FRITZ!Box WireGuard funktioniert nicht: die Ursachen

Wenn WireGuard auf Ihrer FRITZ!Box nicht funktioniert, zeigt das Symptom, wo Sie suchen müssen. Kommt gar kein Handshake zustande, findet Ihr Gerät keinen Weg zur Box. Bei einem DS-Lite-Anschluss ist das der erste Verdacht. Steht der Tunnel, aber kein Gerät zu Hause antwortet, nutzen beide Enden oft dasselbe IP-Netz.

Der Handshake ist der erste Schlüsselaustausch zwischen Ihrem Gerät und der Box. Ohne ihn fließt kein einziges Paket durch den Tunnel. Dieser Artikel geht die Fehler nach Symptom durch:

• Kein Handshake, weder im Mobilfunknetz noch im Hotel-WLAN.
• Der Tunnel steht, aber das Heimnetz ist nicht erreichbar.
• Die Verbindung hat lange funktioniert und geht plötzlich nicht mehr.
• Es gibt überhaupt keinen Weg zur Box, und Sie brauchen einen anderen Aufbau.

Ausgangslage: WireGuard für ein Einzelgerät

Wir gehen von der Einrichtung aus, die AVM im Wissensdatenbank-Artikel 3684 beschreibt. Sie haben in der Benutzeroberfläche der FRITZ!Box diesen Weg genommen:

1. „Internet > Freigaben“, Registerkarte „VPN (WireGuard)“.
2. „WireGuard-Verbindung hinzufügen“, dann „Einzelgerät verbinden“ und „Weiter“.
3. Einen Namen für die Verbindung vergeben, „Weiter“ klicken und mit „OK“ bestätigen.
4. In der WireGuard-App auf + tippen, „von QR-Code scannen“ bzw. „Aus QR-Code erstellen“ wählen und mit „Tunnel erstellen“ bzw. „Speichern“ abschließen.

Die Menünamen stammen aus der aktuellen deutschen Fassung von 3684, abgerufen am 9. November 2026. AVM nennt dort keine FRITZ!OS-Nummer, sondern bezieht sich auf das jeweils aktuelle FRITZ!OS. Zwei Kabelmodelle fallen ganz heraus: Laut AVM unterstützen die FRITZ!Box 6590 Cable und die FRITZ!Box 6490 Cable kein WireGuard.

Der QR-Code enthält eine gewöhnliche WireGuard-Konfiguration. Was die Zeilen Endpoint und AllowedIPs darin bewirken, erklärt wie WireGuard mit Cryptokey-Routing Pakete zuordnet.

Kein Handshake: Hat die FRITZ!Box eine erreichbare Adresse?

AVM nennt in 3684 eine klare Voraussetzung: „Die FRITZ!Box muss vom Internetanbieter entweder eine IPv6-Adresse oder eine öffentliche IPv4-Adresse erhalten.“ Öffentlich heißt: Die Adresse ist aus dem ganzen Internet erreichbar.

Genau das fehlt bei DS-Lite (Dual-Stack Lite). Laut AVM-Artikel 1611 bekommt die FRITZ!Box bei diesem Anschlusstyp keine öffentliche IPv4-Adresse vom Anbieter. Server im Heimnetz sind deshalb über IPv4 nicht erreichbar. Über IPv6 geht es, aber nur, wenn auch das Netz am anderen Ende IPv6 hat. AVM schreibt ausdrücklich, dass das nicht für jedes Mobilfunknetz und jeden WLAN-Hotspot gilt.

DS-Lite allein ist für WireGuard kein Hindernis. AVM-Artikel 3732 sagt, dass die FRITZ!Box VPN-Verbindungen mit IPSec und WireGuard über IPv4 und IPv6 aufbauen kann, auch an einem DS-Lite-Anschluss. Das Problem entsteht unterwegs: Ihr Handy oder Laptop braucht dort eine IPv6-Verbindung ins Internet. Ohne sie gibt es keinen Weg zur Box. Diese Schlussfolgerung steht nicht wörtlich in einem AVM-Artikel. Sie folgt aber direkt aus 1611, 3684 und 3718.

Ob Ihr Anschluss DS-Lite nutzt, steht in Ihren Vertragsunterlagen, oder Ihr Anbieter sagt es Ihnen auf Nachfrage. Welche Mobilfunknetze und Hotels IPv6 anbieten, können wir hier nicht verlässlich auflisten. Prüfen Sie Ihr eigenes Netz.

