Split Tunneling: Apps sicher ein- und ausschließen

Kurz erklärt: Mit Split Tunneling entscheidest du, welcher Datenverkehr durch den VPN-Tunnel läuft und welcher direkt über deine normale Internetverbindung geht. Je nach VPN-App gibt es zwei Grundmodelle: Fast alle Programme nutzen das VPN und nur wenige Ausnahmen verbinden direkt – oder nur ausgewählte Apps laufen durch das VPN, während der Rest direkt verbindet.

Meine klare Empfehlung für den Start: Lass zunächst alles durch das VPN laufen und richte nur Ausnahmen ein, die ein konkretes Problem lösen. Prüfe danach immer die tatsächlich geregelte App. Ein IP-Test im Browser beweist nicht automatisch, welchen Weg ein Spiel, Cloud-Client oder Hintergrunddienst nimmt.

Inhaltsverzeichnis

Eine App soll ins VPN, die andere nicht – und plötzlich wird es kompliziert

Ein Browser soll einen bestimmten VPN-Standort nutzen, der Drucker muss erreichbar bleiben und ein Spiel soll testweise direkt verbinden. Klingt nach drei schnellen Einstellungen. In der Praxis tauchen sofort weitere Fragen auf: Erfasst die Regel nur die sichtbare App oder auch Launcher und Hilfsprozesse? Welchen DNS-Dienst nutzt der direkte Pfad? Und was passiert, wenn das VPN kurz abbricht?

Genau deshalb ist Split Tunneling kein allgemeiner Geschwindigkeitsknopf. Es ist eine Routing-Regel. Sie kann ein konkretes Kompatibilitäts- oder Standortproblem elegant lösen, sollte aber so klein und nachvollziehbar bleiben, dass du ihre Wirkung jederzeit erneut prüfen kannst.

Was ist Split Tunneling?

Bei einer Full-Tunnel-Verbindung führt die VPN-App den vorgesehenen Internetverkehr durch den verschlüsselten VPN-Tunnel. Webseiten und Dienste sehen dabei in der Regel die öffentliche Ausgangsadresse des VPN-Servers statt der normalen Anschlussadresse.

Split Tunneling teilt diesen Verkehr nach Regeln auf. Abhängig vom Anbieter kann eine Regel an eine App, eine ausführbare Datei, eine IP-Adresse, ein Subnetz oder einen Hostnamen gebunden sein. Diese Varianten lösen unterschiedliche Aufgaben:

Eine App-Regel versucht, den Verkehr eines bestimmten Programms zu erfassen.
Eine Zielregel richtet sich nach einer IP-Adresse, einem Subnetz oder Hostnamen – unabhängig davon, welche App dieses Ziel anspricht.
Eine LAN-Freigabe erlaubt lokale Verbindungen und ist eine eigene Funktion, nicht automatisch Split Tunneling.

Wird eine App bewusst am VPN vorbeigeleitet, nutzt sie die normale Systemverbindung oder einen anderen vorgesehenen Pfad. Sie erhält nicht automatisch die öffentliche VPN-IP, und ihr Verkehr läuft nicht durch den VPN-Tunnel. Das heißt nicht, dass jede Kommunikation dieser App unverschlüsselt ist: HTTPS oder eine Ende-zu-Ende-Verschlüsselung der Anwendung sind getrennte Schutzmechanismen.

Apps vom VPN ausschließen oder einschließen: So wählst du den Modus

Die Bezeichnungen in VPN-Apps sind leider nicht einheitlich. Je nach Anbieter findest du Begriffe wie Include, Exclude, Inclusive, Exclusive, Inverse, Bypass VPN oder Only VPN. Verlasse dich deshalb nicht auf den Namen. Entscheidend ist immer die Antwort auf eine Frage: Was geschieht mit allen Apps, für die du keine eigene Regel angelegt hast?

Fast alles nutzt das VPN, wenige Ausnahmen verbinden direkt

Hier bleibt der VPN-Pfad der Standard. Nur ausdrücklich ausgewählte Apps oder Ziele umgehen den Tunnel. Dieses Modell ist meist leichter zu überblicken, wenn du nur wenige klar begründete Ausnahmen brauchst.

