Shadowsocks-Client: So wählen, einrichten und nutzen Sie ihn 2026

Ein Shadowsocks-Client ist die App auf Ihrem Gerät, die sich mit einem Shadowsocks-Server verbindet und Ihren Datenverkehr durch einen verschlüsselten Tunnel leitet. Sie brauchen ihn immer dann, wenn Ihnen jemand einen ss://-Link, einen QR-Code oder einen Satz Serverdaten gibt. Welche App Sie dafür nehmen, ist wichtiger, als es scheint: Die Hälfte der Clients, die ältere Anleitungen empfehlen, wurde seit Jahren nicht mehr aktualisiert, und manche können mit modernen Servern überhaupt nicht mehr sprechen.

Für die meisten fällt die Antwort kurz aus. Outline ist auf jeder Plattform die einfachste kostenlose Option, shadowsocks-android bietet auf Android mehr Kontrolle, und sslocal aus shadowsocks-rust deckt Linux, Server und Router ab. Im Folgenden prüfen wir, welche Clients 2026 noch gepflegt werden, nehmen einen ss://-Link auseinander, richten jede Plattform ein und kontrollieren anschließend, ob Ihr Traffic wirklich über den Server rausgeht. Ein grünes „Verbunden“-Symbol allein beweist das nämlich nicht.

Was ein Shadowsocks-Client eigentlich macht#

Shadowsocks ist ein verschlüsseltes Proxy-Protokoll. Es entstand 2012, um Websites zu erreichen, die in manchen Regionen nicht verfügbar sind, und gehört heute zu den am weitesten verbreiteten Protokollen für eingeschränkte Netzwerke. Ein Setup besteht immer aus zwei Hälften: einem Server in einem Netz ohne Einschränkungen und einem Client auf Ihrem Gerät.

Der Client erledigt drei Aufgaben:

1. Er öffnet einen lokalen Proxy. Der Client lauscht auf Ihrem eigenen Rechner, meist als SOCKS5-Proxy unter 127.0.0.1:1080. Manche Clients öffnen zusätzlich einen HTTP-Proxy oder eine systemweite VPN-Schnittstelle.
2. Er verschlüsselt und leitet weiter. Jede Verbindung, die Ihre Apps an diesen lokalen Proxy schicken, wird mit dem gemeinsamen Schlüssel verschlüsselt und an den Shadowsocks-Server weitergeschickt.
3. Er entscheidet, was durch den Tunnel geht. Je nach Modus ist das der gesamte Traffic, nur Traffic, der zu bestimmten Regeln passt, oder nur die Apps, die Sie selbst darauf einstellen.

Auf der anderen Seite entschlüsselt der Server den Traffic und baut die eigentliche Verbindung zur Website auf. Die Website sieht deshalb die IP-Adresse des Servers statt Ihrer eigenen, und Ihr Internetanbieter sieht nur einen verschlüsselten Datenstrom zu einem einzigen Server, in dem kein Proxy-Handshake zu erkennen ist.

Browser / app
   │  plain SOCKS5 or HTTP (only on your device)
   ▼
Shadowsocks client  127.0.0.1:1080
   │  encrypted Shadowsocks stream
   ▼
Shadowsocks server  (your VPS or provider)
   │  normal HTTPS
   ▼
Website

Zwei verbreitete Annahmen über Shadowsocks sind falsch:

• Es ist kein SOCKS5-Proxy. Gegenüber Ihren Apps spricht der Client SOCKS5, die Verbindung zum Server läuft aber über ein anderes, verschlüsseltes Protokoll. Deshalb können Sie einen Shadowsocks-Client nicht auf einen gewöhnlichen SOCKS5-Server richten und umgekehrt genauso wenig.
• Es ist standardmäßig kein vollwertiges VPN. Im Grundmodus laufen nur die Apps durch den Tunnel, die den lokalen Proxy nutzen, während Apps, die Proxy-Einstellungen ignorieren, direkt ins Netz gehen. Um das ganze Gerät abzudecken, schalten Sie den Client in den VPN-Modus (TUN).

Die besten Shadowsocks-Clients 2026#

Viele Listen empfehlen immer noch Clients, die längst aufgegeben wurden. Deshalb haben wir im Oktober 2026 die Release-Historie jedes einzelnen geprüft. Die Tabelle zeigt, wo sie heute stehen.

