Am 4. August 2026 hörten Dutzende von Umgehungsdiensten in Russland fast gleichzeitig auf zu funktionieren. Die Probleme wurden von den Teams von Paper VPN, Amnezia, VPN Generator, VPN Legend, GaMMa VPN, LTVPN, ABS und FoxyBot bestätigt – insgesamt waren mehr als 20 Dienste unterschiedlicher Größe betroffen. Die Roskomnadzor hat die Situation offiziell nicht kommentiert, aber das Bild des Ausfalls spricht für sich selbst: Die Dienste fielen nicht einzeln, sondern in Gruppen, die an bestimmte Hosting-Plattformen gebunden waren.
Es ist nicht einfach „eine weitere Welle von Blockierungen“. Das Objekt selbst hat sich verändert: Unter den Filter fallen nicht das Protokoll oder die Anwendung, sondern der Adressraum – einzelne IPs und ganze Subnetze von Hosting-Anbietern, auf deren Servern die Infrastruktur zur Umgehung läuft. Lassen Sie uns untersuchen, was genau sich geändert hat, warum dies Verbraucher-VPNs effektiver als jede DPI bricht und was dies für diejenigen bedeutet, die Zugang zu externen Diensten benötigen.
Was am 4. August geschah: Ausfall an den Grenzen der Hosting-Anbieter
Äußerlich sah es wie ein gewöhnlicher Ausfall aus: Benutzer beschwerten sich über die Unmöglichkeit, sich zu verbinden, oder über extrem instabile Verbindungen. Aber ein Ausfall kann nicht synchron bei acht unabhängigen Teams auftreten, die durch nichts anderes verbunden sind als durch gemietete Kapazitäten.
Fachzeitschriften (Anti-Malware.ru, SecurityLab) beschrieben die Mechanik einheitlich: Unter die Einschränkungen fielen IP-Adressen und ganze Subnetze großer Hosting-Anbieter. Wenn ein ganzes Adressbereich in den Filter geht, fallen gleichzeitig viele Verbindungen aus – und die Dienste, die Kapazitäten von einem Anbieter gemietet haben, schalten sich innerhalb einer Minute ab, obwohl technisch gesehen nichts Gemeinsames zwischen ihnen besteht.
Beeindruckend sind auch die Kommentare von Experten. Der Anwalt Sarkis Darbinyan wies auf mehrere Erkennungskanäle hin: eingebaute VPN-Detektoren in russischen Anwendungen und der banale Kauf von Premium-Konten, um eine aktuelle Liste von Servern des Dienstes von innen zu erhalten. Michail Klimarev sprach von der Entdeckung mehrerer Dutzend autonomer Systeme, über die die Umgehungsdienste arbeiteten.
Der zweite Punkt sollte noch einmal gelesen werden. Ein massenhaftes Verbraucher-VPN muss dem Kunden eine Liste von Servern bereitstellen – andernfalls kann die Anwendung keine Verbindung herstellen. Das bedeutet, dass jeder, der ein Abonnement bezahlt hat, eine vollständige Karte der Infrastruktur des Dienstes erhält. Das ist kein Hack und keine komplexe Aufklärung, sondern ein einziger Kauf.
Dynamik: von 197 Diensten auf 469 innerhalb von anderthalb Jahren
Blockierungen anhand von Listen gab es schon früher, aber das Tempo hat deutlich zugenommen. Laut Roskomnadzor war Ende Februar 2026 der Zugang zu 469 VPN-Diensten eingeschränkt. Zum Vergleich: Im Oktober 2024 waren es 197, im Oktober 2025 – 258. Das heißt, in den vier Monaten des Winters ist die Liste fast doppelt so lang geworden.
Parallel dazu wurden ab Dezember 2025 die Einschränkungen für bestimmte Protokolle – SOCKS5, VLESS und L2TP – verstärkt. Eine separate Linie betrifft Telegram: Die Einschränkungen gelten seit Sommer 2025 und wurden im Februar 2026 deutlich verschärft, während Beschwerden über das Hochladen von Fotos und Videos bis heute registriert werden (laut Downdetector – etwa 500 Anfragen pro Tag am 20. August).
Ein wichtiger Punkt für diejenigen, die versuchen, das Problem mit Einstellungen zu beheben: Bei der Analyse der August-Welle war das Hauptkriterium für die Auswahl der Standardport. Wenn nur der 443. Port geschlossen ist, hilft es tatsächlich, die Verbindung auf einen nicht standardmäßigen Port zu verlagern – aber genau bis zu dem Zeitpunkt, an dem die Auswahl nicht mehr nach Portnummer, sondern nach der Art der Serverantwort erfolgt. Dann wird der Umzug nur die Blockierung hinauszögern.
