VPN-App, FRITZ!Box oder Travel Router? Welche Konfiguration passt zu dir?
Wer einen eigenen WireGuard-VPN-Server betreibt, kann diesen nicht nur zu Hause nutzen. Auch unterwegs lässt sich die Internetverbindung über den eigenen VPN-Server führen – beispielsweise über Mobilfunk, Hotel-WLAN, öffentliche Hotspots oder das WLAN einer Ferienwohnung.
Die entscheidende Frage lautet deshalb:
Welche VPN-Konfiguration passt am besten zu dir?
Für manche Nutzer reicht es vollkommen aus, WireGuard direkt auf dem iPhone, Android-Smartphone oder Windows-PC zu installieren. Wer dagegen mehrere Geräte, Kindergeräte, Smart-TVs oder Spielekonsolen schützen möchte, ist mit einer Router-Lösung häufig besser beraten.
In diesem Artikel vergleichen wir vier typische Konfigurationen:
-
WireGuard direkt auf dem Endgerät
-
WireGuard zentral auf einem Router
-
FRITZ!Box als WireGuard-Client
-
Travel Router mit getrenntem VPN- und normalem WLAN
Dabei schauen wir uns die Vor- und Nachteile sowie das Risiko einer Umgehung des VPNs an.
Konfiguration 1: WireGuard direkt auf iPhone, Android oder Windows
Die einfachste Lösung besteht darin, die WireGuard-App direkt auf dem jeweiligen Gerät zu installieren.
Das Gerät baut anschließend selbst die verschlüsselte Verbindung zu deinem VPN-Server auf.
Zum Beispiel:
iPhone über 5G → WireGuard → eigener VPN-Server → Internet
oder:
Windows-Laptop im Hotel-WLAN → WireGuard → eigener VPN-Server → Internet
WireGuard funktioniert also nicht nur im heimischen WLAN. Die Verbindung kann genauso über Mobilfunk oder fremde WLAN-Netze aufgebaut werden.
Vorteile
-
Keine zusätzliche Hardware notwendig
-
Sehr einfache Einrichtung
-
Funktioniert über Mobilfunk
-
Funktioniert im Hotel- und öffentlichen WLAN
-
Ideal für einzelne Geräte
-
Sehr geringe zusätzliche Kosten
-
WireGuard ist schnell und ressourcenschonend
Nachteil: Der Benutzer kann den VPN eventuell abschalten
Der wichtigste Nachteil dieser Lösung ist gleichzeitig ihr größtes Sicherheitsproblem:
Der VPN läuft auf demselben Gerät, das der Benutzer selbst kontrolliert.
Je nach Betriebssystem und Benutzerrechten könnte der Anwender beispielsweise:
-
WireGuard deaktivieren
-
die App löschen
-
die VPN-Konfiguration entfernen
-
Netzwerkeinstellungen verändern
-
eine andere Verbindung verwenden
Wenn der VPN beispielsweise für Kinder oder verwaltete Geräte zwingend aktiv bleiben soll, reicht die reine Installation von WireGuard deshalb nicht aus.
WireGuard unter Android gegen Umgehung absichern
Android bietet für diesen Anwendungsfall sehr interessante Funktionen.
Dazu gehören insbesondere:
Always-on VPN
und
Verbindungen ohne VPN blockieren
Ist diese Kombination aktiv, kann Android verhindern, dass das Gerät einfach über die normale Internetverbindung weiterkommuniziert, wenn der VPN-Tunnel unterbrochen wird.
Damit entsteht eine Art Kill-Switch:
VPN aktiv → Internet funktioniert
VPN nicht aktiv → kein Internet
Für Geräte von Kindern oder verwaltete Smartphones sollte zusätzlich verhindert werden, dass der Benutzer diese Einstellungen selbst verändern kann.
Dafür können beispielsweise Geräteverwaltung, Family-Funktionen oder MDM-Systeme eingesetzt werden.
WireGuard auf iPhone und iPad
Auch auf iPhone und iPad funktioniert WireGuard sehr gut.
