Magenta Österreich limitiert meinen VPN? Warum Cisco AnyConnect im Homeoffice plötzlich langsam wird
Ich hatte Magenta innerlich schon verurteilt.
Am Wiener Anschluss lief mein Firmenlaptop mit Cisco AnyConnect ordentlich. An einem zweiten Arbeitsplatz in der Steiermark passierte dagegen etwas Merkwürdiges: Ohne VPN kamen rund 70 Mbit/s an. Sobald AnyConnect verbunden war, fiel der Download in den einstelligen Bereich.
Gleicher Laptop. Gleiche Firma. Gleicher VPN-Zugang.
Nur ein anderer Magenta-Anschluss.
Ich startete den Router neu, wechselte vom WLAN auf LAN und wiederholte den Test. Direkt ins Internet: schnell. AnyConnect: langsam.
Das sah so eindeutig aus, dass meine Diagnose feststand:
Magenta limitiert meinen Firmen-VPN.
Dann machte ich einen zweiten VPN-Test – und genau der brachte diese Erklärung ins Wanken.
Kurzfassung und Einordnung
Drosselt Magenta Österreich den Firmen-VPN – oder ist genau der Cisco-Tunnel das Problem?
Ein langsamer AnyConnect-Tunnel beweist noch keine allgemeine VPN-Drosselung. Im beschriebenen Test lief ein unabhängiger VPN-Tunnel auf demselben Magenta-Anschluss deutlich näher an der normalen Leitung; in Cisco Secure Client zeigte sich zugleich TLS statt DTLS. Damit wurde aus der pauschalen Provider-Vermutung eine konkretere Diagnose für den Firmen-VPN.
Was sich aus dem Ablauf sinnvoll ableiten lässt
- Geeignet für: Homeoffice-Nutzer, bei denen Cisco AnyConnect an einem bestimmten Anschluss plötzlich stark langsamer ist als die Leitung ohne Firmen-VPN.
- Zuerst prüfen: Leitung ohne Firmen-VPN testen, danach auf demselben Anschluss einen unabhängigen verschlüsselten Tunnel als Gegenprobe verwenden und anschließend in Cisco Secure Client nachsehen, ob DTLS oder nur TLS aktiv ist.
- Wichtige Grenze: Der Artikel kann nicht feststellen, ob Router, Provider-Netz oder Unternehmensseite UDP beziehungsweise DTLS konkret beeinflusst. Interne Systeme bleiben an die Firmenrichtlinie und Cisco gebunden.
- OnlydogVPN passt hier nur, weil: es im Artikel als unabhängiger Gegencheck und später für normale Internetaufgaben diente, die laut Unternehmensrichtlinie nicht durch AnyConnect mussten. Es ersetzt den vorgeschriebenen Firmenzugang nicht.
Im Artikel vorhandener Produktlink: OnlydogVPN.
Ein langsamer Firmen-VPN ist noch keine Drosselung
Magenta empfiehlt für seinen eigenen Speedtest ausdrücklich, eine aktive VPN-Verbindung vorher zu deaktivieren. Das ist logisch: Sobald ein VPN dazwischenliegt, misst man nicht mehr nur den Internetanschluss, sondern zusätzlich Tunnel, Verschlüsselung und den Weg zum entfernten VPN-Gateway.
Mein Unterschied war allerdings so groß, dass ich ihn nicht einfach als normalen VPN-Verlust abhaken wollte.
Auch andere Magenta-Nutzer haben bei Cisco AnyConnect auffällig unterschiedliche Ergebnisse zwischen österreichischen Anschlüssen beschrieben. Das war für mich vor allem ein Hinweis darauf, nicht noch zehnmal denselben Speedtest zu wiederholen.
Ich brauchte eine bessere Gegenprobe:
Ist auf diesem Anschluss jeder VPN langsam – oder nur mein Firmen-VPN?
Der zweite VPN war zunächst nur ein Diagnosewerkzeug
Ich trennte AnyConnect und öffnete OnlydogVPN↗.
Dabei ging es mir zunächst nicht darum, den Firmenzugang zu ersetzen. Interne Systeme durfte ich ohnehin nur über Cisco erreichen. Ich wollte lediglich denselben Magenta-Anschluss durch einen anderen verschlüsselten Tunnel schicken.
Verbunden. Speedtest gestartet. Die Geschwindigkeit lag wieder deutlich näher an der normalen Leitung.
Dann lud ich eine größere Präsentation in Microsoft 365 hoch und öffnete Teams – Dienste, die in unserem Arbeitsumfeld auch außerhalb des internen Firmen-VPN erreichbar waren.
