WireGuard vs. OpenVPN 2026: Geschwindigkeit, Sicherheit, Audits – welches Protokoll wählen?

WireGuard kam um 2020–2021 in den großen Consumer-VPN-Apps an und hat OpenVPN seither stetig als Standard für neue Verbindungen abgelöst. Das Marketingversprechen – „schneller, schlanker, auditiert" – stimmt technisch, doch für Power-User und alle, die außerhalb des normalen Heiminternets unterwegs sind, ist das Bild differenzierter. Dieser Leitfaden vergleicht die beiden Protokolle anhand der Kennzahlen, die 2026 wirklich zählen.

Warum gibt es WireGuard und OpenVPN als getrennte Protokolle?

WireGuard (2016, ~4.000 Zeilen) wurde gebaut, um OpenVPNs Komplexität durch ein minimales Protokoll auf Kernel-Ebene zu ersetzen: einzelne Cipher-Suite, keine Aushandlung, eingebautes Roaming. OpenVPN (2001, 100.000+ Zeilen) wurde für flexible Enterprise-Site-to-Site-Verbindungen entworfen und bleibt die einzige Option für verschleierten Verkehr in zensierten Ländern. Beide lösen dasselbe Problem – verschlüsselter Tunnel – mit unterschiedlichen technischen Kompromissen.

OpenVPN wurde 2001 von James Yonan geschaffen, ausgelegt auf eine Welt, in der VPNs überwiegend Site-to-Site-Unternehmensverbindungen waren. Es baut auf der OpenSSL-Bibliothek auf und unterstützt jede Cipher, die OpenSSL bereitstellt (heute AES-256-GCM, Dutzende historische Optionen). Es läuft im Userspace, kommuniziert über ein virtuelles TUN/TAP-Interface mit dem Kernel und unterstützt sowohl UDP- als auch TCP-Transport. Seine Flexibilität ist zugleich sein Gewicht: Die Codebasis übersteigt 100.000 Zeilen C, die Konfigurationsfläche ist groß, und die Protokollaushandlung fügt bei jeder Verbindung Round-Trips hinzu.

WireGuard wurde 2016 von Jason Donenfeld als ausdrückliche Neugestaltung mit drei Prioritäten veröffentlicht: kleine Codefläche (~4.000 Zeilen für das Linux-Kernelmodul), einzelne Cipher-Suite (keine Aushandlung, kein Downgrade) und Roaming-Unterstützung (Clients können das Netzwerk ohne erneute Aushandlung wechseln). Der Linux-Kernel nahm WireGuard im März 2020 in den Mainline auf und bestätigte es damit als produktionsreif. Userspace-Implementierungen gibt es für macOS, Windows, iOS, Android und eingebettete Systeme, wobei die Integration auf Kernel-Ebene die beste Performance liefert.

Kryptografisch nutzt WireGuard ChaCha20-Poly1305 für die symmetrische Verschlüsselung, Curve25519 für den Schlüsselaustausch, BLAKE2s zum Hashing und das Noise Protocol Framework für den Handshake. OpenVPN handelt typischerweise AES-256-GCM mit SHA-256 und ECDHE für den Schlüsselaustausch aus. Beide sind 2026 sicher; der Unterschied liegt in der Implementierungskomplexität, nicht in der Protokollstärke.

Wie schnell ist WireGuard im Vergleich zu OpenVPN?

Über eine schnelle Glasfaserverbindung ist WireGuard im Allgemeinen deutlich schneller als OpenVPN, mit dem größten Abstand gegenüber OpenVPN TCP (das den Overhead von TCP-über-TCP zahlt). OpenVPN UDP ist schneller als OpenVPN TCP, liegt aber dennoch hinter WireGuard. Bei Verbindungen unter 25 Mbit/s ist der Unterschied vernachlässigbar – beide lasten die Leitung aus. WireGuards Kernel-Integration verbraucht spürbar weniger CPU als OpenVPN im Userspace und verlängert so die Akkulaufzeit mobiler Geräte.

