WireGuard, FRITZ!Box und 1&1 Glasfaser: Was DS-Lite wirklich verändert

Der neue Glasfaseranschluss von 1&1 ist geschaltet, die FRITZ!Box leuchtet brav grün, und in der Benutzeroberfläche lockt die moderne VPN-Option WireGuard. Doch wer sich vorab im Netz informiert, stößt schnell auf warnende Forenbeiträge: „Achtung, 1&1 schaltet DS-Lite! Damit funktioniert kein VPN, du brauchst zwingend echtes Dual-Stack oder eine öffentliche IPv4.“ Parallel dazu versprechen AVM-Leitfäden, dass WireGuard an DS-Lite-Anschlüssen problemlos klappt.

Beide Aussagen können stimmen – je nachdem, was man eigentlich vorhat.

Das eigentliche Problem an modernen Breitbandanschlüssen ist selten die Technik von 1&1 oder AVM. Die größte Hürde ist ein gedanklicher Kurzschluss: Ein erfolgreicher WireGuard-Handshake belegt lediglich, dass zwei Endpunkte miteinander sprechen können. Er beantwortet noch nicht, wer diese Verbindung starten kann – und vor allem nicht, welcher Datenverkehr anschließend tatsächlich durch den Tunnel fließt.

DS-Lite schließt WireGuard an der FRITZ!Box nicht aus

Zunächst zur Entwarnung: Ein 1&1-Glasfaseranschluss mit DS-Lite (Dual-Stack Lite) macht WireGuard keineswegs unbrauchbar.

1&1 setzt bei vielen Anschlüssen standardmäßig auf IPv6 in Verbindung mit DS-Lite, um IPv4-Adressen im eigenen Netz zu bündeln (1&1: Technische Anforderungen an Ihren Router). Für den Nutzer bedeutet das schlicht: Es gibt keine exklusive, weltweit eindeutige öffentliche IPv4-Adresse mehr nur für das eigene Modem.

Das verhindert jedoch keineswegs moderne VPN-Tunnel. AVM hat WireGuard in FRITZ!OS von Grund auf so integriert, dass Verbindungen sowohl über klassisches IPv4 als auch nativ über modernes IPv6 aufgebaut werden können (FRITZ! Wissensdokument #3732).

Bevor man also bei der Hotline anruft und versucht, eine teure oder schwer erhältliche feste IPv4-Option zu buchen, sollte man das Vorhaben in die richtige Schublade stecken.

Fernzugriff und Router-VPN sind zwei entgegengesetzte Wege

Hinter dem Begriff „WireGuard einrichten“ verbergen sich im Alltag meist zwei völlig gegensätzliche Netzwerkaufgaben. Wer diese nicht trennt, sucht tagelang an den falschen Einstellungen:

Weg A (Fernzugriff nach Hause):
Smartphone/Laptop unterwegs  ──►  [Internet]  ──►  FRITZ!Box zu Hause

Weg B (Kommerzieller VPN auf dem Router):
Geräte im Heimnetz  ──►  FRITZ!Box zu Hause  ──►  [Internet]  ──►  VPN-Anbieter

Weg A: Fernzugriff auf das Heimnetz

Hier bist du unterwegs im Hotel oder Café und möchtest auf dein heimisches NAS, Kameras oder die Smart-Home-Zentrale zugreifen. Das mobile Gerät ruft deine FRITZ!Box an.

• Die Bedingung: Die FRITZ!Box muss von außen erreichbar sein. An einem DS-Lite-Anschluss klappt dieser Anruf über IPv6 hervorragend – vorausgesetzt, das Mobilfunknetz unterwegs unterstützt IPv6 (was deutsche Netze heute überwiegend tun) und der MyFRITZ!-Dienst löst die Adresse sauber auf (FRITZ! Wissensdokument #3685).

Weg B: VPN-Anbieter direkt auf der FRITZ!Box einrichten

Hier willst du Geräte im Wohnzimmer (etwa Smart-TV oder Spielekonsole) über einen Bezahldienst wie NordVPN, Surfshark oder Mullvad leiten.

• Die Bedingung: Die FRITZ!Box ruft den Server des Anbieters an. Ob dein heimischer Anschluss eine öffentliche IPv4 besitzt oder über DS-Lite läuft, ist für diesen ausgehenden Verbindungsaufbau zweitrangig. Entscheidend ist hier etwas ganz anderes: Der VPN-Anbieter muss fertige WireGuard-Konfigurationsdateien für Router bereitstellen, die sich in FRITZ!OS importieren lassen (FRITZ! Wissensdokument #3688).

Der Stolperstein nach dem Handshake: IPv4 ist nicht IPv6

Angenommen, du hast die FRITZ!Box erfolgreich als Client mit einem kommerziellen VPN-Dienst verbunden. Das Status-Symbol springt auf Grün, der Handshake steht. Viele wiegen sich nun in der Sicherheit, dass ihr kompletter Datenverkehr verschlüsselt ist.

