Im Hotel steht „Free Wifi“ zweimal in der Liste, einmal mit großem W, einmal ohne. Das BSI nennt genau diesen Trick: Angreifer ahmen vertraute Netzwerknamen nach. Welches der beiden Netze das echte ist, sieht der Mac nicht.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 9 Abschnitte
- Was verschlüsselt ein VPN auf dem Mac?
- Wie unsicher ist ein öffentliches WLAN heute noch?
- Was kann ein VPN nicht verhindern?
- Ersetzt iCloud Private Relay ein VPN?
- Woran erkennen Sie eine vertrauenswürdige VPN-Lösung?
- Wie rollen Teams ein VPN auf vielen Macs aus?
- Wann reicht eine App, und wann braucht das Team mehr?
- Glossar: 13 wichtige Fachbegriffe zu VPN am Mac
- FAQ: VPN am Mac: Was der Tunnel verschlüsselt und was nicht
Der Mac verbindet sich in Sekunden mit jedem Netz, dessen Name vertraut klingt. Ein Tunnel verschlüsselt den Weg bis zu einem Server Ihrer Wahl, hält damit Mitleser im selben Netz fern und lässt andere Risiken unberührt. Dieser Beitrag ordnet ein, was ein VPN auf dem Mac leistet, wo sein Schutz endet und woran Entscheider eine Lösung für ihr Team erkennen.
Das Wichtigste in Kürze
- Ein VPN verschlüsselt nur den Weg zwischen Mac und VPN-Server. Danach sieht der Anbieter die Zieladressen, und die Zielseite sieht die Adresse des Servers.
- Das BSI rät für vertrauliche Daten in fremden WLANs zu HTTPS oder einem VPN und empfiehlt zusätzlich, die automatische Verbindung zu bekannten Hotspots abzuschalten.
- Ein Tunnel schützt nicht vor Phishing, Schadsoftware und Browser-Fingerprinting. Auch Lecks im Tunnel selbst kommen vor.
- Teams verteilen VPN-Profile über eine Geräteverwaltung. Das Gateway im Firmennetz ist selbst ein Angriffsziel und braucht Updates.
1Was verschlüsselt ein VPN auf dem Mac?Aufklappen ↓
Auflösung aufdecken ↓
2Was rät das BSI gegen gefälschte Hotspots mit vertrauten Namen?Aufklappen ↓
Auflösung aufdecken ↓
3Welche Information hat der VPN-Anbieter über Ihre Verbindungen?Aufklappen ↓
Auflösung aufdecken ↓
4Wie viele andere Browser teilten laut EFF-Studie im günstigsten Fall einen Fingerabdruck?Aufklappen ↓
Auflösung aufdecken ↓
5Was erlaubte die Lücke CVE-2026-0257 im GlobalProtect-VPN von Palo Alto?Aufklappen ↓
Auflösung aufdecken ↓
Was verschlüsselt ein VPN auf dem Mac?
Ein VPN verschlüsselt die Verbindung zwischen Ihrem Mac und dem Server des VPN-Anbieters. Alles dahinter läuft wie sonst: Die Zielseite sieht die Adresse des Servers, der Anbieter sieht, wohin Sie wollen.
Technisch baut die Software einen Tunnel auf. Alle Datenpakete, die der Mac verschickt, wandern verschlüsselt zum VPN-Server und von dort ins Internet.
Das BSI beschreibt das als verschlüsselte Verbindung zu einem vertrauenswürdigen Netz für alle übertragenen Daten, sodass Dritte in unsicheren Netzen nichts mitlesen können.
Geschützt ist damit ein Abschnitt: der Weg vom Gerät bis zum VPN-Server. Mithörer in dieser Strecke, etwa der Betreiber eines Hotel-WLANs, sehen nur noch Daten, die sie nicht lesen können.
| Wer | Ohne Tunnel sieht er | Mit Tunnel sieht er |
|---|---|---|
| Betreiber des WLAN | Dass Ihr Gerät online ist, den Datenverkehr zum Router und die Adressen der angesteuerten Server | Nur die verschlüsselte Verbindung zum VPN-Server |
| Zielwebsite | Ihre IP-Adresse und damit grob Ihren Standort | Die Adresse des VPN-Servers |
| VPN-Anbieter | Nichts | Die Zieladressen Ihrer Verbindungen |
Auf dem Mac läuft das über drei Wege. macOS bringt eigene VPN-Einstellungen mit, in die Teams die Zugangsdaten ihres Firmen-VPN eintragen. Hinzu kommen Apps von Anbietern, die die Konfiguration abnehmen. Bei einigen Anbietern laden Sie die CyberGhost-App für Ihren Mac herunter und verbinden sie mit einem Klick. Der dritte Weg sind Konfigurationsprofile, die die IT über eine Geräteverwaltung verteilt, dazu mehr im Abschnitt über Teams.
