Zum Inhalt springen

WebRTC-Leaks

WebRTC-Leak-Test: Was ein Anruf aus dem Browser über Ihre IP-Adresse verrät

Teil von: VoIP-Sicherheit: Was ein Anruf im Browser schützt und was er preisgibt

Von · Aktualisiert am · 11 Min. Lesezeit

callfrombrowser.org bei Google als bevorzugte Quelle hinzufügen

Kurz gesagt

Ein WebRTC-Leak-Test listet jede IP-Adresse auf, die Ihr Browser einer Webseite über WebRTC übergibt, damit Sie eine entdecken, die Sie eigentlich verbergen wollten, meist die Adresse Ihres Internetanbieters bei eingeschaltetem VPN [1]. Ein Browser-Anruf zu einer Telefonnummer zeigt Ihre IP dem Telefondienst, nicht der angerufenen Person; diese bekommt eine Rufnummernanzeige [2]. Der Test gehört zu den Prüfungen zu Datenschutz und Sicherheit, die ich vor dem Telefonieren im Browser empfehle.

Die wichtigsten Fakten

Was ist ein WebRTC-Leak?

Vor einem WebRTC-Anruf sammelt der Browser mögliche Netzwerkwege, sogenannte ICE-Kandidaten, und übergibt sie der Webseite, die sie an die Gegenseite weiterreicht. Jeder enthält eine IP-Adresse oder, anstelle einer verborgenen lokalen Adresse, einen zufälligen .local-Namen. Eine gewöhnliche Website sieht nur die öffentliche Adresse, von der Ihre Anfrage kam; über WebRTC kann eine Seite mehr erfahren [1]. Ein Leak ist jede Adresse in dieser Liste, die Sie nicht teilen wollten.

Wie der Rest eines Anrufs übertragen wird, steht in WebRTC, SIP und das Telefonnetz; für Leaks zählt nur die Kandidatenliste. MDN weist darauf hin, dass deren Adressen für die Seite immer sichtbar sind [6].

Die Adressen in einem WebRTC-Leak-Test und was jede verrät
KandidatentypAngezeigte AdresseDatenschutzrisiko
hostDie Adresse Ihres Geräts im lokalen Netz oder ein zufälliger Name mit der Endung .local, wenn der Browser sie verbirgt [7][3]Geringer als bei einer öffentlichen Adresse, doch die IETF nennt private IPv4-Adressen eine recht bedeutende Angriffsfläche für Fingerprinting [1]
srflx (server reflexive)Die öffentliche Adresse, die Ihr Router oder VPN einem STUN-Server zeigt [7]Hoch, wenn es bei eingeschaltetem VPN die Adresse Ihres Anbieters ist [1]
relayEine Adresse auf einem TURN-Server, der die Medien weiterleitet [7]Gering: Die Gegenseite sieht die Adresse des Relays, nicht Ihre [6]; der Betreiber des Relays sieht Sie trotzdem

Die IETF nennt den VPN-Fall den bedeutendsten, weil manche Menschen ein VPN nutzen, um anonym zu bleiben [1]. Die beiden anderen Fälle sind Ihre private Adresse und ein Proxy, den die Prüfungen von WebRTC umgehen, wodurch Ihre echte öffentliche Adresse sichtbar wird [1].

Gibt ein Anruf aus dem Browser Ihre IP-Adresse preis?

Dem Telefondienst gegenüber ja: Jede Website sieht Ihre öffentliche Adresse [1], und ein Anruf fügt eine Medienverbindung zu den Servern des Dienstes hinzu. Der Person, die Sie im Festnetz oder auf dem Handy anrufen, nicht: Der Anruf verlässt das Internet am Gateway des Anbieters [8], und das Telefonnetz übermittelt eine Rufnummer, keine IP-Adresse [2]. Anrufe von App zu App können zwei Geräte direkt verbinden.

