Android 15 und 16: Always-on und Per-app VPN – Schritt-für-Schritt-Anleitung zur Einrichtung auf Pixel

Einleitung

In dieser Schritt-für-Schritt-Anleitung richten Sie einen stabilen und sicheren VPN auf Android 15 oder Android 16 ein, aktivieren den Always-on-Modus, beschränken den Datenverkehr ausschließlich auf VPN (Blockiermodus), definieren Per-app-Regeln, also welche Apps den VPN-Tunnel nutzen oder davon ausgenommen werden sollen. Wir erklären zwei zuverlässige VPN-Clients für Android – WireGuard und OpenVPN – sowie IKEv2 für den integrierten Client. Sie erhalten ein Ergebnis, das immer funktioniert, sich nach Neustarts automatisch aktiviert und keinen Datenverkehr außerhalb des VPN zulässt. Zusätzlich erfahren Sie, wie Sie DNS- und IPv6-Leaks überprüfen und Probleme diagnostizieren, falls etwas nicht funktioniert.

Für wen ist diese Anleitung? Für Einsteiger, die eine klare Schritt-für-Schritt-Anleitung von Grund auf benötigen, sowie für Fortgeschrittene – wir haben eigene Abschnitte mit MTU-Optimierung, Split Tunneling, Unternehmensprofilen und einer kurzen Übersicht zu den VPN API-Änderungen in Android 15/16 aufgenommen. Wenn Sie VPN auf einem Arbeitsgerät einrichten, sind die Kapitel zu Managed Profile und Always-on-Richtlinien über Geräteverwaltung relevant. Für Entwickler von VPN-Clients gibt es praktische Hinweise zum Umgang mit targetSdk 35/36.

Was sollten Sie vorab wissen? Nichts Kompliziertes. Wir erklären alles in einfacher Sprache und überspringen keine offensichtlichen Schritte. Wenn Sie schon einmal eine App aus Google Play installiert und Android-Einstellungen geöffnet haben, schaffen Sie das problemlos. Wir führen detailliert auf, wo genau Sie tippen, was Sie eingeben und wie Sie kontrollieren.

Wie viel Zeit benötigen Sie? Für die grundlegende Einrichtung von WireGuard mit Always-on und ohne Datenverkehr ohne VPN reichen 20–30 Minuten. Für Per-app-Regeln und Tests weitere 20–30 Minuten. Für erweiterte Optimierungen und Unternehmensszenarien je nach Aufgabe 15 bis 30 Minuten.

Vorbereitung

Stellen Sie vor Beginn sicher, dass Sie alles Nötige griffbereit haben. Das spart Zeit und reduziert Fehlerquellen.

Benötigte Geräte und Zugriffe

• Smartphone mit Android 15 oder 16. Für die Anleitung verwenden wir ein Google Pixel mit Stock Android. Alternativ geben wir Hinweise für Samsung (One UI) und Xiaomi/POCO/Redmi (HyperOS/MIUI).
• Internetverbindung auf dem Smartphone (Wi-Fi oder mobiles Netz).
• Zugriff auf einen VPN-Server und Konfigurationen. Sie können vorhandene WireGuard- oder OpenVPN-Konfigurationen ebenso nutzen wie Einstellungen für IKEv2.
• Möglichkeit, bei Bedarf Apps aus Google Play zu installieren (WireGuard, OpenVPN Connect, OpenVPN for Android).

Systemanforderungen

• Android 15 oder 16. Android 14 funktioniert meist ähnlich, Menübezeichnungen können leicht abweichen.
• Geräteakku mindestens zu 30 % geladen. Es empfiehlt sich, das Ladegerät anzuschließen.
• Freier Speicherplatz von 50–100 MB für die VPN-Clients und Konfigurationsdateien.

Was herunterladen und installieren?

• WireGuard (offizieller Client) – geeignet für .conf-Dateien und QR-Code-Import.
• OpenVPN Connect (offiziell) oder OpenVPN for Android (mit vielen Feineinstellungen) – geeignet für .ovpn-Dateien.
• Für IKEv2 benötigen Sie keine zusätzliche App, denn Android bringt den Client mit. Sie brauchen jedoch Serverdaten und Zertifikate.

Sicherungskopien

Ein separates System-Backup ist nicht erforderlich. VPN-Konfigurationen sollten Sie allerdings sicher aufbewahren, z. B. im Passwort-Manager oder verschlüsselten Cloud-Speicher. Beim Import von Konfigurationen von anderen Geräten achten Sie darauf, dass diese nicht unbeabsichtigt in öffentlich zugänglichen Ordnern oder der Fotogalerie landen.

Tipp: Wenn Sie ein Firmenhandy nutzen, stimmen Sie Always-on und Blockiermodus mit Ihrem IT-Administrator ab. Diese Funktionen können durch Unternehmensrichtlinien zentral gesteuert und für Nutzer gesperrt sein.