Im Hotel gibt es eine Besonderheit. Viele Netze zeigen zuerst eine Anmeldeseite, auf der Gäste Zimmernummer oder Nachnamen eingeben.
Solange diese Seite offen ist, baut der Tunnel oft keine Verbindung auf. Die Reihenfolge lautet daher: erst im Netz anmelden, dann das VPN einschalten, dann arbeiten. Bei umgekehrter Reihenfolge beginnt eine lange Fehlersuche, obwohl nichts defekt ist.
Unter der Oberfläche arbeitet ein Protokoll, das die Verschlüsselung und den Verbindungsaufbau regelt. WireGuard gilt als besonders schlank. Die Projektseite nennt moderne Kryptografie wie Curve25519 und ChaCha20 und führt macOS unter den unterstützten Systemen. Daneben sind IKEv2 und OpenVPN verbreitet.
Der praktische Vorteil gegenüber HTTPS liegt auf Systemebene. Ein VPN erfasst den Verkehr des ganzen Geräts: Mail-Programm, Cloud-Synchronisation, Messenger und Browser laufen durch denselben Tunnel. Das ist in einem fremden Netz nützlich, weil viele Programme im Hintergrund Verbindungen aufbauen, ohne dass der Nutzer sie bemerkt. Einzelne Browser-Erweiterungen decken diesen Verkehr in der Regel nicht ab.
Ein VPN ist damit ein Werkzeug für ein bestimmtes Problem: ein Netz, dem Sie nicht trauen. Als Rundumschutz für den Mac taugt es nicht, und genau diese Erwartung führt in vielen Teams zu falscher Sicherheit.
Wie unsicher ist ein öffentliches WLAN heute noch?
Die meisten Hotspots verschlüsseln die Funkstrecke nicht, so das BSI. Der Schutz hängt deshalb am Nutzer: an HTTPS, an einem VPN und an wenigen Einstellungen, die jeder Mac mitbringt.
Offene Hotspots sind bequem und strukturell schwach. Das BSI weist in seinen Sicherheitstipps darauf hin, dass die meisten Hotspots ohne Verschlüsselung arbeiten.
Für vertrauliche Daten in einem fremden WLAN empfiehlt es möglichst eine SSL-Verbindung wie HTTPS oder ein VPN.
HTTPS ist auf den meisten Websites Standard und schützt den Inhalt zwischen Browser und Server. Es verbirgt aber nicht, welche Server Sie ansteuern. Außerdem betrifft es nur Verbindungen, die HTTPS tatsächlich nutzen. Andere Programme auf dem Mac bauen eigene Verbindungen auf, und nicht jede davon ist verschlüsselt.
Das BSI ergänzt eine Warnung: Auch verschlüsselte Verbindungen lassen sich fälschen.
Das Schloss in der Adressleiste ersetzt also nicht den Blick auf die Adresse und das Netz, in dem Sie sich befinden.
Angreifer ahmen laut BSI Netze mit vertrauten Namen wie „Telekom“ oder „Free Wifi“ nach. Hat der Mac ein offenes Netz mit diesem Namen gespeichert, kann er sich mit der Kopie verbinden, ohne dass jemand etwas bemerkt. Das BSI rät deshalb, die automatische Verbindung zu bekannten Hotspots auszuschalten.
Vier Handgriffe, bevor ein VPN ins Spiel kommt
Angreifer ahmen Netze wie „Telekom“ oder „Free Wifi“ nach. Bekannte Hotspots deshalb nicht selbst verbinden lassen.
Die Funktion ist nur dann aktiv, wenn Sie sie brauchen. Das verkleinert die Angriffsfläche.
Vertrauliche Daten über fremde Netze gehen möglichst per HTTPS oder VPN.
Je nach Hotspot ist das Gerät für andere im selben Netz sichtbar.
Weitere Handgriffe stehen in derselben Empfehlung. Das WLAN gehört nur dann eingeschaltet, wenn Sie es brauchen.
