Was ist WireGuard? Modernes VPN im Vergleich zu IPsec und OpenVPN

Der Ansatz

WireGuard ist ein VPN-Protokoll, das seit Linux 5.6 fester Bestandteil des Kernels ist. Sein Kennzeichen ist radikale Reduktion: rund 4.000 Zeilen Code gegenüber hunderttausenden bei OpenVPN oder IPsec-Implementierungen. Weniger Code bedeutet weniger Angriffsfläche und eine Codebasis, die tatsächlich prüfbar ist.

Statt aushandelbarer Algorithmen ist die Kryptografie fest verdrahtet: ChaCha20 für Verschlüsselung, Poly1305 für Authentizität, Curve25519 für den Schlüsselaustausch, BLAKE2s für Hashes. Damit entfällt eine ganze Klasse von Downgrade-Angriffen – aber ein Wechsel der Verfahren erfordert eine neue Protokollversion.

Wie es funktioniert

WireGuard arbeitet über UDP und folgt dem Prinzip Cryptokey Routing: Jeder Gegenstelle wird ein öffentlicher Schlüssel und eine Liste erlaubter IP-Adressen zugeordnet. Pakete aus anderen Bereichen werden verworfen. Es gibt keine Sitzungsverwaltung im klassischen Sinn und keinen Verbindungsaufbau – die Schnittstelle ist einfach da.

Praktische Folgen: Ein Wechsel von WLAN zu Mobilfunk unterbricht die Verbindung nicht, weil die Zuordnung über den Schlüssel läuft, nicht über die IP. Der Verbindungsaufbau dauert Millisekunden statt Sekunden, und der Durchsatz liegt deutlich über OpenVPN, weil die Verarbeitung im Kernel stattfindet.

Was WireGuard bewusst nicht kann

• Keine Benutzerverwaltung. Es gibt Schlüssel, keine Konten, keine Anbindung an das Verzeichnis, kein MFA. Das muss eine Schicht darüber leisten.
• Keine dynamische IP-Vergabe. Adressen werden statisch zugeordnet.
• Statische Zuordnung von Schlüsseln. Ohne Automatisierung wird die Verwaltung bei vielen Clients aufwendig.
• Datenschutzaspekt: Der Server speichert die zuletzt gesehene IP jeder Gegenstelle in der Konfiguration.

Deshalb setzen Unternehmenslösungen fast immer auf WireGuard auf – mit Identitätsanbindung, MFA, kurzlebigen Schlüsseln und zentralen Richtlinien.

Einordnung

• WireGuard: ideal für Server-zu-Server-Verbindungen, Standortkopplung, Zugriff auf Verwaltungsnetze und als Basis moderner ZTNA-Produkte.
• IPsec: Standard für Kopplungen zwischen Herstellern und in regulierten Umgebungen mit festen Vorgaben.
• OpenVPN: flexibel, gut bei restriktiven Netzen dank TCP-Fallback über Port 443, aber langsamer.

Sicherheitshinweis

Ein VPN ersetzt keine Segmentierung. Wer einen Vollzugang ins flache Netz vergibt, hat den Ransomware-Pfad nur verschlüsselt – nicht entfernt. Zugriff auf Anwendungsebene begrenzen, MFA vorschalten, Sitzungen protokollieren.

Nächster Schritt

Gestohlene VPN-Zugangsdaten sind der häufigste Einstieg in Unternehmensnetze. Risikomonitor überwacht Darknet-Quellen auf Ihre Zugänge.

[Kostenlose Erstanalyse anfordern](/kontakt)