Proxy-Protokolle im Vergleich: SS, VMess, VLESS, Trojan, Hysteria2, TUIC

Der Proxy-Anbieter verkauft Proxy-Leitungen und gibt Ihnen einen Abo-Link. Knoten sind die einzelnen Server in diesem Abo. Das Protokoll legt fest, wie Knoten und Gerät verschlüsseln und sich tarnen. Der Client ist die App auf Ihrem Gerät, in die Sie das Abo importieren, etwa aus der Clash-Familie (Clash Meta, Clash Verge, FlClash, Stash), Shadowrocket, v2rayN, v2rayNG, sing-box oder Hiddify.

Verschiedene Knoten desselben Anbieters können verschiedene Protokolle nutzen, und ein Client kann Knoten mehrerer Protokolle gleichzeitig verwalten. Die Frage „Wie umgehe ich Sperren am besten?“ besteht also eigentlich aus drei Fragen: Wie gut sind die Leitungen des Anbieters? Passt das Protokoll dieses Knotens zu Ihrem aktuellen Netz? Unterstützt Ihr Client es? Dieser Artikel behandelt nur die mittlere.

Worin sich Proxy-Anbieter, Beschleuniger und VPN unterscheiden, steht in „Proxy-Anbieter, Beschleuniger und VPN im Vergleich“; VPN-Protokolle wie OpenVPN, WireGuard und AnyConnect behandelt „VPN-Protokolle im Vergleich“.

• Shadowsocks (SS): läuft über TCP, ist am schlanksten und sparsamsten und wird von fast jedem Client unterstützt. Der Datenverkehr ist nicht als etwas anderes getarnt – das Prinzip lautet „nicht erkennbar, was es ist“.
• ShadowsocksR (SSR): früher Ableger von SS mit Verschleierungs-Plugins. Das Originalprojekt wird seit Langem nicht mehr gepflegt, neue Clients unterstützen es meist nicht mehr, und immer weniger Anbieter setzen es ein.
• VMess: das ursprüngliche V2Ray-Protokoll mit eigener Verschlüsselung und Zeitprüfung – weicht die Gerätezeit zu stark ab, klappt die Verbindung nicht. Meist in WebSocket + TLS verpackt.
• VLESS: abgespeckte Variante von VMess, die selbst nicht verschlüsselt und das der äußeren TLS-Schicht überlässt. Mit XTLS Vision oder Reality derzeit die gängigste Kombination über TCP.
• Trojan: steckt den Proxy-Verkehr in eine echte TLS-Verbindung; von außen sieht es aus wie der Aufruf einer HTTPS-Website. Einfach einzurichten, läuft über TCP 443.
• Hysteria2: basiert auf QUIC, läuft über UDP und regelt seine Sendegeschwindigkeit selbst – auf Leitungen mit viel Paketverlust deutlich schneller als TCP-Protokolle.
• TUIC: ebenfalls QUIC-basiert über UDP, ähnliches Konzept wie Hysteria2, aber mit Standard-Staukontrolle und daher gleichmäßigerem Tempo. Wird von etwas weniger Clients unterstützt als Hysteria2.
• NaiveProxy: nutzt direkt den Netzwerk-Stack von Chrome über HTTP/2 und ähnelt einem echten Browser am meisten. Mittelmäßiges Tempo, wenige Clients.
• WireGuard: streng genommen ein VPN-Protokoll; manche Anbieter nutzen es oder Cloudflare WARP als Knoten. Läuft über UDP, ist schnell, aber völlig ungetarnt und leicht zu erkennen.

Shadowsocks war das erste weit verbreitete Protokoll zur Umgehung von Zensur und hat nur ein Ziel: den Verkehr in eine Bytefolge ohne erkennbares Muster zu verwandeln. Es gibt keine getarnte Begrüßung (Handshake), der Overhead ist minimal, auf dem Handy spart es am meisten Akku, und selbst schwache Geräte wie Router kommen damit zurecht. SS-Knoten nutzen heute meist AEAD-Verschlüsselung (aes-128-gcm, chacha20-ietf-poly1305) oder die neueren 2022er-Verfahren; Knoten mit alten Verfahren wie rc4-md5 oder aes-256-cfb sollten Sie meiden.

