WireGuard oder OpenVPN: Was soll ich selbst hosten?

Die kurze Antwort

WireGuard gegen OpenVPN ist für eine Einzelperson, die einen VPN-Server auf einem eigenen VPS betreibt, kein Kopf-an-Kopf-Rennen: Wählen Sie WireGuard. Es ist schlanker, läuft direkt im Linux-Kernel, baut Verbindungen in Sekundenbruchteilen auf und eine funktionierende Client-Konfiguration umfasst etwa zehn Zeilen. OpenVPN erfüllt vier spezifische Aufgaben; wenn keine davon auf Sie zutrifft, benötigen Sie es nicht.

Diese vier Aufgaben sind: das Umgehen von Netzwerken, die nur TCP-Port 443 zulassen, die Anbindung an eine bestehende Zertifizierungsstelle (CA), die Authentifizierung namentlich bekannter Benutzer mittels Passwort oder zweitem Faktor sowie das Bridging auf Layer 2. Alles Folgende erläutert die Hintergründe dieser Empfehlung und den genauen Punkt, an dem die jeweilige Ausnahme für Sie relevant wird.

Warum WireGuard für Self-Hoster gewonnen hat

Die Codebasis ist klein genug, um sie zu lesen. Das WireGuard-Projekt beziffert seine Protokollimplementierung auf etwa 4.000 Zeilen Code. OpenVPN liegt im sechsstelligen Bereich, wenn man die OpenSSL-Bibliothek mitzählt, auf die es für jede kryptografische Operation angewiesen ist. Die Größe ist entscheidend, da jede Zeile eine Angriffsfläche darstellt und weder Sie noch Ihr Prüfer 100.000 Zeilen lesen werden. 4.000 Zeilen sind hingegen lesbar.

Es läuft im Kernel. WireGuard ist seit Version 5.6 im Linux-Mainline-Kernel enthalten, daher liefern Ubuntu 24.04 und Debian 13 es ohne Kompilierungsaufwand aus. Pakete werden dort verschlüsselt, wo sie sich bereits befinden: im Kernel-Space, ohne Kopie an einen Userspace-Prozess und zurück. Prüfen Sie dies vor allen anderen Schritten:

sudo modprobe wireguard && echo ok

Auf einem KVM-VPS wird ok ausgegeben. Bei Container-Virtualisierungen, die sich den Kernel des Hosts teilen, wie etwa OpenVZ oder LXC, schlägt dies mit Operation not supported fehl, da Sie kein Modul in einen Kernel laden können, der nicht Ihnen gehört.

Es gibt nichts auszuhandeln. WireGuard verfügt über eine feste Cipher-Suite: ChaCha20-Poly1305 für Daten mit Curve25519-Schlüsseln. Es gibt keine Version, auf die man herabstufen könnte, und keine Option, die man falsch konfigurieren kann. OpenVPN handelt die Cipher und die TLS-Version (Transport Layer Security) mit jedem Client aus. Das bietet Flexibilität, ist aber auch die Quelle für Fehlkonfigurationen. Ein Server, der mit data-ciphers AES-256-GCM:AES-128-CBC konfiguriert ist, greift bereitwillig auf die CBC-Cipher zurück, wenn ein Client nichts Besseres anbietet, und das Log stuft dies nicht als Problem ein.

Der Port antwortet nicht. Ein WireGuard-Paket, das die Nachrichtenauthentifizierungsprüfung nicht besteht, wird ohne Antwort verworfen. Daher liefert nmap -sU -p 51820 den Status open|filtered zurück, unabhängig davon, ob dort etwas lauscht oder nicht. Ein OpenVPN-Server im TCP-Modus schließt den TCP-Handshake ab, bevor er entscheidet, dass Sie unerwünscht sind. Das reicht aus, um einem Scanner zu beweisen, dass dort ein Dienst aktiv ist. OpenVPN über UDP mit tls-crypt ist fast genauso unauffällig; dies ist also eher ein Argument gegen den Betrieb von OpenVPN über TCP als gegen OpenVPN selbst.

Roaming ist kostenlos. Ein WireGuard-Peer wird über seinen öffentlichen Schlüssel identifiziert, nicht über seine Adresse. Ihr Laptop wechselt von zu Hause zu einem mobilen Hotspot, sendet einen Handshake von der neuen Adresse, und der Server aktualisiert den Endpunkt, an den er antwortet. Es findet keine erneute Verbindung statt, da nie eine dauerhafte Verbindung bestand. OpenVPN kann mit float Ähnliches leisten, aber der Client baut normalerweise eine vollständige TLS-Sitzung ab und wieder auf. Deshalb ist die Verzögerung beim Aufklappen des Laptops bei OpenVPN spürbar, bei WireGuard jedoch nicht.