Dateifreigaben sollten aus sein, weil ein Gerät je nach Hotspot für andere im Netz sichtbar ist. Und bei Zweifeln hilft die Frage an den Betreiber, ob und wie das Netz verschlüsselt ist.
Im Hotel meldet sich ein Außendienstler beim Check-in an einem offenen Netz an und öffnet sofort das Kundenportal. Im Zug arbeitet eine Beraterin am Angebot und synchronisiert dabei Dokumente mit der Cloud. Im Café ruft ein Geschäftsführer sein Postfach ab, weil die Rechnung bis zum Mittag raus muss. In allen drei Fällen läuft vertraulicher Verkehr über ein Netz, das niemand im Team kontrolliert.
Daraus ergibt sich eine Reihenfolge, die in vielen Teams auf dem Kopf steht.
Zuerst kommen die Einstellungen, die nichts kosten. Das VPN ist die zweite Schicht für alles, was über ein fremdes Netz laufen muss und nicht warten kann. Besser ist, wenn möglich, der eigene Hotspot am Smartphone, der das fremde Netz ganz überflüssig macht.
Was kann ein VPN nicht verhindern?
Ein VPN verbirgt Ihre IP-Adresse und verschlüsselt den Weg zum Server. Phishing, Schadsoftware und die Wiedererkennung per Browser-Fingerabdruck verhindert es nicht, und Lecks im System können den Tunnel sogar umgehen.
Eine gefälschte Anmeldeseite bleibt gefälscht, auch wenn sie durch einen Tunnel geladen wird. Der Tunnel liefert die Seite nur sicher beim Mac ab.
Dasselbe gilt für Schadsoftware: Ein Programm, das ein Mitarbeiter selbst startet, läuft hinter dem Tunnel genauso wie davor.
Gegen gefälschte Seiten helfen andere Werkzeuge. Ein Passwortmanager füllt Zugangsdaten nur auf der echten Domain aus und schlägt bei einer Fälschung nicht an.
Eine Mehr-Faktor-Anmeldung entwertet gestohlene Passwörter. Beide gehören auf jeden Mac, mit oder ohne Tunnel.
Websites erkennen Besucher ohne Cookie am Fingerabdruck ihres Browsers, wie unser Beitrag zum Browser-Fingerprinting beschreibt.
Er setzt sich aus Merkmalen wie Grafikkarte, Treibern, Betriebssystem und installierten Schriften zusammen, und eine neue IP-Adresse ändert daran nichts.
Wie scharf dieser Fingerabdruck ist, hat der Informatiker Peter Eckersley 2010 für die Electronic Frontier Foundation gemessen. Der Fingerabdruck in seiner Studie enthielt mindestens 18,1 Bit Entropie. Das heißt: Bei einem zufällig gewählten Browser teilt im günstigsten Fall nur einer von 286.777 anderen Browsern denselben Fingerabdruck.
Ist ein Nutzer in einem Google-, Microsoft- oder Social-Media-Konto angemeldet, bleibt er für den Dienst erkennbar, egal über welche Adresse er sich verbindet.
Ein VPN ändert, wo eine Website Sie vermutet, nicht, wer Sie sind. Auch die Cookies im Browser reisen mit, solange Sie sie nicht löschen.
Der Sicherheitsforscher Armin Šupuk zeigte 2026 auf einem Pixel 8 Pro, dass Android die echte IP-Adresse trotz VPN-Sperre ins offene Netz schickt. Ein Paket mit der echten Adresse verließ das Gerät alle zehn Sekunden, Google schloss die Meldung ohne Korrektur. Der konkrete Fund betrifft Android und nicht macOS. Die Lehre gilt trotzdem: Ein Tunnel verdient Vertrauen erst nach einer Prüfung.
Offen bleibt die Vertrauensfrage: Der Tunnel nimmt dem Hotelbetreiber die Sicht und gibt sie dem VPN-Anbieter, und der sieht die Zieladressen jeder Verbindung. Ob er sie speichert, erfahren Sie nur aus seinen Angaben und aus dem, was unabhängige Prüfer bestätigen.
Auch Metadaten bleiben beim Anbieter hängen. Er sieht, wann Sie sich verbinden, wie lange die Sitzung dauert und wie viele Daten fließen. HTTPS verbirgt den Inhalt der Seiten, diese Begleitdaten aber nicht. Mit dem Anbieter entscheiden Sie auch, wem Sie diese Angaben anvertrauen.
