HotS Proxy: Kontosicherheit, Compliance-Grenze und Traffic-Umfang

Wer ueber die Netzwerkseite von HotS spricht, muss zwei Prozesse unterscheiden. Die Launcher-Anwendung uebernimmt den Konto-Login, die Patch-Pruefung und den Datei-Download; das Spiel wird als separater Prozess gestartet und nutzt waehrend des Matches seinen eigenen Kanal. Eine Proxy-Definition gilt nicht automatisch fuer beide gleichermassen, denn die beiden Anwendungen koennen die Netzwerkeinstellungen unterschiedlich auslesen.

Die zweite Unterscheidung liegt auf der Transportschicht. Menues, Profilseiten und Download-Anfragen sind Vorgaenge, die Reihenfolgegarantie verlangen und ueber TCP laufen. Die Statusaktualisierung waehrend des Matches setzt dagegen eine andere Balance. Welcher Posten welches Protokoll verwendet, sollte nicht auf Forenbehauptungen beruhen, sondern auf einer Messung auf Ihrem eigenen Rechner; wie das geht, wird weiter unten beschrieben.

Abschliessend, was wir bewusst ausklammern: Diese Seite behandelt weder Regionswechsel noch Kontouebertragung, Mehrfachkonten oder das Aushebeln der mit dem Client laufenden Integritaetspruefungen. Die Einhaltung der Nutzungsbedingungen des Publishers liegt in der Verantwortung des Nutzers, und eine Netzwerkeinstellung aendert daran nichts.

Wie verteilt sich die Netzwerkarbeit in einer HotS-Session?

Die Session beginnt mit der Kontoverifizierung durch den Launcher. Dieser Posten ist klein, aber entscheidend: Hier wird die Identitaet der Session festgelegt, und die serverseitig sichtbare Adresse wird in diesem Schritt erfasst. Danach folgt die Patch-Pruefung; liegt ein Update vor, setzt der Datei-Download ein und bestimmt an diesem Tag Ihr gesamtes Netzwerkprofil im Alleingang. An einem Abend ohne Patch liegt derselbe Posten dagegen nahezu bei null.

Sobald das Spiel geoeffnet ist, erzeugt die Client-Oberflaeche eigene Anfragen: Profil, Heldenliste, Sammlung und Shop-Bildschirme. Das sind wiederum webaehnliche Anfragen, die sich in der Regel von einer Proxy-Definition erfassen lassen. Mit dem Match-Start setzt der Status-Stream ein: kleine Pakete, hohe Frequenz und ein latenzempfindlicher Kanal.

Der fuenfte Posten liegt dort, wo die meisten Nutzer nie hinschauen: Sprachchat und Telemetrie. Die Sprachkommunikation laeuft meist ueber einen separaten Kanal und teilt nicht zwangslaeufig das Schicksal des Match-Kanals. Die Telemetrie wiederum sendet im Hintergrund kleine Pakete. Diese beiden Posten bei der Bewertung des Setup-Umfangs getrennt zu betrachten, verhindert Probleme vom Typ "alles laeuft, nur der Ton kommt nicht durch".

Kontoregion, Zwei-Faktor-Authentifizierung und Standortwechsel

Die Region, an die das Konto gebunden ist, ist eine Kontoeigenschaft unabhaengig vom Netzwerkweg. Die Servergruppe, auf der Sie spielen, Ihre Freundesliste und gekaufte Inhalte haengen an dieser Region; das Land Ihrer Ausgangsadresse zu aendern, verschiebt diesen Kontext nicht. Das von Anfang an zu akzeptieren, verhindert falsche Erwartungen an das Setup.

Das zweite Thema ist das Verifizierungsverhalten. Publisher-Konten koennen bei einer Anmeldung von einem ungewohnten Standort oder einem neuen Geraet einen zusaetzlichen Schritt verlangen; eine E-Mail-Benachrichtigung ist gaengige Praxis. Ist die Zwei-Faktor-Authentifizierung aktiv, ist dieser Schritt ein Sicherheitsgewinn fuer Sie, kein Hindernis. Statt sie abzuschalten, ist es der richtige Ansatz, die Ausgangsadresse konstant zu halten und so die Haeufigkeit der Verifizierungen zu senken.

• Verwenden Sie pro Konto einen einzigen Ausgang und wechseln Sie ihn nur, wenn es noetig ist.
• Wählen Sie das Exit-Land passend zum üblichen Nutzungsland des Kontos.
• Lassen Sie die Zwei-Faktor-Authentifizierung aktiviert und halten Sie Ihre Wiederherstellungsdaten aktuell.
• Geben Sie keine Zugangsdaten weiter; Kontoteilung verstoesst gegen die Nutzungsbedingungen.
• Wenn Sie den Ausgang wechseln muessen, tun Sie das nicht waehrend eines Matches, sondern bei geschlossener Session.

