Der Sicherheitsforscher Armin Å upuk entdeckte eine neue Schwachstelle, mit der man die VPN-Sperre von Android aushebeln kann.
Der Schweizer Softwareentwickler und Unternehmer Armin Šupuk entdeckte eine weitere Möglichkeit, wie man die VPN-Sperre auf Android-Geräten ein Stück weit deaktivieren kann. Das passiert sogar dann, wenn der Nutzer „Always-on VPN“ und zusätzlich die Option „Verbindungen ohne VPN blockieren“ aktiviert hat.
Man benötigt dafür weder Root noch besondere Systemrechte. Erforderlich ist auch keine Android Debug Bridge (ADB) oder ein Exploit in einer Drittanbieter-VPN-App. Die App kann eine öffentlich zugängliche Android-API für sogenannte NAT-T-Keepalives missbrauchen. Dabei handelt es sich um kleine regelmäßig verschickte UDP-Pakete, die beispielsweise bei IPsec-VPNs dazu dienen, eine NAT-Verbindung offen zu halten.
VPN-Sperre: Wie funktioniert sie, was wird übertragen?
Android bietet Apps die Möglichkeit, solche Keepalive-Pakete von der Netzwerk-Hardware im Hintergrund erzeugen zu lassen. Dadurch muss die App nicht selbst alle paar Sekunden ein Paket verschicken. Dabei kann die Software den VPN-Tunnel umgehen, wobei die IP-Adresse offenbart wird. Die Firmware bzw. WLAN-Hardware erzeugt die Keepalive-Pakete nach ihrer Freigabe. Aufgrund der Sicherheitslücke können die VPN-Lockdown-Regeln von Android somit umgangen werden.
Ein Zielserver kann die echte öffentliche IP-Adresse des Geräts sehen, obwohl Android eigentlich sämtliche Verbindungen der betreffenden App außerhalb des VPNs blockieren sollte. Allerdings können nicht beliebige Daten nach außen gelangen. Das Format des Keepalive-Pakets gibt Android strikt vor. Der wesentliche Informationsgewinn besteht daher in der realen IP-Adresse des Smartphones nebst dem Zeitpunkt bzw. dem Rhythmus der verschickten Pakete.
Der praktische Nachweis
Der Forscher konnte das Verhalten auf einem Google Pixel 8 Pro* mit Android 16 mit einem von ihm kontrollierten OpenWrt-Router nachweisen. Trotz aktiviertem VPN-Lockdown tauchten dort regelmäßig UDP-Pakete auf Port 4500 auf. Im Experiment war dies etwa alle zehn Sekunden der Fall. Ein separater OpenWrt-Router konnte die Pakete tatsächlich am physischen WLAN-Anschluss feststellen. Zusätzlich reproduzierte Šupuk den Effekt auf einem Samsung SM-F966B und einem Nothing A059. Beim Samsung blieb ein entsprechender Keepalive-Slot sogar mehr als 24 Stunden aktiv.
Nicht jedes Smartphone ab Android 12 betroffen
Armin Šupuk kommt aufgrund der gemeinsamen Android-Framework-Komponenten und einer Untersuchung verschiedener WLAN-Plattformen zu dem Schluss, dass die Schwachstelle die Geräte ab Android 12 betreffen kann. Er ordnet die untersuchten WLAN-Plattformen Herstellern wie Qualcomm, Broadcom, MediaTek, Unisoc, Samsung und Huawei zu. Eine große Rolle spielt dabei aber die verwendete Hardware und die Firmware-Unterstützung der Geräte. Das grenzt die Menge der betroffenen Smartphones wieder ein. Eine Übertragung der IP-Adresse etc. über den Mobilfunk konnte Šupuk bisher auch nicht nachweisen. Er führt das Problem auf eine fehlerhafte Vertrauensgrenze innerhalb des Android-Frameworks zurück.
Einordnung
Der Unternehmer weist in seinem Artikel ausdrücklich darauf hin, dass er die kommerzielle Android-App VPN Leak Guard verkauft. Von daher besteht natürlich ein wirtschaftliches Eigeninteresse an der Veröffentlichung der Untersuchung, das man bei der Bewertung berücksichtigen sollte.
Trotzdem sind das für Android-Nutzer wahrlich keine guten Nachrichten. Schließlich vertrauen noch immer viele darauf, dass Googles mobiles Betriebssystem den Datenstrom ihrer Geräte im Gegensatz zu Apple besser im Griff hat. Nach dem derzeit öffentlich verfügbaren Stand hat Android die NAT-T-Keepalive-Schwachstelle noch nicht behoben. Šupuk meldete die Lücke im Mai 2026 an Google, man stufte sie als Duplikat eines bestehenden Problems ein.
Von der Problematik ist übrigens auch GrapheneOS betroffen. Die Entwickler haben die von Šupuk beschriebene NAT-T-Keepalive-Umgehung inzwischen als eigenes Problem im offiziellen Issue-Tracker aufgenommen. Eine Lösung der ausgehebelten VPN-Sperre haben sie aber noch nicht veröffentlicht.
(*) Alle mit einem Stern gekennzeichneten Links sind Affiliate-Links. Wenn Du über diese Links Produkte oder Abonnements kaufst, erhält Tarnkappe.info eine kleine Provision. Dir entstehen keine zusätzlichen Kosten. Wenn Du die Redaktion anderweitig finanziell unterstützen möchtest, schau doch mal auf unserer Spendenseite oder in unserem Online-Shop vorbei.
