WireGuard bei 1&1 Glasfaser: Erst den IP-Modus prüfen, dann das VPN einrichten

Der QR-Code ist sauber über die Benutzeroberfläche der FRITZ!Box generiert und mit der Smartphone-App eingescannt. Der Schalter springt auf Grün, doch sobald das heimische WLAN verlassen wird, bleibt die Verbindung stumm: Weder die Administrationsoberfläche des Routers noch das private NAS oder die Smart-Home-Zentrale antworten.

In Online-Foren führt dieses Phänomen regelmäßig zu voreiligen Schlüssen. Mal wird vermutet, 1&1 blockiere VPN-Verbindungen generell, mal wird das WireGuard-Profil mehrfach gelöscht und neu angelegt. Das eigentliche Problem liegt jedoch selten an der Software oder den kryptografischen Schlüsseln. Ein importiertes Profil beweist lediglich die Zugangsberechtigung, garantiert aber noch keinen funktionierenden Pfad von außen zur heimischen FRITZ!Box. Bevor man Zeit in Fehlersuchen oder Router-Resets investiert, entscheidet ein einziger Faktor über den Erfolg: der IP-Modus des eigenen Glasfaseranschlusses.

1&1 Glasfaser hat nicht an jedem Anschluss denselben IP-Weg

Die Annahme, jeder 1&1-Glasfaseranschluss sei technisch identisch geschaltet, ist ein weit verbreiteter Irrtum. Je nach gebuchtem Tarif, Ausbaupartner und Vorleisternetz vergibt 1&1 unterschiedliche Adresskonfigurationen, die in den offiziellen Leistungsbeschreibungen über DS-Lite und natives IPv6 geregelt sind. (content.[1und1.de/pdfs/1und1_Leistungsbeschreibung.pdf](https://content.1und1.de/pdfs/1und1_Leistungsbeschreibung.pdf))

Für den Fernzugriff via WireGuard ergeben sich daraus drei grundlegende Konstellationen:

• Öffentliche IPv4-Adresse: Die FRITZ!Box verfügt über eine vollwertige, eigenständige IPv4-Adresse im weltweiten Internet. Ein dynamischer Namensdienst wie MyFRITZ! führt wechselnde Adressen nach, und der Router kann direkt aus jedem beliebigen fremden Netz angesprochen werden. (hilfe-center.[1und1.de/fernzugriff-router](https://hilfe-center.1und1.de/fernzugriff-router))
• Keine öffentliche IPv4, aber öffentliche IPv6 (DS-Lite / Provider-NAT): Eingehende IPv4-Pakete scheitern, weil sich viele Haushalte dieselbe öffentliche IPv4 teilen. Eingehendes WireGuard funktioniert in diesem Fall ausschließlich über die öffentliche IPv6-Adresse – vorausgesetzt, das fremde Mobilfunk- oder Gastnetz unterwegs unterstützt ebenfalls IPv6.
• Vorgeschalteter Router oder Glasfasermodem mit Routerfunktion: Befindet sich zwischen dem Glasfaser-Teilnehmeranschluss und der FRITZ!Box ein zweites Routing-Gerät, entsteht ein sogenanntes doppeltes NAT. Die FRITZ!Box erhält dann nur eine interne Netzwerkadresse und bleibt von außen abgeschirmt, selbst wenn der Anschluss theoretisch erreichbar wäre.

1&1 führt WireGuard ausdrücklich als modernes und geeignetes Protokoll für den Heimnetzzugriff. (1und1.de/magazin/internet-zuhause/vpn-einrichten) Ob der Tunnel gelingt, hängt folglich nicht vom Protokoll ab, sondern davon, an welcher Haustür das externe Gerät anklopft.

Der Online-Monitor entscheidet zwischen IPv4, IPv6 und doppeltem NAT

Statt auf gut Glück Portfreigaben zu testen, liefert die Benutzeroberfläche der FRITZ!Box in weniger als zwei Minuten Klarheit über den tatsächlichen Modus:

1. Öffnen Sie im Webbrowser die FRITZ!Box-Oberfläche und navigieren Sie zu Internet / Online-Monitor. Notieren Sie sich die dort aufgeführte IPv4-Adresse sowie den Status der IPv6-Verbindung.
2. Rufen Sie in einem separaten Browsertab eine Website zur Ermittlung der öffentlichen IP-Adresse auf (wie wieistmeineip.de).
3. Vergleichen Sie beide Angaben:

• Die Adressen stimmen exakt überein: Der Anschluss verfügt über eine eigene öffentliche IPv4-Adresse. Ein direkter WireGuard-Zugang über IPv4 ist ohne Umwege möglich.
• Die Adressen weichen voneinander ab: Der Anschluss nutzt Carrier-Grade-NAT (CGNAT) bzw. DS-Lite. Die FRITZ!Box ist über IPv4 von außen nicht direkt adressierbar. Maßgeblich ist nun, ob im Online-Monitor ein globales IPv6-Präfix aktiv ist.
• Die FRITZ!Box zeigt im WAN-Status eine typische Heimnetz-IP (z. B. 192.168.x.x oder 10.x.x.x): Ein vorgeschaltetes Gerät spannt ein eigenes Netz auf. Hier muss zuerst das eigene Heimnetzwerk bereinigt werden (beispielsweise durch Versetzen des Vorgeräts in den Bridge-Modus).

1. Prüfen Sie abschließend das Außennetz: Schalten Sie am Smartphone das WLAN ab und prüfen Sie über Mobilfunk, ob Ihr Netzanbieter Ihrem Mobilgerät eine IPv6-Adresse zuweist.

