WireGuard vs. OpenVPN: Welches VPN-Protokoll ist besser?

1. Was sind VPN-Protokolle?

Ein VPN-Protokoll ist das Regelwerk, nach dem deine verschlüsselte Verbindung aufgebaut und aufrechterhalten wird. Es legt fest, wie Datenpakete zwischen deinem Gerät und dem VPN-Server ausgetauscht werden, welche Verschlüsselungsverfahren genutzt werden und wie die Verbindung bei Unterbrechungen wiederhergestellt wird.

Anders gesagt: Das Protokoll ist das Fundament, auf dem jede VPN-Verbindung steht. Die Wahl des Protokolls beeinflusst direkt, wie schnell deine Verbindung ist, wie sicher sie ist und ob sie in bestimmten Netzwerken oder Ländern überhaupt funktioniert. ProtonVPN unterstützt drei Protokolle: WireGuard, OpenVPN und IKEv2/IPSec – plus das proprietäre Stealth-Protokoll für besonders restriktive Umgebungen.

2. WireGuard: Das moderne Protokoll

WireGuard wurde 2019 von Jason Donenfeld veröffentlicht und ist seitdem das aufregendste Thema in der VPN-Welt. Was WireGuard so besonders macht, ist seine radikale Schlankheit: Der gesamte Code umfasst nur etwa 4.000 Zeilen. Das klingt technisch, hat aber eine sehr praktische Konsequenz – so wenig Code lässt sich von unabhängigen Sicherheitsforschern vollständig prüfen. Zum Vergleich: OpenVPN umfasst rund 400.000 Zeilen Code, was eine vollständige Sicherheitsanalyse enormen Aufwand erfordert und die Angriffsfläche potenziell vergrößert.

In Geschwindigkeitstests schlägt WireGuard alle gängigen Protokolle deutlich. Das liegt unter anderem daran, dass WireGuard direkt in den Linux-Kernel integriert ist – es arbeitet also auf einer sehr tiefen Betriebssystemebene und muss nicht erst durch mehrere Software-Schichten navigieren. Das Ergebnis sind messbar niedrigere Latenzen und ein deutlich höherer Datendurchsatz, besonders auf Verbindungen mit schnellem Internetzugang.

WireGuard verwendet ausschließlich moderne, als sicher geltende Kryptographie-Algorithmen: ChaCha20 zur Verschlüsselung, Poly1305 zur Authentifizierung, Curve25519 für den Schlüsselaustausch und BLAKE2 als Hash-Funktion. Eine weitere Besonderheit: WireGuard unterstützt kein älteres, potenziell unsicheres Kryptographie-„Ökosystem" – es gibt keine Aushandlung verschiedener Algorithmen, die einen Angreifer zur Wahl schwächerer Optionen verleiten könnten.

WireGuard hat jedoch von Haus aus ein Datenschutzproblem: Es speichert für jede aktive Verbindung eine statische IP-Adresse auf dem Server, was theoretisch Rückschlüsse auf Nutzeraktivitäten ermöglichen könnte. ProtonVPN löst das durch ein eigenes Double-NAT-System, das jeder Sitzung eine dynamische interne IP zuweist. So profitierst du von der Geschwindigkeit von WireGuard, ohne Einbußen beim Datenschutz hinnehmen zu müssen.

3. OpenVPN: Der bewährte Standard

OpenVPN existiert seit 2001 und ist damit ein Urgestein der VPN-Technologie. In zwei Jahrzehnten wurde es von Sicherheitsforschern, Unternehmen und Behörden weltweit auf Herz und Nieren geprüft. Diese lange Geschichte ist ein echter Vorteil: Sicherheitslücken wurden über die Jahre konsequent gefunden und behoben. OpenVPN ist heute auf nahezu jeder Plattform verfügbar und in vielen Unternehmensinfrastrukturen tief verwurzelt.

OpenVPN bietet zwei Betriebsmodi: UDP und TCP. Im UDP-Modus werden Datenpakete schnell und ohne Empfangsbestätigung gesendet – ideal für Streaming und allgemeines Surfen, da kurze Paketverluste kaum auffallen. Der TCP-Modus hingegen bestätigt jedes Paket einzeln und sendet es bei Verlust erneut. Das macht die Verbindung robuster und stabiler, kostet aber Geschwindigkeit. OpenVPN TCP ist besonders in instabilen Netzwerken oder auf langen Reisen sinnvoll, wo Paketverluste häufiger auftreten.

