Ihr VPN ist an, aber die App weiß trotzdem, wo Sie sind

Sie schalten das VPN ein, öffnen die App, und sie zeigt weiterhin die Stadt, in der Sie stehen. Nichts ist kaputt. Die App meldet etwas, das sie bereits weiß, statt zuzusehen, wie Ihr Datenverkehr aus dem Tunnel entweicht. In diesem Ergebnis stecken zwei verschiedene Fragen, und wer sie verwechselt, schickt Leute los, den Client neu zu installieren.

Was die App tatsächlich erhalten hat

Eine Position auf dem Bildschirm kann von mindestens vier Stellen kommen. Ein Gerätestandort, eine ungefähre Stadt aus Ihrer IP-Adresse, eine im Konto gespeicherte Adresse oder etwas, das Sie in ein Formular getippt haben.

Ein Gerätestandort ist das, was Leute meinen, wenn sie sagen, die App wisse, wo sie sind. Auf dem Telefon sind das GPS, WLAN-Scan und Mobilfunkdaten, die das System zusammenführt; auf einem Laptop ist es meist eine Abfrage in einer WLAN-Datenbank. Alles davon kommt über eine Berechtigung, die die App angefordert und Sie erteilt haben. Der Tunnel spielt dabei keine Rolle.

Kontodaten sind die heimtückischere Quelle. Eine Liefer-App, die Ihre Wohnadresse ohnehin speichert, braucht keinen Sensor, um sie Ihnen wieder anzuzeigen.

Warum der Tunnel das nicht abdecken kann

Ein VPN ersetzt die Adresse, von der Ihr Datenverkehr scheinbar kommt. Es berührt weder das Berechtigungsmodell noch die Sensoren oder den Kontoeintrag auf dem Server. Daten, die die App lokal sammelt und dann hochlädt, reisen innerhalb der verschlüsselten Verbindung, und genau dafür ist die Verbindung da. Der empfangende Server erfährt die Nutzlast, weil die App sich entschieden hat, sie zu senden.

Denken Sie an einen Namen, der in ein Formular getippt wurde. Der Tunnel verbirgt den Umschlag, nicht den Brief.

Deshalb kann eine Adressprüfung im Browser von einer App abweichen. Der Browser meldet die Ausgangsadresse, die App meldet einen Sensorwert. Beides sind korrekte Antworten auf verschiedene Fragen.

Berechtigung, Anspruch und was die Plattform erlaubt

Apples Ortungssteuerung für den Mac ist eine nützliche Referenz, weil sie erklärt, woher die Zahl kommt: Apps nutzen Location Services, und der Mac schätzt seine Position anhand naher WLAN-Netze. Dieselbe Seite merkt an, dass Apps und Websites andere Methoden nutzen können, selbst wenn Location Services ausgeschaltet ist. Dieser Hinweis ist die ganze Geschichte in einer Zeile.

Auf Telefonen ist die Aufteilung ähnlich. Eine App hat eine Standortberechtigung oder nicht, und die Plattform entscheidet, was sie lesen kann. Ein VPN-Client ist kein Berechtigungsverwalter und kann die Freigabe einer anderen App nicht widerrufen.

Sprache, Zeitzone und Gebietsschema sind für sich genommen schwache Signale. Sie verschieben, wo ein Dienst rät, nicht wo Sie sind.

Wie ein echtes Leck aussieht

Echte Lecks lohnt es sich herauszutrennen, weil sie andere Symptome haben: Ihre echte Adresse taucht in der Diagnose der Seite selbst auf, DNS-Abfragen werden über Ihren Provider aufgelöst, IPv6-Verkehr verlässt den Tunnel, oder eine Split-Tunnel-Regel schließt die App aus, die Ihnen wichtig war. Diese Fehler zeigen einen Host, den Sie nicht kontaktieren wollten, und sie ändern sich, wenn Sie das VPN ausschalten.

Das Erkennungszeichen ist die Richtung der Überraschung. Ein Leck verrät einem Fremden, wer Sie sind, während eine App-Übermittlung verrät, was die App schon hatte.

Testen Sie den ersten Fall, indem Sie vergleichen, was eine Website über Ihre Adresse meldet, mit dem, was das VPN-Dashboard über die verbundene Sitzung sagt. Testen Sie den zweiten, indem Sie sich ansehen, was Ihr Kontoprofil enthält.

Was Sie in den nächsten zehn Minuten prüfen sollten

Öffnen Sie den Berechtigungseintrag der App und lesen Sie die Standortoption. Ist sie erlaubt und Sie wollen nicht, dass die App eine Position hat, stellen Sie sie auf ungefähr oder verweigern Sie sie, und laden Sie die App dann neu, damit sie aufhört, einen zwischengespeicherten Standort zu verwenden. Sehen Sie dann auf die gespeicherte Adresse und die Upload-Felder, denn eine widerrufene Berechtigung löscht keinen Wert, den der Server bereits hält. Prüfen Sie zum Schluss die Split-Tunnel-Liste des VPN-Clients, damit Sie wissen, welche Apps den Tunnel umgehen.

Machen Sie diese drei in der Reihenfolge, und die Unklarheit löst sich meist von selbst auf.

Wenn die Position das alles übersteht und das VPN-Dashboard weiterhin eine gesunde Sitzung zeigt, betrachten Sie gespeicherte Daten und kein Leck. Ein Wechsel des Ausgangslands wird daran nichts ändern. Den gespeicherten Wert zu löschen, oder das Kontofeld, das ihn erzeugt hat, ist der einzige Schritt, der es ändern wird.