Einen VPN-Zugang mit der Familie teilen: Was später schiefgeht

Einen VPN-Benutzernamen und ein Passwort auf ein zweites Gerät zu kopieren, dauert eine Minute und funktioniert einwandfrei – und genau deshalb zeigen sich die Probleme erst Monate später. Die Zugangsdaten, die Sie weitergegeben haben, steuern meist mehr als nur einen Tunnel: Sie besitzen womöglich das Abonnement, das Wiederherstellungspostfach und die Geräteliste. Bevor das zweite Telefon sich verbindet, klären Sie, was die Anmeldung tatsächlich autorisiert und wie ein Gerät entfernt wird, ohne die übrigen anzutasten.

Ein Passwort, mehrere verschiedene Rechte

Kommerzielle VPN-Konten bündeln hinter einer einzigen Anmeldung typischerweise drei Dinge: die Tunnel-Zugangsdaten, den Rechnungs- oder Tarifdatensatz und den Kanal zur Kontowiederherstellung. Das erste zu teilen ist eine Verbindungsentscheidung; die anderen beiden weiterzugeben überträgt die Kontrolle über das Abonnement. Viele Anbieter halten alle drei auf denselben Zugangsdaten, bis Sie sie bewusst trennen; die Frage ist also nicht, ob das Passwort auf zwei Geräten funktioniert, sondern was es sonst noch öffnet. Fragen Sie den Betreiber, welche dieser drei die Anmeldung steuert und ob ein eigener Rechnungsinhaber oder eine eigene Wiederherstellungsadresse benannt werden kann. Diese eine Antwort entscheidet darüber, wie viel vom Konto Sie tatsächlich aus der Hand geben.

Serverseitig ist das Konto eine Zeile mit einem Tarif und einem Verbindungszähler. Die Client-App ist nur eine Ansicht dieser Zeile und erzwingt nichts, was sich nicht mit einem anderen Client umgehen ließe. Deshalb verbindet sich ein Tarif für ein Gerät trotzdem von drei Geräten aus, bis der Server die vierte Sitzung ablehnt.

Zwei-Faktor-Authentifizierung verschärft die Frage nach dem Teilen. Ein TOTP-Geheimnis, das auf vier Telefonen eingerichtet ist, sind vier Kopien desselben zweiten Faktors, und jede davon kann die Anmeldung erfüllen. Wenn das Konto separate App-Passwörter oder eine Anmeldung pro Gerät unterstützt, nutzen Sie sie; wenn nicht, behandeln Sie den geteilten zweiten Faktor als bekannte Schwäche statt als gelöstes Problem.

Schlüssel pro Gerät verändern die Bedeutung von Entfernen

Selbst gehostete Setups unterscheiden sich, weil die Identität in der Konfiguration lebt und nicht in einer Kontozeile. Ein WireGuard-Peer ist ein öffentlicher Schlüssel plus eine erlaubte Adressmenge, und der Server autorisiert einen Handshake, indem er diesen Schlüssel abgleicht. Löschen Sie den Peer-Eintrag, kann das Gerät keinen Handshake mehr abschließen, egal welches Passwort es noch besitzt.

Dieses Modell erlaubt sauberes Entfernen, aber keine Zuordnung pro Person, was WireGuard als bekannte Einschränkung dokumentiert. Der Server sieht Schlüssel, keine Familienmitglieder.

sudo wg show wg0 peers
sudo wg set wg0 peer 5HueCGU8rMjxEXxiPuD5BDku4MkFqeZyd4dZ1jvhTVg= remove
sudo wg show wg0 latest-handshakes

Eine OpenVPN-Bereitstellung erreicht dasselbe über Zertifikate und eine Sperrliste: Jeder Client erhält sein eigenes Zertifikat, und das Sperren eines Eintrags lässt die übrigen weiterarbeiten. In beiden Entwürfen ist die Identität pro Gerät, sodass ein verlorenes Telefon eine einzelne Löschung ist statt eines kontoweiten Zurücksetzens der Zugangsdaten.