Wer Ihre IP-Adresse sehen kann, je nach Art des Anrufs (offizielle Hilfeseiten, gelesen am 1. November 2026)
Art des AnrufsDer DienstDie angerufene Person
Browser zu einer Telefonnummer (Google Voice, TwinPhone, Yolla)Ja: Er betreibt die MedienverbindungNein: Sie sieht eine Rufnummer [2]
Kostenlose Web-Telefone (Call2Friends, Globfone)Ja: Call2Friends begrenzt kostenlose Anrufe pro IP-Adresse, und die Datenschutzerklärung von Globfone führt IP-Adressen unter den technischen Daten und Protokollen auf, die der Dienst verarbeitet [9][10]Nein: Sie sieht eine Rufnummer
Messenger, 1:1-AnrufJaJa: Laut Meta wird Ihre IP mit dem anderen Gerät geteilt [4]
WhatsAppJaMöglich, außer „IP-Adresse in Anrufen schützen“ ist aktiviert; Gruppenanrufe laufen immer über ein Relay [5]
TelegramJaMöglich: Laut der Telegram-Ankündigung von 2017 laufen Anrufe wann immer möglich Peer-to-Peer [11]

Bei Anrufen zu echten Nummern geht es darum, was der Dienst erfährt und speichert; was die angerufene Person stattdessen sieht, steht in welche Nummer erscheint, wenn Sie aus dem Browser anrufen.

So machen Sie einen WebRTC-Leak-Test

Eine Leak-Test-Seite tut, was ein Web-Telefon vor einem Anruf tut: Sie öffnet eine WebRTC-Verbindung, fragt einen STUN-Server, welche öffentliche Adresse er sieht, und zeigt jeden Kandidaten neben der Adresse an, die sie selbst über gewöhnliches HTTP sieht. Führen Sie den Test in jedem Browser aus, mit dem Sie telefonieren, zuerst mit ausgeschaltetem und dann mit eingeschaltetem VPN.

  1. VPN aus: Öffnen Sie eine Leak-Test-Seite, etwa den WebRTC Leak Test von BrowserLeaks. „Your Remote IP“ oben und „Public IP Address“ unter „Your WebRTC IP“ sollten übereinstimmen.
  2. VPN an: Laden Sie die Seite neu. „Your Remote IP“ sollte jetzt die Adresse des VPN zeigen.
  3. Listet der WebRTC-Abschnitt weiterhin die Adresse Ihres Anbieters, umgeht WebRTC den Tunnel [1].
  4. Ein lokaler Eintrag mit der Endung .local bedeutet, dass die Adresse verborgen ist [3]; ein unverschleierter Eintrag, der mit 192.168. oder 10. beginnt, ist es nicht.
  5. Bietet die Seite einen Mikrofontest an, erlauben Sie ihn und testen Sie erneut: Ein Web-Telefon braucht Mikrofonzugriff, und diese Berechtigung kann weitere Adressen freigeben [1]. Entfernen Sie die Berechtigung danach in den Website-Einstellungen [12].

Was sich in Chrome änderte, sobald das Mikrofon erlaubt war

Am habe ich in Chrome 156 auf einem Mac eine lokale Testseite ohne STUN-Server geladen, sodass keine Adresse an einen externen Server ging. Ohne Mikrofonberechtigung sah die Seite einen einzigen host-Kandidaten, benannt mit einer zufälligen Zeichenfolge mit der Endung .local [3]. Mit erlaubtem Mikrofon erhielt sie meine echte lokale IPv4-Adresse.

Das entspricht dem Standard, der die vollständige Adressliste nur mit Einwilligung erlaubt, etwa mit einer Mikrofonberechtigung [1]; WebKit, die Engine von Safari, beschrieb dieselbe Regel 2017 [13]. Ein Web-Telefon, dem Sie das Mikrofon erlauben, kann also Ihre lokale Adresse sehen: ein kleineres Risiko als Ihre öffentliche [1].