SSR ist ein Ableger von SS mit zusätzlichen Protokoll- und Verschleierungs-Plugins. Das Originalprojekt wird seit Jahren nicht mehr gepflegt, neuere Kerne wie Clash Meta oder sing-box unterstützen es nur eingeschränkt oder gar nicht mehr. Setzt ein Anbieter vor allem auf SSR, wurde sein Backend lange nicht aktualisiert.

Die Schwäche von SS liegt ebenfalls in der fehlenden Tarnung: Es sieht nach keiner Art normalem Verkehr aus, und in streng kontrollierten Netzen kann gerade völlig unidentifizierbarer Verkehr besonders auffallen. Viele Anbieter leiten SS-Knoten deshalb über Weiterleitungsleitungen oder Standleitungen, damit die grenzüberschreitende Strecke nicht direkt sichtbar ist – das ist ein Verdienst der Leitung, nicht des Protokolls.

V2Ray (und sein späterer Ableger Xray) ist eine Proxy-Plattform; VMess und VLESS sind ihre beiden eigenen Protokolle. Das Prinzip ist ein Schichtmodell: Innen liegt das Proxy-Protokoll, außen kann eine von mehreren Transportarten folgen, etwa reines TCP, WebSocket, gRPC oder HTTP/2, dazu TLS. Deshalb sehen Sie in Knotennamen oft lange Ketten wie „VMess + WS + TLS“ oder „VLESS + gRPC“.

VMess verschlüsselt selbst und prüft die Gerätezeit: Weicht die Uhr von Handy oder Computer zu stark von der Normalzeit ab, verweigert der Knoten die Verbindung. Das ist einer der häufigsten Gründe, warum bei VMess-Knoten „alle Zeitüberschreitung“ melden. VLESS verzichtet auf diese Verschlüsselung und Zeitprüfung und überlässt die Sicherheit ganz der äußeren TLS-Schicht. Es ist dadurch schlanker – ohne TLS ist VLESS allerdings unsicher.

XTLS Vision und Reality sind zwei Techniken, die Xray für VLESS mitbringt. Vision beseitigt die Auffälligkeit und Verschwendung, die entstehen, wenn TLS in TLS verpackt wird. Reality erlaubt Knoten ohne eigene Domain und eigenes Zertifikat: Beim Handshake werden die Zertifikatsmerkmale einer echten großen Website übernommen, sodass es von außen aussieht, als würde man diese Website besuchen. „VLESS + Reality + Vision“ ist derzeit bei vielen Anbietern die Hauptkombination für direkte Knoten.

Knoten mit WebSocket lassen sich hinter ein CDN stellen. Die echte Adresse des Knotens bleibt verborgen, und wird ein Zugang gesperrt, nimmt man einfach einen anderen. Der Preis ist ein Umweg, der Latenz und Tempo kostet.

Trojan geht direkt vor: Es baut zum Knoten eine ganz normale TLS-Verbindung auf, genau wie beim Öffnen einer HTTPS-Website, und transportiert die Proxy-Daten darin. Wer den Port ohne Passwort abtastet, bekommt eine gewöhnliche Webseite zu sehen.

Es hat wenige Einstellungen, ist schwer falsch zu konfigurieren und wird von vielen Clients unterstützt. Gegenüber „VLESS + TLS“ ist der Unterschied gering – beide tarnen sich per TLS über TCP 443; Trojan braucht allerdings eine eigene Domain und ein Zertifikat auf dem Knoten.

Alle TCP-Protokolle teilen eine Schwäche: Sobald Pakete verloren gehen, bremst TCP von sich aus ab. Haben grenzüberschreitende Leitungen abends viel Paketverlust, ruckeln Videos spürbar. Genau dort setzt die QUIC-Familie an, um die es als Nächstes geht.

Hysteria2 und TUIC bauen beide auf QUIC auf und laufen über UDP. QUIC ist das Transportprotokoll von HTTP/3; von außen sieht der Verkehr beider Protokolle daher aus wie der Besuch einer HTTP/3-Website.

