# Wie richte ich WireGuard auf einem VPS ein? > WireGuard-VPN auf einem VPS in 7 Schritten einrichten, auf Debian 13 oder Ubuntu 24.04. Ember mit 1 vCPU und 1 GB RAM betreibt es ab $3.74 pro Monat. - URL: https://gloamport.com/de/guides/how-to-set-up-wireguard-on-a-vps/ - Zuletzt aktualisiert: 2026-11-10 - Herausgeber: Gloamport (https://gloamport.com) Ein vollständiger WireGuard-Server auf einem 1 GB-VPS, mit den genauen Befehlen für Debian 13 und Ubuntu 24.04. **Kurze Antwort — Wie richte ich WireGuard auf einem VPS ein?** Um WireGuard auf einem VPS einzurichten, installieren Sie das Paket wireguard auf Debian 13 oder Ubuntu 24.04, erzeugen ein Schlüsselpaar mit wg genkey, schreiben /etc/wireguard/wg0.conf mit einem ListenPort und starten es mit wg-quick up wg0. Ein Gloamport-Ember-Tarif, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, betreibt es für $3.74 pro Monat bei einer 12-Monats-Laufzeit. ## Was brauchen Sie, um WireGuard auf einem VPS einzurichten? | Eintrag | In diesem Leitfaden verwendeter Wert | | --- | --- | | Plan | Ember: 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic | | Preis | $3.74 pro Monat bei 12 Monaten, $7.48 pro Monat bei 1 Monat | | System | Debian 13 oder Ubuntu 24.04 | | Paket | `wireguard` (installiert `wg` und `wg-quick`) | | Konfigurationsdatei | `/etc/wireguard/wg0.conf` | | UDP-Port | 51820 (der Port aus dem WireGuard-Schnellstart) | | Tunnel-Subnetz | 10.8.0.0/24 (ein für diesen Leitfaden gewählter privater Bereich) | *Preise geprüft am 10. November 2026.* Die Befehle stammen aus dem WireGuard-Schnellstart, der Handbuchseite wg-quick und der Kernel-Dokumentation, geprüft am 2026-11-10. ## Welcher Gloamport-Tarif betreibt einen WireGuard-Server? Ember reicht für einen WireGuard-Server: Gloamport führt ihn für „Ein WireGuard-VPN für einige Geräte“. Er hat 1 vCPU, 1 GB RAM und 1 TB Traffic pro Monat, und WireGuard braucht von den ersten beiden wenig. Laut Gloamports Umfrage unter 10. November 2026 lag der Medianpreis eines vergleichbaren VPS mit 1 vCPU und 1 GB über 32 Anbieter bei $10.55 pro Monat. Wir behaupten nicht, bei jeder Größe der Günstigste zu sein; der Punkt ist, dass ein VPN-Server keinen großen Tarif braucht. Volle KVM-Virtualisierung: Ihr eigener Kernel, Ihre eigenen Firewall-Regeln und Ihre eigene Festplattenverschlüsselung, falls Sie sie einrichten. Zur Kontoseite siehe [Wie kaufe ich einen VPS mit Monero (XMR)?](https://gloamport.com/de/buy-vps-with-monero/ "Wie kaufe ich einen VPS mit Monero (XMR)?"). ## Wie richte ich WireGuard auf einem VPS Schritt für Schritt ein? Sieben Schritte von einem frischen Root-Login bis zu einem funktionierenden Tunnel. 1. **Anmelden und WireGuard installieren** — Öffnen Sie eine Root-SSH-Sitzung auf dem neuen VPS und führen Sie apt update und dann apt install wireguard aus. Das Paket stellt wg und wg-quick bereit. 2. **Server-Schlüssel erzeugen** — Setzen Sie umask 077, erzeugen Sie dann einen privaten Schlüssel und leiten Sie daraus den öffentlichen ab. Der private Schlüssel verlässt den Server nie. 3. **Client-Schlüssel erzeugen** — Gehen Sie auf Ihrem Laptop oder Telefon genauso vor. Jedes Gerät hat sein eigenes Schlüsselpaar; Sie tauschen nur öffentliche Schlüssel aus. 4. **wg0.conf auf dem Server schreiben** — Geben Sie dem Server eine Adresse innerhalb des Tunnel-Subnetzes, einen ListenPort, seinen privaten Schlüssel und je einen [Peer] pro Gerät mit dem öffentlichen Schlüssel dieses Geräts und einer einzigen Tunnel-Adresse. 5. **Client-Konfiguration schreiben** — Zeigen Sie Endpoint auf die IPv4-Adresse und den Port des VPS, setzen Sie AllowedIPs und fügen Sie PersistentKeepalive = 25 hinzu, wenn der Client hinter NAT sitzt. 