WireGuard vs. OpenVPN: VPN-Vergleich für Self-Hoster 2026
VPNs sind für Self-Hoster unverzichtbar: Sichere Verbindung zu deinen Heimservern, Absicherung von Kubernetes-Clustern oder einfach der sichere Zugriff auf dein Homelab. Zwei Namen dominieren: WireGuard und OpenVPN.
OpenVPN: Der bewährte Klassiker seit 2001
OpenVPN ist seit über 20 Jahren der Standard für Open-Source-VPNs. Es ist ausgereift, gut dokumentiert und läuft überall.
Stärken von OpenVPN:
- Bewährt und kampferprobt (seit 2001)
- Läuft auf nahezu jedem Betriebssystem und Gerät
- Sehr flexibel konfigurierbar
- Unterstützt TCP und UDP
- Starke kommerzielle Unterstützung (OpenVPN Inc.)
- Firewall-freundlich (kann TCP/443 nutzen)
Schwächen:
- Komplexe Konfiguration (PKI, Zertifikate)
- Langsamer als WireGuard
- Großer Codebase (~70.000 Zeilen)
- Höhere CPU-Last
WireGuard: Das moderne Minimal-VPN
WireGuard wurde 2015 von Jason Donenfeld vorgestellt und ist seit Linux-Kernel 5.6 (2020) fester Bestandteil des Linux-Kernels. Es revolutioniert VPNs durch radikale Einfachheit.
Stärken von WireGuard:
- Nur ~4.000 Zeilen Code (vs. ~70.000 bei OpenVPN)
- Deutlich schneller: 3–10× höherer Durchsatz
- Niedrigere Latenz
- Einfachere Konfiguration (Public/Private Key-Paare)
- Direkt im Linux-Kernel integriert
- Sehr geringer Energieverbrauch (ideal für mobile Geräte)
- Schnelleres Reconnect-Verhalten
Schwächen:
- Nur UDP (kann in manchen Netzwerken blockiert werden)
- Kein dynamisches IP-Routing (statische Peers)
- Jüngere Technologie (weniger battle-tested)
- Kein nativ konfigurierbarer "obfuscation mode"
Performance-Vergleich
| Metrik | WireGuard | OpenVPN (UDP) |
|---|---|---|
| Durchsatz | ~900 Mbit/s | ~100–300 Mbit/s |
| Latenz-Overhead | ~0.5ms | ~2–5ms |
| CPU-Last | Sehr niedrig | Mittel–hoch |
| Verbindungsaufbau | ~100ms | ~1–3s |
| Codezeilen | ~4.000 | ~70.000 |
Setup-Vergleich: Einfachheit
WireGuard Server (Debian/Ubuntu):
# Installation
apt install wireguard
# Key-Generierung
wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub
# Konfiguration (wg0.conf)
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <server-private-key>
[Peer]
PublicKey = <client-public-key>
AllowedIPs = 10.0.0.2/32
# Start
systemctl enable --now wg-quick@wg0
OpenVPN benötigt hingegen eine vollständige PKI-Infrastruktur (easy-rsa), Zertifikate, CA und deutlich mehr Konfiguration.
Tools für einfacheres Management
Da WireGuard selbst kein Management-UI hat, gibt es Tools:
- wg-easy: Web-UI für WireGuard (Docker)
- Headscale: Self-hosted Tailscale-Backend
- Netbird: Zero-Config-WireGuard-Mesh
- PiVPN: Installer-Script für Raspberry Pi
Wann welches VPN?
WireGuard empfehle ich für:
- Homelab und Self-Hosting-Setups
- Verbindung zwischen eigenen Servern
- Mobile Clients (niedriger Akkuverbrauch)
- Kubernetes-Cluster-Vernetzung
- Neue VPN-Deployments ohne Legacy-Anforderungen
OpenVPN empfehle ich für:
- Unternehmensumgebungen mit strikten Firewall-Regeln (TCP/443)
- Legacy-Systeme und alte Router
- Wenn zertifikatsbasiertes Revocation wichtig ist
- Bestehende OpenVPN-Infrastruktur
Mein Fazit
Für Self-Hosting und Homelab ist WireGuard die klare Empfehlung: einfacher, schneller, sicherer durch kleinere Angriffsfläche. Ich nutze WireGuard für alle meine privaten Server-Verbindungen und konnte die Latenz gegenüber meinem alten OpenVPN-Setup deutlich reduzieren.
OpenVPN bleibt relevant für Enterprise-Umgebungen und wenn TCP-Tunneling zwingend nötig ist — aber für Neuinstallationen würde ich immer WireGuard wählen.