WireGuard vs. OpenVPN: Geschwindigkeit, Sicherheit und Datenschutz im Vergleich

Für den Alltag ist WireGuard die richtige Wahl: Der Tunnel steht nach einem Round Trip, der Client verbraucht wenig Akku, und der gesamte Code umfasst nur etwa 4.000 Zeilen. Halten Sie zusätzlich ein OpenVPN-Profil bereit für Netzwerke, die UDP filtern, denn OpenVPN läuft auch über TCP und sogar über Port 443. Keines der beiden Protokolle versteckt sich von sich aus vor Deep Packet Inspection; diese Aufgabe übernimmt eine zusätzliche Verschleierungsschicht.

WireGuard und OpenVPN in einer Tabelle

Warum WireGuard schneller verbindet und weniger Akku verbraucht

WireGuard sitzt im Linux-Kernel, sodass bei der Paketverarbeitung die Wechsel zwischen Kernel und Anwendung entfallen, die ein Programm im User Space für jeden Datenblock machen muss. Sein auf Noise basierender Handshake ist nach einem Round Trip abgeschlossen, ohne dass etwas ausgehandelt werden muss. Smartphones merken das am meisten: Beim Roaming bleibt der Tunnel beim Wechsel von WLAN zu mobilen Daten bestehen, ohne neue Anmeldung.

OpenVPN 2.6 hält mit Data Channel Offload dagegen: Läuft DCO auf beiden Seiten, verlagert sich die Verschlüsselung in den Kernel, und der Leistungsabstand verringert sich deutlich. Die langsamste Konstellation ist OpenVPN über TCP, wo ein verlorenes Paket die äußere Verbindung und zugleich jede innere blockiert.

Codeumfang und Kryptografie: Was ist sicherer?

Beide gelten als sicher, aber sie versagen auf unterschiedliche Weise. WireGuard liefert genau einen festen Satz von Primitiven, über die nichts ausgehandelt werden muss, sodass nichts mitten in der Verbindung auf ein schwächeres Verfahren heruntergestuft werden kann und ein einzelner Prüfer die gesamte Implementierung lesen kann; das Projekt listet seine Kompromisse, von fehlendem TCP-Modus bis zur Verschleierung, in seinen bekannten Einschränkungen. Die Sicherheit von OpenVPN hängt davon ab, wie der Anbieter OpenSSL und TLS konfiguriert hat: Ein sorgfältig eingerichteter AES-256-GCM-Server hält stand, ein nachlässig konfigurierter nicht, und Kunden erfahren selten, welche Variante sie erhalten haben. Auch die Authentifizierung unterscheidet sich: WireGuard nutzt ausschließlich öffentliche Schlüssel, während OpenVPN Zertifikate, einen Benutzernamen und ein Passwort oder beides akzeptiert. Für Anforderungen an die Post-Quanten-Sicherheit bietet WireGuard einen optionalen Pre-Shared Key, der eine zweite Geheimhaltungsebene ergänzt.

UDP, TCP und Ports in restriktiven Netzwerken

WireGuard spricht absichtlich nur UDP: Das Projekt verweigert sich der Verschachtelung von TCP in TCP, weil das schlecht funktioniert. Eine Hotel- oder Firmen-Firewall, die UDP verwirft, stoppt es daher vollständig. OpenVPN kommt mit seinem TCP-Modus darüber hinweg, und TCP 443 passiert Firewalls, die nur Webverkehr zulassen. Gegen Zensur ist das Port-Spiel sinnlos, weil DPI den Handshake beider Protokolle auf jedem Port erkennt. Die Lösung muss vom Anbieter kommen, etwa WireGuard, verpackt in TLS – der Ansatz, den Proton VPN in seinem Stealth-Protokoll verwendet.

Was WireGuard über Ihre IP-Adresse speichert

Ein WireGuard-Server in der Standardkonfiguration verknüpft jeden Schlüssel mit einer festen internen Tunnel-Adresse und hält im Speicher die letzte externe IP-Adresse vor, von der sich dieser Schlüssel verbunden hat, bis der Peer entfernt wird oder der Server neu startet. Anbieter umgehen das mit dynamischer Adresszuweisung, doppeltem NAT oder dem Löschen der Peers nach jeder Sitzung. OpenVPN verhält sich eher wie DHCP: Jede Verbindung erhält eine Tunnel-Adresse aus einem Pool, sodass sich weniger Rückstände ansammeln.

Wie viele VPN-Dienste welches Protokoll anbieten

Von den 543 erfassten Diensten für Privatkunden listen 125 beide Protokolle, 67 nur WireGuard und 117 nur OpenVPN. Viele Dienste geben überhaupt kein Protokoll an: 248 nennen WireGuard nicht und 213 nennen OpenVPN nicht – dieses Schweigen sagt nur aus, dass der Dienst es nicht ausweist. Wenn ein Dienst seine schnellste Option nennt, verweisen 13 auf WireGuard oder ein auf WireGuard basierendes Protokoll wie NordLynx, und genau einer nennt OpenVPN. Das Ranking der Dienste mit beiden Protokollen deckt diese Listen vollständig ab. Die Zahlen stammen ausschließlich aus veröffentlichten Richtlinien und Audits; die Website führt keine Geschwindigkeits- oder Blockiertests durch.

WireGuard vs. OpenVPN FAQ

Ist OpenVPN veraltet?

Nein. Es bleibt die Rückfalloption für Netzwerke mit blockiertem UDP und ältere Geräte, und DCO hält es wettbewerbsfähig.

Was ist sicherer?

Beide, wenn sie korrekt konfiguriert sind. WireGuard lässt schlicht weniger Entscheidungen zu, die schiefgehen können.

Was ist besser für Gaming?

WireGuard, wegen des geringeren Overheads und der schnellen Wiederverbindung nach einem Netzwerkwechsel.

Kann WireGuard über TCP laufen?

Nicht nativ. TCP-Transport erfordert zusätzliche Tools und kostet Durchsatz.

Welches Protokoll als Standard?

Verwenden Sie WireGuard zu Hause, unterwegs und in offenen Netzwerken; OpenVPN über TCP 443 als Rückfalloption für Netzwerke, die UDP blockieren. Wenn Zensur beide innerhalb von Sekunden abschaltet, suchen Sie den verschleierten Modus des Anbieters, statt Ports durchzuprobieren. Das OpenVPN-2.6-Handbuch behandelt die Details auf der Serverseite, falls Sie einen eigenen Server betreiben. Prüfen Sie außerdem die Datenschutzseite des Anbieters zu WireGuard-Endpunkten, denn das Protokoll in der Standardkonfiguration speichert mehr als OpenVPN.