Ungepatchte Android-VPN-Schwachstellen können die echten IP-Adressen der Nutzer offenlegen

Ein Android-VPN-Leck kann die echte IP-Adresse eines Nutzers offenlegen, selbst wenn die VPN-Sperre und die Option „Alle Verbindungen ohne VPN blockieren“ aktiviert sind. Forscher haben zwei ungepatchte Schwachstellen entdeckt, durch die Apps bestimmte Daten außerhalb des verschlüsselten Tunnels übertragen können.

Das neuere Problem missbraucht WLAN-Keepalive-Pakete und kann alle zehn Sekunden Daten übertragen. VPN-Anbieter können das Leck nicht zuverlässig verhindern, da die Schwachstelle in Android selbst liegt.

Schädliche Apps können den VPN-Tunnel umgehen

Der Softwareentwickler Armin Šupuk veröffentlichte im Sommer 2026 Informationen zu einer der Schwachstellen. Seine Untersuchungen zeigen, dass eine schädliche Android-App ein UDP-Paket direkt an einen von einem Angreifer kontrollierten Server senden kann.

Das Paket wird außerhalb des VPN-Tunnels übertragen und legt die öffentliche IP-Adresse des physischen Netzwerks des Nutzers offen. Ein Angreifer könnte diese Information zur Verfolgung oder Überwachung verwenden.

Die Schwachstelle hebt nicht alle Vorteile eines VPN auf. Der Großteil des Datenverkehrs bleibt verschlüsselt und vor Internetanbietern sowie anderen Vermittlern verborgen. Das durchgesickerte Paket kann jedoch weiterhin Informationen offenlegen, die viele Menschen mithilfe eines VPN verbergen möchten.

WLAN-Keepalive-Pakete verursachen das Leck

Eine App kann eine Keepalive-Verbindung für Network Address Translation Traversal herstellen und über Port 4500 Pakete an einen Server senden. Solange die Verbindung aktiv bleibt, kann etwa alle zehn Sekunden Datenverkehr das Gerät verlassen.

Android übergibt diese NAT-T-Keepalive-Verbindungen an die WLAN-Hardware des Geräts. Diese Hardware-Auslagerung umgeht die Datenverkehrsfilter, die VPN-Apps normalerweise verwenden.

Laut Šupuk galten für gewöhnliche Apps früher Einschränkungen, die verhinderten, dass sie ohne besondere Berechtigungen WLAN-Keepalive-Slots öffnen konnten. Android entfernte diesen Schutz später. Daher kann inzwischen jede App die Funktion nutzen, ohne eine Erlaubnis anzufordern oder Root-Zugriff zu erlangen.

Der Forscher bestätigte die Umgehung auf drei Geräten mit Android 16: einem Google Pixel 8 Pro, einem Samsung Galaxy Z Fold7 und einem Nothing Phone (3a).

Tests zeigen außerdem, dass das Leck hauptsächlich WLAN-Verbindungen betrifft und in der Regel nicht über IPv6 funktioniert. Dennoch ist die Methode zuverlässig genug, um eine IPv4-Adresse wiederholt offenzulegen.

VPN-Anbieter können keine zuverlässige Lösung anbieten

Mullvad hat seine Android-Nutzer vor der Schwachstelle gewarnt. Der VPN-Anbieter erklärte, dass eine vollständige Behebung Änderungen am Android-Betriebssystem erfordern würde.

Theoretisch könnte eine VPN-App alle verfügbaren Keepalive-Verbindungen belegen, bevor eine andere Anwendung sie nutzt. Diese Lösung würde die VPN-App jedoch dazu zwingen, selbst Pakete außerhalb des Tunnels zu übertragen.

Außerdem könnte eine schädliche App ihre Verbindung herstellen, bevor das VPN startet. VPN-Entwickler können daher nicht garantieren, dass dieser Ansatz das Android-VPN-Leck verhindern würde.

Der Forscher meldete das Problem über Googles Android Vulnerability Reward Program. Google soll die Meldung jedoch geschlossen haben, ohne eine Fehlerbehebung umzusetzen.

GrapheneOS hat die Schwachstelle bestätigt und verfolgt sie weiterhin in seinem System zur Problemverwaltung. Forscher haben keine Hinweise darauf gefunden, dass eine der Tausenden getesteten Open-Source-Apps die Funktion derzeit missbraucht.

Eine zweite Android-Schwachstelle verursacht ein weiteres IP-Leck

Android enthält außerdem eine separate Schwachstelle im Zusammenhang mit dem Abbau von QUIC-Verbindungen. Apps können diesen Mechanismus missbrauchen, um Datenverkehr außerhalb eines VPN zu übertragen und die echte IP-Adresse des Geräts offenzulegen.

GrapheneOS hat das zweite Problem in seinem sicherheitsorientierten Betriebssystem bereits behoben. Die Standardversion von Android soll jedoch weiterhin anfällig sein, während einzelne VPN-Anbieter die Sicherheitslücke nicht selbst schließen können.

Zusammen zeigen die beiden Schwachstellen, dass die Sperreinstellungen von Android nicht jede mögliche Verbindung außerhalb eines VPN-Tunnels blockieren. Nutzer erhalten weiterhin Schutz für den Großteil ihrer Onlineaktivitäten. Sie können jedoch nicht davon ausgehen, dass ihre echte IP-Adresse immer verborgen bleibt.