WireGuard oder OpenVPN: Was soll ich selbst hosten?

Die kurze Antwort

WireGuard gegen OpenVPN ist für eine Einzelperson, die einen VPN-Server auf einem eigenen VPS betreibt, kein Kopf-an-Kopf-Rennen: Wählen Sie WireGuard. Es ist schlanker, läuft direkt im Linux-Kernel, baut Verbindungen in Sekundenbruchteilen auf und eine funktionierende Client-Konfiguration umfasst etwa zehn Zeilen. OpenVPN erfüllt vier spezifische Aufgaben; wenn keine davon auf Sie zutrifft, benötigen Sie es nicht.

Diese vier Aufgaben sind: das Umgehen von Netzwerken, die nur TCP-Port 443 zulassen, die Anbindung an eine bestehende Zertifizierungsstelle (CA), die Authentifizierung namentlich bekannter Benutzer mittels Passwort oder zweitem Faktor sowie das Bridging auf Layer 2. Alles Folgende erläutert die Hintergründe dieser Empfehlung und den genauen Punkt, an dem die jeweilige Ausnahme für Sie relevant wird.

Warum WireGuard Self-Hoster überzeugt

Der Quellcode ist klein genug zum Lesen. Das WireGuard-Projekt umfasst für seine Protokollimplementierung ungefähr 4.000 Codezeilen. OpenVPN liegt einschließlich der OpenSSL-Bibliothek, auf die es für alle kryptografischen Operationen angewiesen ist, im sechsstelligen Bereich. Die Größe ist relevant, weil jede Codezeile eine Angriffsfläche darstellt und weder Sie noch Ihr Reviewer 100.000 Zeilen lesen werden. 4.000 Zeilen können Sie lesen.

Es läuft im Kernel. WireGuard ist seit 5.6 im Mainline-Linux enthalten. Ubuntu 24.04 und Debian 13 liefern es daher aus, ohne dass Sie etwas kompilieren müssen. Die Pakete werden dort verschlüsselt, wo sie sich bereits befinden: im Kernel-Space. Es ist kein Kopieren in einen Userspace-Prozess und zurück erforderlich. Prüfen Sie dies zuerst:

sudo modprobe wireguard && echo ok

Auf einem KVM-VPS gibt dieser Befehl ok aus. Bei Container-Virtualisierung mit gemeinsam genutztem Host-Kernel, etwa OpenVZ oder LXC, schlägt er mit Operation not supported fehl, weil Sie kein Modul in einen Kernel laden können, der Ihnen nicht gehört.

Es gibt nichts auszuhandeln. WireGuard verwendet eine feste Cipher Suite: ChaCha20-Poly1305 für Daten und Curve25519-Schlüssel. Es gibt keine Version, auf die ein Downgrade möglich wäre, und keine Option, die falsch gesetzt werden kann. OpenVPN handelt die Verschlüsselung und die TLS-Version (Transport Layer Security) mit jedem Client aus. Das bietet Flexibilität, ist aber auch eine Fehlerquelle bei der Konfiguration. Ein Server mit data-ciphers AES-256-GCM:AES-128-CBC fällt für einen Client, der nichts Besseres anbietet, problemlos auf die CBC-Verschlüsselung zurück. Das Log kennzeichnet die schwächere Verschlüsselung nicht als Problem. Wenn Data-Channel-Offload verfügbar ist, gibt OpenVPN eine Meldung aus, dass der CBC-Eintrag den Offload deaktiviert hat. Das ist eine Warnung zur Geschwindigkeit, nicht zur Sicherheit.