Die zweite Schicht: Bereinigung der „Whitelist“ und die neue Rolle des Hosters
Das Interessanteste an der August-Geschichte ist nicht die Blockierung selbst, sondern das, was ein paar Tage davor diskutiert wurde. Das Ministerium für digitale Entwicklung brachte den Mechanismus zur ständigen Überprüfung von IP-Adressen aus der „Whitelist“ des Zentrums für Monitoring und Verwaltung des öffentlichen Kommunikationsnetzes zur Diskussion – eine Liste von Ausnahmen, in die legale Unternehmens-VPNs aufgenommen werden.
Die Logik des diskutierten Schemas ist folgende:
- Wenn das Monitoring innerhalb einer Woche Anzeichen einer VPN-Infrastruktur an der Adresse sieht, erhält der Hoster eine Anfrage;
- Der Anbieter hat 24 Stunden, um die Rechtmäßigkeit der Serverzuweisungen zu bestätigen;
- Wenn der Kunde eine minimale Identifizierung durchlaufen hat – nur eine Telefonnummer oder eine Bankkarte – können die Dienste innerhalb von 30 Minuten abgeschaltet werden;
- Wenn der Kunde über „Gosuslugi“, Biometrie oder als juristische Person verifiziert ist, wird zunächst angeboten, die Infrastruktur zu entfernen;
- Ein Hoster, der systematisch solche Fälle bei schwacher Kundenprüfung zulässt, droht der Status eines unzuverlässigen Anbieters – und damit die Einschränkung ganzer Subnetze des Unternehmens mit Zugang nur zu Ressourcen aus der „Whitelist“.
Ich betone: Dies sind diskutierte Vorschläge, keine geltenden Regeln – die Kriterien, Fristen für den Start und die Anwendung sind nicht genehmigt. Aber die Richtung ist eindeutig: Die Pflicht, Umgehungsdienste zu suchen, wird auf den Hoster selbst übertragen, und das Instrument ist sein eigenes Adressraum. Seit Februar 2024 dürfen nur Unternehmen aus dem Register von Roskomnadzor in Russland Hosting anbieten – im Juli 2026 sind darin 584 Anbieter enthalten, und dies ist eine fertige Liste von Verantwortlichen.
Warum dies VPNs besser bricht als DPI
Der klassische Kampf gegen die Umgehung von Blockierungen ist ein Wettlauf um die Tarnung des Traffics: DPI sucht nach dem Protokoll-Signatur, die Entwickler verstecken es unter gewöhnlichem HTTPS, DPI lernt neu. Das Spiel ist endlos, und die verteidigende Seite gewinnt regelmäßig Runden: Protokolle, die den Traffic unter gewöhnlichem HTTPS tarnen, funktionieren im Jahr 2026 deutlich stabiler als „nackte“ Standards.
Die Blockierung nach Adressen umgeht diesen Wettkampf. Es ist egal, wie gut Ihr Traffic getarnt ist, wenn die Zieladresse selbst nicht verfügbar ist. Angegriffen wird nicht das Signatur, sondern der knappe Ressource – saubere IPs auf einer freundlichen Plattform. Und diese Ressource ist bei Verbraucher-VPNs maximal anfällig: mehrere Hundert Server bei mehreren Hostern, öffentlicher Client mit vollständiger Liste von Adressen, ein einziger Ausfallpunkt auf der Ebene des autonomen Systems.
Drei Ebenen, auf denen heute der Zugang eingeschränkt wird
Um die Ursachen nicht zu verwechseln und nicht das eine mit dem anderen zu behandeln, ist es nützlich, sich ein einfaches Schema vor Augen zu halten. Die Einschränkungen werden auf drei unabhängigen Ebenen auferlegt, und die Schutzmaßnahmen sind unterschiedlich.
- Protokollebene. DPI sucht nach dem Signatur: Handshake, charakteristische Paketgrößen, Verhalten von TLS. Dies wird durch Tarnung unter gewöhnlichem HTTPS behandelt – und genau hier findet das ewige Rennen statt. Seit Dezember 2025 wird auf dieser Ebene insbesondere Druck auf SOCKS5, VLESS und L2TP ausgeübt.
- Adressenebene. In den Filter gehen IP, Subnetz oder ein ganzes autonomes System. Die Tarnung des Traffics ist hier nutzlos: Die Zieladresse ist einfach nicht verfügbar. Das ist das, was am 4. August passiert ist.
- Anbieter-Ebene. Die Pflicht, die Infrastruktur zur Umgehung zu suchen und abzuschalten, wird auf den Hoster übertragen, und die Sanktion ist die Einschränkung seiner eigenen Subnetze. Während dies ein diskutiertes Schema ist, trifft es alle Kunden der Plattform gleichzeitig, einschließlich derjenigen, die nichts mit VPN zu tun haben.
