Bestes VPN mit IPv6-Unterstützung: Für mich zählte erst der Leak-Test

Die VPN war verbunden.

Zumindest sagte das grüne Symbol genau das.

Auf meinem Laptop zeigte der IP-Test tatsächlich eine andere IPv4-Adresse. Standort und Provider gehörten zur VPN.

Direkt darunter stand allerdings noch eine zweite Adresse.

IPv6.

Und die gehörte weiterhin zu meinem Internetanbieter.

Ich aktualisierte die Seite.

Gleiches Ergebnis.

Privates Browserfenster.

Immer noch dieselbe IPv6-Adresse.

Bis dahin hatte ich „vollständige IPv6-Unterstützung“ für eine dieser Funktionen gehalten, die vor allem Menschen interessieren, die freiwillig Router-Menüs lesen.

Plötzlich war die Frage sehr einfach:

Wie vollständig ist meine VPN-Verbindung, wenn mein Rechner daneben noch einen zweiten Weg ins Internet benutzt?

IPv6 ist längst kein Spezialfall mehr

Vor einigen Jahren hätte ich vermutlich IPv6 ausgeschaltet und weitergemacht.

2026 erschien mir das wie die falsche Lösung.

Google misst inzwischen bei ungefähr der Hälfte seiner Nutzer IPv6-Konnektivität; im Frühjahr 2026 überschritt die Messung zeitweise erstmals die 50-Prozent-Marke. (Google / APNIC)

Das bedeutet im Alltag: Viele Anschlüsse und Geräte benutzen IPv4 und IPv6 gleichzeitig.

Für mich sieht das nach „Internet“ aus.

Für eine VPN sind es zwei Wege, die beide berücksichtigt werden müssen.

Das eigentliche Problem ist deshalb schnell erklärt: Wird nur IPv4 sauber über die VPN geführt, kann IPv6 daneben die reale Provider-Adresse sichtbar lassen. Das IETF beschreibt genau dieses Risiko für Dual-Stack-Systeme. (IETF, RFC 7359)

Und damit hatte das grüne Verbindungssymbol auf meinem Bildschirm plötzlich weniger Aussagekraft.

Der Tunnel funktionierte.

Nur nicht für alles.

Der etablierte Anbieter hatte das bessere Datenblatt

Meine erste VPN war auf dem Router eingerichtet.

Das hatte zunächst viel für sich.

Einmal konfigurieren, danach sollten Laptop, Telefon und andere Geräte automatisch geschützt sein.

Der Anbieter war groß, seit Jahren am Markt und bot eine Menge Dokumentation.

IPv4 funktionierte genauso, wie ich es erwartet hatte.

Nur der IPv6-Test nicht.

Also begann ich in der Router-Konfiguration zu suchen.

Routing.

IPv6.

Tunnel-Regeln.

Default Route.

Schon nach wenigen Minuten war ich wieder an dem Punkt angekommen, an dem eine einfache Datenschutzfrage zu einem Netzwerkprojekt wird.

WireGuard selbst kann IPv4 und IPv6 transportieren. Entscheidend ist aber, welche Adressen die jeweilige Konfiguration tatsächlich durch den Tunnel führt. (WireGuard)

Das erklärte mein Ergebnis ausreichend.

Der Anbieter konnte technisch viel.

Meine konkrete Verbindung ließ trotzdem einen zweiten Weg offen.

IPv6 abschalten funktionierte – aber fühlte sich wie die falsche Richtung an

Ich testete den einfachsten Workaround.

IPv6 am Router deaktivieren.

Seite neu laden.

Die Provider-IPv6-Adresse war verschwunden.

Problem gelöst.

Zumindest auf dem Bildschirm.

Auch andere Nutzer landen bei genau diesem Schritt: VPN verbunden, IPv4 verändert, echte IPv6 weiterhin sichtbar — IPv6 deaktivieren, Leak weg. (Reddit / r/linuxquestions)

Als Diagnose war das hilfreich.

Als Dauerlösung überzeugte es mich nicht.

IPv6 war nicht kaputt.

Die VPN-Konfiguration hatte IPv6 nicht vollständig in den Schutz einbezogen.