Grundbegriffe

Wichtige Begriffe einfach erklärt

• VPN – Ein geschützter Tunnel für Ihren Internetverkehr. Er verschlüsselt Daten und leitet sie über einen Server, damit Anbieter und Fremdnetzwerke den Inhalt und das Ziel Ihrer Verbindungen nicht erkennen können.
• Always-on VPN – Ein Modus, bei dem VPN nach Neustart automatisch aktiviert wird und möglichst dauerhaft aktiv bleibt.
• Blockieren ohne VPN (auch Lockdown genannt) – Eine Option, die jeglichen Internetverkehr sperrt, solange kein VPN aktiviert ist. So werden ungewollte Leaks verhindert.
• Per-app VPN – Ein Modus, bei dem Sie festlegen, welche Apps VPN nutzen oder ausgenommen werden sollen.
• Split Tunneling – Technischer Begriff für das Aufteilen des Datenverkehrs: Ein Teil läuft über VPN, ein anderer direkt. Im Grunde ist das Per-app oder eine noch feinere Regelung.
• Konfiguration oder Profil – Einstellungsdatei für den VPN-Client, z. B. .conf für WireGuard, .ovpn für OpenVPN, oder Sammlung von Parametern und Zertifikaten für IKEv2.

Wichtiges vorab

• Der VPN-Client muss im Speicher bleiben, damit die Verbindung bestehen bleibt. Android 15/16 verwaltet Hintergrundprozesse sorgfältig, wir zeigen, wie Sie Stabilität sicherstellen.
• Always-on wird auf Systemebene eingestellt, der Tunnel läuft aber im Client. Wird die App zwangsweise beendet oder verliert die Verbindung, bricht der Tunnel ab; korrekt eingerichtet startet er jedoch automatisch neu.
• Per-app hängt teils vom Client ab. Wir zeigen die Systemlösung, wenn vorhanden, sowie Optionen direkt in WireGuard und OpenVPN.

⚠️ Achtung: PPTP und L2TP ohne IPsec gelten auf modernen Android-Versionen als veraltet oder unsicher. Nutzen Sie WireGuard, OpenVPN oder IKEv2/IPsec. Das ist wichtig für Geschwindigkeit und Sicherheit.

Schritt 1: Android aktualisieren und Gerät vorbereiten

Ziel

Android-Version prüfen, System aktualisieren und das Telefon für VPN-Installation und stabile Nutzung vorbereiten.

Ausführliche Anleitung

1. Öffnen Sie die Einstellungen auf Ihrem Smartphone.
2. Scrollen Sie nach unten und tippen Sie je nach Modell auf System oder Über das Telefon.
3. Suchen Sie den Eintrag Android-Version und stellen Sie sicher, dass 15 oder 16 angezeigt wird.
4. Gehen Sie zurück zu System → Systemupdate. Tippen Sie auf Nach Updates suchen. Installieren Sie alle verfügbaren Sicherheitspatches und warten Sie bis zum Abschluss.
5. Starten Sie das Gerät nach dem Update neu, falls dazu aufgefordert.
6. Öffnen Sie Einstellungen → Apps → Besonderer Zugriff → Uneingeschränkter Datenzugriff. Finden Sie den zukünftigen VPN-Client (WireGuard oder OpenVPN), oder falls noch nicht installiert, kehren Sie nach Installation hierher zurück. Aktivieren Sie den Schalter für uneingeschränkten Datenzugriff für den VPN-Client.
7. Öffnen Sie Einstellungen → Akku → Energiesparen. Deaktivieren Sie aggressive Sparmodi, die Hintergrundprozesse beeinträchtigen, oder setzen Sie den VPN-Client auf die Ausnahmeliste. Beispiel Pixel: Einstellungen → Apps → Alle Apps → WireGuard → Akku → Uneingeschränkt. Samsung: Einstellungen → Apps → WireGuard → Akku → Hintergrundaktivität zulassen. Xiaomi: Einstellungen → Akku → App-Akkusparen → WireGuard → Keine Einschränkungen.
8. Wenn Sie einen Launcher mit Optimierungen nutzen, schalten Sie Task-Killer für den VPN-Client ab.

Tipp: Legen Sie direkt eine Abkürzung des VPN-Clients auf dem Startbildschirm an, so können Sie den Tunnel bei Bedarf schnell mit einem Fingertipp neu starten.

Erwartetes Ergebnis

Das Gerät ist aktualisiert, die Hintergrundaktivität des VPN-Clients ist ohne Einschränkung, die Vorbereitungen sind abgeschlossen.

✅ Kontrolle: Öffnen Sie Einstellungen → Apps → WireGuard (oder Ihr Client) → Akku. Es sollte "Keine Einschränkungen" oder "Uneingeschränkt" stehen.

Probleme und Lösungen

• Updates sind nicht verfügbar. Ursache: Hersteller hat Patch noch nicht verteilt. Lösung: Wiederholen Sie die Prüfung später, setzen Sie die Einrichtung mit der aktuellen Version fort.
• Akku-Einstellungen fehlen. Ursache: andere Oberfläche. Lösung: Suchen Sie nach einem ähnlichen Menüpunkt via Einstellungen-Suche mit Stichworten wie Akku oder Hintergrund.

Schritt 2: VPN-Client installieren und Konfiguration importieren

Ziel

Den gewünschten Client installieren, Konfiguration importieren und sicherstellen, dass der Basistunnel aufgebaut werden kann.