Genau hier lauert die eigentliche Falle im Kleingedruckten von AVM:

1. Reine IPv4-Umleitung: Wenn du in der FRITZ!Box festlegst, dass der gesamte Internetverkehr eines Geräts über den VPN-Anbieter laufen soll, meint AVM damit standardmäßig den gesamten IPv4-Netzwerkverkehr (FRITZ! Wissensdokument #3688).
2. Der IPv6-Bypass: Da dein 1&1-Glasfaseranschluss nativ mit IPv6 arbeitet, rufen moderne Webseiten und Apps bevorzugt IPv6-Ziele auf. Unterstützt der gewählte VPN-Server des Anbieters kein vollwertiges IPv6-Routing zurück ins Internet, leitet die FRITZ!Box diesen IPv6-Verkehr unter Umständen an der VPN-Gegenstelle vorbei oder blockiert ihn. AVM weist ausdrücklich darauf hin, dass viele VPN-Server diesen Schritt nicht sauber beherrschen (FRITZ! Wissensdokument #3732).
3. Ausnahmen im Heimnetz: Das praktische FRITZ!-Gastnetz wird von AVM grundsätzlich nicht durch den konfigurierten VPN-Anbieter geschleust. Zudem kann immer nur eine einzige WireGuard-Verbindung gleichzeitig als globales Standardziel für IPv4 definiert werden (FRITZ! Wissensdokument #3712).

Ein grünes Lämpchen belegt also nur, dass der Tunnel nicht abreißt – nicht, dass moderne IPv6-Anfragen deiner Streaming-Box oder deines PCs nicht doch über die normale 1&1-Leitung ins Netz gehen.

Wann ein Router-Tunnel sinnvoll ist – und wann eine App reicht

Ein VPN direkt auf der FRITZ!Box einzurichten, ist mit Reibung verbunden. Du musst Konfigurationsdateien herunterladen, Parameter anpassen und prüfen, wie dein Anschluss mit IPv4 und IPv6 umgeht.

Sinnvoll ist dieser Aufwand eigentlich nur in einem einzigen Fall: Du besitzt Geräte im Wohnzimmer, auf denen sich keine eigene VPN-App installieren lässt. Typische Beispiele sind Smart-TVs, ältere Streaming-Boxen oder Spielkonsolen.

Möchtest du dagegen einfach nur dein Notebook, das Smartphone oder ein Tablet absichern, ist der Umweg über die FRITZ!Box meist unnötig kompliziert. Für reine Endgeräte ist eine native Anwendung der geradlinigere Weg.

Wer diesen unkomplizierten Weg sucht, findet in OnlydogVPN^↗ eine Alternative, die genau diese Router-Baustellen umgeht. Statt sich mit DS-Lite-Konflikten, IPv6-Lecks oder manuellen Routing-Tabellen in FRITZ!OS zu plagen, installiert man den Dienst direkt auf macOS, Windows, Android oder iOS. Die Anwendung setzt auf automatische Routenwahl und praktische Szenario-Presets: Ein Klick schützt das jeweilige Gerät sofort, während der heimische Glasfaser-Router völlig unangetastet bleibt.

Wichtig für die Kaufentscheidung: Wer zwingend seinen Smart-TV oder die Xbox direkt über die FRITZ!Box tunneln möchte, kann diesen Dienst nicht nutzen. Das Produkt stellt bewusst keine manuellen WireGuard-Konfigurationsdateien für Router-Importe bereit (OnlydogVPN: Xbox VPN Setup With a Router). Wer den gesamten Router tunneln will, muss zwingend zu einem Anbieter greifen, der rohe WireGuard-Profile zum Download anbietet.

Notizen an mein zukünftiges Ich

Statt blind DS-Lite-Forenthreads abzuarbeiten, spart eine strukturierte Vorgehensweise Nerven:

• Ziel 1: Du willst von unterwegs auf dein Heimnetz zugreifen?

Richte WireGuard in der FRITZ!Box als Fernzugriff ein. Nutze MyFRITZ!, stelle sicher, dass dein Mobilfunktarif unterwegs IPv6 unterstützt, und lass deinen 1&1-Anschluss unangetastet.

• Ziel 2: Du willst Geräte ohne eigene App (TV, Konsole) über einen VPN schicken?

Wähle einen VPN-Anbieter, der explizit Router-Konfigurationen für WireGuard exportiert. Importiere die Datei in die FRITZ!Box und teste danach auf dem Endgerät mit einem Online-Test gezielt, ob sowohl IPv4- als auch IPv6-Adressen dem VPN zugeordnet sind.

• Ziel 3: Du willst einfach nur deinen Laptop oder dein Smartphone schützen?

Lass die FRITZ!Box als schnellen, reinen Glasfaser-Router arbeiten. Nutze eine direkte Endgeräte-App wie OnlydogVPN und spare dir das Hantieren mit Konfigurationsdateien und Netzwerkprotokollen.

• Ziel 4: Zwei komplette Standorte verbinden?

Für LAN-LAN-Kopplungen verlangt AVM zwingend unterschiedliche IP-Bereiche in beiden Netzen (z. B. 192.168.178.x darf nicht auf beiden Seiten existieren) (FRITZ! Wissensdokument #3687).

Der beste Weg mit 1&1 Glasfaser beginnt 2026 nicht mit dem Ändern des Anschlussvertrags. Er beginnt damit, die Richtung deines Vorhabens festzulegen – und nach dem Verbinden genau zu prüfen, welche Datenpakete die FRITZ!Box tatsächlich durch den Tunnel schickt.