Raspberry Pi WireGuard VPN

Passende Hardware im Überblick

Boards – ein VPN-Server braucht wenig Leistung:
Raspberry Pi Zero 2 W – reicht für WireGuard völlig aus (Link)*
Raspberry Pi 5 mit 4GB RAM (Link)*
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für einen Dauerläufer (Link)*
Raspberry Pi 5 mit 16GB RAM – wenn noch viele Dienste dazukommen (Link)*
Raspberry Pi 4 Starter-Set mit 4GB – wenn es günstig sein soll (Link)*
db-tronic Pi 5 Komplett-Set mit Gehäuse und Kühler (Link)*

Speicher für den Dauerbetrieb:
SanDisk Extreme A2 128GB – die solide Karte (Link)*
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Intenso M.2 NVMe SSD 500GB (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Variante (Link)*

Strom, Netzwerk und Notfall-Zugang:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Offizielles Netzteil für den Pi 4 (Link)*
Geekworm X1200 USV – damit der Tunnel den Stromausfall überlebt (Link)*
Waveshare PoE-HAT für den Netzwerkschrank (Link)*
Offizielles Gehäuse für den Zero 2 W (Link)*
ZTE MF79N LTE-Stick – zweiter Weg ins Netz zum Testen (Link)*

Kurz gesagt: Wie kommt man von unterwegs sicher ins eigene Heimnetz?

Die Kurzfassung:

• Ein Raspberry Pi WireGuard VPN baut einen verschlüsselten Tunnel vom Handy oder Notebook in dein Heimnetz. Danach erreichst du NAS, Kameras und Weboberflächen so, als säßest du auf dem Sofa.
• Installation in Minuten: curl -L https://install.pivpn.io | bash – PiVPN richtet WireGuard, Schlüssel und Firewall in einem geführten Dialog ein.
• Schneller als OpenVPN: WireGuard steckt im Linux-Kernel, kommt mit rund 4.000 Zeilen Code aus und verbindet praktisch verzögerungsfrei – ideal für Mobilfunk.
• Zwei Dinge müssen von außen stimmen: eine Port-Weiterleitung im Router (UDP 51820) und ein DynDNS-Name, weil die IP-Adresse zu Hause wechselt.
• Der häufigste Blocker ist DS-Lite bei Kabelanschlüssen: Ohne öffentliche IPv4 hilft nur IPv6, ein Portmapper oder ein Cloudflare Tunnel.
• Bonus: Zeigt der Tunnel auf Pi-hole als DNS-Server, filtert das Handy auch im Hotel und im Mobilfunknetz Werbung weg.

Was WireGuard ist – und warum es OpenVPN abgelöst hat

Ein Raspberry Pi WireGuard VPN ist ein kleiner Server im eigenen Heimnetz, der Geräte von außen hereinlässt – aber nur die, deren Schlüssel er kennt. Alles zwischen Handy und Pi läuft verschlüsselt durch einen Tunnel. Öffentliches WLAN im Café, im Hotel oder am Flughafen wird damit unkritisch, weil der Betreiber des Netzes nur noch verschlüsselten Datenverkehr sieht.

Der große Unterschied zu OpenVPN liegt im Umfang. OpenVPN bringt hunderttausende Zeilen Code mit, dazu Zertifikate, eine eigene Zertifizierungsstelle und viele Stellschrauben. WireGuard umfasst einen Bruchteil davon, läuft im Kernel und kennt genau ein Verfahren pro Aufgabe – es gibt schlicht nichts falsch zu konfigurieren.

Praktisch macht sich das doppelt bemerkbar: Der Tunnel steht in Sekundenbruchteilen, und er überlebt den Wechsel vom WLAN ins Mobilfunknetz ohne Neuaufbau. Auch der Durchsatz ist höher – Erfahrungswerte aus der Community liegen auf einem Pi 4 oder Pi 5 bei der vollen Upload-Geschwindigkeit eines gängigen Hausanschlusses. Der Flaschenhals ist die Leitung, nicht der Pi.