Offizielle Clients und Clients für ein einziges Protokoll#

Client	Plattformen	Shadowsocks-2022-Methoden	Plugins	Stand 2026
Outline Client	Windows, macOS, Linux, Android, iOS, ChromeOS	Nein, nur klassische Methoden	Nein	Wird aktiv weiterentwickelt; seit Januar 2026 von der gemeinnützigen Outline Foundation betrieben
shadowsocks-android	Android	Ja	Ja, als separate Apps	Auf GitHub gepflegt (v5.3.4); der Eintrag bei Google Play wurde seit 2021 nicht aktualisiert
ShadowsocksX-NG	macOS	Nein	Ja	Letztes Release v1.10.3 im Oktober 2024; läuft nativ auf Apple Silicon
shadowsocks-rust (sslocal)	Linux, macOS, Windows, Router	Ja	Ja	Die Referenzimplementierung mit regelmäßigen Releases (v1.25.0)
Shadowsocks for Windows	Windows	Nein	Ja	Funktioniert noch, aber das letzte Release (4.4.1.0) stammt vom Februar 2022
shadowsocks-libev, jetzt shadowsocks-c	Linux, Router	Noch in keinem Release	Ja	Unter neuem Namen wiederbelebt; v3.3.6 erschien im Februar 2026
shadowsocks-qt5	Linux, Windows	Nein	Nein	Aufgegeben; nutzen Sie stattdessen sslocal oder eine Multiprotokoll-App
Python shadowsocks (pip)	Alle	Nein	Nein	Schon vor Jahren aufgegeben, also nicht mehr verwenden
ShadowsocksR (SSR)	Verschiedene	Nein	Nein	Ein toter Fork mit eigenem Protokoll, das moderne Server nicht akzeptieren

Multiprotokoll-Clients, die auch Shadowsocks beherrschen#

Falls Sie später VLESS, Trojan oder Hysteria brauchen könnten, kann eine einzige App all das zusammen mit Shadowsocks abdecken:

• Desktop: Clash Verge Rev, das auf dem mihomo-Kern aufbaut, sowie v2rayN.
• Android: NekoBox, Hiddify und die offizielle sing-box-App. NekoBox wird nur langsam aktualisiert, und sein Eintrag bei Google Play wird von einem Dritten betrieben, installieren Sie es daher von GitHub.
• iOS: die kostenlose App sing-box MT, auf die die sing-box-Dokumentation verweist, und Potatso, das im App Store weiterhin Updates bekommt, obwohl sein altes Open-Source-Repository aufgegeben ist. Kostenpflichtige Apps wie Shadowrocket, Stash und Surge bieten zusätzlich regelbasiertes Routing.

sing-box und mihomo unterstützen beide die Shadowsocks-2022-Methoden. Außerdem haben sie die gängigen Plugins bereits eingebaut, sodass Sie diese nicht als separate Programme installieren müssen.

Schnelle Empfehlungen#

• Am einfachsten auf jedem Gerät: Outline. Sie fügen einen Schlüssel ein und tippen auf Connect.
• Android mit voller Kontrolle: shadowsocks-android.
• Mac: ShadowsocksX-NG oder Clash Verge Rev, wenn Sie Routing-Regeln und neuere Methoden möchten.
• Linux, Server und Router: sslocal aus shadowsocks-rust.
• iPhone: Outline als Gratis-Lösung oder eine regelbasierte App, wenn Sie Routing pro Website brauchen, das Outline nicht bietet.

Was Sie vom Server brauchen#

Jeder Shadowsocks-Client braucht dieselben vier Werte, egal ob Sie sie eintippen oder importieren:

Feld	Beispiel	Hinweise
Server	203.0.113.10	IP-Adresse oder Domainname
Port	8388	Jeder Port, auf dem der Server lauscht; 443 ist üblich
Passwort / Schlüssel	Secret0	Muss exakt mit dem Server übereinstimmen
Verschlüsselungsmethode (method)	chacha20-ietf-poly1305	Muss exakt mit dem Server übereinstimmen

Eine falsche Methode oder ein falsches Passwort erzeugt keine klare Fehlermeldung. Der Client verbindet sich, aber danach lädt nichts, und genau deshalb ist das mit Abstand das häufigste Problem bei der Einrichtung.

