ERR_CONNECTION_RESET bei nur einer Seite

Jede andere Website lädt, aber eine scheitert immer wieder mit „Die Website ist nicht erreichbar“ und ERR_CONNECTION_RESET. Neu laden ändert nichts. Diese Anleitung ist ein Entscheidungsbaum. Jeder Schritt findet entweder die Ursache oder schließt eine aus, und die Reihenfolge geht von den schnellsten Prüfungen zur aussagekräftigsten.

Was „Verbindung zurückgesetzt“ eigentlich bedeutet

Eine TCP-Verbindung kann höflich enden oder sofort mit einem Reset-Paket (RST) abgerissen werden. Chrome und andere Chromium-Browser zeigen ERR_CONNECTION_RESET, wenn ein Reset eintrifft, bevor die Seite geliefert wurde. Firefox zeigt eine ähnliche Seite „Die Verbindung wurde zurückgesetzt“. Der Reset kann vom Server der Website kommen, von Software auf Ihrem eigenen Computer oder von einem Gerät mitten im Netz, das sich als eines der beiden Enden ausgibt.

Deshalb hat derselbe Fehler so verschiedene Ursachen. Der Trick ist herauszufinden, wer den Reset geschickt hat und wann.

Schritt 1: Ist es wirklich nur eine Website?

Öffnen Sie zwei oder drei Websites ohne Bezug zueinander, darunter eine, die Sie selten besuchen. Scheitern mehrere, liegt das Problem an Ihrer Verbindung, Ihrem Router oder Ihrem Gerät, nicht an dieser einen Website. Starten Sie den Router neu und prüfen Sie, ob andere Geräte im selben Netz funktionieren. Scheitert nur eine Website, machen Sie weiter.

Schritt 2: Ist es nur ein Netz?

Das ist der aufschlussreichste Test, und er kostet nichts. Öffnen Sie die Website über mobile Daten statt WLAN, oder verbinden Sie Ihren Laptop per Hotspot mit dem Smartphone. Öffnet sich die Website in einem Netz und wird im anderen zurückgesetzt, ist das scheiternde Netz beteiligt. Die üblichen Ursachen stehen in Warum geht eine Website mit mobilen Daten, aber nicht im WLAN? Scheitert sie überall, ist eher die Website selbst oder Ihr Gerät die Ursache.

Schritt 3: Anderer Browser, privates Fenster, keine Erweiterungen

Probieren Sie ein privates oder Inkognito-Fenster, in dem die meisten Erweiterungen standardmäßig aus sind. Probieren Sie dann einen anderen Browser. Werbeblocker, Datenschutz-Erweiterungen, Add-ons für „sicheres Surfen“ und Browser-Richtlinien von Firmen können alle Verbindungen schließen. Funktioniert die Website im privaten Fenster, schalten Sie Ihre Erweiterungen einzeln wieder ein, bis der Fehler zurückkehrt.

Schritt 4: Andere VPNs, Proxys und HTTPS-Scans ausschalten

Alles, was im Weg Ihres Datenverkehrs sitzt, kann eine Verbindung zurücksetzen, die ihm nicht gefällt:

• Eine andere VPN- oder Proxy-App. Schalten Sie sie ganz aus und testen Sie erneut.
• „HTTPS-Scan“ oder „Webschutz“ im Virenscanner. Manche Sicherheitspakete prüfen verschlüsselten Datenverkehr und trennen Verbindungen, die sie für riskant halten. Pausieren Sie diese Funktion kurz zum Testen und schalten Sie sie dann wieder ein.
• Der Systemproxy. Unter Windows sehen Sie unter Einstellungen → Netzwerk und Internet → Proxy nach. Unter macOS unter Systemeinstellungen → Netzwerk → Ihre Verbindung → Details → Proxys. Ein Proxy, den Sie nicht kennen, oder ein Überbleibsel einer alten App, kann einzelne Websites stören. Entfernen Sie nur, was Sie sicher selbst eingestellt haben, und fragen Sie auf einem verwalteten Computer Ihre IT-Abteilung.

