VPN-Umgehung verhindern: So schützen Familien und Unternehmen ihren DNS-Filter

Kurz gesagt: Es gibt vier gängige Wege, einen Filter zu umgehen: die DNS-Einstellung des Geräts ändern, eine VPN-App einschalten, eine Proxy-Seite oder -Erweiterung nutzen und Tor. Der Umgehungsschutz von Guardino sperrt die Domainnamen dieser Werkzeuge und öffentlicher DNS-Resolver direkt am Resolver. Eine App, die ihren Server nicht über den Namen findet, kann sich meist nicht verbinden. Der Schutz umfasst rund 17.000 Regeln und ist auf jedem Profil von Anfang an aktiv, auch im kostenlosen Tarif. Für ein Kind wird die Frage „Wie komme ich am Filter vorbei?“ damit zu etwas, das eine heruntergeladene App nicht mehr beantwortet. Für ein Unternehmen bleiben Regeln für die Arbeitszeit und der Sicherheitsfilter für alle gleich. Ein bereits laufendes VPN oder Werkzeuge, die direkt eine IP-Adresse ansteuern, kann er nicht stoppen; nutzen Sie ihn deshalb zusammen mit Geräteeinstellungen.

Ein Filter ist nur so stark wie der einfachste Weg um ihn herum. Sie haben zu Hause Inhalte für Erwachsene gesperrt oder im Büro soziale Netzwerke während der Arbeitszeit pausiert, und die Regel steht. Dann lädt Ihr zwölfjähriges Kind eines Tages ein kostenloses VPN herunter, von dem ein Freund erzählt hat. Oder jemand im Team installiert eine Browser-Erweiterung, die damit wirbt, „jede Seite zu entsperren“. Die Regel gibt es noch, nur nicht mehr für dieses Gerät.

Dieser Leitfaden zeigt, auf welchen Wegen Filter am häufigsten umgangen werden, welche davon der Umgehungsschutz von Guardino schließt und welche nicht. Danach geht es darum, was das für eine Familie und für ein Unternehmen praktisch bedeutet. Am Ende steht ein Drei-Minuten-Test, den Sie selbst durchführen können.

Was ist eine Filterumgehung (DNS-Umgehung)?

Eine Filterumgehung liegt vor, wenn ein Gerät seine DNS-Anfragen oder seinen gesamten Datenverkehr dorthin schickt, wo der Filter im Netz ihn nicht sieht.

Warum das funktioniert, zeigt ein Blick auf die Aufgabe von DNS. Bevor eine App sich mit einem Server verbindet, fragt sie dessen Adresse über den Namen ab. Ein DNS-Filter beantwortet diese Anfragen und verweigert die Antwort für schädliche oder gesperrte Namen. Wie Guardino im Alltag eingerichtet wird, beschreibt die Guardino-AI-Anleitung.

Alle Umgehungsmethoden beruhen auf derselben Idee: den Filter nicht fragen. Entweder geht die Anfrage an einen anderen Resolver, oder der gesamte Verkehr läuft durch einen verschlüsselten Tunnel, in den der Filter nicht hineinsieht.

Vier Umgehungswege und was der Umgehungsschutz dagegen tut

1. DNS-Einstellung ändern. Im privaten DNS des Handys oder im sicheren DNS des Browsers wird ein anderer Anbieter eingetragen. Umgehungsschutz: Die Namen öffentlicher Resolver sind gesperrt, eine per Name vorgenommene Einstellung kommt daher meist nicht zustande.
2. VPN-App. Der gesamte Verkehr läuft durch einen verschlüsselten Tunnel zu einem Server an einem anderen Ort. Umgehungsschutz: Findet die App ihren Server nicht über den Namen, entsteht der Tunnel gar nicht erst.
3. Proxy-Seiten und Erweiterungen. Eine andere Seite öffnet die gesperrte Seite und zeigt sie Ihnen an. Umgehungsschutz: Die Namen bekannter Proxy-Dienste sind gesperrt.
4. Tor. Der Verkehr läuft über Knoten, die von Freiwilligen betrieben werden. Umgehungsschutz: Bekannte Tor-bezogene Domainnamen sind gesperrt; ein installierter Tor-Browser kann seine Knoten aber auch über IP-Adressen erreichen.

