L2TP/IPsec-VPNs vergleichen: Sicherheit & Kompatibilität

Was L2TP/IPsec schützt – und was nicht

L2TP steht für Layer 2 Tunneling Protocol. Das Protokoll baut einen Tunnel auf, verschlüsselt den darin übertragenen Inhalt aber nicht selbst. Diese Aufgabe übernimmt bei L2TP/IPsec IPsec, üblicherweise mit ESP. Ohne IPsec fehlt dem L2TP-Tunnel der Schutz der Vertraulichkeit; L2TP allein bietet außerdem keine starke Authentifizierung.

Die beiden Bestandteile erfüllen also unterschiedliche Aufgaben: L2TP transportiert den Tunnel, IPsec sichert die Verbindung ab. Das ist mehr als ein Namensdetail. Wenn Sie in einem Client L2TP auswählen, muss der Server passend dazu IPsec verwenden. Ein L2TP-Profil ohne den vereinbarten IPsec-Schutz ist kein gleichwertiger Ersatz für eine geschützte VPN-Verbindung.

Der Standard für L2TP erschien 1999, die Spezifikation zur Absicherung mit IPsec folgte 2001. Das erklärt, warum Sie das Protokoll noch auf älteren Geräten und in vielen Router-Menüs finden. Es ist ein etabliertes Kompatibilitätsformat, aber nicht automatisch die beste Wahl für jedes neue Gerät. Unsere Tabelle grenzt die Auswahl auf Tarife mit diesem Protokoll ein. Preise und Tarife können sich ändern; über alle 22 Angebote unseres vollständigen VPN-Vergleichs hinweg beginnen die Monatskosten bei 0,74 €. Der Preis allein sagt allerdings nichts darüber aus, ob L2TP/IPsec zu Ihrem Gerät passt.

Wann die eingebaute Unterstützung nützlich ist

L2TP/IPsec ist seit Windows 2000 in Windows integriert und seit Mac OS X 10.3 auch auf dem Mac verfügbar. Das macht es für ältere Rechner interessant, auf denen Sie keinen separaten VPN-Client installieren können oder möchten. Auch aktuelle Windows-Profile bieten L2TP/IPsec neben anderen Protokollen an. Entscheidend ist, dass die gewählte Variante zum Server passt: Der Anbieter kann eine Anmeldung mit vorinstalliertem Schlüssel oder mit Zertifikat verlangen.

Praktisch ist die native Unterstützung vor allem dann, wenn ein Unternehmen, eine Schule oder ein Internetanbieter ein bestimmtes L2TP/IPsec-Profil vorgibt. In diesem Fall ist die Kompatibilität ein konkreter Grund, das Protokoll zu verwenden. Bei einem älteren Router gilt dasselbe, sofern er die Verbindung zuverlässig aufbaut und sich ohne unsichere Zusatzoptionen konfigurieren lässt.

Für ein neues VPN-Profil ohne technische Vorgabe gibt es meist bessere Kandidaten. IKEv2 ist auf vielen aktuellen Betriebssystemen bereits verfügbar und eignet sich eher, wenn Sie zwischen Netzwerken wechseln. WireGuard ist eine weitere Option, sofern Ihr Gerät und der VPN-Dienst es unterstützen. L2TP/IPsec bietet keine belegte Grundlage für einen unterbrechungsfreien Wechsel von WLAN zu Mobilfunk. Wenn genau das wichtig ist, sollten Sie nicht allein wegen der Verfügbarkeit im Dropdown-Menü dabei bleiben.

Vorinstallierter Schlüssel oder Zertifikat?

Viele L2TP/IPsec-Einrichtungen verwenden einen vorinstallierten Schlüssel, auch Pre-Shared Key (PSK) genannt. Dieser Schlüssel authentifiziert die Verbindung zwischen Gerät und VPN-Gegenstelle. Er ist nicht dasselbe wie Ihr persönliches Passwort für das VPN-Konto. Falls mehrere Kunden denselben Gruppenschlüssel verwenden, ist er zudem kein individuelles Geheimnis, das nur Ihnen zugeordnet ist.

Die Spezifikation RFC 3193 bevorzugt Zertifikate, wo sie praktikabel sind, und warnt vor PSKs in bestimmten Fernzugriffsszenarien. Bei IKEv1 können schwache PSKs offline geprüft werden. Ein Angreifer kann also viele mögliche Schlüssel ausprobieren, ohne sich wiederholt beim Server anmelden zu müssen. Ein kurzer, leicht zu erratender Schlüssel ist deshalb keine akzeptable Abkürzung. Der Einsatz eines PSK macht L2TP/IPsec nicht grundsätzlich unbrauchbar, aber die Stärke und Verwaltung des Schlüssels sind wichtig.

Wenn der Dienst Zertifikatsauthentifizierung anbietet, verwenden Sie sie nach Möglichkeit und folgen Sie den Installationsangaben des Administrators oder Anbieters. Ist nur ein PSK vorgesehen, sollten Sie einen langen, zufällig erzeugten Schlüssel verwenden und ihn nicht für andere Konten wiederverwenden. Bewahren Sie ihn geschützt auf und geben Sie ihn nicht in ein beliebiges Profil ein, dessen Herkunft Sie nicht kennen. Ein Zertifikat oder starker PSK ersetzt außerdem nicht die separate Anmeldung mit Ihren VPN-Zugangsdaten.

Bekannte Schwächen: gezielt prüfen, nicht pauschal verwerfen

Bei L2TP/IPsec hängen die Risiken stark von der Konfiguration ab. Besonders relevant sind ältere IKEv1-Verfahren und schwache vorinstallierte Schlüssel. Bei Aggressive Mode werden Identität des Gegenübers und ein Hash des PSK offengelegt; im Main Mode ist diese Information besser geschützt. RFC 3193 weist dennoch auf Risiken mit PSKs beim Fernzugriff hin. Die passende Gegenmaßnahme ist eine starke Authentifizierung, nicht die Annahme, jede L2TP/IPsec-Verbindung sei automatisch kompromittiert.