Ein VPN verlegt nur das Vertrauen: weg vom Hotel-WLAN, hin zum VPN-Anbieter, der jede Zieladresse kennt.
Michael Dobler, Herausgeber Dr. Web
Verarbeitet der Anbieter im Auftrag des Unternehmens Verbindungsdaten, steht datenschutzrechtlich ein Dienstleister im Spiel, den die Datenschutzverantwortlichen prüfen sollten. Wird das vor der Einführung geklärt, entfallen spätere Rückfragen der Kunden und Auditoren.
Diese Verschiebung ist kein Argument gegen VPNs. Sie ist ein Argument für nüchterne Erwartungen. Ein Anbieter, der „vollständige Anonymität“ verspricht, verspricht mehr, als die Technik hergibt.
Ersetzt iCloud Private Relay ein VPN?
Nein, aber es löst einen Teil des Problems. Apple beschreibt Private Relay als Dienst, der Ihre IP-Adresse vor der besuchten Website verbirgt und die Anfrage über zwei Relays leitet. Er gehört zu iCloud+ und deckt in Apples Dokumentation Safari ab.
Auf dem Mac ist Private Relay die naheliegende Alternative, weil es bereits im Betriebssystem steckt. Apple beschreibt die Funktionsweise so:
Die Web-Anfragen laufen über zwei Relays. Das erste betreibt Apple, es sieht Ihre IP-Adresse, die DNS-Einträge sind jedoch verschlüsselt. Das zweite betreibt ein externer Inhaltsanbieter, es erzeugt eine temporäre IP-Adresse und verbindet Sie mit der Website.
Für den Alltag bedeutet das: Private Relay verändert, was Websites und Netzbetreiber über Ihre Verbindung sehen können, ohne dass Sie eine zweite App installieren. Eine Verbindung zum Firmennetz baut es nicht auf, und es bietet keine Verwaltung durch die IT.
Das Prinzip heißt Aufteilung des Wissens. Keine einzelne Stelle, auch Apple nicht, soll zugleich wissen, wer Sie sind und welche Seiten Sie besuchen. Das ist ein anderes Vertrauensmodell als bei einem klassischen VPN, in dem der Anbieter beides sieht.
Private Relay ist Teil eines iCloud+-Abos und nicht in allen Ländern und Regionen verfügbar. Ohne Ihre echte IP-Adresse verlangen manche Websites zusätzliche Schritte bei der Anmeldung. Apple beschreibt den Dienst für Safari. Für andere Programme und für den Zugriff auf das Firmennetz bleibt ein VPN nötig.
Private Relay hilft beim privaten Surfen im Browser. Für dienstliche Verbindungen mit Zugriff auf interne Systeme bleibt das Firmen-VPN gesetzt, weil nur dort die IT steuert, wer sich wann verbindet.
Woran erkennen Sie eine vertrauenswürdige VPN-Lösung?
Prüfen Sie Betreiber, Protokoll, das Verhalten bei einem Tunnelabbruch und unabhängige Prüfberichte. Schlagworte wie „anonym“ oder „militärische Verschlüsselung“ sagen darüber nichts.
Beginnen Sie beim Betreiber. Entscheidend ist, welche Firma den Dienst führt, in welchem Land sie sitzt und welcher Rechtsordnung sie unterliegt.
Ein Sitz in der EU bringt die DSGVO ins Spiel. Behördenanfragen schließt das nicht aus, deshalb gehört ein Transparenzbericht dazu, der sie offenlegt.
Beim Protokoll lohnt ein Blick auf bewährte Verfahren. WireGuard, IKEv2 und OpenVPN sind gut dokumentiert. Apple führt IKEv2 in seiner Dokumentation zur VPN-Verwaltung ausdrücklich auf. Ein Anbieter mit einem eigenen, geheimen Protokoll lässt sich dagegen nicht von außen prüfen.
Wichtiger als jede Zahl auf der Webseite ist das Verhalten im Fehlerfall.
Reißt der Tunnel ab, soll der Mac keine Daten mehr an der Verbindung vorbei senden. Die Funktion heißt Kill Switch. Ebenso wichtig ist, dass die Namensauflösung durch den Tunnel läuft. Läuft sie daneben, sehen Mitleser die angefragten Adressen im Klartext.