Der entscheidende Punkt: Die meisten VPN- und Proxy-Apps fragen ihre eigenen Server, Anmelde- und Lizenzdienste über den Namen ab, bevor der Tunnel steht. Bleiben diese Anfragen unbeantwortet, meldet die App, dass keine Verbindung möglich ist. Der Tunnel entsteht nicht, und der Filter bleibt zuständig.

Ist dieser Schutz optional?

Heute nicht. Bei Guardino ist der Umgehungsschutz auf jedem Profil und in jedem Tarif von Anfang an aktiv, auch im kostenlosen, und Sie müssen nichts einschalten. Die Liste ist seit August 2026 auf allen unseren Resolvern geladen und umfasst rund 17.000 Regeln. Die Zahl ändert sich mit jeder Aktualisierung der Liste.

Einen Schalter zum Abschalten pro Profil gibt es noch nicht. Bleibt ein legitimer Dienst hängen, den Sie brauchen, legen Sie im Dashboard unter Eigene Regeln eine einzelne Freigaberegel für diese Domain an. Die Regel kann für ein Profil oder für das ganze Konto gelten.

Eine optionale Zusatzebene gibt es: iCloud Privat-Relay. Solange diese Apple-Funktion aktiv ist, läuft der Safari-Verkehr über die Relay-Server von Apple, und der DNS-Filter in Ihrem Netz sieht ihn nicht. Apple veröffentlicht deshalb eigene Hinweise für Netzwerkverantwortliche. Am einfachsten schalten Sie Privat-Relay auf dem Gerät Ihres Kindes aus. Im Guardino-Dashboard gehört iCloud Private Relay außerdem zu den Diensten, die Sie pro Profil sperren können, in der Gruppe Privatsphäre-Tools unter Inhalte und Apps.

Was der Umgehungsschutz nicht stoppen kann

Zu wissen, was ein Sicherheitsprodukt nicht kann, ist so wichtig wie zu wissen, was es kann. Ein Schutz auf DNS-Ebene kann Folgendes nicht verhindern:

• Ein bereits laufendes VPN. Steht der Tunnel einmal, ist der gesamte Verkehr verschlüsselt, und der DNS-Filter sieht die Anfragen dieses Geräts nicht mehr. Der Umgehungsschutz erschwert den Aufbau des Tunnels; einen bestehenden baut er nicht ab.
• Werkzeuge, die direkt eine IP-Adresse ansteuern. Ein VPN, das seinen Server über die IP-Adresse statt über den Namen findet, oder ein installierter Tor-Browser kann sich verbinden, ohne DNS zu fragen.
• Einen von Hand als IP-Adresse eingetragenen DNS-Server. Zeigt die WLAN-Einstellung eines Geräts direkt auf die IP-Adresse eines anderen DNS-Servers, kommt die Anfrage nie beim Filter an. Unterstützt Ihr Router es, verhindert eine Firewall-Regel, die ausgehendes DNS der Geräte (Port 53) blockiert, genau das.
• Ein anderes Netz. Der Schutz am Router gilt für diese Wohnung oder dieses Büro. Für das Mobilfunknetz oder den Hotspot eines Freundes braucht das Gerät selbst ein Profil.

Diese Liste steht bewusst hier. Wer entschlossen ist und sich auskennt, findet um jeden Filter einen Weg. Aufgabe des Umgehungsschutzes ist nicht, das unmöglich zu machen, sondern die einfachsten und häufigsten Wege zu schließen.

Für Kinder: Abstand zwischen Neugier und schädlichen Inhalten

Der Umgehungsschutz nimmt einem Kind die Neugier nicht. Er verlängert aber den kürzesten Weg zwischen dieser Neugier und schädlichen Inhalten.

Umgehungsversuche beginnen oft mit einem Moment der Neugier, nicht mit einem langen Plan. Ein Freund nennt eine App, ein Video beginnt mit „So kommst du am Schulfilter vorbei“, und ein kostenloses VPN ist in Sekunden aus dem App Store geladen. In einem Netz mit Umgehungsschutz kann sich diese App meist nicht verbinden. Der Impuls läuft ins Leere, und das verschafft Ihnen Zeit für ein Gespräch.

