WebRTC ist eine Browsertechnologie für Echtzeit-Videoanrufe und Peer-to-Peer-Dateiübertragung. Um zwei Rechner direkt zu verbinden, muss sie jede Netzwerkadresse ermitteln, unter der jede Seite erreichbar sein könnte. Deshalb fragt sie einen öffentlichen STUN-Server: „Welche IP zeigt diese Verbindung von außen?“ und sammelt die Antwort als ICE-Kandidat. Dieser Austausch läuft normalerweise unsichtbar zwischen zwei Teilnehmern eines Anrufs ab – doch jede Website kann ihn auch still im Hintergrund auslösen, die Kandidaten lesen und Ihre Adressen daraus extrahieren.

Zum Datenschutzproblem wird das vor allem für VPN-Nutzer. Ein VPN leitet Ihren normalen HTTP-Verkehr durch seinen Tunnel, sodass Websites die IP des VPNs statt Ihrer sehen. WebRTC spricht jedoch über eine eigene Verbindung mit dem STUN-Server, und in manchen Konfigurationen umgeht diese Verbindung den VPN-Tunnel vollständig – und verrät Ihre echte Internet-IP, obwohl die Adressleiste suggeriert, Sie seien „geschützt“. Moderne Browser versuchen zudem, Ihre lokale Netzwerkadresse zu verbergen, indem sie sie durch einen zufälligen, einmalig verwendeten mDNS-Namen mit der Endung .local statt einer rohen IP wie 192.168.1.5 ersetzen; diese Ersetzung ist ein echter Datenschutzgewinn und kein Zeichen einer Störung.

Dieses Tool führt genau denselben ICE-Sammelvorgang aus, den auch eine bösartige Seite ausführen könnte – mit zwei unabhängigen STUN-Servern für die Zuverlässigkeit – und vergleicht jeden gesammelten öffentlichen Kandidaten mit Ihrer tatsächlichen HTTP-IP-Adresse. Stimmen sie überein, fügt WebRTC keine zusätzliche Preisgabe über das hinaus hinzu, was jede Website ohnehin sieht. Weichen sie voneinander ab, während Sie ein VPN vermuten, ist genau diese Abweichung das Leck – und die Lösungen oben erklären, wie Sie es in Ihrem Browser schließen.

Dieser Test zeigt nur, was Ihr eigener Browser über das ICE-Sammeln von WebRTC preisgibt; Lecks auf Betriebssystem- oder Router-Ebene kann er nicht erkennen.