Russlands KI-Filter gegen VPNs: Was er sieht, ohne zu entschlüsseln, und wo er danebenliegt

Darum geht es

Ein VPN verschlüsselt alles, was durch den Tunnel läuft. Trotzdem will Russlands Medienaufsicht Roskomnadzor solche Tunnel künftig mit einer KI finden. Die Fachzeitschrift Forbes Russland hat dazu den Programmpass der Behörde für die Digitalisierung 2026–2028 ausgewertet. Darin steht, dass die Behörde einen Filtermechanismus mit maschinellem Lernen entwickelt und dafür 2,27 Milliarden Rubel ausgegeben hat, grob 25 Millionen Euro. Laut 3DNews und der Moscow Times ist das System in die ASBI eingebunden. Über dieses zentrale Steuersystem lenkt Roskomnadzor die TSPU, also die Filterboxen, die bei jedem Provider im Datenstrom hängen.

Dieser Artikel klärt zwei Fragen. Was kann so ein Filter überhaupt sehen? Und was hat die öffentliche Forschung dazu gemessen? Unsere These: Gute Erkennungsalgorithmen gibt es längst. Ausschlaggebend ist die Basisrate, also wie selten das Gesuchte im gesamten Verkehr vorkommt. Wer auf Landesebene filtert, sperrt unweigerlich viele harmlose Verbindungen. Wie gut die KI arbeitet, ist deshalb zweitrangig. Wichtiger ist, wie viel Kollateralschaden der Staat hinzunehmen bereit ist.

Was belegt ist und was nicht

Ganz neu ist die Zahl nicht. Schon im Januar 2026 meldete Kommersant unter Berufung auf Forbes, dass Roskomnadzor 2,27 Milliarden Rubel für ein solches System plant. Neu ist, dass das aktuelle Programmdokument die Entwicklung als erledigt verbucht. Unabhängig bestätigt ist das nicht. Das Modell ist laut Dokument „inländisch“, läuft auf eigener Infrastruktur und ist kein großes Sprachmodell. Einen Namen nennt das Dokument nicht. Im Frühjahr war von Astra AI der Gruppe Astra die Rede, im neuen Papier fehlt dieser Name. Laut Rambler kommt das Wort VPN in der Beschreibung des Mechanismus nicht einmal ausdrücklich vor. Testergebnisse, Trefferquoten und Fehlalarmstatistiken hat die Behörde nicht veröffentlicht.

Einen Rahmen für die Summe liefert der Haushalt. Laut Meduza sind für die nächsten drei Jahre rund 60 Milliarden Rubel für Verkehrsfilterung eingeplant. Allein für Aufbau und Modernisierung der TSPU im laufenden Jahr sind es 3,99 plus 6,2 Milliarden Rubel. Laut Vërstka soll die Kapazität bis 2030 auf 954 Terabit pro Sekunde steigen. Signaturbasierte VPN-Sperren sollen dann zu 92 Prozent wirken. Im Oktober wurde zudem ein Vorschlag des Digitalministeriums bekannt, mit KI 95 Prozent zu erreichen. Das Ministerium bestreitet, dass dieser Vorschlag noch im aktuellen Planentwurf steht.

Was ein Filter sieht, ohne etwas zu entschlüsseln

Die Verschlüsselung verbirgt den Inhalt. Die Form eines Datenstroms bleibt aber sichtbar, ähnlich wie bei einem verschlossenen Brief, dessen Gewicht, Format und Absenderadresse jeder sehen kann. Dmitri Kuteinikow von RKS Global vermutet laut Moscow Times ein Vorhersagemodell, das die Wahrscheinlichkeit einer VPN-Nutzung aus äußeren Merkmalen schätzt. Die Forschung kennt vor allem diese vier Ansatzpunkte:

• Zufälligkeit (Entropie): Gut verschlüsselte Daten sehen aus wie Rauschen. Chinas Great Firewall prüfte laut einer Studie von GFW Report (USENIX Security 2023) ab November 2021 die erste Nachricht jeder Verbindung. Entscheidend war dabei, wie viele Bits pro Byte gesetzt sind und ob druckbare Zeichen vorkommen. Was nach reinem Zufall aussah und weder TLS noch HTTP ähnelte, wurde gesperrt.
• Paketgrößen und Taktung: Der Verbindungsaufbau eines Protokolls hat typische Größen und Abläufe. Das bleibt sichtbar, auch wenn jedes Byte verschlüsselt ist.
• TLS in TLS: Ein Proxy wie VLESS tarnt sich als normale HTTPS-Verbindung. Ruft der Nutzer durch den Tunnel aber selbst eine HTTPS-Seite auf, steckt ein zweiter Verbindungsaufbau im ersten. Dessen Hin und Her von Paketen erzeugt ein erkennbares Muster.
• Server und Umfeld: Ein Server im Rechenzentrum eines ausländischen Hosters verhält sich anders als ein großes Webportal. Das Digitalministerium wollte laut Kommersant auch das Verhalten des Knotens, den Hoster und benachbarte IP-Adressen auswerten.

Was die Forschung gemessen hat

Die OpenVPN-Studie zeigt, wie dünn viele Tarnungen sind. Die meisten „verschleierten“ kommerziellen Dienste nutzten nur einen simplen XOR-Patch, also eine einfache Bitumkehrung nach festem Muster. Die Erkennung lief zweistufig: Zuerst wurden verdächtige Verbindungen passiv vorsortiert, dann prüften die Forscher die Server mit gezielten Testanfragen. Bei der TLS-in-TLS-Studie betonen die Autoren einen Grundsatz: Zufälliges Auffüllen (Padding) und das Bündeln vieler Verbindungen (Multiplexing) verringern weder die Größe der Datenschübe noch die Zahl der Hin-und-her-Runden. Die Entwickler von REALITY schreiben in ihrem GitHub-README selbst, andere Proxyprotokolle hätten

„offensichtliche und bereits gezielt angegriffene TLS-in-TLS-Merkmale“.

