Was ist L2TP/IPsec?
L2TP/IPsec basiert auf L2TP, das bereits 1999 in RFC 2661 beschrieben wurde, und ist ein älteres VPN-Protokoll, dessen Client in Windows, macOS und iOS integriert ist (Android hat ihn ab Version 12 entfernt). Ein L2TP-VPN benötigt auf diesen Systemen keine zusätzliche App, doch Microsoft empfiehlt L2TP nicht mehr und hat es für künftige Versionen von Windows Server als veraltet eingestuft. SHP.network bietet L2TP nicht unter seinen 7 Protokollen an. Für ein integriertes VPN auf Ihrem eigenen Server richtet SHP.network stattdessen IKEv2 ein, einsatzbereit innerhalb von 10 Minuten nach der Zahlung.
Grundlagen des L2TP/IPsec-Protokolls
Der Name L2TP steht für Layer Two Tunneling Protocol. L2TP ist aus L2F von Cisco hervorgegangen und hat Elemente von PPTP übernommen; Ingenieure von Cisco, Microsoft und weiteren Unternehmen verfassten seinen Standard, RFC 2661, der im August 1999 veröffentlicht wurde. Das L2TP-Protokoll transportiert Datenverkehr, verschlüsselt selbst aber nichts. Um die Daten zu schützen, arbeitet es mit IPsec zusammen (wie es RFC 3193 vom November 2001 festlegt), daher der Schrägstrich im Namen.
So funktioniert L2TP/IPsec
Ihr Gerät verpackt seinen Datenverkehr zunächst in PPP-Frames, und L2TP transportiert sie durch einen L2TP-Tunnel über UDP-Port 1701. Anschließend sichert IPsec ESP jedes so entstandene Paket als Ganzes, sodass die Daten in zwei Kapselungsschichten übertragen werden. Vorab handeln beide Seiten die Schlüssel über IKE auf UDP-Port 500 aus, oder auf 4500, wenn ein NAT-Router dazwischen liegt. RFC 3193 schreibt für diese Kombination die Unterstützung des IPsec-Transportmodus verbindlich vor; der Tunnelmodus bleibt optional.
L2TP vs. PPTP
PPTP stammt aus derselben Generation: Seine Spezifikation, RFC 2637, erschien im Juli 1999, und das Protokoll läuft über TCP-Port 1723 mit GRE. Das in PPTP-Konfigurationen verbreitete Anmeldeverfahren MS-CHAP v2 ist geknackt. 2012 warnte Microsoft, dass veröffentlichter Angriffscode Anmeldedaten von Benutzern wiederherstellen kann, und riet dazu, den Tunnel mit PEAP abzusichern oder auf L2TP, IKEv2 oder SSTP umzusteigen. Apple hat PPTP mit iOS 10 und macOS Sierra entfernt, und seine Geräte bieten es nicht mehr an.
Vor- und Nachteile von L2TP/IPsec
Die integrierten Clients sind die Stärke des Protokolls, bei der Sicherheit bleibt es jedoch hinter neueren Entwicklungen zurück.
| L2TP/IPsec | |
|---|---|
| Integrierter Client | Windows, macOS und iOS (nicht Android ab Version 12) |
| Offener Standard | RFC 2661 im Standardisierungsverfahren der IETF |
| Verschlüsselung | IPsec ESP schützt jedes Paket |
| Haltung von Microsoft | nicht empfohlen, für künftige Versionen von Windows Server als veraltet eingestuft, in neuen VPN-Server-Installationen unter Windows Server 2025 standardmäßig deaktiviert |
| Pre-Shared Key | Microsoft stuft ihn als weniger sicher ein als Zertifikate |
| Blockierung | feste Ports UDP 500, 4500 und 1701 sind leicht zu blockieren |
| Geschwindigkeit | doppelte Kapselung erzeugt zusätzlichen Overhead |
L2TP im Vergleich zu anderen VPN-Protokollen
Im direkten Vergleich mit PPTP und jedem neueren VPN-Protokoll liegt L2TP/IPsec bei Geschwindigkeit und Sicherheit hinter IKEv2, und keines der fünf Protokolle widersteht DPI wirklich gut.