Der Upload lief. Teams öffnete sich normal. Kein einstelliger Flaschenhals.
Damit war das AnyConnect-Problem noch nicht repariert. Aber meine ursprüngliche Diagnose war deutlich schwächer geworden.
Der Magenta-Anschluss konnte einen VPN-Tunnel offenbar schnell transportieren.
Das lenkte den Blick weg von der pauschalen Frage „Drosselt Magenta VPNs?“ und hin zu etwas viel Konkreterem:
Was passiert mit genau dieser Cisco-Verbindung?
Die entscheidende Information stand in AnyConnect selbst
Ich öffnete die Verbindungsstatistik des Cisco Secure Client. Dort fiel eine kleine Zeile auf: Protocol: TLS
An dem Anschluss, an dem die Verbindung besser lief, hatte ich zuvor DTLS gesehen.
Damit ergab der Geschwindigkeitsunterschied plötzlich mehr Sinn.
Cisco AnyConnect baut die Verbindung zunächst über TLS auf. Wenn der entsprechende UDP-Weg verfügbar ist, kann der eigentliche Datenverkehr über DTLS laufen. Cisco empfiehlt DTLS gerade deshalb für besseren VPN-Durchsatz.
Fällt dieser Weg weg, bleibt der Tunnel über TLS bestehen. Der Nutzer sieht also weiterhin: Connected.
Aber „verbunden“ bedeutet nicht automatisch, dass AnyConnect den günstigsten Transportweg verwendet.
Das war die erste Erklärung, die sowohl zu meinem Speedtest als auch zum Verhalten im Arbeitsalltag passte.
Warum sich TLS im Homeoffice so viel schlechter anfühlen kann
Ich brauchte dafür keine lange Protokollanalyse.
Der praktische Unterschied war schon sichtbar.
Über den langsamen Tunnel fühlten sich größere Downloads schwerfällig an. Dateiübertragungen zogen sich. Seiten aus dem Firmennetz reagierten verzögert.
Über die funktionierende DTLS-Verbindung war derselbe Arbeitsablauf wesentlich flüssiger.
Cisco beschreibt den Grund recht nüchtern: DTLS vermeidet einen Teil des zusätzlichen Overheads, der bei einem TCP-basierten TLS-Tunnel entstehen kann.
Damit wurde auch klar, warum ein Serverwechsel allein mein Problem nicht unbedingt lösen musste.
Wenn AnyConnect nach jedem Wechsel wieder im selben TLS-Fallback landete, änderte ich zwar den Endpunkt – nicht aber den Engpass, den ich tatsächlich spürte.
Und damit änderte sich auch die Supportfrage. Nicht mehr: „Mein Magenta-Internet ist mit VPN langsam.“ Sondern:
„Ohne VPN ist die Leitung schnell, ein anderer VPN-Tunnel funktioniert ebenfalls schnell, aber Cisco AnyConnect fällt an diesem Anschluss auf TLS statt DTLS zurück.“
Mit dieser Information kann eine Firmen-IT deutlich mehr anfangen.
Ich musste Magenta dafür weder freisprechen noch verurteilen
Der problematische Weg führt weiterhin durch Router, Anschluss, Provider-Netz und Firmen-Gateway. UDP 443 kann an verschiedenen Stellen blockiert oder ungünstig behandelt werden.
Ich kann von außen nicht beobachten, welche interne Regel im Magenta-Netz, im Router oder auf der Unternehmensseite dazu führte, dass die Cisco-Verbindung an diesem Anschluss anders arbeitete.
Für meine Entscheidung war das aber nicht mehr entscheidend. Der Gegenversuch hatte bereits etwas Wichtigeres gezeigt: „VPN an“ war nicht automatisch das Problem. Ein VPN-Tunnel auf derselben Leitung lief gut. Der Firmen-VPN tat es nicht. Und Cisco lieferte mit TLS statt DTLS einen konkreten Ansatzpunkt dafür.
Für meinen Arbeitstag wurde die kleinere App trotzdem wichtig
Während die IT den Firmenzugang prüfte, musste ich weiterarbeiten.
Für interne Dateifreigaben und andere geschützte Systeme blieb Cisco vorgeschrieben. Dort gab es nichts zu diskutieren.
Aber warum sollte ich deshalb auch Teams, Browser, Cloud-Dokumente und normale Uploads durch denselben langsamen Firmen-Tunnel schicken, wenn die Unternehmensrichtlinie das nicht verlangte?
Für diese Aufgaben nutzte ich wieder die kleinere App.
