob du eines brauchst.
4 Min. LesezeitWas ist ein VPN? Bedeutung und Funktion einfach erklärtWas ein VPN ist, wofür die Abkürzung steht, wie es funktioniert und was es verbirgt – und was nicht. Mit Grafik und den aktuellen Zahlen des Archivs.
3 Min. LesezeitIP-Adresse einfach erklärt: Was Websites über dich sehenWas eine IP-Adresse ist, was eine Website daraus ablesen kann, wie du sie verbergen oder ändern kannst und warum das angezeigte Land nicht immer stimmt.
3 Min. LesezeitIst ein VPN sinnvoll? Vorteile und Nachteile im ÜberblickWann ein VPN sinnvoll ist – unterwegs, im eigenen WLAN und auf dem Handy –, welche Nachteile es hat und was es dich an Vertrauen, Tempo und Geld kostet.
3 Min. LesezeitIst VPN legal oder strafbar? Was in Deutschland giltIst die VPN-Nutzung strafbar? Wo ein VPN legal ist, welche Länder es einschränken, warum legal nicht heißt, dass jeder Dienst es erlaubt – mit Quellen.
3 Min. LesezeitIst ein kostenloses VPN sicher und seriös?Gratis-Tarif, Testphase oder Geld-zurück-Garantie: was du ohne Bezahlen bekommst, woran du ein seriöses Gratis-VPN erkennst und wo die Risiken liegen.
3 Min. LesezeitVPN oder Proxy: Was ist der Unterschied?Was Proxy und VPN gemeinsam haben, worin sie sich bei Verschlüsselung und abgedeckten Apps unterscheiden, was wofür besser ist und wie du es selbst prüfst.Stufe 1: Erste Schritte
Ein VPN auswählen, einrichten und prüfen, ob es funktioniert.
3 Min. LesezeitVPN-Anbieter auswählen: Checkliste mit 7 PunktenWelcher VPN-Anbieter passt zu dir? Sieben Punkte vor dem Kauf: von Ländern und Preis nach der ersten Laufzeit bis zu Firmensitz und Trackern.
3 Min. LesezeitVPN einrichten: So nutzt du ein VPN Schritt für SchrittVom Tarif bis zur ersten Verbindung: App laden, VPN-Zugang einrichten, Standort wählen, verbinden und prüfen, ob alles funktioniert – Schritt für Schritt.
2 Min. LesezeitFunktioniert mein VPN? Drei schnelle ChecksIst dein VPN aktiv? Mit drei einfachen Checks prüfst du, ob sich deine IP-Adresse ändert, ob das Land stimmt und ob Websites dich im richtigen Land sehen.
3 Min. LesezeitWas kostet ein VPN im Monat? Preise einfach erklärtWarum VPN-Preise so unterschiedlich wirken, was erste Laufzeit und Verlängerungspreis bedeuten und was die Anbieter im Archiv laut ihren Preisseiten verlangen.
3 Min. LesezeitVPN immer eingeschaltet lassen? Wann an, wann ausWann du dein VPN einschaltest, wann du es ausschalten kannst, wie du es am Handy aktivierst und wie Split-Tunneling bei Banking- und Streaming-Apps hilft.
4 Min. LesezeitVPN-Apps für iPhone, Android, PC, Mac, TV und RouterWelche VPN-Anbieter Apps für iPhone, Android, Windows, Mac, Browser, Fire TV und Router haben, worin sie sich unterscheiden und wo Gratis-Tarife laufen.Stufe 2: Den Anbieter kennen
Wer hinter einem VPN steht, was er trackt und was seine Zahlen bedeuten.
3 Min. LesezeitWas ist ein virtueller VPN-Standort? Einfach erklärtWas ein virtueller VPN-Standort ist, wie viele Standorte die Anbieter selbst als virtuell markieren und was unsere Messungen über den echten Ort zeigen.
3 Min. LesezeitWem gehört dein VPN? Firma, Eigentümer und FirmensitzWer hinter einer VPN-Marke steht, welche Marken demselben Konzern gehören, was der Firmensitz für deine Daten heißt und was Five Eyes und Co. sind.
2 Min. LesezeitWas VPN-Websites tracken: Werbe- und AnalysediensteWelche Werbe- und Analysedienste die Startseiten der VPN-Anbieter beim ersten Besuch laden, bevor du etwas anklickst, und was das über sie verrät.