Gleichzeitige Verbindungen begrenzt der Server

Anbieter, die „fünf Geräte“ verkaufen, zählen meist gleichzeitige Sitzungen, nicht installierte Apps. Zwei Laptops und ein Telefon können in Ordnung sein, während ein dritter Laptop das Konto über die Grenze schiebt und eine bestehende Sitzung getrennt wird. Der Client erklärt das selten, deshalb sieht das Symptom nach einer wackeligen Verbindung aus statt nach einer Tarifgrenze.

Lesen Sie die Tarifbedingungen auf die tatsächliche Regel, bevor Sie eine Gerätezahl versprechen. Manche Dienste zählen Verbindungen, manche zählen verschiedene Geräte in einem Zeitraum, und manche erlauben eine höhere Zahl im selben lokalen Netzwerk.

Legen Sie die Haushaltsregeln vor dem zweiten Gerät fest

Schreiben Sie vier Dinge auf: wer das Wiederherstellungspostfach verwaltet, wer ein Gerät hinzufügen oder entfernen darf, wer zahlt, wenn sich der Tarif ändert, und was passiert, wenn jemand auszieht. Das sind Grundsatzentscheidungen, die keine Client-Einstellung für Sie treffen kann, und sie sind viel leichter zu vereinbaren, bevor eine dringende Entfernung nötig wird. Legen Sie die Antworten an einem Ort ab, den der Haushalt findet, einschließlich der Zuordnung, welche Gerätenamen zu welcher Person gehören. Eine Namensliste ist es, die einen Peer-Schlüssel oder ein App-Passwort wieder in jemanden verwandelt, den man anrufen kann.

Halten Sie die Tunnel-Zugangsdaten aus gemeinsamen Notizen und Chatverläufen heraus. Ein Passwortmanager mit gemeinsamem Tresor oder ein gerätespezifischer Zugang vom Betreiber hält das Geheimnis übertragbar, ohne Kopien in drei Nachrichtenverläufen zu hinterlassen.

Prüfen Sie außerdem, wie der Dienst beaufsichtigte Konten und Familienkontrollen behandelt, denn ein VPN ändert den Netzwerkpfad, ersetzt aber weder Kindersicherung noch Geräteverwaltung. Testen Sie dann eine echte Aufgabe pro Person: E-Mail, einen Videoanruf, ein Arbeitsportal. Ein Tunnel, der zustande kommt, ist kein Beweis dafür, dass sich Routen, DNS und Split-Tunnel-Regeln auf jeder Plattform gleich verhalten.

Beweisen Sie den Entfernungspfad, solange er noch einfach ist

Das Entfernen ist der Teil, den alle aufschieben; testen Sie es daher an einem Gerät, das Sie kontrollieren. Fügen Sie ein Ersatztelefon oder einen Laptop hinzu, bestätigen Sie die Verbindung, sperren Sie dann dieses Gerät mit der dokumentierten Methode des Betreibers und prüfen Sie, ob der Tunnel scheitert, während die übrigen bestehen bleiben.

curl -sS -m 8 -o /dev/null -w '%{http_code}\n' https://198.51.100.20/health

Ein gesperrtes Gerät sollte die interne Adresse innerhalb einer Sitzung nicht mehr erreichen, nicht bloß nach einem Neustart die Wiederverbindung verweigern. Wenn die alte Sitzung weiter funktioniert, hat die Sperrung den Server nicht erreicht, und die Zugangsdaten sind noch aktiv.

Halten Sie das Ergebnis in der Haushaltsnotiz fest, die ohnehin die Geräte auflistet, und sehen Sie es erneut an, wenn ein Telefon ersetzt wird. Die Regelung bleibt nur dann beherrschbar, wenn Identitäten, Grenzen und der Entfernungsschritt alle aufgeschrieben sind.