Die allgemeine Durchsatz-Rangfolge, bei sonst gleichen Bedingungen (gleicher Server, gleicher Client), ist über unabhängige Tests hinweg konsistent:

Der WireGuard-Vorteil ist in absoluten Zahlen groß, aber bei niedrigen Geschwindigkeiten anteilig moderat: Auf einer langsamen DSL-Leitung lasten beide Protokolle die Verbindung aus und der Abstand wird unmerklich. Über Gigabit-Glasfaser weitet sich der Abstand stark. Der Unterschied bei der CPU-Auslastung erklärt, warum Mobilgeräte mit WireGuard länger durchhalten: weniger CPU-Arbeit pro getunneltem Byte.

Sicherheit und Audit-Historie

OpenVPN wird seit 2001 durchgehend eingesetzt, mit umfangreichen Audits 2017 (CVE-bewusste Durchsichten von Cure53 und OSTIF, finanziert von Private Internet Access) sowie erneut 2019, 2022 und 2024. Über die Jahre wurden mehrere CVEs identifiziert und behoben; die öffentliche Historie ist selbst ein Sicherheitssignal – Bugs wurden im Offenen gefunden und behoben.

Das Kernprotokoll von WireGuard wurde in akademischer Arbeit (2018–2020) mit Tamarin formal verifiziert. Die Linux-Kernel-Implementierung wurde 2019 von Cure53 auditiert. INRIA und akademische Teams haben Folgeanalysen veröffentlicht. NordVPN, Mullvad und ProtonVPN haben jeweils Audits ihrer jeweiligen WireGuard-Bereitstellung in Auftrag gegeben – beispielsweise wurde NordLynx (NordVPNs WireGuard-Wrapper) 2023 von Cure53 auditiert.

Ein subtiler Punkt: WireGuards Referenzdesign speichert die zuletzt verwendete Peer-IP in der Serverkonfiguration – nützlich fürs Endpunkt-Roaming, problematisch für den Datenschutz, wenn ein Anbieter dies als dauerhaftes Log behandelt. Große Anbieter (NordVPN, Mullvad, ProtonVPN) umhüllen WireGuard mit Double NAT oder Adressübersetzung, sodass die gespeicherte IP nicht auf einen bestimmten Abonnenten zurückführbar ist. Kleinere Anbieter tun dies womöglich nicht – eine generische WireGuard-Konfiguration eines winzigen VPN-Anbieters verdient Vorsicht.

Wann schlägt OpenVPN 2026 noch WireGuard?

OpenVPN gewinnt in drei spezifischen Szenarien: (1) zensierte Länder (China, Iran, VAE) – OpenVPN über TCP/443 mit Verschleierung besiegt DPI; WireGuards UDP-Signatur lässt sich leicht blockieren. (2) Unternehmens-Firewalls, die UDP 51820 blockieren. (3) Router und Hardware aus der Zeit vor 2021 ohne Kernel-WireGuard-Unterstützung. Für 95 % der Heimnutzer in unzensierten Ländern ist WireGuard die richtige Standardwahl.

Zensierte Länder. Chinas Große Firewall, Irans nationaler Filter und ähnliche DPI-Systeme können WireGuards markante UDP-Paketsignatur binnen Sekunden erkennen und den Datenstrom drosseln oder blockieren. OpenVPN über TCP/443 mit stunnel-Verschleierung (manchmal „Stealth VPN" oder „Obfuscated Servers" genannt) imitiert normalen HTTPS-Verkehr und übersteht DPI in den meisten Fällen. NordVPNs Obfuscated Servers, ExpressVPNs Lightway mit Verschleierung und Surfsharks Camouflage-Modus bauen alle auf diesem Prinzip auf. Siehe unseren China-VPN-Leitfaden für 2026 für konkrete Empfehlungen.

Unternehmensnetzwerke, die UDP blockieren. Viele Enterprise-Firewalls erlauben ausgehendes TCP/443 (HTTPS), blockieren aber UDP-Verkehr außerhalb bestimmter Freigabelisten. WireGuards Standard-UDP 51820 gehört zu den ersten Dingen, die blockiert werden. OpenVPN TCP/443 ist auf Netzwerkebene von HTTPS nicht zu unterscheiden und kommt durch. Wenn Sie als Freelancer aus einem Unternehmens-Gast-WLAN oder einem aggressiv filternden Hotel arbeiten, ist OpenVPN TCP ein bekannter Rückfall.