6. **Schnittstelle starten** — Führen Sie wg-quick up wg0 auf beiden Seiten aus und dann systemctl enable --now wg-quick@wg0 auf dem Server, damit sie nach einem Neustart zurückkehrt. 7. **Handshake prüfen** — Führen Sie wg show aus. Eine Zeile „latest handshake“ unter dem Peer bedeutet, dass die Schlüssel passen und der UDP-Port erreichbar ist. ## Wie erzeuge ich die Schlüssel und schreibe die Server-Konfiguration? Erzeugen Sie Schlüssel mit `wg genkey` und `wg pubkey`, wobei `umask 077` zuerst gesetzt wird, damit die private Schlüsseldatei nur für root lesbar ist. Der WireGuard-Schnellstart nutzt dasselbe Einzeiler-Beispiel, das unten verwendet wird. *Server-Schlüsselpaar installieren und erzeugen* ```bash apt update apt install wireguard umask 077 wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub cat /etc/wireguard/server.pub ``` */etc/wireguard/wg0.conf on the VPS* ```ini [Interface] Address = 10.8.0.1/24 ListenPort = 51820 PrivateKey = [Peer] # laptop PublicKey = AllowedIPs = 10.8.0.2/32 ``` ## Wie schreibe ich die Client-Konfiguration und starte den Tunnel? Schreiben Sie auf dem Client eine zweite Datei mit dessen eigenem privaten Schlüssel, dem öffentlichen Schlüssel des Servers und der VPS-Adresse, und bringen Sie sie dann mit `wg-quick up` hoch. Die Zeile `AllowedIPs` entscheidet, welcher Verkehr in den Tunnel geht: `10.8.0.0/24` sendet nur Tunnel-Verkehr, `0.0.0.0/0, ::/0` sendet alles. *wg0.conf auf dem Laptop (Vollzugriff durch den Tunnel)* ```ini [Interface] Address = 10.8.0.2/24 PrivateKey = [Peer] PublicKey = Endpoint = :51820 AllowedIPs = 0.0.0.0/0, ::/0 PersistentKeepalive = 25 ``` *Starten und den Handshake prüfen* ```bash # on the VPS wg-quick up wg0 systemctl enable --now wg-quick@wg0 wg show # on the laptop wg-quick up wg0 ``` ## Wie leite ich meinen gesamten Verkehr über den VPS? Um den VPS als Ausgang für Ihren gesamten Verkehr zu nutzen, aktivieren Sie IPv4-Weiterleitung und fügen auf dem Server eine Masquerade-Regel hinzu. Die Kernel-Dokumentation definiert `net.ipv4.ip_forward` als den Schalter, der Pakete zwischen Schnittstellen weiterleitet; sein Standard ist 0. Das Ziel MASQUERADE ist nur in der Tabelle nat in der Kette POSTROUTING gültig. Setzen Sie beides in den Abschnitt `[Interface]` der Server-Datei, mit `PostUp` und `PostDown`, die `wg-quick` in bash ausführt und in denen `%i` zum Namen der Schnittstelle aufgelöst wird. Ermitteln Sie zuerst den Namen der öffentlichen Schnittstelle mit `ip route show default` und ersetzen Sie dann `eth0` unten. *Zusätzliche Zeilen für den Abschnitt [Interface] des Servers* ```ini PostUp = sysctl -w net.ipv4.ip_forward=1 PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE ``` > **UDP-Port öffnen und die Schlüssel schützen** Erlauben Sie UDP 51820 in der Firewall des VPS, denn WireGuard antwortet nur Peers, die es kennt. Fügen Sie niemals einen privaten Schlüssel in einen Chat oder ein Ticket ein: Wenn einer undicht wird, erzeugen Sie ein neues Paar und ersetzen den öffentlichen Schlüssel auf der anderen Seite. ## Wie erkenne ich, dass der WireGuard-Tunnel funktioniert? Führen Sie `wg show` auf dem Server aus: Ein Peer mit einem aktuellen „latest handshake“ und Zählern ungleich null ist verbunden. Erscheint der Handshake nie, prüfen Sie, ob beide öffentlichen Schlüssel auf der richtigen Seite stehen, ob die Endpoint-Adresse die IPv4-Adresse des VPS ist und ob UDP 51820 offen ist. Ist er einmal eingerichtet, deckt ein 12-Monats-Ember für $3.74 pro Monat einen persönlichen VPN für ein paar Geräte, wie die Tarifbeschreibung sagt. Vergleichen Sie diesen Weg mit einem kommerziellen in [Ist ein selbst gehostetes VPN auf einem VPS besser als ein