Eine Seite zu sperren war früher eine Blacklist: Das Netz sieht, dass du eine verbotene Adresse anfragst, und sagt "nein". Deep Packet Inspection (DPI) ist die erwachsene Version: Sie liest nicht nur die Adresse auf dem Umschlag, sondern die Form deines Traffics. Deshalb funktioniert ein Proxy oder VPN heute und stirbt morgen rätselhaft.

Wer DPI betreibt — und was sie sieht

  • Regierungen, zur Zensur: Sie inspizieren den Traffic an den Netzgrenzen des Landes, um VPNs, Proxies und Umgehungstools zu erkennen und zu drosseln.
  • System- und Netzadmins — ISPs, Universitäten, Firmen-IT — um Traffic im eigenen Netz zu formen, zu loggen oder zu blockieren.

Herkömmliche Inspektion liest nur den Header — wohin ein Paket geht. DPI schaut hinein: die Payload, den TLS-Handshake, Paketgrößen und -timing sowie Protokoll-Signaturen.

DPI gegen herkömmliche Inspektion: die herkömmliche liest nur den Paket-Header, während DPI die gesamte Payload prüft

Der Verräter ist meist die Protokoll-Signatur. Viele Tunnel verraten sich schon in den ersten Bytes. Hat DPI die Signatur gelernt, verwirft sie alles Passende — ganz ohne Blacklist.

Warum OpenVPN und WireGuard auffliegen

Hier ist die Falle. Die Verschlüsselung von OpenVPN, WireGuard und IPSec ist gut — aber ihr Traffic ist erkennbar. DPI knackt die Krypto nicht; sie erkennt einfach "das ist OpenVPN" oder "das ist WireGuard" und kappt. Ein größeres, bekannteres VPN hilft nicht — das Problem ist gerade die Erkennbarkeit.

Der eigentliche Zug: die Signatur ändern, nicht nur die Chiffre

Es ging also nie um "mit RC4 verschlüsseln". Das eigentliche Spiel ist, die Protokoll-Signatur zu ändern, die DPI von außen sieht — die Verbindung wie normalen Web-Traffic aussehen zu lassen statt wie ein VPN. Das passiert auf einem lokalen Client: Deine App verbindet sich zu localhost, der Client verpackt die Daten in eine Obfuscation-Schicht, und auf der Gegenseite entpackt ein Server/Relay sie.

verschleiert — DPI sieht nur normalen Traffic Browser Local client localhost ISP / DPI Server / relay proxy exit Google
Die Verschleierung passiert auf deiner Maschine, also wirkt alles zwischen lokalem Client und Exit für DPI normal. Der Server entpackt es und baut eine saubere Verbindung auf — das Ziel sieht nur die Proxy-IP.

Werkzeuge, die das wirklich tun

Cloak

Cloak sitzt vor etwas wie OpenVPN. Die OpenVPN-Verschlüsselung bleibt — Cloaks Aufgabe ist es, den charakteristischen OpenVPN-Traffic zu verstecken: Es schreibt Paket-Metadaten um, sodass der Strom wie normaler Web-Traffic aussieht, und wehrt aktives Probing ab (wenn der Zensor deinen Server anstößt, um zu prüfen, ob es ein VPN ist).

AmneziaWG

Ein anderer Ansatz. Statt WireGuards Kryptografie neu zu schreiben, ändert AmneziaWG die Paketmerkmale, an denen DPI WireGuard erkennt — es verändert Header von Handshake-/Datenpaketen, ändert Paketgrößen und kann Junk-Pakete einfügen. So bricht die Signatur "das ist definitiv WireGuard".

VLESS + REALITY

Wird in stark zensierten Umgebungen wie dem Iran genutzt. Die Idee: Vor DPI oder einem aktiven Prober soll dein Server wie ein normaler TLS-/Webdienst aussehen, nicht wie ein VPN. REALITY ist so gebaut, dass es die Verbindung an eine echte Website übergibt, wenn es keinen autorisierten Client erkennt:

Client
  │  (sieht aus wie normales TLS)
  ▼
Internet
  │
  ▼
REALITY-Server
  ├─ autorisierter Client  →  Tunnel
  └─ Probe / Fremder       →  eine echte Website

Der ehrliche Vorbehalt (2026)

Es gibt kein "installier das, im Iran läuft es sicher". Irans DPI entwickelt sich weiter — aktuelle Messungen berichten, dass REALITY, WireGuard und sogar TLS-Fragmentierung in einigen iranischen Netzen erkannt oder blockiert werden. Obfuscation ist ein Wettrüsten, keine fertige Lösung.

Wo ein sauberer Proxy-Exit ins Spiel kommt

Obfuscation bringt dich unbemerkt hinaus; die Exit-IP entscheidet, ob das Ziel dir bei der Ankunft vertraut. Datacenter-Bereiche sind öffentlich und leicht als "kein echter Nutzer" einzustufen — selbst ein perfekt verschleierter Tunnel kann auf einer IP landen, der Seiten schon misstrauen. Genau hier ist ein Proxy extrem wirksam:

  • Residential-Proxies gehen über echte Endgeräte hinaus — du wirkst wie ein normaler Heimnutzer, weil du es auf Netzebene bist.
  • Mobile Proxies gehen über Carrier-IPs, die sich Tausende echter Handys teilen, sehr schwer pauschal zu blockieren.

Alles zusammen

DPI zu schlagen ist ein Stack, kein Trick: verschleiere die Signatur (Cloak / AmneziaWG / REALITY), um wie normaler Web-Traffic auszusehen, nutze moderne Chiffren — niemals RC4 — und geh über einen sauberen Residential- oder Mobile-Proxy hinaus, damit das Ziel dir vertraut. Vergiss den Reflex "nimm ein größeres VPN"; erwischt wirst du durch Erkennbarkeit.

Proxysterr macht die Exit-Hälfte richtig: Residential- und Mobile-Pools, genau dafür gebaut, Zahlung mit Krypto, kein KYC, kein Ablauf der Daten. Richte deinen verschleierten Tunnel auf einen Proxysterr-Endpoint und hol dir den sauberen, vertrauenswürdigen Exit, der die ganze Kette trägt.