Apple-Geräte benötigen allerdings etwas mehr Aufmerksamkeit, wenn der Benutzer den VPN nicht umgehen können soll.
WireGuard kann mit folgenden Mechanismen kombiniert werden:
-
Geräteüberwachung
-
Familienbeschränkungen
-
MDM
-
Einschränkungen beim Löschen von Apps
-
Einschränkungen bei System- und Netzwerkeinstellungen
Wichtig ist dabei eine technische Besonderheit:
Apples natives Always On VPN für vollständig verwaltete beziehungsweise „supervised“ Geräte basiert auf IKEv2 und nicht auf WireGuard.
Deshalb sollte man bei WireGuard auf Apple-Geräten eher von folgendem Konzept sprechen:
WireGuard + Geräteverwaltung / Supervision
Die WireGuard-App allein macht den VPN nicht automatisch unabschaltbar.
WireGuard unter Windows
Auch unter Windows kann WireGuard automatisch gestartet und dauerhaft verwendet werden.
Bei einem persönlichen Computer ist das meistens vollkommen ausreichend.
Soll der Benutzer den VPN jedoch nicht deaktivieren können, sollten zusätzlich die Benutzerrechte eingeschränkt werden.
Zum Beispiel:
-
Benutzer arbeitet ohne Administratorrechte
-
Netzwerkänderungen werden eingeschränkt
-
WireGuard-Dienste dürfen nicht beendet werden
-
Software darf nicht deinstalliert werden
Auch hier gilt:
Wer vollständige Administratorrechte besitzt, kann normalerweise irgendwann einen Weg finden, eine lokale VPN-Software zu deaktivieren.
Konfiguration 2: WireGuard auf einem Router
Eine deutlich stärkere Variante besteht darin, WireGuard nicht auf jedem einzelnen Endgerät, sondern direkt auf einem Router auszuführen.
Der Router selbst wird dann zum WireGuard-Client.
Die Verbindung sieht beispielsweise so aus:
Hotel-WLAN / Mobilfunk / Internet
↓
Travel Router
↓
WireGuard-Tunnel
↓
eigener VPN-Server
↓
Internet
Alle Geräte, die sich mit diesem Router verbinden, können anschließend automatisch über den VPN-Tunnel geführt werden.
Dazu können gehören:
-
Smartphones
-
Tablets
-
Windows-PCs
-
Macs
-
Smart-TVs
-
Streaming-Geräte
-
Spielekonsolen
-
Kindergeräte
-
IoT-Geräte
-
Geräte der Eltern
Auf diesen Geräten muss WireGuard selbst nicht installiert werden.
Warum ein VPN-Router schwerer zu umgehen ist
Der entscheidende Unterschied liegt darin, wo die VPN-Regel durchgesetzt wird.
Bei einer App:
Gerät → WireGuard-App → VPN-Server
Der Benutzer kontrolliert das Gerät und möglicherweise auch die App.
Bei einem Router:
Gerät → geschütztes WLAN → VPN-Router → VPN-Server
Der VPN läuft außerhalb des Endgerätes.
Ein Kind kann beispielsweise nicht einfach die WireGuard-App öffnen und auf „Disconnect“ drücken, weil auf seinem Gerät überhaupt keine WireGuard-App installiert sein muss.
Solange das Gerät mit dem geschützten WLAN verbunden ist, kontrolliert der Router den Datenverkehr.
Vorteile
-
Ein VPN für viele Geräte
-
Keine App auf jedem Gerät notwendig
-
Smart-TVs und Konsolen können ebenfalls geschützt werden
-
Zentrale Verwaltung
-
Schwerer vom Endgerät aus zu umgehen
-
Besonders interessant für Familien
Nachteile
-
Zusätzliche Hardware
-
Router muss eingerichtet werden
-
Ein weiteres Gerät auf Reisen
-
Kill-Switch sollte korrekt konfiguriert werden
Konfiguration 3: FRITZ!Box als WireGuard-Client
Auch moderne FRITZ!Box-Modelle können WireGuard-Verbindungen aufbauen.