Der Port antwortet nicht. Ein WireGuard-Paket, dessen Message-Authentication-Prüfung fehlschlägt, wird ohne jede Antwort verworfen. Daher kann nmap -sU -p 51820 einen WireGuard-Server nicht von einem Port unterscheiden, den die Firewall stillschweigend verwirft: In beiden Fällen erhält es open|filtered. Nur ein ungefilterter Port, an dem kein Dienst lauscht, gibt sich zu erkennen. Der Kernel antwortet dann mit „ICMP port unreachable“, und nmap meldet den Port als closed. Ein OpenVPN-Server im TCP-Modus schließt den TCP-Handshake ab, bevor er entscheidet, dass Sie nicht zugelassen sind. Das reicht einem Scanner als Nachweis, dass dort ein Dienst vorhanden ist. OpenVPN über UDP mit tls-crypt ist nahezu ebenso unauffällig. Das ist daher ein Argument gegen OpenVPN im TCP-Modus, nicht gegen OpenVPN selbst.

Roaming ist ohne Zusatzaufwand möglich. Ein WireGuard-Peer wird anhand seines öffentlichen Schlüssels identifiziert, nicht anhand seiner Adresse. Ihr Laptop wechselt vom Heimnetz zu einem mobilen Hotspot, sendet von der neuen Adresse einen Handshake, und der Server aktualisiert den Endpunkt, an den er antwortet. Es wird nichts neu verbunden, weil zuvor keine dauerhafte Verbindung bestand. OpenVPN kann mit float etwas Ähnliches tun. Normalerweise beendet der Client jedoch die vollständige TLS-Sitzung und baut sie neu auf. Deshalb ist die Pause beim Öffnen des Laptopdeckels bei OpenVPN spürbar, bei WireGuard dagegen nicht.

Geschwindigkeit im Jahr 2026: Der Abstand wird nur mit Kernel-Offload kleiner

Jahrelang war das faire Geschwindigkeitsargument, dass OpenVPN jedes Paket in den Userspace kopierte, es dort verschlüsselte und anschließend zurückkopierte, während WireGuard den Kernel nie verließ. Auf einem unveränderten Ubuntu-24.04-Server ist das weiterhin das Bild, und WireGuard ist mit großem Abstand schneller. 2026 änderte sich, dass OpenVPN seinen Datenpfad nun ebenfalls in den Kernel verlagern kann, wenn sowohl der Kernel als auch die OpenVPN-Version dies unterstützen. Ein Vergleich, der das ignoriert, ist veraltet.

OpenVPN 2.7 wurde im Februar 2026 mit Unterstützung für das vorgelagerte ovpn-Kernelmodul veröffentlicht, das in Linux 6.16 aufgenommen wurde. Dabei handelt es sich um DCO (data channel offload): Der Steuerkanal bleibt im Userspace, und der eigentliche Datenpfad wird in den Kernel verlagert. Im Wesentlichen funktioniert das so, wie WireGuard es schon immer getan hat. Mit einem ausreichend neuen Kernel und einer ausreichend neuen OpenVPN-Version liegt der Durchsatz damit in derselben Leistungsklasse und nicht in einer anderen. Prüfen Sie, was tatsächlich vorhanden ist:

uname -r
openvpn --version | head -n 1
modinfo ovpn 2>/dev/null | head -n 3

Stand Oktober 2026 enthält ein unverändertes Ubuntu 24.04 LTS OpenVPN 2.6 und nicht 2.7. Das ovpn-Modul benötigt jedoch 2.7. In dieser Version erhalten Sie Offload nur über das ältere openvpn-dco-dkms-Paket. Dieses Paket erstellt ein Out-of-Tree-Modul für Ihren laufenden Kernel und führt deshalb bei jedem Kernel-Upgrade zu einer Neuerstellung des Moduls. Dies ist eine zusätzliche Komponente, die es bei WireGuard nicht gibt. Ubuntu 26.04 LTS enthält OpenVPN 2.7.0 und einen Linux-7.0-Kernel. Beide sind für ovpn neu genug. In dieser Version ist daher die oben genannte modinfo-Zeile die relevante Prüfung.

