WireGuard ist das Protokoll, mit dem die meisten anfangen sollten. Es ist klein, es verbindet sich beim Wechsel zwischen WLAN und Mobilfunk fast sofort neu, und die gesamte Konfiguration passt in gut ein Dutzend Zeilen Text. Diese Anleitung behandelt die eigentliche Mechanik: die Konfiguration auf jede Plattform bringen, mehrere Server bereithalten, damit ein Wechsel zwei Klicks kostet, die Datei lesen können und die drei Fehler beheben, die praktisch jede Meldung "verbindet nicht" erklären.
Wenn Sie hier das private VPN gekauft haben, liegt Ihr WireGuard-Tunnel auf Ihrer Bestellseite. Öffnen Sie sie mit dem achtstelligen Magic Code, den Sie nach der Zahlung erhalten haben (er sieht aus wie AB12-CDEF). Es gibt kein Konto und kein Passwort, und das heißt auch: Der Magic Code ist der einzige Weg zurück. Speichern Sie ihn, bevor Sie den Tab schließen. Derselbe Code öffnet die Bestellseite für eine UK-Nummer oder einen Reisedatentarif aus derselben Bestellung.
Zuerst die offizielle App
Nutzen Sie den offiziellen WireGuard-Client, keine umgepackte Variante. Er ist die Referenzimplementierung, quelloffen und fügt keine eigene Kontoebene hinzu.
- iPhone und iPad: "WireGuard" im App Store, herausgegeben vom WireGuard Development Team.
- Android: "WireGuard" bei Google Play oder dieselbe App bei F-Droid, wenn Ihr Telefon Google-frei bleiben soll. Beide stammen aus derselben Quelle.
- Windows und macOS: die Installer auf wireguard.com. Unter macOS ist die App-Store-Version derselbe Client und aktualisiert sich selbst, meist der bequemere Weg.
- Linux: das Paket
wireguard-toolsIhrer Distribution, dannwg-quick upmit der Datei.
Beim ersten Aktivieren fragt die App nach der Erlaubnis, eine VPN-Konfiguration anzulegen. Diese Abfrage kommt vom Betriebssystem, nicht von der App, und sie ist unvermeidbar: Ein VPN muss ein Netzwerkprofil installieren, um Ihren Verkehr umzuleiten.
Zwei Importwege: QR-Scan und Datei
Jeder WireGuard-Client nimmt dieselbe Konfiguration in zwei Formen an. Nehmen Sie die, die zum Gerät passt.
QR-Scan für Telefone
Öffnen Sie Ihre Bestellseite am Rechner, damit der QR-Code auf einem zweiten Bildschirm steht. Dann am Telefon WireGuard öffnen, auf das Plus tippen, Aus QR-Code erstellen wählen und die Kamera darauf richten. Die App fragt nach einem Namen. Benennen Sie den Tunnel nach dem Standort, nicht "VPN": Sie werden mehrere haben, und eine Liste von VPN 1 bis VPN 4 hilft niemandem.
Scannen Sie keinen QR-Code vom selben Bildschirm, auf dem Sie ihn ansehen. Wenn das Telefon Ihr einziges Gerät ist, laden Sie stattdessen die .conf-Datei und nehmen den Dateiweg unten.
Dateiimport, überall
Laden Sie die .conf-Datei von der Bestellseite, dann:
- iOS: in Dateien speichern, WireGuard öffnen, Plus, Aus Datei oder Archiv erstellen, auswählen.
- Android: Plus, Aus Datei oder Archiv importieren. Ein Zip mit mehreren Tunneln importiert alle auf einmal.
- Windows: unten links Tunnel aus Datei importieren, oder die Datei einfach ins Fenster ziehen.
- macOS: das Plus unten links, dann Tunnel aus Datei importieren.
Behandeln Sie die Datei wie ein Passwort. Sie enthält einen privaten Schlüssel, und wer sie hat, kann Ihre Verbindung nutzen. Löschen Sie sie nach dem Import aus dem Download-Ordner.
Was jede Zeile der Konfiguration bedeutet
Eine WireGuard-Konfiguration besteht aus zwei Blöcken. [Interface] beschreibt Ihre Seite, [Peer] den Server. Zum Verbinden müssen Sie nichts davon verstehen, aber wer die Zeilen kennt, liest bei Problemen statt zu raten.