Geeignete Beispiele sind unter anderem:
-
FRITZ!Box 7530 AX
-
FRITZ!Box 7590 AX
-
FRITZ!Box 4060
-
FRITZ!Box 6850 LTE / 4G
-
FRITZ!Box 6850 5G
-
weitere aktuelle Modelle mit entsprechender FRITZ!OS-Unterstützung
Die FRITZ!Box baut dabei selbst die Verbindung zu deinem VPN-Server auf. Die dahinter angeschlossenen Geräte benötigen keine eigene WireGuard-Installation.
Das kann beispielsweise so aussehen:
Smartphone / Laptop / TV
↓
FRITZ!Box
↓
WireGuard
↓
eigener VPN-Server
↓
Internet
Vorteile der FRITZ!Box
-
Benutzerfreundliche Oberfläche
-
WireGuard zentral konfigurierbar
-
Keine VPN-App auf jedem Gerät
-
Viele Geräte gleichzeitig geschützt
-
Sehr interessant für bestehende FRITZ!-Umgebungen
-
Gute Lösung, wenn das gesamte Netzwerk durch den VPN soll
Der wichtigste Nachteil der FRITZ!Box
Für unseren speziellen Anwendungsfall gibt es allerdings eine wichtige Einschränkung.
Nehmen wir an, du möchtest zwei WLANs:
WLAN 1 – Kinder
Family-VPN → WireGuard → eigener VPN-Server
WLAN 2 – Eltern
Normal → direkt ins Internet
Genau hier wird es mit einer FRITZ!Box schwierig.
Die FRITZ!Box besitzt zwar ein normales WLAN und ein Gastnetz, sie ist jedoch nicht als frei konfigurierbare Policy-Routing-Plattform ausgelegt, bei der einzelne SSIDs beliebig verschiedenen VPN- oder WAN-Routen zugeordnet werden können.
Wenn dein Ziel lautet:
Alle Geräte sollen über denselben VPN gehen
ist eine FRITZ!Box eine gute Lösung.
Wenn dein Ziel dagegen lautet:
Kinder über VPN, Eltern ohne VPN
ist ein flexibler Travel Router meist die bessere Wahl.
Konfiguration 4: Separates VPN-WLAN und normales WLAN
Für Familien ist diese Variante häufig besonders interessant.
Ein geeigneter Travel Router kann beispielsweise zwei unterschiedliche Netzwerke anbieten:
Protected Wi-Fi
Kindergeräte → WireGuard → eigener VPN-Server
und gleichzeitig:
Normal Wi-Fi
Elterngeräte → direkt ins Internet
Damit erhältst du zwei klar voneinander getrennte Netzwerke.
Der Router entscheidet dabei, welche Geräte beziehungsweise welches WLAN über den VPN-Tunnel geleitet werden.
GL.iNet Travel Router
GL.iNet ist für diesen Einsatz besonders interessant.
Die Router sind auf Reise-, VPN- und OpenWrt-Anwendungen ausgelegt und können beispielsweise mit Hotel-WLAN verbunden werden und dahinter dein eigenes privates WLAN bereitstellen.
Je nach Modell und Firmware können VPN-Regeln nach unterschiedlichen Kriterien erstellt werden, beispielsweise nach:
-
Gastnetz
-
Endgerät
-
IP-Adresse
-
VLAN
-
teilweise Domains beziehungsweise Zielregeln
Dadurch sind Konfigurationen möglich wie:
Kindergeräte → WireGuard
Elterngeräte → normales Internet
oder:
Alle Geräte → WireGuard
Ausgewählte Geräte → Ausnahme ohne VPN
GL.iNet Beryl AX
Der GL.iNet Beryl AX (GL-MT3000) ist einer der interessantesten Allround-Travel-Router.