2 Min. LesezeitVPN-Tests richtig lesen: So entsteht eine AnbieterseiteWoraus jede Anbieterseite hier entsteht, wie du den Status eines Standorts liest und warum „nicht erfasst“ etwas anderes heißt als „nicht vorhanden“.
3 Min. LesezeitVPN-Funktionen erklärt: Kill Switch, Split-Tunneling, Multi-HopWas Kill Switch, Split-Tunneling, Multi-Hop und eine dedizierte (statische) IP tun, welche Funktionen du als Einsteiger brauchst und welche Anbieter sie nennen.Stufe 3: So funktioniert es
Protokolle, Verschlüsselung, Leaks und Geoblocking, einfach erklärt.
3 Min. LesezeitVPN-Protokolle: WireGuard, OpenVPN und IKEv2 im VergleichWas ein VPN-Protokoll ist, wie sich WireGuard, OpenVPN und IKEv2 unterscheiden, ob TCP oder UDP besser ist und warum du PPTP meiden solltest.
2 Min. LesezeitVPN-Tunnel und Verschlüsselung: Was geschützt ist und was nichtWelchen Teil deiner Verbindung ein VPN verschlüsselt, was HTTPS zusätzlich schützt und was VPN-Anbieter und die Netze hinter ihren Servern trotzdem sehen.
2 Min. LesezeitDNS-Leak und WebRTC-Leak: erkennen und verhindernWas DNS-, WebRTC- und IPv6-Leaks sind, wie sie deine besuchten Seiten oder deine echte Adresse verraten und welche Einstellungen in der VPN-App sie verhindern.
2 Min. LesezeitGeoblocking erklärt: Warum Websites je nach Land anders antwortenWie Websites erkennen, aus welchem Land du kommst, warum sie Inhalte je nach Land sperren oder ändern, was ein VPN daran ändert und wie du es selbst prüfst.
2 Min. LesezeitDie Netze hinter VPN-Servern: Wer die Rechenzentren betreibtBei welchen Netzbetreibern die VPN-Server stehen, wie viele Anbieter sich dieselben Netze teilen und was das für Sperren und Anbieterwechsel bedeutet.Stufe 4: Profi
Wie Messungen Server verorten und wie man die Belege liest.
3 Min. LesezeitWie Latenz verrät, wo ein VPN-Server wirklich stehtWarum eine schnelle Antwort beweist, dass ein Server nah ist, wie aus Ping-Zeiten Entfernungsgrenzen werden und wann ein Standort zum Land passt.
3 Min. LesezeitMessbelege lesen: Messpunkte, Grenzen und offene ErgebnisseSo liest du die Belegtabelle hinter dem Status eines Standorts: Messpunkte, Netze, schnellste Antwort, Entfernungsgrenzen und offene Ergebnisse.
2 Min. LesezeitVPN-Serverlisten als Daten: Was Anbieter veröffentlichenWas in der Serverliste eines VPN-Anbieters steht, wie sich die Listen unterscheiden, warum Werbezahlen abweichen und wie das Archiv jede Änderung festhält.
2 Min. LesezeitWas ein VPN in drei Jahren wirklich kostetWas ein VPN über 36 Monate kostet, wenn die günstige erste Laufzeit endet: durchgerechnet aus den Preisangaben der Anbieter, mit allen Annahmen erklärt.
3 Min. LesezeitAudits und No-Logs-Versprechen: Was sie beweisen und was nichtWas ein No-Logs-Versprechen zusagt, was ein externes Audit prüft, wo seine Grenzen liegen und welche Audits die Anbieter auf ihren Websites nennen.Private E-Mail
Handbuch für Verteidiger
Nachschlagetabellen für die Überwachung von Industrie- und Büronetzen.