OpenVPN nutzt die bewährte TLS/SSL-Technologie, die auch für HTTPS-Verbindungen verwendet wird. Das bedeutet, dass OpenVPN-Traffic in vielen Netzwerken wie normaler Web-Traffic aussieht – ein Grund, warum es in restriktiven Umgebungen oft besser funktioniert als WireGuard, das leichter per Deep Packet Inspection erkannt werden kann. Allerdings ist OpenVPN deutlich ressourcenintensiver als WireGuard, was bei mobilen Geräten den Akku stärker belastet.

4. IKEv2/IPSec: Die dritte Option in ProtonVPN

IKEv2 (Internet Key Exchange Version 2) in Kombination mit IPSec ist das dritte Protokoll, das ProtonVPN anbietet, und oft das unterschätzte Mitglied im Trio. Es wurde von Microsoft und Cisco entwickelt und ist besonders auf mobilen Geräten sehr gut geeignet. Der Hauptvorteil von IKEv2 liegt in seiner MOBIKE-Funktion (Mobility and Multihoming): Das Protokoll kann Netzwechsel – zum Beispiel von WLAN zu LTE – nahezu nahtlos und ohne spürbare Verbindungsunterbrechung verarbeiten.

Auf iPhones und iPads ist IKEv2 nativ vom Betriebssystem unterstützt und kann besonders stabile Verbindungen aufbauen. Wenn du häufig zwischen verschiedenen Netzwerken wechselst – auf dem Weg zur Arbeit, bei Zugfahrten oder beim Pendeln – bietet IKEv2 eine bessere Nutzungserfahrung als WireGuard oder OpenVPN. Allerdings hat IKEv2 den Nachteil, dass es in besonders restriktiven Netzwerken wie Hotspots mit Port-Filterung leichter geblockt werden kann.

5. Vergleichstabelle: WireGuard vs. OpenVPN vs. IKEv2

6. Empfehlung: Wann welches Protokoll nutzen?

Die kurze Antwort: Für die meisten Nutzer im Alltag ist WireGuard die beste Wahl. Es ist das schnellste Protokoll, verbraucht wenig Akku und bietet ein sehr hohes Sicherheitsniveau. ProtonVPN hat die bekannte Datenschutzschwäche von WireGuard durch sein Double-NAT-System vollständig behoben, sodass du dir darüber keine Gedanken machen musst.

Die ausführlichere Empfehlung hängt von deinem konkreten Anwendungsfall ab:

• WireGuard (Standard-Empfehlung): Täglich surfen, Streaming, Downloads, Arbeit im Homeoffice. Beste Geschwindigkeit und modernes Design. Für die überwiegende Mehrheit der Nutzer die richtige Wahl.
• OpenVPN UDP: Wenn WireGuard aus irgendeinem Grund nicht verfügbar ist oder schlechtere Ergebnisse liefert. Ebenfalls eine sehr sichere Option mit langer Erfolgsgeschichte.
• OpenVPN TCP: Bei instabiler Internetverbindung – etwa in Hotels, auf Zugreisen oder in Regionen mit schlechter Netzinfrastruktur. Auch hilfreich, wenn WireGuard in einem Netzwerk aktiv geblockt wird, da TCP-Traffic schwerer zu filtern ist.
• IKEv2/IPSec: Ideal für iPhone und iPad, besonders wenn du häufig zwischen WLAN und mobilem Netz wechselst. Die MOBIKE-Funktion sorgt für nahtlose Übergänge ohne Verbindungsabbruch.
• Stealth: Wenn VPNs aktiv geblockt werden – in China, Iran, oder in öffentlichen WLANs mit Deep Packet Inspection. Stealth tarnt VPN-Traffic als normalen HTTPS-Traffic. Nur verfügbar im Plus-Tarif.

7. Wie du das Protokoll in ProtonVPN wechselst

Das Wechseln des Protokolls in ProtonVPN ist einfach und dauert weniger als eine Minute. Die Schritte unterscheiden sich leicht je nach Betriebssystem, folgen aber überall dem gleichen Prinzip:

1. Öffne die ProtonVPN-App auf deinem Gerät.
2. Gehe zu Einstellungen (das Zahnrad-Symbol oder das Hamburger-Menü).
3. Wähle Verbindung oder Protokoll aus dem Menü.
4. Wähle das gewünschte Protokoll aus der Liste: Smart, WireGuard, OpenVPN (UDP), OpenVPN (TCP), IKEv2 oder Stealth.
5. Die Einstellung wird sofort übernommen. Trenne dich gegebenenfalls kurz vom VPN und verbinde dich erneut.

Auf Android und iOS findest du die Protokolleinstellung ebenfalls in den App-Einstellungen unter „Protokoll" oder „VPN-Protokoll". Auf dem iPhone kann es sinnvoll sein, zwischen WireGuard und IKEv2 zu testen und zu sehen, welche Option in deiner Umgebung stabiler läuft.