Ausführliche Anleitung für WireGuard

1. Öffnen Sie Google Play und suchen Sie nach WireGuard. Installieren Sie die App.
2. Starten Sie WireGuard. Tippen Sie auf dem Hauptbildschirm auf das Plus-Symbol.
3. Wählen Sie "Aus Datei oder Archiv importieren", wenn Sie eine .conf-Datei haben, oder "QR-Code scannen", wenn Ihnen Ihr Anbieter einen QR-Code bereitstellt.
4. Suchen Sie die .conf-Datei im Dateimanager und wählen Sie sie aus. Erlauben Sie nötige Zugriffsrechte.
5. Geben Sie dem Profil einen deutlichen Namen, z. B. WG-Zuhause oder WG-Arbeit.
6. Speichern Sie. Neben dem Profil erscheint ein Schalter. Aktivieren Sie ihn. Bestätigen Sie im Systemdialog die Erstellung der VPN-Verbindung mit OK.

Ausführliche Anleitung für OpenVPN

1. Installieren Sie OpenVPN Connect oder OpenVPN for Android aus dem Play Store.
2. Starten Sie die App. Tippen Sie auf Importieren.
3. Wählen Sie "Aus Datei importieren" und geben Sie Ihre .ovpn-Datei an. Falls Zertifikate oder Zugangsdaten benötigt werden, geben Sie diese ein und speichern das Profil.
4. Tippen Sie auf Verbinden und bestätigen Sie die VPN-Verbindung im Systemdialog.

Ausführliche Anleitung für IKEv2 (integrierter Android-Client)

1. Öffnen Sie Einstellungen → Netzwerk & Internet → VPN.
2. Tippen Sie auf das Plus-Symbol oder VPN hinzufügen.
3. Wählen Sie als Typ IKEv2/IPSec PSK oder IKEv2/IPSec RSA, abhängig vom Server.
4. Geben Sie Name, Serveradresse, Identifikator, Pre-Shared Key (bei PSK) ein oder wählen Sie das Benutzerzertifikat (bei RSA). Speichern Sie.
5. Wählen Sie das neu erstellte Profil → Verbinden. Geben Sie bei Bedarf Benutzerdaten ein.

Tipp: Wenn Sie unsicher sind, starten Sie mit WireGuard. Es ist leicht einzurichten, akku-optimiert und läuft stabil auf Android.

⚠️ Achtung: Prüfen Sie vor dem Import von Konfigurationen, dass die Quelle sicher ist. Nutzen Sie nie öffentlich verfügbare Schlüssel oder geteilte Logins – das birgt Risiken für Abhörungen und Sperrungen bei Diensten.

Erwartetes Ergebnis

Sie können manuell eine VPN-Verbindung herstellen und sehen den Status „Verbunden“. In der Statusleiste erscheint ein Schlüsselsymbol.

✅ Kontrolle: Öffnen Sie den Browser und suchen Sie nach „Meine IP“. Vergewissern Sie sich, dass die angezeigte IP-Adresse die Ihres VPN-Servers ist.

Probleme und Lösungen

• Verbindung klappt nicht. Ursache: Falsche Adresse oder Schlüssel. Lösung: Prüfen Sie die Konfiguration, Ihre Internetverbindung und starten Sie das Smartphone neu.
• OpenVPN fordert Zugangsdaten, die Sie nicht kennen. Ursache: Server verlangt Authentifizierung. Lösung: Fragen Sie Ihren VPN-Anbieter oder nutzen Sie ein Profil mit Zertifikat.
• WireGuard verbindet, aber kein Datenverkehr. Ursache: Falsche AllowedIPs, fehlende Route 0.0.0.0/0. Lösung: Korrigieren Sie die Konfiguration auf Server- oder Clientseite.

Empfehlung zur Serverwahl

Für eine zuverlässige Verbindung ohne geteilte IP und unerwünschte Nachbarn empfehlen wir den Dienst vpn.how. Ideal, wenn Sie Stabilität und Kontrolle schätzen: persönlicher VPN-Server mit eigener IP, unterstützt WireGuard, OpenVPN, IKEv2, L2TP, SSTP (je nach Aufgabe und Gerätekonformität), Server-Standorte in Moskau, Sankt Petersburg, Amsterdam, Frankfurt, London, New York, San José, Chicago, Singapur, Sydney, Madrid, Helsinki, Stockholm, Warschau, Kopenhagen, Stavanger. Zahlungen sind möglich mit russischen Karten (Tinkoff, Ozon), über SBP und USDT/BTC. Preise ab 490 ₽ pro Tag und 2490 ₽ pro Monat mit Rabatten für längere Laufzeiten, automatische Serveraktivierung fünf Minuten nach Zahlung, keine Logs. Im Benutzerkonto stehen fertige Konfigurationsdateien für WireGuard, OpenVPN und IKEv2 bereit – einfach herunterladen und im Client importieren, das beschleunigt die Einrichtung und minimiert Fehler.

Schritt 3: Always-on VPN und Blockiermodus aktivieren

Ziel

Sicherstellen, dass VPN sich automatisch einschaltet und kein Datenverkehr außer über VPN läuft. Die wichtigste Sicherheitsebene auf Android 15/16.

