RethinkDNS v055v bringt mehr Kontrolle. RPN setzt aber auf Cloudflare und Windscribe und schafft somit ein Vertrauensproblem.
Mit RethinkDNS v0.5.5v wurde endlich ein neues großes Update veröffentlicht, das mehr Kontrolle und ein neues Vertrauensproblem mit sich bringt. Die App wird schneller, erhält neue Firewall-Funktionen, verbraucht weniger Speicher und bietet mehr Kontrolle über DNS, WireGuard und einzelne Apps. Technisch bringt das Release einige Neuerungen mit sich. Das Problem beginnt jedoch beim neuen Rethink Proxy Network, kurz RPN. Dafür arbeitet Rethink mit Windscribe zusammen.
Bisher war RethinkDNS ein hervorragendes Tool, da die App auf Android mehrere Aufgaben in einem Werkzeug bündelt. Sie sperrt Apps den Internetzugriff, filtert DNS-Anfragen, zeigt Verbindungen an und bindet WireGuard mit ein. Das läuft über den lokalen VPN-Platz von Android, ohne Root. Android erlaubt normalerweise nur einen solchen VPN-Weg. Rethink nutzt diesen Platz jedoch für Firewall, DNS und Tunnel zugleich.
RethinkDNS ist sehr viel mehr als eine lokale Firewall
RPN macht aus Rethink mehr als eine lokale Firewall: Die wichtigste neue Funktion heißt „Rethink Proxy Network”. Laut Release Notes startet RPN in Partnerschaft mit Windscribe für Play-Store- und GitHub-Builds. Der Dienst kostet ab 1,75 Dollar pro Monat, verzichtet laut Rethink auf Bandbreitenlimits und erlaubt die Nutzung von bis zu fünf Standorten gleichzeitig. Nutzer können damit Apps auf verschiedene VPN-Exit-Points verteilen. So kann der Browser über Standort A, der Messenger über Standort B gehen, während Banking direkt bleibt und eine andere App Rethink komplett sperrt.
Das ist besonders auf Android hilfreich, da nicht jede App denselben Weg ins Netz nehmen sollte. Manche Apps gehören in ein VPN*. Andere sollten direkt raus. Wieder andere sollen gar nicht telefonieren können. RethinkDNS baut die App damit zur Schaltzentrale für den kompletten Android-Verkehr aus.
RPN ändert aber leider den Charakter der App. Rethink hält den Datenverkehr nicht mehr nur auf dem Gerät unter Kontrolle. Ein Teil des Weges läuft wie gewohnt über Cloudflare. Der Ausgang ins Internet läuft jedoch über Windscribe. Damit muss man nicht nur Rethink, sondern auch Cloudflare und Windscribe vertrauen.
Mehr Leistung und strengere Regeln
Proxy Lockdown funktioniert wie eine Notbremse. Wenn eine App über einen bestimmten Tunnel geschickt wird, soll sie sich nicht daran vorbeimogeln und direkt ins Netz gehen. Solche Ausreißer sind bei einigen Datenschutz-Tools mindestens fahrlässig, wenn nicht sogar gefährlich. Man denkt, alles laufe durch den Tunnel. In Wirklichkeit nimmt eine Anfrage jedoch einen anderen Weg. Rethink will genau das besser verhindern.
DNS-Bypass betrifft das Adressbuch des Internets. RethinkDNS kann für bestimmte Apps künftig einen individuellen DNS einrichten und die Apps darüber laufen lassen. Das ist hilfreich, wenn eine App nicht durch dieselben Filterlisten laufen soll wie der Rest.
„Allowed DNS record types” geht noch tiefer. Damit steuert Rethink genauer, welche DNS-Anfragen erlaubt sind. Es entscheidet also nicht nur, ob eine App nach draußen funken darf. Es prüft auch, welche Art von Anfrage gestellt wird, und blockt sie bei Bedarf.
Die neue Firewall-Blase zeigt Verbindungsdaten als kleines, schwebendes Fenster über anderen Apps an. Das ist hilfreich, wenn man sehen möchte, welche App gerade wohin funkt. Mit Custom Interface IPs kann die lokale IP geändert werden, die Apps sehen. Für wirkliche Anonymität reicht das natürlich nicht aus. Für die Kontrolle über die lokale App-Erkennung ist es aber trotzdem hilfreich.