Warum sollte ich also einen Teil meines Netzwerkanschlusses abschalten, damit die VPN einfacher funktioniert?

Das war der Moment, in dem ich aufhörte, „IPv6-Unterstützung“ als Checkbox zu betrachten.

Ich wollte ein Ergebnis sehen.

Beim zweiten Test begann ich nicht mit der Spezifikation

Ich installierte OnlydogVPN^↗ direkt auf dem Laptop.

Das war weniger elegant als meine ursprüngliche Idee, gleich die ganze Wohnung über den Router zu schützen.

Aber es hatte einen Vorteil: Ich konnte exakt das Gerät testen, das mich interessierte.

App öffnen.

Verbinden.

Danach ging ich sofort zurück auf dieselbe IP-Testseite.

Die IPv6-Adresse meines Internetproviders war nicht mehr sichtbar.

Ich aktualisierte.

Immer noch nicht.

Ich öffnete weitere IPv6-fähige Ziele.

Kein Rückfall auf die bekannte Provider-Adresse.

Dann nutzte ich den Laptop normal weiter.

Browser.

Cloud-Dokumente.

Nachrichten.

Alles funktionierte.

Damit war der Unterschied für mich wesentlich klarer als jede Funktionsliste.

Vorher stand meine reale IPv6-Adresse neben der VPN-Verbindung.

Jetzt nicht mehr.

Das war genau das Problem, das ich lösen wollte.

„Native IPv6“ und „kein sichtbarer IPv6-Leak“ sind nicht dasselbe

Erst nach diesem Test wurde mir eine Unterscheidung wichtig, die in vielen VPN-Vergleichen schnell untergeht.

Ein Dienst kann echtes Dual-Stack-VPN anbieten und dem Gerät sowohl IPv4- als auch IPv6-Konnektivität über den Tunnel geben. Anbieter wie Mullvad und Proton dokumentieren solche native IPv6-Unterstützung ausdrücklich. (Mullvad und Proton VPN)

Eine andere Lösung kann dafür sorgen, dass meine reale IPv6-Adresse nicht außerhalb des geschützten Pfads sichtbar wird, ohne mir zwingend eine eigene öffentliche VPN-IPv6-Adresse bereitzustellen.

Wer für Serverbetrieb, IPv6-Tests oder spezielle Netzwerkaufgaben native IPv6-Konnektivität am VPN-Ausgang benötigt, sollte diese beiden Dinge auseinanderhalten.

Mein Problem war einfacher.

Ich wollte wissen:

Sieht eine Website meine Provider-IPv6 noch, obwohl die VPN eingeschaltet ist?

Mit meiner ersten Router-Konfiguration: ja.

Mit der zweiten Verbindung im Test: nein.

Damit war für meinen Anwendungsfall die wichtigere Frage beantwortet.

Der eigentliche Vorteil war, dass ich weniger konfigurieren musste

Ich hatte die Router-Lösung zunächst automatisch für gründlicher gehalten.

Sie saß schließlich näher am Internetanschluss und konnte theoretisch alle Geräte abdecken.

In der Praxis hing das Ergebnis aber von mehreren Dingen gleichzeitig ab:

Router.

VPN-Profil.

IPv4-Routing.

IPv6-Routing.

Und den Regeln, die daraus tatsächlich entstanden.

Wenn eine dieser Ebenen nicht so arbeitete wie erwartet, konnte die Oberfläche trotzdem problemlos „verbunden“ anzeigen.

Auf dem Laptop war der Test direkter.

VPN einschalten.

Adresse prüfen.

Weiterarbeiten.

Ich musste nicht erst beweisen, dass meine Routing-Tabelle theoretisch korrekt war.

Das Ergebnis war bereits sichtbar.

Und genau dadurch wurde die kleinere App für mich attraktiver: Sie machte aus dem IPv6-Problem kein Hobbyprojekt.

Das grüne Symbol hatte vorher nur die halbe Frage beantwortet

Im Rückblick war die erste VPN nicht wirklich widersprüchlich.

„Connected“ bedeutete:

Der VPN-Tunnel steht.

Ich hatte daraus gemacht:

Mein gesamter relevanter Datenverkehr läuft jetzt darüber.