Anleitung für Google Pixel (Android 15/16)

1. Öffnen Sie Einstellungen → Netzwerk & Internet → VPN.
2. Tippen Sie auf den installierten VPN-Client in der Liste. Öffnen Sie das Zahnrad rechts neben dem Namen oder tippen Sie direkt auf den Namen für die Profileinstellungen.
3. Aktivieren Sie den Schalter Always-on VPN (Immer aktiv).
4. Aktivieren Sie "Blockieren ohne VPN" (manchmal auch Lockdown oder VPN-Blockierung genannt). Bestätigen Sie die Warnung, dass ohne VPN kein Datenverkehr möglich ist.
5. Verlassen Sie die Einstellungen und starten Sie das Telefon neu, um sicherzustellen, dass das Profil automatisch aktiviert wird.

Anleitung für Samsung (One UI)

1. Öffnen Sie Einstellungen → Verbindungen → Erweiterte Verbindungseinstellungen → VPN.
2. Tippen Sie auf das Zahnrad neben dem gewünschten Profil.
3. Schalten Sie "Immer aktiv" an.
4. Schalten Sie "Blockieren ohne VPN" ein, sofern verfügbar. Bestätigen.
5. Starten Sie das Gerät neu, um den Autostart zu überprüfen.

Anleitung für Xiaomi/POCO/Redmi (HyperOS/MIUI)

1. Öffnen Sie Einstellungen → Verbindung & Freigabe → VPN.
2. Tippen Sie auf das Profil oder das Zahnradsymbol für Optionen.
3. Aktivieren Sie Always-on oder eine ähnliche Option. Die Bezeichnung kann variieren.
4. Finden und aktivieren Sie "Datenverkehr ohne VPN blockieren", falls vorhanden.
5. Starten Sie das Gerät neu und prüfen Sie, ob das Schlüsselsymbol nach Aktivierung von WLAN oder mobilem Netz erscheint.

Tipp: Falls die Option "Blockieren ohne VPN" fehlt, prüfen Sie die allgemeinen Sicherheitseinstellungen oder erweiterte Profileinstellungen. Manche Hersteller verstecken sie im Menü "Erweitert".

Erwartetes Ergebnis

Nach dem Neustart erscheint das VPN-Symbol automatisch. Jegliche Internetzugriffe ohne aktiviertes VPN werden durch das System blockiert.

✅ Kontrolle: Deaktivieren Sie das VPN in der App. Versuchen Sie, eine Webseite zu öffnen. Es sollte eine Verbindungsfehlermeldung erscheinen, bis Sie VPN wieder einschalten. Dann stellen die Seiten korrekt dar.

Probleme und Lösungen

• VPN startet nach Neustart nicht. Ursache: Akku-Beschränkungen oder Always-on für falsches Profil. Lösung: Kontrollieren Sie Schritt 1 bezüglich Akku-Einstellungen; stellen Sie sicher, dass Always-on für das korrekte Profil aktiviert ist.
• Die Option "Blockieren ohne VPN" fehlt. Ursache: Hersteller hat Funktion versteckt oder Gerätepolitik schränkt ein. Lösung: Nutzen Sie einen Kill-Switch im Client (z. B. OpenVPN for Android kann Verbindungsrouten sperren), prüfen Sie Einstellungen → Privates DNS und deaktivieren Sie spezielle Konfigurationen, die VPN stören.

Schritt 4: Per-app VPN systemseitig und clientseitig einrichten

Ziel

Steuern, ob alle Apps, nur ausgewählte oder alle außer bestimmten über VPN laufen sollen. Praktisch für Banking, Spiele oder lokale Anwendungen, die kein VPN benötigen.

Systemeinstellungen für Per-app auf Android 15/16 (sofern verfügbar)

1. Öffnen Sie Einstellungen → Netzwerk & Internet → VPN.
2. Tippen Sie auf Ihren VPN-Namen und öffnen Sie die erweiterten Einstellungen. Manche Geräte zeigen "Apps, die VPN nutzen" oder "App-Ausnahmen".
3. Falls vorhanden, markieren Sie Apps, die VPN umgehen sollen, oder solche, die VPN verpflichtend verwenden sollen. Speichern Sie die Änderungen.

Hinweis: Ob eine systemseitige Liste für Per-app zur Verfügung steht, hängt vom Hersteller und VPN-Client ab. Stock Android delegiert diese Option oft an die VPN-App selbst. Deshalb zeigen wir im Folgenden den sicheren Weg über Einstellungen in WireGuard und OpenVPN.

Per-app in WireGuard

1. Öffnen Sie WireGuard → tippen Sie auf das Profil → Stiftsymbol (Bearbeiten).
2. Scrollen Sie zum Abschnitt Tunnel-Einstellungen. Dort finden Sie "Apps, die VPN nutzen" oder "Allowed applications". Diese Funktion kann je nach Clientversion in einem Untermenü liegen.
3. Fügen Sie Apps hinzu, die über VPN laufen MÜSSEN (Whitelist-Modus), oder definieren Sie Ausgeschlossene Apps für den Gegenteiligen Fall. Speichern Sie.
4. Schalten Sie das Profil aus und wieder ein, damit die Änderungen aktiv werden.