Das wichtigste Merkmal von Hysteria2: Es regelt seine Sendegeschwindigkeit selbst. Bei Paketverlust drosselt es nicht wie TCP massiv, sondern sendet mit der von Ihnen eingestellten Bandbreite weiter. Auf grenzüberschreitenden Leitungen mit viel Paketverlust ist es oft um ein Mehrfaches schneller als TCP-Protokolle; auf ohnehin sauberen Leitungen ist der Vorteil gering.

TUIC verfolgt ein ähnliches Konzept, nutzt aber gängige Standard-Algorithmen zur Staukontrolle. Es nimmt mehr Rücksicht auf andere Nutzer der Leitung, das Tempo verläuft gleichmäßiger, gegen Paketverlust ist es aber weniger aggressiv als Hysteria2.

Die Schwachstelle dieser Familie ist UDP: Manche Firmen-, Hochschul- oder Hotelnetze drosseln UDP oder sperren es ganz. Dann verbinden sich Hysteria2 und TUIC nicht oder nur sehr langsam, und Sie müssen auf TCP-Protokolle wie Trojan oder VLESS ausweichen. Bei langen schnellen Übertragungen auf dem Handy verbrauchen sie zudem etwas mehr Akku als SS.

• NaiveProxy: baut HTTP/2-Verbindungen direkt mit dem Netzwerkcode des Chrome-Browsers auf, der Handshake gleicht dem eines echten Browsers. Nur wenige Clients unterstützen es (die sing-box-Familie und einige Desktop-Clients), bei Anbietern ist es selten.
• WireGuard / WARP: WireGuard ist ein VPN-Protokoll, dessen Handshake-Pakete feste Merkmale haben – ohne jede Tarnung. Manche Anbieter nutzen Cloudflare WARP als Ausgang, um Streamingdienste oder ChatGPT freizuschalten. Das betrifft aber nur die Ausgangsadresse und hat nichts damit zu tun, welches Protokoll zwischen Ihnen und dem Knoten läuft.
• Snell: schlankes Protokoll vom Entwickler von Surge, vor allem in Clients wie Surge und Stash im Einsatz; andere Clients unterstützen es praktisch nicht.
• ShadowTLS: legt um SS einen echten TLS-Handshake, sodass der SS-Verkehr wie der Besuch einer Website aussieht. Client und Knoten müssen es beide unterstützen.
• HTTP-/HTTPS-/SOCKS5-Proxy: die einfachste Proxy-Form. Unverschlüsseltes HTTP und SOCKS5 taugen nur für das eigene Gerät oder das lokale Netz; über Landesgrenzen hinweg brauchen Sie einen HTTPS-Proxy mit TLS.

• Am Anfang des Freigabelinks: ss:// steht für Shadowsocks, ssr:// für SSR, vmess:// für VMess, vless:// für VLESS, trojan:// für Trojan, hysteria2:// oder hy2:// für Hysteria2, tuic:// für TUIC.
• In der Knotenliste des Clients: Die Clash-Familie und Shadowrocket zeigen den Typ neben dem Knotennamen an (Shadowsocks, Vmess, Vless, Trojan, Hysteria2, TUIC).
• Im Inhalt eines Clash-Abos: Jeder Knoten hat eine Zeile type mit dem Protokollnamen; network (ws, grpc), tls und reality-opts daneben beschreiben die äußere Transportart.
• Anbieter liefern Abos meist in mehreren Formaten: Clash-Abo, sing-box-Abo und allgemeines Abo (ein Freigabelink pro Zeile, oft Base64-kodiert). Es sind dieselben Knoten in unterschiedlichem Format – wählen Sie das passende für Ihren Client. Geben Sie Abo-Links mit Zugangsdaten nicht an fremde „Abo-Konverter“-Websites weiter.

