WireGuard vs OpenVPN: Der ehrliche Vergleich

Leistung: Geschwindigkeit und Effizienz im Alltag

Wenn du Daten über ein VPN überträgst, geht es bei der Leistung nicht nur um maximale Durchsatzraten, sondern auch um Latenz, CPU-Last, Akkubelastung und Konsistenz über verschiedene Geräte hinweg. WireGuard ist auf Geschwindigkeit ausgelegt. Es nutzt moderne kryptografische Primitive wie ChaCha20 und läuft hauptsächlich im Linux-Kernel, wodurch Kontextwechsel und Speicherkopierungen minimiert werden [1]. Dieser Ansatz ermöglicht höhere Durchsatzraten bei geringerem CPU-Verbrauch im Vergleich zu OpenVPN, besonders auf Mobil- und eingebetteten Geräten. Unabhängige Benchmarks zeigen durchgängig, dass WireGuard sowohl bei Uploads als auch Downloads OpenVPN übertrifft, oft um 20–50 % oder mehr unter idealen Bedingungen.

OpenVPN hingegen läuft typischerweise im Userspace und basiert auf der OpenSSL-Bibliothek, was zusätzlichen Overhead verursacht. Obwohl es starke Verschlüsselungen wie AES-256-GCM unterstützt, führen der Userspace-Betrieb und die Abhängigkeit von TLS-Handshakes zu höherer Latenz und mehr Rechenaufwand [4]. Auf älterer Hardware oder leistungsschwachen Geräten kann dies zu spürbarem Akkuverbrauch und langsameren Reaktionszeiten führen. Die Leistung von OpenVPN ist jedoch für die meisten alltäglichen Anwendungen – Streaming, Surfen, sogar leichte Dateiübertragungen – immer noch ausreichend, besonders wenn es mit effizienten Verschlüsselungseinstellungen konfiguriert ist.

Doch reine Geschwindigkeit ist nicht alles. WireGuards Leistungsvorteil schwindet, wenn der Netzwerkpfad hohe Paketverluste aufweist oder UDP-Filterung stattfindet, da es ausschließlich über UDP läuft. OpenVPN kann über TCP arbeiten, was eine zuverlässigere Verbindung in solchen Netzwerken ermöglicht, wenn auch mit erhöhter Latenz aufgrund von TCP-over-TCP-Problemen. Befindest du dich in einem restriktiven Netzwerk – Unternehmensfirewalls, öffentliches WLAN oder bestimmte staatliche Firewalls – ist OpenVPN im TCP-Modus möglicherweise die einzige funktionierende Option. Während WireGuard also in sauberen Umgebungen schneller ist, gewinnt OpenVPN oft in feindlichen.

Sicherheitsmodell: Kryptografischer Aufbau und Angriffsfläche

Sicherheit hängt nicht nur davon ab, welche Verschlüsselungen verwendet werden, sondern auch davon, wie das gesamte System konzipiert ist und wie viel du ihm vertrauen musst. WireGuard verfolgt einen minimalistischen Ansatz: Es verwendet einen festgelegten Satz moderner, wissenschaftlich geprüfter kryptografischer Algorithmen – Curve25519 für den Schlüsselaustausch, ChaCha20 für die Verschlüsselung, Poly1305 für die Authentifizierung und BLAKE2 für das Hashing [1]. Dieses „Krypto-Rezept“ ist fest einprogrammiert, wodurch Konfigurationsfehler und Downgrade-Angriffe ausgeschlossen sind. Es gibt keine Verhandlung, keine Legacy-Verschlüsselungen und keine Möglichkeit, die Konfiguration versehentlich zu schwächen. Diese Einfachheit macht WireGuard leichter überprüfbar und weniger anfällig für Sicherheitslücken durch Fehlkonfiguration.