Per-app in OpenVPN for Android

1. Starten Sie OpenVPN for Android → längerer Tipp auf das Profil → Bearbeiten.
2. Wechseln Sie zu Verhalten oder Routing (manchmal Apps).
3. Öffnen Sie "App-Verwaltung". Wählen Sie "Nur ausgewählte Apps über VPN" oder "Ausgewählte Apps vom VPN ausnehmen". Markieren Sie die gewünschten Anwendungen. Speichern.
4. Verbinden Sie das Profil neu, um die Einstellung zu übernehmen.

Tipp: Wenn Sie unsicher sind, beginnen Sie mit dem Modus „Vom VPN ausgenommen“ für Banking- und lokale Service-Apps, um Geoblocking und Antibetrug zu umgehen.

Erwartetes Ergebnis

Sie haben eine Liste definiert, welche Apps den VPN-Tunnel nutzen oder umgehen. System und Client setzen diese Regeln zuverlässig um.

✅ Kontrolle: Öffnen Sie eine App, die Sie ausgenommen haben, und prüfen Sie deren öffentliche IP über den integrierten Browser oder eine Funktion "Verbindung prüfen" falls vorhanden. Öffnen Sie dann eine App, die VPN nutzen muss, und prüfen Sie, ob die IP der VPN-Adresse entspricht.

Probleme und Lösungen

• Per-app in WireGuard wird nicht angezeigt. Ursache: Client-Version oder Build. Lösung: Aktualisieren Sie den Client oder nutzen Sie OpenVPN for Android, wo Per-app-Funktionen flexibler sind.
• App verwendet trotzdem VPN. Ursache: Routen-Cache oder spezifische Verbindungsdetails. Lösung: Trennen und verbinden Sie das Profil neu, starten Sie die App neu, leeren Sie den Cache und prüfen Sie erneut.

Schritt 5: Arbeitsprofile und Mehrbenutzerszenarien

Ziel

VPN so organisieren, dass Arbeitsprofile, Zweitnutzer oder Kindermodi sich nicht gegenseitig stören und der Tunnel stabil bleibt.

Arbeitsprofil (Managed Profile) und Always-on

1. Wenn Ihr Telefon von der IT über ein Unternehmens-Management verwaltet wird, öffnen Sie Arbeitsprofileinstellungen oder Geräteverwaltungs-App.
2. Rufen Sie Netzwerkrichtlinien oder VPN-Einstellungen auf. Suchen Sie Always-on VPN für das Arbeitsprofil.
3. Wählen Sie die verwaltete VPN-App aus und aktivieren Sie „Blockieren ohne VPN“ im Profil. Speichern Sie die Richtlinie.
4. Synchronisieren Sie das Gerät mit dem Management-Server und warten Sie, bis die Richtlinie angewendet ist.

Wenn Sie Geräteadministrator sind, kann Device Policy Controller Always-on per Richtlinie setzen und Blockierung aktivieren. Nutzer können dann Einstellungen nur lesend sehen oder gar nicht verändern.

Mehrbenutzermodus

1. Öffnen Sie Einstellungen → System → Mehrere Nutzer. Aktivieren Sie dies bei Bedarf.
2. Erstellen Sie einen zweiten Nutzer und wechseln Sie zu ihm.
3. Installieren Sie den VPN-Client separat und richten Sie das Profil ein. Jeder Nutzer hat eigene VPN-Einstellungen inklusive Always-on und Blockierung.
4. Wiederholen Sie die Schritte auch für den Hauptnutzer, wenn verschiedene Richtlinien gewünscht sind.

Tipp: Für Kinder empfehlen wir Always-on und Blockierung, sowie das Sperren der Einstellungsänderung über Kindersicherung oder Family Link, damit der Datenverkehr sicher über einen Filterserver läuft.

Erwartetes Ergebnis

Arbeits- und Privatprofile nutzen separate VPN-Profile mit eigenen Regeln. Konflikte sind minimal, der Tunnel bleibt stabil.

✅ Kontrolle: Wechseln Sie zwischen Nutzern und Profilen und prüfen Sie VPN-Status und öffentliche IP. Im Arbeitsprofil sollte kein Datenverkehr ohne VPN möglich sein.

Probleme und Lösungen

• Blockierungsoption fehlt für Nutzer. Ursache: Richtlinie sperrt die Einstellung. Lösung: Ändern Sie die Richtlinie im Device Policy Controller oder sprechen Sie mit dem Administrator.
• Tunnel bricht beim Nutzerwechsel ab. Ursache: Jeder Nutzer hat eigene Netzkonfiguration. Lösung: Das ist normal – richten Sie Always-on für jedes Profil ein.

Schritt 6: Verkehr überprüfen, MTU einstellen und Leaks diagnostizieren

Ziel

Sicherstellen, dass VPN schnell und sicher arbeitet, keine DNS- oder IPv6-Lecks vorliegen, die MTU passend ist und die Verbindung auf Android 15/16 Ihren Erwartungen entspricht.