Lesen Sie die Einschränkungen von DCO genau, bevor Sie es als Grund für OpenVPN betrachten. Es unterstützt nur Layer-3-Tunnel, akzeptiert ausschließlich AEAD-Chiffren (authenticated encryption with associated data: AES-GCM oder ChaCha20-Poly1305), unterstützt keine Komprimierung und funktioniert auf einem Server nur mit topology subnet. Jede dieser Einschränkungen nimmt OpenVPN einen Teil der Flexibilität, die ursprünglich sein Argument war. Schnelles OpenVPN ist OpenVPN, das so konfiguriert ist, dass es wie WireGuard aussieht.

Vertrauen Sie keiner veröffentlichten Durchsatzangabe, auch nicht der auf dieser Seite. Das Limit eines VPS wird normalerweise durch das CPU- oder Netzwerk-Kontingent bestimmt und nicht durch das Protokoll. Messen Sie Ihren eigenen Durchsatz mit iperf3 über den Tunnel und anschließend außerhalb des Tunnels. Vergleichen Sie beide Werte.

Wo OpenVPN weiterhin sinnvoll ist

Sie müssen TCP-Port 443 nutzen. WireGuard verwendet absichtlich ausschließlich UDP; ein TCP-Modus ist nicht geplant. Ein Hotelnetzwerk, das nur anhand der Portnummer filtert, lässt OpenVPN mit der Konfiguration proto tcp-server und port 443 normalerweise passieren. Verwechseln Sie das nicht mit Verschleierung: OpenVPN über TCP verwendet eine eigene Paketstruktur und keine gewöhnliche TLS-Sitzung. Eine Unternehmens-Firewall oder ein Proxy, der HTTPS untersucht oder beendet, kann OpenVPN daher weiterhin erkennen und blockieren. WireGuard benötigt einen Wrapper wie wstunnel oder udp2raw, um dasselbe Netzwerk zu durchqueren. Dadurch muss ein weiterer Prozess ausgeführt und aktuell gehalten werden. Beachten Sie den Konflikt: Wenn auf dieser IP-Adresse bereits ein Webserver TCP 443 verwendet, muss einer der beiden Dienste auf einen anderen Port wechseln.

Sie betreiben bereits eine Zertifizierungsstelle. OpenVPN authentifiziert mit X.509-Zertifikaten und lässt sich daher in eine bereits vorhandene PKI (Public Key Infrastructure) integrieren. Zertifikate laufen automatisch ab. Sie widerrufen ein Zertifikat, indem Sie es in eine Zertifikatsperrliste aufnehmen, die der Server über crl-verify einliest. WireGuard verwendet weder Zertifikate noch Ablaufdaten oder eine Zertifikatsperrliste. Um einen Peer zu entfernen, bearbeiten Sie die Serverkonfiguration und laden sie neu. Bei zehn Peers ist das unproblematisch. Bei vierhundert Peers und einer Audit-Anforderung leistet das Zertifikatsmodell wichtige Arbeit.

Sie benötigen benannte Benutzer und nicht nur Schlüssel. OpenVPN kann die Authentifizierung mit auth-user-pass-verify oder einem Plugin wie openvpn-plugin-auth-pam.so an ein externes System übergeben. So lassen sich LDAP oder ein zweiter Faktor mit Einmalpasswort integrieren. WireGuard kennt überhaupt keine Benutzer. Ein Schlüssel ist entweder in der Konfiguration enthalten oder nicht. Wenn Ihre Anforderung lautet: „Sara muss einen Code von ihrem Telefon eingeben“, kann WireGuard das nicht selbst abbilden.

Sie benötigen Layer 2 oder einen Client für veraltete Systeme. OpenVPN überbrückt mit dev tap Ethernet-Frames. Das ist für Broadcast-Protokolle und alte LAN-Spiele relevant. WireGuard arbeitet ausschließlich auf Layer 3, und das wird auch so bleiben. OpenVPN bietet außerdem Clients für Hardware und Betriebssysteme, für die es niemals eine WireGuard-App geben wird. Beide Gründe verlieren an Bedeutung. dev tap ist jedoch nicht mit DCO kompatibel. Wenn Sie die Bridge verwenden, müssen Sie daher den langsameren Pfad nutzen.