OpenVPN hingegen ist hochgradig konfigurierbar. Es unterstützt eine breite Palette an Verschlüsselungen, Schlüsselaustauschmethoden und Authentifizierungsmechanismen über OpenSSL [4]. Während diese Flexibilität eine Feinabstimmung für bestimmte Umgebungen ermöglicht, erhöht sie auch das Risiko unsicherer Konfigurationen. Ein schlecht konfigurierter OpenVPN-Server könnte immer noch schwache Verschlüsselungen wie DES oder veraltete TLS-Versionen erlauben und Nutzer so bekannten Angriffen aussetzen. Selbst bei Einhaltung bewährter Praktiken führt die enorme Größe von OpenSSL und des OpenVPN-Code-Basises – über 100.000 Zeilen – zu einer größeren Angriffsfläche. Kritische Schwachstellen wie Heartbleed entstanden in OpenSSL, nicht im OpenVPN-Kern, doch die Abhängigkeit bleibt ein Risiko.

WireGuards Code-Basis umfasst etwa 4.000 Zeilen Kernel-Code, wodurch es für einen einzelnen Experten machbar ist, sie vollständig zu überprüfen [3]. Es wurde mehrfach formell sicherheitstechnisch geprüft, darunter eine akademische Überprüfung aus dem Jahr 2020, die keine kritischen Fehler fand [1]. OpenVPN wurde ebenfalls geprüft, aber seine Komplexität erschwert eine umfassende Verifizierung. Allerdings hat OpenVPN durch seine langjährige Einsatzgeschichte über zwei Jahrzehnte hinweg reale Prüfung erfahren – seine Schwachstellen sind eher bekannt und behoben als bei neuerer Software.

Für dich bedeutet das: Wenn du Einfachheit und eine geringere Angriffsfläche schätzt, ist WireGuard sicherer. Wenn du maximale Kompatibilität benötigst oder in einer streng regulierten Umgebung arbeitest, die bestimmte kryptografische Standards erfordert, kann OpenVPNs Flexibilität notwendig sein.

Netzwerkverhalten: UDP vs TCP und Zensurresistenz

Wie sich dein Datenverkehr im Netzwerk verhält, ist entscheidend – besonders wenn du versuchst, Zensur oder instabile Verbindungen zu umgehen. WireGuard läuft ausschließlich über UDP. Diese Wahl ermöglicht hohe Leistung und geringe Latenz, macht es aber auch anfälliger für Erkennung und Blockade. Viele Firewalls, insbesondere in Unternehmens- oder autoritären Umgebungen, filtern oder drosseln UDP-Verkehr, besonders auf nicht-standardmäßigen Ports. Einige Deep-Packet-Inspection-(DPI-)Systeme können WireGuard-Traffic-Muster erkennen und sie direkt blockieren.

OpenVPN kann sowohl über UDP als auch über TCP laufen. Während UDP aus Leistungsgründen bevorzugt wird, ermöglicht die Möglichkeit, auf TCP auf Port 443 (üblich für HTTPS) zurückzugreifen, dass OpenVPN in zensierten Netzwerken widerstandsfähiger ist. Wenn es in TLS eingebettet und als Web-Traffic getarnt wird, kann OpenVPN DPI effektiver umgehen als WireGuard in seiner Standardform. Deshalb werden Tools wie obfs4 oder stunnel manchmal zusätzlich zu OpenVPN eingesetzt – doch sie erhöhen die Komplexität und verringern die Geschwindigkeit.

WireGuard unterstützt solche Verschleierung nicht nativ. Einige Anbieter implementieren eigene Wrapper, diese sind jedoch nicht standardisiert und können neue Risiken mit sich bringen. Befindest du dich in einem Land wie China oder Iran, in dem aktive DPI zur VPN-Blockade eingesetzt wird, ist OpenVPN über TCP mit Verschleierung möglicherweise deine einzige funktionierende Option. WireGuard, obwohl schneller, wird eher erkannt und blockiert.

Auf der anderen Seite handhabt WireGuard Netzwerkwechsel besser. Es ist für Roaming konzipiert – etwa beim Wechsel von WLAN zu mobilen Daten – ohne die Verbindung zu verlieren. Sein zustandsloser Aufbau und schnelles Re-Keying sorgen dafür, dass es sich nahezu sofort wieder verbindet. OpenVPN hingegen benötigt aufgrund seiner TLS-Sitzungen oft einen kompletten Neuaufbau der Verbindung bei IP-Änderung, was zu spürbaren Unterbrechungen führt.

