So nutzt du eine WireGuard-Konfigurationsdatei

Was in einer .conf-Datei steht, Zeile für Zeile

Jede WireGuard-Konfiguration hat denselben zweiteiligen Aufbau. [Interface] beschreibt dein Ende des Tunnels; [Peer] beschreibt die Maschine, mit der du dich verbindest. Hier eine vollständige Client-Konfiguration, in der die Geheimnisse durch Platzhalter ersetzt sind:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Der [Interface]-Block: deine Seite

• PrivateKey — das ist deine Identität im VPN. Wer ihn hat, kann sich als du ausgeben. Er besteht aus 44 Base64-Zeichen und endet auf =; hat deiner eine andere Länge, wurde die Datei beim Kopieren irgendwo abgeschnitten.
• Address — die IP, die dein Gerät innerhalb des Tunnels hat, nicht deine öffentliche IP. /32 heißt „nur diese eine Adresse“, was für einen Client normal ist.
• DNS — der Resolver, der verwendet wird, solange der Tunnel steht. Ohne ihn fragt dein Gerät weiter den alten Resolver, was verrät, wonach du suchst, und oft auch nichts auf der anderen Seite auflösen kann.
• MTU — optional, aber die nützlichste Zeile, die man kennen sollte. In den meisten Dateien fehlt sie, weil der Standardwert passt; den Fall, in dem er nicht passt, findest du unter Fehlerbehebung.

Der [Peer]-Block: die Seite des Servers

• PublicKey — der öffentliche Schlüssel des Servers. Deiner taucht in deiner eigenen Datei nie auf; den hat der Server.
• Endpoint — wohin die Pakete gehen, im Format host:port. WireGuard nutzt ausschließlich UDP, und 51820 ist der übliche Port, kein vorgeschriebener.
• AllowedIPs — welche Ziele durch den Tunnel laufen. 0.0.0.0/0, ::/0 heißt alles, und genau dafür ist ein Privatsphäre-VPN da. Eine engere Liste — etwa nur das interne Netz deiner Firma — schickt nur das durch den Tunnel und lässt den Rest auf deiner normalen Verbindung. Das nennt man Split Tunnel, und es ist eine bewusste Entscheidung, kein kaputter Voll-Tunnel.
• PersistentKeepalive — schickt alle 25 Sekunden ein kleines Paket, damit das NAT-Gerät zwischen dir und dem Server den Rückweg offen hält. Nötig, sobald du hinter NAT sitzt — und am Handy oder am Heimanschluss ist das immer der Fall.

Windows: den Tunnel importieren

Für Windows gibt es eine offizielle WireGuard-App, und eine Datei dort zu importieren ist schon die ganze Arbeit.

1. Installiere WireGuard von wireguard.com/install.
2. Klicke unten links auf Tunnel hinzufügen; es öffnet sich eine Dateiauswahl, gefiltert auf Konfigurationsdateien (*.zip, *.conf). Wähle deine .conf, und sie erscheint in der Tunnelliste, benannt nach der Datei.
3. Oder füge sie ein. Der Pfeil neben Tunnel hinzufügen bietet Einen leeren Tunnel hinzufügen…, was dir ein Textfeld gibt — praktisch, wenn die Konfiguration als Nachricht statt als Datei kam. Darin ist schon ein frischer privater Schlüssel eingetragen; lösche diese Zeile und füge deine eigene Konfiguration darüber ein.
4. Klicke auf Aktivieren. Der Status wechselt auf Aktiv, und das Fenster beginnt, die übertragenen Bytes zu zählen. Dieser Zähler ist dein schnellster Plausibilitätscheck: Gehen Daten raus und kommt nichts zurück, kommt dein Handshake nicht zustande.

Android und iPhone: QR-Code scannen oder Datei importieren

Am Handy gibt es zwei Wege, und den QR-Code gibt es genau deshalb, weil einen 44-stelligen Schlüssel auf einem Touchscreen zu tippen eine Qual ist.

Android

1. Installiere WireGuard aus dem Play Store und tippe auf die Schaltfläche +.
2. Der Bildschirm WireGuard-Tunnel erstellen bietet Von QR-Code scannen, Aus Datei oder Archiv importieren und das Anlegen von Grund auf. Nimm das, was zu dem passt, was du bekommen hast.
3. Gib dem Tunnel einen Namen, falls du gefragt wirst, und lege dann den Schalter um. Android fragt einmal nach der Erlaubnis, eine VPN-Konfiguration hinzuzufügen — diese Abfrage kommt vom Betriebssystem, nicht von der App.

iPhone und iPad

1. Installiere WireGuard aus dem App Store und tippe auf Tunnel hinzufügen.
2. Unter WireGuard-Tunnel hinzufügen wählst du Aus QR-Code erstellen oder Aus Datei oder Archiv erstellen. Der Scanner-Bildschirm heißt QR-Code scannen; nach einem erfolgreichen Scan wirst du gebeten, den Tunnel zu benennen.
3. Schalte ihn ein und erlaube die VPN-Konfiguration, wenn iOS fragt.