Er bietet:
-
Wi-Fi 6
-
WireGuard
-
OpenVPN
-
kompaktes Gehäuse
-
2,5-Gigabit-WAN
-
flexible VPN-Regeln
Als grobe Größenordnung liegt der Preis aktuell um 90–100 Euro bzw. Dollar, abhängig von Land, Händler und Steuern.
Geeignet für
-
Familien
-
häufige Reisen
-
Hotel-WLAN
-
Smartphones und Tablets
-
kleine bis mittlere Gerätemengen
GL.iNet Slate AX
Der Slate AX (GL-AXT1800) ist ebenfalls ein leistungsfähiger Wi-Fi-6-Travel-Router.
Er bietet:
-
WireGuard
-
OpenVPN
-
Wi-Fi 6
-
gute VPN-Leistung
-
umfangreiche Routing-Möglichkeiten
Preislich liegt er typischerweise ungefähr im Bereich von 100 bis 130 Euro/Dollar, abhängig vom Markt.
GL.iNet Beryl 7
Wer bereits auf eine neuere Wi-Fi-7-Plattform setzen möchte, kann sich den Beryl 7 ansehen.
Er ist moderner, aber für eine reine WireGuard-Anwendung nicht zwingend notwendig.
Preislich sollte man grob mit 120 bis 150 Euro/Dollar rechnen.
GL.iNet Flint 2
Der Flint 2 ist weniger ein klassischer Pocket-Travel-Router und eher ein leistungsfähiger Router für:
-
Ferienhäuser
-
Zweitwohnungen
-
größere Familien
-
höhere VPN-Geschwindigkeiten
-
viele Endgeräte
Preislich liegt er typischerweise deutlich über den kleinen Travel-Modellen.
ASUS RT-AX57 Go
Eine weitere sehr interessante Alternative ist der ASUS RT-AX57 Go.
Der Router wurde ausdrücklich für portable beziehungsweise Reiseanwendungen konzipiert.
Er unterstützt unter anderem:
-
Wi-Fi 6
-
WireGuard
-
OpenVPN
-
VPN-Client
-
öffentliches WLAN / WISP
-
USB-Tethering
-
mehrere Netzwerkprofile
Besonders interessant ist die Möglichkeit, auf kompatibler Firmware ein eigenes VPN Network beziehungsweise VPN-WLAN bereitzustellen.
Damit lässt sich beispielsweise folgendes Szenario umsetzen:
SSID: FAMILY-VPN
→ WireGuard
→ eigener VPN-Server
und:
SSID: NORMAL
→ direkte Internetverbindung
Genau diese Flexibilität fehlt bei einer klassischen FRITZ!Box-Konfiguration.
Der Preis liegt je nach Händler und Markt ungefähr bei 80 bis 120 Euro.
TP-Link Travel Router
Auch TP-Link bietet inzwischen verschiedene portable Router mit VPN-Client-Unterstützung.
Zu den entsprechenden Produktfamilien gehören beispielsweise Modelle wie:
-
TL-WR1502X
-
TL-WR1512X
-
TL-WR3002X
-
TL-WR3602BE
Je nach Modell wird auch WireGuard unterstützt.
Vor dem Kauf sollte allerdings geprüft werden, ob das konkrete Modell auch die gewünschten erweiterten Funktionen bietet:
-
getrennte SSIDs
-
VPN-Policy-Routing
-
Regeln pro Gerät
-
Kill-Switch
-
Hotel-WLAN-/Repeater-Modus
Bei diesen erweiterten Funktionen sind GL.iNet und ASUS häufig transparenter und flexibler.
Welche Konfiguration passt zu dir?
Variante A: Nur ein persönliches Smartphone oder Notebook
Empfehlung: WireGuard-App
Geeignet, wenn:
-
du der einzige Benutzer bist
-
du das Gerät selbst kontrollierst
-
du keine zusätzliche Hardware möchtest
-
du Mobilfunk und Hotel-WLAN absichern möchtest
Kosten
Praktisch 0 Euro zusätzliche Hardwarekosten.
