Ein VPN lässt sich im Heimnetz zentral betreiben, wenn der Router als VPN-Client arbeiten kann und der gewählte Dienst passende Konfigurationsdateien bereitstellt. Besonders gut eignen sich dafür ausgewählte ASUS-Router mit VPN Fusion, GL.iNet-Router, OpenWrt-Geräte sowie pfSense- oder OPNsense-Systeme. Bei FRITZ!Box, Speedport, Vodafone Station und anderen Providerroutern hängt die Eignung stark von Modell, Firmware und den unterstützten VPN-Profilen ab. Vor dem Kauf sind drei Punkte zu klären: Protokoll, Rechenleistung und die Möglichkeit, nur ausgewählte Geräte durch den Tunnel zu leiten.
Der entscheidende Unterschied: VPN-Client statt VPN-Server
Viele Router werben mit VPN-Unterstützung, obwohl sie lediglich eingehende Verbindungen zulassen. Ein solcher VPN-Server ermöglicht beispielsweise den sicheren Zugriff vom Smartphone auf das eigene Heimnetz. Für die Verbindung des gesamten Haushalts mit einem kommerziellen VPN-Anbieter benötigt der Router dagegen einen VPN-Client.
In den technischen Daten oder im Handbuch muss daher ausdrücklich eine Client-Funktion für WireGuard oder OpenVPN genannt sein. Hinweise wie VPN-Passthrough, IPsec-Passthrough oder VPN-Server reichen nicht aus. Passthrough bedeutet nur, dass ein Endgerät seine eigene VPN-Verbindung durch den Router aufbauen darf.
WireGuard ist auf geeigneter Hardware meist die attraktivere Wahl: Das Protokoll besitzt einen schlanken Aufbau und erreicht häufig einen höheren Durchsatz als OpenVPN. OpenVPN bleibt wichtig, weil es von vielen älteren Routern und kommerziellen Diensten unterstützt wird. Seine Verschlüsselung belastet schwächere Router-Prozessoren jedoch deutlich.
Fünf VPN-Anbieter im gleichen Vergleichsraster
Die folgende Gegenüberstellung bewertet keine wechselnden Preise oder Aktionsangebote. Maßgeblich sind die für einen Router wichtigen Eigenschaften: manuelle Konfiguration, Protokolle, vorkonfigurierte Geräte, selektive Weiterleitung und Einrichtungsaufwand. Funktionen können sich ändern; vor dem Abschluss sollte in der Hilfe des jeweiligen Dienstes nach den Rubriken Router, manuelle Einrichtung, OpenVPN und WireGuard gesucht werden.
| Anbieter | Manuelle Router-Nutzung | Stärke | Wichtige Grenze |
|---|---|---|---|
| Proton VPN | Konfigurationsprofile für OpenVPN und WireGuard | Geeignet für Router, die Standardprofile importieren können | Die Auswahl einzelner Heimnetzgeräte hängt vom Router ab |
| Mullvad | Konfigurationen für WireGuard und OpenVPN | Passt gut zu OpenWrt, pfSense, OPNsense und flexiblen Gateways | Komfortfunktionen werden überwiegend im Router eingerichtet |
| Surfshark | Manuelle Router-Einrichtung mit gängigen VPN-Protokollen | Breite Nutzung über kompatible Router und mehrere Standorte | Die Anbieter-App läuft nicht im Router; App-Funktionen sind dort nicht automatisch verfügbar |
| NordVPN | Manuelle OpenVPN-Einrichtung auf unterstützten Routern | Viele Router-Anleitungen und vorkonfigurierte Angebote im Handel | NordLynx ist nicht mit jeder normalen WireGuard-Importfunktion gleichzusetzen |
| ExpressVPN | Manuelle Einrichtung und eigene Router-Lösung | Mit Aircove beziehungsweise unterstützter Router-Firmware auf einfache Bedienung ausgerichtet | Eigene Firmware oder Spezialhardware schränkt die Gerätewahl ein |
Proton VPN und Mullvad sind besonders naheliegend, wenn ein Router Standardprofile für WireGuard importieren kann. Die Dateien lassen sich auch in leistungsfähigen Eigenbau-Gateways verwenden. Ob mehrere Tunnel oder Regeln pro Endgerät möglich sind, bestimmt nicht der VPN-Dienst allein, sondern vor allem die Routersoftware.