Nur ausgewählte Apps nutzen das VPN, der Rest verbindet direkt

Hier arbeitet der größte Teil des Systems außerhalb des VPN-Tunnels. Nur ausdrücklich ausgewählte Apps werden durch das VPN geleitet. Das kann praktisch sein, wenn zum Beispiel nur ein separater Browser einen anderen Standort verwenden soll. Neue Apps und nicht erfasste Hintergrundprozesse landen jedoch zunächst auf dem direkten Pfad.

Für Einsteiger ist das erste Modell in der Regel besser nachvollziehbar. Das ist keine technische Pflicht und keine Aussage über einen bestimmten Anbieter. Wenige bewusst gesetzte Ausnahmen lassen sich einfacher kontrollieren als eine lange Liste von Programmen, die überhaupt erst in den Tunnel aufgenommen werden müssen.

Vergleich der zwei Split-Tunneling-Grundmodelle: fast alle Apps im VPN mit wenigen direkten Ausnahmen oder nur ausgewählte Apps im VPN bei ansonsten direkter Verbindung. — Entscheidend ist nicht der vom Anbieter verwendete Modusname, sondern ob standardmäßig das VPN oder die direkte Verbindung genutzt wird.

Welche Apps gehören durch den VPN-Tunnel?

Eine universelle Liste gibt es nicht. Beantworte für jede App vier Fragen:

Benötigt sie die VPN-IP, einen bestimmten VPN-Standort oder den VPN-Schutzpfad?
Welche Folgen hätte die direkte Verbindung für Privatsphäre, Standort, Kontinuität und Kompatibilität?
Besteht die Anwendung aus mehreren Prozessen, und kann die Regel diese vollständig erfassen?
Lässt sich der gewählte Pfad reproduzierbar prüfen und nach Updates erneut kontrollieren?

Hauptbrowser

Ein Browser bündelt oft allgemeines Surfen, Logins, Banking, Streaming und Arbeitsdienste. Deshalb ist Full Tunnel ein guter Ausgangspunkt. Möchtest du nur einzelne Aufgaben über einen anderen Pfad erledigen, ist ein separater Browser häufig übersichtlicher als zahlreiche Website-, IP- oder App-Ausnahmen.

Bei einer Browserregel prüfst du öffentliche IP, DNS beziehungsweise Secure DNS und WebRTC. Starte den Browser nach jeder Änderung vollständig neu. Weit gefasste IP-Ausnahmen für große Webseiten sind ungeeignet, weil Dienste wechselnde oder gemeinsam genutzte Adressen verwenden können.

Online-Banking und Zahlungsdienste

„Banking immer ohne VPN“ ist genauso zu pauschal wie „Banking immer mit VPN“. Relevant sind dein aktuelles Netzwerk, mögliche VPN-Blockaden, ungewöhnliche Standortwechsel und die Hinweise deiner Bank.

Im vertrauenswürdigen Heimnetz kann ein direkter Pfad ein konkretes Kompatibilitätsproblem vermeiden. In einem öffentlichen Netzwerk kann der VPN-Pfad einen anderen Nutzen haben. HTTPS und VPN erfüllen unterschiedliche Aufgaben. Entscheide daher nicht nach einer starren App-Liste.

Messenger und E-Mail

Full Tunnel ist ein sinnvoller Ausgangspunkt, wenn die gesamte Anwendung einschließlich ihrer Hintergrundprozesse zuverlässig erfasst wird. Ein direkter Pfad kommt eher bei einem klaren Server-, SMTP-, LAN- oder Kompatibilitätsproblem infrage.

Achte auf Autostart, Push-Komponenten und Hintergrunddienste. Die sichtbare Haupt-App ist nicht zwingend der einzige Prozess. Außerdem ersetzt ein VPN keine Ende-zu-Ende-Verschlüsselung der Nachrichten.

Cloud-Synchronisation und Backups

Cloud-Clients übertragen häufig im Hintergrund. Full Tunnel passt, wenn ein konsistenter Schutzpfad wichtiger ist. Eine direkte Verbindung sollte nur ein nachweisbares Stabilitäts-, Durchsatz- oder Kompatibilitätsproblem lösen – und nicht pauschal als Beschleunigung gelten.