Das eigentliche Problem: die Basisrate

Die Studie von Wails und Kollegen rechnet vor, was Laborwerte verschweigen. Ein früherer Klassifikator traf bei einem 50:50-Testdatensatz in 97 Prozent der Fälle richtig. Fiel der Anteil der Tunnelverbindungen auf 0,1 Prozent, waren nur noch 3 Prozent seiner Treffer echt. Der Grund ist simple Arithmetik: Eine kleine Fehlerquote auf eine riesige Menge harmloser Verbindungen ergibt mehr Fehlalarme, als es echte Tunnel gibt.

Unsere eigene Beispielrechnung pro 10 Millionen Verbindungen. Der Klassifikator erkennt 99 Prozent der Tunnel:

Zwei Einschränkungen gehören dazu. Erstens ist die Basisrate in Russland vermutlich höher als in den Tor-Daten. Laut Carnegie nutzt über die Hälfte der 18- bis 45-Jährigen VPNs, verlässliche Zahlen pro Verbindung gibt es aber nicht. Zweitens nennt Wails selbst die Lösung: Wer nicht jede Verbindung einzeln bewertet, sondern Indizien pro Server über die Zeit sammelt, findet die Umgehungsserver in ihren Daten fehlerfrei. In der Praxis heißt das, ganze IP-Adressen zu sperren. Genau dort entsteht der Kollateralschaden, denn hinter einer Hoster-IP liegen oft auch harmlose Dienste. Nach Angaben einer Vërstka-Quelle liegt die Fehlerquote der bisherigen Algorithmen bei 5 bis 6 Prozent.

Was Russland heute schon tut, ganz ohne KI

Dass Russland Kollateralschäden in Kauf nimmt, zeigen die Messungen der Community. Seit Juni 2025 dokumentiert ein net4people-Thread Folgendes: Verbindungen zu „verdächtigen“ ausländischen Rechenzentren wie Hetzner oder DigitalOcean frieren nach etwa 15 bis 20 KB ein, ohne Fehlermeldung. Der Verfasser betont, es spiele keine Rolle, ob es sich um echtes HTTPS oder eine Imitation handle. Mit einem Werkzeug im Repository hyperion-cs/dpi-checkers lässt sich das prüfen. Seit November 2025 berichten Nutzer in einem weiteren Thread, dass manche Heimprovider VLESS+REALITY+Vision auf Port 443 stören. Auslöser ist offenbar die Zahl gleichzeitiger TLS-Verbindungen, nicht ihr Inhalt.

Hinzu kommt der Druck auf die Dienste selbst. Laut Meduza sperren seit Mitte April 2026 Gosuslugi, Sberbank, Ozon, Wildberries und Yandex-Dienste Nutzer mit aktivem VPN aus. Das trifft auch Russen im Ausland. Am 3. April fielen laut The Record stundenlang die Kartenzahlungen großer Banken aus, sogar an den Drehkreuzen der Moskauer Metro. Natalja Kasperskaja machte die VPN-Sperren verantwortlich, offiziell blieb die Ursache ungeklärt.

Gegenmittel und ihr Preis

Die Forschung nennt die Gegenmittel recht klar. Gegen Chinas Entropieregeln reichten 2023 druckbare Anfangsbytes. Gegen TLS-in-TLS empfehlen Xue et al., zusätzlich die Datenschübe aktiv zu formen, also künstliche Pausen und einheitliche Paketgrößen. Das kostet Tempo und Datenvolumen. XTLS-Vision geht den umgekehrten Weg: Es reicht die inneren TLS-Daten durch, statt sie doppelt zu verschlüsseln, und ist dadurch laut Xray-Dokumentation sogar mehrfach schneller. Gerade Vision geriet aber 2025 in Russland ins Visier. AmneziaVPN räumt laut Tom's Guide ein, dass die Zufallspakete seiner Versionen 1.0 und 1.5 2026 nicht mehr genügen. Ein Rezept gegen die pauschale 16-KB-Grenze hat bisher niemand gefunden.

Einordnung

Unsere Einschätzung: Der 2,27-Milliarden-Filter ist weniger ein technischer Durchbruch als ein Werkzeug, um das bestehende Katz-und-Maus-Spiel zu beschleunigen. Denkbar ist laut Rambler, dass das Modell gar nicht live im Datenstrom rechnet. Es könnte auch neue Signaturen erzeugen, die die TSPU dann stumpf anwenden. Alexej Lukazki von Positive Technologies warnt, eine Echtzeit-KI könne zum Flaschenhals werden. Die Forschung belegt, dass sich verschleierte Tunnel erkennen lassen. Sie belegt aber ebenso, dass jede Erkennung auf Landesebene harmlose Verbindungen mitreißt. Ob das ML-System überhaupt besser ist als die bisherigen Signaturen, ist völlig offen, denn Roskomnadzor legt keine Zahlen vor. Kudrjaschow von Strategy Partners hält einen Fehlgriff bei Firmen-VPNs, Cloud-Diensten und Sprachverkehr für teurer als einen durchgerutschten VPN-Nutzer. Russlands bisheriges Vorgehen mit 16-KB-Grenze, Hostersperren und VPN-Bann bei Banken deutet darauf hin, dass der Staat diese Kosten bewusst in Kauf nimmt. Die Algorithmen sind dabei nicht der Engpass. Die Grenze setzt allein, wie viel Ärger Moskau bereit ist, seiner eigenen Wirtschaft zuzumuten.