WireGuard vs OpenVPN: Welches VPN-Protokoll solltest du nutzen?

WireGuard vs OpenVPN lässt sich kurz beantworten: Nimm fast immer WireGuard oder den auf WireGuard basierenden Standard deines VPN-Anbieters und wechsle nur zu OpenVPN über TCP oder zu einem Obfuskationsmodus, wenn ein Netzwerk dich blockiert. WireGuard ist neuer, viel kleiner und laut den veröffentlichten Tests seines Autors deutlich schneller. OpenVPN ist älter, größer und langsamer, schlüpft aber sehr gut durch restriktive Netzwerke, weil es wie normaler verschlüsselter Webverkehr aussehen kann.

Diese kurze Antwort verbirgt einige nützliche Details. Mehrere große Anbieter bieten nicht mehr nur diese beiden zur Wahl an: ExpressVPN setzt auf sein eigenes Lightway-Protokoll, NordVPN verpackt WireGuard in etwas, das es NordLynx nennt, und Mullvad hat OpenVPN 2026 komplett gestrichen. Dieser Ratgeber erklärt, was ein VPN-Protokoll eigentlich ist, wie sich die beiden wichtigsten unterscheiden, was es mit den Protokollen mit Markennamen auf sich hat und welche Einstellung du in deiner App für welche Situation wählst.

Was ist ein VPN-Protokoll?

Ein VPN-Protokoll ist das Regelwerk, mit dem dein Gerät und der VPN-Server Schlüssel aushandeln, deinen Datenverkehr verschlüsseln und ihn in Pakete verpacken, die das Internet durchqueren können. Die VPN-App ist das Lenkrad, das Protokoll der Motor.

Jedes Protokoll muss dieselben drei Aufgaben erfüllen. Es muss deinem Gerät beweisen, dass es mit dem echten Server spricht und nicht mit einem Betrüger (Authentifizierung). Es muss sich auf frische Verschlüsselungsschlüssel einigen, ohne dass jemand, der mithört, sie herleiten kann (Schlüsselaustausch). Und es muss jedes Paket verschlüsseln und prüfen, dass es unterwegs nicht manipuliert wurde (Transport). Wie ein Protokoll diese Aufgaben löst, bestimmt, wie schnell es ist, wie leicht es sich prüfen lässt und wie leicht ein Netzwerk es erkennen und blockieren kann.

Bei einem Consumer-VPN stehen praktisch WireGuard, OpenVPN, IKEv2 und die hauseigenen Varianten der Anbieter zur Auswahl. Wenn du das größere Bild davon willst, was ein VPN verbirgt und was nicht, beginne mit was ein VPN ist und wie es funktioniert.

Was ist WireGuard?

WireGuard ist ein VPN-Protokoll von Jason Donenfeld, das klein, schnell und leicht zu prüfen sein soll. Es wurde im März 2020 mit Version 5.6 Teil des Linux-Kernels und läuft heute auf allen großen Plattformen.

Das Whitepaper¹ des Projekts (eine Fassung davon erschien 2017 auf der Sicherheitskonferenz NDSS) besagt, dass die Linux-Implementierung in „weniger als 4.000 Zeilen Code (ohne kryptografische Primitive)“ geschrieben ist, sodass eine Prüfung auf Sicherheitslücken für eine einzelne Person realistisch ist. Die Ankündigung von WireGuard 1.0.0³ markierte den Einzug in den Mainline-Linux-Kernel 5.6, der Ende März 2020 erschien.

WireGuard bietet bewusst keine Auswahl an Chiffren. Seine Startseite² nennt einen festen Satz: das Noise-Protocol-Framework, Curve25519 für den Schlüsselaustausch, ChaCha20 und Poly1305 für Verschlüsselung und Authentifizierung, BLAKE2 für das Hashing sowie SipHash24 und HKDF. Wird eine dieser Komponenten jemals geknackt, wechseln alle auf eine neue Version, statt eine schwächere Option auszuhandeln. Das beseitigt eine ganze Klasse von Downgrade-Angriffen, unter denen ältere Protokolle gelitten haben.

Es nutzt außerdem eine einfache Idee, die das Projekt „Cryptokey Routing“ nennt: Der öffentliche Schlüssel jedes Peers ist an die Tunnel-IP-Adressen gebunden, die er verwenden darf. Für ausgehende Pakete funktioniert diese Liste wie eine Routingtabelle, für eingehende wie eine Zugriffskontrollliste. Diese Einfachheit ist ein großer Grund dafür, dass es schnell und leicht zu konfigurieren ist, und zugleich die Quelle seines einzigen echten Datenschutzproblems bei kommerziellen VPNs, wie unten beschrieben.