Auch WireGuard wurde von Rethink deutlich überarbeitet. Das Projekt selbst spricht von einer um das Fünf- bis Zehnfache höheren Bandbreite auf schnellen Android-Geräten. Gleichzeitig soll die App bei hoher Netzwerk- und Proxy-Last fünf- bis zehnmal weniger Speicher verbrauchen. Hinzu kommen schnellere Wiederverbindungen, ein besserer Umgang mit IPv4 und IPv6 sowie Schutz gegen DNS-Leaks, wenn mehrere Netzwerktunnel aktiv sind.
Firebase Crashlytics in der Play-Store-Version enthalten
In der Play-Store-Version ist außerdem Firebase Crashlytics für Crashberichte enthalten. Rethink beschreibt das als Opt-in. Für die Fehleranalyse des Programms ergibt das Sinn. Bei einer Datenschutz-App bleibt es trotzdem ein Punkt, der nicht so richtig gefällt. Wer Rethink wegen Kontrolle und Datensparsamkeit nutzt, möchte nicht nur beim DNS wissen, wohin die Daten fließen. Die GitHub- und F-Droid-Versionen sind in dieser Hinsicht die bessere Wahl, da Crashlytics nicht integriert ist.
Für uns heißt das: Die App wird schneller und sparsamer und man kann mehr spezifisch einstellen. Wer Rethink wegen Firewall, DNS und WireGuard nutzt, bekommt wirklich gute Gründe für das Update. Man kann sie aber auch testen, sich einarbeiten und danach entscheiden, ob sie zum eigenen Use Case passt.
Cloudflare als Vertrauensbruch
v055v knüpft an den alten DNS-Resolver-Test auf Tarnkappe.info an. Schon damals überzeugte RethinkDNS technisch. Es gab viele Listen und Optionen, die App war kostenlos und stabil. Das Problem lag nicht in der Funktion, sondern in der Infrastruktur. Ein Datenschutz-Dienst, der seinen DNS-Weg über Cloudflare führt, verlangt an der falschen Stelle zusätzliches Vertrauen – oder er schürt Misstrauen.
In der eigenen FAQ schreibt Rethink es selbst. Der DNS-Resolver läuft auf Fly.io und Cloudflare Workers. Rethink legt den Kontrollbereich dazu, als ob das nicht reichen würde, auf Amazons AWS-Infrastruktur. Wenn Nutzer Logs aktivieren, landen sie in AWS-Rechenzentren in den USA – DSVGO-konform sieht anders aus. Außerdem schreibt Rethink, dass Cloudflare Nutzeranfragen sehen kann, die die Resolver erreichen, einschließlich des Inhalts der Anfrage.
Damit lag der alte Schwachpunkt offen wieder offen. RethinkDNS funktioniert. Der Dienst bleibt kostenlos, schnell und flexibel. Er hängt jedoch von der Infrastruktur ab, der man zusätzlich vertrauen muss. Das lässt sich erklären. Man kann es relativieren. Man kann den Resolver auch selbst hosten. Am Ende bleibt jedoch der Widerspruch zwischen dem Datenschutz-Versprechen und der Abhängigkeit von Amazon und Cloudflare.
Ein CDN als Zensurmaschine?
Hinzu kommt ein Punkt, der bei Cloudflare oft erst dann auffällt, wenn es zu spät ist. Solange alles läuft, ist es bequem, die Infrastruktur von CF zu benutzen. Wenn Cloudflare jedoch in der EU oder in einzelnen Ländern stärker sperren muss, hängt ein Dienst wie RethinkDNS plötzlich mit in der Zensurmaschine. Dann geht es nicht mehr nur darum, wer DNS-Anfragen sehen kann. Dann geht es auch darum, wer Domains überhaupt noch auflösen darf.