| L2TP/IPsec | PPTP | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Geschwindigkeit | mittel: doppelte Kapselung erzeugt zusätzlichen Overhead | hoch | hoch | hoch | mittel |
| Sicherheit | von Microsoft nicht empfohlen | geknackt: Anmeldedaten von MS-CHAP v2 lassen sich wiederherstellen | IETF-Standard, über Jahre von Fachleuten geprüft | formal verifiziertes Protokoll | mehrfach auditiert, zuletzt 2026 von SRLabs |
| Widerstandsfähigkeit gegen DPI | schwach: feste Ports UDP 500, 4500 und 1701 | schwach: TCP 1723 und GRE | schwach: feste UDP-Ports 500 und 4500 | schwach: nicht zum Umgehen von Sperren entwickelt | schwach: nicht zum Umgehen von Sperren entwickelt |
| Im Betriebssystem integriert | Windows, macOS, iOS | Windows | Windows, macOS, iOS | über die WireGuard-App | über die App OpenVPN Connect |
So richten Sie eine L2TP-VPN-Verbindung ein
SHP.network führt L2TP/IPsec nicht unter seinen Protokollen, doch mit Root-Zugriff können Sie eine L2TP-Verbindung auf Ihrem eigenen Server selbst einrichten.
Server mit sauberem OS bestellen
Wählen Sie bei SHP.network einen Tarif und eine Stadt und kein Protokoll: Sie erhalten Ubuntu 24.04 ohne jegliche VPN-Software. Root-Zugriff über SSH ist in jedem Tarif enthalten (auch in der 7-tägigen Testphase).
Serversoftware installieren
Richten Sie über SSH strongSwan oder Libreswan für IPsec zusammen mit xl2tpd ein. Fügen Sie anschließend einen Pre-Shared Key und Benutzerkonten hinzu und öffnen Sie die UDP-Ports 500 und 4500 sowie ESP (IP-Protokoll 50) in der Firewall, die SHP.network auf jedem Server konfiguriert.
VPN auf Ihrem Gerät hinzufügen
Wählen Sie in den integrierten VPN-Einstellungen L2TP/IPsec und geben Sie die IP-Adresse des Servers, den Pre-Shared Key, Ihren Benutzernamen und Ihr Passwort ein.
Moderne Alternativen zu L2TP
Wählen Sie statt L2TP/IPsec eines der VPN-Protokolle, die SHP.network auf Ihrem Server installiert:
Integriert wie L2TP
IKEv2 funktioniert mit den VPN-Clients von Windows, macOS und iOS, und SHP.network richtet es innerhalb von 10 Minuten auf Ihrem Server ein. Unter Android verbindet es sich über die strongSwan-App.
Auf Geschwindigkeit ausgelegt
WireGuard ist schnell, und ein Tamarin-Beweis verifiziert das Protokoll formal.
Bewährt und auditiert
Wenn Sie zwischen L2TP und OpenVPN abwägen, lohnt sich ein Blick auf Letzteres: Es wurde mehrfach auditiert, zuletzt 2026 von SRLabs.
Eine 7-tägige Testphase im Tarif Basic kostet €1.
IKEv2 auf Ihrem Server einrichtenHäufig gestellte Fragen
Das Layer Two Tunneling Protocol aus RFC 2661 (1999). Es transportiert PPP-Frames durch einen Tunnel, hat aber keine eigene Verschlüsselung und arbeitet deshalb mit IPsec zusammen.
L2TP selbst läuft über UDP 1701, während der IKE-Schlüsselaustausch Port 500 und NAT-Traversal Port 4500 nutzt, ebenfalls über UDP.
Nicht für neue Installationen. Microsoft empfiehlt L2TP nicht, weil ihm Sicherheitsfunktionen fehlen, und neue VPN-Server-Installationen unter Windows Server 2025 lehnen es standardmäßig ab, daher ist IKEv2 die bessere Wahl. Wo L2TP weiter genutzt wird, rät derselbe Hersteller zu Zertifikaten statt Pre-Shared Keys.
Ja. L2TP/IPsec sichert den Datenverkehr, während PPTP meist auf Anmeldungen per MS-CHAP v2 setzt, die Angreifer knacken können, und Apple-Geräte das ältere Protokoll nicht mehr anbieten.
IKEv2. Microsoft empfiehlt den Umstieg, auch Windows, macOS und iOS haben einen integrierten IKEv2-Client, und SHP.network installiert dieses Protokoll innerhalb von 10 Minuten auf Ihrem eigenen Server.
Nicht unter Windows, macOS, iOS und iPadOS, wo der Client integriert ist: Sie benötigen nur die Serveradresse, einen Pre-Shared Key, einen Benutzernamen und ein Passwort. Android enthält ihn ab Version 12 nicht mehr.