"Papi, lügst du wieder das Internet an?", sagte mein damals 7-jähriger Sohn zu mir, als ich letztes Jahr in den Ferien auf dem Smartphone meine VPN-App einschaltete, um heimisches Fernsehen zu schauen.

Dieses "Anlügen" des Internets beziehungsweise das Verstecken der IP-Adresse soll bei fast allen Betriebssystemen über eine bereits seit 22 Jahren existierende Lücke ausgehebelt werden können, schreibt das Fachblatt 'Ars Technica'.

Forschende von Leviathan Security haben einen entsprechenden Angriff demonstriert und dafür eine Schwachstelle ausgenutzt, die seit 2002 existiert. Diese sei "möglicherweise" bereits entdeckt und ausgenutzt worden. "Tunnelvision" nannten die Forschenden ihren Angriff. Betroffen sind dem Bericht zufolge fast alle gängigen Betriebssysteme, ausser Android.

"Angreifer können den durchgesickerten Datenverkehr lesen, löschen oder ändern, derweil behält das Opfer seine Verbindung sowohl zum VPN als auch zum Internet bei", heisst es in einem Video von Leviathan Security, in dem der Angriff demonstriert wird.

Der Angriff funktioniert durch Manipulation des DHCP-Servers, der Geräten IP-Adressen zuweist, die versuchen, eine Verbindung zum lokalen Netzwerk herzustellen. Ausgenutzt wird dabei die sogenannte "Option 121", die es dem DHCP-Server erlaubt, Standard-Routing-Regeln ausser Kraft zu setzen. Dadurch können Angreifer den Traffic oder zumindest Teile davon am VPN-Tunnel vorbeischleusen. Entsprechend wird dieser auch nicht mehr verschlüsselt und gibt die eigentliche IP-Adresse der Nutzerinnen und Nutzer preis.

Weil unter Android die Option 121 nicht implementiert ist, ist das Betriebssystem auch das einzige, das VPN-Apps vollständig gegen diesen Angriffsvektor schützt.