Ports und Protokolle
Viele Industrieprotokolle wurden ohne Verschlüsselung und ohne Anmeldung entwickelt. Die gesicherten Varianten kamen später, oft auf einem eigenen Port.
| Protokoll | Port | Wofür | Gesicherte Variante |
|---|---|---|---|
| Modbus/TCP | TCP 502 | Industrieautomation in allen Branchen: Steuerungen (SPS), Fernwirkgeräte, Sensoren, Energiezähler | Modbus/TCP Security: TLS mit Zertifikaten und Rollen (TCP 802) |
| DNP3 | TCP 20000 | Leittechnik von Energieversorgern, auch Wasser, Öl und Gas; in Nordamerika vorherrschend | Secure Authentication (SAv5); DNP3 über TLS (19999) |
| IEC 60870-5-104 | TCP 2404 | Fernwirktechnik für Stromnetze, vor allem außerhalb Nordamerikas | TLS (IEC 62351-3) plus Authentifizierung (IEC 62351-5) (TCP 19998) |
| ICCP (TASE.2) | TCP 102 | Datenaustausch zwischen den Leitstellen der Netzbetreiber | Secure ICCP: ICCP über TLS (TCP 3782) |
| S7comm (ISO-TSAP) | TCP 102 | Siemens-S7-Steuerungen: Programmierung, HMI, Datenaustausch; über denselben Port läuft auch MMS (IEC 61850, ICCP) | TLS für S7-1200 und S7-1500, Standard seit TIA Portal V17; das klassische S7comm hat keine |
| EtherNet/IP, CIP | TCP 44818, UDP 2222 | Fabrikautomation: 44818 für Nachrichten, 2222 für zyklische E/A | CIP Security (TLS und DTLS) (2221) |
| PROFINET | Schicht 2 (EtherType 0x8892); UDP 34962–34964 | Fabrikautomation: Echtzeit-E/A und Vergabe der Gerätenamen (DCP) laufen direkt auf Ethernet; UDP 34964 baut Verbindungen auf | Sicherheitsklassen 1 bis 3 (34965, 34966) |
| OPC UA | TCP 4840 | Herstellerunabhängiger Datenaustausch, der Nachfolger von OPC Classic; UDP 4840 für Publish-Subscribe | Eingebaut: Sicherheitsmodi None, Sign und SignAndEncrypt (4843) |
| OPC DA (OPC Classic) | TCP 135, dann ein Port aus 49152–65535 | Älteres, Windows-basiertes OPC über DCOM | Keine im Protokoll; Windows erzwingt seit dem 14. März 2023 eine strengere DCOM-Authentifizierung |
| BACnet/IP | UDP 47808 | Gebäudeautomation: Heizung, Lüftung, Beleuchtung, Zutrittskontrolle | BACnet Secure Connect: TLS über WebSockets |
| Protokoll | Port | Wofür | Gesicherte Variante |
|---|---|---|---|
| SMB | TCP 445 | Datei- und Druckerfreigabe unter Windows | Verschlüsselung und Signierung in SMB 3; SMB über QUIC mit TLS 1.3 (UDP 443) |
| NetBIOS | UDP 137, 138, TCP 139 | Ältere Windows-Namensauflösung und SMB1; ab SMB2 werden diese Ports nicht genutzt | Keine |
| LLMNR | UDP 5355 | Windows-Namensauflösung, wenn DNS versagt; Angreifer schicken gefälschte Antworten, um Anmeldedaten zu sammeln | Keine |
| mDNS | UDP 5353 | Namensauflösung in der Domain .local: Drucker, IoT-Geräte, Apple Bonjour | Keine |
| DNS | UDP, TCP 53 | Namensauflösung; TCP für große Antworten und Zonentransfers | DNS über TLS und über QUIC (853), über HTTPS (443); DNSSEC signiert, verschlüsselt aber nicht |
| DHCP | UDP 67, 68 | Automatische IPv4-Adressen; DHCPv6 nutzt UDP 546 und 547 | Keine verbreitete Variante |
| SNMP | UDP 161, 162 | Überwachung von Netzwerkgeräten: 161 für Abfragen, 162 für Traps | SNMPv3 mit Authentifizierung und Verschlüsselung oder SNMP über TLS und DTLS; die Versionen 1 und 2c senden den Community-String im Klartext (10161, 10162) |
| Syslog | UDP 514 | Logmeldungen; TCP 514 ist für rsh registriert, nicht für Syslog | Syslog über TLS (TCP 6514) |
| FTP | TCP 21, 20 | Dateiübertragung im Klartext: 21 für Befehle, 20 für Daten im aktiven Modus | FTPS (TLS); SFTP ist ein eigenes Protokoll innerhalb von SSH (990, TCP 22) |
| Telnet | TCP 23 | Fernkonsole im Klartext, Passwörter inklusive | SSH (TCP 22) |
| LLDP, CDP | Schicht 2 | Nachbarerkennung zwischen Switches und Geräten, mit Namen, Softwareversionen und VLANs; PROFINET nutzt LLDP für seine Topologie | Keine |
| ARP | Schicht 2 (EtherType 0x0806) | Ermittelt im lokalen Netz die MAC-Adresse zu einer IPv4-Adresse | Keine: Antworten werden nicht authentifiziert |
| ICMP | IP-Protokoll 1 (ICMPv6: 58) | Ping und Fehlermeldungen; bei IPv6 auch Nachbarerkennung | Keine |
Wireshark-Anzeigefilter
Gib sie in die Filterleiste von Wireshark ein, um einen Mitschnitt auf ein Protokoll oder auf Warnzeichen einzugrenzen. Die Feldnamen sind mit der Referenz der Wireshark-Anzeigefilter abgeglichen.