Ein häufiger Fehler ist es, zu versuchen, das Problem der zweiten Ebene mit Mitteln der ersten zu lösen: das Protokoll und den Port zu ändern, wenn die Adresse bereits auf der Liste steht. Das Symptom ist dabei dasselbe – die Verbindung kann nicht hergestellt werden – die Ursachen sind jedoch unterschiedlich.
Was sich für diejenigen ändert, die Zugang zu externen Diensten benötigen
Hier beginnt der praktische Teil, und es ist wichtig, dies ehrlich zu besprechen, ohne Versprechungen auf Unverwundbarkeit.
Die Oberfläche der Blockierung bei residenten und mobilen Proxys ist anders gestaltet. Die Ausgangsadresse eines solchen Proxys gehört nicht dem Hosting-Anbieter, sondern dem heimischen Internetanbieter oder Mobilfunkanbieter – dem gleichen ASN, aus dem die normalen Abonnenten ausgehen. Ein ganzes Subnetz hier zu blockieren bedeutet, lebende Menschen abzuschalten, weshalb eine massenhafte Bereinigung an den Grenzen des autonomen Systems in diesem Segment nicht so funktioniert, wie sie am 4. August bei den Hostern funktioniert hat. Das erklärt auch, warum mobile Proxys mit einer gemeinsamen CGNAT-Adresse für Hunderte von Abonnenten teurer sind als Rechenzentrumsproxys: Ein solcher Adresse auszusondern ist teuer für die Plattform selbst.
Was das nicht bietet. Proxys heben DPI nicht auf: Wenn die Filterung an das Signatur des Protokolls oder an die Art der TLS-Sitzung anknüpft, wird der Typ der Ausgangs-IP nicht helfen. Er wird auch nicht vor der Blockierung des Dienstes selbst schützen, noch vor den Einschränkungen, die die Plattform auferlegt (Captcha, Anmeldeanforderung, regionale Politik). Eine detaillierte Analyse, wie diese Verteidigungslinie funktioniert, finden Sie im Artikel über Umgehung von Blockierungen bei aktivem DPI.
Was jetzt zu tun ist, wenn Zugang für die Arbeit benötigt wird:
- Halten Sie nicht alles in einem autonomen System. Der August-Ausfall war genau das: ein Anbieter – ein Ausfallpunkt. Der Backup-Kanal sollte über einen grundsätzlich anderen Typ von Adressen laufen, nicht über einen zweiten Server beim gleichen Hoster.
- Unterscheiden Sie die Aufgaben. Der Zugang zu einem externen Dienst für eine Person und die Automatisierung mit Hunderten von Anfragen sind unterschiedliche Szenarien mit unterschiedlichen Anforderungen. Für das zweite ist der Typ der Adresse und die Stabilität der Sitzung wichtiger als die Geschwindigkeit.
- Betrachten Sie den nicht standardmäßigen Port nicht als Lösung. Dies ist eine Verzögerung. Wenn die Auswahl auf die Analyse der Serverantwort übergeht, wird der Umzug auf einen anderen Port nicht mehr helfen.
- Zuerst Diagnose, dann Kauf. Das gleiche Symptom „nichts funktioniert“ kann bei vier verschiedenen Fehlern auftreten, und Proxys helfen nicht in allen Fällen. Wie man in ein paar Minuten regionale Abschaltungen von der Blockierung eines bestimmten Dienstes unterscheidet, wird in der Anleitung zur Diagnose von Abschaltungen erläutert.
- Für Telegram schauen Sie sich das Protokoll separat an. MTProto und SOCKS5 verhalten sich bei der Filterung unterschiedlich, und die Auswahl hier beschränkt sich nicht auf „irgendeinen Proxy zu nehmen“ – Details in dem ehrlichen Leitfaden für Proxys für Telegram.
Fazit
Die August-Welle zeigte einen Strategiewechsel: von der Jagd nach Protokollen zur Arbeit mit Adressräumen und zur Übertragung der Suche auf die Hosting-Anbieter. Für massenhaft Verbraucher-VPNs ist dies ein harter Schlag – ihre Infrastruktur ist kompakt, öffentlich und konzentriert sich auf wenige Anbieter, und die Liste der Server wird zusammen mit dem Abonnement gekauft.
Für den Zugang, der für die Arbeit benötigt wird, ist die Schlussfolgerung einfach und langweilig: Die Stabilität wird jetzt nicht durch die „Coolness des Protokolls“ bestimmt, sondern durch die Vielfalt des Adressraums und wie teuer es für die Plattform ist, Ihre Ausgangs-IP zusammen mit normalen Abonnenten auszusondern. Wenn das Ziel stabiler Zugang zu externen Diensten und Automatisierung ist, bieten residente Proxys eine grundsätzlich andere Blockierungsoberfläche als ein Server auf gemietetem Hosting. Kein Zauber, aber eine andere Wirtschaftlichkeit für die andere Seite.
```