Surfshark eignet sich für Nutzer, die einen verbreiteten Dienst mit manueller Router-Konfiguration suchen. Bei jeder solchen Einrichtung gilt: Funktionen aus der Desktop- oder Smartphone-App, etwa automatisch gewählte Ausnahmen, wechseln nicht automatisch in den Router. Die Trennung zwischen VPN- und Direktverbindung muss dessen Firmware beherrschen.
NordVPN ist auf vielen Routern über OpenVPN nutzbar. Für die Auswahl ist wichtig, NordLynx nicht als beliebig importierbares Standard-WireGuard-Profil vorauszusetzen. Wer ausdrücklich WireGuard im Router einsetzen möchte, sollte in der offiziellen Einrichtungsrubrik prüfen, ob genau das eigene Routermodell und der gewünschte Weg unterstützt werden.
ExpressVPN verfolgt mit Aircove und seiner Routersoftware einen stärker integrierten Ansatz. Das kann die Einrichtung und die Zuordnung von Geräten vereinfachen. Es bindet die Entscheidung aber enger an unterstützte Hardware. Vor dem Kauf ist die genaue Modellvariante maßgeblich, nicht nur der Name der Produktfamilie.
Welche Router und Geräte passen zu welchem Anspruch?
ASUS-Router mit VPN Fusion
VPN Fusion kann auf unterstützten ASUS-Modellen mehrere Verbindungsprofile verwalten und Heimnetzgeräte unterschiedlich zuordnen. So kann ein Fernseher über das VPN laufen, während ein Arbeitsnotebook die normale Internetverbindung verwendet. Die Funktion ist nicht auf jedem ASUS-Router vorhanden und kann sich je nach Firmware unterscheiden. In der Modellspezifikation müssen VPN Fusion, VPN-Client und das gewünschte Protokoll ausdrücklich aufgeführt sein.
Diese Gerätegruppe passt zu Nutzern, die einen klassischen WLAN-Router mit grafischer Bedienung möchten. Für einen schnellen Anschluss sollte das Modell ausreichend Prozessorleistung besitzen; die WLAN-Geschwindigkeitsklasse allein sagt über den verschlüsselten VPN-Durchsatz wenig aus.
GL.iNet als kompaktes VPN-Gateway
GL.iNet-Geräte basieren auf OpenWrt und bieten eine vereinfachte Oberfläche für OpenVPN und WireGuard. Je nach Modell sind sie als Reiserouter oder als Gateway im Heimnetz gedacht. Sie können sinnvoll sein, wenn der vorhandene Providerrouter weiter für Internetzugang und Telefonie zuständig bleiben soll.
Ein zusätzliches Gateway vermeidet Eingriffe in die Zugangskonfiguration des Hauptrouters. Es erzeugt allerdings meist ein zweites lokales Netz. Geräteerkennung, Druckerzugriff oder eingehende Verbindungen können dadurch zusätzliche Regeln erfordern. Wer das vermeiden will, muss prüfen, ob sich das Gerät passend zur vorhandenen Netzstruktur betreiben lässt.
OpenWrt auf kompatibler Hardware
OpenWrt bietet weitreichende Kontrolle über WireGuard, OpenVPN, Firewallregeln und richtlinienbasiertes Routing. Damit lässt sich beispielsweise festlegen, welche IP-Adressen den VPN-Tunnel verwenden. Die Lösung ist besonders flexibel, verlangt aber Kenntnisse über Schnittstellen, DNS und Firewallzonen.
Nicht jeder Router darf mit OpenWrt bespielt werden. Entscheidend sind exakte Modellbezeichnung und Hardwareversion; ähnlich benannte Varianten können unterschiedliche Chips besitzen. Ein fehlgeschlagener Firmwarewechsel kann das Gerät unbrauchbar machen. OpenWrt ist daher keine beiläufige Aufrüstung für einen beliebigen Router.
pfSense und OPNsense für hohe Ansprüche
pfSense und OPNsense laufen typischerweise auf x86-Hardware mit mehreren Netzwerkschnittstellen. Sie sind sinnvoll, wenn mehrere VPN-Tunnel, VLANs, Ausfallregeln oder detaillierte Routing-Vorgaben benötigt werden. Im Unterschied zu einem normalen WLAN-Router arbeitet ein solches System häufig als eigenständige Firewall; WLAN wird dann über separate Access Points bereitgestellt.