Wie nah dieser Weg ist, wurde im Sommer 2025 in Großbritannien sichtbar. Als dort am 25. Juli Altersprüfungen für Inhalte für Erwachsene verpflichtend wurden, meldete Proton VPN einen stündlichen Anstieg der Anmeldungen um 1.400 % gegenüber dem Normalwert. Ob dieses Gesetz richtig ist, ist nicht Thema dieses Leitfadens. Entscheidend ist: Hat ein Kind einmal gelernt, ein VPN zu installieren, schaltet dieselbe App alle Filter zu Hause ab. Jugendschutzfilter, Glücksspielsperre und SafeSearch fallen auf diesem Gerät gleichzeitig weg.

Kostenlose VPNs bergen eigene Risiken. Von 283 Android-VPN-Apps, die Forschende von CSIRO, UNSW und UC Berkeley 2016 untersuchten,

• zeigten 38 % bei der Prüfung durch einen Virenscan-Dienst Spuren von Schadsoftware,
• verschlüsselten 18 % den Tunnel überhaupt nicht,
• nutzten 75 % Tracking-Bibliotheken von Drittanbietern,
• verlangten 82 % Zugriff auf sensible Daten wie Kontakte und Nachrichten.

Die Studie stammt von 2016, heutige Werte können abweichen. Ein kostenloses VPN muss sich aber irgendwie finanzieren, und sobald es verbunden ist, läuft der gesamte Verkehr des Kindes über diesen unbekannten Server. Der Umgehungsschutz erschwert den Aufbau des Tunnels; die App selbst entfernt er nicht vom Handy. Deshalb gehört eine Freigabepflicht für App-Installationen mit in den Plan.

Gut zu wissen: Bei Guardino schaltet ein Kinderprofil SafeSearch direkt am Resolver ein. Das gilt für Google, Bing, DuckDuckGo und YouTube, und ein Browserwechsel oder eine Neuinstallation der App schaltet es nicht ab. Der Umgehungsschutz erschwert es, diese Ebene mit einem einzigen VPN auszuhebeln.

Eine technische Sperre allein reicht nicht. Mit Ihrem Kind darüber zu sprechen, warum der Filter da ist, und gemeinsam festzulegen, was in welchem Alter gesperrt wird, wirkt auf Dauer besser. Alle Einstellungen für Familien finden Sie auf der Seite für Familien.

Für Unternehmen: Eine Regel für alle schützt die Konzentration

Unternehmen setzen Internetregeln aus zwei Gründen: um ablenkende Dienste während der Arbeitszeit zu begrenzen und um Geräte von schädlichen Seiten fernzuhalten. Beide haben dieselbe Schwachstelle. Die Regel gilt nur für die, die kein VPN installieren können.

Was eine unterbrochene Konzentration kostet

Messungen von Gloria Mark an der University of California, Irvine ergaben, dass Büroangestellte 2004 im Schnitt etwa zweieinhalb Minuten auf einem Bildschirm blieben, bevor sie wechselten. In einer Studie von 2016 waren es noch 47 Sekunden. In einer Studie derselben Forscherin von 2005 brauchten Beschäftigte, die noch am selben Tag zu einer unterbrochenen Aufgabe zurückkehrten, im Schnitt 25 Minuten und 26 Sekunden dafür und erledigten unterwegs im Schnitt 2,26 andere Aufgaben.

Diese Zahlen messen, wie leicht Aufmerksamkeit bricht, nicht die Wirkung eines VPNs. Genau deshalb pausieren Unternehmen aber soziale Netzwerke oder Videoplattformen während der Arbeitszeit. Bei Guardino sperrt der Fokusmodus soziale Netzwerke und andere ablenkende Dienste. Ohne Umgehungsschutz ist diese Regel für alle, die eine Erweiterung installieren, in Sekunden verschwunden.

Rechenbeispiel: Wie viele Stunden ergeben die Minuten?

