VPN auf der FRITZ!Box: Warum die WireGuard-Datei zuerst zählt

Zwei bekannte VPN-Anbieter können beide prominent mit modernster WireGuard-Verschlüsselung werben – und trotzdem lässt sich der eine in wenigen Minuten auf der FRITZ!Box einrichten, während der andere auf dem Heimrouter offiziell gar nicht funktioniert.

Genau dieses Paradoxon erleben viele Nutzer, die ihren Smart-TV, die Spielekonsole oder gleich das gesamte Heimnetzwerk pauschal absichern wollen. Der klassische Impuls lautet meist: Ich nehme einfach den Testsieger mit der besten Smartphone-App und den höchsten Geschwindigkeitswerten, der wird schon auf meiner Box laufen.

Bei einem Router führt diese Denkweise fast immer zu Frust. Denn die FRITZ!Box installiert keine Apps aus einem Store. Sie verlangt handfeste, kompatible Konfigurationsdaten. Wer für diesen Zweck einkauft, muss die Auswahlkriterien umkehren: Nicht das Marketing der App entscheidet, sondern das, was am Ende im Einrichtungsmenü des Routers ankommt.

Bei der FritzBox gewinnt nicht automatisch der bekannteste VPN-Dienst

Der wichtigste technische Unterschied lässt sich erstaunlich einfach zusammenfassen: Ein WireGuard-Protokoll in einer Smartphone- oder Desktop-App ist nicht dasselbe wie eine exportierbare WireGuard-Konfigurationsdatei für einen Router.

Wenn moderne FRITZ!Box-Modelle eine Verbindung zu einem kommerziellen VPN-Anbieter aufbauen, arbeiten sie als eigenständiger VPN-Client (FRITZ! Wissensdatenbank: FRITZ!Box über WireGuard mit VPN-Anbieter verbinden, fritz.com). Dafür benötigt FRITZ!OS eine standardisierte Einstellungsdatei, die man manuell im Web-Interface hochlädt.

Unterstützt der VPN-Anbieter diesen manuellen Export nicht oder verpackt er WireGuard ausschließlich in proprietäre, eigene Anwendungen, nützt die schnellste App der Welt im heimischen Netzwerk nichts. Wenn der Dienst keine passende Datei für Drittgeräte bereitstellt, bleibt die Box schlicht außen vor. Für das Vorhaben zählt daher einzig und allein, ob der Anbieter offizielle Router-Konfigurationen liefert.

Prüfe zuerst deine FritzBox – nicht den VPN-Anbieter

Bevor man auch nur einen Cent für ein VPN-Abonnement ausgibt, gehört der erste Klick nicht auf die Preisseite eines Anbieters, sondern in die Benutzeroberfläche des eigenen Routers (fritz.box).

Unter Internet → Freigaben → VPN (WireGuard) zeigt sich sofort, ob die eigene Box überhaupt mitspielt. Zwar hat AVM mit FRITZ!OS 7.50 WireGuard auf breiter Front eingeführt (FRITZ! Update News: Neue Funktionen in FRITZ!OS 7.50, fritz.com), aber Modell und Firmware setzen klare Grenzen:

• Volle Funktionalität: Neuere Modelle (wie die FRITZ!Box 7590, 5590 oder 5690) erlauben es in der Regel problemlos, den gesamten Datenverkehr oder gezielt nur einzelne Geräte über den VPN-Anbieter zu leiten.
• Eingeschränkte Modelle: Ältere Modelle wie die beliebte FRITZ!Box 7490 unterstützen zwar WireGuard, bieten aber beispielsweise nicht die Option, den gesamten IPv4-Verkehr oder gezielt ausgewählte Heimnetzgeräte durch den Tunnel zu schicken (FRITZ! Wissensdatenbank: WireGuard-VPN zwischen zwei FRITZ!Box-Netzwerken einrichten – Einschränkungen der FRITZ!Box 7490, fritz.com).
• Keine Unterstützung: Ältere Kabelmodelle wie die FRITZ!Box 6590 Cable oder 6490 Cable unterstützen WireGuard prinzipiell nicht (FRITZ!: VPN mit FRITZ!Box, fritz.com).

Wer hier nicht vorab prüft, riskiert ein langes Abonnement abzuschließen, obwohl der eigene Router die Verbindung technisch gar nicht annehmen kann.

Was eine passende FRITZ!Box-Konfiguration praktisch leisten muss

Wer die Voraussetzungen im Router geschaffen hat und gezielt nach einer Lösung sucht, landet bei einem klaren redaktionellen Favoriten: Surfshark.

Für den direkten Betrieb auf einer kompatiblen FRITZ!Box ist dieser Anbieter aktuell die überzeugendste Wahl. Der Grund liegt nicht in werblichen Superlativen, sondern in der praktischen Umsetzung:

• Im Kundenkonto lassen sich dedizierte WireGuard-Schlüsselpaare und fertige Konfigurationsdateien für Serverstandorte weltweit mit wenigen Klicks generieren.
• Der Anbieter pflegt eine detaillierte, Schritt-für-Schritt bebilderte Dokumentation speziell für FRITZ!OS (Surfshark Customer Support: How to set up WireGuard on FRITZ!Box, support.surfshark.com).
• Die generierten Konfigurationen lassen sich sauber importieren, sodass der Router wahlweise das gesamte Heimnetz oder nur bestimmte Clients – wie den Smart-TV oder die Konsole – über den Tunnel schickt.

