1. Was ist NetShield?
NetShield ist ProtonVPNs eingebauter Schutzfilter, der auf DNS-Ebene arbeitet. DNS steht für „Domain Name System" und ist vereinfacht gesagt das Telefonbuch des Internets: Wenn du eine Webseite aufrufst, fragt dein Gerät zuerst einen DNS-Server, welche IP-Adresse zu dieser Domain gehört. NetShield greift genau an diesem Punkt ein und blockiert Domains, die bekanntermaßen für Werbung, Tracking oder Malware genutzt werden, noch bevor dein Browser sie überhaupt aufruft.
Der entscheidende Vorteil gegenüber Browser-Erweiterungen: NetShield funktioniert systemweit auf allen Apps, nicht nur im Browser. Wenn eine Smartphone-App heimlich Tracker lädt oder Malware-Domains kontaktiert, blockiert NetShield das ebenfalls – ganz ohne dass du etwas installieren musst. Da die Filterung auf dem ProtonVPN-Server stattfindet, ist kein Ressourcenverbrauch auf deinem Gerät notwendig.
2. NetShield: zwei Schutzstufen
NetShield Level 1 – Malware-Schutz: Die erste Stufe blockiert ausschließlich Domains, die mit Malware, Schadsoftware, Phishing und anderen Bedrohungen in Verbindung stehen. Werbung und Tracker werden in dieser Stufe nicht geblockt. Diese Einstellung ist die sicherste Wahl für Nutzer, die Webseiten nicht optisch verändern wollen, aber trotzdem einen grundlegenden Schutz vor bösartigen Domains haben möchten.
NetShield Level 2 – Malware + Werbung + Tracker: Die zweite Stufe ist der vollständige Schutz. Neben Malware-Domains werden hier auch bekannte Werbe-Netzwerke und Tracking-Domains geblockt. Webseiten laden dadurch schneller, da Werbebanner und Tracking-Scripts gar nicht erst geladen werden. Diese Stufe empfehlen wir für den täglichen Einsatz, da sie den größten Mehrwert bietet.
3. Wie gut blockiert NetShield Werbung?
Im Test zeigt NetShield eine solide Leistung bei typischen Werbe- und Tracking-Domains. Bekannte Werbenetzwerke wie DoubleClick, Google Ads und zahlreiche Tracking-Dienste (Google Analytics, Facebook Pixel, diverse Drittanbieter-Tracker) werden zuverlässig blockiert. Webseiten, die stark auf Werbenetzwerke setzen, laden spürbar schneller, und die Tracking-Aktivität im Hintergrund wird deutlich reduziert.
Wichtig zu wissen: YouTube-In-Stream-Werbung wird nicht blockiert. Das ist eine technische Einschränkung aller DNS-basierter Filter, nicht nur von NetShield. YouTube liefert seine Werbung über dieselben Domains wie die eigentlichen Videos aus – ein DNS-Filter kann nur ganze Domains blockieren, nicht einzelne URLs oder Anfragen innerhalb einer Domain. Wer YouTube-Werbung blockieren möchte, braucht weiterhin eine Browser-Erweiterung. Bei Webseiten-Bannern und Display-Werbung arbeitet NetShield hingegen sehr gut und blockiert die überwiegende Mehrheit der bekannten Werbe-Domains.
Für die Malware-Blockierung gilt: NetShield nutzt regelmäßig aktualisierte Listen bekannter Malware-Domains. Das ist kein Ersatz für eine vollwertige Antivirus-Software, bietet aber eine nützliche zusätzliche Schutzschicht, besonders auf Mobilgeräten, auf denen klassische Antivirus-Apps seltener genutzt werden.
4. Vergleich mit Browser-Erweiterungen
Browser-Erweiterungen wie uBlock Origin arbeiten auf einer viel granulareren Ebene als NetShield. Sie können nicht nur ganze Domains blockieren, sondern auch einzelne Elemente innerhalb einer Webseite: spezifische Skripte, bestimmte CSS-Klassen, Inline-Werbung und Elemente, die über dieselbe Domain geladen werden wie der eigentliche Inhalt. Das macht sie bei bestimmten hartnäckigen Werbeformen – darunter YouTube-Pre-Roll-Ads – deutlich effektiver als jeder DNS-Filter.
Der Vorteil von NetShield ist die Systemweite Wirkung: Browser-Erweiterungen schützen nur den Browser, in dem sie installiert sind. NetShield schützt alle Apps auf deinem Gerät gleichzeitig – das Smartphone-Spiel, das heimlich Tracking-Requests abfeuert, die Nachrichten-App mit eingebetteter Werbung und jede andere App, die Netzwerkverbindungen aufbaut. Die ideale Kombination ist daher: NetShield für den systemweiten Basisschutz plus uBlock Origin (oder eine ähnliche Erweiterung) im Browser für granulare Filterung.
5. NetShield aktivieren
NetShield aktivieren ist denkbar einfach. Öffne die ProtonVPN-App auf deinem Gerät. Auf der Hauptseite siehst du direkt unterhalb des Verbindungs-Buttons die NetShield-Option, oder du findest sie unter Einstellungen → NetShield. Tippe darauf und wähle zwischen „Aus", „Schadsoftware blockieren" (Level 1) und „Werbung & Tracker blockieren" (Level 2). Die Einstellung wird sofort übernommen, du musst die VPN-Verbindung nicht neu starten.