So prüfen Sie, ob das Netz unterwegs IPv6 hat

Am einfachsten geht das mit einem Linux-Laptop im selben Netz, zum Beispiel im Hotel-WLAN oder am Hotspot Ihres Handys. Tragen Sie Ihre eigene MyFRITZ!-Adresse ein:

MYFRITZ=abc123xyz.myfritz.net   # Ihre MyFRITZ!-Adresse eintragen
getent ahosts "$MYFRITZ"
ip -6 addr show scope global
ip -6 route show default

getent ahosts listet alle Adressen, auf die der Name zeigt. IPv6-Adressen erkennen Sie an den Doppelpunkten. Erscheinen nur IPv6-Adressen, ist die Box nur über IPv6 erreichbar. Gibt ip -6 addr show scope global keine Zeile mit inet6 aus, hat der Laptop keine globale IPv6-Adresse. Bleibt die Ausgabe von ip -6 route show default leer, fehlt die IPv6-Standardroute. In beiden Fällen kommt dieses Netz nicht an eine Box heran, die nur über IPv6 erreichbar ist.

Wenn Sie den Tunnel am Laptop mit wg-quick starten, zeigt sudo wg show den Stand. Fehlt bei der Gegenstelle die Zeile latest handshake, ist nie ein Handshake gelungen.

Die Fehlermeldungen der WireGuard-App

AVM-Artikel 3718 („WireGuard kann keine VPN-Verbindung zur FRITZ!Box herstellen“) nennt diese Meldungen:

unknown host
Error bringing up tunnel: Unable to resolve DNS hostname
Error bringing up tunnel: Service not authorized by user
Failed to send handshake initiation [...] no route to host

no route to host bedeutet: Das Gerät hat keine Route zur Adresse der Box. Das passt genau zu einer Box, die nur per IPv6 erreichbar ist, in einem Netz ohne IPv6. Die Meldungen unknown host und Unable to resolve DNS hostname heißen, dass der Name der Box nicht in eine Adresse übersetzt werden konnte. Die Meldung Service not authorized by user gehört zu den Sicherheits-Apps im nächsten Abschnitt.

MyFRITZ!-Adresse und Apps, die das VPN blockieren

Laut AVM-Artikel 3711 unterstützt die FRITZ!Box WireGuard nur mit einer MyFRITZ!- oder DynDNS-Adresse. AVM begründet das so: Damit bleiben Verbindungen in Mobilfunknetzen möglich, die schon auf IPv6 umgestellt sind, und auch über WLAN-Hotspots und Firmennetze ohne IPv6. Sind beide eingerichtet, nutzt die Box für WireGuard die MyFRITZ!-Adresse. Laut 3711 brauchen Sie MyFRITZ! oder DynDNS auch dann, wenn Ihr Anschluss eine feste öffentliche IPv4-Adresse hat.

Den MyFRITZ!-Status prüfen Sie unter „Internet > Online-Monitor“ in der Registerkarte „Verbindungsdetails“. Das ist der dritte Prüfschritt in 3718. Ist die Box dort nicht korrekt bei MyFRITZ! angemeldet, richten Sie das Konto unter „Internet > MyFRITZ!-Konto“ neu ein. Erst dann zeigt der Name in der App auf Ihre Box.

Der erste Prüfschritt in 3718 betrifft Ihr Gerät, nicht die Box. Sicherheits-Apps können die VPN-Verbindung blockieren. AVM nennt als Beispiele Blokada und ESET NOD32. Die App meldet dann Service not authorized by user. Erlauben Sie WireGuard in der Sicherheits-App, oder schalten Sie diese für einen Test ab.

Sperrt das Land oder das Netz WireGuard?

AVM schreibt in 3718: „Einige Staaten (z.B. Ägypten, Iran) blockieren WireGuard-Verbindungen.“ Auf Reisen kann der Handshake also scheitern, obwohl zu Hause alles stimmt. Daran ändern Sie in der FRITZ!Box nichts.

Auch ein einzelnes Netz kann den Weg versperren. WireGuard verwendet UDP (User Datagram Protocol). Lässt ein Hotel- oder Firmennetz ausgehendes UDP auf dem Port Ihrer Box nicht durch, kommt kein Handshake zustande. Testen Sie in so einem Fall über den Hotspot Ihres Handys. Klappt es dort, liegt die Sperre im anderen Netz.

Welchen UDP-Port nutzt die FRITZ!Box für WireGuard?

Laut AVM-Artikel 169 nutzt die FRITZ!Box für WireGuard einen Port zwischen 49152 und 65535. Die Box wählt ihn zufällig, wenn Sie die erste WireGuard-Verbindung einrichten. Sie legen ihn also nicht selbst fest. Die Benutzeroberfläche der FRITZ!Box zeigt ihn laut der deutschen Fassung von 169 unter „Diagnose > Sicherheit > FRITZ!Box-Dienste“ an.

