WireGuard vs. OpenVPN: Was selbst hosten?

Sie wollen ein Loch in Ihr Heimnetzwerk öffnen, um vom Smartphone aus an Ihr NAS, Jellyfin oder Home Assistant zu kommen – und der Setup-Bildschirm fragt nach dem Protokoll. WireGuard oder OpenVPN? Entscheiden Sie sich falsch, reißen Sie am nächsten Wochenende die Konfiguration wieder ein und generieren neue Schlüssel. Die gute Nachricht: Für die meisten Selbsthoster ist die Antwort klar, sobald Sie die eine Frage kennen, die wirklich entscheidet – ob Ihre Netzwerke die schnelle Option überhaupt durchlassen.

Ich betreibe beide Protokolle in meinem Proxmox-Homelab, deshalb geht es hier darum, was jedes davon im Aufbau und im Alltag wirklich kostet – nicht um ein Marketing-Datenblatt.

TL;DR

WireGuard ist schneller, einfacher und schont den Akku Ihres Smartphones – die Standardwahl für die meisten Heim-Setups.
OpenVPN gewinnt bei der Verbindung aus restriktiven Netzwerken: Es kann über TCP-Port 443 laufen und wie normaler HTTPS-Verkehr aussehen.
Der klassische Satz „WireGuard ist 3–5× schneller" ist inzwischen veraltet: OpenVPN DCO verlagert den Datenpfad in den Kernel und schließt den Geschwindigkeitsabstand größtenteils.
Der gesamte Code von WireGuard ist winzig (~4.000 Zeilen), was ihn deutlich leichter zu auditieren macht als den weitläufigen Code von OpenVPN.
Pragmatischer Weg: WireGuard als Standard betreiben, eine OpenVPN/TCP-443-Rückfalllösung für feindselige Netzwerke bereithalten.

KEY-STAT: ~4.000 Zeilen — Der komplette Code von WireGuard – gegenüber mehreren Hunderttausend bei OpenVPN, weshalb Ersteres so viel leichter zu prüfen ist

Sie müssen sich entscheiden, bevor Sie irgendetwas konfigurieren

Beide Protokolle erledigen im Kern dieselbe Aufgabe: Sie bauen einen verschlüsselten Tunnel von Ihrem Gerät zu Ihrem Heimnetzwerk auf, damit Sie private Dienste sicher erreichen. Der Unterschied liegt darin, wie sie dorthin kommen – und das bestimmt Ihre Geschwindigkeit, Ihre Einrichtungszeit und ob der Tunnel überhaupt aus einem abgeriegelten Café oder Hotel-WLAN heraus verbindet.

Der 30-Sekunden-Unterschied

WireGuard ist modern und schlank. Es läuft im Linux-Kernel, spricht ausschließlich UDP, nutzt die ChaCha20-Chiffre, und seine Konfiguration besteht kaum aus mehr als einem Schlüsselpaar und einer Liste von Peers.

OpenVPN ist der erfahrene Veteran. Es ist unendlich flexibel, läuft über UDP oder TCP (einschließlich TCP-Port 443, sodass es sich unter normalen Web-Verkehr mischt) und hat jahrzehntelange Client-Unterstützung hinter sich – auf Kosten einer deutlich größeren Konfigurationsfläche.

Der eigentliche Kompromiss lautet: Geschwindigkeit und Einfachheit gegen Flexibilität und Firewall-Umgehung.

Geschwindigkeit: Warum WireGuard gewinnt – und warum sich der Abstand schließt

WireGuard ist aus konkreten Gründen schnell. Es läuft im Kernel-Space, sodass Pakete nicht die Speicherkopier-Steuer einer Userspace-VPN zahlen müssen. Seine ChaCha20-Chiffre ist auch auf Smartphones ohne AES-Hardwarebeschleunigung flott. Und schlicht weniger Code fasst jedes Paket an. Auf derselben Hardware lieferte WireGuard historisch gesehen etwa das 2- bis 5-Fache des Durchsatzes von OpenVPN und sättigte oft eine Gigabit-Leitung, an der OpenVPN CPU-bedingt ins Stocken geriet.