Die App selbst ist Software mit weitreichenden Rechten. Beim ersten Start fragt macOS, ob sie eine VPN-Konfiguration hinzufügen darf. Diese Rückfrage ist normal und sollte nur bei Apps erscheinen, die Sie bewusst installiert haben. Laden Sie die App ausschließlich von der Seite des Anbieters oder aus dem App Store und halten Sie sie aktuell, denn ein veralteter Client ist ein Einfallstor.
Woran sich ein Anbieter prüfen lässt, bevor er Verkehr bekommt
Firma, Sitz und Rechtsordnung klären. Ein Transparenzbericht zeigt, wie der Anbieter mit Behördenanfragen umgeht.
WireGuard, IKEv2 oder OpenVPN sind dokumentiert und prüfbar. Ein Geheimprotokoll lässt sich nicht von außen beurteilen.
Kill Switch und DNS-Schutz testen: Verbindung trennen und prüfen, ob der Verkehr stoppt.
Unabhängiger Prüfer, Datum und Umfang nennen lassen. Alte Berichte sagen wenig über die aktuelle Software.
Beim Prüfen hilft der Selbsttest. Verbinden Sie den Mac mit dem VPN, rufen Sie Ihre IP-Adresse über einen Webdienst ab und vergleichen Sie sie mit der Adresse ohne Tunnel.
Trennen Sie dann die Verbindung kurz und beobachten Sie, ob der Verkehr tatsächlich stoppt.
Unabhängige Prüfberichte sind der stärkste Beleg. Ein Anbieter, der seine No-Logs-Zusage oder seine Software von Dritten prüfen lässt, setzt sich dem Urteil aus.
Fragen Sie nach dem Prüfer, dem Datum und dem Umfang. Ein Bericht von vor mehreren Jahren sagt wenig über die heutige Software.
Praktisch schicken Sie dem Anbieter vier Fragen per Mail: Wer betreibt den Dienst, welches Protokoll läuft auf dem Mac, wann hat zuletzt ein Dritter geprüft und was geschieht beim Tunnelabbruch? Die Antworten mit Datum gehören in die Entscheidungsvorlage. Ein Anbieter, der ausweicht, hat damit schon geantwortet.
Zur Prüfung gehört auch der Alltag mit dem Dienst. Wie schnell antwortet der Support, wenn eine Verbindung scheitert?
Gibt es eine Anleitung für macOS in deutscher Sprache? Wie lange liefert der Anbieter Updates für ältere Systemversionen? Solche Fragen entscheiden darüber, ob Mitarbeiter den Tunnel dauerhaft nutzen oder nach der ersten Störung abschalten.
Lange Vertragslaufzeiten mit starkem Rabatt binden ein Team an einen Dienst, bevor es ihn im Alltag erprobt hat. Besser ist ein Testzeitraum mit echten Geräten, in dem die Prüfungen aus diesem Abschnitt laufen.
Ein Dienst ohne Preis muss sich anders finanzieren. Wie, steht oft nur im Kleingedruckten. Für ein Team, das Kundendaten transportiert, ist ein bezahlter Dienst mit prüfbaren Zusagen die bessere Basis.
Wie rollen Teams ein VPN auf vielen Macs aus?
Teams verteilen die Konfiguration über eine Geräteverwaltung. Apple dokumentiert dafür eine VPN-Einstellung für Macs mit MDM-Anmeldung, die auch IKEv2 abdeckt. Die Nutzer müssen dann nichts selbst einrichten.
Wenn zwanzig Mitarbeiter jeweils selbst eine App einrichten, entstehen zwanzig Varianten. Eine Geräteverwaltung (MDM) beendet das.
Apple beschreibt in seiner Dokumentation zum Geräte-Rollout eine VPN-Payload, die für iPhone, iPad, Mac und weitere Geräte gilt, sofern sie in einem MDM-Dienst angemeldet sind. Der Payload-Typ heißt com.apple.vpn.managed.
Die Zentrale hat drei Vorteile. Zugangsdaten und Server stehen im Profil und wandern nicht per Mail.
Neue Geräte bekommen die Verbindung beim Einrichten. Geht ein Notebook verloren, entzieht die IT das Profil und sperrt den Zugang. Apple weist zugleich darauf hin, dass jeder MDM-Anbieter die Einstellungen anders umsetzt. Die Dokumentation des eigenen Anbieters bleibt deshalb maßgeblich.
