VPN-Protokolle im Überblick: WireGuard, OpenVPN und IKEv2 im Vergleich – Unterschiede bei Sicherheit, Tempo und Einsatz. Aktualisiert mit Auswahlhilfe.
VPN-Protokolle legen fest, wie Ihr Gerät eine verschlüsselte Verbindung zum VPN-Server aufbaut und wie Daten durch diesen Tunnel laufen. Damit beeinflussen sie Tempo, Sicherheit und Stabilität Ihrer Verbindung, oft stärker, als die unscheinbare Auswahlliste in den App-Einstellungen vermuten lässt.
Für den Alltag reichen meist drei Namen: WireGuard ist schlank und schnell, OpenVPN gilt als flexibel und gut geprüft, IKEv2/IPsec hält die Verbindung auf dem Smartphone zuverlässig aufrecht. Ältere Protokolle wie PPTP sind dagegen nicht mehr empfehlenswert.
Vielleicht kennen Sie diese Situationen: Der Stream ruckelt, obwohl der Server in der Nähe steht. Oder die Verbindung bricht ab, sobald Ihr Handy im Zug vom WLAN ins Mobilfunknetz wechselt. Dann lohnt sich ein Blick auf das Protokoll, bevor Sie den Anbieter wechseln.
Dieser Überblick zeigt die Unterschiede der gängigen VPN-Protokolle im Vergleich, ordnet sie nach Einsatzbereich ein und hilft Ihnen bei der Wahl für Ihr Gerät und Ihren Alltag. Sie erfahren außerdem:
worin sich Protokoll, Verschlüsselung und TCP/UDP unterscheiden
welches Protokoll zu Streaming, Gaming oder Smartphone passt
wie Sie das Protokoll wechseln und die Verbindung sauber testen
Ein VPN-Protokoll ist das Regelwerk, nach dem Ihr Gerät und der VPN-Server miteinander „sprechen“. Es bestimmt, wie der Tunnel aufgebaut wird, wie sich beide Seiten gegenseitig ausweisen und wie die Daten verpackt und übertragen werden.
Stellen Sie sich einen Paketversand vor. Das Protokoll entspricht den Versandregeln: Welche Route wird genommen, wie läuft die Übergabe, wann gilt das Paket als angekommen? Die Verschlüsselung ist die blickdichte, abgeschlossene Verpackung. Der Tunnel ist die gesicherte Strecke zwischen Ihnen und dem Server.
Ein typischer Fall ist das öffentliche WLAN im Café: Das Protokoll sorgt dafür, dass die Verbindung zum VPN-Server überhaupt zustande kommt. Die Verschlüsselung macht Ihre Daten für andere im Netzwerk unlesbar.
Ein häufiger Denkfehler: Protokoll und Verschlüsselung werden gleichgesetzt. Das stimmt nicht.
Protokoll: regelt Verbindungsaufbau, Authentifizierung und Datenfluss
Verschlüsselung: Algorithmen wie AES-256 oder ChaCha20 machen die Inhalte unlesbar
Die meisten Protokolle bringen bestimmte Verschlüsselungsverfahren mit. Deshalb ist die Protokollwahl trotzdem wichtig, auch wenn sie allein nichts über die Qualität der Verschlüsselung aussagt.
Das Protokoll regelt die Verbindung, die Verschlüsselung schützt die Inhalte, und TCP oder UDP sind die Transportwege, über die die Datenpakete laufen.
TCP bestätigt jedes Datenpaket und sendet verlorene erneut. Das ist zuverlässig, bei schlechtem Netz aber langsamer.
UDP verzichtet auf diese Bestätigung. Das spart Zeit und senkt die Latenz, was Streaming, Videocalls und Gaming zugutekommt. In streng gefilterten Netzen kann UDP allerdings blockiert sein.
Verbreitet ist die Annahme, UDP sei weniger sicher als TCP. Das ist falsch: Die Sicherheit hängt an der Verschlüsselung, nicht am Transportweg.
Manche Apps zeigen diese Wahl als „Verbindungsmodus“ an. In der iTop VPN App heißen die Optionen etwa TCP, UDP und HTTPS.