Die Kehrseite: WireGuard vergibt feste IP-Adressen pro Gerät. Wer viele wechselnde Nutzer verwalten will, fährt mit einer klassischen Lösung besser – im Heimnetz ist genau diese Schlichtheit der Vorteil.

Raspberry Pi WireGuard VPN mit PiVPN installieren – Schritt für Schritt

1. Pi vorbereiten: Aktuelles 64-Bit Raspberry Pi OS Lite, per SSH erreichbar und aktualisiert mit sudo apt update && sudo apt full-upgrade.
2. Feste Adresse vergeben: Der VPN-Server braucht eine statische IP im Heimnetz, sonst zeigt die Port-Weiterleitung später ins Leere. Am saubersten geht das als feste Zuweisung im Router.
3. PiVPN installieren: curl -L https://install.pivpn.io | bash – der Assistent fragt alles Nötige ab.
4. WireGuard wählen: Im Dialog WireGuard statt OpenVPN auswählen, den Standard-Port 51820 bestätigen und als DNS-Server entweder Pi-hole im eigenen Netz oder einen öffentlichen Anbieter angeben.
5. Öffentliche Adresse eintragen: PiVPN fragt, ob Clients sich über die IP-Adresse oder einen DNS-Namen verbinden sollen. Hier gehört der DynDNS-Name hinein, nicht die aktuelle IP.
6. Neu starten und danach mit pivpn -c prüfen, ob der Dienst läuft. sudo systemctl status wg-quick@wg0 zeigt den Status im Detail.
7. Ersten Client anlegen: pivpn add, einen sprechenden Namen wie handy-anna vergeben – fertig ist die erste Konfiguration.

Von Hand geht es auch: sudo apt install wireguard, Schlüssel mit wg genkey erzeugen, /etc/wireguard/wg0.conf schreiben. PiVPN nimmt diese Arbeit ab und setzt die Firewall-Regeln gleich mit.

Port-Weiterleitung und DynDNS im Router einrichten

Der Pi allein genügt nicht: Der Router muss ankommende Pakete auch durchlassen. Dafür braucht es genau eine Portfreigabe – UDP-Port 51820 auf die IP-Adresse des Raspberry Pi. TCP wird nicht gebraucht, WireGuard spricht ausschließlich UDP.

Das zweite Problem ist die Adresse selbst. Die meisten Anschlüsse bekommen regelmäßig eine neue öffentliche IP, meist über Nacht. Ein DynDNS-Dienst löst das: Er verknüpft einen festen Namen mit der wechselnden Adresse und wird bei jedem Wechsel aktualisiert. Viele Router bringen das mit, sonst gibt es kostenlose Anbieter, die sich auch direkt auf dem Pi aktuell halten lassen.

Ein häufig übersehener Punkt: Aus dem eigenen WLAN heraus lässt sich die Freigabe meist nicht testen, weil viele Router den Umweg über die eigene öffentliche Adresse nicht mitmachen. Der Test gehört ins Mobilfunknetz.

Das DS-Lite-Problem am Kabelanschluss und seine Lösungen

Bei vielen Kabel- und einigen Glasfaseranschlüssen scheitert der Zugriff von außen an DS-Lite. Dort bekommt der Anschluss keine eigene öffentliche IPv4-Adresse mehr, sondern teilt sich eine mit vielen anderen Kunden hinter einem Provider-NAT. Eine Portfreigabe bleibt dann wirkungslos, weil die Pakete nie ankommen. Erkennbar ist das an einer IPv4 aus dem Bereich 100.64.x.x bis 100.127.x.x im Router.

