OpenVPN-VPNs im Vergleich: Router, TCP und UDP

Was OpenVPN leistet – und was Sie einrichten müssen

OpenVPN ist ein quelloffenes VPN-Protokoll, das seit 2001 entwickelt wird. Es nutzt TLS zur Absicherung des Kontrollkanals, über den Verbindungsparameter und Schlüssel ausgehandelt werden. Die eigentlichen Nutzdaten laufen anschließend durch den VPN-Tunnel. Für viele kryptografische Funktionen greift OpenVPN auf die OpenSSL-Bibliothek zurück. Der Quellcode steht unter der GNU GPLv2; kommerzielle Lizenzen sind ebenfalls erhältlich.

Die lange Verfügbarkeit ist im Alltag ein Vorteil: OpenVPN wird von vielen Betriebssystemen, Router-Firmwares und VPN-Apps unterstützt. Das heißt aber nicht, dass es auf jedem Gerät bereits eingebaut ist. Unter Windows gehört OpenVPN nicht zum Betriebssystem. Auf Computer und Smartphone installieren Sie üblicherweise eine Client-App oder die App des VPN-Anbieters. Bei einer Firmenverbindung erhalten Sie oft ein fertiges Profil, das Serveradresse und weitere Einstellungen enthält.

Gegenüber einem integrierten Client kann die Einrichtung mehr Arbeit machen. Je nach Anbieter importieren Sie eine Konfigurationsdatei, wählen einen Server und müssen Zertifikate oder Anmeldedaten korrekt zuordnen. Das ist gut kontrollierbar, aber nicht immer der schnellste Weg, wenn Sie nur eine App öffnen und sofort verbinden möchten. Prüfen Sie deshalb, ob Ihr Gerät OpenVPN direkt unterstützt und ob der Anbieter passende Profile oder eine geeignete App bereitstellt.

OpenVPN 2.6: modernere Vorgaben, aber kein garantierter Temposprung

Mit OpenVPN 2.6 änderten sich die Standardvorgaben für die Verschlüsselung: Die Standardkonfiguration erlaubt nur noch AEAD-Verfahren, konkret AES-256-GCM und ChaCha20-Poly1305. AEAD verbindet Verschlüsselung und Integritätsprüfung in einem Verfahren. Das ist eine zeitgemäße Grundeinstellung, sagt für sich allein aber nichts darüber aus, wie schnell eine konkrete Verbindung läuft oder welche Einstellungen Ihr VPN-Anbieter verwendet.

Eine weitere Neuerung ist Data-Channel Offload, kurz DCO. Dabei kann der Datenkanal auf unterstützten Systemen in den Kernel verlagert werden, statt vollständig im normalen OpenVPN-Prozess zu laufen. OpenVPN nennt FreeBSD, Linux und Windows als unterstützte Plattformen. Das kann den möglichen Datendurchsatz erhöhen; veröffentlichte Angaben belegen jedoch keinen festen Gewinn, den Sie für Ihren Anschluss erwarten dürften. Gerät, Konfiguration und Server spielen weiterhin eine Rolle.

DCO funktioniert nicht mit jeder Konfiguration. Es ist auf bestimmte AEAD-Verschlüsselungsverfahren und Layer-3-Tunnel ausgelegt; etwa Kompression kann mit der Funktion kollidieren. Wenn eine Einstellung nicht passt, kann DCO deaktiviert werden. OpenVPN 2.6 brachte außerdem Unterstützung für OpenSSL 3.0 und die Prüfung von Zertifikats-Fingerprints als Alternative zu einer vollständigen Zertifikatsinfrastruktur. Für die Auswahl eines VPN-Tarifs ist deshalb entscheidend, ob Client und Server eine passende Konfiguration anbieten, nicht allein die Versionsnummer.

UDP oder TCP: erst den Netzwerktyp prüfen

OpenVPN verwendet standardmäßig UDP, üblicherweise auf Port 1194. UDP ist meist die bessere Wahl für normales Surfen, Videokonferenzen oder Downloads, weil es weniger Zusatzarbeit für die Übertragung erfordert. Wenn das Netzwerk UDP-Verbindungen blockiert, kann TCP helfen. TCP ist für OpenVPN langsamer und eignet sich eher als Ausweichweg, nicht als automatische Leistungsverbesserung.

Der Grund: Bei OpenVPN über TCP liegt eine TCP-Verbindung innerhalb einer weiteren TCP-Verbindung. Werden Pakete verzögert oder gehen sie verloren, reagieren beide Ebenen auf dieselbe Störung. Das kann zu unnötigen Wiederholungen und einem deutlichen Leistungseinbruch führen, der als TCP meltdown bezeichnet wird. Bei einer stabilen Leitung fällt das nicht zwingend auf; bei ausgelastetem WLAN oder knapper Bandbreite kann es den Unterschied machen.

Gehen Sie praktisch so vor: Lassen Sie UDP aktiv, sofern die Verbindung funktioniert. Wechseln Sie erst dann auf TCP, wenn ein Netzwerk den UDP-Verkehr blockiert oder die Verbindung sonst nicht zustande kommt. Port 443 wird häufig für TCP-Verkehr genutzt und ist deshalb eine mögliche Ausweichkonfiguration, sofern der VPN-Dienst sie anbietet. Ein Portwechsel allein macht OpenVPN allerdings weder schneller noch unsichtbar. Auch muss der Server entsprechend eingerichtet sein.