Schritt 5: DNS-Cache leeren und verschlüsseltes DNS probieren

Ist die Website auf andere Server umgezogen, nutzt Ihr Gerät vielleicht noch die alte Adresse, was zu einem Reset oder einer Zeitüberschreitung führen kann. Leeren Sie die Caches:

# Windows (Command Prompt)
ipconfig /flushdns

# macOS
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Chrome's own cache: open chrome://net-internals/#dns and click "Clear host cache"

Vergleichen Sie dann die Antwort Ihres Netzes mit einem unabhängigen Resolver: nslookup example.com und dann nslookup example.com 1.1.1.1. Unterscheiden sie sich und funktioniert nur die unabhängige Antwort, ist das DNS Ihres Netzes das Problem. Verschlüsseltes DNS behebt diese Art Sperre, wie in DoH und DoT erklärt. Unterschiedliche Adressen allein sind kein Beweis, denn große Websites geben verschiedenen Netzen verschiedene Server.

Schritt 6: Datum und Uhrzeit prüfen

Eine falsche Uhr führt meist zu einem Zertifikatsfehler statt zu einem Reset, aber die Prüfung dauert zehn Sekunden. Schalten Sie automatisches Datum und automatische Uhrzeit ein und laden Sie neu. Klicken Sie nie eine Zertifikatswarnung weg, um an einer scheiternden Seite „vorbeizukommen“.

Schritt 7: Ist die Website offline?

Prüfen Sie die Statusseite oder den offiziellen Social-Media-Kanal der Website, oder nutzen Sie einen öffentlichen Checker nach dem Muster „für alle oder nur für mich offline“. Ist die Website offline, warten Sie. Bedenken Sie, dass so ein Checker von seinen eigenen Servern aus testet. „Online“ dort beweist also nicht, dass sie aus Ihrem Netz erreichbar ist.

Schritt 8: Den Reset mit curl lesen

Wird die Website weiterhin nur in einem Netz zurückgesetzt, sehen Sie sich den Handshake selbst an. curl ist in Windows 10 und 11, macOS und den meisten Linux-Systemen eingebaut. Führen Sie es im Terminal aus, mit Ihrer Website statt example.com:

curl -v https://example.com

Eine gesunde Verbindung gibt einige Zeilen wie diese aus, dann die Header der Seite. Der genaue Wortlaut hängt von Ihrer curl-Version und TLS-Bibliothek ab:

*   Trying 203.0.113.10:443...
* Connected to example.com (203.0.113.10) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
...
< HTTP/2 200

Das Muster, das auf namensbasierte Filterung hinweist, sieht so aus:

*   Trying 203.0.113.10:443...
* Connected to example.com (203.0.113.10) port 443
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* Recv failure: Connection reset by peer
curl: (35) Recv failure: Connection reset by peer

Lesen Sie es Zeile für Zeile. „Connected“ heißt, dass die TCP-Verbindung zur IP-Adresse des Servers geklappt hat, die Adresse ist also nicht pauschal gesperrt. „Client hello“ ist die erste TLS-Nachricht, und sie enthält den Namen der Website im Klartext in einem Feld namens SNI. „Connection reset by peer“ direkt danach bedeutet, dass etwas die Verbindung getrennt hat, sobald dieser Name sichtbar war, bevor der Server antworten konnte. Manche Netze schließen die Verbindung stattdessen still. curl meldet das als unerwartetes Dateiende oder als SSL-„syscall“-Fehler, und Chrome zeigt eventuell ERR_CONNECTION_CLOSED.

Vergleichen Sie mit anderen Ergebnissen:

Um den Befund zu erhärten, führen Sie denselben Befehl in einem anderen Netz aus. Klappt es dort, gehört der Filter zum ersten Netz. Das ist keine Vermutung über einen seltenen Fall. Eine Studie von OONI und dem Centre for Internet and Society aus dem Jahr 2020 fand bei Bharti Airtel TLS-Verbindungen zu bestimmten Websites, die direkt nach dem ClientHello getrennt wurden, und bei Reliance Jio eine Kombination aus SNI und Zieladresse. CIS berichtete gesondert, dass Jio SNI-Inspektion einsetzt, und der Bericht wurde im Forum ntc.party diskutiert. Mehr Hintergrund: Wie man prüft, ob eine Website gesperrt ist.