Wenn du also häufig zwischen Netzwerken wechselst, bietet WireGuard eine reibungslosere Kontinuität. Wenn du gegen Zensur ankämpfst, gibt dir OpenVPN mehr Werkzeuge, um verbunden zu bleiben.

Die Implementierungsqualität ist wichtiger als das Protokoll

Das Protokoll ist nur so gut wie die Software, die es umsetzt. WireGuards offizielle Implementierung ist Teil des Linux-Kernels und für andere Plattformen verfügbar, doch viele kommerzielle VPN-Anbieter nutzen eigene Clients – oft basierend auf Frameworks wie OpenVPN oder benutzerdefinierten WireGuard-Wrappern. Diese Clients von Drittanbietern können Fehler, Protokollierung oder sogar Malware enthalten. Eine Studie aus dem Jahr 2018 ergab, dass viele kostenlose Android-VPN-Apps Tracker oder unsicheren Code enthielten, unabhängig vom zugrundeliegenden Protokoll [3].

OpenVPN verfügt über ausgereifte, gut getestete Clients auf allen Plattformen, darunter OpenVPN Connect und Drittanbieter-Tools wie Viscosity. Seine Konfigurationsdateien sind standardisiert, wodurch leichter überprüfbar ist, was der Client tut. WireGuards Konfiguration ist einfacher – nur wenige Textzeilen – doch viele GUI-Clients verbergen die Details, was eine Überprüfung erschwert.

Wenn du einen kommerziellen Anbieter nutzt, prüfe, ob dieser die offizielle WireGuard-Implementierung oder eine modifizierte Version verwendet. Achte auf Anbieter, die Open-Source sind und unabhängige Audits durchlaufen haben, wie Mullvad oder IVPN. Die Wahl des Protokolls spielt eine geringere Rolle, wenn der Client deine DNS-Anfragen protokolliert oder WebRTC-Lecks verursacht.

Für maximale Kontrolle erwäge, dein eigenes Setup mit Anleitungen wie wie man einen eigenen VPN-Server hostet zu betreiben. So eliminierst du das Vertrauen in Dritte vollständig.

(aktuell passen keine Anbieter - sieh dir die gesamte Vergleichstabelle an.)

Welches solltest du verwenden? Pass das Protokoll an dein Bedrohungsmodell an

Es gibt keine universelle Antwort. Deine Entscheidung hängt davon ab, was du erreichen möchtest.

Verwende WireGuard, wenn:

• Du die schnellste und effizienteste Verbindung möchtest.
• Du davon ausgehst, dass dein Netzwerk UDP-Verkehr erlaubt.
• Du Einfachheit und eine kleine, überprüfbare Code-Basis schätzt.
• Du ein Mobilgerät nutzt und nahtloses Roaming zwischen WLAN und mobilen Daten möchtest.
• Du einen seriösen Anbieter mit sauberer Client-Implementierung verwendest.

Verwende OpenVPN, wenn:

• Du hinter einer restriktiven Firewall oder in einem zensierten Land bist.
• Du TCP-Fallback oder Verschleierung benötigst, um verbunden zu bleiben.
• Du Kompatibilität mit Legacy-Systemen oder bestimmte Compliance-Standards brauchst.
• Du die Einrichtung selbst prüfst und volle Kontrolle über die kryptografischen Parameter möchtest.

Keines der Protokolle macht dich anonym – dafür ist Tor zuständig. Keines blockiert Werbung, Malware oder Phishing. Und keines schützt dich vor einem Anbieter, der deine Aktivitäten protokolliert. Eine No-Logs-Zusage ist nur so gut wie der letzte Audit oder Gerichtsfall, der sie überprüft hat. Achte auf Anbieter mit nachgewiesenen No-Logs-Richtlinien und unabhängigen Audits.

Wenn du einfach nur aus einem vertrauenswürdigen Netzwerk surfst, ist WireGuard vermutlich die bessere Wahl. Befindest du dich in einer Umgebung mit hoher Überwachung, könnte OpenVPN mit Verschleierung deine beste Option sein. Teste immer beide unter realen Bedingungen – deinem Router, deinem ISP, deinem Land – bevor du dich entscheidest.