Browser-Einstellungen, die WebRTC-Leaks begrenzen

Brave dokumentiert für Nutzer eine Einstellung für WebRTC-IPs. Google dokumentiert die Steuerung in Chrome für Erweiterungen und Administratoren, Microsoft die von Edge als Administratorrichtlinie. Firefox verbirgt lokale Adressen standardmäßig und hat in about:config einen Ausschalter. Eine Regel gilt überall: Wer WebRTC abschaltet, legt auch Web-Telefone lahm, denn WebRTC überträgt den Anruf [14].

Steuerung der WebRTC-Adressen je Browser (Herstellerdokumentation, gelesen am 1. November 2026)
BrowserSteuerungWas sie ändertFolgen für Browser-Anrufe
BraveWebRTC IP handling policy in den Datenschutzeinstellungen, laut Braves Wiki (zuletzt 2018 bearbeitet) [15]Default Public Interface Only gibt keine lokalen Adressen preis [15]Medien laufen womöglich über einen Relay-Server [1]
ChromeErweiterungen können eine WebRTC IP handling policy setzen [16]; Administratoren die Richtlinie WebRtcIPHandling [17]Je nach Wert keine privaten Adressen mehr oder Medien nur über einen Proxy [17]Reine Proxy-Werte können Audio auf TCP zwingen, was laut IETF die Qualität mindert [1]
EdgeAdministratorrichtlinie WebRtcLocalhostIpHandling [18]Zwei ihrer Werte verhindern, dass die lokale IP-Adresse sichtbar wird [18]Wie in Chrome
FirefoxLokale Adressen standardmäßig verborgen [19]; media.peerconnection.enabled in about:config [20]Steht diese Einstellung auf false, ist WebRTC abgeschaltetWeb-Telefone funktionieren nicht mehr
SafariEingebaute RegelSeiten ohne Mikrofon- oder Kamerazugriff erhalten keine host-Adressen, wie WebKit es 2017 beschrieb [13]Keine

Was ein VPN bei Browser-Anrufen ändert

Ein VPN, das den gesamten Verkehr einschließlich WebRTC durch seinen Tunnel schickt, zeigt dem Telefondienst die Adresse des VPN statt Ihrer eigenen. Ein VPN mit Split-Tunneling lässt WebRTC womöglich auch die Adresse Ihres Anbieters finden [1], daher der Leak-Test bei eingeschaltetem VPN. Ein VPN hat außerdem Nebenwirkungen beim Telefonieren.

So bleibt Ihre IP-Adresse bei Anrufen privat

Passen Sie die Lösung an den Anruf an. Bei Anrufen zu Telefonnummern bekommt die angerufene Person Ihre IP nicht; wählen Sie also einen Dienst, dem Sie sie anvertrauen, und prüfen Sie Ihr VPN. Bei Anrufen von App zu App kann sich das andere Gerät direkt mit Ihrem verbinden; nutzen Sie dann die Relay-Einstellung der App, sofern es eine gibt.

  1. Browser-Anrufe: Machen Sie den Leak-Test mit eingeschaltetem VPN; wählen Sie in Brave Default Public Interface Only [15].
  2. Mikrofon: Erteilen Sie die Berechtigung bei Web-Telefonen, die Sie nur einmal nutzen, nur für dieses eine Mal [12]; bei meinem Chrome-Test konnte eine Seite mit dieser Berechtigung die lokale Adresse sehen.
  3. WhatsApp: Schalten Sie „IP-Adresse in Anrufen schützen“ ein. Die Hilfeseite deckt Android, iOS und Mac ab, nicht das Web, und warnt, dass über Relays geleitete Anrufe etwas an Qualität verlieren können [5].

Häufige Fragen

Was ist ein WebRTC-Leak-Test?

Ein WebRTC-Leak-Test ist eine Webseite, die den Verbindungsaufbau eines Browser-Anrufs durchspielt und jede IP-Adresse auflistet, die Ihr Browser anbietet, neben der Adresse, die die Seite über gewöhnliches HTTP sieht. Steht bei eingeschaltetem VPN die Adresse Ihres Anbieters in dieser Liste, umgeht WebRTC den Tunnel [1]; ein zufälliger .local-Name bedeutet, dass Ihre lokale Adresse verborgen ist [3].