Auf der Datenschutzseite ist entscheidend, was der Ausgangsserver sieht. Selbst wenn der Verbindungsinhalt verschluesselt ist, kann auf diesem Server sichtbar und protokollierbar sein, welche Adressen Sie ansteuern. Die Anbieterwahl ist deshalb keine technische, sondern eine Vertrauensentscheidung; was Logging-Richtlinien bedeuten Proxy-Logs und Datenschutz wird im Beitrag erlaeutert.

Integritaetspruefungen und Nutzungsbedingungen: Wo muss man haltmachen?

Die gemeinsam mit dem Client laufenden Schutzkomponenten betrachten nicht Ihren Netzwerkweg, sondern die Integritaet des laufenden Prozesses. Ein Proxy aendert nichts von dem, worauf diese Pruefungen schauen: der Zustand der Spieldateien, ob in den Speicher eingegriffen wurde und ob der Client wie erwartet laeuft, ist unabhaengig von Ihrer Netzwerkeinstellung. Ein Proxy ist in diesem Bereich also weder ein Werkzeug noch ein Risikominderer.

Das muss klar gesagt werden, denn in Online-Diskussionen werden beide haeufig verwechselt. Das Einzige, was ein Proxy aendert, ist, von wo aus der Server Ihre Verbindung als eingehend betrachtet. Was er nicht aendert, ist eine lange Liste: Hardware- und Client-Fingerprints, Kontohistorie, Aufzeichnungen des Ingame-Verhaltens und Telemetrie. Entscheidungen, die zu einem Konto getroffen wurden, lassen sich nicht durch einen Wechsel des Netzwerkwegs rueckgaengig machen.

Die legitimen Anwendungsbereiche sind eng, aber real. Dazu gehoeren: aus einem Unternehmensnetz mit einer festen Adresse nach aussen zu gehen, zu testen, wie sich ein Client aus einem anderen Land verhaelt, in Umgebungen wie Internetcafes oder gemeinsam genutzten Raeumen die Ausgangsadresse vorhersehbar zu halten und nicht zu wollen, dass die Zieladressen fuer Ihren Leitungsanbieter sichtbar sind. In diesen Szenarien geht es nicht um einen Ingame-Vorteil, sondern um die Steuerung des Netzwerkverhaltens.

Welcher Traffic kann in den Tunnel gelangen und welcher nicht?

Die Trennung beginnt auf der Transportschicht. Ein HTTP-Proxy oeffnet fuer HTTPS mit der Methode CONNECT einen Tunnel, und dieser Tunnel transportiert ausschliesslich TCP-Bytes. UDP gelangt gar nicht erst in diesen Tunnel. SOCKS5 kann UDP dagegen ueber ein eigenes Verfahren transportieren: Der Client baut einen Steuerkanal auf, fordert eine Association an und sendet seine Datagramme, verpackt in einen kleinen Header, an die vom Proxy genannte Relay-Adresse.

Dieser Header ist das konkreteste Detail des Protokolls. Er enthaelt reservierte Felder, Fragmentierungsinformationen, den Adresstyp und das Adress-Port-Paar des eigentlichen Ziels; die Spieldaten stehen ganz am Ende. UDP-Weiterleitung ist also kein Schalter mit "an oder aus", sondern bei jedem Datagramm zusaetzliche Kapselungsarbeit. Unterstuetzt der Anbieter das nicht, wird die Anfrage abgelehnt und das Setup transportiert stillschweigend nur die TCP-Posten. Bei der Auswahl, welches Protokoll zu welcher Aufgabe passt, bietet der Leitfaden zur Wahl des Proxy-Protokolls einen nuetzlichen Rahmen.

Wie verifizieren Sie das auf Ihrem eigenen Rechner?

Messen statt raten. Unter Windows listet der Netzwerk-Tab der Ressourcenueberwachung die laufenden Prozesse und die von ihnen geoeffneten Verbindungen auf; auf der Kommandozeile erreichen Sie dieselbe Information, indem Sie die Ausgabe von netstat -ano nach der Prozess-ID des Spiels filtern. Ein Blick auf diese Liste, nachdem Sie das Spiel gestartet und ein Match betreten haben, zeigt direkt, welcher Posten TCP und welcher UDP nutzt. Ob eine Anwendung ueberhaupt ein SOCKS5-Feld anbietet, ist wiederum eine eigene Frage; Anwendungen mit SOCKS5-Unterstützung beschreibt diesen Unterschied anhand von Beispielen.