Zuerst die Richtung festlegen
Bevor Sie ein Menü öffnen, müssen Sie entscheiden, wo der Tunnel beginnen und enden soll. Bei einer FRITZ!Box sind zwei gegensätzliche Varianten üblich.
Fernzugriff zur FRITZ!Box: Smartphone oder Notebook verbindet sich von unterwegs mit Ihrem Router. Sie erreichen NAS, Smart-Home-Geräte und andere Dienste im Heimnetz. Wenn der gesamte Verkehr durch den Tunnel läuft, erscheint im Internet die Adresse Ihres heimischen Anschlusses.
Verbindung von der FRITZ!Box zu einem VPN-Anbieter: Der Router baut einen ausgehenden Tunnel zu einem kommerziellen Dienst auf. Ausgewählte Heimgeräte oder das Heimnetz nutzen dann die Adresse des Anbieters. Das ist nützlich für Geräte ohne eigene VPN-App.
Beide Varianten verwenden VPN-Technik, lösen aber unterschiedliche Probleme. Für den Zugriff auf Ihr Zuhause brauchen Sie kein kommerzielles Abo. Für einen virtuellen Ausgangsstandort genügt der reine Heimzugang nicht.
Voraussetzungen prüfen
Die genaue Oberfläche hängt von Modell und FRITZ!OS ab. Aktualisieren Sie den Router zuerst und prüfen Sie in der Wissensdatenbank des Herstellers, ob Ihr Modell die gewünschte WireGuard-Funktion unterstützt.
Für beide Varianten benötigen Sie:
- ein aktuelles FRITZ!OS
- administrativen Zugriff auf die Benutzeroberfläche
- eine gesicherte aktuelle Konfiguration des Routers
- ein Ziel, also Heimzugang oder VPN-Anbieter
- bei einem Anbieter eine passende WireGuard-Konfigurationsdatei für Router
Für den Fernzugriff muss die FRITZ!Box aus dem Internet über eine öffentliche IPv4-Adresse oder IPv6 erreichbar sein. Ein Anschluss mit DS-Lite kann grundsätzlich funktionieren, verlangt aber passende IPv6-Erreichbarkeit auch auf der zugreifenden Seite.
Öffnen Sie die Benutzeroberfläche nur über die lokale Adresse oder einen bereits abgesicherten Fernzugriff. Laden Sie Router- und VPN-Konfigurationen nicht auf fremden Geräten herunter.
Variante A: Von unterwegs ins Heimnetz
Für neue Einrichtungen ist WireGuard meist die übersichtlichere Wahl. Die FRITZ!Box erzeugt die Schlüssel und eine Konfiguration für genau ein Gerät.
- Richten Sie unter Internet, MyFRITZ!-Konto eine MyFRITZ!-Adresse ein, falls noch keine vorhanden ist.
- Öffnen Sie Internet, Freigaben, VPN (WireGuard).
- Wählen Sie WireGuard-Verbindung hinzufügen.
- Wählen Sie Einzelgerät verbinden.
- Vergeben Sie einen eindeutigen Namen, zum Beispiel „Notebook Reise“.
- Bestätigen Sie die Änderung direkt am Router, wenn die Oberfläche dies verlangt.
- Importieren Sie die erzeugte Datei in die WireGuard-App oder scannen Sie auf einem Mobilgerät den QR-Code.
Behandeln Sie QR-Code und Konfigurationsdatei wie ein Passwort. Wer eine vollständige Client-Konfiguration erhält, besitzt den privaten Schlüssel dieses Zugangs. Erstellen Sie für jedes Gerät eine eigene Verbindung. So können Sie ein verlorenes Smartphone sperren, ohne alle übrigen Geräte neu einzurichten.
Eine ausführliche Erklärung zu Routen, Adresskonflikten und IPv6 finden Sie in WireGuard auf der FRITZ!Box.
Variante B: Die FRITZ!Box mit einem VPN-Anbieter verbinden
Diese Variante ist nur möglich, wenn der Dienst eine WireGuard-Konfiguration für Router bereitstellt. Eine App-Anmeldung mit Benutzername und Passwort reicht nicht. Manche Anbieter binden Konfigurationsdateien an einen Server oder ein Gerät.
- Erzeugen Sie im Kundenkonto des Anbieters eine Router-Konfiguration und laden Sie die Datei auf einen vertrauenswürdigen Computer.
- Öffnen Sie in der FRITZ!Box Internet, Freigaben, VPN (WireGuard).
- Wählen Sie WireGuard-Verbindung hinzufügen.
- Wählen Sie die Kopplung mit einem bereits eingerichteten Netzwerk und bestätigen Sie, dass die Gegenstelle vorbereitet ist.
- Laden Sie die Konfigurationsdatei des Anbieters hoch.
- Aktivieren Sie die Weiterleitung des gesamten IPv4-Internetverkehrs, wenn dies Ihr Ziel ist.
- Wählen Sie auf Wunsch nur bestimmte Heimgeräte für die Verbindung aus.
- Speichern und bestätigen Sie die Konfiguration.
Die Bezeichnungen können sich mit FRITZ!OS ändern. Folgen Sie im Zweifel der aktuellen Anleitung für Ihr konkretes Modell.
