Was ist SSTP?
SSTP steht für Secure Socket Tunneling Protocol und ist ein VPN-Protokoll von Microsoft, das Ihren Datenverkehr in HTTPS verpackt, über SSL/TLS auf TCP-Port 443. In Windows ist der Client integriert, dort ist also keine zusätzliche App nötig; macOS, iOS, Linux und Android verbinden sich über Apps von Drittanbietern. SSTP gehört nicht zu den 7 Protokollen von SHP.network. Wenn Sie ein modernes VPN-Protokoll auf Ihrem eigenen Server möchten, richtet SHP.network innerhalb von 10 Minuten nach der Zahlung IKEv2, WireGuard oder OpenVPN für Sie ein.
- Von Windows Server 2025 weiterhin akzeptiert
- Von Microsoft als Ersatz für PPTP und L2TP empfohlen
- Mit Root-Zugriff auf Ihren SHP.network-Server können Sie SSTP installieren
Grundlagen des SSTP-VPN-Protokolls
Microsoft entwickelte das SSTP-Protokoll für den Fernzugriff auf Firmennetzwerke zu einer Zeit, als Hotels und andere Orte PPTP- und L2TP/IPsec-Verkehr oft blockierten; viele Internetanbieter verwarfen außerdem die GRE-Pakete, auf die PPTP angewiesen ist. SSTP kam 2008 mit Windows Server 2008 und Windows Vista SP1; die Spezifikation hatte Microsoft 2007 veröffentlicht. Da der Tunnel über TCP 443 läuft, denselben Port, den HTTPS-Websites nutzen, kommt SSTP durch die meisten Firewalls und Webproxys. Es braucht nur diesen einen Port, während IKEv2 zum Vergleich auf UDP 500 und 4500 angewiesen ist. Die Spezifikation von SSTP, MS-SSTP, ist öffentlich, sodass andere Entwickler kompatible Clients und Server bauen können. Ist der VPN-Typ auf Automatisch gesetzt, probiert Windows neben anderen Protokollen auch SSTP aus. Auf der Serverseite nimmt Windows Server diese Verbindungen über die Rolle Routing and Remote Access an.
So funktioniert SSTP
Jede Sitzung durchläuft mehrere Phasen, bevor Daten fließen. Ihr Gerät öffnet eine TCP-Verbindung zu Port 443 auf dem Server, und beide Seiten führen einen TLS-Handshake durch, bei dem der Server sein Zertifikat vorlegt. Windows akzeptiert dieses Zertifikat nur, wenn eine vertrauenswürdige Stelle es ausgestellt hat und der Name darauf mit der eingegebenen Adresse übereinstimmt. Über den verschlüsselten Kanal sendet der Client eine HTTPS-Anfrage, handelt den SSTP-Tunnel aus und meldet Sie über PPP an. Ab dann reisen IP-Pakete in PPP-Frames, die SSTP in TLS-Records verpackt und über TCP überträgt.
SSTP-Verschlüsselung und Kryptografie
Die Verschlüsselung stammt von TLS, das für jede Sitzung die Chiffre aushandelt. Der Server weist seine Identität mit einem Zertifikat nach, und Sie melden sich danach über PPP an, etwa mit MS-CHAPv2 oder EAP-TLS. Um beide Prüfungen zu verknüpfen, nutzt SSTP eine kryptografische Bindung: Der Client sendet einen Wert, der auf der PPP-Anmeldung beruht und mit HMAC-SHA1 oder HMAC-SHA256 geschützt ist, was einen Man-in-the-Middle daran hindert, die Sitzung weiterzuleiten. Bei TLS muss nur der Server nachweisen, wer er ist; Sie prüft er später, bei der PPP-Anmeldung. Ohne Verbindung zwischen beiden Prüfungen könnte ein Man-in-the-Middle eine eigene HTTPS-Verbindung zum Server öffnen und die PPP-Pakete weiterreichen, die Sie dem Angreifer gesendet haben, als Sie sich mit einem anderen Netzwerk verbunden haben, etwa einem drahtlosen. Die Spezifikation schreibt die kryptografische Bindung für jede SSTP-Implementierung vor. Mit der kryptografischen Bindung weist der Client nach, dass er das Gerät ist, das der Server angemeldet hat, und dass die Anmeldung für diese SSTP-Verbindung erfolgt ist.