| Zeile | Block | Funktion |
|---|---|---|
PrivateKey | Interface | Ihr geheimer Schlüssel. Datei und Screenshots niemals weitergeben. |
Address | Interface | Die private IP Ihres Geräts innerhalb des Tunnels, nicht Ihre öffentliche Adresse. |
DNS | Interface | Der Resolver, solange der Tunnel steht, damit Namensauflösungen nicht zum Provider gehen. |
MTU | Interface | Größte Paketgröße im Tunnel. Die einzige Zeile, die man von Hand ändert. |
PublicKey | Peer | Die Identität des Servers. Ist sie falsch, wird der Handshake stillschweigend verworfen. |
PresharedKey | Peer | Optionaler zusätzlicher symmetrischer Schlüssel über dem Handshake. |
AllowedIPs | Peer | Was in den Tunnel geroutet wird. 0.0.0.0/0, ::/0 heißt alles. |
Endpoint | Peer | Serveradresse und UDP-Port, an den Ihr Gerät sendet. |
PersistentKeepalive | Peer | Schickt alle paar Sekunden ein winziges Paket, damit Router und Mobilfunknetze den Pfad offen halten. |
Zwei davon bestimmen das tägliche Verhalten. AllowedIPs mit 0.0.0.0/0, ::/0 ist Full Tunnel: alles geht durch das VPN. Engere Werte ergeben Split Tunneling, bei dem nur bestimmte Bereiche durchlaufen. PersistentKeepalive verhindert, dass ein Mobilfunknetz einen untätigen Tunnel leise abräumt. Deshalb ist ein Tunnel, der "läuft und nach zehn Minuten stehen bleibt", oft ein Keepalive-Problem und kein Serverproblem.
Mehrere Tunnel halten und wechseln
Ein Zugang funktioniert auf jedem Server, den wir listen, in Dutzenden Ländern. Es gibt also keinen Grund, nur einen Tunnel zu haben. Importieren Sie drei oder vier: einen in der Nähe für Tempo, einen im Land, in dem Sie erscheinen wollen, und einen ganz woanders als Ausweichweg.
Jeder WireGuard-Client hält genau einen Tunnel aktiv. Der zweite deaktiviert den ersten automatisch, ein Wechsel ist also ein einziger Schalter. Praktische Hinweise:
- iOS und Android: die Tunnelliste ist der Hauptbildschirm. Langes Tippen zum Umbenennen oder Löschen. Unter Android gibt es eine Schnelleinstellungskachel für den zuletzt genutzten Tunnel.
- Windows: Tunnel stehen links. Die App liegt auch im Infobereich, Wechseln geht ohne Fenster.
- macOS: das Menüleistensymbol listet alle Tunnel, Wechseln ist von überall zwei Klicks entfernt.
Geben Sie jedem Tunnel einen Namen mit Stadt und Protokoll, etwa "Berlin WG". Spätestens wenn auch OpenVPN-Profile installiert sind, sind Sie froh darüber.
On-Demand und Always-on
Jede Plattform bietet unterschiedlich viel Automatik, und die Bezeichnungen sind unnötig verschieden.
| Plattform | Funktion | Wo sie sitzt |
|---|---|---|
| iOS und macOS | On-Demand: automatisch im WLAN, im Mobilfunk oder überall außer in benannten Netzen | Tunnel in der WireGuard-App bearbeiten, Abschnitt On-Demand |
| Android | Always-on VPN und Verbindungen ohne VPN blockieren | Systemeinstellungen, Netzwerk, VPN, Zahnrad neben WireGuard |
| Windows | Untunnelten Verkehr blockieren, ein Kill Switch, wenn AllowedIPs alles abdeckt | Tunnel in der WireGuard-App bearbeiten |
| Linux | wg-quick-Dienst für das Interface aktivieren, damit er beim Start hochkommt | systemd, Unit wg-quick@ |
Die Ausnahmeliste unter iOS ist die wirklich nützliche Funktion. Tragen Sie Ihr Heim-WLAN als Ausnahme ein, und der Tunnel geht überall sonst von allein hoch, ohne dass Sie daran denken. Unter Android ist es "Verbindungen ohne VPN blockieren", das den Verkehr in den Sekunden zwischen Abbruch und Wiederaufbau tatsächlich zurückhält. Schalten Sie es ein, wenn Ihnen das wichtig ist, und wissen Sie dabei: Solange der Tunnel unten ist, hat das Telefon gar kein Internet.
Fehlersuche in sinnvoller Reihenfolge
Gar kein Handshake
Die App zeigt den Tunnel als aktiv, aber "Letzter Handshake" erscheint nie und nichts fließt. Ihre Pakete erreichen den Endpunkt nicht, oder die Antwort kommt nicht zurück. Arbeiten Sie die Liste ab:
- Geräteuhr prüfen. Der WireGuard-Handshake trägt einen Zeitstempel. Ein Gerät mit stark falscher Uhr wird abgewiesen. Datum und Uhrzeit auf automatisch stellen.
- Anderes Netz probieren. Vom WLAN auf Mobilfunk wechseln. Klappt es dort, blockiert das WLAN, und keine Änderung an der Konfiguration ändert daran etwas.
- Anderen Server probieren. Ein Endpunkt kann über Ihre Route unerreichbar sein, während andere laufen. Genau dafür haben Sie mehrere Tunnel importiert.
- Nicht dieselbe Konfiguration doppelt betreiben. WireGuard erkennt Sie am Schlüssel, nicht am Gerät. Läuft derselbe Tunnel gleichzeitig auf zwei Geräten, folgt die Route des Servers dem zuletzt eingetroffenen Handshake, und beide Verbindungen benehmen sich seltsam. Pro Gerät eine eigene Konfiguration.