Prüfe, welcher Hintergrundprozess tatsächlich überträgt und was nach einem VPN-Abbruch oder Reconnect geschieht. Während eines Tests sollten keine sensiblen Dateien synchronisiert werden.

Download- und P2P-Clients

Soll ein Client ausdrücklich über das VPN laufen, brauchst du einen nachweisbaren VPN-Pfad. Je nach Anbieter kann das Full Tunnel oder eine offiziell unterstützte Only-VPN-Regel sein. Prüfe Hauptprozess, Hilfsprozesse, Link-Handler, Reconnect und die dokumentierte Kill-Switch-Unterstützung.

Eine einzelne App-Regel garantiert nicht, dass jede Verbindung des Clients erfasst wird. Dieser Ratgeber enthält außerdem keine Anleitung zur Umgehung rechtlicher oder technischer Beschränkungen.

Streaming

Beim Streaming hängt die Route vom gewünschten Standort und vom Dienst ab. Ein VPN-Pfad kann für einen anderen Standort benötigt werden; eine direkte Verbindung kann lokale Inhalte oder die App-Kompatibilität unterstützen.

Unterscheide Browser und native App. Beide können andere Prozesse, DNS-Pfade oder DRM-Komponenten verwenden. Split Tunneling garantiert weder den Zugriff auf einen Dienst noch eine zuverlässige Steuerung über eine einzelne IP- oder Hostname-Regel.

Gaming und Game-Launcher

Spiele gehören nicht pauschal außerhalb des VPN. Direkte Verbindung, VPN und gegebenenfalls Gaming-Booster müssen unter denselben Bedingungen verglichen werden.

Prüfe Launcher, Spiel-EXE, Hilfsprozesse, Anti-Cheat, Voice-Chat und Update-Dienst. Ein direkter Pfad liefert nicht automatisch den niedrigsten Ping. Ebenso verbessert ein VPN nicht automatisch die Route. Entscheidend ist das reproduzierbare Ergebnis für das konkrete Spiel.

Drucker, NAS, Medienserver und Smart Home

Für lokale Geräte prüfst du zuerst die LAN- oder lokale Netzwerkfreigabe deines VPN-Clients. Mehrere Anbieter behandeln sie getrennt vom Split Tunneling. Eine private IP- oder Subnetzregel ist erst die zweite Wahl, sofern dein Anbieter sie offiziell unterstützt.

Aktiviere LAN- und Multicast-Freigaben nur in einem vertrauenswürdigen Netzwerk. Auf öffentlichen Netzen können solche Ausnahmen zusätzliche Geräte im selben Subnetz erreichbar machen. Manuelle Firewall- oder Routingregeln gehören nicht in den normalen Lösungsweg.

Systemdienste, Updates und Sicherheitssoftware

Betriebssystem-, Update-, Antivirus-, Firewall- und andere Sicherheitsprozesse solltest du nicht eigenmächtig aus dem VPN ausschließen. Ihre Prozessstruktur und Abhängigkeiten sind häufig nicht klar genug.

Eine Ausnahme ist nur sinnvoll, wenn eine konkrete aktuelle Hersteller- oder Anbieteranleitung sie verlangt. Bleibt die Wirkung unklar, behältst du Full Tunnel bei.

App-Entscheidungsmatrix für Split Tunneling mit den vier Kriterien Schutzbedarf, Kompatibilität, Prozessstruktur und Prüfbarkeit sowie typischen App-Kategorien. — Ob eine App den VPN-Tunnel oder den direkten Weg nutzt, entscheidet sich nicht an ihrer Kategorie, sondern an Zweck, Prozessstruktur und Prüfbarkeit.