Geschwindigkeit im Jahr 2026: Die Lücke hat sich verkleinert

Jahrelang lautete das stichhaltige Argument für die Geschwindigkeit, dass OpenVPN jedes Paket in den Userspace kopiert, dort verschlüsselt und wieder zurückkopiert, während WireGuard den Kernel nie verlässt. Das ist nicht mehr das vollständige Bild, und ein Vergleich, der dies ignoriert, ist veraltet.

OpenVPN 2.7 wurde im Februar 2026 mit Unterstützung für das Upstream-Kernelmodul ovpn veröffentlicht, das in Linux 6.16 integriert wurde. Dies ist DCO (Data Channel Offload): Der Kontrollkanal verbleibt im Userspace, und der Massendatenpfad wird in den Kernel verlagert, was in etwa dem entspricht, was WireGuard schon immer getan hat. Mit einem Kernel und einer OpenVPN-Version, die neu genug sind, um dies zu nutzen, liegt der Durchsatz in der gleichen Größenordnung und nicht mehr in einer anderen. Überprüfen Sie, was Sie tatsächlich installiert haben:

uname -r
openvpn --version | head -n 1
modinfo ovpn 2>/dev/null | head -n 3

Stand Juli 2026 liefert ein Standard-Ubuntu 24.04 LTS OpenVPN 2.6 aus, nicht 2.7, und das Modul ovpn erfordert 2.7. In dieser Version erhalten Sie Offloading nur über das ältere Paket openvpn-dco-dkms, das ein Out-of-Tree-Modul für Ihren laufenden Kernel baut und daher bei jedem Kernel-Upgrade neu erstellt werden muss. Das ist ein bewegliches Teil, das WireGuard nicht hat.

Lesen Sie das Kleingedruckte zu DCO, bevor Sie es als Grund für den Verbleib bei OpenVPN werten. Es unterstützt nur Layer-3-Tunnel, akzeptiert nur AEAD-Chiffren (Authenticated Encryption with Associated Data: AES-GCM oder ChaCha20-Poly1305), unterstützt keine Komprimierung und funktioniert auf einem Server nur mit topology subnet. Jede dieser Einschränkungen entfernt ein Stück der Flexibilität, die ursprünglich das Hauptargument für OpenVPN war. Schnelles OpenVPN ist OpenVPN, das so konfiguriert ist, dass es wie WireGuard aussieht.

Vertrauen Sie keinen veröffentlichten Durchsatzwerten, auch nicht dieser Seite. Die Obergrenze auf einem VPS ist meist das CPU-Kontingent oder das Netzwerk-Limit und nicht das Protokoll. Messen Sie Ihren eigenen Durchsatz mit iperf3 über den Tunnel und anschließend außerhalb, und vergleichen Sie die beiden Werte.

Wo OpenVPN weiterhin seine Daseinsberechtigung hat

Sie müssen über TCP-Port 443 kommunizieren. WireGuard ist absichtlich auf UDP beschränkt; ein TCP-Modus ist nicht geplant. Ein Hotelnetzwerk oder ein Firmen-Proxy, der nur TCP 443 zulässt, lässt OpenVPN mit proto tcp-server und port 443 passieren, da dieser Datenverkehr wie eine gewöhnliche TLS-Sitzung aussieht. WireGuard benötigt einen Wrapper wie wstunnel oder udp2raw, um dasselbe Netzwerk zu durchqueren. Dies ist ein zusätzlicher Prozess, der ausgeführt und gepatcht werden muss. Beachten Sie den Konflikt: Wenn ein Webserver bereits TCP 443 auf dieser IP-Adresse belegt, muss einer der beiden Dienste umziehen.

Sie betreiben bereits eine Zertifizierungsstelle. OpenVPN authentifiziert sich mit X.509-Zertifikaten und lässt sich somit in eine bestehende PKI (Public Key Infrastructure) integrieren. Zertifikate laufen automatisch ab; der Widerruf erfolgt durch Hinzufügen zur Zertifikatssperrliste, die der Server über crl-verify einliest. WireGuard kennt keine Zertifikate, kein Ablaufdatum und keine Sperrlisten. Das Entfernen eines Peers erfordert das Bearbeiten und Neuladen der Serverkonfiguration. Bei zehn Peers ist das unproblematisch. Bei vierhundert Peers und einer Audit-Anforderung übernimmt das Zertifikatsmodell jedoch einen erheblichen Teil der Arbeit.