- Datei neu importieren. Eine per Hand aus einem Screenshot abgetippte Konfiguration hat fast immer einen kaputten Schlüssel. Importieren statt abtippen.
Wenn auf keinem Server ein Handshake zustande kommt, ist das der Moment, den Support mit Ihrem Magic Code zu kontaktieren. Unsere Erstattungsregel deckt einen Dienst ab, der nach Fehlersuche auf keinem Server verbindet. Sie deckt keinen einzelnen langsamen Server ab, denn dafür ist der Wechsel die Lösung.
Verbunden, aber Namen werden nicht aufgelöst
Der Handshake steht, eine IP-Prüfung zeigt den VPN-Standort, aber Domains lösen nicht auf. Das ist fast immer DNS.
- Prüfen Sie, ob die Konfiguration eine
DNS-Zeile hat. Ohne sie behält das Gerät seinen bisherigen Resolver, was Ihre Abfragen offenlegt und im Tunnel oft schlicht nicht funktioniert. - Unter Android Privates DNS in den Systemeinstellungen prüfen. Steht dort ein fester Hostname, kann er mit dem Resolver des Tunnels kollidieren. Auf Automatisch oder Aus stellen und erneut testen.
- Unter macOS und Windows nach einer DNS-Änderung einmal trennen und neu verbinden. Beide cachen kräftig.
- Ein Werbeblocker auf Netzwerkebene zu Hause fängt womöglich Port 53 ab. Zum Ausschließen im Mobilfunk testen.
Verbunden, aber große Seiten und Downloads hängen
Das ist das MTU-Problem und von den dreien das am häufigsten falsch diagnostizierte. Das Muster ist eindeutig: Handshake läuft, kleine Anfragen klappen, dann bleibt ein großer Download oder eine Seite mit vielen Elementen hängen und läuft in einen Timeout. Manche Mobilfunknetze und manche Hausanschlüsse packen Ihren Verkehr in eine zusätzliche Schicht, wodurch in jedem Paket weniger Platz bleibt als WireGuard annimmt.
Die Lösung ist eine Zeile. Tunnel bearbeiten und in [Interface] die MTU senken. Ohne vorhandenen Wert zuerst 1420, dann 1380, dann 1280 versuchen und nach jeder Änderung neu verbinden. Niedrigere Werte kosten etwas Durchsatz, und 1280 ist die sichere Untergrenze für IPv6. Bleiben Sie beim ersten Wert, der funktioniert.
Das Netz blockiert UDP vollständig
WireGuard spricht ausschließlich UDP. Es gibt keinen TCP-Modus und keine Einstellung, die einen erzeugt. Manche Firmennetze, Universitätsnetze, Hotelportale und Mobilfunkanbieter erlauben nur TCP auf Port 80 und 443. Dort kann WireGuard nicht arbeiten, egal wie der Tunnel konfiguriert ist.
Stattdessen, in dieser Reihenfolge:
- OpenVPN über TCP 443. Ihre Bestellseite enthält
.ovpn-Profile in UDP- und TCP-Varianten. Das TCP-Profil auf Port 443 sieht auf Portebene aus wie eine gewöhnliche verschlüsselte Verbindung zu einem Webserver, und das reicht für die meisten restriktiven Firmennetze. Es ist langsamer als WireGuard, und in so einem Netz lohnt sich der Tausch. - VLESS. Prüft das Netz den Verkehr, statt nur Ports zu filtern, ist ein in TLS eingebetteter VLESS-Strom der nächste Versuch. Das ist ein längeres Thema mit eigenen Apps und hat eine eigene Anleitung: VLESS, wenn WireGuard blockiert wird.
Eine Sache zu eSIMs
Schalten Sie das VPN aus, während Sie eine eSIM installieren. Der Download eines eSIM-Profils muss den Betreiber direkt erreichen, und ein Tunnel dazwischen ist eine bekannte Ursache für eine Installation, die bei "Wird aktiviert" hängen bleibt. Erst die eSIM installieren, Empfang prüfen, dann den Tunnel wieder hochfahren. Dasselbe gilt für ein Bundle, bei dem VPN und eSIM auf einer Bestellseite liegen.
Was als Nächstes zu tun ist
Wenn Ihr Tunnel steht, erledigen Sie jetzt zwei Kleinigkeiten und ersparen sich später einen verlorenen Abend. Importieren Sie einen zweiten und dritten Server, damit ein Wechsel ein Schalter ist und kein Projekt, und legen Sie Ihren Magic Code an einem Ort ab, an dem er in sechs Monaten noch liegt: Er ist der einzige Weg zurück zur Bestellseite, und es gibt kein Konto zum Wiederherstellen.
Wenn Sie noch überlegen: Die VPN-Seite listet den Lieferumfang und die Laufzeiten von 7 bis 365 Tagen, und die Statusseite öffnet eine bestehende Bestellung mit dem Magic Code. Wenn Sie hier sind, weil ein Netz Sie blockiert und nicht weil etwas kaputt ist, springen Sie direkt zur VLESS-Anleitung.
