Dein eigener VPN-Server für fünf Dollar im Monat

Das schmutzige Geheimnis des VPN-Markts ist, dass sein Kernprodukt ein Cloud-Server für fünf Dollar im Monat ist, auf dem ein kostenloses Protokoll läuft. Wenn du einen solchen selbst mietest, entfällt das Abonnement, die Protokollierung durch den Anbieter und das Vertrauensproblem – und es kostet weniger als fast jeder kommerzielle Tarif [1][2]. Es ist nicht die richtige Lösung für alle, aber für eine bestimmte, häufige Situation das beste Angebot in der Branche.

Was du bekommst

Deine eigene Maschine an einer bekannten Adresse, die deinen eigenen Tunnel ausführt, ohne Betreiber zwischen dir und dem Server. Verbindungs-Metadaten liegen auf Hardware, die du kontrollierst. Nichts, dem du vertrauen musst, außer der physischen Verwahrung der Maschine durch den Hosting-Anbieter – dasselbe Vertrauen, das jeder VPN-Betreiber verlangt, nur ohne Marketing.

WireGuard ist das richtige Protokoll dafür: etwa 4.000 Zeilen Kernel-geprüften Codes (gegenüber den Hunderttausenden von OpenVPN), schnell und in moderne Kernel, Smartphones, Router und Laptops integriert [1].

Was du verlierst

Ein kommerzielles VPN bietet dir einen Pool geteilter IPs, IP-Bereiche, die für Streaming geeignet sind, Umgehung für zensierte Netzwerke und einen Support. Dein einzelner VPS gibt dir eine IP, die alles identifiziert, was du damit machst – geteilt von deinen Geräten, korreliert über Seiten hinweg und nutzlos gegen IP-basierte Blockaden. Du übernimmst auch die Admin-Arbeit: Kernel-Updates, SSH-Härtung, Schlüsselrotation.

Die ehrliche Darstellung: Selbsthosting ist ausgezeichnet für Privatsphäre gegenüber der VPN-Branche, neutral für Privatsphäre gegenüber Webseiten und schlecht für Anonymität oder Katalog-Entsperren [3].

Die Einrichtung, ehrlich minimal

1. Miete eine kleine Instanz – Hetzner CX22 (4,51 €/Monat inkl. MwSt.), OVH oder Netcup-Äquivalent. Wähle einen Standort in deiner Nähe oder dort, wo du erscheinen möchtest.
2. Führe Algo (das Einrichtungsskript von Trail of Bits) darauf aus: apt install python3-pip && git clone https://github.com/trailofbits/algo && cd algo && python3 -m venv env && source env/bin/activate && pip install -r requirements.txt && ./algo. Es erzeugt eine Konfiguration pro Gerät, das du benennst, und sichert die Maschine [2].
3. Installiere die WireGuard-App auf deinen Geräten und importiere die von Algo ausgegebene QR-/HTML-Konfiguration.
4. Fertig: Jedes Gerät leitet nun über deinen eigenen Server. Nichts anderes berührt Klartext.

Alternativen: reines WireGuard manuell, wenn du Spaß am Bearbeiten von Konfigurationen hast [1]; Outline, wenn du einen grafischen Manager mit Zugangsschlüsseln möchtest (es verließ 2025 Google für die gemeinnützige Outline Foundation) [4]; Streisand, der ursprüngliche Generator, ist archiviert und sollte nicht mehr verwendet werden [3].

Die Kosten und Grenzen, benannt

• Geld: 4–6 $/Monat, vergleichbar mit den günstigsten Einstiegs-Tarifen und billiger als die meisten Verlängerungen. Keine „3-Jahres-Rabatt“-Spiele, weil es kein Vertriebsteam gibt.
• Eine Exit-IP: Alles, was du tust, teilt sich eine Adresse. Die Korrelation des Datenverkehrs über Seiten hinweg ist für jeden, der hinsieht, trivial. Wenn dich das stört, ist der rotierende Pool eines kommerziellen VPNs marginal besser und ein Tor-Stack strikt besser.
• Streaming: IP-Bereiche von Rechenzentren werden von den großen Katalogen blockiert. Erwarte, dass es fehlschlägt.
• Zensur: Reines WireGuard ist anhand des Handshakes erkennbar; nationale Firewalls erkennen und unterbinden es. Kombiniere stattdessen denselben Server mit AmneziaWG oder VLESS+Reality [4].
• Du bist der Anbieter: Rechtliche Haftung für das, was über deine Leitung geht, Verantwortung für Verfügbarkeit und niemand, an den du dich wenden kannst, wenn es um Mitternacht abstürzt.