Einen QR-Code aus einer vorhandenen Konfigurationsdatei erzeugen

Einen QR-Code muss dir nicht der Anbieter liefern — er ist nur deine Konfigurationsdatei als Bild, und du kannst ihn mit einem einzigen Befehl selbst erzeugen. Die WireGuard-App schlägt das sogar selbst vor:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

Unter Debian oder Ubuntu bekommst du qrencode mit apt install qrencode, unter macOS mit brew install qrencode.

macOS und Linux

macOS

Installiere WireGuard aus dem Mac App Store. Die Mac-App ist nicht die iPhone-App auf einem größeren Bildschirm: Sie sitzt in der Menüleiste, und ihr Fenster öffnest du über Tunnel verwalten. Klicke auf Tunnel aus Datei importieren (in der Menüleiste gibt es dasselbe als Tunnel aus Datei importieren…), wähle deine .conf, markiere dann den Tunnel und klicke auf Aktiviere. Einen QR-Scanner hat der Mac nicht — QR-Codes sind fürs Handy —, also nimm die Datei selbst oder wähle Leeren Tunnel hinzufügen… und füge die Konfiguration ein.

Wenn du lieber im Terminal arbeitest, bekommst du mit brew install wireguard-tools dieselben wg-quick-Befehle wie unter Linux, die als Nächstes beschrieben sind.

Linux

1. Installiere die Tools. Unter Debian oder Ubuntu: sudo apt install wireguard. Die meisten Distributionen haben ein Paket mit demselben Namen.
2. Lege die Datei dort ab, wo wg-quick sie sucht. Bei diesem Schritt passieren die meisten Fehler, denn der Dateiname wird zum Namen der Schnittstelle:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   Die 600 ist wichtig — die Datei enthält deinen privaten Schlüssel und sollte für andere Benutzer der Maschine nicht lesbar sein. Halte den Namen kurz und einfach; er muss ein gültiger Name für eine Netzwerkschnittstelle sein.
3. Tunnel starten:

   sudo wg-quick up wg0
   sudo wg show

   wg show ist der eine Befehl, den du dir merken solltest. Er zeigt den Peer, den Endpoint, eine Zeile latest handshake und die Übertragungszähler. Ein Handshake-Zeitstempel, der nie erscheint, ist das Erkennungszeichen des Problems aus dem nächsten Abschnitt.
4. Beim Booten starten: sudo systemctl enable --now wg-quick@wg0. Um den Tunnel von Hand zu stoppen: sudo wg-quick down wg0.

Auf dem Router, damit das ganze Haus abgedeckt ist

Liegt der Tunnel auf dem Router, deckt er jedes Gerät dahinter ab, auch die, auf denen gar keine VPN-App läuft — eine Spielkonsole, ein Fernseher, ein smarter Lautsprecher. Ob das geht, hängt ganz von deiner Firmware ab.

Ist dein Router die Box, die dir der Internetanbieter mitgegeben hat, bleiben realistisch zwei Wege: einen Router dahinter zu hängen, den du selbst kontrollierst, oder weiter mit Konfigurationen pro Gerät zu arbeiten. Beides ist keine Niederlage; eine Einrichtung pro Gerät ist oft sogar besser, weil du den Tunnel auf den Geräten auslassen kannst, die ihn nicht brauchen.

Eines solltest du entscheiden, bevor du das ganze Haus durch einen Tunnel schickst: Dann läuft alles hindurch. Banking-Seiten, die ausländische Adressen nicht mögen, Streaming-Dienste, die deine Region prüfen, und alles, was mit Geräten in deinem eigenen Netz spricht, können sich anders verhalten. Hier zahlt sich ein engeres AllowedIPs aus — schick nur durch, was durch muss, und lass den Rest in Ruhe.

Verbunden, aber nichts lädt — und andere echte Probleme

WireGuard ist ungewöhnlich still, wenn etwas schiefgeht, und das ist eine bewusste Designentscheidung — ein nicht authentifiziertes Paket bekommt überhaupt keine Antwort, sodass ein Scanner nicht erkennen kann, ob etwas lauscht. Der Nebeneffekt: Ein falscher Schlüssel, ein falscher Port und ein blockiertes Netz sehen von deiner Seite gleich aus — Stille. Geh vom Symptom aus.

„Handshake did not complete“

Dein Gerät hat ein Initiierungspaket geschickt und nichts zurückbekommen. Prüfe in dieser Reihenfolge:

• Den Endpoint. Richtiger Host, richtiger Port, und der Port ist UDP. Ein Tippfehler hier erzeugt genau dieses Symptom und sonst nichts.
• Ob UDP überhaupt nach draußen kommt. Gäste-WLANs, Hotelnetze, manche Firmennetze und einige Mobilfunkanbieter lassen auf den üblichen Ports nur TCP durch. Funktioniert dieselbe Konfiguration zu Hause und scheitert in einem bestimmten Netz, ist die Konfiguration in Ordnung und das Netz das Problem.
• Ob die Schlüssel richtig herum sind. PublicKey in [Peer] ist der öffentliche Schlüssel des Servers, und der Server muss seinerseits den öffentlichen Schlüssel haben, der zu deinem PrivateKey passt. Eine Konfiguration, die für ein anderes Gerät kopiert wurde, scheitert hier.
• Deine Uhr. Der WireGuard-Handshake enthält einen Zeitstempel und lehnt einen stark abweichenden ab. Selten, aber es kommt bei Geräten vor, die ihre Uhrzeit verloren haben.