Das Handbuch von Intra2net, einem Hersteller von Firewalls, bestätigt die zufällige Wahl bei der ersten Verbindung. Dort lesen Sie den Port in den WireGuard-Einstellungen der FRITZ!Box als ListenPort ab. Die WireGuard-App braucht den Port nicht von Ihnen, denn er steht im QR-Code als Teil von Endpoint. Sie brauchen ihn nur, wenn eine Firewall unterwegs ihn freigeben muss oder wenn Sie eine Gegenstelle von Hand konfigurieren.

Intra2net berichtet außerdem, dass die FRITZ!Box eine neu eingerichtete WireGuard-Verbindung in einigen Fällen erst nach einem Neustart aktiviert hat. Schafft eine frische Verbindung keinen Handshake und alles andere stimmt, ist ein Neustart der Box ein schneller Test.

Verbunden, aber kein Zugriff aufs Heimnetz: gleiche IP-Netze

Der Tunnel steht, aber NAS, Drucker oder die Box selbst antworten nicht. Prüfen Sie dann die IP-Netze an beiden Enden. AVM schreibt in 3684: Beide Enden einer VPN-Verbindung müssen IP-Adressen in unterschiedlichen IP-Netzen haben.

Hier liegt eine häufige Falle. AVM rät in 3684: „Wählen Sie kein verbreitetes IP-Netzwerk wie 192.168.0.0, 192.168.1.0 oder 192.168.178.0“. Und weiter: „Letzteres verwenden alle FRITZ!Boxen in den Werkseinstellungen.“ Sitzen Sie also bei Freunden oder in einer Ferienwohnung hinter einer anderen FRITZ!Box, gibt es 192.168.178.0 zweimal. Eine Adresse wie 192.168.178.20 kann dann ein Gerät vor Ort meinen oder eins bei Ihnen zu Hause. Ihr Handy kann die beiden nicht auseinanderhalten.

Die Lösung von AVM: Verlegen Sie Ihr Heimnetz in einen anderen Bereich.

1. „Heimnetz > Netzwerk“ öffnen, Registerkarte „Netzwerkeinstellungen“.
2. „Erweiterte Netzwerkeinstellungen ändern“ klicken, dann die Registerkarte „IPv4“ wählen.
3. Eine neue Adresse eintragen, zum Beispiel 192.168.10.1 mit Subnetzmaske 255.255.255.0, und „Übernehmen“ klicken.
4. Geräte, die danach keine Verbindung mehr haben, neu starten, damit sie die neuen IP-Einstellungen bekommen (AVM-Artikel 3712).

Danach legen wir die WireGuard-Verbindung neu an. AVM sagt dazu in 3684 nichts. Die Konfiguration im alten QR-Code wurde aber mit dem alten Heimnetz erzeugt. Eine neue Verbindung stellt sicher, dass das neue Netz darin steht.

Ein Bereich ist zusätzlich gesperrt. Laut AVM-Artikel 3712 lässt die FRITZ!Box keine WireGuard-Verbindungen für das Netz 192.168.180.0 (Subnetzmaske 255.255.255.0) zu, weil die Box dieses Netz in manchen Konfigurationen selbst nutzt. Die englische Fassung zeigt die Meldung so:

Settings could not be adopted. The configured WireGuard remote site caused a network conflict.

Die Abhilfe ist dieselbe: ein anderes Heimnetz wählen.

Erreichen Sie Geräte per IP-Adresse, aber nicht per Name, liegt kein Routing-Problem vor. Dann scheitert die Namensauflösung, und die typischen Ursachen erklärt DNS über WireGuard reparieren.

FRITZ!Box WireGuard funktioniert nicht mehr: was sich geändert hat

Eine Verbindung, die monatelang lief, kann aus mehreren Gründen ausfallen. AVM beschreibt die folgenden.

Die Box hat eine neue IP-Adresse bekommen

Laut AVM-Artikel 3824 lösen WireGuard-Apps den Namen der Gegenstelle nur beim Aufbau der Verbindung auf. Bekommt die Box danach eine neue IP-Adresse, schickt die App ihre Pakete weiter an die alte. Der Tunnel wirkt verbunden, aber es fließen keine Daten. Die Lösung: Verbindung in der App trennen und neu aufbauen. Für die Android-App WG Tunnel rät AVM, die Option „Restart on ping fail“ einzuschalten.