Am besten bleiben Sie zunächst bei der Standardeinstellung oder der automatischen Auswahl. Erst bei einem konkreten Problem lohnt sich ein Wechsel, und dann immer nur eine Einstellung auf einmal, sonst wissen Sie hinterher nicht, was geholfen hat. Mit einer geeigneten VPN-App wie iTop VPN lassen sich die verfügbaren Verbindungsmodi im Alltag ausprobieren.
Beim Vergleich von VPN-Protokollen zählen drei Dinge: Tempo, Prüfbarkeit und das Verhalten in restriktiven Netzen. Bei der Verschlüsselung selbst unterscheiden sich moderne Varianten dagegen kaum.
WireGuard läuft ausschließlich über UDP und kommt mit außergewöhnlich wenig Code aus. Das erleichtert Sicherheitsprüfungen und verkürzt den Verbindungsaufbau auf Sekundenbruchteile. Seit 2020 ist es fest in den Linux-Kernel eingebaut, was auf Servern zusätzlich Tempo bringt.
Im Alltag zahlt sich das beim Streaming zu Hause oder bei großen Downloads aus. Die Kehrseite: Blockiert ein Netz UDP, kommt keine Verbindung zustande, denn einen TCP-Ersatz gibt es nicht.
Häufig kommt die Frage nach dem Datenschutz auf. WireGuard merkt sich den zuletzt verwendeten Netzwerkendpunkt eines Peers, damit verschlüsselte Datenpakete an die aktuelle Adresse gesendet werden können. Daraus folgt jedoch nicht automatisch, dass ein Anbieter diese IP-Adresse dauerhaft protokolliert. Ob und wie lange Verbindungsdaten gespeichert werden, hängt von der Serverimplementierung und den Logging-Richtlinien des Anbieters ab. Prüfen Sie dazu die Datenschutzerklärung.
OpenVPN gibt es seit 2001. Der Quellcode ist offen und wurde vielfach geprüft. Es funktioniert wahlweise über TCP oder UDP und lässt sich auf Port 443 betreiben, sodass der Datenverkehr dem gewöhnlichen HTTPS-Verkehr ähneln kann.
Das hilft im Hotel-WLAN, im Firmennetz oder in der Schule, wo andere Verbindungen oft gesperrt sind. Ganz unsichtbar bleibt der Verkehr allerdings nicht: Netze mit Deep Packet Inspection erkennen ihn manchmal trotzdem. Dafür ist OpenVPN etwas langsamer und komplexer aufgebaut als WireGuard.
IKEv2/IPsec: Stabil auf dem Smartphone
IKEv2/IPsec ist in Windows, macOS und iOS fest eingebaut, Android unterstützt es ab Version 11. Die Erweiterung MOBIKE hält die Verbindung beim Wechsel zwischen WLAN und Mobilfunk aufrecht, sofern App und Server sie unterstützen. Ob sich das Protokoll direkt auswählen lässt, hängt von Gerät und App ab.
Der Haken: Die genutzten Ports (UDP 500 und 4500) werden in manchen Netzen gefiltert. Dann bricht der Aufbau ab, obwohl alles korrekt eingestellt ist.
Diese drei begegnen Ihnen vor allem in älteren Systemen und Router-Menüs.
L2TP/IPsec verpackt die Daten doppelt und ist dadurch spürbar langsamer. Es lässt sich nutzen, wenn nichts anderes verfügbar ist.
SSTP stammt von Microsoft und tunnelt über TCP 443. Es eignet sich vor allem für Windows-Umgebungen, ist aber nicht quelloffen und deshalb schwerer zu überprüfen.
PPTP stammt aus den 1990er-Jahren und weist bekannte Schwachstellen auf. Für alles, was geschützt werden soll, ist es nicht empfehlenswert.
Das Protokoll ist nur die halbe Miete: Auch die Umsetzung in der App und die Serverkonfiguration prägen Tempo und Sicherheit. Zwei Anbieter mit demselben Protokoll können deshalb sehr unterschiedlich abschneiden.
Die folgende Übersicht fasst den Vergleich der VPN-Protokolle auf einen Blick zusammen. Sie ersetzt keine Detailkenntnis, hilft aber bei der ersten Orientierung.