Vor- und Nachteile von SSTP
SSTP verdankt seine Stärken HTTPS; die Grenzen setzen TCP und eine geschlossene Implementierung von Microsoft.
| SSTP | |
|---|---|
| Integrierter Client | der SSTP-Client von Windows braucht keine zusätzliche App |
| Überwindung von Firewalls | TCP 443 kommt durch die meisten Firewalls |
| Webproxys | die HTTPS-Verbindung funktioniert auch über die meisten Webproxys |
| Firmennetzwerke | Windows Server 2025 akzeptiert weiterhin SSTP-Verbindungen |
| Anmeldung | PPP unterstützt starke Verfahren wie EAP-TLS |
| Plattformen | in Windows integriert; Apps für macOS, iOS, Linux und Android |
| Quellcode | Microsofts eigene Implementierung ist geschlossen, obwohl die Protokollspezifikation öffentlich ist und es Open-Source-Implementierungen gibt |
| Transport | läuft nur über TCP |
Ist SSTP sicher?
Microsoft betrachtet SSTP als sichere Option: Das Unternehmen empfiehlt SSTP und IKEv2 anstelle von PPTP und L2TP, und Windows Server 2025 akzeptiert das Protokoll weiterhin. TLS schützt den Tunnel, der Server weist sich mit einem Zertifikat aus, und die kryptografische Bindung sichert die Anmeldung ab, die innerhalb des verschlüsselten Kanals erfolgt. Microsofts eigene Implementierung ist allerdings geschlossen. Für neue Installationen empfiehlt SHP.network WireGuard oder OpenVPN. Die älteren Protokolle, die SSTP ersetzt, schneiden schlechter ab: Seit Windows Server 2025 lehnen neue Installationen von Routing and Remote Access PPTP- und L2TP-Verbindungen standardmäßig ab, und laut Microsoft haben beide gut dokumentierte Schwachstellen und erfüllen aktuelle Sicherheitsstandards nicht mehr. Einige SSTP-Server sind Open Source: SoftEther VPN Server unter der Lizenz Apache-2.0 und accel-ppp, ein PPTP-, L2TP- und SSTP-Server für Linux, unter GPL-2.0. Auf Ihrem eigenen Server können Sie einen davon betreiben, sodass Sie eine SSTP-Implementierung nutzen, deren Code jeder einsehen kann.
SSTP im Vergleich zu anderen VPN-Protokollen
SSTP teilt sich seinen Port mit HTTPS-Websites. OpenVPN, IKEv2 und WireGuard sind die Protokolle, die SHP.network auf Ihrem eigenen Server installiert, der mit einer dedizierten IP-Adresse kommt.
| SSTP | OpenVPN | IKEv2 | WireGuard | |
|---|---|---|---|---|
| Port | TCP 443 | UDP 1194 bei SHP.network | UDP 500 und 4500 | UDP 51820 bei SHP.network |
| Geschwindigkeit | läuft nur über TCP | mittel | hoch | hoch |
| Sicherheit | TLS mit Serverzertifikat und kryptografischer Bindung | mehrfach auditiert, zuletzt 2026 von SRLabs | IETF-Standard mit jahrelangem Peer-Review | formal verifiziertes Protokoll |
| Plattformen | in Windows integriert; Apps für macOS, iOS, Linux und Android | die App OpenVPN Connect unter Windows, macOS, iOS und Android; Linux | in Windows, macOS und iOS integriert; die App strongSwan unter Android | die App WireGuard unter Windows, macOS, iOS und Android; Linux |
| Resistenz gegen DPI | TCP 443, der HTTPS-Port | schwach: nicht zum Umgehen von Sperren gebaut | schwach: feste UDP-Ports 500 und 4500 | schwach: nicht zum Umgehen von Sperren gebaut |
So richten Sie eine SSTP-VPN-Verbindung ein
SHP.network installiert SSTP nicht, aber mit Ihrem Root-Zugriff können Sie einen SSTP-VPN-Server selbst einrichten.