Kann die Person, die ich aus dem Browser anrufe, meine IP-Adresse sehen?

Nein, nicht bei einem Anruf ins Festnetz oder auf ein Handy. Der Anbieter macht an seinem Gateway aus dem Audio Ihres Browsers einen Telefonanruf [23], und das Telefonnetz übermittelt eine Rufnummer, keine IP-Adresse [2]. Anrufe von App zu App sind anders: Messenger sagt, dass 1:1-Anrufe Ihre IP mit dem Gerät der anderen Person teilen [4].

Verhindert ein VPN WebRTC-Leaks?

Ein VPN, das den gesamten Verkehr einschließlich WebRTC durch seinen Tunnel leitet, schon. Ein VPN mit Split-Tunneling womöglich nicht, weil WebRTC neben der Adresse des VPN die öffentliche Adresse Ihres Anbieters entdecken kann [1]. Sicher wissen Sie es nur durch einen Leak-Test bei verbundenem VPN, in jedem Browser, den Sie nutzen, und nach Updates erneut.

Ist ein Leak der lokalen IP-Adresse gefährlich?

Weniger als ein Leak der öffentlichen Adresse. Eine private Adresse wie 192.168.1.20 verrät nicht, wo Sie sind, doch die IETF nennt private IPv4-Adressen eine recht bedeutende Angriffsfläche für Fingerprinting, über die sich normale und private Browsersitzungen auf einem Gerät verknüpfen lassen [1]. Firefox verbirgt lokale Adressen standardmäßig [19], Safari verbirgt sie vor Seiten ohne Mikrofon- oder Kamerazugriff [13], und bei meinem Test tat Chrome dasselbe.

Verhindern Inkognito-Modus oder privates Surfen WebRTC-Leaks?

Nein. Die IETF weist darauf hin, dass eine über WebRTC offengelegte private Adresse als Kennung dienen kann, die einer Website verrät, dass ein normales und ein privates Fenster auf demselben Gerät laufen [1]; der private Modus allein verbirgt sie also nicht. Nutzen Sie die Browser-Einstellungen oben und machen Sie den Leak-Test zusätzlich in einem privaten Fenster.

Helfen Browser-Erweiterungen gegen WebRTC-Leaks?

Teilweise. In Chrome kann eine Erweiterung die WebRTC IP handling policy des Browsers setzen, die Google als Abwägung zwischen Medienleistung und der Menge offengelegter lokaler Adressinformationen beschreibt [16]. Je nach Wert verbirgt das lokale Adressen oder zwingt Medien über einen Proxy, was Audio auf TCP verlagern und die Qualität mindern kann [1]. Machen Sie nach der Installation einen Leak-Test, um die Änderung zu bestätigen.

Wie schalte ich WebRTC in Firefox ab?

Geben Sie about:config in die Adressleiste ein, suchen Sie nach media.peerconnection.enabled und setzen Sie den Wert auf false. Im Quellcode von Mozilla ist diese Einstellung als Schalter für RTCPeerConnection beschrieben, und das Abschalten nimmt Seiten auch den Zugriff auf die Mikrofon-API [20]. Danach funktioniert kein Web-Telefon mehr; für die meisten Nutzer ist deshalb die Standardeinstellung von Firefox besser, die lokale Adressen bereits verbirgt [19].

Wie verhindere ich WebRTC-Leaks in Chrome?

Über eine Erweiterung oder eine Richtlinie, denn für diese beiden Wege dokumentiert Google die WebRTC-Adresseinstellungen von Chrome. Eine Erweiterung kann die WebRTC-IP-Handling-Richtlinie setzen [16], und Administratoren können WebRtcIPHandling festlegen, dessen Wert default_public_interface_only WebRTC die Nutzung privater Adressen untersagt [17]. Bei meiner Prüfung in Chrome sah eine Seite ohne Mikrofonberechtigung ohnehin nur einen zufälligen .local-Namen [3]. Hinter einem VPN hilft wirklich nur ein Tunnel, der den gesamten Datenverkehr führt [1]. Alles, was WebRTC komplett blockiert, verhindert auch Anrufe im Browser [14].

