Verbirgt ein VPN die Wi-Fi-MAC-Adresse? Nein, und das ist der Grund

Die Frage klingt nach Ja oder Nein, und die ehrliche Antwort ist: Es kommt darauf an, wer fragt. Das Wi-Fi-Netzwerk, dem Sie beigetreten sind, sieht weiterhin die Adresse, die Ihr Gerät auf dieser Verbindung verwendet, mit oder ohne VPN. Eine gewöhnliche Website erhält dagegen Ihre Wi-Fi-Adresse normalerweise gar nicht erst. Fünf Prüfungen trennen diese beiden Beobachter und sagen Ihnen, welcher davon Sie tatsächlich interessiert.

Prüfung 1: Was sieht der Access Point?

Ein Hotelnetzwerk kann Ihr verbundenes Gerät auflisten, während Ihr Browserverkehr durch einen verschlüsselten Tunnel läuft. Beide Beobachtungen sind gleichzeitig wahr, denn das Netzwerk muss mit einem lokalen Gerät sprechen und muss dafür nicht Ihre Seiten lesen.

Die Adresse, die es sieht, kann die fest im Adapter eingebrannte Hardwareadresse sein oder eine vom Betriebssystem erzeugte private Adresse. Wenn Sie eine Zimmernummer oder ein Gästekonto angegeben haben, um online zu gehen, steht dieser Zulassungseintrag neben dem Geräteeintrag und überdauert Ihre VPN-Sitzung.

Ein Wechsel der VPN-Server ändert an diesen lokalen Einträgen nichts. Sie wurden angelegt, bevor es irgendeinen Tunnel gab.

Prüfung 2: Was sieht eine Website?

Router leiten IP-Pakete zwischen Links weiter, und die im Wi-Fi verwendete Link-Layer-Adresse ist kein Umschlag, der unverändert zu jedem Ziel reist. Bei Verkehr, der über ein VPN hinausgeht, sieht die Website in der Regel die öffentliche IP-Adresse des Ausgangs.

Sie kann weiterhin Cookies, eine angemeldete Sitzung und Browsermerkmale erhalten, die Ihre Client-Software identifizieren. Fingerprinting ist eine echte Tracking-Methode und nicht dasselbe wie das Auslesen einer Wi-Fi-MAC aus einer Webanfrage.

Wenn Ihr Bedrohungsmodell also eine Website ist, die Sie über Besuche hinweg korreliert, sind der VPN-Ausgang und Ihr Browserzustand die relevante Oberfläche. Die Adresse Ihres Wi-Fi-Adapters gehört nicht zu diesem Gespräch. Deshalb kann ein VPN ändern, was eine Website über Sie weiß, während die Sicht des lokalen Netzwerks völlig unberührt bleibt. Zwei Schichten, zwei Beobachter, kein Widerspruch.

Prüfung 3: Ist das VPN gebrückt oder geroutet?

Die meisten Verbraucher-VPNs sind geroutet: Eine TUN-Schnittstelle befördert IP-Pakete, und der virtuelle Adapter des Gastbetriebssystems hat seinen eigenen Adressierungskontext. Nichts Ihres Wi-Fi-Frames erreicht die Gegenseite.

Manche VPNs für private Netzwerke brücken stattdessen Ethernet-Frames über eine TAP-Schnittstelle. In diesem Design können Informationen auf MAC-Ebene in das entfernte Segment gelangen, weshalb die pauschale Behauptung, keine MAC-Adresse könne jemals ein VPN durchqueren, zu stark ist.

Wenn Sie eine solche Konfiguration debuggen, benennen Sie die Schnittstelle, zu der die Adresse gehört: der physische Wi-Fi-Adapter, der virtuelle Adapter oder ein entferntes gebrücktes Segment. Das sind drei verschiedene Antworten, und Menschen verwechseln sie ständig.

Prüfung 4: Möchten Sie eine andere lokale Kennung?

Sowohl Apple als auch Android unterstützen private oder randomisierte Wi-Fi-Adressen. Die Funktion verringert die Abhängigkeit von einer dauerhaften drahtlosen Kennung, wobei das Verhalten je nach Gerät, Netzwerk und Softwareversion variiert. Apples Dokumentation beschreibt Adressen pro Netzwerk und Optionen zur Dauerhaftigkeit auf unterstützten Systemen.

Was sie nicht tut, ist die derzeit verwendete Adresse zu verbergen. Der Access Point braucht weiterhin eine Adresse, an die er Frames senden kann, daher ändert private Adressierung die Kontinuität, nicht die Sichtbarkeit. Lesen Sie die Einstellung als Datenschutzkontrolle gegen Tracking über Netzwerke hinweg, nicht als Weg, in dem Netzwerk anonym zu werden, das Sie gerade nutzen. Das sind unterschiedliche Versprechen, und nur das erste wird angeboten.

Wenn ein verwaltetes Netzwerk ein Gerät mit privater Adressierung nicht zulässt, prüfen Sie die dokumentierten Anforderungen des Netzwerks, bevor Sie annehmen, das VPN sei schuld. Ein VPN kann keinen Fehler beheben, der auftritt, bevor das Gerät normalen Netzwerkzugang hat.

Prüfung 5: Was versuchen Sie eigentlich zu verhindern?

Schreiben Sie das Ziel in einem Satz auf. Wenn es darum geht, dieses Café daran zu hindern, mein Gerät morgen wiederzuerkennen, ist private Adressierung die Kontrolle und ein VPN irrelevant. Wenn es darum geht, diese Website daran zu hindern, meine Privatadresse zu sehen, ist der VPN-Ausgang die Kontrolle und die MAC war nie von Bedeutung.

Wenn es darum geht, ein entferntes privates Netzwerk daran zu hindern, meine Adapteradresse zu erfahren, prüfen Sie, ob der Tunnel gebrückt ist, denn das ist das einzige Design, in dem die Frage eine echte Antwort hat.

Nutzen Sie eine öffentliche IP-Prüfung, um die Ausgangsroute zu inspizieren, und die Einstellung für private Adressen des Geräts, um die lokale drahtlose Identität zu inspizieren. Sie beantworten unterschiedliche Fragen, und die Apple-Dokumentation zur privaten Wi-Fi-Adresse ist eine gute Referenz für die zweite. Keine der Einstellungen macht ein aktives Gerät für das Netzwerk unsichtbar, dem es beigetreten ist, und kein VPN ändert, was der Access Point bereits aufgezeichnet hat.