Split Tunneling unter Windows einrichten

Die Menünamen unterscheiden sich je nach VPN-Anbieter. Der sichere Ablauf bleibt trotzdem ähnlich:

Notiere Windows-Version, Systemarchitektur, VPN-App und App-Version.
Prüfe in der offiziellen Hilfe, ob Split Tunneling mit deinem Betriebssystem, Protokoll und deiner Architektur unterstützt wird.
Dokumentiere Kill Switch, DNS- beziehungsweise Secure-DNS-Einstellung und LAN-Freigabe.
Deaktiviere zunächst alle Split-Regeln und verbinde das VPN als Full-Tunnel-Baseline.
Lies nach, was „alle anderen Apps“ im gewählten Modus tun.
Füge genau eine App-, IP-, Subnetz- oder Hostname-Regel hinzu.
Übernimm die Änderung und führe den vom Anbieter verlangten VPN-Reconnect aus.
Beende die Ziel-App vollständig und starte sie neu.
Prüfe Route und normale Funktionsfähigkeit.
Wiederhole denselben Lauf ohne weitere Änderung.

Unter Windows werden klassische Programme häufig über ihre EXE-Datei ausgewählt. Microsoft-Store- oder paketierte Apps können eine andere Behandlung benötigen oder vom Client nicht unterstützt werden. Auch Launcher und Hilfsprozesse zählen. Bei einem Spiel kann der Launcher im VPN laufen, während die eigentliche Spiel-EXE direkt verbindet – oder umgekehrt.

So prüfst du, welchen Weg eine App wirklich nutzt

Ein grünes Symbol in der VPN-App reicht nicht. Entscheidend ist der Pfad der tatsächlich geregelten Anwendung.

Lauf A: Full-Tunnel-Baseline

Deaktiviere die Split-Regeln oder stelle sicher, dass alle Apps das VPN nutzen. Verbinde das VPN und starte die Ziel-App neu. Dokumentiere die Funktionsfähigkeit. Regelst du einen Browser, kannst du zusätzlich öffentliche IP und DNS erfassen.

Lauf B: Genau eine Regel

Ändere nur einen Modus oder eine Regel. Führe den erforderlichen Reconnect aus und starte die App vollständig neu. Prüfe erneut die Funktionsfähigkeit sowie öffentliche IP und DNS, soweit diese Werte innerhalb der App belastbar sichtbar sind. Kontrolliere außerdem lokale Geräte und bekannte Hilfsprozesse.

Lauf C: Wiederholung

Wiederhole den Test ohne weitere Änderung. Nur ein reproduzierbares Ergebnis ist belastbar genug für eine Einordnung. Bei komplexen Anwendungen kontrollierst du Launcher, Zielprozess und Hintergrundkomponenten getrennt.

Ordne das Ergebnis anschließend einer Stufe zu:

Bestätigt im VPN: Die Ziel-App zeigt reproduzierbar den erwarteten VPN-Pfad.
Bestätigt direkt: Die bewusst ausgeschlossene App zeigt reproduzierbar die normale Verbindung. Das ist kein Leak, sondern die gewünschte Ausnahme.
Teilweise bestätigt: Das Funktionsverhalten passt, aber IP, DNS oder Nebenprozesse sind nicht vollständig nachweisbar.
Fehlkonfiguration oder Bypass-Hinweis: Eine App, die geschützt sein soll, arbeitet reproduzierbar direkt.
Nicht unterstützt oder unklar: Plattform, Architektur, App-Paket, DNS, Kill Switch oder Prozessmodell verhindern eine belastbare Prüfung.

Ein Browser-IP-Test bestätigt nur den Browser. Er beweist nicht das Routing eines Spiels, Messengers oder Cloud-Clients. Fehlt eine geeignete app-spezifische Diagnose, ist „teilweise bestätigt“ die ehrliche Einordnung.

Sechsstufige Prüfroutine für Split Tunneling von der Full-Tunnel-Baseline über eine einzelne Regel und den Reconnect bis zur Wiederholung und Ergebniseinordnung. — Eine Split-Tunneling-Regel ist erst belastbar, wenn sie nach Reconnect und App-Neustart reproduzierbar denselben App-Pfad zeigt.

DNS, Kill Switch und lokales Netzwerk getrennt prüfen

DNS kann trotz direkter App-Verbindung weiterhin über einen vom VPN-Client gesetzten Resolver laufen. Andere Clients lassen DNS der jeweiligen App-Regel folgen. Browser können zusätzlich einen eigenen DNS-Client und Secure DNS verwenden. Öffentliche IP und DNS sind deshalb zwei getrennte Prüfsignale.