Geschwindigkeit und Ping prüfen

1. Verbinden Sie VPN.
2. Öffnen Sie eine Speedtest-App eines bekannten Anbieters oder den integrierten Browser-Test.
3. Messen Sie Ping, Download- und Upload-Geschwindigkeit und notieren Sie die Werte.
4. Deaktivieren Sie VPN und wiederholen Sie den Test im selben Netz. Vergleichen Sie.

Eine Geschwindigkeitseinbuße von 5–25 % beim VPN ist normal – abhängig von Server, Routing und Protokoll. WireGuard ist meist schneller und akkusparender als OpenVPN.

DNS- und IPv6-Leaks testen

1. Verbinden Sie VPN.
2. Öffnen Sie den Browser und führen Sie Online-Prüfungen zu IP und DNS über gängige Dienste durch. Achten Sie darauf, welche DNS-Server angezeigt werden.
3. Wenn öffentliche DNS-Server des Mobilfunkanbieters statt VPN-DNS sichtbar sind, konfigurieren Sie zwingend DNS-Server im Client (OpenVPN for Android) oder serverseitig (WireGuard, Push-DNS für OpenVPN).
4. Prüfen Sie, ob eine IPv6-Adresse vergeben wird. Wenn der Server kein IPv6 bereitstellt, das Netzwerk jedoch schon, stellen Sie sicher, dass der Client IPv6-Leaks blockiert. Bei WireGuard hilft es, IPv6 aus AllowedIPs zu entfernen oder ::/0 korrekt zu routen.

Tipp: Am zuverlässigsten verhindern Sie DNS-Leaks, indem Sie auf dem Server einen resolver einrichten und die DNS-Adressen im Clientprofil ausgeben. In OpenVPN nutzen Sie dhcp-option DNS, in WireGuard routen Sie den gesamten Traffic über den Server und konfigurieren DNS in der App.

MTU für Stabilität einstellen

1. Wenn Verbindungsabbrüche oder Ladeprobleme bei bestimmten Seiten auftreten, reduzieren Sie die MTU um 20–40 Bytes unter den Standardwert. Bei WireGuard helfen oft 1280–1380 in der Client-Konfiguration.
2. In WireGuard Android: Profil → Bearbeiten → Erweitert → MTU setzen auf 1280, speichern und neu verbinden.
3. In OpenVPN for Android: Profil → Bearbeiten → Optionen → MSS-fix oder fragment/tun-mtu Parameter, sofern vom Server unterstützt. Schrittweise testen.

Tipp: Prüfen Sie, ob Ihr Router oder Mobilfunkanbieter MTU beschneidet. Manche Probleme treten nur im mobilen Netz, aber nicht im WLAN auf.

Erwartetes Ergebnis

Geschwindigkeit entspricht Ihren Erwartungen, DNS gehen über VPN, kein IPv6-Leak, MTU ist passend eingestellt, die Verbindung ist stabil und frei von unerwarteten Unterbrechungen.

✅ Kontrolle: Wiederholen Sie Geschwindigkeitstests und DNS-Checks nach MTU-Anpassung. Wird es schlechter, stellen Sie die vorherigen Werte wieder her.

Probleme und Lösungen

• DNS-Leaks bleiben bestehen. Ursache: Client ignoriert DNS aus Profil. Lösung: Geben Sie DNS in der App oder serverseitig vor und stellen Sie sicher, dass das Routing für 0.0.0.0/0 und ::/0 komplett ist.
• Bestimmte Spiele funktionieren nicht über VPN. Ursache: Anti-Cheat oder Geo-Restriction. Lösung: Legen Sie das Spiel als Ausnahme im Per-app-Modus an oder wählen Sie einen Server nahe am Gaming-Rechenzentrum.

Ergebnis prüfen

Checkliste

• Sie können VPN manuell an- und ausschalten.
• Always-on ist aktiviert und funktioniert nach Neustart.
• Blockieren ohne VPN ist aktiv, Datenverkehr ist gesperrt, wenn VPN aus ist.
• Per-app-Regeln greifen und Ausnahmen funktionieren.
• Kein DNS/IPv6-Leak, MTU ist passend eingestellt.
• Im Arbeitsprofil überschneiden sich Richtlinien nicht.

Wie testen?

1. Starten Sie das Gerät neu und warten Sie, bis das VPN-Symbol ohne Eingriff erscheint.
2. Deaktivieren Sie VPN und prüfen Sie, dass das Internet blockiert ist (sofern Blockierung aktiviert).
3. Prüfen Sie IP in einer ausgenommenen App sowie in einer VPN-geschützten App. Die IP-Adressen sollten sich erwartungsgemäß unterscheiden.
4. Führen Sie Geschwindigkeitstests und DNS-Checks durch.

Erfolgsindikatoren

• Wechsel zwischen WLAN und mobilem Netz unterbricht den Tunnel nicht länger als kurzzeitig.
• VPN-Client verursacht keine spürbaren Akku-Ausreißer.
• Von VPN ausgeschlossene Apps funktionieren stabil mit regionaltypischer Verbindung.