Das Verbraucher-VPN schützt den Verkehr eines Einzelnen in einem fremden Netz. Das Firmen-VPN öffnet dagegen einen kontrollierten Zugang zu internen Systemen. Das BSI empfiehlt, den Zugriff auf das Firmen- oder Heimnetz über ein fremdes WLAN über ein VPN zu führen.
| Kriterium | Verbraucher-VPN aus der App | Firmen-VPN mit Geräteverwaltung |
|---|---|---|
| Zweck | Verkehr in fremden Netzen verschlüsseln, IP-Adresse verbergen | Zugang zu internen Diensten und Daten |
| Einrichtung | Jeder Nutzer für sich, meist mit eigenem Konto | Zentral per Konfigurationsprofil, ohne Zutun der Nutzer |
| Vertrauen | Der Anbieter sieht die Zieladressen | Die eigene IT betreibt das Gateway und sieht den Verkehr |
| Typisches Risiko | Verlass auf Werbeversprechen ohne Prüfung | Gateway als Angriffsziel, Patch-Pflicht |
Für den Rollout genügt ein einfacher Ablauf. Eine kleine Pilotgruppe testet das Profil auf zwei oder drei Macs, darunter ein Gerät mit der ältesten Systemversion.
Die IT dokumentiert, wie Nutzer die Verbindung prüfen und wen sie bei Störungen anrufen. Erst danach geht das Profil an alle. Zum Schluss steht eine Regel für das Ausscheiden: Am letzten Arbeitstag verliert ein ausscheidender Mitarbeiter das Profil.
Eine Regel, die Mitarbeiter umgehen, schützt niemanden. Im Onboarding genügen drei Sätze: wann das VPN eingeschaltet wird, wie man prüft, dass es läuft, und wen man bei Problemen fragt. Ein kurzes Merkblatt im Intranet ersetzt dann die Rückfragen per Mail.
Ein Team braucht deshalb eine klare Regel, welches Werkzeug wofür gilt. So betreibt niemand zwei Tunnel gleichzeitig, und die Fehlersuche bleibt überschaubar. Die Regel gehört in die Geräterichtlinie und ins Onboarding.
Wann reicht eine App, und wann braucht das Team mehr?
Für das Hotel-WLAN einzelner Mitarbeiter reicht eine geprüfte App mit klaren Regeln. Öffnet der Tunnel den Zugang zu internen Systemen, wird er selbst zum Angriffsziel und braucht Updates, einen zweiten Faktor und Protokolle.
Ein VPN-Gateway steht per Definition im Internet. Damit wird es zum Ziel.
Die Lücke CVE-2026-0257 im GlobalProtect-VPN von Palo Alto erlaubte bei bestimmten Einstellungen, eine VPN-Sitzung ohne gültige Zugangsdaten aufzubauen. Sie erhielt einen CVSS-Wert von 7,8, und die Organisation Shadowserver zählte rund 167.000 offen erreichbare Instanzen.
Wie unsere Analyse zur Palo-Alto-VPN-Lücke zeigt, standen die Angreifer hinter der Firewall und galten als legitime Nutzer. Arctic Wolf dokumentierte Einbrüche, in denen Partner der Ransomware-Gruppe Qilin die Lücke als Einstieg nutzten.
Das Gateway gehört in die Patch-Planung mit einem festen Ansprechpartner. Die Anmeldung braucht einen zweiten Faktor.
Die Protokolle der VPN-Sitzungen müssen jemand lesen, der unbekannte Sitzungen erkennt. Und ein Tunnel ins ganze Netz ist selten nötig, wenn Mitarbeiter nur zwei Anwendungen erreichen müssen.
Dazu passt ein Hinweis des BSI: Für den Zugriff auf das Firmen- oder Heimnetz über ein fremdes Netz empfiehlt es ein VPN. Das Ziel ist ein kontrollierter Zugang, und der steht und fällt mit dem Gateway, das ihn bereitstellt.
Zero-Trust-Zugänge geben nicht das Netz frei, sondern einzelne Anwendungen, und prüfen bei jeder Sitzung Identität und Gerät. Für kleine Teams ist das nicht immer nötig. Für Firmen mit sensiblen Daten und vielen Außendienstlern ist es eine Überlegung wert.
Meldet der Hersteller eine Lücke im Gateway, muss die IT wissen, wer entscheidet, ob der Zugang vorübergehend gesperrt wird, und wie Mitarbeiter in dieser Zeit arbeiten.
Ein Plan, der erst nach dem Alarm entsteht, kostet Tage, in denen sich Angreifer im Netz bewegen können.