Ein unbekannter DNS-Resolver ist nicht automatisch ein Leak. Vergleiche das Ergebnis mit deiner Baseline, der dokumentierten Anbieterfunktion und der Secure-DNS-Einstellung des Browsers.

Auch der Kill Switch verhält sich nicht in jeder VPN-App und auf jeder Plattform gleich. Manche Kombinationen unterstützen Split Tunneling und Kill Switch gemeinsam, andere nicht. Android kann mit Always-on-VPN und „Verbindungen ohne VPN blockieren“ bewusst direkte Ausnahmen vollständig vom Netz trennen.

Führe einen Disconnect-Test nur durch, wenn die aktuelle Anbieterhilfe die Kombination eindeutig beschreibt. Beende vorher sensible Sitzungen und Übertragungen. Ist das Verhalten unerwartet, entfernst du die Regel und stellst Full Tunnel wieder her.

Typische Fehler und die passende Gegenprobe

Die Regel zeigt keine Wirkung

Prüfe zuerst den Modus, die EXE beziehungsweise den App-Pfad und ob die App schon vor der Änderung geöffnet war. Führe den erforderlichen VPN-Reconnect und App-Neustart aus. Kontrolliere danach, ob Store-App, Architektur, Protokoll oder Betriebssystem überhaupt unterstützt werden.

Die App hat nach der Regel kein Internet

Mögliche Ursachen sind eine Only-VPN-Regel bei getrenntem VPN, Androids Systemsperre für Nicht-VPN-Verkehr, ein inkompatibler Kill Switch oder ein DNS-Modell, das nicht zur App-Regel passt. Schalte Schutzfunktionen nicht pauschal aus. Prüfe die offizielle Dokumentation und stelle bei unklarem Verhalten Full Tunnel wieder her.

Funktioniert nach einer Änderung nicht nur die Ziel-App, sondern der Internetzugriff mit aktivem VPN insgesamt nicht mehr, nutze den Ratgeber VPN verbunden, aber kein Internet unter Windows 11.

Nur ein Teil der Anwendung nutzt den gewünschten Pfad

Suche nach Launcher, Kindprozess, WebView, Update-Dienst oder Voice-Chat. Beende vorhandene Verbindungen und starte die gesamte Anwendung neu. Bei Store-Apps kann eine Gruppenregel nötig sein, wenn dein Anbieter sie unterstützt.

Lokale Geräte bleiben unerreichbar

Prüfe die separate LAN-Funktion, das Subnetz sowie Multicast und mDNS. Ein App-Bypass ist nicht automatisch die richtige Lösung für einen Drucker oder ein NAS. Aktiviere lokale Freigaben nur im vertrauenswürdigen Netz.

Öffentliche IP passt, aber DNS wirkt unerwartet

Prüfe systemweites VPN-DNS, eine Option wie „DNS folgt App-Regeln“, einen bewusst gewählten Custom-DNS sowie Secure DNS im Browser. Stelle außerdem sicher, dass der DNS-Test aus der tatsächlich geregelten App stammt.

Nach einem Update funktioniert die Regel nicht mehr

Kontrolliere VPN-App-Version und Release Notes, den ausführbaren Pfad und neue Hilfsprozesse. Manche Updates setzen Regeln zurück oder verändern unterstützte Plattformen und Protokolle. Wiederhole nach relevanten Updates die Baseline und den Ein-Regel-Test.

Wann Split Tunneling keine gute Idee ist

Bleibe bei Full Tunnel, wenn:

die App aus mehreren nicht zuverlässig erfassbaren Prozessen besteht,
du den tatsächlichen Pfad nicht ausreichend prüfen kannst,
Plattform, Architektur oder Protokoll nicht offiziell unterstützt werden,
DNS und Kill Switch widersprüchliche Ergebnisse liefern,
du dich in einem nicht vertrauenswürdigen Netzwerk befindest und direkte Ausnahmen nicht bewusst vertreten kannst,
eine einfachere LAN-Freigabe oder ein separates Browserprofil das Problem löst,
du die Konfiguration nach Updates nicht erneut kontrollieren kannst.