Server mit frischem Betriebssystem bestellen
Wählen Sie bei SHP.network einen Tarif und eine Stadt und kein Protokoll: Der Server kommt mit Ubuntu 24.04 und ohne VPN-Software. Root-Zugriff über SSH ist in jedem Tarif enthalten (auch in der 7-tägigen Testphase).
SSTP-Server installieren
Installieren Sie über SSH SoftEther VPN Server oder accel-ppp, aktivieren Sie SSTP und öffnen Sie TCP-Port 443 in der Firewall, die SHP.network einrichtet. Fügen Sie dann ein Zertifikat hinzu, dem Windows vertraut, ausgestellt genau für den Namen, unter dem Sie sich verbinden werden.
Verbindung unter Windows herstellen
Öffnen Sie unter Windows die Einstellungen, dann Netzwerk und Internet, VPN und VPN hinzufügen. Setzen Sie den VPN-Anbieter auf Windows (integriert) und den VPN-Typ auf SSTP, und geben Sie dann die Serveradresse, Ihren Benutzernamen und Ihr Kennwort ein.
Moderne Alternativen zu SSTP
Wählen Sie statt SSTP eines der VPN-Protokolle, die SHP.network für Sie installiert, jeweils auf einem Server, der nur Ihnen gehört:
Integriert wie SSTP
IKEv2 funktioniert mit den integrierten VPN-Clients von Windows, macOS und iOS, und SHP.network richtet es innerhalb von 10 Minuten auf Ihrem Server ein. Unter Android verbindet sich IKEv2 über die App strongSwan.
Hohe Geschwindigkeit
WireGuard ist schnell und sendet seinen Datenverkehr über UDP-Port 51820, verschlüsselt mit ChaCha20-Poly1305. Ein Tamarin-Beweis verifiziert das Protokoll formal. Jedes Gerät hat ein eigenes Schlüsselpaar, wie bei SSH.
Bewährt und auditiert
OpenVPN wurde mehrfach auditiert, zuletzt 2026 von SRLabs, und läuft unter Windows, macOS, iOS, Android und Linux. SHP.network konfiguriert es für UDP-Port 1194.
Häufig gestellte Fragen
Secure Socket Tunneling Protocol. Microsoft hat es entwickelt, um PPP-Verkehr innerhalb einer HTTPS-Verbindung zu transportieren.
TCP 443. Der SSTP-Port ist derselbe, den HTTPS-Websites nutzen, daher muss in der Firewall dafür nichts weiter geöffnet werden.
SHP.network empfiehlt OpenVPN: Sein Code ist Open Source, es wurde mehrfach auditiert und läuft auf allen gängigen Systemen. Wo nur der integrierte Windows-Client erlaubt ist, funktionieren SSTP und IKEv2 beide ohne zusätzliche App. SHP.network installiert OpenVPN außerdem für Sie, SSTP müssten Sie dagegen selbst einrichten.
Nicht mit einem integrierten Client, aber Apps von Drittanbietern rüsten es nach. Mac und iPhone nutzen SSTP Connect, einen kostenpflichtigen Download aus dem App Store; Linux bekommt sstp-client und NetworkManager-sstp; und Android hat den quelloffenen Open SSTP Client.
Ja. Windows liefert den Client weiterhin mit und probiert SSTP beim VPN-Typ Automatisch aus, Windows Server 2025 akzeptiert das Protokoll, und 2024 riet Microsoft, von PPTP und L2TP auf SSTP oder IKEv2 umzusteigen.