Prüfen Sie unter Windows außerdem, ob eine Anleitung eine Änderung der Registrierung verlangt. Der Wert AllowL2TPWeakCrypto kann MD5 und DES für L2TP/IPsec-Tunnel wieder aktivieren. Das sind schwache Verfahren, die eine Verbindung möglicherweise mit älteren Gegenstellen kompatibel machen, aber die Sicherheit herabsetzen. Setzen Sie diesen Wert nicht als allgemeine Fehlerbehebung. Wenn ein Anbieter oder Router ihn verlangt, fragen Sie nach einer aktuellen, sicheren Konfiguration oder verwenden Sie ein anderes Protokoll.

Manche älteren Anleitungen empfehlen Registrierungsänderungen, wenn ein Windows-Gerät hinter einem NAT-Router sitzt. Solche Hinweise hängen von der Windows-Version und der konkreten Gegenstelle ab und sind nicht automatisch auf aktuelle Systeme übertragbar. Vor allem sollten Sie keine Sicherheitsoption lockern, nur damit ein Verbindungsversuch gelingt. Notieren Sie zunächst die genaue Fehlermeldung, prüfen Sie die vorgegebenen Anmeldedaten und fragen Sie den zuständigen Administrator nach unterstützten Clients und Einstellungen.

Ports, NAT und Router richtig einordnen

In typischen L2TP/IPsec-Verbindungen wird UDP 500 für IKE und UDP 4500 für IPsec-NAT-Traversal verwendet. Der IPsec-Datenverkehr läuft über ESP, ein IP-Protokoll und kein gewöhnlicher TCP- oder UDP-Port. UDP 1701 gehört zu L2TP, sollte aber nicht pauschal als frei erreichbarer Port geöffnet werden: Quellen und Konfigurationen unterscheiden sich darin, ob er benötigt wird und wie er geschützt werden muss.

Öffnen Sie daher nicht vorsorglich alle genannten Verbindungen ins Internet. Richten Sie Firewall-Regeln nach der Dokumentation des VPN-Servers ein; UDP 1701 sollte, wenn erforderlich, auf IPsec-geschützten Verkehr begrenzt werden. Ältere Anleitungen für Windows-Server nennen abweichende Anforderungen, teils abhängig davon, ob der Server direkt am Internet hängt. Das ist kein verlässlicher Ersatz für die aktuelle Anleitung Ihres Systems.

Hinter einem NAT-Router kann L2TP/IPsec an blockiertem IKE- oder ESP-Verkehr, an einer nicht unterstützten NAT-T-Konfiguration oder an mehreren gleichzeitigen Clients scheitern. Ein Router, der L2TP im Menü anbietet, erledigt nicht zwingend die vollständige IPsec-Konfiguration für ausgehende Verbindungen. Bei OpenWrt ist beispielsweise xl2tpd für L2TP verfügbar; verschlüsseltes L2TP/IPsec kann zusätzliche manuelle Konfiguration mit strongSwan erfordern. Prüfen Sie vor dem Kauf oder der Einrichtung, ob Ihr Router ausdrücklich als L2TP/IPsec-Client arbeiten kann.

• Kontrollieren Sie zuerst, ob der Server Zertifikat oder PSK erwartet und ob die Anmeldedaten stimmen.
• Prüfen Sie, ob UDP 500 und 4500 sowie ESP von der Firewall passend behandelt werden.
• Öffnen Sie UDP 1701 nur, wenn die konkrete Serverkonfiguration es verlangt, und begrenzen Sie den Zugriff auf geschützten Verkehr.
• Vermeiden Sie Registrierungsänderungen, die schwächere Verschlüsselungsverfahren aktivieren.

Wann Sie L2TP/IPsec behalten sollten

Behalten Sie L2TP/IPsec, wenn ein älteres Gerät oder ein verbindliches Firmen-, Schul- oder ISP-Profil keine passende Alternative bietet und die Verbindung mit Zertifikat oder starkem PSK sicher eingerichtet werden kann. In dieser Lage zählt, dass Sie den vorgegebenen Zugang nutzen können. Halten Sie Betriebssystem und VPN-Client aktuell und übernehmen Sie keine alten Registry- oder Firewall-Anleitungen ungeprüft.

Wechseln Sie eher zu IKEv2 oder WireGuard, wenn Sie das Protokoll frei wählen können, mehrere Geräte einrichten oder häufig zwischen WLAN und Mobilfunk wechseln. Prüfen Sie dabei die Unterstützung Ihres Betriebssystems und die Anforderungen des VPN-Dienstes. Für Streaming oder P2P ist L2TP/IPsec selbst kein verlässlicher Hinweis auf die Eignung: Entscheidend sind die jeweiligen Funktionen und Regeln des Dienstes, nicht allein das VPN-Protokoll.

Auf Hostcomplex können Sie die gefilterte Liste mit den übrigen Tarifen vergleichen, statt den Filter als Qualitätsurteil zu lesen. Im vollständigen Vergleich liegt der monatliche Durchschnittspreis bei 2,62 €; die Preise wurden zuletzt am 31 Oktober 2026 abgeglichen. Diese Werte beziehen sich auf den gesamten VPN-Vergleich, nicht nur auf die hier gefilterten Angebote. Nutzen Sie sie als Orientierung für den Preisvergleich und entscheiden Sie dann anhand Ihres Geräts, der Authentifizierung und der tatsächlich verfügbaren Protokolle.