Deutschland hat eine DNS-Sperre gegen Cloudflare 1.1.1.1 zwar noch abgelehnt. In Italien zeigt Piracy Shield jedoch, wie schnell DNS- und Infrastruktur-Anbieter in Sperrpflichten geraten können. Cloudflare streitet sich dort gerade mit den Verantwortlichen um den Druck auf seinen DNS-Dienst. Für ein Datenschutz-Werkzeug ist das schlichtweg der falsche Ort für eine derart kritische Abhängigkeit.
Ein eigener Technitium DNS im Tailnet ist deshalb die bessere Lösung. DNS bleibt unter eigener Kontrolle. Tailscale verbindet die Geräte, Technitium beantwortet die Anfragen und Mullvad stellt die Verbindung ins Internet her. Wenn Cloudflare irgendwann stärker sperren oder filtern muss, hängt RethinkDNS mit RPN genau an der falschen Stelle.
RPN erweitert den alten Cloudflare-Punkt. Zuvor ging es vor allem um DNS. Also darum, wer sieht, welche Domains ein Gerät auflösen will. Jetzt geht es um den Weg des Datenverkehrs selbst. Cloudflare sitzt als Zwischenstation im Modell. Windscribe sitzt am Endpunkt und Zugang ins Internet.
Rethink schiebt das Problem damit einfach eine Stufe weiter. Zunächst musste man einem kostenlosen DNS-Dienst vertrauen, der stark auf Cloudflare setzt. Jetzt kommt Windscribe als Ausgang hinzu. Durch die Kombination von Cloudflare und Windscribe entsteht jedoch kein besseres Datenschutzmodell. Es entsteht lediglich ein komplizierteres Versprechen, das ohnehin nur durchwachsen ist.
Windscribe ist nicht Mullvad
Tailscale zeigt, wie eine solche Integration sauberer aussehen kann. Dort gibt es Mullvad als Ausgang ins Internet. Wer ihn nutzt, schickt seinen Datenverkehr über diesen Anbieter nach draußen. Tailscale benennt das auch klar und direkt, ohne Umschweife: Mullvad stellt den Ausgang bereit und Tailscale bindet die Infrastruktur mit ein.
Mullvad hat einen anderen Stellenwert als Windscribe für jeden von uns. Ein Konto braucht dort weder Namen noch E-Mail-Adresse oder Passwort. Stattdessen gibt es eine zufällige Kontonummer. Das gehört zum Vertrauensmodell einfach dazu.
Bei Windscribe bleibt mehr offen. Der Anbieter schreibt selbst, dass das Unternehmen privat geführt wird, dass es keine externen Investoren gibt und die Anteile bei den Gründern und Mitarbeitern liegen. Das ist besser als ein Verkauf an einen VPN-Konzern. Es macht Windscribe jedoch nicht zu einem starken Vertrauensanker für ein Open-Source-Datenschutzprojekt.
Windscribe speichert 30 Tage lang
Laut der eigenen Privacy Policy speichert Windscribe am Account das verbrauchte Datenvolumen der letzten 30 Tage und den Zeitpunkt der letzten Aktivität. Während einer aktiven Verbindung speichert der Server außerdem Benutzername, Verbindungszeit und Datenmenge im Arbeitsspeicher. Zentral zählt Windscribe, wie viele Verbindungen parallel laufen und wie viel Datenvolumen in 30 Tagen verbraucht wurde. Das ist kein klassisches Surfprotokoll. Es entspricht jedoch auch nicht dem reduzierten Modell von Mullvad, das eigentlich der Standard für einen VPN-Anbieter sein sollte und extrem minimalistisch ist.
Hinzu kommt natürlich auch der peinliche Server-Vorfall aus dem Jahr 2021, als Behörden zwei Windscribe-Server in der Ukraine beschlagnahmten – also noch vor der aktuellen Situation in dem Land. Windscribe schrieb anschließend selbst, dass sich auf den Servern ein OpenVPN-Serverzertifikat samt privatem Schlüssel befand. Die Server liefen auf einem veralteten Stack und waren nicht einmal verschlüsselt. Windscribe besserte später nach, was jedoch nicht unbedingt vertrauensfördernd ist. Ein VPN-Anbieter darf private Schlüssel nicht einfach auf unverschlüsselten Servern liegen lassen.