Kann eine Website meine IP-Adresse über WebRTC sehen, ohne zu fragen?

Ihre öffentliche Adresse ja, aber die sehen Websites ohnehin: Safari etwa gibt Seiten ohne Mikrofonzugriff nur Adressen, die eine Website sowieso ermitteln könnte [13]. Der Haken ist ein Proxy im Browser. Ist direkter Internetzugang erlaubt, können die STUN-Prüfungen von WebRTC den Proxy umgehen und Ihre echte öffentliche Adresse verraten [1]. Lokale Adressen sind besser geschützt: Der Standard knüpft die vollständige Liste an eine Einwilligung wie die Mikrofonberechtigung [1], und bei meiner Prüfung in Chrome sah eine Seite ohne diese Berechtigung nur einen zufälligen .local-Namen [3].

KI zu dieser Recherche befragen

Jede Schaltfläche öffnet den Assistenten in einem neuen Tab und bittet ihn, diese Seite zusammenzufassen und sie per Link als Quelle anzugeben.

Quellen

  1. RFC 8828: WebRTC IP Address Handling Requirements · IETF (RFC Editor) · geprüft am 1. November 2026
  2. 47 CFR 64.1601 -- Delivery requirements and privacy restrictions | eCFR · US Code of Federal Regulations (eCFR) · geprüft am 1. November 2026
  3. Using Multicast DNS to protect privacy when exposing ICE candidates (draft-ietf-mmusic-mdns-ice-candidates) · IETF (Internet-Draft, work in progress) · geprüft am 1. November 2026
  4. Voice call someone or a group on Messenger - Messenger Help Center (Computer) · geprüft am 1. November 2026
  5. How to protect your IP address on WhatsApp calls | WhatsApp Help Center · WhatsApp · geprüft am 1. November 2026
  6. RTCIceCandidate: address property - Web APIs | MDN · MDN Web Docs (Mozilla) · geprüft am 1. November 2026
  7. RTCIceCandidate: type property - Web APIs | MDN · MDN Web Docs (Mozilla) · geprüft am 1. November 2026
  8. Make calls | Sonetel help · geprüft am 1. November 2026
  9. Free call | Call2Friends - Online call · geprüft am 1. November 2026
  10. Privacy Policy | Globfone · geprüft am 1. November 2026
  11. Voice Calls: Secure, Crystal-Clear, AI-Powered | Telegram Blog (30 March 2017) · Telegram · geprüft am 1. November 2026
  12. Use your camera and microphone in Chrome - Computer - Google Chrome Help · Google · geprüft am 1. November 2026
  13. A Closer Look Into WebRTC | WebKit (3 July 2017) · WebKit (Apple) · geprüft am 1. November 2026
  14. WebRTC API - Web APIs | MDN · MDN Web Docs (Mozilla) · geprüft am 1. November 2026
  15. WebRTC Custom Settings · brave/brave-browser Wiki · Brave Software (official GitHub wiki) · geprüft am 1. November 2026
  16. chrome.privacy | API | Chrome for Developers · Google (Chrome for Developers) · geprüft am 1. November 2026
  17. Chrome Enterprise policy list: WebRtcIPHandling (WebRTC IP handling) · Google (Chrome Enterprise) · geprüft am 1. November 2026
  18. Microsoft Edge Browser Policy Documentation WebRtcLocalhostIpHandling | Microsoft Learn · Microsoft · geprüft am 1. November 2026
  19. Firefox source: modules/libpref/init/all.js (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · geprüft am 1. November 2026
  20. Firefox source: modules/libpref/init/StaticPrefList.yaml (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · geprüft am 1. November 2026
  21. Terms of Use – TextNow · geprüft am 1. November 2026
  22. Privacy Policy – Privacy & Terms – Google · Google · geprüft am 1. November 2026
  23. Call From Your Browser Without a SIM Card - TwinPhone · geprüft am 1. November 2026