Die leistungsfähige Hardware kann hohe VPN-Datenraten besser bewältigen, erhöht aber Kosten, Strombedarf und Einrichtungsaufwand. Diese Klasse passt zu fortgeschrittenen Heimnetzen und kleinen Büros, nicht unbedingt zu einem Haushalt, der lediglich einen Fernseher über einen anderen VPN-Standort verbinden möchte.
FRITZ!Box und Providerrouter nur nach Funktionsprüfung
Neuere FRITZ!Box-Modelle mit passender FRITZ!OS-Version unterstützen WireGuard. Daraus folgt jedoch nicht automatisch, dass jedes Profil eines kommerziellen VPN-Dienstes ohne Einschränkung funktioniert. AVM unterscheidet verschiedene Verbindungsszenarien; zusätzlich muss der Anbieter ein passendes Profil liefern. Maßgeblich sind die WireGuard-Hilfe für das eigene FRITZ!Box-Modell und die Router-Anleitung des VPN-Dienstes.
Speedport, Vodafone Station, o2 HomeBox und andere Providergeräte bieten häufig keine frei nutzbare VPN-Client-Funktion. Eine vorhandene Server-, Passthrough- oder Fernzugriffsfunktion ist kein Ersatz. Fehlt der Client, ist ein zweiter VPN-Router hinter dem Providergerät meist sicherer als der Versuch, dessen Firmware zu verändern. Telefonie und Zugangsdaten bleiben dabei auf dem Providerrouter erhalten.
Die Auswahl nach Nutzungsszenario
- Für eine einfache grafische Verwaltung mehrerer Endgeräte ist ein unterstützter ASUS-Router mit VPN Fusion zusammen mit einem Dienst mit manuellen Profilen eine passende Kombination.
- Für einen einzelnen Raum, einen Fernseher oder unterwegs bietet sich ein GL.iNet-Gerät als separates VPN-Gateway an. Das vorhandene Heimnetz muss dafür nicht vollständig umgebaut werden.
- Für WireGuard mit frei definierbaren Regeln eignen sich Proton VPN oder Mullvad in Verbindung mit OpenWrt, pfSense oder OPNsense.
- Für eine eng integrierte Komplettlösung kommt ExpressVPN mit Aircove beziehungsweise unterstützter Routersoftware infrage. Die Bindung an kompatible Hardware sollte bewusst akzeptiert werden.
- Für NordVPN auf einem bestehenden Router ist OpenVPN oft der belastbare gemeinsame Weg. Wer NordLynx erwartet, muss die Unterstützung für sein Gerät gesondert verifizieren.
Keiner dieser Wege ist für alle Haushalte der beste. Ein Providerrouter ohne Client-Funktion wird nicht durch einen anderen VPN-Anbieter kompatibel. Umgekehrt hilft ein leistungsfähiger VPN-Router wenig, wenn der Dienst kein Profil für das unterstützte Protokoll bereitstellt.
Einrichtung ohne unnötigen Umbau des Heimnetzes
- Routerfunktion feststellen: Suche in Handbuch und Oberfläche nach VPN-Client, WireGuard-Import oder OpenVPN-Client. VPN-Server und VPN-Passthrough gelten nicht als Treffer.
- Anbieterprofil beschaffen: Erzeuge im Kundenkonto des VPN-Dienstes eine Konfiguration für einen bestimmten Standort. Verwende bei WireGuard nur das für diesen Router vorgesehene Profil, da Schlüssel und Zuordnung zusammengehören.
- Konfiguration sichern: Speichere vor Änderungen die Routereinstellungen. Bei einem zusätzlichen Gateway bleibt der Hauptrouter unverändert.
- Profil importieren: Lade die Datei in die VPN-Client-Funktion und trage Zugangsdaten nur dort ein, wo der Dienst sie für manuelle Verbindungen vorsieht. Zugangsdaten für Apps und manuelle Routerprofile können voneinander abweichen.
- Geräte zuordnen: Lege fest, ob das gesamte Heimnetz oder nur ausgewählte Geräte den Tunnel nutzen. Eine vollständige Umleitung kann Telefonie, Smart-Home-Zugriffe, Streaming oder Homeoffice-Dienste beeinflussen.
- Ausfallverhalten bestimmen: Entscheide, ob Geräte bei einem Tunnelabbruch ohne VPN ins Internet dürfen. Eine Sperre verhindert unbemerkten Direktverkehr, kann aber bei einer Störung den Zugang vollständig blockieren.
