Was ist PPTP?
PPTP, kurz für Point-to-Point Tunneling Protocol, ist eines der ältesten VPN-Protokolle. Ein PPTP-VPN-Client ist in Windows nach wie vor integriert, eine PPTP-Verbindung braucht dort also keine zusätzliche App. PPTP ist schnell, bietet aber nur schwache Sicherheit. Unter den 7 Protokollen von SHP.network ist PPTP nicht dabei. Wenn Sie ein modernes VPN-Protokoll auf Ihrem eigenen Server möchten, richtet SHP.network WireGuard, IKEv2 oder OpenVPN innerhalb von 10 Minuten nach der Zahlung für Sie ein.
- Von Microsoft für künftige Versionen von Windows Server als veraltet eingestuft
- Läuft über TCP-Port 1723, die Daten werden in GRE transportiert
- Veröffentlichter Angriffscode ermittelt Anmeldedaten aus MS-CHAP v2
Grundlagen des VPN-Protokolls PPTP
Das PPTP-Protokoll war eine der ersten breit genutzten VPN-Technologien. Ingenieure von Microsoft verfassten die Spezifikation von PPTP, RFC 2637, gemeinsam mit Kollegen von Ascend, 3Com, Copper Mountain Networks und ECI Telematics; veröffentlicht wurde sie im Juli 1999. Der RFC hat nur informativen Status: Er beschreibt das Protokoll, macht es aber nicht zum Internetstandard. In dem im RFC beschriebenen Aufbau leitet ein Zugangskonzentrator an PSTN- oder ISDN-Telefonleitungen Ihre PPP-Sitzung (Point-to-Point Protocol) über IP an einen Server im Zielnetzwerk weiter. Apple hat PPTP mit iOS 10 und macOS Sierra entfernt, und ab Android 12 bietet der integrierte Client es nicht mehr an.
So funktioniert PPTP
Ein PPTP-Tunnel besteht aus vier Bausteinen:
- Ihr Gerät baut über TCP eine Steuerverbindung zu Port 1723 des Servers auf, und über diesen Kanal wird der Tunnel aufgebaut, aufrechterhalten und wieder geschlossen.
- Die Daten laufen getrennt davon, als PPP-Frames in einer erweiterten Version von GRE (Generic Routing Encapsulation, IP-Protokoll 47).
- PPP übernimmt die Anmeldung, meist mit MS-CHAP v2.
- Auch die Verschlüsselung stammt von PPP, über MPPE (Microsoft Point-to-Point Encryption) mit der Chiffre RC4 und Schlüsseln mit 40, 56 oder 128 Bit.
PPTP-Sicherheit: Warum das Protokoll als unsicher gilt
Die Sicherheit von PPTP weist bekannte Schwachstellen auf, die so gravierend sind, dass das Protokoll für alles Private ausscheidet.
Ist PPTP sicher?
Nein, nicht für private Daten. Microsoft rät von PPTP ab, weil dem Protokoll Sicherheitsfunktionen fehlen, und auch Apple empfiehlt es nicht. Das Hauptargument für PPTP ist die Geschwindigkeit, und sie wiegt das Risiko nicht auf. Zwei Schwachpunkte sind die Anmeldung und die Verschlüsselung. MS-CHAP v2, das mit PPTP weit verbreitete Verfahren, hat bekannte kryptografische Schwächen: 2012 warnte Microsoft, dass veröffentlichter Angriffscode Anmeldedaten aus einem abgefangenen Handshake ermittelt, der in offenen Wi-Fi-Netzen oder von einem Man-in-the-Middle mitgeschnitten wurde. Die Sicherheitsempfehlung riet, die Anmeldung in PEAP zu kapseln oder auf L2TP, IKEv2 oder SSTP umzusteigen. Mit MS-CHAP v2 leitet MPPE die ersten Sitzungsschlüssel aus Ihrem Passwort ab und nutzt RC4, eine Chiffre, die wegen ihrer Schwächen seit 2015 in TLS verboten ist. Auch das Protokoll selbst hat Lücken. Seine Spezifikation räumt ein, dass die Steuernachrichten weder authentifiziert noch integritätsgeschützt sind. Auch die GRE-Pakete, die den Tunnel bilden, haben keinen kryptografischen Schutz.