AVM weist auf wichtige Einschränkungen hin: Geräte im Gastnetz nutzen bei dieser Konfiguration nicht zwingend den Anbietertunnel. Telefonie über den Tunnel ist nicht zugesichert. Außerdem können vorhandene WireGuard-Verbindungen je nach Modell und FRITZ!OS die Einrichtung beeinflussen. Prüfen Sie diese Punkte vor einer Umstellung, besonders wenn der Anschluss geschäftlich genutzt wird.
Alle Geräte oder nur ausgewählte Geräte?
Eine Router-Verbindung schützt Geräte ohne eigene App, etwa Fernseher oder Streaming-Sticks. Sie hat aber einen größeren Fehlerbereich. Fällt der Tunnel aus oder greift eine Routingregel nicht wie erwartet, betrifft das mehrere Geräte.
Alle Geräte sind sinnvoll, wenn der Standort dauerhaft über denselben Ausgang laufen soll und lokale Dienste damit zurechtkommen. Banking, regionale Shops, Videotelefonie und Spiele können auf einen unerwarteten Standort oder zusätzliche Latenz empfindlich reagieren.
Ausgewählte Geräte sind meist leichter zu kontrollieren. Ein Fernseher kann den Tunnel nutzen, während Arbeitsnotebook, Telefonie und Smart-Home-Zentrale direkt verbunden bleiben. Dokumentieren Sie die Auswahl, damit ein später hinzugefügtes Gerät nicht versehentlich außerhalb oder innerhalb des Tunnels landet.
Eine VPN-App auf dem Endgerät bietet dagegen schnelle Serverwechsel, einen gerätespezifischen Kill Switch und leichter zugängliche Diagnosefunktionen. Die Router-Lösung ist nicht automatisch sicherer, sie verlagert nur die Steuerung.
Verbindung richtig testen
Verlassen Sie sich nicht allein auf den Status „verbunden“ in der Routeroberfläche.
Anbieterverbindung testen
- Öffnen Sie auf einem zugeordneten Gerät den IP-Check.
- Vergleichen Sie Land und Netzbetreiber mit der direkten Verbindung.
- Wiederholen Sie den Test auf einem Gerät, das nicht zugeordnet wurde.
- Starten Sie den DNS-Leak-Test.
- Prüfen Sie mit dem IPv6-Leak-Test, ob IPv6 unerwartet direkt läuft.
Die Ergebnisse müssen zur gewählten Routingregel passen. Ein anderes Land bei IPv4 und die heimische Zuordnung bei IPv6 ist kein sauberer Volltunnel.
Heimzugang testen
Deaktivieren Sie am Smartphone das WLAN und verbinden Sie sich über Mobilfunk. Aktivieren Sie WireGuard, öffnen Sie ein Gerät im Heimnetz und prüfen Sie anschließend die öffentliche Adresse. Ein Test im eigenen WLAN beweist keine Erreichbarkeit von außen.
Häufige Fehler
Gleiches Heimnetz auf beiden Seiten: Viele Router verwenden ab Werk dasselbe private Netz. Wenn Heimnetz und entferntes WLAN identische Adressbereiche haben, weiß das Gerät nicht, wohin es Pakete senden soll. Ändern Sie das lokale Netz der FRITZ!Box auf einen weniger verbreiteten privaten Bereich und erzeugen Sie die VPN-Konfiguration neu.
Keine öffentliche Erreichbarkeit: Bei CGNAT oder DS-Lite fehlt eine direkt erreichbare öffentliche IPv4-Adresse. Nutzen Sie IPv6, sofern beide Seiten es unterstützen, oder klären Sie mit dem Provider einen passenden Anschlusstyp.
Falsche Anbieterdatei: Eine Konfiguration für eine Desktop-App ist nicht immer als Routerprofil geeignet. Erzeugen Sie ausdrücklich ein WireGuard-Profil für Router.
DNS passt nicht zum Tunnel: Die Netzwerkroute funktioniert, aber Anfragen gehen an den bisherigen Resolver. Das kann Standorte verraten oder regionale Dienste verwirren. Prüfen Sie die vom Anbieter vorgesehene DNS-Konfiguration.
Konfiguration nach Änderung veraltet: Änderungen an Heimnetz, Erreichbarkeit oder WireGuard-Einstellungen können einen neuen Export verlangen. Importieren Sie die aktualisierte Datei auf dem Endgerät.
Sicherheitsregeln für den Betrieb
Aktualisieren Sie FRITZ!OS regelmäßig, entfernen Sie nicht mehr genutzte Geräteverbindungen und geben Sie jeder Verbindung einen eindeutigen Namen. Bewahren Sie exportierte Konfigurationen verschlüsselt auf und löschen Sie temporäre Kopien. Ein Fernzugriff auf das Heimnetz öffnet keinen beliebigen Port, schafft aber einen vertrauenswürdigen Weg zu internen Geräten. Deren eigene Updates und Zugangskontrollen bleiben notwendig.
Ein Anbietertunnel schützt ebenfalls nicht vor Phishing, Schadsoftware oder unsicheren Endgeräten. Er ist ein Teil der Netzarchitektur, kein Ersatz für Gerätesicherheit.