Was ist OpenVPN?

OpenVPN ist das Open-Source-VPN-Programm, das fast zwei Jahrzehnte lang die meisten VPNs für Endkunden antrieb. Es wurde 2001 erstmals veröffentlicht, stammt von James Yonan und nutzt über die OpenSSL-Bibliothek das TLS-Protokoll (dieselbe Verschlüsselungsfamilie, die HTTPS-Websites absichert).

Laut Wikipedias Zusammenfassung des Projekts⁴ ist OpenVPN freie Software unter der GPLv2 (mit kommerziellen Lizenzen), läuft im User Space statt im Betriebssystemkernel und kann Datenverkehr über UDP oder TCP übertragen; Port 1194 ist der von der IANA zugewiesene Port. Die How-to-Anleitung⁵ des Projekts beschreibt es als Umsetzung einer sicheren Netzwerkerweiterung „mit dem Industriestandard-Protokoll SSL/TLS“, wobei Clients sich „über einen einzelnen TCP- oder UDP-Port“ verbinden.

Seine Stärken sind Reife und Flexibilität. Es unterstützt viele Verschlüsselungsverfahren und Authentifizierungsmethoden, wurde über Jahre von Forschern auseinandergenommen und kann über TCP auf jedem beliebigen Port laufen, was wichtig ist, wenn ein Netzwerk nur Webverkehr nach außen lässt. Seine Schwächen sind die Kehrseite: eine viel größere Codebasis als bei WireGuard, mehr Konfigurationsoptionen, die man falsch einstellen kann, und der Mehraufwand durch den Betrieb im User Space.

Ist WireGuard schneller als OpenVPN?

Ja. Im veröffentlichten Benchmark von WireGuards Autor war es auf derselben Hardware etwa viermal so schnell wie OpenVPN, bei geringerer Latenz. Sieh die genauen Zahlen als Laborergebnis des Protokollentwicklers und nicht als Vorhersage dafür, was dein VPN leistet.

Der Benchmark im Whitepaper¹ ließ iperf3 zwischen zwei Laptops (einem Intel Core i7-3820QM und einem Core i7-5200U) über Gigabit-Ethernet laufen, gemittelt über dreißig Minuten. WireGuard schaffte 1.011 Megabit pro Sekunde; zwei IPsec-Konfigurationen kamen auf 881 und 825; OpenVPN mit AES-256 und HMAC-SHA2-256 über UDP kam auf 258. Die Ping-Zeiten folgten derselben Reihenfolge: 0,403 Millisekunden bei WireGuard gegenüber 1,541 bei OpenVPN. Das Papier vermerkt, dass die CPU bei den Tests mit OpenVPN und IPsec bei 100 % lag, bei WireGuard aber nicht, was es so deutete, dass WireGuard die Gigabit-Leitung auslastet.

Das Papier führt den Unterschied auf das Design zurück: OpenVPN ist eine Anwendung im User-Space, daher werden Pakete mehrfach zwischen Kernel und Programm kopiert, was Latenz und CPU-Last erhöht. WireGuard läuft unter Linux direkt im Kernel.

Bei einem echten VPN-Dienst hängt deine Geschwindigkeit weit stärker von der Entfernung zum Server, der Auslastung dieses Servers, deiner eigenen Verbindung und deinem Gerät ab als vom Protokoll allein. Wir haben keine Geschwindigkeitstests durchgeführt und veröffentlichen keine Geschwindigkeitswerte. Was der Benchmark dir aber zeigt: WireGuard lässt mehr Spielraum, was sich vor allem bei schnellen Heimanschlüssen und auf Smartphones bemerkbar macht, wo weniger CPU-Last am meisten zählt.

Ist WireGuard so sicher wie OpenVPN?

Beide gelten bei korrekter Konfiguration als sicher. Bei WireGuard sprechen moderne, festgelegte Kryptografie und eine so kleine Codebasis, dass man sie prüfen kann, für die Sicherheit; bei OpenVPN sind es der langjährige Einsatz und viele konfigurierbare, gut untersuchte Optionen.

