WireGuard VPS Einrichtung: Ihr eigenes VPN in 10 Minuten

WireGuard ist das schnellste und einfachste VPN-Protokoll. Richten Sie es auf einem günstigen VPS ein und Sie haben Ihr eigenes privates VPN — keine Abonnements, keine Protokollierung, volle Kontrolle.

Warum WireGuard?

VPN-Protokoll	Geschwindigkeit	Einfachheit	Codeumfang
WireGuard	Am schnellsten	~4.000 Zeilen	Winzig
OpenVPN	Gut	~100.000 Zeilen	Groß
IPSec	Gut	~400.000 Zeilen	Riesig

WireGuard ist:

• Schneller — Implementierung auf Kernel-Ebene
• Einfacher — Weniger Code = weniger Fehler
• Modern — Modernste Kryptographie
• Akkuschonend — Ideal für Mobilgeräte

VPS-Anforderungen

WireGuard ist unglaublich ressourcenschonend:

• CPU: Beliebig
• RAM: 64MB für WireGuard selbst
• Speicher: <10MB
• Netzwerk: Gute Anbindung, statische IP

Die VPS-Spezifikationen sind für Ihre Bandbreite wichtiger als für WireGuard.

Bester VPS für WireGuard

Anbieter	Tarif	Preis	Ideal für
Vultr	VC2	$6/Mo.	32 Standorte
Hetzner	CX11	€3,79/Mo.	Bestes Preis-Leistungs-Verhältnis
Hostinger	KVM1	$4,99/Mo.	Guter Allrounder
DigitalOcean	Basic	$6/Mo.	Einfache Einrichtung

Für VPN ist der Standort am wichtigsten. Wählen Sie eine Region in Ihrer Nähe für Geschwindigkeit oder eine entfernte Region zum Umgehen von Geobeschränkungen.

Schnelleinrichtung (5 Minuten)

Schritt 1: VPS erstellen

Jeder Ubuntu 22.04+ VPS funktioniert. Per SSH verbinden:

ssh root@your-vps-ip

Schritt 2: WireGuard installieren

apt update
apt install wireguard -y

Schritt 3: Schlüssel generieren

cd /etc/wireguard
wg genkey | tee privatekey | wg pubkey > publickey
chmod 600 privatekey

Schritt 4: Server-Konfiguration erstellen

cat > /etc/wireguard/wg0.conf << 'EOF'
[Interface]
PrivateKey = YOUR_SERVER_PRIVATE_KEY
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = CLIENT_PUBLIC_KEY
AllowedIPs = 10.0.0.2/32
EOF

Ersetzen Sie:

• YOUR_SERVER_PRIVATE_KEY durch den Inhalt von privatekey
• CLIENT_PUBLIC_KEY durch den öffentlichen Schlüssel Ihres Clients (diesen generieren wir gleich)

Schritt 5: IP-Weiterleitung aktivieren

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf
sysctl -p

Schritt 6: Firewall öffnen

ufw allow 51820/udp

Schritt 7: WireGuard starten

systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Überprüfen:

wg show

Client-Einrichtung

Client-Schlüssel generieren

Auf dem Server:

cd /etc/wireguard
wg genkey | tee client1-privatekey | wg pubkey > client1-publickey

Client-Konfiguration erstellen

cat > client1.conf << 'EOF'
[Interface]
PrivateKey = CLIENT_PRIVATE_KEY
Address = 10.0.0.2/24
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
EOF

Ersetzen Sie:

• CLIENT_PRIVATE_KEY durch den Inhalt von client1-privatekey
• SERVER_PUBLIC_KEY durch den Inhalt von publickey
• YOUR_VPS_IP durch Ihre VPS-IP

Client zum Server hinzufügen

Bearbeiten Sie /etc/wireguard/wg0.conf und fügen Sie hinzu:

[Peer]
PublicKey = CONTENTS_OF_CLIENT1_PUBLICKEY
AllowedIPs = 10.0.0.2/32

Neu laden:

wg syncconf wg0 <(wg-quick strip wg0)

Konfiguration zum Client übertragen

Option 1: QR-Code (für Mobilgeräte)

apt install qrencode
qrencode -t ansiutf8 < client1.conf

Option 2: Datei sicher kopieren

cat client1.conf
# Copy contents to your device

Client-Installation

macOS

brew install wireguard-tools
# Create /etc/wireguard/wg0.conf with client config
sudo wg-quick up wg0

Oder verwenden Sie die WireGuard-App aus dem Mac App Store.

Windows

1. Von wireguard.com herunterladen
2. Tunnel importieren → Konfiguration einfügen
3. Aktivieren

Linux

sudo apt install wireguard
# Create /etc/wireguard/wg0.conf
sudo wg-quick up wg0

iOS/Android

1. WireGuard-App installieren
2. Tunnel hinzufügen → QR-Code scannen oder Datei importieren
3. Verbinden

Mehrere Clients

Jeder Client benötigt eigene Schlüssel und eine eigene IP:

# Generate for client2
wg genkey | tee client2-privatekey | wg pubkey > client2-publickey

Zur Server-Konfiguration hinzufügen:

[Peer]
PublicKey = CLIENT2_PUBLIC_KEY
AllowedIPs = 10.0.0.3/32

Client2-Konfiguration erstellen mit:

• Eigenem privaten Schlüssel
• Address = 10.0.0.3/24

Split-Tunneling

Nur bestimmten Datenverkehr über das VPN leiten:

Nur bestimmte IPs routen

In der Client-Konfiguration:

AllowedIPs = 10.0.0.0/24, 192.168.1.0/24

Nur diese Subnetze gehen über das VPN.