Variante B: Alle Geräte sollen immer durch den VPN
Empfehlung: FRITZ!Box oder VPN-Router
Geeignet für:
-
Wohnung
-
Ferienwohnung
-
Familie mit einheitlicher VPN-Regel
-
Smart-TVs
-
Konsolen
-
viele Geräte
Die Geräte benötigen keine eigene WireGuard-App.
Variante C: Kinder über VPN, Eltern ohne VPN
Empfehlung: GL.iNet oder ASUS Travel Router
Das ist die interessanteste Variante für Familien.
Beispiel:
Kids-VPN WLAN
→ WireGuard
→ eigener VPN-Server
Parents WLAN
→ normales Internet
Der Router übernimmt die Trennung.
Variante D: Häufige Reisen und Hotel-WLAN
Empfehlung: Travel Router
Ein Travel Router kann sich mit dem Hotel-WLAN verbinden und anschließend dein eigenes privates WLAN aufbauen.
Das bedeutet:
Hotel-WLAN
↓
Travel Router
↓
dein privates WLAN
↓
WireGuard
↓
eigener VPN-Server
So musst du nicht jedes Familiengerät einzeln mit dem Hotel-WLAN verbinden.
Der Kill-Switch ist entscheidend
Unabhängig vom Router solltest du unbedingt prüfen, was passiert, wenn die WireGuard-Verbindung abbricht.
Eine schlechte Konfiguration könnte so reagieren:
WireGuard fällt aus → Router verwendet automatisch normales Internet
Damit würde der Schutz unbemerkt umgangen.
Besser ist:
WireGuard aktiv → Internet verfügbar
WireGuard ausgefallen → geschützte Geräte haben kein Internet
Dieses Verhalten wird häufig als:
-
VPN Kill Switch
-
Block Non-VPN Traffic
-
Fail Closed
bezeichnet.
Gerade für Kinder- oder verwaltete Geräte ist diese Funktion besonders wichtig.
Vergleich der Lösungen
| Lösung | Zusätzliche Hardware | Mobilfunk | Hotel-WLAN | Alle Geräte geschützt | Getrenntes VPN-/Normal-WLAN | Umgehungsschutz |
|---|---|---|---|---|---|---|
| WireGuard-App | Nein | Ja | Ja | Nein | Nein | abhängig vom Gerät |
| FRITZ!Box | Ja | je nach Modell | eingeschränkt / abhängig vom Aufbau | Ja | eingeschränkt | gut |
| GL.iNet Travel Router | Ja | je nach Modell/Tethering | Ja | Ja | sehr gut | sehr gut |
| ASUS RT-AX57 Go | Ja | über Tethering | Ja | Ja | sehr gut | sehr gut |
| TP-Link Travel Router | Ja | modellabhängig | Ja | Ja | modellabhängig | modellabhängig |
Unsere Empfehlung
Wenn du nur dein eigenes Smartphone oder Notebook schützen möchtest, ist die WireGuard-App wahrscheinlich die beste Lösung.
Wenn alle Geräte eines Netzwerks durch denselben VPN laufen sollen und du bereits im FRITZ!-Ökosystem bist, ist eine WireGuard-fähige FRITZ!Box sehr komfortabel.
Wenn du dagegen maximale Flexibilität möchtest – insbesondere für eine Familie – ist ein Travel Router von GL.iNet oder ASUS meist die bessere Wahl.
Damit kannst du beispielsweise:
Kinder → geschütztes VPN-WLAN
und
Eltern → normales WLAN
verwenden.
Der wichtigste Unterschied liegt letztlich nicht darin, ob WireGuard funktioniert.
WireGuard funktioniert bei allen diesen Lösungen.
Entscheidend ist vielmehr:
Wo wird die Sicherheitsregel durchgesetzt und wer kann sie verändern?
Je weiter du die Kontrolle vom Endgerät weg in den Router verlagerst, desto schwieriger wird es für einen normalen Benutzer, den VPN versehentlich oder absichtlich zu umgehen.