Der Unterschied liegt vor allem darin, wie viel schiefgehen kann. OpenVPN überlässt dem Anbieter die Wahl von Verschlüsselungsverfahren, TLS-Versionen, Authentifizierungsschemata und Dutzenden weiteren Einstellungen, die Sicherheit hängt also davon ab, dass der Anbieter gut wählt. WireGuard nimmt diese Entscheidungen weg. Es gibt kein schwaches Legacy-Verfahren, auf das zurückgegriffen werden könnte, weil es überhaupt keine Aushandlung von Verschlüsselungsverfahren gibt.

Wenn du eine zweite Meinung zum Prinzip möchtest: Die US-amerikanische National Security Agency und die CISA haben in ihrer Anleitung zur Auswahl und Absicherung von VPNs⁷ für Organisationen von 2021 Käufern eher standardbasierte als proprietäre Produkte empfohlen. Diese Anleitung richtet sich an VPNs für den Fernzugriff in Unternehmen, nicht an Verbraucherdienste, aber der Kerngedanke gilt auch hier: Einem gut verstandenen, breit geprüften Protokoll lässt sich leichter vertrauen als einem geheimen. Sowohl WireGuard als auch OpenVPN sind vollständig Open Source.

Hat WireGuard ein Datenschutzproblem?

Reines WireGuard braucht auf dem Server eine feste Tabelle, die den Schlüssel jedes Nutzers mit einer Tunnel-IP-Adresse verknüpft, und das will ein No-Logs-VPN nicht herumliegen haben. Kommerzielle Anbieter, die WireGuard nutzen, ergänzen eine eigene Schicht, um diese Verknüpfung nicht zu speichern.

NordVPN erklärt das Problem auf seiner NordLynx-Seite⁸ deutlich: Die ursprüngliche Architektur von WireGuard „erforderte, dass Server eine statische IP-Tabelle speichern, die Nutzer mit ihren internen IP-Adressen verbindet“. Die Lösung, NordLynx, ist ein „Double-NAT-System“. Eine Schnittstelle gibt allen Nutzern auf einem Server dieselbe lokale IP-Adresse; eine zweite weist für jede Tunnelsitzung eine eindeutige Adresse zu, und diese Zuweisung „besteht nur, solange die Sitzung aktiv ist“, wobei die Authentifizierung über eine separate Datenbank läuft. NordVPN sagt, dass dadurch keine identifizierbaren Daten auf dem VPN-Server gespeichert werden; das ist die eigene Beschreibung des Unternehmens, die seine Prüfberichte zur No-Logs-Zusage untermauern sollen (siehe unseren NordVPN-Test).

Andere Anbieter haben ihre eigenen Versionen derselben Lösung. Wenn du WireGuard selbst mit einem Heimserver betreibst, spielt das alles keine Rolle: Du bist der einzige Nutzer und kontrollierst die Tabelle.

Und was ist mit IKEv2?

IKEv2 ist der Schlüsselaustausch-Teil von IPsec, einer älteren, standardisierten Protokollsuite, die in die meisten Betriebssysteme integriert ist; deshalb bieten manche Apps es noch an, vor allem auf iPhones und Macs.

Die aktuelle Spezifikation ist RFC 7296⁶, veröffentlicht im Oktober 2014. Sie beschreibt IKEv2 als Bestandteil von IPsec, der die gegenseitige Authentifizierung übernimmt und die Sicherheitsassoziationen einrichtet, die den Datenverkehr schützen. Im oben genannten WireGuard-Benchmark lagen die beiden IPsec-Konfigurationen zwischen WireGuard und OpenVPN. IKEv2 ist auf Apple-Geräten ein brauchbarer Ersatz, nutzt aber feste Ports, die Netzwerke leicht sperren können, und die meisten Anbieter setzen inzwischen standardmäßig auf WireGuard.

Was sind NordLynx, Lightway, Stealth und die anderen Protokolle mit Markennamen?

Die meisten sind entweder WireGuard mit zusätzlicher Datenschutzschicht oder ein eigenes Protokoll des Anbieters, das auf Geschwindigkeit oder das Umgehen von VPN-Sperren ausgelegt ist. Hier siehst du, was die wichtigsten Anbieter laut ihrer eigenen Dokumentation tatsächlich einsetzen.

Quellen für die Tabelle: NordVPN Help Center⁹, ExpressVPN¹¹, Proton VPN¹³, Surfshark Help Center¹⁶ und Surfsharks Dausos-Ankündigung¹⁷, Mullvad¹⁴ und dessen Beitrag zur Obfuskation¹⁵ sowie IVPN¹⁸.