• Weg 1 – IPv6 nutzen: DS-Lite-Anschlüsse haben immer volles IPv6. Läuft auch das Mobilfunknetz des Handys mit IPv6, funktioniert der Tunnel direkt über die IPv6-Adresse des Pi. Nachteil: In vielen Firmen- und Hotelnetzen gibt es kein IPv6 – dann bleibt die Tür zu.
• Weg 2 – Portmapper: Dienste wie feste-ip.net oder ipv64.net leiten IPv4-Anfragen auf deine IPv6-Adresse um – für wenige Euro im Jahr die stabilste Lösung.
• Weg 3 – Provider fragen: Manche Anbieter schalten auf Wunsch eine echte öffentliche IPv4 frei, teils kostenlos, teils als Zusatzoption.
• Weg 4 – Verbindung von innen aufbauen: Ein Cloudflare Tunnel oder ein Mesh-VPN wie Tailscale baut die Verbindung vom Pi nach draußen auf. Damit ist keine Portfreigabe nötig, und DS-Lite spielt keine Rolle mehr.

Für einzelne Weboberflächen ist der Cloudflare Tunnel der schnellste Weg. Fürs ganze Heimnetz ist Tailscale die Wahl – es setzt intern ebenfalls auf WireGuard, nur mit fremdem Vermittlungsserver.

Clients einrichten: QR-Code fürs Handy, Datei für den Laptop

Jedes Gerät bekommt einen eigenen Schlüssel – dieselbe Konfiguration doppelt zu verwenden führt zu Störungen. pivpn add erzeugt den Eintrag, danach führen zwei Wege zum Ziel:

1. Handy: pivpn -qr aufrufen, den gewünschten Client auswählen. Im Terminal erscheint ein QR-Code, den die WireGuard-App aus dem App-Store einfach abfotografiert. Danach nur noch den Schalter umlegen.
2. Laptop: Die Datei liegt unter /home/pi/configs/name.conf. Per scp auf den Rechner kopieren und in der WireGuard-Anwendung importieren.
3. Prüfen: Auf dem Pi zeigt sudo wg show für jeden verbundenen Client einen aktuellen Zeitstempel unter latest handshake. Steht dort nichts, kommt die Verbindung nicht zustande.

Die wichtigste Entscheidung steckt in der Zeile AllowedIPs der Client-Datei. Sie legt fest, welcher Verkehr überhaupt in den Tunnel wandert:

Beim gesamten Verkehr begrenzt der Upload des Hausanschlusses das Tempo unterwegs: Bei 40 Mbit merkt man wenig davon, bei 10 Mbit deutlich. Am besten beide Profile aufs Handy legen und je nach Lage umschalten.

WireGuard mit Pi-hole kombinieren – Werbefilter für unterwegs

Läuft auf demselben Pi bereits ein Werbefilter, entfaltet die Kombination ihren vollen Reiz: Trägt man in der WireGuard-Konfiguration die IP-Adresse des Pi als DNS-Server ein und leitet den gesamten Verkehr durch den Tunnel, filtert Pi-hole oder AdGuard Home auch im Mobilfunknetz mit. Werbung und Tracker verschwinden damit aus Apps, die sonst keinen Filter kennen.

Zwei Einstellungen entscheiden über Erfolg oder Frust: Pi-hole muss Anfragen aus dem VPN-Netz beantworten dürfen – unter „Permit all origins" oder per Freigabe des Interface wg0. Und der Client braucht als DNS-Server die Heimnetz-Adresse des Pi.

Der Tunnel eignet sich außerdem als Fernwartungszugang: Über ihn erreichst du den Fernzugriff per VNC, die Weboberfläche des Nextcloud-Servers oder die Kameraübersicht, ohne einen einzigen weiteren Port im Router zu öffnen. Genau das ist der sicherheitstechnische Gewinn: ein offener Port statt zehn.