Die folgenden Werte sind eine Annahme, die Sie an Ihr eigenes Büro anpassen, keine Messung:

Eingabe	Annahme
Beschäftigte	20
Tägliche Zeit pro Person auf gesperrten Diensten über VPN oder Proxy	15 Minuten
Arbeitstage pro Monat	22

20 × 15 × 22 = 6.600 Minuten, also 110 Stunden im Monat. Bei 8 Stunden pro Tag sind das rund 14 volle Arbeitstage. Nicht eingerechnet ist die Zeit, die das Zurückfinden in unterbrochene Arbeit kostet.

Formel für Ihre eigenen Zahlen: Beschäftigte × tägliche Minuten × Arbeitstage pro Monat ÷ 60 = Stunden pro Monat.

Der Umgehungsschutz holt nicht alle diese Stunden zurück. Er sorgt aber dafür, dass Ihre Regel für alle gleich gilt, ob jemand ein VPN installiert oder nicht. Eine Regel, die für alle gilt, ist fairer und wird weniger diskutiert. Wie man eine solche Regel festlegt, ohne sie zur Überwachung zu machen, beschreibt unser Leitfaden zur Bildschirmrichtlinie am Arbeitsplatz (auf Englisch).

Sicherheit: Ein Filter schützt nur, was er sieht

Die Listen von Guardino gegen Schadsoftware, Phishing und Betrug wirken nur, wenn die DNS-Anfrage bei Guardino ankommt. Wer ein privates VPN einschaltet, nimmt seinen Rechner für diese Zeit aus der Sicherheitsebene des Unternehmens heraus. Ein Phishing-Link, der in dieser Zeit angeklickt wird, wird nicht gefiltert, und Firmendaten laufen über einen Server, dessen Betreiber niemand kennt. Der Umgehungsschutz erschwert es, diese Lücke zu öffnen, ganz ohne Agenten auf den Geräten und ohne Mobile-Device-Management.

Hinweis zu DSGVO und Betriebsrat: Für eine Sperre muss niemand aufzeichnen, wer was aufgerufen hat, und die Protokollierung von Anfragen ist bei Guardino aus, bis Sie sie einschalten. Die Artikel-29-Datenschutzgruppe (das Gremium der EU-Datenschutzbehörden vor dem heutigen Europäischen Datenschutzausschuss) hält in ihrer Stellungnahme 2/2017 zur Datenverarbeitung am Arbeitsplatz fest, dass der Verhinderung von Missbrauch deutlich mehr Gewicht zukommen sollte als seiner Aufdeckung. Lässt sich eine unerwünschte Nutzung durch das Sperren bestimmter Websites verhindern, ist die Sperre der dauerhaften Überwachung der Kommunikation vorzuziehen. Schalten Sie die Protokollierung ein, sind diese Daten personenbezogene Daten Ihrer Beschäftigten, über die Sie vorab informieren müssen. Gibt es einen Betriebsrat, binden Sie ihn früh ein: Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt er bei technischen Einrichtungen mit, die objektiv geeignet sind, Verhalten oder Leistung zu überwachen; auf die Absicht kommt es dabei nicht an. Dieser Hinweis ist keine Rechtsberatung.

Für Schulen und Unternehmen gibt es den Team-Tarif mit Organisation, Mitgliedern und Rollen. Einrichtung und Preis werden direkt mit uns vereinbart; mehr dazu auf der Seite für Unternehmen.

Selbst testen: der Drei-Minuten-Check

Um den Schutz in Ihrem Netz zu prüfen, müssen Sie kein VPN installieren:

1. Öffnen Sie auf einem Gerät, auf dem Guardino eingerichtet ist, den Verbindungstest. Er sollte zeigen, dass das DNS des Geräts über Guardino läuft.
2. Versuchen Sie im Browser desselben Geräts, die Website eines öffentlichen DNS-Anbieters oder eines bekannten VPN-Dienstes zu öffnen. Die Seite sollte sich nicht öffnen. Haben Sie gerade erst eingerichtet, schließen und öffnen Sie den Browser vorher neu; alte Antworten können eine Weile im Zwischenspeicher bleiben.
3. Öffnet sich die Seite, fragt das Gerät womöglich woanders nach. Der DNS-Leak-Test zeigt, welche Resolver Ihrem Gerät antworten.
4. Hängt ein Dienst fest, den Sie für die Arbeit brauchen, legen Sie im Dashboard unter Eigene Regeln eine Freigaberegel für diese Domain an.