Einen ss://-Link lesen#

Anbieter und Server-Panels geben Ihnen alle vier Werte meist als einen Link im SIP002-Format, oft mit einem QR-Code daneben:

ss://Y2hhY2hhMjAtaWV0Zi1wb2x5MTMwNTpTZWNyZXQw@203.0.113.10:8388#Frankfurt

Teil	Bedeutung
ss://	Das Schema, das jeder Shadowsocks-Client erkennt
Y2hhY2hh…	Verschlüsselungsmethode und Passwort, chacha20-ietf-poly1305:Secret0, in URL-sicherem Base64 kodiert
@203.0.113.10:8388	Serveradresse und Port
#Frankfurt	Eine Bezeichnung, die die App anzeigt und die keinen Einfluss auf die Verbindung hat

Den mittleren Teil können Sie mit echo Y2hhY2hh… | base64 -d dekodieren, um zu prüfen, was Sie bekommen haben. Links für Shadowsocks-2022-Methoden sehen anders aus, weil die Spezifikation dort Base64 verbietet. Methode und Schlüssel stehen dann im Klartext, Sonderzeichen werden per Prozentkodierung dargestellt. Nutzt der Server ein Plugin, bekommt der Link hinter dem Port einen /?plugin=-Parameter.

Ihnen können noch zwei weitere Formate begegnen, über die Server per URL verteilt werden:

• SIP008-Abo-URLs. Das ist ein HTTPS-Link, der eine JSON-Liste von Servern zurückgibt. Der Client lädt sie regelmäßig neu herunter (shadowsocks-rust standardmäßig stündlich), sodass der Anbieter Server austauschen kann, ohne Ihnen neue Links zu schicken.
• Outline-Schlüssel mit ssconf://. Das sind die dynamischen Zugangsschlüssel von Outline. Die App ersetzt ssconf:// durch https:// und ruft unter dieser Adresse die aktuellen Serverdaten ab.

Behandeln Sie jeden dieser Links wie ein Passwort, denn wer den Link hat, kann Ihren Server nutzen.

Welche Verschlüsselungsmethode Sie wählen sollten#

Methode	Familie	Verwenden?
2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm, 2022-blake3-chacha20-poly1305	Shadowsocks 2022	Ja, wenn Client und Server sie unterstützen. Schutz vor Replay-Angriffen ist eingebaut.
chacha20-ietf-poly1305	Klassisches AEAD	Ja. Jeder standardkonforme Client muss sie unterstützen, und auf Smartphones und Routern ist sie die schnellste Wahl.
aes-256-gcm, aes-128-gcm	Klassisches AEAD	Ja. Am schnellsten auf PCs mit Hardware-AES.
aes-256-cfb, aes-128-ctr, rc4-md5, salsa20 und andere Stromchiffren	Veraltet	Nein. Sie haben keine Integritätsprüfung, und das Projekt selbst bezeichnet sie als komplett gebrochen.

Das Risiko von Stromchiffren ist keineswegs nur theoretisch. Ein Angriff aus dem Jahr 2020 hat gezeigt, dass jemand, der Ihren Traffic mitgeschnitten hat, ihn von einem Server entschlüsseln lassen kann, der noch eine Stromchiffre mit demselben Passwort verwendet.

Shadowsocks 2022 ändert auch den Umgang mit Schlüsseln, denn ein beliebiges Passwort akzeptiert es nicht. Der Schlüssel muss aus zufälligen Bytes in Base64 bestehen, und zwar 16 Bytes für 2022-blake3-aes-128-gcm und 32 Bytes für die beiden anderen. Erzeugen können Sie ihn mit openssl rand -base64 16 oder openssl rand -base64 32. Das Protokoll prüft außerdem Zeitstempel und wertet jede Nachricht, die mehr als 30 Sekunden abweicht, als Replay. In der Praxis heißt das: Geht die Uhr Ihres Geräts eine halbe Minute falsch, schlägt jede Verbindung fehl.

So richten Sie einen Shadowsocks-Client ein#

Kopieren Sie zuerst Ihren ss://-Link. Jeder Client unten kann ihn importieren, Sie müssen Methode und Schlüssel also nicht von Hand eintippen.