Sie benötigen benannte Benutzer, nicht nur Schlüssel. OpenVPN kann die Authentifizierung an ein externes System mit auth-user-pass-verify oder ein Plugin wie openvpn-plugin-auth-pam.so übergeben. Auf diese Weise lassen sich LDAP oder ein Einmalpasswort als zweiter Faktor anbinden. WireGuard kennt das Konzept eines Benutzers nicht. Ein Schlüssel ist entweder in der Konfiguration vorhanden oder nicht. Wenn die Anforderung lautet: „Sara muss einen Code von ihrem Telefon eingeben“, kann WireGuard dies nicht eigenständig abbilden.

Sie benötigen Layer 2 oder einen Client für veraltete Systeme. OpenVPN überbrückt mit dev tap Ethernet-Frames, was für Broadcast-Protokolle und alte LAN-Spiele relevant ist. WireGuard arbeitet ausschließlich auf Layer 3 und wird dies auch in Zukunft tun. OpenVPN bietet zudem Clients für Hardware und Betriebssysteme, für die es niemals eine WireGuard-App geben wird. Beide Gründe verlieren zunehmend an Bedeutung, und da dev tap nicht mit DCO kompatibel ist, nutzen Sie bei einer Bridge den langsameren Pfad.

Was die beiden Setups tatsächlich kosten

Eine WireGuard-Identität ist ein einziger Befehl. Die Klammern sind wichtig, da sie den Dateimodus festlegen, bevor der Schlüssel existiert:

(umask 077; wg genkey > private.key)
wg pubkey < private.key > public.key

Das OpenVPN-Äquivalent ist eine Zertifizierungsstelle (CA), die Sie nun besitzen, solange das VPN existiert:

sudo apt install -y easy-rsa
make-cadir ~/openvpn-ca
cd ~/openvpn-ca
./easyrsa init-pki
./easyrsa build-ca
./easyrsa gen-req server nopass
./easyrsa sign-req server server

Keine der beiden Listen ist unfair. Die CA bietet Ihnen Ablaufdaten und Widerrufsmöglichkeiten. Dafür kostet sie Sie einen privaten Schlüssel, den Sie über Jahre schützen müssen, eine Erneuerung, an die Sie denken müssen, und einen Neuaufbau, falls Sie ihn verlieren. Wenn Sie die Vorteile nicht nutzen, zahlen Sie für nichts. Das vollständige WireGuard-Verfahren, einschließlich Weiterleitung, NAT (Network Address Translation) und der Handshake-Fehler, die einen Nachmittag verschwenden können, finden Sie in der Anleitung zum Self-Hosting eines WireGuard-VPN auf Ihrem VPS.

Was die einzelnen Protokolle von Ihrer Firewall verlangen

WireGuard benötigt genau eine eingehende Regel für UDP auf dem in ListenPort angegebenen Port:

sudo ufw allow 51820/udp
sudo ufw status verbose

OpenVPN benötigt standardmäßig UDP 1194 oder TCP 443, falls Sie diesen Pfad gewählt haben. Für beide Protokolle muss zudem IP-Forwarding aktiviert und eine Source-NAT-Regel eingerichtet werden, da ein Linux-System Pakete verwirft, die nicht an es adressiert sind. Dieser Teil ist bei beiden Protokollen identisch und ist die häufigste Ursache für Meldungen wie "der Tunnel verbindet sich, aber es gibt kein Internet". Wenn ufw für Sie neu ist, beginnen Sie mit den Grundlagen der ufw-Firewall auf einem VPS. Denken Sie daran, dass die meisten Anbieter eine zweite Netzwerk-Firewall in ihrem Control Panel betreiben: Eine auf dem Server hinzugefügte Regel bewirkt nichts, wenn das Paket den Server nie erreicht. Das Verständnis darüber, was ein Port ist und wie Linux auf einem solchen lauscht, beschleunigt beide Überprüfungen.