Aber 2026 änderte die Geschichte. OpenVPN Data Channel Offload (DCO) verlagert auch den Datenkanal von OpenVPN in den Kernel und ist inzwischen mainline im Linux-Kernel (6.16), sobald Sie OpenVPN 2.6 oder neuer mit modernen AEAD-Chiffren einsetzen. Mit aktiviertem DCO schließt sich die reine Durchsatzlücke weitgehend – „WireGuard ist 3× schneller" ist also keine sichere Annahme mehr.

Warnung

Vertrauen Sie keiner konkreten Mbit/s-Zahl aus einer beliebigen Listicle. Der reale Durchsatz hängt von Ihrer CPU, Ihrer MTU und davon ab, ob DCO aktiviert ist. Wenn Ihnen Geschwindigkeit wichtig ist, messen Sie sie auf Ihrer eigenen Hardware.

Die Entscheidungstabelle: WireGuard vs OpenVPN

So vergleichen sich die beiden, wie ich sie im echten Betrieb erlebe:

Dimension	WireGuard	OpenVPN
Roher Durchsatz	Sehr hoch, sättigt Gigabit	Niedriger – außer DCO ist aktiviert
CPU-Overhead	Sehr niedrig	Höher; mit DCO deutlich besser
Einrichtungsaufwand	Minimal (Schlüsselpaar + Peers)	Höher (Zertifikate / PKI)
Transport	Nur UDP	UDP oder TCP, inklusive Port 443
Firewall-/Zensur-Umgehung	Schwächer – fester UDP-Port	Stärker – TCP/443 sieht wie HTTPS aus
Mobiles Roaming & Akku	Exzellent – lautloses Roaming	Schwerfälliger, mehr Reconnects
Codebasis / Auditierbarkeit	~4.000 Zeilen	Sehr groß
Am besten für	Schnellen Zugriff auf Ihr eigenes LAN	Restriktive oder zensierte Netzwerke

Liest man die Tabelle, ist die Aufteilung klar: WireGuard optimiert auf Geschwindigkeit und Einfachheit in freundlichen Netzwerken; OpenVPN optimiert darauf, durch unfreundliche hindurchzukommen.

Setup in der Praxis: Was Self-Hosting bei beiden bedeutet

Hier zeigt sich der Unterschied am deutlichsten. Bei WireGuard heißt Einrichtung: pro Gerät ein Schlüsselpaar erzeugen, jeden Peer mit seinem erlaubten IP-Bereich eintragen und einen einzigen UDP-Port öffnen – eine Sache von Minuten. Helfer wie `wg-easy` oder ein Overlay wie Tailscale oder Headscale machen es sogar noch einfacher.

OpenVPN verlangt mehr: eine kleine Zertifizierungsstelle / PKI, getrennte Server- und Client-Konfigurationen und Extras wie TLS-Auth. Es ist gut erprobt – zahlreiche Docker-Images skripten den Vorgang für Sie –, aber es gibt schlicht mehr bewegliche Teile, die Sie richtig einstellen müssen.

So sieht eine WireGuard-Peer-Konfiguration aus

Die Client-Seite besteht im Kern aus zwei Blöcken. Der Interface-Block enthält den privaten Schlüssel Ihres Geräts, die Tunnel-Adresse (etwa `10.0.0.2/32`) und den DNS-Server (`10.0.0.1`). Der Peer-Block enthält den öffentlichen Schlüssel des Servers, den Endpunkt (zum Beispiel `vpn.example.com:51820`), die erlaubten IP-Bereiche (`10.0.0.0/24`) und einen `PersistentKeepalive`-Wert von 25 Sekunden, damit die Verbindung hinter NAT lebendig bleibt.

Das ist bereits die gesamte Client-Seite. Wo Sie den Endpunkt betreiben, ist selbst schon eine Homelab-Entscheidung – unser Proxmox-Homelab-Guide erklärt, wie Sie die VM oder den Container aufsetzen, der ihn hostet. Und wenn Ihr eigentliches Ziel ist, nur einen einzelnen Webdienst statt Ihres gesamten LANs freizugeben, ist ein Reverse Proxy die Alternative, die Sie gegen eine vollständige VPN abwägen sollten.

