Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel zwischen deinem Gerät und einem entfernten Server auf. Was darin läuft, kann niemand mitlesen – egal ob im öffentlichen WLAN, im Hotelnetz oder beim Provider. Doch "VPN" ist nicht gleich VPN: Entscheidend ist das darunterliegende Protokoll. Es bestimmt, wie schnell, wie sicher und wie stabil die Verbindung ist. Dieser Artikel vergleicht die drei wichtigsten Protokolle und hilft dir, das passende zu wählen.
Was ein VPN-Protokoll leistet
Ein VPN-Protokoll regelt drei Dinge gleichzeitig: den Aufbau der Verbindung (Handshake und Authentifizierung), die Verschlüsselung der übertragenen Daten und die Kapselung – also das Verpacken deiner normalen Netzwerkpakete in den geschützten Tunnel. Unterschiede zwischen den Protokollen entstehen vor allem dadurch, wie aufwändig diese Schritte sind und welche kryptografischen Verfahren zum Einsatz kommen.
Grundsätzlich unterscheidet man außerdem zwei Einsatzszenarien:
- Remote-Access-VPN: Ein einzelnes Gerät verbindet sich mit einem Server – das klassische "VPN auf dem Laptop", um sicher zu surfen oder ins Firmennetz zu kommen.
- Site-to-Site-VPN: Zwei ganze Netzwerke werden dauerhaft verbunden, etwa zwei Firmenstandorte. Hier kommt häufig IPsec zum Einsatz.
WireGuard: schlank und schnell
WireGuard ist das jüngste der drei Protokolle und hat die VPN-Welt spürbar verändert. Sein größter Trumpf: extreme Schlankheit. Während ältere Lösungen aus zehntausenden Zeilen Code bestehen, kommt WireGuard mit wenigen tausend aus. Weniger Code bedeutet weniger Angriffsfläche und einfachere Überprüfbarkeit.
WireGuard setzt auf moderne, fest definierte Kryptografie (unter anderem ChaCha20 für die Verschlüsselung und Curve25519 für den Schlüsselaustausch). Es gibt keine Auswahl an Verfahren wie bei OpenVPN – das reduziert Fehlkonfigurationen. Die Vorteile:
- Geschwindigkeit: In vielen Tests deutlich schneller als OpenVPN, besonders auf mobilen Geräten und Routern.
- Schneller Verbindungsaufbau: Der Handshake ist minimal, Verbindungen stehen quasi sofort.
- Roaming: Wechselt das Gerät von WLAN zu Mobilfunk, bleibt der Tunnel bestehen – ideal für Smartphones.
- Niedriger Ressourcenverbrauch: Schont Akku und CPU, läuft sogar auf schwacher Hardware flüssig.
Der Nachteil: WireGuard nutzt im Standard feste interne IP-Adressen und ist auf eine Verbindung über einen festen UDP-Port ausgelegt. In sehr restriktiven Netzen, die fast alles blockieren, kann das ein Hindernis sein. Eine praktische Einrichtungsanleitung findest du in unserem Beitrag zu WireGuard VPN einrichten.
OpenVPN: der vielseitige Klassiker
OpenVPN ist seit über zwei Jahrzehnten der De-facto-Standard für quelloffene VPNs und gilt als extrem ausgereift und gut geprüft. Es basiert auf der OpenSSL-Bibliothek und unterstützt eine breite Palette an Verschlüsselungsverfahren und Konfigurationsoptionen.
Seine größte Stärke ist Flexibilität. OpenVPN kann über UDP (schneller) oder TCP (zuverlässiger, schwerer zu blockieren) laufen. Besonders praktisch: Lässt man es über TCP-Port 443 laufen, sieht der Verkehr für Außenstehende aus wie normaler HTTPS-Traffic – das hilft, restriktive Firewalls zu umgehen.
- Bewährt und geprüft: Lange Historie, viele unabhängige Sicherheitsaudits.
- Plattformübergreifend: Clients für praktisch jedes Betriebssystem.
- Tarnfähig: Über Port 443 kaum von HTTPS zu unterscheiden.
- Konfigurierbar: Feinste Anpassung von Verschlüsselung, Routing und Authentifizierung möglich.
Der Preis dieser Flexibilität ist Komplexität: Die Konfiguration ist deutlich umfangreicher als bei WireGuard, und die Geschwindigkeit liegt in der Regel etwas darunter. Wer maximale Kompatibilität und Tarnfähigkeit braucht, ist mit OpenVPN aber bestens bedient.
IKEv2/IPsec: stark auf mobilen Geräten
IPsec (Internet Protocol Security) ist ein Bündel von Protokollen, das die Verschlüsselung direkt auf der Netzwerkebene umsetzt. In der Praxis kombiniert man es meist mit IKEv2 (Internet Key Exchange Version 2) für den Schlüsselaustausch. Diese Kombination ist in viele Betriebssysteme fest integriert – auf iOS, macOS und Windows lässt sie sich oft ohne zusätzliche Software nutzen.
IKEv2/IPsec glänzt besonders bei mobilen Verbindungen. Dank des sogenannten MOBIKE-Mechanismus übersteht der Tunnel Netzwechsel ohne Abbruch – wechselst du vom WLAN ins Mobilfunknetz, läuft die Verbindung nahtlos weiter. Das macht es zu einer beliebten Wahl für Smartphones und Notebooks im Außendienst.