• NordLynx ist WireGuard plus die oben beschriebene Double-NAT-Schicht von NordVPN. NordVPN gibt auf der gleichen Seite⁸ an, 2025 eine Post-Quanten-Verschlüsselung zu NordLynx hinzugefügt zu haben.
• Lightway ist das eigene Protokoll von ExpressVPN, aufgebaut auf der Kryptografiebibliothek wolfSSL. ExpressVPN hat es in Rust neu geschrieben; laut seinem Beitrag vom Februar 2025¹⁰ haben Praetorian (September 2024) und Cure53 (Oktober 2024) den neuen Code geprüft, mit zwei Problemen geringen Risikos von Praetorian und fünf Punkten von Cure53, keines als kritisch eingestuft, nach Korrekturen im Dezember 2024 erneut getestet. Da ExpressVPN kein WireGuard anbietet, nutzt du dort Lightway, wenn es auf Geschwindigkeit ankommt.
• Stealth ist das Protokoll von Proton VPN für zensierte Netzwerke. Protons Ankündigung vom Oktober 2022¹² beschreibt es als „verschleiertes TLS-Tunneling über TCP“, das „die meisten Firewalls und VPN-Sperrmethoden“ umgehen soll.
• NordWhisper ist das Gegenstück von NordVPN für Netzwerke, die VPNs blockieren, aufgeführt auf der Hilfeseite zu den Protokollen⁹.
• Dausos ist das eigene Protokoll von Surfshark, im April 2026 eingeführt¹⁷ und bisher nur in der macOS-App-Store-App verfügbar.

Warum hat Mullvad OpenVPN abgeschafft?

Mullvad hat sich entschieden, nur ein einziges, modernes Protokoll zu betreiben. Der Anbieter kündigte den Plan im November 2024 an, nahm OpenVPN Ende 2025 aus seinen Apps und legte den 15. Januar 2026 für die Abschaltung seiner letzten OpenVPN-Server fest, sodass nur WireGuard übrig bleibt.

Der Beitrag vom Dezember 2025¹⁴ erklärt die Entfernung aus der App. Damit Nutzer in blockierten Netzwerken auch ohne OpenVPN verbunden bleiben, setzt Mullvad auf Verschleierung rund um WireGuard, darunter Shadowsocks, UDP-over-TCP, QUIC und einen Modus namens Lightweight WireGuard Obfuscation, den das Unternehmen im November 2025¹⁵ eingeführt hat. Wenn du OpenVPN für einen Router oder ein altes Gerät brauchst, ist Mullvad keine Option mehr; Alternativen, die es noch unterstützen, findest du in unserem Vergleich Mullvad vs Proton VPN.

WireGuard vs OpenVPN auf einen Blick

Welches VPN-Protokoll sollte ich verwenden?

Lass deine App auf der automatischen Einstellung oder dem auf WireGuard basierenden Standard. Ändere sie nur, um ein konkretes Problem zu beheben.

• Alltag, Streaming, Gaming, Smartphones: WireGuard oder die Variante deines Anbieters (NordLynx bei NordVPN, Lightway bei ExpressVPN). Schnellere Verbindungen und weniger Akkuverbrauch.
• Das VPN verbindet sich im Hotel-, Schul- oder Büro-WLAN nicht: Probiere OpenVPN über TCP oder den Verschleierungsmodus des Anbieters (Proton Stealth, NordWhisper, Mullvads UDP-over-TCP oder Shadowsocks). Diese wirken eher wie gewöhnlicher Webverkehr.
• Reisen in Länder, die VPNs einschränken: Ein Verschleierungsmodus ist genau dafür gebaut, aber informiere dich vorher über die Gesetzeslage an deinem Reiseziel: Manche Länder schränken VPNs ein, und nichts hier ist Rechtsberatung.
• Router oder altes Gerät: OpenVPN wird auf Routern und älterer Firmware am breitesten unterstützt. Prüfe, ob dein Anbieter es noch anbietet.
• Die Verbindung bricht ab, wenn du zwischen WLAN und Mobilfunk wechselst: Bleib bei WireGuard, das laut Whitepaper¹ Peers erlaubt, „frei zwischen verschiedenen externen IPs zu roamen“; IKEv2 ist die ältere Alternative auf Apple-Geräten.

Die Protokollwahl ist der leichte Teil. Wichtiger ist die Frage, welches Unternehmen die Server betreibt. Lies dazu wie du die No-Logs-Zusage eines VPNs prüfst und vergleiche dann die Anbieter in unseren Duellen, zum Beispiel NordVPN vs ExpressVPN (NordLynx gegen Lightway) und Proton VPN vs NordVPN.