Funktioniert der Tunnel von zu Hause, aber nie über eine Mobilfunkverbindung, kann die Ursache bei deinem Anbieter liegen statt bei dir — Carrier-Grade-NAT und ähnliche Konstruktionen verändern, was dich erreichen kann. Der Leitfaden zur Portweiterleitung erklärt, wie du das in ein paar Minuten an deinem eigenen Router erkennst.

Das MTU-Problem, das man einmal verstanden haben sollte

Das ist der klassische Fall „verbunden, aber das Internet ist kaputt“, und das Muster ist unverwechselbar: Ping geht, DNS geht, kleine Seiten gehen, und alles Größere hängt ewig.

Die Ursache ist die Größe. Das Verpacken deines Verkehrs für den Tunnel fügt Header hinzu, sodass ein Paket, das genau in deine normale Verbindung passte, innerhalb von WireGuard nicht mehr passt. Kleine Pakete kommen problemlos durch, große werden verworfen. Normalerweise sagt das Netz dem Absender, dass er kleinere Pakete verwenden soll, aber genau diese Meldung wird häufig gefiltert — statt einer Fehlermeldung wartest du also einfach.

Die Lösung: WireGuard von Anfang an kleinere Pakete verwenden lassen. wg-quick versucht das bereits: Es nimmt die MTU deiner normalen Route und zieht 80 Bytes für den Tunnel-Overhead ab, bei einer gewöhnlichen 1500-Byte-Verbindung kommst du also auf 1420. Ist das immer noch zu groß — in manchen Mobilfunknetzen, bei den meisten Verbindungen, die schon über einen anderen Tunnel laufen —, setze den Wert explizit und geh schrittweise nach unten:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 ist die Untergrenze, die sich zu probieren lohnt, denn das ist die kleinste Paketgröße, die IPv6 von allen verlangt — sie kommt also praktisch über jeden Pfad durch. Sie kostet ein wenig Effizienz und ist weit besser als ein Tunnel, der hängt.

Der Tunnel steht, aber nichts geht hindurch

Prüfe zuerst AllowedIPs. Das ist keine Firewall und keine Berechtigungsliste — es legt fest, welche Ziele überhaupt in den Tunnel geroutet werden. Enthält es nicht 0.0.0.0/0, sollte der Verkehr ins restliche Internet nie durch den Tunnel gehen, und deine Verbindung verhält sich genau wie konfiguriert. Unter Linux zeigt ip route show table all | grep wg0, was tatsächlich geroutet wurde.

Stimmt das Routing und werden nur die Namen nicht aufgelöst, liegt es an der DNS-Zeile — sie fehlt entweder oder ist da, wird aber nicht angewendet, weil resolvconf nicht installiert ist.

Woher die Konfigurationsdatei kommt

Alles oben setzt voraus, dass du eine Datei hast. Es gibt genau zwei Wege, an eine zu kommen.

Den Server selbst betreiben

Du erzeugst ein Schlüsselpaar, installierst WireGuard auf einer Maschine mit öffentlicher Adresse, trägst dein Gerät als Peer ein und schreibst die Client-Konfiguration von Hand. Das ist nicht schwer und wirklich lernenswert. Die Kosten laufen dauerhaft: ein Server, den du bezahlen und aktuell halten musst, und eine manuelle Änderung an beiden Enden, jedes Mal wenn du ein Gerät hinzufügst — denn, wie gesagt, ein Peer ist ein Gerät.

Sie von einem Anbieter bekommen

Die Alternative: Die Datei wird für dich erzeugt, und du lädst sie herunter. Bei HytHost VPN, ab €0.99/Monat, findest du sie hier:

1. Bestelle den Dienst und melde dich im Kundenbereich an, dann öffne deinen VPN-Dienst aus der Liste.
2. Such den Abschnitt WireGuard Configuration. Dort gibt es zwei Schaltflächen — Copy to Clipboard, die den Konfigurationstext in die Zwischenablage kopiert, und Download Configuration, die dir die fertige Datei gibt.
3. Wenn du sie kopiert hast, füge sie in einen einfachen Texteditor ein und speichere sie mit der Endung .conf — wg0.conf ist ein guter Name. Achte darauf, dass dein Editor nicht .txt angehängt hat.
4. Importiere sie mit dem passenden Abschnitt oben für dein Gerät. Am Handy wandelst du sie vorher mit qrencode in einen QR-Code um.

Dieselbe Seite zeigt an, ob der Tunnel gerade mit dem Server verbunden ist — damit ist die Frage „liegt es an mir oder an denen“ geklärt, bevor du anfängst, Einstellungen zu ändern. Eine QR-Code-Schaltfläche gibt es nicht — erzeuge den Code selbst aus der Datei, was auch bedeutet, dass er nirgendwohin gelangt, wo er nicht hin musste.