Windows#

Die einfachste Option ist Outline:

1. Laden Sie den Outline Client für Windows von der Outline-Website herunter und installieren Sie ihn.
2. Klicken Sie auf Add server (Server hinzufügen), fügen Sie den ss://-Link oder den Zugangsschlüssel in das Feld Paste access key here ein und bestätigen Sie.
3. Klicken Sie auf Connect und bestätigen Sie beim ersten Mal die Netzwerkabfrage. Ab dann läuft der gesamte Traffic durch den Tunnel.

Die klassische Option ist Shadowsocks for Windows:

1. Laden Sie das neueste ZIP von der GitHub-Release-Seite des Projekts herunter und entpacken Sie es in einen Ordner, den Sie dauerhaft behalten.
2. Installieren Sie .NET Framework 4.8 und das Visual C++ 2015 Redistributable (x86), falls Windows sie noch nicht hat, und starten Sie dann Shadowsocks.exe.
3. Klicken Sie mit der rechten Maustaste auf das Papierflieger-Symbol im Infobereich, öffnen Sie Servers und wählen Sie Import URL from Clipboard… oder legen Sie den Server unter Edit Servers… von Hand an.
4. Wählen Sie unter System Proxy die Option PAC, wenn nur Websites aus einer Liste durch den Tunnel gehen sollen, oder Global, wenn alles hindurch soll.

macOS#

1. Laden Sie ShadowsocksX-NG.dmg von der GitHub-Release-Seite herunter und ziehen Sie die App in den Ordner „Programme“. Falls macOS sie beim ersten Mal nicht öffnen will, erlauben Sie sie unter Systemeinstellungen → Datenschutz & Sicherheit.
2. Wählen Sie im Menüleisten-Symbol Import Server URLs… oder Scan QR Code From Screen. Die Werte lassen sich auch unter Server Preferences… eintragen.
3. Schalten Sie Shadowsocks ein und wählen Sie einen Modus: Auto Mode By PAC, Global Mode oder Manual Mode, bei dem nur Apps den Tunnel nutzen, die Sie selbst konfigurieren.

Linux (sowie Router, Server, Docker)#

Unter Linux verwenden Sie sslocal aus shadowsocks-rust. Sie können es über Ihren Paketmanager, mit snap install shadowsocks-rust oder brew install shadowsocks-rust installieren oder ein fertiges Binary aus den Releases herunterladen.

Am schnellsten starten Sie, indem Sie den Link direkt übergeben:

sslocal -b 127.0.0.1:1080 --server-url "ss://Y2hhY2hh...@203.0.113.10:8388"

Für ein dauerhaftes Setup tragen Sie die Werte in eine Konfigurationsdatei ein:

{
  "server": "203.0.113.10",
  "server_port": 8388,
  "password": "Secret0",
  "method": "chacha20-ietf-poly1305",
  "local_address": "127.0.0.1",
  "local_port": 1080
}

sslocal -c config.json                    # SOCKS5 proxy on 127.0.0.1:1080
sslocal -c config.json --protocol http    # HTTP proxy instead

Das Snap-Paket bringt außerdem einen Dienst sslocal-daemon mit, den Sie über systemd aktivieren können, und es gibt ein offizielles Docker-Image, ghcr.io/shadowsocks/sslocal-rust.

Android#

1. Installieren Sie shadowsocks-android von der GitHub-Release-Seite. Die Version aus Google Play funktioniert noch, wurde aber seit 2021 nicht mehr aktualisiert.
2. Tippen Sie oben auf das Symbol zum Hinzufügen eines Profils und wählen Sie Scan QR code, Import from Clipboard oder Manual Settings.
3. Wählen Sie das Profil aus, tippen Sie auf den runden Verbindungsknopf und bestätigen Sie die VPN-Anfrage.
4. Legen Sie in den Profileinstellungen Route fest (zum Beispiel hält Bypass LAN lokale Adressen aus dem Tunnel heraus). Wenn nur bestimmte Apps den Tunnel nutzen sollen, aktivieren Sie Apps VPN mode und wählen Sie diese Apps aus.

iPhone und iPad#

1. Installieren Sie Outline aus dem App Store.
2. Kopieren Sie den ss://-Link. Outline bietet beim Öffnen der App an, ihn hinzuzufügen, oder Sie tippen auf Add server und fügen ihn ein.
3. Tippen Sie auf Connect und erlauben Sie die VPN-Konfiguration.

