WireGuard-VPNs vergleichen: Tempo, Sicherheit und Grenzen

Was WireGuard anders macht

WireGuard ist ein VPN-Protokoll für einen verschlüsselten Tunnel auf IP-Ebene. Es wurde von Jason A. Donenfeld entworfen und setzt auf ein bewusst überschaubares Design: Der Tunnel transportiert Netzwerkverkehr, statt viele unterschiedliche Funktionen und Verbindungstypen abzudecken. Das kann die Implementierung und Prüfung erleichtern. Die Projektseite beschreibt das Ziel, WireGuard mit wenigen Zeilen Code umsetzbar und gut auditierbar zu machen; eine offizielle Zeilenangabe nennt sie nicht.

Ein wichtiger Unterschied zu älteren, stärker konfigurierbaren Protokollen ist die feste Auswahl moderner kryptografischer Verfahren. Für den Schlüsselaustausch kommt Curve25519 zum Einsatz, für Verschlüsselung und Authentifizierung ChaCha20-Poly1305. BLAKE2s und HKDF übernehmen Hash- und Schlüsselableitungsaufgaben. Eine optionale vorab geteilte Schlüsselkomponente kann als zusätzliche symmetrische Schutzschicht verwendet werden.

Die beiden Seiten handeln nicht bei jeder Verbindung neu aus, welche Verschlüsselungsverfahren sie nutzen. Diese fehlende Algorithmus-Aushandlung reduziert die Zahl möglicher Einstellungen und damit auch die Gefahr, dass eine Verbindung auf ein schwächeres Verfahren zurückgestuft wird. Der Preis dafür: WireGuard bietet weniger Spielraum, wenn eine spezielle Umgebung andere Algorithmen oder Anpassungen verlangt.

Sicherheit: starkes Design, aber kein Freibrief

Der Verbindungsaufbau besteht aus einem Austausch von zwei Nachrichten; Sitzungsschlüssel werden regelmäßig erneuert. Das trägt zum Schutz früherer Sitzungen bei, falls ein Schlüssel später kompromittiert wird. Unbekannte Clients erhalten normalerweise keine Antwort auf ihre Anfrage. Das bedeutet jedoch nicht, dass der gesamte Datenverkehr unsichtbar oder nicht erkennbar wäre: Diese Stille betrifft nicht autorisierte Anfragen an den Tunnel.

Es gibt formale Beweise, die Eigenschaften des Protokolls wie Authentifizierung und Geheimhaltung der Sitzungsschlüssel untersuchen. Ein solcher Beweis ist wertvoll, ersetzt aber kein unabhängiges Audit des konkreten Programmiercodes. Auch ein VPN-Anbieter muss WireGuard in seiner App korrekt einbinden und Schlüssel sicher verwalten. Prüfen Sie deshalb neben dem Protokoll auch, welche Funktionen der Tarif und die App bieten.

Für den Alltag ist außerdem wichtig, dass WireGuard mit Schlüsselpaaren arbeitet. Ein Gerät wird über seinen öffentlichen Schlüssel autorisiert; ein klassischer Login mit Benutzername, Passwort oder Firmen-SSO gehört nicht zum Protokoll selbst. Anbieter können in ihrer App ein Konto verlangen, doch das ist eine zusätzliche Verwaltungsschicht und nicht die WireGuard-Authentifizierung.

Tempo und Akku: plausibel, aber keine Garantie

WireGuard wird häufig als schneller und sparsamer als OpenVPN beschrieben. Das kompakte Design und moderne Kryptografie können auf vielen Geräten effizient arbeiten. Ein allgemeingültiger Geschwindigkeitsvorsprung lässt sich daraus aber nicht ableiten: Entscheidend sind unter anderem Prozessor, Betriebssystem, Entfernung zum VPN-Server, Auslastung, Netzqualität und die Implementierung des Anbieters.

Die veröffentlichten Vergleichswerte stammen überwiegend aus Anbieter-Benchmarks und sind nicht einheitlich. Daraus sollten Sie keine feste Erwartung wie eine bestimmte Mehrleistung ableiten. Auch beim Akku hängt das Ergebnis davon ab, wie lange das VPN aktiv ist, wie oft das Gerät Daten überträgt und ob Sie sich zwischen WLAN und Mobilfunk bewegen. WireGuard kann auf einem modernen Smartphone effizient laufen; ein messbarer Vorteil auf jedem Gerät ist damit nicht versprochen.

Für Ihre Auswahl ist ein eigener Alltagstest aussagekräftiger als ein Werbewert: Vergleichen Sie auf demselben Gerät und im selben Netz Ladezeiten, Videowiedergabe und Akkustand. Achten Sie außerdem darauf, ob die App den Tunnel nach einem Netzwechsel zuverlässig wieder aufnimmt. WireGuard kann den neuen Netzwerk-Endpunkt übernehmen, sobald verschlüsselte Daten von dort authentisch empfangen wurden. Wie schnell sich das in einer konkreten App anfühlt, hängt dennoch von deren Umsetzung ab.

Geräte und Apps: Unterstützung vor dem Kauf prüfen

WireGuard ist für Linux, Windows, macOS, BSD, iOS und Android verfügbar. Unter Linux ist es seit Version 5.6 Teil des Kernels. Auf anderen Systemen sollten Sie nicht automatisch davon ausgehen, dass ein fertiger WireGuard-Client bereits eingebaut ist. Häufig brauchen Sie die offizielle App oder die App des VPN-Anbieters sowie einen Tarif, der WireGuard tatsächlich anbietet.