Typische Fehler und Lösungen

• Problem: VPN startet nicht automatisch. Ursache: Always-on ist für falsches Profil aktiv. Lösung: Einstellungen → Netzwerk & Internet → VPN → Passendes Profil auswählen und Always-on aktivieren; im alten Profil deaktivieren.
• Problem: Internet funktioniert trotz aktivierter Blockierung bei ausgeschaltetem VPN. Ursache: Option wurde nach Update deaktiviert oder ein anderes Profil ohne Blockierung ist aktiv. Lösung: Prüfen Sie den Schalter „Blockieren ohne VPN“ im aktiven Profil und starten Sie das Gerät neu.
• Problem: App ignoriert Per-app-Regeln. Ursache: Routen-Cache oder Client-Limit. Lösung: Aktualisieren Sie den VPN-Client, leeren Sie App-Cache, starten Sie das Gerät neu und setzen Sie Regeln erneut.
• Problem: VPN-Geschwindigkeit ist langsam. Ursache: Serverüberlastung, ungeeignetes Protokoll oder zu große Pakete. Lösung: Wechseln Sie den Server, nutzen Sie WireGuard und passen Sie die MTU auf 1280–1380 an.
• Problem: Lokale Geräte im Netzwerk sind nicht erreichbar. Ursache: Gesamter Datenverkehr läuft durch VPN. Lösung: Fügen Sie lokale Subnetze (192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12) als Ausnahmen hinzu oder verwenden Sie Split Tunneling.
• Problem: Banking-App blockiert VPN. Ursache: Anti-Fraud oder regionale Sperren. Lösung: Nehmen Sie die App von VPN aus (Per-app Ausnahmen), starten Sie sie neu und melden Sie sich erneut an.
• Problem: Verbindungsabbrüche bei gesperrtem Bildschirm. Ursache: Aggressives Energiesparen. Lösung: Stellen Sie für den Client Akku → Uneingeschränkt ein, deaktivieren Sie spezifische Optimierungen und erlauben Sie Hintergrundaktivität.

Zusatzfunktionen und erweiterte Einstellungen

Intelligentes Split Tunneling

Für feineres Routing kombinieren Sie systemseitige Ausnahmen mit clientseitigen Regeln. Zum Beispiel VPN für den gesamten Traffic, aber lokale Subnetze und Banking-Apps in einer Whitelist. So reduzieren Sie Leaks und erhalten vorhersehbares Verhalten.

Automatisierung

• Tasker oder ähnliche Tools können VPN-Profile basierend auf WLAN-Verbindungen automatisch ein- oder ausschalten.
• Einige Clients bieten Quick-Settings-Kacheln, die Sie hinzufügen können für schnellen Zugriff auf Profile.

Optimierung für Streaming

• Wählen Sie einen Server in der Nähe des CDN Ihres gewünschten Dienstes.
• Bei OpenVPN bevorzugen Sie UDP, sofern keine Blockaden vorliegen. Bei instabilen Verbindungen kann TCP helfen, allerdings mit mehr Overhead.

IPv6-Kompatibilität

• Wenn Anbieter und Server IPv6 unterstützen, stellen Sie sicher, dass ::/0 im Profil korrekt geroutet wird.
• Wenn nicht, blockieren Sie IPv6 im Client, um Leaks zu vermeiden.

Feinjustierung von OpenVPN

• Aktivieren Sie Kompression nur falls nötig, meist ist sie besser deaktiviert.
• In mobilen Netzwerken verwenden Sie reneg-sec seltener und keepalive standardmäßig.

Hinweise für VPN-Client-Entwickler zu Android 15/16

• Per-app und Always-on basieren weiterhin auf VpnService. Handhaben Sie Builder.setAllowedApplications und Builder.addDisallowedApplication korrekt gemäß Nutzungsszenarien. Prüfen Sie Verhalten bei targetSdk 35/36 unter Berücksichtigung von Hintergrunddienst- und Benachrichtigungseinschränkungen.
• Berücksichtigen Sie Akku-Richtlinien und Vordergrunddienste. Starten Sie eine Vordergrund-Benachrichtigung bei aktivem Tunnel, reagieren Sie korrekt auf Netzwerkwechsel.
• Testen Sie Kompatibilität mit Arbeitsprofilen und Mehrbenutzer-Szenarien. Trennen Sie Schlüssel- und Nutzerdaten pro Profil.
• Setzen Sie DNS korrekt um, auch bei DoH/DoT auf Systemebene. Kommunizieren Sie klar, welche Resolver im Tunnel genutzt werden.
• Prüfen Sie Verhalten bei aktivierter systemweiter Blockierung ohne VPN und beim Wechsel von Always-on-Profilen.

Hinweis: Die API-Änderungen in Android 15/16 können je nach Build und Hersteller unterschiedlich sein. Die stabilen Modelle für VpnService, erlaubte/verbannte Pakete, Vordergrundbenachrichtigungen und Profilbetrieb gelten weiterhin. Wichtige Risiken hängen mit strengeren Richtlinien für Hintergrundaktivitäten und Sicherheitseinstellungen zusammen. Testen Sie Clients mit den Ziel-SDK-Versionen und decken Sie alle Szenarien dieses Guides durch automatisierte Tests ab.