- Native Integration: Auf vielen Plattformen ohne Drittsoftware nutzbar.
- Stabil bei Netzwechseln: MOBIKE hält den Tunnel auch beim Roaming.
- Schneller Wiederaufbau: Nach kurzen Unterbrechungen ist die Verbindung rasch wieder da.
- Verbreitet im Unternehmensumfeld: Bewährt für Site-to-Site-Verbindungen.
Der Nachteil: IPsec nutzt feste Ports (UDP 500 und 4500), die in restriktiven Netzen leichter blockiert werden als getarnter OpenVPN-Verkehr. Außerdem ist die Konfiguration komplexer Setups anspruchsvoll.
Direkter Vergleich
Welches Protokoll für dich das richtige ist, hängt vom Einsatz ab. Als grobe Orientierung:
- Maximale Geschwindigkeit, einfache Einrichtung, eigener Server: WireGuard.
- Restriktive Netze umgehen, maximale Kompatibilität: OpenVPN über TCP/443.
- Mobiles Gerät, häufige Netzwechsel, native Lösung: IKEv2/IPsec.
In Sachen Sicherheit gelten bei korrekter Konfiguration alle drei als robust. WireGuard reduziert durch seine Schlankheit die Fehleranfälligkeit, OpenVPN überzeugt durch jahrzehntelange Prüfung, und IKEv2/IPsec ist ein etablierter Industriestandard.
Worauf du bei einem VPN-Dienst achten solltest
Wenn du keinen eigenen Server betreibst, sondern einen kommerziellen VPN-Anbieter nutzt, ist das Protokoll nur ein Faktor von mehreren. Achte zusätzlich auf:
- No-Logs-Politik: Speichert der Anbieter keine Verbindungsdaten? Idealerweise unabhängig auditiert.
- Gerichtsstand: In welchem Land sitzt der Anbieter und welchen Datenschutzregeln unterliegt er?
- Kill-Switch: Kappt die App die Internetverbindung, falls der Tunnel abbricht, damit keine Daten ungeschützt durchsickern?
- DNS-Leak-Schutz: Werden auch DNS-Anfragen durch den Tunnel geleitet?
- Servernetz: Genug Standorte mit guter Anbindung in deiner Region?
Einen praktischen Test eines konkreten Anbieters findest du in unserem Beitrag zu Mullvad VPN. Wer das Thema lieber selbst in die Hand nimmt, baut sich mit WireGuard auf einem eigenen Server ein vollständig kontrolliertes VPN.
VPN ist kein Allheilmittel
Ein VPN schützt die Verbindung zwischen deinem Gerät und dem VPN-Server. Was danach passiert, läuft normal weiter – die Webseite, die du besuchst, sieht weiterhin Cookies, Logins und Browser-Fingerprints. Ein VPN macht dich also nicht automatisch anonym und ersetzt weder einen Virenschutz noch sorgfältiges Verhalten. Es ist ein Werkzeug für Vertraulichkeit der Übertragung, kein Tarnumhang.
Für ganzheitliche Sicherheit kombinierst du ein VPN am besten mit aktueller Software, verschlüsselten Diensten und starken Zugangsdaten. Passende Helfer dafür findest du in unseren kostenlosen Webtools, etwa dem Passwort-Generator.
Häufige Fragen
Welches VPN-Protokoll ist das schnellste?
In den meisten Messungen liegt WireGuard vorn, vor allem bei hoher Bandbreite und auf mobilen Geräten. IKEv2/IPsec ist ebenfalls schnell, OpenVPN tendenziell etwas langsamer – dafür flexibler und tarnfähiger.
Ist WireGuard sicher, obwohl es so wenig Code hat?
Gerade die geringe Codemenge ist ein Sicherheitsvorteil: weniger Code bedeutet weniger mögliche Schwachstellen und eine bessere Überprüfbarkeit. WireGuard nutzt ausschließlich moderne, geprüfte Kryptografie und wird in vielen Produkten produktiv eingesetzt.
Kann ich mit einem VPN gesperrte Inhalte umgehen?
Technisch kann ein VPN deinen scheinbaren Standort ändern. Ob das im Einzelfall zulässig ist, hängt von den Nutzungsbedingungen des jeweiligen Dienstes und den geltenden Gesetzen ab. Technische Möglichkeit und rechtliche Erlaubnis sind nicht dasselbe.
Brauche ich ein VPN zu Hause hinter meinem Router?
Im eigenen, vertrauenswürdigen Heimnetz ist der Schutzbedarf geringer. Sinnvoll wird ein VPN vor allem in fremden Netzen (öffentliches WLAN) oder wenn du gezielt deinen Datenverkehr vor dem Provider verbergen möchtest. Umgekehrt nützlich: ein VPN zum eigenen Heimnetz, um von unterwegs sicher auf eigene Geräte zuzugreifen.
Funktioniert ein VPN auf dem Smartphone genauso gut?
Ja, sogar besonders gut. WireGuard und IKEv2/IPsec sind beide für mobile Geräte optimiert und überstehen Netzwechsel zwischen WLAN und Mobilfunk ohne Verbindungsabbruch.