Wann was wählen

Wähle Selbsthosting, wenn: ein stabiler Exit ausreicht, du die günstigste ehrliche Privatsphäre möchtest, du mit einer Shell umgehen kannst oder du Umgehung für Reisen kombinierst. Kaufe einen kommerziellen Dienst, wenn du viele Standorte, Streaming-Kataloge oder Anonymität durch Vielzahl brauchst. Mache beides, wenn du es ernst meinst: einen persönlichen Server für den täglichen Gebrauch plus ein geprüftes kommerzielles Konto für Fälle, die ein fester Exit nicht abdecken kann.

Beginne mit dem Entscheidungsleitfaden, um zu prüfen, ob dein Anwendungsfall zu einem festen Exit passt, und vergleiche dann kommerzielle Anbieter anhand von Nachweisen zur Protokollierung für die Tage, an denen du mehr als einen Hop brauchst.

Häufige Fallstricke, benannt

Der häufigste Fehler ist nicht die Einrichtung – es ist die Diskrepanz zwischen Erwartung und Funktionsweise. Drei tauchen ständig auf:

• Falsche Erwartungen an den Standort. Menschen mieten einen Server in Frankfurt und erwarten Schweizer Datenschutzgesetze. Das Recht, das den Hosting-Anbieter regelt, ist maßgeblich; eine Hetzner-Instanz unterliegt deutschem Recht, was für die meisten Zwecke in Ordnung ist, aber irrelevant gegenüber den Marketing-Geschichten, die die Nutzer mitbringen.
• Keine Backups. Ein VPS ist eine gemietete Maschine. Erstelle einen Export deiner WireGuard-Konfigurationen pro Gerät, speichere sie offline, und die Neuinstallation nach einem Ausfall dauert zwanzig Minuten statt eines Wochenendes.
• Port-Auslastung und NAT-Eigenheiten. Einige Anbieter teilen sich IPv4; stelle sicher, dass deine Instanz eine dedizierte IPv4-Adresse hat, sonst teilt dein „privater“ Exit seinen Ruf mit Fremden.

Keiner dieser Punkte ist schwer, aber alle überraschen Menschen, die von One-Click-Apps kommerzieller Anbieter kommen. Der Leitfaden für eigene Server, den du gerade liest, existiert, weil die Stunde Einrichtung die einzige echte Kostenstelle ist – alles danach ist billiger und ehrlicher als ein Abonnement, dessen Verlängerungspreis bis zum zweiten Jahr versteckt bleibt.

Router und die Realität mit mehreren Geräten

WireGuard läuft nativ auf den meisten modernen Routern (OpenWrt hat ein erstklassiges Paket), wodurch der einzelne Server zu einem Haus-tiefen Tunnel wird: Jedes Gerät hinter dem Router erhält denselben Exit, ohne etwas installieren zu müssen. Der Kompromiss ist derselbe feste Exit für alles – inklusive Geräte, deren Datenverkehr du möglicherweise aufteilen möchtest. WireGuards AllowedIPs pro Peer ermöglicht die Aufteilung pro Gerät: ein Peer-Eintrag mit 0.0.0.0/0 für Volltunnel, ein engerer für Split-Tunnel zu bestimmten Netzwerken.

Für einen Haushalt funktioniert folgende Struktur: ein Algo-Server, ein Peer pro Person pro Gerätetyp, der Router-Peer für gemeinsam genutzte Geräte. Drucke die von Algo generierten QR-Codes aus. Wenn ein Smartphone ersetzt wird, importiere den QR-Code einmal und fertig.

Die ehrliche Bilanz, erneut formuliert

Ein selbstgehosteter Server ist das, was dem Markt am nächsten kommt an einer Standardware: Die Software ist kostenlos und erstklassig, die Hardware ist eine Standardkomponente, und das einzige, wofür du tatsächlich bezahlst, ist eine Maschine an einer Adresse. Wenn dein Bedrohungsmodell „mein Surfen vor meinem ISP und meinem Hotel-Netzwerk verbergen“ ist – der häufigste reale Grund, ein VPN zu kaufen – dann deckt ein persönlicher Server dies ab, und zwar günstiger als jedes Abonnement bei Verlängerung, ohne jemanden dazwischen, dem du vertrauen musst [2]. Beginne beim Entscheidungsleitfaden, und wenn sich herausstellt, dass du viele Standorte oder Kataloge brauchst, wähle aus kommerziellen Anbietern basierend auf Nachweisen statt auf der Größe des Rabattbanners.