Wo GreenTunnel hilft und wo nicht

GreenTunnel ist ein lokales VPN auf dem Gerät, das wir entwickeln. Lesen Sie diesen Teil also im Wissen, dass wir voreingenommen sind. Es zielt auf zwei der Ursachen oben:

• SNI-Filterung. Es formt die ersten TLS-Pakete einer Verbindung um, etwa indem es das Client hello oder seinen TLS-Record aufteilt, sodass ein Filter, der nach einem Website-Namen sucht, ihn nicht in einem Stück findet. So funktioniert es: SNI, DPI und TLS-Record-Splitting.
• DNS-Sperren. Abfragen laufen per verschlüsseltem DNS (DoH oder DoT) zu Cloudflare, Google oder Quad9, sodass das Netz nicht still eine gefälschte Antwort zurückgeben kann.

Sein Werkzeug Inspect URL führt die Vergleiche aus den Schritten 5 und 8 für eine Website in dem Netz durch, in dem Sie gerade sind, und sagt, ob die Website per Name gefiltert wird, eine gefälschte DNS-Antwort bekommt, per IP-Adresse gesperrt ist oder in Ordnung ist. Funktioniert eine Technik, können Sie auf Use this technique tippen.

Es hilft nicht, wenn:

• die Website offline ist oder der Reset vom Server der Website selbst oder ihrem Schutzdienst kommt,
• die Sperre per IP-Adresse erfolgt, was sich als Zeitüberschreitung bei „Trying“ zeigt,
• eine Firma, Schule oder ein anderes verwaltetes Netz die Website absichtlich sperrt. Die Regeln dieses Netzes legt sein Betreiber fest. Respektieren Sie die Richtlinie und fragen Sie den Administrator, wenn Sie den Zugang für Ihre Arbeit brauchen,
• die Ursache eine Erweiterung, ein Virenscanner oder veraltetes DNS auf Ihrem eigenen Gerät ist. Beheben Sie das direkt.

Ehrliche Grenzen und verantwortungsvolle Nutzung

GreenTunnel verbirgt Ihre IP-Adresse nicht und ist kein Anonymisierungstool. Es kommt nicht an IP-Sperren, Netzabschaltungen oder Allowlists vorbei und verspricht nicht, eine bestimmte Website zu öffnen. Filter ändern sich mit der Zeit und unterscheiden sich zwischen Providern. Ein Ergebnis von heute kann also nächsten Monat anders aussehen.

Häufige Fragen

Ist ERR_CONNECTION_RESET immer ein Zeichen, dass eine Website gesperrt ist?

Nein. Erweiterungen, HTTPS-Scans im Virenscanner, ein übrig gebliebener Proxy, veraltetes DNS oder die Website selbst können ihn auslösen. Eine Sperre wird erst wahrscheinlich, wenn der Reset in einem Netz direkt nach dem Client hello passiert und die Website anderswo funktioniert.

Warum geht die Website mit mobilen Daten, wird im WLAN aber zurückgesetzt?

Die beiden Netze nutzen verschiedene Provider, Resolver und Filter. Eines davon liest vielleicht den Namen der Website oder beantwortet DNS anders. Führen Sie curl -v in beiden aus und vergleichen Sie, wo es jeweils stoppt.

Hilft es, Cookies zu löschen?

Selten. Cookies werden gesendet, nachdem die Verbindung steht, die meisten Resets passieren aber vorher. Websitedaten zu löschen kann helfen, wenn die Website selbst eine fehlerhafte Sitzung ablehnt. Das zeigt sich meist als HTTP-Fehler.

Kann GreenTunnel einen Reset durch meine Firmen-Firewall beheben?

Dafür ist es nicht gedacht. Ein verwaltetes Netz sperrt Websites nach der Richtlinie seines Betreibers. Fragen Sie den Administrator, statt zu versuchen, das zu umgehen.

Quellen

• OONI und Centre for Internet and Society, Investigating TLS blocking in India, Juli 2020.
• Centre for Internet and Society, Reliance Jio is using SNI inspection to block websites.
• Forum ntc.party, SNI filtering by Indian ISP Reliance Jio.
• curl-Projekt, curl-Handbuch (die Option -v).