TCP 443 und DPI: Umgehung mit klaren Grenzen

In Hotels, Cafés oder Firmennetzen können bestimmte Ports oder UDP-Verbindungen gesperrt sein. OpenVPN über TCP 443 kann einfache Portfilter umgehen, weil das Netzwerk Verbindungen auf diesem Port oft zulässt. Das ist ein Versuch wert, wenn UDP 1194 nicht funktioniert. Es ist jedoch keine verlässliche Tarnung: Deep Packet Inspection kann OpenVPN-Verbindungen erkennen, auch wenn sie über einen anderen Port laufen. Ein Netzwerkbetreiber kann sie dann blockieren oder protokollieren.

Wenn ein Netz OpenVPN aktiv per DPI sperrt, sollten Sie nicht davon ausgehen, dass TCP 443 die Sperre zuverlässig überwindet. Fragen Sie bei einem Firmen- oder Schulnetz im Zweifel nach den erlaubten Verbindungen, statt Filter zu umgehen. Einstellungen wie tls-crypt können den Kontrollkanal anders schützen und die Erkennung erschweren; sie machen den Datenverkehr aber nicht garantiert unauffindbar. Dafür müssen Server und Client zusammenpassen.

Auch auf der Serverseite gehört TCP 443 bewusst abgesichert. Ein offener Port ist von außen erreichbar und kann auf Sicherheitsscannern erscheinen. Wenn Sie einen eigenen OpenVPN-Server betreiben, beschränken Sie den Zugriff mit passenden Firewall-Regeln, soweit Ihr Einsatz das zulässt. Für eine gewöhnliche private VPN-Verbindung ist das meist Aufgabe des Anbieters; bei einem selbst verwalteten Server sollten Sie es vor der Freigabe prüfen.

Router, Geräte und die Wahl zwischen OpenVPN und WireGuard

OpenVPN passt besonders gut, wenn Sie den VPN-Tunnel direkt am Router einrichten und damit mehrere Geräte im Heimnetz schützen möchten. Voraussetzung ist, dass die Router-Firmware oder der Hersteller OpenVPN als Client unterstützt. Prüfen Sie die aktuelle Kompatibilitätsliste Ihres Geräts: Ein Router kann VPN-Funktionen anbieten, ohne jedes Protokoll zu unterstützen. Bei manchen Geräten ist außerdem zusätzliche Konfiguration nötig, bevor der Router eine Verbindung zum VPN-Dienst aufbaut.

OpenVPN gibt es für zahlreiche Plattformen, darunter Windows, macOS, Linux, Android und iOS; auch verschiedene Router-Systeme können es nutzen. Mindestversionen unterscheiden sich nach Client und Betriebssystem. Verlassen Sie sich daher nicht auf eine pauschale Liste alter Systemversionen, sondern prüfen Sie die Angaben zur konkreten App oder Firmware. Bei ungewöhnlichen Geräten ist die Kompatibilität oft der entscheidende Grund, OpenVPN einem moderneren Protokoll vorzuziehen.

Auf einem aktuellen Smartphone oder Laptop ist WireGuard häufig die naheliegendere erste Wahl, wenn Ihnen eine einfache Einrichtung, Geschwindigkeit und Akkulaufzeit wichtig sind. Für diese Vorteile sollten Sie keine pauschalen Messwerte annehmen: Das Ergebnis hängt von Gerät, Netz und Server ab. IKEv2 kann ebenfalls interessant sein, wenn Ihr Gerät es unterstützt und Sie häufig zwischen WLAN und Mobilfunk wechseln. OpenVPN bleibt sinnvoll, wenn Ihr Router, Ihre Firma oder das verfügbare VPN-Profil genau dieses Protokoll verlangt.

So lesen Sie die gefilterte VPN-Tabelle

Die Tabelle oberhalb dieser Erläuterung zeigt nur VPN-Angebote, die OpenVPN unterstützen. Vergleichen Sie innerhalb dieser Auswahl, ob der Dienst OpenVPN in seiner App oder über importierbare Profile bereitstellt und ob die benötigte Nutzung auf Ihrem Router möglich ist. Die bloße Protokoll-Unterstützung garantiert nicht, dass jede App TCP 443 anbietet oder Sie den Port selbst auswählen können. Klären Sie diesen Punkt, wenn Sie auf ein gesperrtes UDP-Netz angewiesen sind.

Preise und Tarifumfang ordnen Sie am besten erst nach der technischen Eignung ein. In unserer vollständigen VPN-Übersicht umfassen die Daten 22 Tarife von 22 Anbietern; die Monatspreise reichen dort von 0,74 € bis 4,48 €, der Durchschnitt liegt bei 2,62 €. Diese Werte beziehen sich auf die gesamte Übersicht, nicht nur auf die OpenVPN-Auswahl. Die Preisdaten wurden zuletzt am 31 Oktober 2026 abgeglichen.

Wenn Sie zu Hause einen Router verbinden wollen, prüfen Sie zuerst dessen Protokollliste. Wenn Sie unterwegs nur UDP-Sperren umgehen möchten, testen Sie TCP 443, sofern der Dienst diese Option ausdrücklich unterstützt, und rechnen Sie mit langsamerer Übertragung. Wird OpenVPN aktiv erkannt oder blockiert, ist es keine verlässliche Ausweichlösung. Für unkomplizierte Nutzung auf einem modernen Einzelgerät spricht meist mehr für WireGuard, sofern es auf Gerät und Tarif verfügbar ist.