- Verbindung prüfen: Vergleiche die öffentlich sichtbare IP-Adresse mit und ohne Tunnel. Teste außerdem DNS-Auflösung, benötigte Dienste und den Zugriff auf lokale Geräte.
Funktioniert das Internet ohne VPN, aber nicht mit aktiviertem Profil, liegt der Fehler wahrscheinlich beim Profil, den Zugangsdaten, dem Protokoll oder einer VPN-Firewallregel. Funktioniert der Tunnel auf einem einzelnen Endgerät, aber nicht im Router, sind Anbieter und Anschluss grundsätzlich erreichbar; dann ist die Routerkonfiguration der nächste Prüfpunkt.
Geschwindigkeit realistisch beurteilen
Der maximale VPN-Durchsatz hängt nicht nur vom Internettarif ab. Routerprozessor, Protokoll, Verschlüsselung, gewählter VPN-Standort und Gegenstelle begrenzen gemeinsam die Geschwindigkeit. Eine hohe WLAN-Angabe auf der Verpackung belegt keine entsprechend hohe VPN-Leistung.
Für einen aussagekräftigen Vergleich sollte ein Computer per LAN angeschlossen werden. Miss zuerst ohne VPN und danach mit demselben Endgerät über den Tunnel. Mehrere Messungen zu unterschiedlichen Zeitpunkten trennen eine dauerhafte Routergrenze eher von einer vorübergehend ausgelasteten Gegenstelle. Erreicht das Gerät mit der Anbieter-App deutlich mehr als über den Router, ist häufig die Rechenleistung oder Implementierung des Routers der begrenzende Faktor.
Auch die Latenz braucht ein klares Messziel. Ein Ping zum lokalen Router prüft nur die Strecke im Heimnetz. Ein Internetziel erfasst zusätzlich Anschluss, VPN-Tunnel und entfernten Standort. Beide Werte dürfen nicht als gleichartige Messung interpretiert werden.
DNS, lokale Geräte und eingehende Verbindungen
Ein Router-VPN verändert mehr als die öffentliche IP-Adresse. Je nach Profil werden auch DNS-Anfragen über den Anbieter geleitet. Bleibt der bisherige DNS-Server eingetragen, kann es zu Namensauflösungsfehlern oder unerwünschten DNS-Wegen kommen. Die Routeroberfläche sollte erkennen lassen, welcher DNS-Server während des Tunnels verwendet wird.
Lokale Ziele wie Drucker, NAS oder Smart-Home-Zentralen müssen trotz VPN über das Heimnetz erreichbar bleiben. Unterbindet eine Option den lokalen Netzwerkzugriff, sollte sie nur aktiviert werden, wenn diese Trennung beabsichtigt ist. Bei einem zweiten VPN-Gateway erschwert zusätzlich die Grenze zwischen den beiden lokalen Netzen die Geräteerkennung.
Portfreigaben funktionieren über einen kommerziellen VPN-Tunnel nicht automatisch. Dafür müsste der Anbieter eingehende Ports unterstützen und dem Anschluss zuordnen; zugleich wären passende Firewall- und Weiterleitungsregeln erforderlich. UPnP auf Verdacht zu aktivieren ist keine sichere Abkürzung. Für Fernzugriff ist häufig ein eigener, getrennt eingerichteter VPN-Server die sauberere Lösung.
Eine belastbare Entscheidung in drei Fragen
Kann der vorhandene Router keine Standardprofile als VPN-Client importieren, ist ein separates Gateway meist der risikoärmste Weg. Soll nur ein kleiner Teil des Heimnetzes durch den Tunnel laufen, muss das Gerät richtlinienbasiertes Routing oder eine Zuordnung pro Endgerät unterstützen. Wird eine hohe Datenrate erwartet, zählen dokumentierte VPN-Leistung und Prozessorplattform mehr als die beworbene WLAN-Klasse.
Für maximale Kontrolle bilden Mullvad oder Proton VPN zusammen mit OpenWrt, pfSense oder OPNsense eine schlüssige Kombination. Für eine stärker geführte Bedienung kommen passende ASUS-Modelle, GL.iNet-Geräte oder die Routerlösung von ExpressVPN infrage. NordVPN und Surfshark lassen sich ebenfalls auf kompatiblen Routern einsetzen, wobei Protokoll, Profilformat und gewünschte App-Funktionen vorab mit der jeweiligen Router-Anleitung abgeglichen werden müssen.