Die Sicherheitsangaben sind grobe Richtwerte und keine pauschale Rangliste. Entscheidend sind die konkrete Implementierung, die verwendeten Verschlüsselungsalgorithmen, die Konfiguration und der aktuelle Wartungsstand.
So lesen Sie die Tabelle: Gehen Sie zuerst die Spalte „Geeignet für“ durch und suchen Sie Ihren Alltag. Prüfen Sie danach, ob Ihr Gerät das Protokoll überhaupt anbietet. Die tatsächlichen Ergebnisse hängen zusätzlich von Serverstandort, Auslastung und Umsetzung in der App ab.
Auffällig ist, dass PPTP bei der Geschwindigkeit gut aussieht, bei der Sicherheit aber klar zurückliegt. Genau diese Kombination verleitet manche dazu, es als schnelle Lösung zu wählen. Das ist keine gute Idee, sobald es um Zugangsdaten, Bankgeschäfte oder berufliche Daten geht.
Ein einziges Protokoll, das überall überzeugt, gibt es nicht. Entscheidend ist, was Sie mit dem VPN vorhaben und auf welchem Gerät Sie es nutzen. Die folgenden Fälle decken die häufigsten Situationen ab.
Meist liegt WireGuard vorn, gefolgt von IKEv2/IPsec und OpenVPN über UDP. Das Protokoll ist aber nur ein Faktor. Mindestens ebenso stark wirken sich der Abstand zum Server, dessen Auslastung und Ihr eigener Internetanschluss aus.
Ein Beispiel: Ein überlasteter Server in der Nähe kann langsamer sein als ein freier Server im Nachbarland. Wer also nur das Protokoll tauscht und den Server behält, ändert oft wenig. Weitere Tipps zur Verringerung von Verzögerungen finden Sie im Beitrag No-Lag-VPN. Für Streaming und große Downloads lohnt sich der Wechsel zu WireGuard oder UDP trotzdem.
Im Zweifel starten Sie mit WireGuard und weichen bei Problemen auf OpenVPN über UDP aus.
Die Sicherheit entsteht aus dem Zusammenspiel von Protokoll, Verschlüsselung, Umsetzung und Anbieter. WireGuard und OpenVPN gelten mit aktuellen Einstellungen als sehr solide, IKEv2/IPsec ebenfalls. Bei PPTP ist die Lage eindeutig: Es sollte nicht mehr verwendet werden.
Besonders wichtig ist das im offenen WLAN am Flughafen oder im Café, wo Fremde im selben Netz hängen. Hier zählt weniger der Unterschied zwischen den modernen Protokollen als die Frage, ob die Verbindung überhaupt abgesichert ist.
Beide Optionen, OpenVPN und WireGuard, sind hier eine solide Wahl. PPTP lassen Sie weg.
Beim Spielen zählt die Latenz, also die Zeit, die ein Datenpaket hin und zurück braucht. Ein VPN baut immer einen Umweg ein und erhöht den Ping meist etwas. Das Protokoll entscheidet nur, wie stark. Ein Ping-Sprung mitten in der Partie nervt mehr als ein etwas langsamerer Download. Niedrige Latenz liefern UDP-basierte Protokolle wie WireGuard.
Auf dem Handy wechseln Sie ständig zwischen WLAN und Mobilfunk. IKEv2/IPsec und WireGuard fangen das gut ab und bauen die Verbindung schnell wieder auf.
Fürs Handy und für Spiele sind WireGuard und IKEv2/IPsec die passenderen Optionen.
Bei Fritz!Box-Modellen hängt die Auswahl von der FRITZ!OS-Version ab. Welche Protokolle Ihr Modell beherrscht, steht in der AVM-Dokumentation. Wenn Sie ein VPN für Windows nutzen möchten, sollten Sie außerdem prüfen, welche Protokolle die jeweilige App unterstützt.
Ein VPN-Protokoll zu wechseln lohnt sich vor allem dann, wenn die Verbindung wiederholt Probleme macht.
Diese Beobachtungen sprechen dafür, ein anderes Protokoll auszuprobieren:
Die Verbindung bricht regelmäßig ab, vor allem beim Wechsel zwischen WLAN und Mobilfunk.