Was die beiden Setups tatsächlich kosten

Eine WireGuard-Identität ist ein einziger Befehl. Die Klammern sind wichtig, da sie den Dateimodus festlegen, bevor der Schlüssel existiert:

(umask 077; wg genkey > private.key)
wg pubkey < private.key > public.key

Das OpenVPN-Äquivalent ist eine Zertifizierungsstelle (CA), die Sie nun besitzen, solange das VPN existiert:

sudo apt install -y easy-rsa
make-cadir ~/openvpn-ca
cd ~/openvpn-ca
./easyrsa init-pki
./easyrsa build-ca
./easyrsa gen-req server nopass
./easyrsa sign-req server server

Keine der beiden Listen ist unfair. Die CA bietet Ihnen Ablaufdaten und Widerrufsmöglichkeiten. Dafür kostet sie Sie einen privaten Schlüssel, den Sie über Jahre schützen müssen, eine Erneuerung, an die Sie denken müssen, und einen Neuaufbau, falls Sie ihn verlieren. Wenn Sie die Vorteile nicht nutzen, zahlen Sie für nichts. Das vollständige WireGuard-Verfahren, einschließlich Weiterleitung, NAT (Network Address Translation) und der Handshake-Fehler, die einen Nachmittag verschwenden können, finden Sie in der Anleitung zum Self-Hosting eines WireGuard-VPN auf Ihrem VPS.

Was die einzelnen Protokolle von Ihrer Firewall verlangen

WireGuard benötigt genau eine eingehende Regel für UDP auf dem in ListenPort angegebenen Port:

sudo ufw allow 51820/udp
sudo ufw status verbose

OpenVPN benötigt standardmäßig UDP 1194 oder TCP 443, falls Sie diesen Pfad gewählt haben. Für beide Protokolle muss zudem IP-Forwarding aktiviert und eine Source-NAT-Regel eingerichtet werden, da ein Linux-System Pakete verwirft, die nicht an es adressiert sind. Dieser Teil ist bei beiden Protokollen identisch und ist die häufigste Ursache für Meldungen wie "der Tunnel verbindet sich, aber es gibt kein Internet". Wenn ufw für Sie neu ist, beginnen Sie mit den Grundlagen der ufw-Firewall auf einem VPS. Denken Sie daran, dass die meisten Anbieter eine zweite Netzwerk-Firewall in ihrem Control Panel betreiben: Eine auf dem Server hinzugefügte Regel bewirkt nichts, wenn das Paket den Server nie erreicht. Das Verständnis darüber, was ein Port ist und wie Linux auf einem solchen lauscht, beschleunigt beide Überprüfungen.

Auswahl in einem Absatz

Verwenden Sie WireGuard, sofern Sie keinen spezifischen Grund haben, der dagegen spricht. Wenn Sie TCP 443 benötigen, um restriktive Netzwerke zu umgehen, setzen Sie dort OpenVPN ein. Erwägen Sie den parallelen Betrieb beider Lösungen: Da sie unterschiedliche Ports nutzen, können sie ohne Konflikte auf demselben Server koexistieren. Wenn Sie benutzerbezogene Konten oder eine Zwei-Faktor-Authentifizierung benötigen, versuchen Sie nicht, dies in WireGuard zu erzwingen. Implementieren Sie stattdessen eine Identitätsebene darüber. Ein selbst gehosteter Headscale-Steuerungsserver nutzt WireGuard als Basis und ergänzt das Kontomodell, die Schlüsselverteilung sowie die Gerätefreigabe, die WireGuard in der Standardkonfiguration nicht bietet.

Migration von OpenVPN ohne Ausfallzeit

Es gibt keine Konvertierung. Die PKI von OpenVPN lässt sich nicht in WireGuard-Schlüssel umwandeln, da WireGuard keine Zertifikate verwendet. Jeder Client erhält ein neues Schlüsselpaar, das auf die gleiche Weise wie das des Servers generiert wird.