Lokales Netzwerk ausschließen

AllowedIPs = 0.0.0.0/0, ::/0
PostUp = ip route add 192.168.1.0/24 via 192.168.1.1

DNS-Konfiguration

Cloudflare DNS verwenden

In der Client-Konfiguration:

DNS = 1.1.1.1, 1.0.0.1

Eigenen DNS verwenden (Pi-hole)

Wenn Pi-hole auf demselben VPS läuft:

DNS = 10.0.0.1

DNS-Leaks blockieren

Auf dem Server externes DNS blockieren:

iptables -I FORWARD -i wg0 -p udp --dport 53 -j DROP
iptables -I FORWARD -i wg0 -p tcp --dport 53 -j DROP
iptables -I FORWARD -i wg0 -d 10.0.0.1 -p udp --dport 53 -j ACCEPT

Leistungsoptimierung

MTU-Optimierung

Optimale MTU ermitteln:

ping -c 5 -M do -s 1400 your-vps-ip
# Decrease until no fragmentation

In der Konfiguration festlegen:

[Interface]
MTU = 1420

Persistent Keepalive

Für Clients hinter NAT:

PersistentKeepalive = 25

Sendet alle 25 Sekunden ein Paket, um die Verbindung aufrechtzuerhalten.

Sicherheitshärtung

Standardport ändern

Nicht-Standardport verwenden (weniger Scans):

Server:

ListenPort = 44321

Client:

Endpoint = your-vps-ip:44321

Fail2Ban für WireGuard

# WireGuard doesn't log auth failures by default
# But you can monitor connection attempts
cat > /etc/fail2ban/jail.d/wireguard.local << 'EOF'
[wireguard]
enabled = false
# WireGuard is already secure by design
EOF

WireGuard ist von Natur aus sicher — unbekannte Schlüssel werden stillschweigend verworfen.

Firewall nur für WireGuard-Port

Für eine umfassende Firewall-Einrichtung lesen Sie unseren VPS-Sicherheitsleitfaden.

ufw default deny incoming
ufw allow ssh
ufw allow 51820/udp
ufw enable

Fehlerbehebung

Keine Verbindung möglich

# Check WireGuard is running
wg show

# Check firewall
ufw status

# Check port is open
nc -zvu your-vps-ip 51820

Kein Internet über VPN

# Check IP forwarding
cat /proc/sys/net/ipv4/ip_forward
# Should be 1

# Check NAT rules
iptables -t nat -L POSTROUTING

Langsame Geschwindigkeit

# Test without VPN
speedtest-cli

# Test with VPN
# If much slower, try different MTU

Verbindungsabbrüche

Zur Client-Konfiguration hinzufügen:

PersistentKeepalive = 25

Verwendung mit Docker

WireGuard-Container

version: '3.8'
services:
  wireguard:
    image: linuxserver/wireguard
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=UTC
      - SERVERURL=your-vps-ip
      - PEERS=5
    volumes:
      - ./config:/config
    ports:
      - 51820:51820/udp
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

Generiert automatisch Konfigurationen für 5 Peers in ./config/peer*.

WireGuard vs. kommerzielle VPNs

Faktor	WireGuard VPS	NordVPN/etc.
Kosten	~$5/Mo.	$3-12/Mo.
Server	1 (Ihrer)	5000+
Geschwindigkeit	Am schnellsten	Gut
Privatsphäre	Vollständig	Vertrauen erforderlich
Protokollierung	Keine	”Keine Logs” 🤔
Kontrolle	Vollständig	Keine

Ihr eigener VPS = Ihre eigenen Regeln. Wenn Sie ein VPN ohne Konfigurationsaufwand mit SSO bevorzugen, schauen Sie sich stattdessen Tailscale an.

Multi-Standort-Einrichtung

Für mehrere Ausgangspunkte:

1. VPS in verschiedenen Regionen erstellen
2. WireGuard auf jedem einrichten
3. Konfigurationen für jeden erstellen
4. Zwischen ihnen wechseln

# Switch to US exit
wg-quick down wg0
wg-quick up wg-us

# Switch to EU exit
wg-quick down wg-us
wg-quick up wg-eu

FAQ

Ist WireGuard sicher?

Äußerst sicher. Verwendet moderne Kryptographie (Curve25519, ChaCha20, Poly1305). Von Sicherheitsforschern geprüft.

Kann mein ISP sehen, dass ich ein VPN benutze?

Er kann verschlüsselten Datenverkehr zu Ihrer VPS-IP sehen, aber nicht den Inhalt.

Wie viele Geräte können sich verbinden?

Unbegrenzt. Fügen Sie weitere [Peer]-Abschnitte hinzu.

Funktioniert WireGuard in China?

Manchmal. Es kann blockiert werden. Erwägen Sie Verschleierungstools wie udp2raw.

WireGuard vs. OpenVPN?

WireGuard ist schneller und einfacher. OpenVPN ist konfigurierbarer. Für die meisten Benutzer gewinnt WireGuard.

Empfohlene Einrichtung

Anwendungsfall	VPS	Standort
Allgemeine Privatsphäre	Hetzner CX11	Nächstgelegene Region
US-Streaming	Vultr	USA (NYC, LA)
UK-Streaming	Vultr	London
Maximale Geschwindigkeit	Lokale Region	Gleiches Land

€3,79/Monat bringt Ihnen ein privates VPN, das schneller ist als jede kommerzielle Lösung. Keine Protokollierung, keine Limits, nur Ihr eigener Server.