PPTP im Vergleich zu anderen VPN-Protokollen
Im Vergleich PPTP vs. L2TP oder PPTP vs. OpenVPN gewinnt PPTP bei der Geschwindigkeit und verliert bei der Sicherheit. L2TP/IPsec, IKEv2, WireGuard und OpenVPN sind jeweils sicherer, doch keines der fünf Protokolle widersteht DPI gut.
| PPTP | L2TP/IPsec | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Geschwindigkeit | hoch | mittel: doppelte Kapselung erzeugt Mehraufwand | hoch | hoch | mittel |
| Sicherheit | schwach: Anmeldedaten aus MS-CHAP v2 lassen sich ermitteln | von Microsoft nicht empfohlen | IETF-Standard, über Jahre von Fachleuten geprüft | formal verifiziertes Protokoll | mehrfach geprüft, zuletzt 2026 von SRLabs |
| Widerstand gegen DPI | schwach: TCP 1723 und GRE | schwach: feste Ports UDP 500, 4500 und 1701 | schwach: feste UDP-Ports 500 und 4500 | schwach: nicht zum Umgehen von Sperren gebaut | schwach: nicht zum Umgehen von Sperren gebaut |
| Im Betriebssystem integriert | Windows | Windows, macOS, iOS | Windows, macOS, iOS | über die WireGuard-App | über die App OpenVPN Connect |
Wo wird PPTP noch genutzt?
PPTP überlebt in Altsystemen, die noch nicht auf ein neueres Protokoll umgestiegen sind:
- Unternehmensserver, die direkt auf Windows Server 2025 aktualisiert wurden, wo bestehende PPTP-Konfigurationen weiterlaufen und Windows-Clients sich wie gewohnt verbinden.
- Einige Router, die noch einen PPTP-VPN-Server anbieten, darunter die Reiserouter von TP-Link.
- Linux-Clients wie pptpclient, dessen eigene Website PPTP als gefährlich unsicher bezeichnet, und NetworkManager-pptp.
Neuinstallationen von Windows Server 2025 lehnen PPTP-Verbindungen standardmäßig ab, und Microsoft hat das Protokoll für künftige Versionen als veraltet eingestuft. Ein neues Netzwerk sollte nicht mit PPTP beginnen.
Moderne Alternativen zu PPTP
Diese Alternativen gehören zu den VPN-Protokollen, die SHP.network auf Ihrem eigenen Server installiert, einsatzbereit innerhalb von 10 Minuten nach der Zahlung.
Hohe Geschwindigkeit
WireGuard ist schnell, auf dem Niveau von PPTP. Ihr Datenverkehr läuft über UDP-Port 51820, verschlüsselt mit ChaCha20-Poly1305. Ein Tamarin-Beweis verifiziert das Protokoll formal. Jedes Gerät hat ein eigenes Schlüsselpaar, wie bei SSH.
Integriert wie PPTP
IKEv2 funktioniert mit den in Windows, macOS und iOS integrierten VPN-Clients, sodass keines dieser Systeme eine zusätzliche App braucht. Das Protokoll ist schnell. Unter Android verbindet sich IKEv2 über die App strongSwan.
Läuft fast überall
OpenVPN läuft unter Windows, macOS, iOS, Android und Linux, und viele Router (darunter Modelle von ASUS, MikroTik, GL.iNet und Keenetic) unterstützen es in ihrer Standard-Firmware. Sein Code wurde mehrfach geprüft, zuletzt 2026 von SRLabs.
Häufig gestellte Fragen
Point-to-Point Tunneling Protocol. Ein 1999 spezifiziertes VPN-Protokoll, das Ihren PPP-Verkehr in GRE-Paketen transportiert.
TCP-Port 1723 übernimmt die Steuerverbindung, die Daten laufen dagegen über GRE (IP-Protokoll 47). Nur den PPTP-Port zu öffnen reicht nicht: Eine Firewall muss auch GRE durchlassen, denn dieses Protokoll hat keinen eigenen Port.
Ja, sofern der PPTP-VPN-Server Ihres Arbeitgebers noch Verbindungen annimmt: Windows hat den Client integriert. Microsoft rät von PPTP ab und empfiehlt IKEv2 oder SSTP. Neue Installationen von Windows Server 2025 lehnen PPTP standardmäßig ab, fragen Sie also Ihre IT-Abteilung nach einem Umstieg.
Schneller als L2TP/IPsec und OpenVPN, auf dem Niveau von IKEv2 und WireGuard. WireGuard bietet Ihnen diese Geschwindigkeit mit moderner Kryptografie und einem formal verifizierten Protokoll.
WireGuard für Geschwindigkeit, IKEv2 mit den in Windows, macOS und iOS integrierten VPN-Clients oder OpenVPN, das auch auf vielen Routern läuft. SHP.network installiert jedes dieser Protokolle innerhalb von 10 Minuten nach der Zahlung auf Ihrem eigenen Server.