NetShield ist auf allen Plattformen verfügbar, auf denen ProtonVPN läuft: Windows, macOS, Linux, Android und iOS. Die Einstellung gilt pro Gerät und wird nicht automatisch auf andere Geräte in deinem Konto übertragen. Wenn du NetShield auf deinem Smartphone und deinem Laptop haben möchtest, musst du es auf beiden Geräten aktivieren.
6. NetShield und Datenschutz
Eine häufige Frage: Wenn NetShield meine DNS-Anfragen filtert, sieht ProtonVPN dann, welche Webseiten ich besuche? Die Antwort ist nein. ProtonVPN hat eine strikte No-Log-Richtlinie, die unabhängig auditiert wurde. DNS-Anfragen werden ausschließlich zur Filterung genutzt und danach nicht gespeichert oder protokolliert. ProtonVPN hat keinen Anreiz, diese Daten zu speichern, und steht unter Schweizer Datenschutzrecht, das zu den strengsten der Welt gehört.
Im Vergleich zu einem öffentlichen DNS-Resolver (wie dem Standard-DNS deines Internetanbieters) ist NetShield ein klarer Datenschutzgewinn: Dein ISP sieht deine DNS-Anfragen normalerweise vollständig. Mit ProtonVPN laufen alle DNS-Anfragen durch den verschlüsselten VPN-Tunnel und landen bei ProtonVPNs eigenen DNS-Servern – unsichtbar für deinen Internetanbieter.
7. Verfügbarkeit: Nur mit Plus und Unlimited
NetShield ist kein Feature des kostenlosen ProtonVPN-Tarifs. Es steht ausschließlich im ProtonVPN Plus- und Unlimited-Tarif zur Verfügung. Wenn du ProtonVPN kostenlos nutzt, siehst du die NetShield-Option zwar in der App, kannst sie aber nicht aktivieren.
Für alle, die NetShield nutzen möchten, lohnt sich ein Blick auf unseren Vergleich ProtonVPN Free vs. Plus – dort erklären wir, welche Funktionen im Plus-Tarif enthalten sind und ob das Upgrade für dich sinnvoll ist. NetShield ist dabei nur einer von vielen Vorteilen des bezahlten Tarifs, zu denen auch Streaming-Server, Secure Core und höhere Geschwindigkeiten gehören.
Wie NetShield DNS-Anfragen technisch verarbeitet
Um zu verstehen, warum NetShield so effizient ist, lohnt sich ein genauerer Blick auf den DNS-Auflösungsprozess. Wenn dein Browser eine Domain aufrufen möchte – etwa analytics.google.com oder doubleclick.net –, sendet dein Betriebssystem zunächst eine DNS-Anfrage an den konfigurierten DNS-Resolver, um die zugehörige IP-Adresse zu erfahren.
NetShield sitzt genau an diesem Punkt: Da du mit ProtonVPN verbunden bist, landet deine DNS-Anfrage nicht beim ISP-Resolver, sondern beim ProtonVPN-eigenen DNS-Resolver. Dieser vergleicht die angefragte Domain mit einer regelmäßig aktualisierten Blockliste. Zwei mögliche Ergebnisse:
- Domain nicht auf der Blockliste: Der Resolver antwortet mit der echten IP-Adresse. Dein Browser baut die Verbindung normal auf.
- Domain auf der Blockliste (Werbung, Tracker, Malware): Der Resolver antwortet mit
NXDOMAIN(Non-Existent Domain) oder der Nulladresse0.0.0.0. Die Verbindung zur Werbe- oder Tracker-Domain kommt überhaupt nicht zustande – es wird kein einziges Byte an diese Domain übertragen.
Dieser Ansatz ist deutlich effizienter als Browser-Adblocker, die erst nach dem Empfang der HTTP-Antwort eingreifen können. NetShield verhindert die Verbindung, bevor sie aufgebaut wird – das spart Bandbreite, reduziert die Seitenladezeit und verhindert, dass Tracker überhaupt Daten erhalten.
Warum DNS-Blocking und nicht Deep Packet Inspection? DNS-Blocking ist ressourcenschonend, privacy-freundlich und lässt sich ohne Entschlüsselung des eigentlichen Traffics umsetzen. ProtonVPN muss den verschlüsselten HTTPS-Inhalt deiner Verbindungen nicht analysieren – es reicht aus, den DNS-Namen zu prüfen. So wird keine zusätzliche Entschlüsselung benötigt, und die No-Log-Zusage bleibt vollständig gewahrt.
Grenzen des DNS-Blockings: NetShield kann nur ganze Domains blockieren, keine einzelnen URLs innerhalb einer Domain. Das erklärt, warum YouTube-Werbung nicht geblockt wird: Werbe- und Videoinhalte kommen von denselben Domains (youtube.com, googlevideo.com). Eine Blockierung dieser Domains würde YouTube selbst unzugänglich machen.
Für maximalen Schutz empfiehlt sich daher die Kombination aus NetShield Level 2 (systemweiter DNS-Filter) und einer Browser-Erweiterung wie uBlock Origin (granulares Element-Blocking) – beide Ebenen ergänzen sich ideal.