Alte Router und eingebettete Hardware. Consumer-Router von vor 2021 verfügen in der Regel nicht über WireGuard-Kernel-Unterstützung. Industriegeräte (Kassensysteme, Gebäudeautomatisierung, ältere IP-Kameras) unterstützen oft nur OpenVPN. Wenn Ihre Bereitstellung etwas davon berührt, bleibt OpenVPN die Lingua franca.

Anbieterspezifische Implementierungen, die man kennen sollte

NordVPN – NordLynx. WireGuard, eingebettet in ein Double-NAT-System, das das Designproblem der statischen Peer-IP verbirgt. Seit 2022 Standardprotokoll in allen NordVPN-Apps. Von Cure53 auditiert. Geschwindigkeit und Stabilität kommen unter den großen Anbietern dem „rohen WireGuard" am nächsten.

ExpressVPN – Lightway. Kein WireGuard – ein proprietäres Protokoll auf wolfSSL-Basis, für dieselben Ziele entworfen (Geschwindigkeit, Mobil-Effizienz) ohne WireGuards Designvorgabe zur Peer-IP. 2021 quelloffen gemacht, von Cure53 auditiert. Reines WireGuard wurde später als Opt-in hinzugefügt.

ProtonVPN – WireGuard als Standard. Schlichtes WireGuard mit anbieterseitiger Adressübersetzung. ProtonVPNs Gratistarif bietet WireGuard an, was ungewöhnlich ist – die meisten Anbieter behalten WireGuard im Gratistarif den kostenpflichtigen Plänen vor.

Mullvad – nur WireGuard. Entfernte 2023 die OpenVPN-Unterstützung, um das Engineering auf ein einziges Protokoll zu fokussieren. Defensiv, reduziert aber die Flexibilität für Nutzer mit Unternehmens- oder Zensur-Netzwerkbedingungen.

Surfshark – WireGuard seit 2020. WireGuard, OpenVPN UDP und OpenVPN TCP existieren alle nebeneinander. Die Implementierung ist standardmäßig statt umhüllt – prüfen Sie die Einstellungen, wenn Sie explizite Double-NAT-Garantien wünschen.

Praktischer Entscheidungsbaum

Für Heiminternet, Mobil, Gaming, Streaming in nicht zensierten Ländern → nutzen Sie den Anbieter-Standard (WireGuard / NordLynx / Lightway). Er ist schneller, schont den Akku und ist auditiert.

Für Unternehmensnetzwerke, in denen Sie eine UDP-Blockade vermuten → wechseln Sie vor der Reise manuell zu OpenVPN TCP/443. Testen Sie einmal am Ziel, weichen Sie bei Bedarf aus.

Für Reisen nach China, Iran, VAE, Russland → wählen Sie einen Anbieter mit Obfuscated Servers (NordVPN Obfuscated, ExpressVPN Lightway mit Verschleierung, Surfshark Camouflage). Nutzen Sie OpenVPN TCP/443 als Rückfall, falls die Verschleierung scheitert. Laden Sie die Konfigurationen vor der Abreise herunter – Anbieter-Websites sind am Ziel oft blockiert.

Für die Bereitstellung auf einem Legacy-Router oder eingebetteten Gerät → OpenVPN ist die einzige Option. Prüfen Sie die WireGuard-Unterstützung in der Firmware, bevor Sie sich darauf verlassen.

Für datenschutzstrikte Anwendungsfälle (Journalismus, Dissidenz) → Mullvad WireGuard (oder ein beliebiger Anbieter mit unabhängig auditierten WireGuard-Wrappern) plus Tor über VPN bei Bedarf. Prüfen Sie speziell die WireGuard-Logging-Richtlinie des Anbieters, nicht nur die allgemeine No-Log-Richtlinie.

Weiterführende Lektüre