Sie arbeitet mit einem HTTP/3-basierten Transport und ist darauf ausgelegt, mit wechselnden oder schwierigen Netzwerkbedingungen umzugehen. Für mich war daran vor allem eines angenehm: Ich musste nicht erst Server und Protokolle durchprobieren, um wieder eine brauchbare Verbindung für meine normalen Internetaufgaben zu bekommen.
Verbindung wählen. Zurück zur Arbeit. Der Upload lief weiter. Teams blieb benutzbar. Der Browser fühlte sich wieder wie der Browser an. Das war keine Konkurrenz zu AnyConnect. Es war eine sinnvolle Trennung der Aufgaben.
Cisco für das Firmennetz. Die kleinere Verbindung für alles, was nicht zwingend durch das Firmennetz musste.
Damit machte ein Problem mit einem einzigen Unternehmens-Tunnel nicht mehr automatisch meinen gesamten Homeoffice-Tag langsam.
Der eigentliche Test dauerte weniger als fünf Minuten
Wenn Cisco AnyConnect an einem Magenta-Anschluss plötzlich auf einen Bruchteil der normalen Geschwindigkeit fällt, würde ich heute nicht zuerst über die gebuchten Mbit/s diskutieren.
Ich würde drei Dinge tun. Zuerst die Leitung ohne Firmen-VPN testen. Dann auf demselben Anschluss einen unabhängigen VPN-Tunnel ausprobieren. Und wenn dieser normal läuft, die Statistik von Cisco Secure Client öffnen. Steht dort DTLS, würde ich weiter nach anderen Ursachen suchen.
Steht dort nur TLS, hätte meine Firmen-IT sofort einen wesentlich besseren Ausgangspunkt.
Gerade im österreichischen Homeoffice ist das kein exotischer Spezialfall. Magenta berichtete 2025, dass Homeoffice weiterhin bei einem großen Teil der befragten Unternehmen eingesetzt wird und technische Voraussetzungen nach wie vor zu den Hindernissen gehören.
Ein VPN kann deshalb offiziell „verbunden“ sein und trotzdem genau das sein, was den Arbeitstag ausbremst.
Mein Fehler war, die falsche Frage zu stellen. Ich hatte gefragt: „Warum ist Magenta mit VPN so langsam?“ Der zweite Tunnel zwang mich zu einer präziseren Frage: „Warum ist genau Cisco AnyConnect auf diesem Anschluss langsam?“ Das war der Unterschied, der das Problem endlich eingrenzte. Der normale Speedtest zeigte, dass Bandbreite vorhanden war.
Die kleinere App zeigte, dass ein verschlüsselter Tunnel diese Bandbreite auch nutzen konnte.
Und die Cisco-Statistik zeigte, warum mein Firmen-VPN trotzdem hinterherhinkte.
Wenn AnyConnect im Homeoffice plötzlich langsam wird, ist deshalb nicht die Zahl im Magenta-Speedtest mein wichtigster Hinweis.
Es ist die kleine Zeile in Cisco, die verrät, wie der Tunnel tatsächlich gerade läuft.
Häufige Fragen
Beweist ein starker Geschwindigkeitseinbruch mit Cisco AnyConnect, dass Magenta VPN-Verkehr drosselt?
Nein. Der Unterschied zeigt zunächst nur, dass die Verbindung mit genau diesem Tunnel langsamer ist. Eine sinnvolle Gegenprobe ist, auf demselben Anschluss einen unabhängigen VPN-Tunnel zu testen und danach die Cisco-Verbindungsstatistik zu prüfen.
Warum ist TLS statt DTLS bei AnyConnect ein wichtiger Hinweis?
Im beschriebenen Fall lief der langsamere Anschluss über TLS, während am besser funktionierenden Anschluss zuvor DTLS zu sehen war. Der Artikel verweist darauf, dass DTLS den Datenverkehr ohne den zusätzlichen TCP-basierten Overhead eines reinen TLS-Tunnels transportieren kann.
Welche Tests sollte ich vor einer Support-Anfrage machen?
Testen Sie zuerst die Leitung ohne Firmen-VPN, dann einen unabhängigen verschlüsselten Tunnel auf demselben Anschluss und öffnen Sie anschließend die Statistik von Cisco Secure Client. Die Kombination aus normaler Leitung, funktionierendem Gegen-Tunnel und TLS-Fallback ist für die Firmen-IT konkreter als die Aussage „VPN ist langsam“.
Kann ein zweiter VPN den Firmen-VPN ersetzen?
Nicht für Systeme, die laut Unternehmensrichtlinie ausschließlich über Cisco erreichbar sein dürfen. Im Artikel wurde der zweite Tunnel nur für Diagnose und für normale Internetdienste genutzt, die nicht zwingend durch den Firmenzugang laufen mussten.