Wie wichtig dieser Filter ist, beweist ausgerechnet der Branchenriese NordVPN: Dessen eigenes Protokoll NordLynx basiert zwar ebenfalls auf WireGuard (NordVPN Kundenservice: Was ist NordLynx?, support.nordvpn.com), dennoch führt NordVPN die FRITZ!Box mit nativer Firmware ausdrücklich als nicht unterstützt auf (NordVPN Kundenservice: Welche Router unterstützen NordVPN nicht?, support.nordvpn.com). Das macht NordVPN auf dem Smartphone nicht schlechter, disqualifiziert den Dienst aber für genau diese FRITZ!Box-Aufgabe.

Wer nach einer soliden Alternative sucht, findet beispielsweise in hide.me einen weiteren Anbieter mit passenden statischen WireGuard-Dateien und eigener FRITZ!Box-Anleitung (hide.me: hide.me VPN für FRITZ!Box, hide.me). In puncto Gesamtpaket und Dokumentation bleibt Surfshark an der Box derzeit jedoch das rundeste Werkzeug.

Der Router-Tunnel hat andere Grenzen als eine VPN-App

Wer ein VPN auf dem Router betreibt, sollte sich bewusst machen, dass ein Router-Tunnel grundlegend anders funktioniert als ein Klick auf dem Handy. Es gibt vier praktische Besonderheiten:

1. Kein spontaner Serverwechsel: Braucht man spontan eine andere IP-Adresse oder ein anderes Land, reicht kein Klick auf eine Weltkarte. Man muss sich erneut im Router einloggen und eine andere Konfigurationsdatei aktivieren.
2. Die Rechenleistung des Routers limitiert das Tempo: Die Verschlüsselung des gesamten Datenverkehrs fordert den Hauptprozessor der FRITZ!Box. Ältere Modelle erreichen bei aktivem VPN-Tunnel oft nicht die volle Bandbreite eines schnellen Glasfaser- oder Gigabit-Anschlusses (FRITZ! Wissensdatenbank: VPN-Verbindungen zur FRITZ!Box langsam, fritz.com).
3. Ausnahmen für Gastnetz und Festnetz: Der Gastzugang der FRITZ!Box wird von AVM bewusst nicht über die VPN-Verbindung geleitet. Auch bei IP-Telefonie kann es je nach Anbieter zu Problemen kommen, wenn Sprachdaten über externe VPN-Server geroutet werden (FRITZ! Wissensdatenbank: FRITZ!Box über WireGuard mit VPN-Anbieter verbinden, fritz.com).
4. Schlüsselkonflikte beachten: Wer bereits WireGuard nutzt – etwa um von unterwegs per Smartphone auf die heimische FRITZ!Box zuzugreifen –, kann beim Import einer Drittanbieter-Datei auf Meldungen über Schlüsselkonflikte stoßen, die eine separate Anpassung der IP-Bereiche verlangen (FRITZ! Wissensdatenbank: FRITZ!Box meldet Schlüsselkonflikt beim Import einer WireGuard-Konfigurationsdatei, fritz.com).

Ein Router-VPN ist ein solides, dauerhaftes Netzwerkelement für feste Geräte. Als flexible Spielwiese für tägliche Standortwechsel eignet es sich weniger.

Router oder Endgerät?

Am Ende ist die Kaufentscheidung erstaunlich geradlinig und teilt sich in drei Szenarien:

Szenario A: Smart-TV, Streaming-Box oder Konsole dauerhaft absichern. Wenn Geräte geschützt werden sollen, auf denen sich keine eigene App installieren lässt, führt der Weg über den Router. Unter der Voraussetzung einer kompatiblen Box greift man hier direkt zu Surfshark, lädt die WireGuard-Datei herunter und bindet die gewünschten Geräte ein.

Szenario B: Ein bestehendes VPN-Abo weiternutzen. Wer bereits ein Abo besitzt, prüft vorab im Kundenbereich, ob manuelle WireGuard-Downloads für Router bereitstehen. Fehlt diese Funktion, lohnt sich kein langes Ausprobieren – der Router wird die Verbindung nicht akzeptieren.

Szenario C: Eigentlich geht es nur um PC, Mac und Smartphone. Wer den VPN-Schutz primär für den Arbeits-Laptop, das Tablet oder das Handy sucht, muss sich die manuelle Einrichtung auf der FRITZ!Box überhaupt nicht antun. Moderne Client-Lösungen sind für den Alltag auf Endgeräten schlicht flexibler.

Hier kommt beispielsweise OnlydogVPN^↗ ins Spiel. Anstatt sich mit IP-Bereichen und Router-Dateien herumzuschlagen, konzentriert sich der Dienst gezielt auf native Anwendungen für macOS, Windows, iOS und Android (OnlydogVPN: Xbox VPN Setup With a Router, en.onlydogsvpn.com). Wer unterwegs in fremden WLANs surft oder am Rechner mit einem Klick das Land wechseln möchte, fährt mit einer solchen App-Lösung wesentlich entspannter. Auf der FRITZ!Box selbst lässt sich dieser Dienst mangels roher Konfigurationsdateien nicht importieren – doch wer nur seine persönlichen Endgeräte schützen will, braucht den Umweg über das Router-Menü ohnehin nicht.

Für die FRITZ!Box gilt daher eine simple Grundregel: Man kauft keinen Router-VPN wegen bunter App-Oberflächen oder bekannter Namen. Man kauft ihn erst in dem Moment, in dem der Anbieter die passende WireGuard-Datei für den Import bereitstellt. Wer genau das sucht, ist bei Surfshark an der richtigen Adresse.