Bei Routern kommt es auf Firmware, Modell und Prozessor an. Ein kompatibler Router kann den Tunnel für Geräte im ganzen Heimnetz bereitstellen, auch für solche, auf denen sich keine VPN-App installieren lässt. Prüfen Sie vorab die aktuelle Firmware-Dokumentation und ob das Gerät WireGuard unterstützt. Ein älterer Router kann trotz passender Software bei der Verschlüsselung zum Engpass werden; belastbare Durchsatzwerte lassen sich ohne konkretes Modell nicht nennen.

Auf dieser gefilterten Seite erscheinen ausschließlich VPNs mit WireGuard-Unterstützung. Die Preis- und Anbieterkennzahlen beziehen sich dagegen auf unseren vollständigen VPN-Vergleich: Dort verteilen sich 22 Tarife auf 22 Anbieter. Die Einstiegspreise in diesem Gesamtvergleich beginnen bei 0,74 €; zuletzt synchronisiert wurden die Preise am 31 Oktober 2026. Diese Werte beschreiben nicht ausschließlich die hier gefilterten WireGuard-Tarife. Prüfen Sie beim ausgewählten Angebot außerdem, ob WireGuard direkt in der App verfügbar ist oder manuelle Einrichtung verlangt.

UDP, Anschlüsse und blockierte Netzwerke

WireGuard überträgt seine Pakete ausschließlich über UDP. Der Standardport ist UDP 51820, kann aber geändert werden. Einen TCP-Modus gibt es im Protokoll selbst nicht. Das ist im heimischen WLAN oder im Mobilfunk oft unproblematisch, kann aber in Hotels, Schulen oder streng verwalteten Firmennetzen auffallen: Blockiert das Netzwerk ausgehendes UDP vollständig, kann sich WireGuard dort nicht wie vorgesehen verbinden.

Manche Drittanbieter-Werkzeuge verpacken WireGuard-Daten in TCP, um eine solche Sperre zu umgehen. Das ist eine zusätzliche technische Schicht und nicht automatisch Teil des VPN-Tarifs oder vom Anbieter unterstützt. Sie müssen sie separat einrichten und mögliche Nachteile bei Leistung und Fehlerdiagnose einkalkulieren. Wenn Sie regelmäßig in Netzen mit strengen Regeln arbeiten, ist ein Protokoll mit TCP-Unterstützung, etwa OpenVPN über TCP, meist die unkompliziertere Wahl.

Ob WireGuard in einem bestimmten Land oder Netzwerk erkannt beziehungsweise blockiert wird, lässt sich nicht pauschal beantworten. Aussagen über eine garantierte Umgehung von Zensur oder eine vollständige Unauffälligkeit wären nicht belastbar. Wenn ein Tunnel in einem Netzwerk nicht zustande kommt, testen Sie zuerst ein anderes Netz und prüfen Sie die Protokolloptionen in der App. Für dauerhaft eingeschränkte Umgebungen sollten Sie vorab klären, welche Alternativen der Anbieter tatsächlich bereitstellt.

Wann WireGuard passt – und wann nicht

Für ein aktuelles Smartphone oder Notebook mit passender Anbieter-App ist WireGuard eine gute erste Wahl, wenn Sie vor allem eine schlanke Verbindung für WLAN und Mobilfunk suchen. Auch ein unterstützter Router kann davon profitieren, wenn Sie den gesamten Heimverkehr über einen Tunnel leiten möchten. Besonders praktisch ist der Wechsel zwischen WLAN und Mobilfunk: Der Endpunkt kann nach einer Adressänderung folgen, ohne dass Sie die Verbindung manuell neu konfigurieren müssen.

OpenVPN ist sinnvoller, wenn Sie TCP benötigen oder in Netzwerken arbeiten, die UDP sperren. IKEv2 kann passen, wenn das Gerät WireGuard nicht unterstützt oder Sie eine vorhandene, systemnahe VPN-Konfiguration nutzen. Für Firmenzugänge mit individueller Anmeldung, SSO oder Zertifikatsverwaltung reicht WireGuard allein nicht aus; dort sollte die IT-Lösung die Identitätsverwaltung übernehmen.

• Wählen Sie WireGuard, wenn Ihre Geräte und der Tarif es unterstützen und Ihr Netzwerk UDP zulässt.
• Prüfen Sie Router-Firmware und Prozessor, bevor Sie einen Tunnel für das gesamte Heimnetz einrichten.
• Bevorzugen Sie OpenVPN über TCP, wenn UDP-Sperren regelmäßig Verbindungen verhindern.
• Wählen Sie für alte Geräte oder verwaltete Firmenzugänge ein Protokoll, das deren Anforderungen tatsächlich erfüllt.

In unserer vollständigen VPN-Auswertung steht Ivacy VPN mit dem Tarif Ivacy VPN bei 7,6 von 10 Punkten an der Spitze. Das ist eine Rangfolge über den Gesamtvergleich und kein automatisches Urteil darüber, welcher WireGuard-Tarif für Ihr Gerät oder Ihren Einsatzzweck am besten passt. Öffnen Sie die Tarifdetails und vergleichen Sie dort Gerätezahl, Serverangebot, Preis und die konkrete Protokollauswahl.