IKEv2/IPsec-VPNs vergleichen: MOBIKE & Geräte | 2026

IKEv2 und IPsec übernehmen unterschiedliche Aufgaben

IKEv2 und IPsec werden oft als ein einziges VPN-Protokoll bezeichnet. Technisch sind es zwei Bausteine: IKEv2 handelt die Verbindung und die Schlüssel aus, mit denen sich Gerät und Server gegenseitig authentifizieren. IPsec schützt anschließend den eigentlichen Datenverkehr. Für verschlüsselte Nutzdaten kommt dabei meist ESP zum Einsatz.

IKEv2 ist in RFC 7296 festgelegt und gilt als Internetstandard. Der Verbindungsaufbau ist vergleichsweise geradlinig: Auf den ersten Austausch folgen weitere Nachrichten, über die die IPsec-Sicherheitsverbindungen eingerichtet werden. Für Sie ist vor allem entscheidend, dass Client und Server dieselben Einstellungen und eine passende Authentifizierung verwenden.

IKEv2 nutzt üblicherweise UDP-Port 500. Befindet sich ein Gerät hinter NAT, kann NAT-Traversal den Verkehr in UDP-Port 4500 verpacken. ESP selbst ist kein TCP- oder UDP-Port, sondern IP-Protokoll 50. Ein Router oder eine Firewall muss den jeweils benötigten Verkehr passieren lassen. Ist ESP blockiert und kommt NAT-T nicht zum Zug, kann der Tunnel scheitern, obwohl die Zugangsdaten stimmen.

Welche Geräte IKEv2 ohne separate VPN-App nutzen

Ein praktischer Vorteil von IKEv2 ist die Unterstützung in vielen eingebauten VPN-Clients. Windows ab Version 7, iOS und iPadOS ab Version 9 sowie macOS ab Version 11 werden als Systeme mit nativem IKEv2-Client geführt. Damit können Sie ein passendes Profil direkt in den Systemeinstellungen einrichten, statt für jede Verbindung eine zusätzliche VPN-App zu installieren.

Unter Windows 11 lässt sich IKEv2 im eingebauten Client als Verbindungstyp wählen. Das eignet sich etwa für ein Arbeitsgerät, auf dem Sie keine weitere Software installieren dürfen. Achten Sie beim Einrichten auf die Angaben des Anbieters: Serveradresse, Benutzername oder Zertifikat und die angebotene Authentifizierung müssen zusammenpassen. Eine funktionierende Systemmaske allein bestätigt noch nicht, dass der Server korrekt konfiguriert ist.

Bei Android sollten Sie die Unterstützung auf Ihrem konkreten Gerät prüfen. Angaben zur nativen IKEv2-Unterstützung unterscheiden sich je nach Android-Version und Quelle; verlassen Sie sich deshalb nicht auf eine pauschale Mindestversion. Wenn Ihr Gerät keinen geeigneten Systemclient mitbringt, ist eine separate Anwendung wie der strongSwan-Client eine mögliche Alternative. Unter Linux gibt es ebenfalls keinen einheitlichen eingebauten IKEv2-Client: strongSwan ist eine verbreitete Umsetzung, LibreSwan eine weitere.

Netzwechsel funktionieren nur mit MOBIKE auf beiden Seiten

IKEv2 ist für mobile Verbindungen ausgelegt, aber der Name allein verspricht keinen nahtlosen Wechsel. Dafür ist MOBIKE zuständig, die Erweiterung IKEv2 Mobility and Multihoming aus RFC 4555. Sie ermöglicht, die IP-Adressen einer IKE- und IPsec-Verbindung zu ändern, ohne den Tunnel vollständig neu aufzubauen. Das ist relevant, wenn Ihr Smartphone das WLAN verlässt und auf 4G oder 5G umschaltet.

Der VPN-Server oder das Gateway muss MOBIKE ebenfalls unterstützen und in der verwendeten Betriebsart anbieten. Fehlt diese Unterstützung, kann der Tunnel beim Wechsel abbrechen und sich anschließend neu verbinden. Selbst mit MOBIKE sind nicht alle Netzkonstellationen abgedeckt: Antworten müssen an die Adresse und den Port zurückgehen, von denen die jeweilige Anfrage kam. NAT und asymmetrische Netzwege können zusätzliche Grenzen setzen.

Prüfen Sie daher konkret beim VPN-Anbieter oder bei der Person, die Ihren Router verwaltet, ob MOBIKE unterstützt wird. Ein guter Praxistest ist ein laufender Anruf oder eine aktive Verbindung, während Sie WLAN ausschalten und Mobilfunk aktiv lassen. Beobachten Sie, ob der Tunnel bestehen bleibt oder kurz neu aufgebaut wird. Testen Sie möglichst auch die Gegenrichtung, denn das Verhalten kann sich je nach Gateway unterscheiden.

Bei Router-Firmware kann die Umsetzung ebenfalls variieren. Manche Systeme unterstützen MOBIKE nur als Antwort auf eine Verbindungsanfrage, nicht aber dann, wenn der Router selbst den Tunnel startet. Deshalb reicht die Aussage IKEv2 wird unterstützt bei einer Routerauswahl nicht aus. Fragen Sie nach MOBIKE und danach, ob es für genau Ihre Verbindungsrichtung gilt.