Fehlersuche: Wenn der Handshake nicht zustande kommt

• Kein Handshake, gar keiner: Fast immer kommt das Paket nicht an. Prüfe die Portfreigabe (UDP, nicht TCP), teste aus dem Mobilfunknetz statt aus dem eigenen WLAN und schließe DS-Lite aus.
• Handshake steht, aber nichts lädt: Dann fehlt meist der DNS-Server in der Client-Konfiguration oder Pi-hole blockt die Anfragen aus dem VPN-Netz.
• Verbindung bricht nach Minuten ab: In die Client-Datei gehört PersistentKeepalive = 25. Ohne diese Zeile schließt das NAT unterwegs den Rückweg.
• Der Pi hat eine neue IP bekommen: Die Portfreigabe zeigt dann ins Leere. Eine feste Adresse ist Pflicht, keine Kür.
• DynDNS aktualisiert nicht: Nach einer Zwangstrennung zeigt der Name noch auf die alte Adresse. Mit nslookup name.example.net prüfen und mit der aktuellen öffentlichen IP-Adresse vergleichen.
• Client-Konfiguration mehrfach genutzt: Zwei Geräte mit demselben Schlüssel werfen sich gegenseitig hinaus. Für jedes Gerät ein eigener Eintrag.
• Port gesperrt: Manche Firmen- und Hotelnetze blockieren UDP-Ports. WireGuard lässt sich in der wg0.conf auch auf Port 53 oder 443 legen – das kommt fast überall durch.

Häufige Fragen zu WireGuard auf dem Raspberry Pi

Welcher Raspberry Pi reicht für einen VPN-Server?
Schon ein Zero 2 W bewältigt WireGuard für ein paar Geräte. Wer den vollen Upload eines schnellen Anschlusses ausreizen will, ist mit einem Pi 4 oder Pi 5 und Kabel-Netzwerk besser bedient.

Ist WireGuard wirklich sicherer als OpenVPN?
Beide gelten als sicher. WireGuard hat durch seinen kleinen Umfang aber eine kleinere Angriffsfläche und lässt sich kaum falsch konfigurieren – genau das ist in der Praxis das größere Risiko.

Brauche ich eine feste IP-Adresse vom Provider?
Nein, ein DynDNS-Name genügt. Nötig ist aber eine öffentliche IPv4 – und genau die fehlt bei DS-Lite-Anschlüssen.

Woran erkenne ich, dass mein Anschluss DS-Lite nutzt?
Die Internet-Übersicht des Routers zeigt unter IPv4 eine Adresse im Bereich 100.64.0.0 bis 100.127.255.255. Das ist der typische Provider-NAT-Bereich.

Kostet ein VPN-Tunnel viel Akku am Handy?
Im Split-Tunnel kaum messbar, weil nur wenig Verkehr durchläuft. Bei komplettem Umleiten steigt der Verbrauch spürbar – dafür gibt es Werbefilter und Verschlüsselung im fremden WLAN gratis dazu.

Wie entferne ich ein verlorenes Gerät wieder?
Mit pivpn remove den betreffenden Client löschen, dann kommt dessen Schlüssel nicht mehr durch. Alle anderen Geräte bleiben unberührt.

Was sollte ich sonst noch absichern?
SSH nur mit Schlüssel statt Passwort, automatische Sicherheitsupdates und ein Blick in die Härtungs-Anleitung. Ein VPN-Server steht schließlich dauerhaft am Netz.

Fazit

Ein Raspberry Pi WireGuard VPN ist eines der wenigen Projekte, die in einer knappen Stunde fertig sind und danach jahrelang unauffällig ihren Dienst tun. Unsere klare Empfehlung: Nimm PiVPN, wähle WireGuard und richte einen DynDNS-Namen ein, bevor du den ersten Client erzeugst – das erspart das spätere Neuausrollen aller Konfigurationen. Prüfe außerdem gleich zu Beginn, ob dein Anschluss eine öffentliche IPv4 hat; ist es ein DS-Lite-Kabelanschluss, spar dir die Fehlersuche und greif direkt zu Tailscale oder einem Portmapper. Und wenn ohnehin ein Werbefilter im Netz läuft, trag ihn als DNS-Server in die Clients ein: Dann ist der Tunnel nicht nur ein Zugang nach Hause, sondern nimmt den Werbefilter gleich mit auf Reisen.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)