Rollout von Gegenmaßnahmen für Exit-IP-VPN-Server

• Mullvad hat eine Liste von Servern veröffentlicht, auf denen neue Gegenmaßnahmen angewendet werden, um Fingerprinting zwischen VPN-Exit-IP-Servern zu begegnen
• Die Gegenmaßnahmen stehen im Zusammenhang mit dem Problem des Exit-IP-Fingerprintings zwischen VPN-Servern, und es lässt sich pro betroffenem Server prüfen, ob sie angewendet wurden
• Die Serverliste wurde zuletzt am 25. Mai 2026 aktualisiert und ist nach WireGuard-Servernamen geordnet
• Zu den betroffenen Servern gehören au-mel-wg-402, au-syd-wg-001, ca-mtr-wg-302, de-fra-wg-103 und weitere
• Der Geltungsbereich umfasst auch Server in Finnland, Frankreich, Irland, Norwegen, Schweden und den USA

---

Liste der Server mit angewendeten Gegenmaßnahmen

• Mullvads neue Gegenmaßnahmen adressieren das Exit-IP-Fingerprinting zwischen VPN-Servern
• Die Liste wurde zuletzt am 25. Mai 2026 aktualisiert
• Die angewendeten Server sind wie folgt
  • au-mel-wg-402
  • au-syd-wg-001
  • ca-mtr-wg-302
  • de-fra-wg-103
  • fi-hel-wg-201
  • fr-par-wg-101
  • ie-dub-wg-101
  • no-osl-wg-101
  • se-sto-wg-208
  • us-dal-wg-701
  • us-lax-wg-002
  • us-nyc-wg-601
  • us-slc-wg-303

[GN⁺]

Hacker-News-Kommentare

• Vermutlich sollte dieser Beitrag nicht auf die Liste der Exit-Server verlinken, sondern auf den Blogbeitrag https://mullvad.net/en/blog/exit-ip-fingerprinting-between-v...
  Dazu passt auch dieser Beitrag: https://news.ycombinator.com/item?id=48143880

  • Dieser Blogbeitrag ist ein perfektes Beispiel dafür, wann man RFC5737 verwenden sollte
    https://datatracker.ietf.org/doc/rfc5737/
  • Auf der betreffenden Seite sind bereits Links zu beiden Ressourcen enthalten

• Es wäre gut, wenn es von Browsern wie Librewolf eine Version gäbe, die für alle Nutzer exakt dieselben Informationen vortäuscht
  Zum Beispiel eine Standardauflösung für 1080p-Monitore, dasselbe GPU-Profil und Features rund um Device-Timing, die zwar funktionieren, aber ein festes Profil verwenden
  Statt zufällige Daten vorzutäuschen, sollte man am Ende lieber Daten vortäuschen, die weiterhin nützlich sind, sich aber nicht für Fingerprinting eignen

  • Ist das nicht genau die Aufgabe von Mullvad Browser?
    https://mullvad.net/en/browser

• Wenn man Mullvad Browser verwendet, tritt dieses Problem nicht auf, weil der integrierte Mullvad-Proxy genutzt wird und nicht WireGuard
  Die Browser-Erweiterung hat außerdem eine nette Funktion namens Random mode, die pro Website eine andere IP zuweist und so den Datenschutz verbessert

  • Das dürfte wahrscheinlich auch mit normalem Firefox nutzbar sein
  • In den meisten ordentlich konzipierten Setups sollte das kein großes Problem sein, weil es zwischen den Servern eine saubere Trennung gibt und jeder Server eine eigene Identität haben sollte
    Dasselbe VPN über alle Server hinweg wiederzuverwenden und darauf zu hoffen, dass es abläuft, bevor die IP wechselt, ist grundsätzlich keine gute Grundlage, wenn man auf Isolation vertrauen will
  • So etwas sollte man niemals verwenden. Wie schon beim alten Tor Browser könnte eine Browser-Schwachstelle sofort zur Offenlegung der echten IP führen
    Im Idealfall findet die Proxy-Verarbeitung nicht auf demselben Gerät statt

• Bezahlen VPN-Anbieter Einzelhandels-Internetanbieter, um sich Exit-Standorte zu sichern?

  • Meistens nicht. Es gibt nicht viele Internetanbieter, die das Risiko eingehen wollen, auf Blacklists zu landen
    Ähnlich wie Scraper verkaufen viele VPNs über ihren eigenen VPN-Client heimlich die IPs und Daten ihrer Nutzer an Scraper, und die Beschaffung von IPs läuft meist nach dem Motto „don’t ask, don’t tell“
    Man nutzt mehrere IP-Lieferanten, behauptet im Problemfall, man habe von nichts gewusst, und zieht dann zum nächsten weiter. Das ist fast immer ein Graumarkt, legitime Anbieter sind selten
  • Manche VPN-Anbieter haben in den Ländern, die sie behaupten, nicht einmal Exit-Nodes
    Stattdessen verwenden sie IPs, die in GeoIP-Datenbanken auf dieses Land registriert sind
    Das gilt nicht für alle VPN-Anbieter; nach meinen eigenen Latenztests zwischen mehreren Mullvad-Endpunkten scheint Mullvad tatsächlich Dienste mit der angegebenen geografischen Lage zu nutzen
    Trotzdem sollte man bei einigen weniger seriösen Anbietern vorsichtig sein
  • Keine Einzelhandels-Internetanbieter, aber viele Erweiterungen und kostenlose VPNs leiten VPN-Traffic über die Leitungen ihrer Nutzer

• Hängt das mit der jüngsten Warnung von Wyden im Kongress zusammen? Sprechen andere VPN-Anbieter dieses Problem ebenfalls öffentlich an?
  https://www.wyden.senate.gov/imo/media/doc/wyden_letter_to_g...

  • Das ist eine direkte Reaktion auf diesen öffentlichen Beitrag: https://tmctmt.com/posts/mullvad-exit-ips-as-a-fingerprintin...
    Das hat nichts mit US-Politik zu tun