Authentifizierung: Zertifikate statt gemeinsam genutztem Geheimnis

IKEv2 kann mit unterschiedlichen Verfahren authentifizieren. Zertifikate sind eine robuste Wahl, weil sie sich einzelnen Geräten oder Nutzern zuordnen lassen. EAP ermöglicht ebenfalls eine gegenseitige Authentifizierung, ohne dass jedes Gerät zwingend ein eigenes Zertifikat benötigt. Welche Variante verfügbar ist, hängt von Server, VPN-Tarif und Client ab. Richten Sie sich nach den konkreten Einrichtungsdaten des Dienstes.

Ein vorab vereinbarter Schlüssel, oft PSK genannt, ist einfacher einzurichten, wird aber schnell zum Risiko, wenn ein kurzes Passwort auf vielen Geräten wiederverwendet wird. Für IKEv1 sind Offline-Angriffe auf schwache PSKs dokumentiert. Daraus folgt keine pauschale Aussage, dass IKEv2-PSKs genauso angreifbar oder automatisch sicher wären. In der Praxis sollten Sie ein gemeinsam genutztes Geheimnis trotzdem nicht als bequemen Ersatz für starke, getrennte Zugangsdaten behandeln.

Bei Zertifikaten muss außerdem der Name stimmen: Der vollständig qualifizierte Domainname, den der Client als Serveradresse verwendet, sollte im Zertifikat als Subject Alternative Name aufgeführt sein. Fehlt der Eintrag, können iOS und Android die Verbindung ablehnen, ohne eine verständliche Fehlermeldung anzuzeigen. Ein Zertifikatsdialog auf dem Mac ist kein Grund, eine Warnung einfach zu übergehen. Lassen Sie die Konfiguration korrigieren.

Router, Firewalls und blockierte Netze prüfen

Für einen IKEv2-Server auf dem Heimrouter ist neben der Client-Unterstützung vor allem die Gateway-Konfiguration wichtig. OpenWrt lässt sich beispielsweise mit strongSwan für Road-Warrior-Verbindungen einrichten. Bei einer solchen Installation müssen Zertifikate, Servername, Firewallregeln und MOBIKE zusammenpassen. Wenn Sie einen Router einsetzen, fragen Sie gezielt nach der MOBIKE-Unterstützung, statt nur nach IKEv2-Unterstützung zu suchen.

Auch das Netz, aus dem Sie sich verbinden, kann den Tunnel verhindern. IKEv2 verwendet UDP 500 und, bei NAT-Traversal, UDP 4500; außerhalb von NAT-T wird ESP benötigt. Hotels, Unternehmensnetze oder restriktive WLANs können UDP-Verkehr oder ESP sperren. Dann liegt das Problem möglicherweise nicht am VPN-Profil. IKEv2 sollte außerdem nicht als getarnt oder als zuverlässig gegen Erkennung durch Netzfilter verstanden werden.

Wenn Sie regelmäßig aus Netzen mit strengen Firewallregeln arbeiten, wählen Sie ein Protokoll, das dort tatsächlich zugelassen ist. OpenVPN über TCP-Port 443 kann in solchen Fällen eine Alternative sein. Entscheidend ist nicht, welches Protokoll auf dem Papier am besten klingt, sondern ob es mit Ihrem Gerät, dem Server und den Regeln des jeweiligen Netzes funktioniert.

So wählen Sie aus der gefilterten Liste

Die Tabelle auf dieser Seite ist nach IKEv2/IPsec gefiltert: Sie sehen dort nur VPN-Tarife, die dieses Protokoll unterstützen. Das beantwortet jedoch nicht automatisch, ob der jeweilige Server MOBIKE anbietet oder welche Authentifizierung unterstützt wird. Prüfen Sie diese Punkte vor dem Kauf in den Einrichtungshinweisen oder beim Support, besonders wenn der Netzwechsel ohne erneuten Verbindungsaufbau für Sie wichtig ist.

• iPhone, iPad oder Mac: IKEv2 passt gut, wenn Sie den eingebauten Client verwenden möchten. Prüfen Sie Servername, Zertifikat und Hinweise zur MOBIKE-Unterstützung.
• Windows ohne zusätzliche App: Der native Client kann IKEv2 nutzen. Bevorzugen Sie Zertifikate oder EAP, wenn der Dienst diese Optionen anbietet.
• Android oder Linux: Kontrollieren Sie zuerst die Client-Unterstützung auf Ihrem Gerät. Unter Umständen benötigen Sie eine separate Anwendung.
• Router als VPN-Gateway: Lassen Sie sich bestätigen, dass MOBIKE in der benötigten Richtung funktioniert und die Firewall den nötigen Verkehr durchlässt.
• Öffentliches oder eingeschränktes WLAN: Wenn UDP oder ESP blockiert wird, ist IKEv2 möglicherweise ungeeignet. Prüfen Sie eine Alternative, die das Netz zulässt.

Die Tarifzahlen in der vollständigen VPN-Übersicht beziehen sich auf alle 22 Tarife und 22 Anbieter, nicht nur auf diese gefilterte Liste. In der Gesamtübersicht beginnen die monatlichen Preise bei 0,74 €; die Preisdaten wurden zuletzt am 31 Oktober 2026 abgeglichen. Nutzen Sie diese Werte als Orientierung für den Gesamtvergleich und prüfen Sie für Ihre Auswahl anschließend die IKEv2-Einrichtung und MOBIKE-Frage beim jeweiligen Tarif.