Unsere Einordnung: Ein VPN gehört auf jedes Notebook, das in fremden Netzen arbeitet. Es steht aber hinter Passwort-Hygiene, Updates und Mehr-Faktor-Anmeldung und ersetzt sie nicht. In dieser Reihenfolge eingesetzt, bringt es spürbaren Schutz. Als Ersatz verkauft, bringt es nur Sicherheitsgefühl.
Für kleine Teams ohne eigene IT-Abteilung ist das Ergebnis kein Großprojekt. Eine Stunde reicht, um die Einstellungen auf allen Macs zu prüfen, einen Anbieter nach den obigen Fragen auszuwählen und den Tunnel zu testen. Wachsen die Zahl der Geräte und die Menge der Kundendaten, lohnt der Schritt zur zentralen Verwaltung.
Drei Schritte reichen für den Start:
- Automatische Verbindung zu bekannten Hotspots und Dateifreigaben auf allen Macs abschalten
- Einen geprüften Anbieter wählen und den Tunnel selbst testen, einschließlich Verbindungsabbruch
- Bei Teams die Konfiguration per Geräteverwaltung verteilen und das Gateway in die Patch-Planung aufnehmen
Glossar: 13 wichtige Fachbegriffe zu VPN am Mac
DNS-Leck
Ein DNS-Leck entsteht, wenn der Mac Namensanfragen am Tunnel vorbeischickt. Mitleser im WLAN sehen dann, welche Websites Sie ansteuern, obwohl der übrige Verkehr verschlüsselt ist. Seriöse Anbieter leiten die Namensauflösung deshalb durch den Tunnel und lassen das testen.
Fingerprinting
Fingerprinting bezeichnet die Wiedererkennung eines Browsers an Merkmalen wie Grafikkarte, Schriften und Betriebssystem. Es kommt ohne Cookie aus. Ein VPN ändert nur die IP-Adresse und lässt diese Merkmale unberührt, deshalb schützt es dagegen nicht.
Gateway
Ein Gateway ist der Server am Rand des Firmennetzes, an dem sich VPN-Verbindungen anmelden. Weil es aus dem Internet erreichbar sein muss, ist es ein bevorzugtes Angriffsziel. Updates und eine Anmeldung mit zweitem Faktor sind hier Pflicht.
Geräteverwaltung (MDM)
Die Geräteverwaltung, kurz MDM für Mobile Device Management, verteilt Einstellungen und Programme zentral auf Firmengeräte. Für VPN bedeutet das: Die IT hinterlegt die Verbindung einmal im Profil, und alle angemeldeten Macs übernehmen sie ohne Zutun der Nutzer.
HTTPS
HTTPS ist die verschlüsselte Variante des Protokolls, mit dem Browser und Websites Daten austauschen. Es schützt den Inhalt zwischen Browser und Server, verbirgt aber nicht, welche Server Sie ansteuern, und gilt nur für die Verbindungen, die es nutzen.
IKEv2
IKEv2 (Internet Key Exchange, Version 2) ist ein Protokoll, mit dem Geräte den Schlüsseltausch für einen VPN-Tunnel aushandeln. Es wird oft in Verbindung mit IPsec eingesetzt. Apple führt IKEv2 in seiner Dokumentation zu verwalteten VPN-Einstellungen auf.
Kill Switch
Der Kill Switch unterbricht den Datenverkehr, sobald der VPN-Tunnel abreißt. Ohne ihn kann der Mac Daten unverschlüsselt über das fremde WLAN senden, ohne dass Sie es merken. Ob die Funktion hält, prüfen Sie mit einem kurzen Trennversuch.
No-Logs-Zusage
Mit einer No-Logs-Zusage versichert ein Anbieter, keine Verbindungsdaten zu speichern. Das Versprechen lässt sich von außen schwer prüfen. Belastbar wird es erst durch Berichte unabhängiger Prüfer, die Datum, Umfang und Ergebnis nennen.
Split Tunneling
Beim Split Tunneling läuft nur ein Teil des Verkehrs durch den VPN-Tunnel, der Rest geht direkt ins Internet. Das spart Bandbreite, erhöht aber das Risiko, dass sensible Verbindungen am Schutz vorbeilaufen. Teams legen die Ausnahmen deshalb bewusst fest.
Tunnel
Der Tunnel ist die verschlüsselte Verbindung zwischen Ihrem Gerät und dem VPN-Server. Alle Daten, die hindurchlaufen, sind für Dritte im selben Netz nicht lesbar. Hinter dem Server endet der Tunnel, und der Verkehr läuft wie sonst weiter.