| Filter | Zeigt |
|---|---|
modbus || mbtcp | Der gesamte Modbus/TCP-Verkehr: Header (mbtcp) und Befehl (modbus) |
modbus.func_code in {5,6,15,16,23} | Modbus-Befehle, die Coils oder Register schreiben |
modbus.exception_code | Modbus-Fehlerantworten; nur sie haben dieses Feld |
mbtcp.unit_id == 1 | Modbus-Verkehr zu einem Gerät hinter einem Gateway (Unit 1) |
s7comm | Siemens-S7-Kommunikation, seit Wireshark 2.0 eingebaut |
dnp3 | DNP3 |
iec60870_104 || iec60870_asdu | IEC 60870-5-104; bis Wireshark 3.0 hieß der Filter 104apci |
enip || cip | EtherNet/IP und CIP |
bacnet || bvlc || bacapp | BACnet/IP: Verbindungs-, Netzwerk- und Anwendungsschicht |
cdp || lldp | Nachbarerkennung, die Gerätenamen, Softwareversionen und VLANs preisgibt |
llmnr || nbns || mdns | Broadcast-Namensabfragen, die Angreifer mit gefälschten Antworten beantworten können |
tcp.flags.syn == 1 && tcp.flags.ack == 0 | Verbindungsversuche; viele zu verschiedenen Ports oder Hosts deuten auf einen Scan hin |
tcp.port in {102,502,2404,20000,44818} | Die üblichen TCP-Ports industrieller Protokolle auf einen Blick |
frame matches "password" | Pakete mit dem Wort password in beliebiger Groß- und Kleinschreibung, etwa Anmeldungen über Telnet oder FTP |
tcp.port != 502 | Alles außer Modbus/TCP: Seit Wireshark 3.6 bedeutet !=, dass kein Port gleich 502 ist, also dasselbe wie !(tcp.port == 502) |
Das sind Anzeigefilter. Mitschnittfilter legen fest, was überhaupt aufgezeichnet wird. Sie haben eine andere Syntax, etwa tcp port 502. contains sucht nach Text und unterscheidet Groß- und Kleinschreibung; matches nimmt einen regulären Ausdruck und ignoriert sie standardmäßig.
Modbus/TCP
Modbus kennt weder Anmeldung noch Verschlüsselung: Wer Port 502 erreicht, kann lesen und schreiben. Eine Anfrage über TCP besteht aus einem 7 Byte langen Header, gefolgt vom Befehl.