Auswahl in einem Absatz

Verwenden Sie WireGuard, sofern Sie keinen spezifischen Grund haben, der dagegen spricht. Wenn Sie TCP 443 benötigen, um restriktive Netzwerke zu umgehen, setzen Sie dort OpenVPN ein. Erwägen Sie den parallelen Betrieb beider Lösungen: Da sie unterschiedliche Ports nutzen, können sie ohne Konflikte auf demselben Server koexistieren. Wenn Sie benutzerbezogene Konten oder eine Zwei-Faktor-Authentifizierung benötigen, versuchen Sie nicht, dies in WireGuard zu erzwingen. Implementieren Sie stattdessen eine Identitätsebene darüber. Ein selbst gehosteter Headscale-Steuerungsserver nutzt WireGuard als Basis und ergänzt das Kontomodell, die Schlüsselverteilung sowie die Gerätefreigabe, die WireGuard in der Standardkonfiguration nicht bietet.

Migration von OpenVPN ohne Ausfallzeit

Es gibt keine Konvertierung. Die PKI von OpenVPN lässt sich nicht in WireGuard-Schlüssel umwandeln, da WireGuard keine Zertifikate verwendet. Jeder Client erhält ein neues Schlüsselpaar, das auf die gleiche Weise wie das des Servers generiert wird.

Migrieren Sie parallel, anstatt direkt umzuschalten. WireGuard auf UDP 51820 und OpenVPN auf 1194 laufen gleichzeitig auf demselben System. Starten Sie daher wg0, bestätigen Sie dies mit sudo wg show, das einen aktuellen latest handshake auflistet, und stellen Sie die Clients nacheinander um. Wenn sich die Peer-Liste von OpenVPN nicht mehr ändert, beenden Sie den Dienst mit sudo systemctl disable --now openvpn-server@server. Behalten Sie die CA-Dateien so lange, bis Sie sicher sind, da die Wiederherstellung eines widerrufenen Clients mit einer gelöschten CA nicht möglich ist.

Ein Punkt lässt sich tatsächlich nicht übertragen: Ihre Benutzernamen- und Passwort-Konten sowie die damit verbundene Widerrufsliste. Entscheiden Sie, wo diese Informationen gespeichert werden, bevor Sie den alten Server abschalten, nicht danach.

FAQ

Ist WireGuard schneller als OpenVPN?

Auf einem Standard-Server mit Ubuntu 24.04 ja, und zwar deutlich. WireGuard verschlüsselt direkt im Kernel, während OpenVPN 2.6 jedes Paket durch einen Userspace-Prozess leitet. Mit OpenVPN 2.7 und dem ovpn-Kernelmodul ab Linux 6.16 erfolgt der Datenpfad ebenfalls im Kernel, wodurch beide in der gleichen Leistungsklasse liegen. Messen Sie die Geschwindigkeit mit iperf3 über den Tunnel selbst, anstatt sich auf Zahlen aus Blogs zu verlassen, da auf einem VPS meist die CPU oder das Bandbreitenlimit den Engpass darstellt.

Kann WireGuard über den TCP-Port 443 laufen?

Nicht von sich aus. WireGuard ist konzeptionsbedingt auf UDP beschränkt; ein TCP-Modus ist nicht geplant. Um ein Netzwerk zu durchqueren, das nur TCP 443 zulässt, kapseln Sie es in einen Tunnel wie wstunnel oder udp2raw. Dies erfordert jedoch einen zusätzlichen Prozess, der auf beiden Seiten ausgeführt und gepflegt werden muss. Wenn diese Einschränkung Ihre normale Arbeitsumgebung darstellt, ist OpenVPN mit proto tcp-server und port 443 die einfachere Lösung.

Ist OpenVPN mittlerweile unsicher?

Nein. Ein aktuelles OpenVPN mit einer AEAD-Verschlüsselung wie AES-256-GCM und aktiviertem tls-crypt ist ein solides VPN. Die Argumente für WireGuard basieren auf anderen Aspekten: OpenVPN umfasst deutlich mehr Code und Optionen. Dadurch bietet es einem erschöpften Administrator wesentlich mehr Möglichkeiten, das System falsch zu konfigurieren. Weniger Auswahlmöglichkeiten bedeuten weniger Fehlerquellen.

Was sollte ich für ein persönliches VPN auf einem VPS wählen?

WireGuard. Ein Schlüsselpaar pro Gerät, eine Konfigurationsdatei mit etwa zehn Zeilen, ein offener UDP-Port und ein Handshake, der abgeschlossen ist, bevor man ihn bemerkt. Wählen Sie OpenVPN nur, wenn Sie sich regelmäßig aus Netzwerken verbinden, die UDP blockieren, oder wenn Sie eine bestehende Zertifizierungsstelle oder ein vorhandenes Benutzerverzeichnis einbinden müssen.