Die Geschwindigkeit ist deutlich niedriger als ohne VPN, obwohl der Server nicht überlastet ist.
Das VPN verbindet sich im Firmen-, Schul- oder Hotelnetz gar nicht erst.
Streams puffern oder Videocalls ruckeln, während normales Surfen funktioniert.
Ein typisches Szenario: Im Hotel-WLAN scheitert der Verbindungsaufbau über UDP, weil das Netz diesen Verkehr filtert. Mit TCP gelingt er oft trotzdem. Am Gerät liegt das Problem dann nicht.
Wenn Sie die Wirkung verschiedener Verbindungsmodi selbst nachvollziehen möchten, können Sie iTop VPN herunterladen und die Modi TCP, UDP und HTTPS vergleichen. Das sind keine Protokolle wie WireGuard, OpenVPN oder IKEv2, sondern Verbindungsarten. Laut Produktbeschreibung ist der HTTPS-Modus für Netze mit Einschränkungen gedacht. Ob er dort funktioniert, hängt von den Regeln des jeweiligen Netzes ab.
Die Einstellung finden Sie in den meisten VPN-Apps unter „Einstellungen“, meist im Bereich „Protokoll“ oder „Verbindung“. Die Bezeichnung unterscheidet sich je nach Anbieter. Nach dem Wechsel baut die App die Verbindung in der Regel neu auf.
8,000,000 Downloads
8,000,000 Downloads
Ob der Wechsel etwas gebracht hat, merken Sie nur mit einem sauberen Vergleich:
Verbinden Sie sich mit demselben Server und testen Sie zu ähnlicher Uhrzeit.
Messen Sie Ping, Download und Upload mit einem Speedtest, zunächst ohne VPN als Referenz.
Wechseln Sie die Einstellung und wiederholen Sie den Test.
Machen Sie pro Variante zwei bis drei Messungen und nehmen Sie den Durchschnitt.
Ändern Sie nicht gleichzeitig Protokoll und Server, sonst bleibt unklar, was den Unterschied gebracht hat. Auch eine einzelne Messung sagt wenig, da Schwankungen von Minute zu Minute normal sind. Passen Sie außerdem auf, dass im Hintergrund keine Downloads oder Updates laufen, die das Ergebnis verfälschen. Wenn Sie anschließend Ihre VPN-Verbindung überprüfen oder Probleme beim Einrichten beheben möchten, finden Sie dazu weitere Hinweise.
Ob ein VPN zu Ihnen passt, entscheidet sich nicht am Werbeversprechen, sondern an wenigen prüfbaren Punkten. Die Protokolle sind einer davon.
Diese Fragen sollten Sie vor der Entscheidung beantworten können:
Welche Protokolle oder Verbindungsmodi gibt es? Mindestens eine moderne Option sollte dabei sein, PPTP gehört nicht dazu.
Lässt sich das Protokoll selbst wählen? Eine automatische Auswahl ist praktisch, ein manueller Wechsel hilft bei Problemen.
Welche Verschlüsselung kommt zum Einsatz? AES-256 oder ChaCha20 gelten als Standard.
Läuft die App auf Ihren Geräten? Windows, macOS, Android und iOS sollten abgedeckt sein.
Gibt es einen Kill Switch? Er trennt die Internetverbindung, wenn der Tunnel abbricht.
Wie transparent ist die Datenschutzerklärung? Achten Sie auf klare Angaben zur Protokollierung.
Zum Vergleich: iTop VPN bietet laut Produktbeschreibung die Modi TCP, UDP und HTTPS an und nennt WireGuard oder IKEv2 nicht ausdrücklich. Für Nutzer, die einfach zwischen schnell und netzwerkfreundlich wechseln möchten, kann das ausreichen.
Prüfen Sie die Angaben am besten selbst in der aktuellen App-Version, bevor Sie sich festlegen. Das gilt für jeden Anbieter, denn Funktionen ändern sich mit Updates.