So wird der Schutz wirksam

Für den Umgehungsschutz gibt es keinen Schalter. Sie müssen nur dafür sorgen, dass die Geräte ihre DNS-Anfragen tatsächlich an Guardino senden:

1. Heim- oder Büronetz. Tragen Sie in der Einstellung für verschlüsseltes DNS (DoT oder DoH) Ihres Routers den DoT-Namen oder die DoH-Adresse Ihres Profils ein. In vielen deutschen Haushalten steht eine FRITZ!Box, die DNS over TLS unterstützt; wie das geht, beschreibt unser Beitrag zu gehackten Smart-Home-Geräten. Alle Schritte finden Sie auf der Einrichtungsseite.
2. Handys und Laptops. Installieren Sie das Guardino-Profil auf dem Gerät. Der Schutz wirkt dann auch im Mobilfunknetz und in anderen WLANs.
3. Freigabepflicht für App-Installationen auf Kindergeräten. Die Kaufanfrage in Apples Familienfreigabe und die Genehmigung für Käufe und Downloads in Google Family Link verhindern, dass ohne Ihr Wissen eine neue VPN-App installiert wird.
4. Router-Regel gegen von Hand geändertes DNS. Unterstützt Ihr Router es, verhindern Sie, dass Geräte DNS direkt nach außen schicken.

Was Guardino hier auszeichnet

• Grundschutz, keine Zusatzeinstellung. Der Umgehungsschutz ist auf jedem Profil von Anfang an aktiv, auch im kostenlosen Tarif. Keine Familie und kein Unternehmen bleibt ungeschützt, weil jemand das Einschalten vergessen hat. Die Tarife finden Sie auf der Preisseite.
• Sperrt, ohne mitzulesen. Die Protokollierung von Anfragen ist aus, bis Sie sie einschalten. Sie können Grenzen setzen, ohne aufzuzeichnen, was Ihr Kind oder Ihre Beschäftigten aufrufen. Was wir sehen und was nicht, steht Punkt für Punkt auf der Transparenzseite.
• Eine Einrichtung, das ganze Netz. Ein per verschlüsseltem DNS am Router eingerichtetes Profil erfasst jedes Gerät zu Hause oder im Büro. Es muss kein Agent installiert werden.
• Nennt seine Grenzen. Dafür steht der Abschnitt „Was der Umgehungsschutz nicht stoppen kann“ oben.

Wie es weitergeht

Kein Filter reicht allein gegen jemanden, der fest entschlossen ist. Viele Umgehungen beginnen aber nicht mit einem Plan, sondern damit, dass jemand den Namen einer App hört. Der Umgehungsschutz schließt diesen kürzesten Weg; Geräteeinstellungen und ein Gespräch erledigen den Rest.

Zum Ausprobieren brauchen Sie keine Karte. Richten Sie Guardino über die Einrichtungsseite zuerst auf einem Handy ein, um zu sehen, wie es funktioniert, und übertragen Sie es dann auf Ihren Router.

Quellen

• Ikram, Vallina-Rodriguez, Seneviratne, Kaafar und Paxson, An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps, CSIRO Data61, UNSW und UC Berkeley, 2016
• Gloria Mark, Attention Span, 2023; Überblick über die Messungen zur Aufmerksamkeit am Bildschirm
• Mark, Gonzalez und Harris, No Task Left Behind? Examining the Nature of Fragmented Work, ACM CHI, 2005
• Artikel-29-Datenschutzgruppe, Opinion 2/2017 on data processing at work, 8. Juni 2017
• Haufe, BR-Mitbestimmung: Technische Einrichtungen
• UKTN, Proton VPN reports surge in UK users after OSA, August 2025
• Apple, Prepare your network or web server for iCloud Private Relay
• Apple Support, Konfigurieren der Kindersicherung mit der Familienfreigabe auf dem iPhone
• Google For Families-Hilfe, Hilfeartikel zu Kaufgenehmigungen in Family Link