• Clients mit Clash-Meta-Kern (mihomo) – Clash Verge, FlClash, Mihomo Party, Clash Nyanpasu, ClashX Meta, OpenClash: unterstützen SS, VMess, VLESS (inklusive Reality), Trojan, Hysteria2, TUIC und WireGuard.
• Original-Clash und Clash for Windows: Der Kern wird seit Langem nicht mehr weiterentwickelt und kennt nur ältere Protokolle wie SS, VMess und Trojan – kein VLESS, Hysteria2 oder TUIC. Nutzen Sie es noch, wechseln Sie zu einem der mihomo-Clients oben.
• Clients mit sing-box-Kern – die offizielle sing-box-App, Hiddify, Karing, NekoBox: die umfassendste Unterstützung neuer Protokolle, darunter Hysteria2, TUIC, NaiveProxy und ShadowTLS.
• Shadowrocket (iOS, kostenpflichtig): unterstützt praktisch alle gängigen Protokolle und importiert sowohl Freigabelinks als auch Clash-Abos.
• v2rayN (Windows), v2rayNG (Android): vor allem auf Xray-Basis, stark bei VMess, VLESS, Trojan und SS; neuere Versionen unterstützen auch Hysteria2 und weitere Protokolle.
• Stash (iOS / macOS): liest Abos im Clash-Format und unterstützt Hysteria2, TUIC, Snell und mehr.
• Surge, Quantumult X, Loon: jeweils mit eigenem Konfigurationsformat; welche Protokolle sie unterstützen, steht in den jeweiligen Versionshinweisen. Anbieter stellen für sie meist eigene Abos bereit.

• Festnetz zu Hause, UDP nicht eingeschränkt, Videos ruckeln abends: zuerst Hysteria2, dann TUIC.
• Firmen-, Hochschul- oder Hotelnetz, UDP gedrosselt oder Hysteria2 verbindet nicht: auf Trojan oder VLESS (Reality / TLS) über TCP 443 wechseln.
• Mobile Daten, Akku sparen oder nur surfen und chatten: Schlanke Protokolle wie SS oder VLESS reichen.
• Alle Knoten melden Zeitüberschreitung: Prüfen Sie zuerst die Gerätezeit (VMess reagiert empfindlich), aktualisieren Sie dann das Abo und testen Sie Knoten mit einem anderen Protokoll.
• Langsames Tempo liegt nicht unbedingt am Protokoll: Beim selben Protokoll unterscheiden sich Direktverbindung, Weiterleitung und Standleitung weit stärker als die Protokolle untereinander. Wechseln Sie erst Knoten und Region, dann das Protokoll.
• Keine Lust, sich damit zu beschäftigen: Nehmen Sie einen VPN-Dienst, bei dem Client und Leitungen fertig eingerichtet sind.

LeoTun ist kein Proxy-Anbieter, sondern ein VPN-Dienst mit sechs Verbindungsarten unter einem Konto. Die Verbindungsart Hiddify (getarnter Datenverkehr) liefert aber genau so einen Abo-Link, wie ihn Proxy-Anbieter ausgeben: Protokoll Hysteria2. Melden Sie sich an, öffnen Sie die Hiddify-Seite und tippen Sie auf die Flagge einer Region. Im Fenster stehen drei Abos bereit: sing-box-Abo (Hiddify, sing-box, Karing), Clash-Abo (Clash Meta, Clash Verge, FlClash, Stash usw.) und hysteria2-Freigabelink (NekoBox, Shadowrocket, v2rayN usw.). Tippen Sie einfach auf die Schaltfläche für Ihren Client – eine Abo-Konvertierung ist nicht nötig. Die Importschritte erklärt „Abo-Link eines Proxy-Anbieters importieren“.

Drosselt Ihr Netz UDP so stark, dass Hysteria2 nicht verbindet, können Sie mit demselben Konto auf Cisco (AnyConnect) über TLS wechseln oder den Web-Proxy nutzen, der nur den Browser übernimmt. Die Verbindungsart OpenVPN nutzt das gleichnamige Protokoll, „Privat“ (Tailscale) basiert auf WireGuard. Welche Protokolle hinter den Verbindungsarten stecken, steht in „VPN-Protokolle im Vergleich“, wann sich welche eignet, in „Welche Verbindungsart wofür“.