Regelbasierte Apps wie Shadowrocket oder Potatso funktionieren genauso: Sie fügen einen Server hinzu, indem Sie den Link einfügen oder den QR-Code scannen, und schalten ihn dann ein. Der Unterschied ist, dass diese Apps nur ausgewählte Websites durch den Tunnel schicken können, während Outline immer alles tunnelt.

Routing-Modi: Was wirklich durch den Tunnel geht#

Der Modus entscheidet, welcher Traffic Shadowsocks nutzt. Ein falsch gewählter Modus ist der zweithäufigste Grund, warum ein „funktionierender“ Client scheinbar gar nichts tut.

Modus	Was getunnelt wird	Geeignet für
Manuell	Nur Apps, die Sie auf 127.0.0.1:1080 einstellen	Skripte, ein einzelnes Browserprofil, Tests
Global (Systemproxy)	Jede App, die die Proxy-Einstellung des Systems beachtet	Surfen, wenn der ganze Browser getunnelt werden soll
PAC / Auto / Regeln	Nur Domains auf einer Liste, alles andere geht direkt	Lokale Websites bleiben schnell, ausländische laufen über den Tunnel
VPN / TUN	Der gesamte Traffic des Geräts, einschließlich UDP und Apps, die Proxy-Einstellungen ignorieren	Spiele, Messenger, Smartphones und alles, was den Proxy „nicht sieht“

Outline und die mobilen Apps arbeiten immer im VPN-Modus. Klassische Desktop-Clients nutzen standardmäßig den Systemproxy, während Multiprotokoll-Apps wie Clash Verge Rev und v2rayN einen TUN-Modus zum Einschalten anbieten.

Den lokalen Proxy in einzelnen Apps nutzen#

• Firefox: Öffnen Sie die Einstellungen, suchen Sie nach „Proxy“ und klicken Sie im Abschnitt Proxy settings (Verbindungs-Einstellungen) auf Configure proxy. Wählen Sie Manual proxy configuration, tragen Sie 127.0.0.1 und Port 1080 als SOCKS Host ein, wählen Sie SOCKS v5 und achten Sie darauf, dass Proxy DNS when using SOCKS v5 angehakt ist. Neuere Versionen setzen den Haken standardmäßig, und ohne ihn gehen DNS-Anfragen am Tunnel vorbei.
• Chrome und Edge: Sie folgen dem Systemproxy. Wenn nur ein Browser getunnelt werden soll, starten Sie ihn mit --proxy-server="socks5://127.0.0.1:1080". Mit SOCKS5 löst Chrome Domainnamen immer auf der Proxy-Seite auf, sodass kein DNS-Leak entsteht.
• Browser-Erweiterungen: Mit einem Proxy-Switcher schicken Sie nur ausgewählte Websites über 127.0.0.1:1080 und ändern Regeln mit einem Klick. Das ursprüngliche Proxy SwitchyOmega funktioniert im aktuellen Chrome nicht mehr, sein gepflegter Fork heißt ZeroOmega. Im Chrome Web Store gibt es außerdem ein gefälschtes „SwitchyOmega V3“, prüfen Sie also vor der Installation den Herausgeber. In Firefox sollten Sie kontrollieren, ob die Remote-DNS-Option der Erweiterung eingeschaltet ist.
• Kommandozeile: Verwenden Sie curl --socks5-hostname 127.0.0.1:1080 … oder setzen Sie ALL_PROXY=socks5h://127.0.0.1:1080. Viele Tools verstehen nur HTTP-Proxys, und für sie können Sie sslocal mit --protocol http starten.
• Git: git config --global http.proxy socks5h://127.0.0.1:1080.

Das h in socks5h ist wichtig, denn es sagt dem Tool, Domainnamen über den Proxy aufzulösen statt über Ihr lokales DNS.