Hersteller AVM hält in seiner Wissensdatenbank unmissverständlich fest: Eine FRITZ!Box, die als VPN-Server agiert, benötigt zwingend entweder eine öffentliche IPv4- oder eine global erreichbare IPv6-Adresse. (fritz.com/service/wissensdatenbank)

WireGuard funktioniert nativ, wenn beide Enden denselben Weg besitzen

Ergibt die Diagnose eine direkte Erreichbarkeit, lässt sich die native WireGuard-Funktion von FRITZ!OS sauber in Betrieb nehmen:

• Aktualisieren Sie die Router-Firmware auf den neuesten Stand, um bekannte Verbindungsprobleme älterer Versionen auszuschließen.
• Aktivieren Sie den MyFRITZ!-Dienst. Er fungiert als dynamischer Wegweiser und sorgt dafür, dass Ihr Smartphone den Router auch nach einer Zwangstrennung oder Präfix-Änderung unter demselben Domainnamen wiederfindet. (hilfe-center.[1und1.de/fernzugriff-router](https://hilfe-center.1und1.de/fernzugriff-router)) Eine teure feste IP-Adresse ist für Privatanwender nicht erforderlich.
• Erstellen Sie unter Internet / Freigaben / VPN (WireGuard) eine frische Verbindung für das Mobilgerät. Übertragen Sie den Schlüssel per QR-Code.
• Beschränken Sie die Freigabe auf den internen Heimnetzverkehr. Belassen Sie sensible Webseiten von NAS-Systemen, Smart-Home-Zentralen oder Druckern hinter dem VPN-Schutz, statt diese über separate Portweiterleitungen ungesichert ins Internet zu stellen.

Die entscheidende Systemgrenze: Steht zu Hause ausschließlich IPv6 zur Verfügung, muss der gesamte Übertragungsweg von Ende zu Ende IPv6-fähig sein. Moderne deutsche Mobilfunknetze stellen diesen Pfad fast immer bereit. Bucht sich das Smartphone jedoch auf Reisen in ein Hotel-WLAN oder älteres Firmennetz ein, das rein auf IPv4 basiert, verpufft der Verbindungsaufbau ins Leere. An dieser Hürde scheitert kein Router, sondern die Inkompatibilität zweier unterschiedlicher Netzwerkstandards.

Zwei unterschiedliche VPN-Aufgaben

Zeigt die Bestandsaufnahme, dass keine öffentliche IPv4 buchbar ist und der IPv6-Weg unterwegs zu oft abreißt, entscheidet die gewünschte Ressource über die Alternative:

Wenn persönliche Daten und Heimgeräte erreichbar sein müssen

Können eingehende Signale die FRITZ!Box nicht direkt erreichen, dreht ein modernes Overlay-Netzwerk wie Tailscale das Prinzip um: Ein sparsamer Rechner oder ein kompatibles NAS im Heimnetz baut aktiv eine verschlüsselte Verbindung von innen nach außen zu einem Koordinationsserver auf. (tailscale.com/docs/integrations/firewalls) Da beide beteiligten Geräte die Verbindung aktiv initiieren, durchdringen sie DS-Lite und strenge Router-Firewalls meist automatisch. Über eine Subnet-Router-Funktion lassen sich sogar Geräte im Heimnetz ansteuern, auf denen sich keine eigene Software installieren lässt. (tailscale.com/docs/features/subnet-routers)

Wenn es unterwegs nur um den Internetverkehr geht

Viele Anwender betreiben den anstrengenden Aufwand eines Heim-VPNs jedoch gar nicht, um auf Dokumente oder Kameras zuzugreifen. Ihr einziges Ziel ist es, in ungesicherten Hotel-WLANs geschützt zu surfen, Geoblocking bei Streaming-Diensten zu überwinden oder Tracking zu minimieren.

Für diesen Zweck ist die heimische FRITZ!Box schlicht das falsche Werkzeug. Sie belastet unnötig die heimische Upload-Leitung und scheitert an restriktiven Netzen.

Hier empfiehlt sich OnlydogVPN^↗ als praxistaugliche, direkte Lösung. Statt mühsam Routereinstellungen zu pflegen, DNS-Zuweisungen zu überwachen oder Ports zu konfigurieren, verlagert der Dienst den Schutz auf eine spezialisierte, hochverfügbare Infrastruktur:

• Szenario-Voreinstellungen: Vorkonfigurierte Profile für schnelles Browsen oder ruckelfreies Streaming ersparen jedes kryptische Protokollmenü. (OnlydogVPN.com)
• Automatische Routenwahl: Das System ermittelt eigenständig die stabilste und performanteste Verbindung, ohne dass der Nutzer Serverlisten studieren muss.
• Netzwechsel-Wiederherstellung: Verlässt man das Hotel-WLAN und wechselt ins Mobilfunknetz, fängt die Anwendung Verbindungsschwankungen zuverlässig ab, ohne dass manuelle Reaktivierungen nötig werden. (OnlydogVPN.com)

Die Grenze bleibt dabei sachlich und eindeutig: Ein Consumer-VPN stellt keinen Tunnel zu privaten Dokumenten hinter dem heimischen 1&1-Router her. Wer an persönliche Festplatten muss, nutzt natives WireGuard oder ein Overlay-Netz. Wer hingegen unterwegs stressfrei Sicherheit im Web sucht, spart sich die Router-Bastelei und setzt auf eine spezialisierte App auf seinen Endgeräten.