Tipp

Starten Sie mit WireGuard und greifen Sie nur dann zu OpenVPN, wenn ein Netzwerk, das Sie tatsächlich nutzen, es blockiert. Die meisten Menschen stoßen nie an diese Grenze – und beide parallel zu betreiben lässt sich später leicht ergänzen.

Welches sollten Sie selbst hosten?

Es gibt keinen universellen Gewinner – nur einen, der zu Ihrer Situation passt.

Wählen Sie WireGuard, wenn…

Sie den schnellsten, einfachsten, dauerhaft verbundenen Tunnel zu Ihrem eigenen Netzwerk von Geräten wollen, denen Sie vertrauen, Ihnen der Smartphone-Akku und nahtloses Roaming wichtig sind, und die Netzwerke, die Sie nutzen, kein beliebiges UDP blockieren. Für das typische Homelab ist das die richtige Standardwahl.

Wählen Sie OpenVPN, wenn…

Sie regelmäßig aus restriktiven Netzwerken verbinden – Firma, Hotel oder zensiert –, wo nur TCP-Port 443 zuverlässig durchkommt, Sie breite Legacy-Client-Unterstützung brauchen, oder Sie maximale Konfigurationsflexibilität wollen. Mit DCO auf OpenVPN 2.6+ opfern Sie dafür nicht mehr viel Geschwindigkeit.

Eine VPN ist natürlich nur die halbe Miete für Privatsphäre – der Browser und die Konten am anderen Ende zählen genauso, das Terrain, das unser Guide zu Browser-Privatsphäre abdeckt. Wählen Sie den Tunnel, der zu Ihren Netzwerken passt, und Sie richten ihn einmal ein und vergessen ihn.

Häufige Fragen

Ist WireGuard schneller als OpenVPN?

Historisch ja – oft das 2- bis 5-Fache des Durchsatzes auf derselben Hardware. Aber mit dem Data Channel Offload (DCO) von OpenVPN, inzwischen mainline im Linux-Kernel, schließt sich der Abstand größtenteils, sobald Sie OpenVPN 2.6+ mit AEAD-Chiffren einsetzen.

Ist WireGuard weniger sicher, weil es einfacher ist?

Nein. Sein kleiner (~4.000-Zeilen-) Code ist ein Sicherheitsvorteil – es gibt deutlich weniger zu auditieren und weniger Stellen, an denen sich Fehler verstecken können. Beide Protokolle sind stark, wenn sie korrekt konfiguriert sind.

Kann OpenVPN jetzt mit der Geschwindigkeit von WireGuard mithalten?

Nahezu, mit aktiviertem DCO auf OpenVPN 2.6 oder neuer. DCO verlagert den Datenkanal in den Kernel-Space und entfernt den größten Teil des CPU-Overheads, der klassisches OpenVPN langsamer machte.

Welches Protokoll ist besser, um durch eine Firewall zu kommen?

OpenVPN. Es kann über TCP-Port 443 laufen, sodass es wie normaler HTTPS-Verkehr aussieht und durch Netzwerke schlüpft, die VPN-artiges UDP blockieren. Der feste UDP-Port von WireGuard ist für ein Netzwerk leichter zu sperren.

Welches ist beim Self-Hosting leichter einzurichten?

WireGuard, mit deutlichem Abstand – ein Schlüsselpaar, eine Peer-Liste und ein offener UDP-Port. OpenVPN braucht eine Zertifizierungsstelle und mehr Konfiguration, auch wenn Docker-Images die Arbeit erleichtern.

Ist WireGuard besser für die Akkulaufzeit auf dem Smartphone?

Grundsätzlich ja. Sein zustandsloses Design roamt lautlos zwischen WLAN und Mobilfunk, ohne aufwendige Reconnects – das schont den Akku stärker als das gesprächigere Verhalten von OpenVPN.