FAQ

Frage: Wie aktiviere ich Always-on VPN auf Android 16, wenn die Option nicht zu finden ist?
Antwort: Öffnen Sie Einstellungen → Netzwerk & Internet → VPN → Zahnrad am Profil → schalten Sie Always-on VPN ein. Falls die Option fehlt, sehen Sie in „Erweitert“ nach oder aktualisieren Sie die VPN-App.

Frage: Wie richte ich Per-app VPN ein, wenn die Systemeinstellungen keine App-Liste haben?
Antwort: Richten Sie Per-app direkt im Client ein. Bei WireGuard öffnen Sie das Profil → Bearbeiten → Allowed Apps. Bei OpenVPN for Android nutzen Sie die App-Verwaltung und markieren Ausnahmen.

Frage: Was soll ich wählen – WireGuard oder OpenVPN?
Antwort: Starten Sie mit WireGuard. Es ist schneller, einfacher und akkusparender. Für Kompatibilität mit älteren Servern oder spezielle Funktionen eignet sich OpenVPN for Android.

Frage: Warum brauche ich die Blockierung ohne VPN?
Antwort: Damit Ihr Datenverkehr bei Verbindungsabbrüchen nicht ungeschützt durchs Netzwerk läuft. Das ist essenziell für Privatsphäre und Unternehmensrichtlinien.

Frage: Warum funktioniert Banking nicht über VPN?
Antwort: Wegen Anti-Fraud-Systemen oder regionalen Einschränkungen. Nehmen Sie die Banking-App separat aus dem VPN heraus und verbinden Sie sich neu.

Frage: Brauche ich Private DNS mit VPN?
Antwort: Meist nicht. Am besten nutzen Sie DNS-Server, die das VPN bereitstellt, um Leaks und Unregelmäßigkeiten zu vermeiden.

Frage: Wie importiere ich IKEv2-Profile?
Antwort: Über Einstellungen → VPN → VPN hinzufügen → IKEv2/IPSec auswählen, Adresse, IDs, Schlüssel oder Zertifikate eingeben und speichern. Verbinden und IP prüfen.

Frage: Was tun bei Verbindungsabbrüchen im mobilen Netz?
Antwort: Aktivieren Sie uneingeschränkten Datenzugriff für den Client, deaktivieren Sie aggressives Energiesparen, reduzieren Sie MTU auf 1280 und wählen Sie einen nahegelegenen Server.

Frage: Kann ich Internet mit VPN über Hotspot teilen?
Antwort: Android routet VPN-Datenverkehr in Hotspots normalerweise nicht. Das hängt vom Gerät und Client ab. Nutzen Sie VPN direkt auf dem Client-Gerät oder einen Router mit VPN.

Frage: Wie wechsle ich schnell zwischen Servern?
Antwort: Legen Sie mehrere Profile für verschiedene Städte im Client an und fügen Sie eine Schnellzugriff-Kachel hinzu. Wechseln geht dann mit zwei Fingertipps.

Fazit

Sie haben den kompletten VPN-Einrichtungsprozess auf Android 15/16 durchlaufen: Client installiert und verbunden, Always-on aktiviert, Blockierung ohne VPN eingestellt, Per-app-Regeln definiert, Profile für Privat- und Arbeitsnutzung angelegt, Performance optimiert und Leaks ausgeschlossen. Nun nutzt Ihr Smartphone stabil und sicher VPN, stellt den Schutz nach Neustarts automatisch wieder her und lässt keinen Datenverkehr am Tunnel vorbei. Wenn Sie einen verlässlichen dedizierten IP-Zugang und fertige Konfigurationen für verschiedene Protokolle suchen, empfehlen wir einen personalisierten Server bei einem bewährten Anbieter – Sie erhalten individuelle Parameter und eine blitzschnelle Aktivierung. Als Nächstes können Sie sich mit Automatisierung beschäftigen, eigene Überwachungsskripte für den Server schreiben, feinere Split-Tunneling-Regeln testen und neue Android-Versionen frühzeitig berücksichtigen, um Änderungen an Hintergrunddiensten und Profilen vorzubereiten. Sie haben die wichtigste Basis geschaffen – eine sichere VPN-Grundlage auf Ihrem Android.

Tipp: Überprüfen Sie einmal im Monat die VPN-Einstellungen, um sicherzugehen, dass Profile aktuell sind und Updates keine wichtigen Always-on- oder Blockier-Modi deaktiviert haben.

⚠️ Achtung: Änderungen am Profil führen dazu, dass der Tunnel ein paar Sekunden inaktiv ist. Vor wichtigen Änderungen verbinden Sie sich mit WLAN und schalten die Blockierung ohne VPN temporär aus, um nicht versehentlich auf wichtige Ressourcen zu verzichten. Nach Abschluss aktivieren Sie die Blockierung wieder.

✅ Kontrolle: Vergewissern Sie sich zum Abschluss, dass nach Neustart das VPN-Symbol automatisch erscheint, Webseiten laden und von VPN ausgenommene Apps direkt verbinden, wie eingestellt.