Tailscale zeigt einmal mehr, wie es besser geht
Das Unternehmen beweist, dass ein solches Modell nicht grundsätzlich zum Scheitern verurteilt ist. Nutzer können Mullvad als Ausgang ins Internet verwenden. Tailscale bleibt der Tunnel zwischen den eigenen Geräten, während Mullvad den Ausgang übernimmt. So wird zwar kein vertrauensfreies Modell geschaffen, die Aufgaben werden aber getrennt. Der Nutzer weiß somit, welche Aufgabe welcher Dienst übernimmt.
Noch sauberer wird es, wenn der DNS-Server nicht ebenfalls bei einem großen fremden Anbieter steht. Wer im eigenen Tailnet Technitium DNS wie auf einem Raspi betreibt, hält diesen Teil komplett unter eigener Kontrolle und ist gegenüber DNS-Zensur resistent. Die Geräte hängen über Tailscale zusammen, DNS läuft über den eigenen Resolver und der Ausgang ins Netz kann bei Mullvad liegen. Damit sind die Rollen sauber verteilt. Tailscale verbindet, Technitium beantwortet DNS-Anfragen und Mullvad stellt die Verbindung ins Internet her.
Genau diese klare Trennung fehlt bei RethinkDNS RPN. Der DNS-Dienst hing schon vorher stark an Cloudflare. Mit RPN kommt Cloudflare zusätzlich als Zwischenstation im Proxy-Modell dazu. Den Ausgang ins Internet übernimmt Windscribe. So wird aus einer App, die lokale Kontrolle auf Android zurückholt, ein Dienst, der gleich mehrere fremde Vertrauensstellen braucht.
Dadurch verliert RethinkDNS seinen Usecase. Das passt aber schlecht zu dem, was die App bisher stark gemacht hat. RethinkDNS war interessant, weil Firewall, DNS und WireGuard auf dem Gerät zusammenliefen. RPN zieht diesen Ansatz nach außen. Dort warten jedoch nicht Mullvad und ein eigener DNS-Resolver, sondern Cloudflare und Windscribe.
RethinkDNS: Starke App, schwaches Modell
Fazit: RethinkDNS v055v bietet technisch sinnvolle Verbesserungen. Proxy Lockdown, eine bessere WireGuard-Leistung, ein geringerer RAM-Verbrauch, feinere DNS-Regeln und mehr Kontrolle pro App sind besonders auf Android von Vorteil. Dort kämpfen AdGuard, Tailscale, NetGuard, klassische VPNs und Rethink um ein und denselben VPN-Platz.
Am Vertrauensproblem ändert das jedoch nichts. RethinkDNS setzt bei seinem DNS-Dienst stark auf den US-Anbieter Cloudflare. Mit RPN kommen Cloudflare als Zwischenstation und der kanadische Dienst Windscribe als Ausgang ins Internet hinzu. Diese Kombination ist der Kern des neuen Systems.
Tailscale mit Mullvad und eigenem Technitium DNS zeigt, wie man die Aufgaben klarer trennen kann. Der Tunnel verbindet die Geräte. DNS bleibt unter eigener Kontrolle. Der Ausgang ins Internet ist klar benannt. Bei RethinkDNS verschwimmt genau diese Trennung.
Trotzdem bleibt RethinkDNS eine der interessantesten Android-Apps für Firewall, DNS und WireGuard, die durch v055v noch besser wird. RPN verschlechtert das Vertrauensmodell.
Cloudflare war schon im alten Test ein Vertrauensbruch. Windscribe verringert ihn nicht. Wer Datenschutz verspricht, sollte keine neuen Stellen einbauen, denen der Nutzer zusätzlich vertrauen muss.
(*) Alle mit einem Stern gekennzeichneten Links sind Affiliate-Links. Wenn Du über diese Links Produkte oder Abonnements kaufst, erhält Tarnkappe.info eine kleine Provision. Dir entstehen keine zusätzlichen Kosten. Wenn Du die Redaktion anderweitig finanziell unterstützen möchtest, schau doch mal auf unserer Spendenseite oder in unserem Online-Shop vorbei.