VPN-Dienst?](https://gloamport.com/de/self-hosted-vpn-vs-vpn-service/ "Ist ein selbst gehostetes VPN auf einem VPS besser als ein VPN-Dienst?"). Wenn das andere Ende ein Heimserver hinter einem Carrier-Grade-NAT ist, fahren Sie mit [Wie verbinde ich mein Heimnetzwerk über WireGuard mit einem VPS (hinter CGNAT)?](https://gloamport.com/de/guides/how-to-connect-your-home-network-to-a-vps-with-wireguard/ "Wie verbinde ich mein Heimnetz über WireGuard mit einem VPS (hinter CGNAT)?") fort. Danach sichern Sie den VPS mit [Wie härte ich SSH auf einem neuen VPS ab?](https://gloamport.com/de/guides/how-to-harden-ssh-on-a-vps/ "Wie härte ich SSH auf einem neuen VPS ab?"). **Zusammenfassung** - Installieren Sie `wireguard` mit apt auf Debian 13 oder Ubuntu 24.04. - Erzeugen Sie Schlüssel mit `umask 077` und `wg genkey | tee … | wg pubkey`. - Die Server-Datei braucht Address, ListenPort, PrivateKey und je einen Peer pro Gerät. - Die Client-Datei braucht den öffentlichen Schlüssel des Servers, Endpoint und AllowedIPs. - `PersistentKeepalive = 25` hält eine NAT-Zuordnung offen. - Vollzugriff durch den Tunnel braucht `net.ipv4.ip_forward=1` und eine MASQUERADE-Regel. - Ember kostet $3.74 pro Monat bei 12 Monaten. ## WireGuard auf einem VPS: häufige Fragen ### Welchen Port verwendet WireGuard? WireGuard verwendet den UDP-Port, den ListenPort in der Konfiguration setzt. Der Schnellstart nutzt 51820, und dieser Leitfaden tut dasselbe. Öffnen Sie diesen Port in Ihrer Firewall. ### Reicht Ember für WireGuard? Gloamport führt Ember (1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic) für ein WireGuard-VPN für ein paar Geräte. Die Traffic-Grenze von 1 TB pro Monat ist die Grenze, auf die Sie achten sollten. ### Was bewirkt PersistentKeepalive? Es sendet alle N Sekunden ein Paket, damit ein NAT-Gerät die Zuordnung offen hält. Der WireGuard-Schnellstart nennt 25 Sekunden ein sinnvolles Intervall, und 0 schaltet es ab. ### Wie starte ich WireGuard beim Booten? Führen Sie `systemctl enable --now wg-quick@wg0` aus. Das Paket wireguard-tools von Debian liefert die Unit `wg-quick@.service` mit. ### Kann ich später ein zweites Gerät hinzufügen? Ja. Erzeugen Sie ein Schlüsselpaar auf dem neuen Gerät, fügen Sie einen weiteren `[Peer]`-Block mit dessen öffentlichem Schlüssel und einer neuen Tunnel-Adresse wie 10.8.0.3/32 hinzu, und laden Sie dann mit `wg syncconf wg0 <(wg-quick strip wg0)` neu. ## Quellen 1. [WireGuard-Schnellstart](https://www.wireguard.com/quickstart/) — WireGuard (checked 2026-11-10) 2. [Handbuchseite wg-quick(8)](https://manpages.debian.org/trixie/wireguard-tools/wg-quick.8.en.html) — Debian (checked 2026-11-10) 3. [Dateiliste des Pakets wireguard-tools (trixie)](https://packages.debian.org/trixie/amd64/wireguard-tools/filelist) — Debian (checked 2026-11-10) 4. [IP-sysctl: ip_forward](https://www.kernel.org/doc/html/latest/networking/ip-sysctl.html) — The Linux Kernel documentation (checked 2026-11-10) 5. [iptables-extensions(8): MASQUERADE](https://manpages.debian.org/trixie/iptables/iptables-extensions.8.en.html) — Debian (checked 2026-11-10) --- Gloamport: Gloamport ist ein VPS-Anbieter, der Linux-KVM-Server ohne KYC verkauft. Bestellt wird mit einer Kontonummer, bezahlt wird mit Krypto, zuerst Monero. Betrieben wird er von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen. Eine Bestellung fragt nach einem Tarif, einer Münze und, nur wenn Sie wollen, einer E-Mail-Adresse: kein Name, keine Postanschrift, keine Telefonnummer und kein Ausweisdokument. Bei der 12-Monats-Laufzeit ist jeder Tarif mindestens 25 % günstiger als ein genannter vergleichbarer Tarif aus einer Umfrage unter 38 VPS-Anbietern ohne KYC, die Krypto annehmen, gelesen am 10. November 2026.