Die Verbindung stammt aus der Zeit vor FRITZ!OS 8

AVM-Artikel 3732 sagt: Damit der Tunnel IPv6-Daten überträgt, müssen Sie WireGuard-Verbindungen neu einrichten, die vor FRITZ!OS 8 eingerichtet wurden. Haben Sie die Box seitdem aktualisiert, die Verbindung aber nicht, legen Sie sie neu an.

Eine Grenze bleibt auch mit FRITZ!OS 8. Laut 3732 erreichen Sie über den Tunnel IPv6-Geräte im entfernten Netz. IPv6-Internetzugang über eine entfernte FRITZ!Box ist aber noch nicht möglich. AVM schreibt, das solle mit einem künftigen FRITZ!OS-Update kommen. Das ist eine Ankündigung ohne Datum.

Auf beiden Seiten löschen und neu anlegen

Der letzte Schritt in 3718 lautet: „Löschen Sie die VPN-Verbindung in WireGuard und in der Benutzeroberfläche der FRITZ!Box.“ Danach richten Sie die Verbindung mit der Anleitung für Smartphone, Tablet oder Computer neu ein. AVM begründet das mit einer ungültig gespeicherten Verbindung, zum Beispiel mit einer falschen MyFRITZ!-Adresse. Löschen Sie wirklich auf beiden Seiten, nicht nur in der App.

Wenn es gar keinen Weg zur FRITZ!Box gibt

Ein Fall lässt sich in der Box nicht beheben. Zu Hause haben Sie DS-Lite, die Box hat also keine öffentliche IPv4-Adresse. Unterwegs sind Sie in einem Netz, das nur IPv4 kann. Dann haben Gerät und Box keine gemeinsame Adressfamilie, und die Box ist nicht erreichbar. Kein Schalter in FRITZ!OS ändert das.

AVM nennt in 1611 einen möglichen Weg für DS-Lite: das Port Control Protocol (PCP). Das funktioniert aber nur, wenn Ihr Anbieter PCP unterstützt. Fragen Sie dort nach.

Für FRITZ!Box-Modelle mit LTE oder 5G haben wir keinen AVM-Artikel gefunden, der allgemein sagt, ob sie hinter Carrier-Grade NAT (CGNAT) stehen. CGNAT bedeutet: Der Mobilfunkanbieter teilt eine öffentliche IPv4-Adresse unter vielen Kunden auf. Für die FRITZ!Box 6820 LTE in Version 1 schreibt AVM in Artikel 3271, dass mit einer privaten IPv4-Adresse vom Anbieter keine VPN-Verbindung zur Box möglich ist. Dieser Artikel betrifft aber die MyFRITZ!App und das alte FRITZ!VPN, nicht WireGuard. Für jedes Modell gilt die allgemeine Regel aus 3718: Die Box braucht eine IPv6- oder IPv4-Adresse, die aus dem Internet erreichbar ist. Prüfen Sie das bei Ihrer LTE- oder 5G-Box unter „Internet > Online-Monitor“.

Die Auswege: Dual Stack, Tailscale oder ein VPS

Dual Stack vom Anbieter

Dual Stack heißt: Der Anschluss liefert eine eigene öffentliche IPv4-Adresse und zusätzlich IPv6. Dann erreicht jedes Netz unterwegs die Box, ob es IPv6 hat oder nicht. Ob Ihr Anbieter einen DS-Lite-Anschluss umstellt und was das kostet, erfahren Sie nur dort.

Tailscale mit einem Subnet-Router zu Hause

Tailscale verbindet Geräte auch durch NAT hindurch. NAT (Network Address Translation) ist die Adressumsetzung in Routern. Laut Tailscales eigenem Artikel zur NAT-Traversierung ist CGNAT ein wichtiges Hindernis für direkte Verbindungen. Gibt es keinen direkten Weg, läuft der Verkehr als letzter Ausweg über Tailscales DERP-Relais. Deshalb verbindet Tailscale auch dann, wenn kein Ende eine öffentliche IPv4-Adresse hat. Was Tailscale genau ist, erklärt was Tailscale ist und wie es funktioniert, und den direkten Vergleich finden Sie unter WireGuard oder Tailscale im Vergleich.