Gängig sind WireGuard, OpenVPN und IKEv2/IPsec. Dazu kommen ältere Varianten wie L2TP/IPsec, SSTP und PPTP, von denen vor allem PPTP nicht mehr zu empfehlen ist. Manche Anbieter setzen außerdem auf eigene VPN-Protokolle. Stärken und Einsatzbereiche im Überblick zeigt die Vergleichstabelle weiter oben.
Das hängt vom Einsatz ab. WireGuard ist für Alltag und Tempo meist die erste Wahl, OpenVPN eignet sich für streng gefilterte Netze, IKEv2/IPsec für das Smartphone. Oft zählt die Umsetzung in der App mehr als der Name.
Den Browserverlauf auf Ihrem Gerät ändert ein VPN nicht, den sehen weiterhin nur Sie. Verschoben wird, wer im Netz mitlesen kann: Ihr Internetanbieter sieht nur noch die Verbindung zum VPN-Server, der VPN-Anbieter technisch dagegen die Ziele Ihrer Anfragen. Ob er sie speichert, steht in seiner Datenschutzerklärung. Bei einem Firmen-VPN kann zusätzlich der Administrator Verbindungsdaten einsehen.
WireGuard läuft nur über UDP und kommt deshalb in streng gefilterten Netzen schlechter durch als OpenVPN über TCP. Das VPN-Protokoll ist jünger, bietet weniger Einstellmöglichkeiten und erfordert von Anbietern zusätzliche Lösungen, damit Geräteadressen nicht dauerhaft zugeordnet bleiben. Auf älteren Geräten und Routern fehlt die Unterstützung teils noch.
WireGuard selbst ist freie Software und kostet nichts. Bezahlen müssen Sie für den Dienst drumherum: entweder ein VPN-Abo, dessen Preis je nach Anbieter und Laufzeit deutlich schwankt, oder einen eigenen Server, den Sie mieten und selbst einrichten. Wer ein VPN kostenlos testen möchte, sollte besonders auf Datenvolumen und Serverauswahl achten, da kostenlose Angebote hier oft eingeschränkt sind.
Pauschal lässt sich das nicht sagen. Beide gelten mit aktuellen Einstellungen als sicher. WireGuard ist schlanker und deshalb leichter zu prüfen, setzt aber auf feste Verfahren. OpenVPN lässt sich freier konfigurieren und ist länger erprobt. Entscheidend sind regelmäßige Updates und eine saubere Konfiguration durch den Anbieter.
Nein. Die gängige Anmeldung von PPTP (MS-CHAPv2) lässt sich mit bekannten Methoden knacken, und das VPN-Protokoll stammt aus den 1990er-Jahren. Für Online-Banking, Arbeitsdaten oder Passwörter sollten Sie es meiden. Wählen Sie stattdessen WireGuard, OpenVPN oder IKEv2/IPsec.
nsichtbar. Hilft das nicht, bleibt oft nur ein Wechsel von Protokoll oder Server.
Welches VPN-Protokoll passt, hängt von Gerät, Netz und Einsatz ab. Mit den Unterschieden im Kopf entscheiden Sie gezielt, statt in den Einstellungen zu raten.
Für den Alltag mit Streaming und Downloads ist WireGuard meist die erste Wahl, alternativ funktioniert OpenVPN über UDP. Sind Sie viel mit dem Smartphone unterwegs, passen IKEv2/IPsec oder WireGuard gut, weil beide den Wechsel zwischen WLAN und Mobilfunk zuverlässig mitmachen. In Firmen-, Schul- oder Hotelnetzen mit Sperren kommen Sie mit OpenVPN über TCP und Port 443 am ehesten durch. Beim Gaming zählt eine niedrige Latenz, deshalb sind UDP-basierte Protokolle wie WireGuard sinnvoll. PPTP lassen Sie besser ganz aus.
Treten Abbrüche oder Tempoprobleme auf, testen Sie die Verbindung wie im Abschnitt zum Protokollwechsel beschrieben.
Ein Blick in die Einstellungen Ihres VPN zeigt Ihnen sofort, welches Protokoll gerade aktiv ist.
Abonnieren Sie unseren Newsletter
Melden Sie sich für unseren Newsletter an, um jede Aktualisierung zu erhalten.
Hinterlassen Sie einen Kommentar Ihre E-Mail Adresse wird nicht veröffentlicht.