VPN
VPN steht für Virtual Private Network. Das Verfahren verbindet ein Gerät über einen verschlüsselten Tunnel mit einem vertrauenswürdigen Netz. Das BSI empfiehlt es, wenn vertrauliche Daten über ein fremdes WLAN laufen oder Sie auf das Firmen- oder Heimnetz zugreifen.
WireGuard
WireGuard ist ein VPN-Protokoll, das auf moderne Kryptografie wie Curve25519 und ChaCha20 setzt und für einen schlanken Aufbau entworfen wurde. Es läuft unter anderem auf macOS. Viele Anbieter bieten es neben IKEv2 und OpenVPN an.
Zero Trust
Zero Trust ist ein Sicherheitsmodell, das keinem Gerät und keinem Netz von vornherein vertraut. Statt eines Tunnels ins ganze Netz gibt es Zugriff auf einzelne Anwendungen, und Identität und Gerät werden bei jeder Sitzung geprüft.
FAQ: VPN am Mac: Was der Tunnel verschlüsselt und was nicht
Brauche ich auf dem Mac überhaupt ein VPN?
Ein VPN lohnt sich, wenn Sie über fremde Netze wie Hotels, Bahnhöfe oder Cafés vertrauliche Daten übertragen oder auf das Firmennetz zugreifen. Das BSI empfiehlt in solchen Fällen HTTPS oder ein VPN. Zu Hause im eigenen, verschlüsselten WLAN ist der Nutzen deutlich kleiner.
Reicht HTTPS im Hotel-WLAN?
HTTPS schützt den Inhalt zwischen Browser und Server, nicht aber jede Verbindung des Macs und nicht die Information, welche Server Sie ansteuern. Das BSI weist außerdem darauf hin, dass sich auch verschlüsselte Verbindungen fälschen lassen. Für Vertrauliches ist ein VPN deshalb die zusätzliche Schicht.
Ist iCloud Private Relay dasselbe wie ein VPN?
Nein, Apple beschreibt Private Relay als eigenen Dienst. Die Anfragen laufen über zwei Relays, sodass keine Stelle zugleich Ihre Identität und die besuchte Website kennt. Der Dienst ist Teil von iCloud+ und in Apples Dokumentation für Safari beschrieben. Ein VPN deckt dagegen den Verkehr des ganzen Geräts ab.
Kann mein VPN-Anbieter meine Daten sehen?
Der Anbieter sieht die Zieladressen Ihrer Verbindungen, bei HTTPS aber nicht den Inhalt. Ob er sie speichert, hängt von seiner Praxis ab. Aussagekräftig sind Transparenzberichte und unabhängige Prüfberichte, nicht das Marketingversprechen auf der Webseite.
Wie teste ich, ob der Tunnel hält?
Rufen Sie mit und ohne VPN Ihre IP-Adresse über einen Webdienst ab, die beiden Adressen müssen sich unterscheiden. Trennen Sie dann die Verbindung kurz und prüfen Sie, ob der Verkehr stoppt. Zusätzlich lohnt ein DNS-Lecktest, der zeigt, ob Namensanfragen den Tunnel verlassen.
Verlangsamt ein VPN die Verbindung?
Meist ein wenig, weil der Verkehr einen Umweg über den VPN-Server nimmt und verschlüsselt wird. Wie stark, hängt von der Entfernung zum Server, vom Protokoll und von der Auslastung ab. Für Mail, Chat und Dokumente ist der Unterschied im Alltag kaum spürbar.
Quellen
9 Quellen anzeigenQuellen ausblendenabgerufen am 12.11.2026
- Bundesamt für Sicherheit in der Informationstechnik (BSI)Sicherheitstipps für privates und öffentliches WLAN
- Apple SupportiCloud Private Relay
- Apple Platform DeploymentVPN device management settings overview for Apple devices
- WireGuardWireGuard: fast, modern, secure VPN tunnel
- Peter Eckersley, Electronic Frontier FoundationHow Unique Is Your Web Browser?
- Arctic WolfCookie Crumbles: How Exploitation of CVE-2026-0257 Leads to Qilin Ransomware
- Dr. WebAndroid umgeht die VPN-Sperre: Ein Keepalive im WLAN-Chip verrät die echte IP
- Dr. WebQilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- Dr. WebTracking ohne Cookies: Wie Websites Sie am digitalen Fingerabdruck erkennen