Damit Sie das ganze Heimnetz erreichen, brauchen Sie zu Hause ein Linux-Gerät als Subnet-Router, etwa einen kleinen Server, auf dem Tailscale schon läuft. Ein Subnet-Router ist laut Tailscale ein Gateway zwischen Ihrem Tailnet und einem physischen Netz. Er braucht IP-Forwarding. Danach kündigen Sie das Heimnetz an, hier das neue Netz aus dem Beispiel oben:

echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-routes=192.168.10.0/24

sysctl -p sollte net.ipv4.ip_forward = 1 ausgeben. Danach genehmigen Sie die Route in der Admin-Konsole von Tailscale. Das entfällt nur, wenn eine autoApprovers-Regel die Route schon abdeckt. Zu den Kosten: Laut Tailscales Preisseite ist der Personal-Tarif am 9. November 2026 dauerhaft kostenlos, für bis zu 6 Nutzer mit unbegrenzt vielen Nutzergeräten. Was der Tarif sonst enthält, steht in den Grenzen des kostenlosen Tailscale-Tarifs.

Ein VPS mit öffentlicher IPv4 als Treffpunkt

Der dritte Weg dreht die Richtung um. Die FRITZ!Box baut selbst eine WireGuard-Verbindung zu einem VPS (Virtual Private Server) mit öffentlicher IPv4-Adresse auf. Diese Verbindung geht von der Box nach außen, deshalb braucht sie zu Hause keine öffentliche Adresse. Ihr Handy verbindet sich mit dem VPS, und der VPS leitet den Verkehr durch den Tunnel der Box ins Heimnetz.

Unsere deutsche Anleitung „FRITZ!Box-WireGuard zum VPS: öffentliche IPv4 bei DS-Lite“ beschreibt diesen Aufbau. Sie gilt für FRITZ!OS 8.50 oder neuer und stellt eine harte Bedingung: In der FRITZ!Box darf noch keine WireGuard-Verbindung eingerichtet sein, auch keine für ein Smartphone. Bestehende Verbindungen müssen Sie vorher löschen. Ob Sie danach wieder Einzelgeräte direkt an der Box hinzufügen können, sagt AVMs Artikel nicht. Planen Sie diesen Weg deshalb so, dass das Handy zum VPS verbindet und nicht zur Box. Prüfen Sie AVMs aktuellen Artikel, bevor Sie Verbindungen löschen.

Die Serverseite ist ein gewöhnlicher WireGuard-Server, den Sie wie in WireGuard auf einem eigenen VPS einrichten aufsetzen. Wie der VPS danach Pakete für Ihr Heimnetz an die Box weitergibt, zeigt WireGuard-Routen ins Heimnetz.

FAQ

Warum geht WireGuard zur FRITZ!Box im Mobilfunknetz, aber nicht im Hotel-WLAN?

Wahrscheinlich hat Ihr Anschluss zu Hause DS-Lite. Die FRITZ!Box hat dann keine öffentliche IPv4-Adresse und ist nur über IPv6 erreichbar. Das eine Netz bietet IPv6, das andere nicht. Laut AVM hat nicht jedes Mobilfunknetz und nicht jeder WLAN-Hotspot IPv6. Ohne IPv6 im Netz unterwegs gibt es keinen Weg zur Box, und die App meldet dann zum Beispiel no route to host.

Welchen Port nutzt die FRITZ!Box für WireGuard?

Laut AVM einen UDP-Port zwischen 49152 und 65535. Die Box wählt ihn zufällig, wenn Sie die erste WireGuard-Verbindung einrichten. Sie müssen ihn nicht selbst festlegen, denn er steht im QR-Code. Sie brauchen ihn nur, wenn eine Firewall unterwegs ihn freigeben soll.

Funktioniert WireGuard auf der FRITZ!Box bei DS-Lite?

Ja, solange das Gerät unterwegs IPv6 hat. AVM schreibt, dass die FRITZ!Box VPN-Verbindungen mit WireGuard über IPv4 und IPv6 aufbauen kann, auch an einem DS-Lite-Anschluss. In einem Netz ohne IPv6 ist die Box bei DS-Lite nicht erreichbar. Dann helfen ein Dual-Stack-Anschluss, Tailscale oder ein VPS mit öffentlicher IPv4 als Treffpunkt.

Warum erreiche ich über WireGuard meine Geräte zu Hause nicht?

Oft nutzt das Netz, in dem Sie gerade sind, denselben Adressbereich wie Ihr Heimnetz. Das ist häufig 192.168.178.0, denn alle FRITZ!Boxen verwenden diesen Bereich ab Werk. AVM verlangt unterschiedliche IP-Netze an beiden Enden. Verlegen Sie das Heimnetz unter „Heimnetz > Netzwerk > Netzwerkeinstellungen > Erweiterte Netzwerkeinstellungen ändern > IPv4“, zum Beispiel auf 192.168.10.1, und legen Sie die WireGuard-Verbindung danach neu an.