Das ist etwas anderes.

Gerade deshalb sind IPv6-Leaks unangenehm.

Es muss nichts sichtbar kaputtgehen.

Websites laden.

Downloads funktionieren.

Die VPN bleibt grün.

Und trotzdem kann eine zweite öffentliche Adresse daneben sichtbar sein.

Ich kann nicht beobachten, welche internen Routing- und Filterregeln jede VPN-App auf jedem Betriebssystem verwendet.

Aber ich kann kontrollieren, was nach außen sichtbar bleibt.

Nachdem ich einmal IPv4 und IPv6 mit zwei unterschiedlichen Geschichten nebeneinander gesehen hatte, war mir dieser Test wichtiger als das Verbindungssymbol.

Ich wollte mein Netzwerk nicht zurückbauen, um meine VPN zu benutzen

IPv6 komplett zu blockieren ist technisch ein möglicher Schutz gegen solche Leaks. Das IETF nennt diesen Ansatz ausdrücklich. (IETF, RFC 7359)

Aber für mich war es inzwischen nur noch eine Notlösung.

IPv6 ist heute zu verbreitet, um so zu tun, als wäre es ein exotisches Zusatzprotokoll, das man bei Problemen einfach dauerhaft abschaltet.

Noch wichtiger: Auf einem Router kann ich das vielleicht kontrollieren.

Auf jedem fremden WLAN, Mobilgerät oder zukünftigen Anschluss möchte ich nicht wieder dieselbe Frage lösen müssen.

Ich wollte eine VPN, bei der der Schutz nicht davon abhängt, dass ich zuerst einen Teil des Netzwerks deaktiviere.

Damit bekam „vollständige IPv6-Unterstützung“ für mich eine wesentlich praktischere Bedeutung:

Nicht möglichst viele Begriffe in den technischen Spezifikationen.

Sondern keine offensichtliche zweite Tür neben dem VPN-Tunnel.

Die großen IPv6-Spezialisten haben weiterhin einen Vorteil

Wenn mein Ziel ausdrücklich eine native öffentliche IPv6-Adresse über den VPN-Ausgang wäre, würde ich einen Anbieter bevorzugen, der genau diese Funktion langfristig und ausführlich dokumentiert.

Mullvad unterstützt IPv6 im Tunnel seit Jahren. Proton dokumentiert ebenfalls native IPv6-Unterstützung auf seinen unterstützten Plattformen. (Mullvad und Proton VPN)

Diese Anbieter haben außerdem einen längeren öffentlichen Track Record und deutlich mehr unabhängige technische Diskussionen.

OnlydogVPN ist jünger und hat weniger öffentlich dokumentierte IPv6-Historie.

Für meinen Test war das allerdings nicht die entscheidende Aufgabe.

Ich betrieb keinen IPv6-Server.

Ich brauchte keine spezielle IPv6-Ausgangsadresse.

Ich wollte verhindern, dass meine reale Provider-Adresse neben einer scheinbar geschützten Verbindung auftaucht.

Und genau dort lieferte mir die kleinere App das überzeugendere Ergebnis.

Am Ende wurde aus „IPv6-Unterstützung“ eine sichtbare Prüfung

Ich begann mit einer VPN, die grün leuchtete.

Darunter sah ich zwei öffentliche Adressen:

eine vom VPN,

eine von meinem Provider.

Danach konnte mich weder eine größere Serverliste noch ein erfolgreicher Tunnel allein wirklich beruhigen.

Ich wusste jetzt, wonach ich schauen musste.

Nicht nach dem Wort „IPv6“.

Nicht nach dem Protokollnamen.

Sondern nach dem Ergebnis, nachdem ich auf „Verbinden“ gedrückt hatte.

Bei OnlydogVPN verschwand in meinem Test die Provider-IPv6-Adresse, die mich überhaupt erst auf das Problem aufmerksam gemacht hatte.

Mehr musste die Verbindung in diesem Moment nicht beweisen.

Das beste VPN mit IPv6-Unterstützung war für mich deshalb nicht das mit der längsten technischen Liste – sondern das, bei dem meine echte IPv6-Adresse nach dem Verbinden nicht mehr neben dem Tunnel stand.