Migrieren Sie parallel, anstatt direkt umzuschalten. WireGuard auf UDP 51820 und OpenVPN auf 1194 laufen gleichzeitig auf demselben System. Starten Sie daher wg0, bestätigen Sie dies mit sudo wg show, das einen aktuellen latest handshake auflistet, und stellen Sie die Clients nacheinander um. Wenn sich die Peer-Liste von OpenVPN nicht mehr ändert, beenden Sie den Dienst mit sudo systemctl disable --now openvpn-server@server. Behalten Sie die CA-Dateien so lange, bis Sie sicher sind, da die Wiederherstellung eines widerrufenen Clients mit einer gelöschten CA nicht möglich ist.

Ein Punkt lässt sich tatsächlich nicht übertragen: Ihre Benutzernamen- und Passwort-Konten sowie die damit verbundene Widerrufsliste. Entscheiden Sie, wo diese Informationen gespeichert werden, bevor Sie den alten Server abschalten, nicht danach.

FAQ

Ist WireGuard schneller als OpenVPN?

Auf einem unveränderten Ubuntu 24.04-Server: ja, und zwar deutlich, weil WireGuard die Verschlüsselung im Kernel ausführt, während OpenVPN 2.6 jedes Paket durch einen Userspace-Prozess leitet. Mit OpenVPN 2.7 und dem ovpn-Kernelmodul aus Linux 6.16 liegt auch der Datenpfad im Kernel, sodass beide in derselben Leistungsklasse liegen. Messen Sie die Leistung Ihrer eigenen Verbindung mit iperf3 über den Tunnel, statt einer Zahl aus einem Blog zu vertrauen, weil auf einem VPS meist Ihre CPU oder das Bandbreitenlimit den Engpass bildet.

Kann WireGuard über den TCP-Port 443 betrieben werden?

Nicht eigenständig. WireGuard verwendet konstruktionsbedingt ausschließlich UDP, und ein TCP-Modus ist nicht geplant. Um ein Netzwerk zu durchqueren, das nur TCP 443 zulässt, kapseln Sie WireGuard in einen Tunnel wie wstunnel oder udp2raw. Dadurch muss an beiden Enden ein zusätzlicher Prozess betrieben und gepflegt werden. Wenn diese Einschränkung in Ihrer normalen Arbeitsumgebung besteht, ist OpenVPN mit proto tcp-server und port 443 die einfachere Lösung in einem Netzwerk, das nur nach Ports filtert. Ein Proxy, der HTTPS inspiziert, kann OpenVPN jedoch weiterhin erkennen und blockieren.

Ist OpenVPN inzwischen unsicher?

Nein. Ein aktuelles OpenVPN mit einer AEAD-Chiffre wie AES-256-GCM und aktiviertem tls-crypt ist ein zuverlässiges VPN. Die Vorteile von WireGuard liegen in einem anderen Bereich: OpenVPN enthält wesentlich mehr Code und deutlich mehr Optionen. Dadurch bietet es einem müden Administrator mehr Möglichkeiten für eine fehlerhafte Konfiguration. Weniger Auswahl bedeutet weniger falsche Entscheidungen.

Welche Lösung sollte ich für ein persönliches VPN auf einem VPS wählen?

WireGuard. Ein Schlüsselpaar pro Gerät, eine Konfigurationsdatei mit etwa zehn Zeilen, ein geöffneter UDP-Port und ein Handshake, der abgeschlossen ist, bevor Sie bemerken, dass er begonnen hat. Wählen Sie OpenVPN nur, wenn Sie regelmäßig Verbindungen aus Netzwerken herstellen, die UDP blockieren, oder wenn Sie eine bereits vorhandene Zertifizierungsstelle oder ein vorhandenes Benutzerverzeichnis verwenden müssen.