Wie die Firewall von Repel funktioniert, ohne deinen VPN-Platz zu belegen

Android hat eine Regel, die jede Privatsphäre-App darauf prägt: Nur eine App gleichzeitig kann den VPN-Dienst nutzen. Zahlst du für ein Privatsphäre-VPN, belegt es diesen Platz, und die meisten Firewalls ohne Root brauchen denselben Platz, um zu funktionieren. Also müssen sich Leute zwischen ihrem VPN und ihrer Firewall entscheiden. Als wir Repel begonnen haben, war das Erste, was wir lösen wollten, dass man nicht wählen muss.

Dieser Beitrag erklärt in einfachen Worten, wie die Firewall von Repel das schafft und wie der DNS-Filter funktioniert.

Warum brauchen die meisten Firewalls den VPN-Platz?

Auf einem Handy ohne Root hat eine gewöhnliche App keinen Einfluss auf den Netzwerkverkehr anderer Apps. Der VPN-Dienst von Android ist die eine Tür, die offen steht: Eine App, die zum VPN wird, bekommt den Datenverkehr zu sehen und darf entscheiden, was damit geschieht. Eine so gebaute Firewall kann den Datenverkehr jeder gewählten App verwerfen. Das ist ein cleveres Design, das seit Jahren gut funktioniert, wie wir in Repel vs. NetGuard beschreiben.

Der Preis ist der Platz. Solange diese Firewall das VPN ist, kann es nichts anderes sein. Schaltest du dein Privatsphäre-VPN ein, stoppt die Firewall, oder umgekehrt.

Wie blockt Repel Apps ohne VPN?

Android selbst hat einen Schalter, der das Netzwerk für eine einzelne App ausschaltet. Er gehört zu den eigenen Netzwerkfunktionen des Systems und lässt sich ab Android 13 von der Shell des Handys umlegen, derselben Zugriffsstufe, die Entwicklerwerkzeuge haben. Gewöhnliche Apps kommen nicht heran, Repel braucht also einen Weg zu dieser Zugriffsstufe ohne Computer und ohne Root.

Dieser Weg ist der Power-Modus. Einmalig bei der Einrichtung schaltest du Drahtloses Debugging ein und koppelst Repel damit über den Code, den Android am Handy anzeigt. Repel startet dann einen kleinen eigenen Helfer mit Shell-Zugriff. Der Helfer erledigt eine kurze, feste Liste von Aufgaben und sonst nichts. Er nimmt keine beliebigen Befehle an und prüft jeden App-Namen, den er bekommt.

Schaltest du im Tab Apps von Repel eine App aus, bittet der Helfer Android, das Netzwerk für diese App auszuschalten. Von da an steckt die Sperre in den eigenen Netzwerkregeln von Android und nicht in einem Tunnel. Das hat ein paar Folgen, die uns gefallen:

• Dein VPN bleibt verbunden. Die Firewall berührt den VPN-Dienst nie, ein Privatsphäre-VPN kann also daneben laufen.
• Regeln halten bei geschlossenem Repel. Die Sperre steckt im System und bleibt bestehen, auch wenn Repel nicht läuft.
• Andere Firewalls werden respektiert. Manche andere Apps nutzen dieselben Systemfunktionen. Repel liest, was schon blockiert ist, bevor es etwas ändert, und schaltet keine Regeln ab, die eine andere App gesetzt hat.

Pro fügt klügere Regeln hinzu, etwa nur online im WLAN, nur mit mobilen Daten, nie im Roaming, bei ausgeschaltetem Bildschirm oder zur Schlafenszeit, dazu Profile für Zuhause, Arbeit und Reisen.

Was macht der DNS-Filter?

Die Firewall entscheidet, ob eine App überhaupt online gehen darf. Der DNS-Filter arbeitet feiner: Welche Ziele darf eine App erreichen?

Bevor eine App sich mit einem Server verbindet, fragt sie nach dessen Adresse anhand des Namens, zum Beispiel einer Tracking- oder Analyse-Domain. Diese Frage ist eine DNS-Abfrage. Der Filter von Repel betreibt auf dem Handy ein lokales VPN, das DNS-Abfragen bearbeitet und nichts sonst. Jede Abfrage wird mit den Blocklisten abgeglichen, die du wählst, etwa HaGeZi, OISD, 1Hosts oder StevenBlack, die Tracker, Malware, Phishing, Betrugsshops und Telemetrie der Handyhersteller abdecken. Eine blockierte Abfrage bekommt keine Antwort, die App erreicht diese Domain also nie. Eine erlaubte Abfrage geht verschlüsselt per DNS over HTTPS an den Server, den du gewählt hast.

Dein übriger Datenverkehr läuft nie durch den Filter, und an uns wird nichts gesendet. Das Aktivitätsprotokoll, das zeigt, welche App welche Domain abgefragt hat und ob sie blockiert wurde, bleibt auf dem Handy.

Das ist die eine Schicht, die den VPN-Platz belegt. Android lässt eine App die DNS-Abfragen anderer Apps nur sehen, wenn sie sie über sich selbst leitet, und der VPN-Dienst ist der Weg dafür ohne Root. Wenn du den ganzen Tag ein Privatsphäre-VPN laufen lässt, ist die praktische Lösung die Firewall plus Private DNS, die beide den Platz frei lassen.

Wo passt Private DNS hinein?

Android hat die eingebaute Einstellung Private DNS, die jede Abfrage verschlüsselt an einen Anbieter schickt, den du wählst. Wähle einen filternden Anbieter wie AdGuard DNS oder Quad9, und er blockt auf seiner Seite Tracker- und Malware-Domains für jede App, ganz ohne VPN. Repel kann diese Einstellung mit einem Tipp für dich umschalten, und sie wirkt weiter, auch wenn Repel geschlossen ist. Unser Ratgeber Private DNS auf Android erklärt die Einstellung genauer.

Ein Detail mussten wir richtig hinbekommen. Ist Private DNS auf einen bestimmten Anbieter gestellt, gehen Abfragen direkt dorthin und umgehen jeden Filter auf dem Handy. Solange der Filter von Repel an ist, legt Repel deine Private-DNS-Wahl deshalb beiseite und stellt sie wieder her, wenn der Filter stoppt. Jede Änderung, die du in der Zwischenzeit machst, wartet bis dahin.

Was passiert, wenn etwas schiefgeht?

Ein DNS-Filter sitzt im Weg jeder Verbindung, deshalb wiegen seine Ausfälle schwerer als die meisten. Fällt der DNS-Server aus, den Repel nutzt, tritt der Filter beiseite, statt dich abzuschneiden. Repel sagt dir auch, wenn die Blockliste nicht geladen werden kann, versucht es von selbst erneut und erklärt, was zu tun ist, wenn Android das VPN nicht erlaubt.

Wir sind auch klar darüber, was ein DNS-Filter nicht kann. Er arbeitet mit Domainnamen und kann deshalb nichts anfassen, was von derselben Stelle kommt wie der Inhalt, den du angefragt hast. Auf Android TV etwa kann er keine Werbung in Videostreams entfernen. Er blockt Tracker- und Malware-Domains, und so beschreiben wir ihn auch.

Welche Schichten solltest du nutzen?

Du kannst eine Schicht nutzen oder alle drei. Unser Ratgeber Tracker ohne VPN blockieren geht die Aufbauten durch, und Repel vs. RethinkDNS vergleicht einen anderen Ansatz für dasselbe Problem. Wofür du dich auch entscheidest: Es gibt kein Konto und keine Werbung, was wir in Warum unsere Apps keine Werbung haben erklären.