Prüfen, ob es wirklich funktioniert#

Ein grünes Symbol bedeutet nur, dass der Client gestartet ist. Um zu sehen, wohin Ihr Traffic tatsächlich geht, führen Sie einen einzigen Befehl aus:

curl --socks5-hostname 127.0.0.1:1080 https://ifconfig.me

Er sollte die IP-Adresse Ihres Shadowsocks-Servers ausgeben und nicht Ihre eigene. Im VPN-Modus führen Sie einfach curl https://ifconfig.me ohne Proxy-Option aus. Öffnen Sie danach im Browser einen DNS-Leak-Test. Die dort aufgeführten DNS-Server sollten zum Netz des Servers oder zu einem öffentlichen Resolver gehören, nicht zu Ihrem Internetanbieter zu Hause.

Plugins und wie erkennbar Shadowsocks 2026 ist#

Plugins#

Shadowsocks kann seinen Traffic an ein Plugin nach dem SIP003-Standard übergeben, das ihn in einen anderen Transport verpackt. Das Plugin läuft auf beiden Seiten, deshalb braucht der Client dasselbe Plugin wie der Server, und zwar mit passenden Einstellungen (bei v2ray-plugin also derselbe Host, derselbe Pfad und dieselbe TLS-Wahl). Es kann immer nur ein Plugin gleichzeitig laufen, und Plugins transportieren ausschließlich TCP-Traffic.

Plugin	Was es macht	Hinweise
v2ray-plugin	Verpackt den Traffic in WebSocket, optional mit TLS	Kann hinter einem CDN oder einem normalen Webserver auf Port 443 laufen
kcptun	Schickt den Traffic über ein UDP-basiertes Protokoll, das auf verlustreiche Leitungen abgestimmt ist	Hilft bei instabilen Mobil- oder Fernverbindungen, verbraucht dafür aber mehr Bandbreite
simple-obfs	Tarnt den Traffic als einfaches HTTP oder TLS	Veraltet; nehmen Sie stattdessen v2ray-plugin
Cloak	Lässt den Server bei Prüfanfragen wie eine gewöhnliche HTTPS-Website aussehen	Braucht ein eigenes Client- und Server-Setup

Outline und viele iOS-Apps führen keine Plugins aus. Wenn Ihr Server eines verwendet, wählen Sie einen Client, der in der Plugin-Spalte der Tabelle oben ein „Ja“ hat, oder eine Multiprotokoll-App mit eingebautem Plugin.

Lässt sich Shadowsocks erkennen?#

Ja, von gut ausgestatteten Netzwerkfiltern. Shadowsocks hat keinen sichtbaren Handshake, denn schon das erste Paket enthält verschlüsselte Daten, und der gesamte Datenstrom sieht wie zufällige Bytes aus. Genau dieses Design ist aber auch seine Schwachstelle. Im November 2021 begannen Filtersysteme in Regionen mit Einschränkungen, Verbindungen zu kappen, deren erstes Paket „zu zufällig“ aussieht.

Wie das funktioniert, hat ein Forscherteam mehrerer US-Universitäten in einem Paper auf der USENIX Security 2023 beschrieben. Das System wendet einfache Regeln auf das erste Datenpaket an, etwa den Anteil druckbarer Zeichen, und prüft nur etwa ein Viertel der Verbindungen. Nach Schätzung der Autoren könnte es trotzdem rund 0,6 % des normalen Internetverkehrs als Kollateralschaden erfassen. Als Reaktion darauf hat shadowsocks-rust Anfang 2022 konfigurierbare Payload-Präfixe eingeführt, und Outline hat seinem Client später im selben Jahr eine ähnliche „prefix“-Option hinzugefügt.

Das bedeutet in der Praxis Folgendes:

• In gewöhnlichen Netzen wie dem WLAN im Hotel oder Café, hinter einer Firmen-Firewall oder auf Dienstreise funktioniert einfaches Shadowsocks mit einer modernen AEAD- oder 2022-Methode gut.
• In Regionen mit Einschränkungen bleibt kein Protokoll für immer erreichbar. Protokolle, die echten TLS-Traffic nachahmen, etwa VLESS mit Reality oder Trojan, halten derzeit oft länger durch, und mit einem Multiprotokoll-Client wechseln Sie, ohne etwas neu zu installieren.
• Beim Thema Privatsphäre sollten Sie bedenken, dass Shadowsocks keine Forward Secrecy bietet, auch nicht in der Ausgabe 2022. Wer Ihren Traffic mitschneidet und später an den Schlüssel kommt, kann ihn entschlüsseln. Wechseln Sie Schlüssel deshalb regelmäßig und verteilen Sie Links nicht großzügig.