Je weniger Ausnahmen du benötigst, desto leichter erkennst du später, ob sie noch wie vorgesehen funktionieren.

Dexters klare Einordnung

Split Tunneling ist nützlich, wenn du einen konkreten Konflikt lösen willst: ein lokales Gerät erreichen, eine App direkt verbinden oder nur ein bestimmtes Programm über einen anderen Standort führen. Es ist aber keine Abkürzung zu mehr Geschwindigkeit oder mehr Sicherheit.

Der fuchsschlaue Weg ist hier nicht die längste Ausnahmeliste, sondern die kleinste Regelmenge, deren Wirkung du erklären und wiederholen kannst. Starte mit Full Tunnel. Formuliere die gewünschte Wirkung in einem Satz, füge genau eine Regel hinzu und prüfe den tatsächlichen App-Pfad. Bleibt das Ergebnis unklar, kehrst du zum nachvollziehbaren Ausgangszustand zurück.

Weitere Anleitungen zu VPN-Verbindungen und Fehlerdiagnosen findest du bei den weiteren VPN-Ratgebern und Fehlerlösungen.

Häufige Fragen

Ist Split Tunneling sicher?

Es kann sinnvoll und kontrollierbar sein, schafft aber bewusst einen Pfad außerhalb des VPN-Tunnels. Die Bewertung hängt von App, Regel, Plattform, DNS, Kill Switch und Prüfbarkeit ab. Full Tunnel bleibt der verständliche Ausgangspunkt.

Welche Apps sollte ich vom VPN ausschließen?

Keine App-Kategorie gehört automatisch außerhalb des VPN. Eine Ausnahme braucht einen konkreten Kompatibilitäts-, Standort-, LAN- oder Routinggrund und muss reproduzierbar geprüft werden.

Funktioniert Split Tunneling unter Windows 11?

Das hängt von VPN-Anbieter, App-Version, Systemarchitektur und teilweise vom verwendeten Protokoll ab. Prüfe die aktuelle offizielle Hilfe. Besonders ARM64- und Store-App-Grenzen können abweichen.

Kann ich nur einen Browser durch das VPN leiten?

Viele VPN-Clients unterstützen eine App-Regel für einen Browser. Prüfe danach öffentliche IP, DNS beziehungsweise Secure DNS und WebRTC in genau diesem Browser. Ein separater Browser ist häufig übersichtlicher als viele Website-Ausnahmen.

Funktionieren Kill Switch und Split Tunneling gleichzeitig?

Nicht einheitlich. Einige Anbieter unterstützen bestimmte Kombinationen, andere schränken sie nach Plattform oder Modus ein. Führe keinen Abbruchtest durch, bevor die aktuelle Anbieterhilfe das erwartete Verhalten beschreibt.

Warum verwendet eine ausgeschlossene App weiterhin einen VPN-DNS?

Manche VPN-Clients setzen ihren DNS-Dienst systemweit ein. Andere lassen DNS der App-Regel folgen. Zusätzlich kann ein Browser Secure DNS verwenden. Eine direkte öffentliche IP bedeutet daher nicht automatisch, dass auch DNS direkt läuft.

Warum funktioniert eine Microsoft-Store-App nicht wie ein klassisches Programm?

Store- und paketierte Apps können anders gruppiert oder vom VPN-Client nicht unterstützt werden. Manche Anbieter bieten Sonderregeln, andere nennen diese Apps ausdrücklich als Grenze. Eine pauschale Aussage für alle Clients ist nicht möglich.

Muss ich Split Tunneling nach einem Update erneut prüfen?

Ja. App-Versionen, ausführbare Pfade, Hilfsprozesse, Protokolle und Plattformunterstützung können sich ändern. Wiederhole nach relevanten Updates die Full-Tunnel-Baseline und den Test mit genau einer Regel.

Quellen und technische Grundlage

Die technischen Aussagen dieses Ratgebers wurden am 5. August 2026 anhand der folgenden Plattform- und Anbieter-Primärquellen geprüft. Anbieterhilfen belegen jeweils nur die Funktionsweise der eigenen App und werden nicht ungeprüft auf andere VPN-Clients übertragen.