Was ist ein WebRTC-Leak, und wie stoppe ich ihn?

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 4 Min. Lesezeit

Du schaltest dein VPN ein, prüfst deine IP und siehst die Adresse des VPN. Gut. Aber eine Seite kann deinem Browser über WebRTC eine andere Frage stellen und eine andere Antwort bekommen. Dieser Unterschied ist das Leak.

Was WebRTC macht

WebRTC ist die Browserfunktion hinter Videoanrufen und Bildschirmfreigabe in Tools wie Google Meet und Microsoft Teams im Web. Um zwei Menschen direkt zu verbinden, muss jeder Browser herausfinden, unter welchen Adressen er erreichbar ist: seine Adresse im lokalen Netz und die öffentliche Adresse, die das Internet sieht. Die öffentliche findet er, indem er einen kleinen öffentlichen Server, einen STUN-Server, fragt: „Von welcher Adresse siehst du mich kommen?“

Eine Webseite kann diesen Vorgang starten, ohne um Erlaubnis zu fragen und ohne Kamera oder Mikrofon zu nutzen. Sie liest einfach die Antworten.

Wie das Leak entsteht

Die Seite lädt über den Proxy, die Adressprüfung von WebRTC aber nicht. Dokumentationsadressen stehen für echte.

Ob das passiert, hängt von der Art deines VPN ab:

Eine VPN-App für das ganze Gerät schickt allen Verkehr, auch die Frage von WebRTC, durch ihren Tunnel. Der STUN-Server sieht die Adresse des VPN, und es gibt nichts zu verraten. Das ist der Normalfall bei seriösen VPN-Apps mit Standardeinstellungen.
Eine „VPN“-Erweiterung im Browser ist meist ein Proxy nur für Webseiten. Der Verkehr von WebRTC ist kein Webseitenverkehr, kann also am Proxy vorbeigehen und deine echte Adresse zeigen. Das ist das klassische Leak.
Ein VPN mit Split-Tunneling (manche Apps oder Seiten ausgenommen) kann genauso lecken, wenn der Browser ausgenommen ist.

Und lokale Adressen wie 192.168.1.20? Ältere Browser gaben sie jeder Seite. Aktuelle Versionen von Chrome, Edge, Firefox und Safari verstecken sie hinter zufälligen Namen auf .local, es sei denn, du hast der Seite Kamera oder Mikrofon erlaubt. Dieser Teil des alten Problems ist also weitgehend erledigt.

Teste es

Die Startseite von iplover führt den Test in deinem Browser aus: Sie fragt den STUN-Server von Cloudflare (derselben Firma, die die Seite hostet), sammelt jede Adresse, die WebRTC meldet, ignoriert die zufälligen .local-Namen und vergleicht den Rest mit der öffentlichen Adresse, die unser Server bei deinem Seitenaufruf gesehen hat. Drei Ergebnisse sind möglich:

Ergebnis	Was es bedeutet	Was zu tun ist
Kein Leak	WebRTC hat nichts gemeldet, was über die Adresse hinausgeht, die Websites ohnehin sehen	Nichts.
Leak gefunden, mit einer aufgeführten Adresse	WebRTC kann eine andere Adresse als deine öffentliche verraten	Nutzt du ein VPN und ist die aufgeführte Adresse deine echte, behebe es wie unten beschrieben. Nutzt du kein VPN, kann es deine IPv6-Adresse oder eine zweite Verbindung sein; das ist kein Datenschutzleck.
WebRTC ist nicht verfügbar	Der Browser blockiert es (oder es ist ausgeschaltet)	Nichts: Darüber kann nichts nach außen dringen.

Mach den Test zweimal, mit VPN an und aus. Stimmt die bei eingeschaltetem VPN aufgeführte Adresse mit der überein, die bei ausgeschaltetem VPN angezeigt wird, leckt deine echte Adresse.

So stoppst du es, Browser für Browser

Jeder Browser: Nutz eine VPN-App für das ganze Gerät statt einer Browser-Erweiterung, und lass Split-Tunneling für deinen Browser aus. Das behebt die Ursache statt des Symptoms.
Firefox: Fortgeschrittene können WebRTC in der erweiterten Konfiguration von Firefox ganz abschalten. Damit funktionieren auch Videoanrufe im Web in Firefox nicht mehr, bis du es wieder einschaltest. Mozilla beschreibt die Einstellung auf seiner Seite zum WebRTC-Datenschutz; solche Einstellungen können sich zwischen Versionen ändern, also prüf es dort.
Brave: Die Datenschutzeinstellungen enthalten eine Auswahl, wie WebRTC deine Netzwerkadressen nutzen darf, einschließlich einer Option, die verhindert, dass WebRTC einen Proxy umgeht. Brave erklärt die Optionen in seiner Dokumentation zu den WebRTC-Einstellungen.
Chrome und Edge: In den normalen Einstellungen gibt es dafür keinen Schalter. Organisationen können es zentral über Chromes Richtlinie WebRtcIPHandling steuern. Es gibt Erweiterungen, die WebRTC einschränken; schau vor der Installation, wer sie veröffentlicht.
Safari: verbirgt lokale Adressen bereits; für deine öffentliche Adresse nutz ein VPN für das ganze Gerät.

Mach nach jeder Änderung den Test erneut, um sicherzugehen, dass sie bewirkt hat, was du erwartest.

Was ein WebRTC-Leak nicht kann

Das Leak verrät eine Adresse, also genau das, was jede Website sieht, wenn du kein VPN nutzt: ungefähr wo du bist und welchen Provider du hast. Es legt weder deine Dateien noch deine Passwörter noch deinen Verlauf offen. Es zählt, wenn der Sinn deines VPN ist, dass Websites deine Adresse nicht erfahren, und kaum, wenn du ein VPN nur nutzt, um dich im öffentlichen WLAN zu schützen.

Quellen

Offizielle Dokumente, mit denen wir die Fakten in diesem Ratgeber geprüft haben.