Fehlerbehebung#

Symptom	Wahrscheinliche Ursache	Lösung
Verbunden, aber keine Website lädt	Methode oder Passwort passt nicht zum Server	Importieren Sie den ss://-Link erneut, statt Werte abzutippen, oder dekodieren Sie ihn zum Vergleich
Zeitüberschreitung bei der Verbindung	Server offline, falscher Port oder der Port ist in Ihrem Netz gesperrt	Prüfen Sie, ob der Server läuft, und probieren Sie einen anderen Port, etwa 443
Browser funktioniert, andere Apps nicht	Diese Apps ignorieren den Systemproxy	Wechseln Sie in den VPN/TUN-Modus oder stellen Sie den Proxy direkt in der App ein
Websites zeigen weiter Ihr echtes Land an	DNS oder Traffic läuft am Tunnel vorbei	Nutzen Sie socks5h, setzen Sie in Firefox den Haken bei „Proxy DNS“ oder wechseln Sie in den VPN-Modus
Mit einer 2022-Methode schlägt jede Verbindung fehl	Der Schlüssel ist kein gültiges Base64 aus 16 oder 32 Bytes, oder die Geräteuhr weicht um mehr als 30 Sekunden ab	Erzeugen Sie den Schlüssel neu mit openssl rand -base64 32 (16 für aes-128) und synchronisieren Sie die Uhr
Fehler „Unsupported method“	Der Client kennt die Methode nicht	Aktualisieren Sie den Client oder verwenden Sie auf beiden Seiten chacha20-ietf-poly1305
Ein Server mit Plugin verbindet nicht	Dem Client fehlt das Plugin, oder dessen Einstellungen weichen vom Server ab	Installieren Sie dasselbe Plugin mit passendem Host, Pfad und TLS-Einstellungen oder nutzen Sie einen Client mit Plugin-Unterstützung
Läuft ein paar Minuten, dann bricht es ab	Filterung oder Drosselung im Netz	Probieren Sie ein Plugin, einen anderen Port oder ein TLS-basiertes Protokoll
Langsame Geschwindigkeit	Weit entfernter Server, überlasteter VPS oder eine verlustreiche Mobilverbindung	Wählen Sie einen näheren Server und probieren Sie bei instabilen Verbindungen kcptun

Shadowsocks vs. SOCKS5-Proxy vs. VPN#

Diese drei lösen unterschiedliche Probleme, und oft wird das falsche Werkzeug gewählt.

	Shadowsocks	SOCKS5-Proxy	VPN (WireGuard, OpenVPN)
Verschlüsselung bis zum Server	Ja	Nein; Traffic und Login sind auf der Leitung sichtbar	Ja
Sieht aus wie	Zufällige Bytes, kein Handshake	Ein erkennbarer Proxy-Handshake	Ein erkennbarer VPN-Handshake
Deckt ab	Apps, die den lokalen Proxy nutzen, oder im TUN-Modus das ganze Gerät	Apps, die Sie konfigurieren	Das ganze Gerät
Typisches Setup	Ein privater Server, den sich wenige Personen teilen	Viele IPs von einem Anbieter	Ein Server oder das Netz eines Anbieters
Am besten für	Gefilterte Netze und Regionen mit Einschränkungen	Scraping, Automatisierung, Multi-Account-Arbeit, Geo-Tests	Alltägliche Privatsphäre in nicht vertrauenswürdigen Netzen

Shadowsocks gibt Ihnen einen verschlüsselten Tunnel, der schwer zu erkennen ist, aber nur eine einzige Ausgangsadresse. Datenerfassung und Automatisierung brauchen das Gegenteil, nämlich viele Ausgangs-IPs ohne den Overhead der Verschlüsselung, und für diese Aufgabe passen SOCKS5-Proxys besser. Wenn Sie einfach ein ganzes Gerät im öffentlichen WLAN schützen wollen, ist ein VPN wie FineVPN bequemer als ein eigener Shadowsocks-Server.