Transaction Identifier2 Byte
Protocol Identifier2 Byte
Length2 Byte
Unit Identifier1 Byte
Function code1 Byte
Datavariabel
MBAP-HeaderPDU
| Feld | Bytes | Bedeutung | Wireshark-Feld |
|---|---|---|---|
| Transaction Identifier | 2 | Ordnet Anfrage und Antwort einander zu: Der Client setzt ihn, der Server kopiert ihn | mbtcp.trans_id |
| Protocol Identifier | 2 | 0 für Modbus; Frames mit einem anderen Wert werden verworfen | mbtcp.prot_id |
| Length | 2 | Zahl der folgenden Bytes: Unit Identifier plus PDU | mbtcp.len |
| Unit Identifier | 1 | Das Gerät hinter einem Gateway (1 bis 247); 0xFF oder 0 für ein direkt erreichtes Gerät | mbtcp.unit_id |
| Function code | 1 | Was die Anfrage bewirkt (Tabelle unten) | modbus.func_code |
| Data | ≤ 252 | Startadresse, Anzahl, Werte: bis zu 252 Byte | modbus.data |
| Code | Hex | Name | Zweck |
|---|---|---|---|
| 1 | 0x01 | Read Coils | liest |
| 2 | 0x02 | Read Discrete Inputs | liest |
| 3 | 0x03 | Read Holding Registers | liest |
| 4 | 0x04 | Read Input Registers | liest |
| 5 | 0x05 | Write Single Coil | schreibt |
| 6 | 0x06 | Write Single Register | schreibt |
| 8 | 0x08 | Diagnostics | Diagnose, meist auf seriellen Leitungen |
| 15 | 0x0F | Write Multiple Coils | schreibt |
| 16 | 0x10 | Write Multiple Registers | schreibt |
| 23 | 0x17 | Read/Write Multiple Registers | liest und schreibt |
| 43 | 0x2B | Encapsulated Interface Transport (MEI 14: Read Device Identification) | Geräteinformationen |
| 65–72, 100–110 | 0x41–0x48, 0x64–0x6E | User-defined | vom Hersteller festgelegt, nicht eindeutig |
| 90 | 0x5A | Schneider Electric UMAS (decoded by Wireshark) | programmiert Schneider-Steuerungen |
| Code | Name | Bedeutung |
|---|---|---|
01 | Illegal Function | Das Gerät unterstützt diesen Funktionscode nicht |
02 | Illegal Data Address | Die Adresse gibt es auf dem Gerät nicht |
03 | Illegal Data Value | Ein Wert in der Anfrage ist nicht zulässig |
04 | Server Device Failure | Beim Ausführen der Anfrage ist im Gerät ein Fehler aufgetreten |
05 | Acknowledge | Angenommen; ein langer Programmierbefehl läuft noch |
06 | Server Device Busy | Das Gerät ist mit einem langen Befehl beschäftigt |
08 | Memory Parity Error | Speicherfehler beim Lesen eines Dateisatzes (Funktionen 20 und 21) |
0A | Gateway Path Unavailable | Das Gateway hat keinen Weg zum Zielgerät |
0B | Gateway Target Device Failed to Respond | Das Gerät hinter dem Gateway hat nicht geantwortet |
Eine Fehlerantwort wiederholt den Funktionscode plus 0x80 (aus 0x03 wird 0x83) und enthält einen dieser Codes. Code 07 (Negative Acknowledge) ist ein alter Modicon-Code, den die aktuelle Spezifikation nicht mehr aufführt.
| Anzeichen | Filter | Warum es zählt |
|---|---|---|
| Schreibbefehle von einem unerwarteten Host | modbus.func_code in {5,6,15,16,23} | Schreibbefehle verändern den Prozess. Im Normalbetrieb senden sie nur wenige bekannte Systeme, etwa die HMI oder die Engineering-Station. |
| Viele Fehlerantworten | modbus.exception_code | Anfragen nach Funktionen oder Adressen, die ein Gerät nicht hat: typisch für einen Scan oder einen falsch eingerichteten Client. |
| Geräteidentifikation | modbus.func_code == 43 | Liefert Hersteller, Produkt und Version: nützlich für eine Bestandsaufnahme – und für Angreifer. |
| Programmierverkehr für Schneider-Steuerungen | modbus.func_code == 90 | Mit UMAS werden Schneider-Steuerungen programmiert; dieser Verkehr sollte nur von der Engineering-Station kommen. |
| Protokollkennung ungleich 0 | mbtcp.prot_id != 0 | Kein Modbus: ein anderes Protokoll auf Port 502 oder präparierte Pakete. |
| Unit Identifier 0 | mbtcp.unit_id == 0 | Hinter einem Gateway ist 0 ein Broadcast: Ein Schreibbefehl erreicht jedes serielle Gerät, keines antwortet. |
| Benutzerdefinierte Funktionscodes | modbus.func_code >= 65 && modbus.func_code <= 72 | Herstellerspezifisch, daher können zwei Hersteller denselben Code für Verschiedenes nutzen. Der zweite Bereich reicht von 100 bis 110. |