Was ist WireGuard VPN und wie funktioniert es?

Was ist WireGuard VPN?

WireGuard ist ein Open-Source-Kommunikationsprotokoll, das die verschlüsselten Routing-Verfahren bereitstellt, mit denen viele moderne VPNs die Daten und die Privatsphäre der Nutzer schützen. Es nutzt modernste Protokolle für jede Phase des kryptografischen Prozesses mit öffentlichen Schlüsseln und ist damit mit Abstand das schnellste verfügbare VPN-Protokoll.

WireGuard wurde 2015 eingeführt, bevor es 2020 für Linux veröffentlicht wurde. Es ist nun mit allen gängigen Betriebssystemen und Geräten kompatibel und wird zunehmend von neuen VPN-Diensten eingesetzt. Aufgrund seiner hohen Geschwindigkeit, der Überprüfbarkeit als Open-Source-Projekt und des geringen Datenaufwands wird erwartet, dass WireGuard bald die weiter verbreiteten Kommunikationsprotokolle übertreffen könnte, die von gängigen VPNs verwendet werden.

Erfahren Sie mehr darüber, wie die Datenverschlüsselung funktioniert – in Nyms umfassendem Leitfaden.

Wie funktioniert das WireGuard-VPN?

WireGuard ist ein Software-Client, der sowohl auf dem Rechner des Benutzers als auch auf dem VPN- oder Proxy-Server läuft und so einen schnellen und sicheren Datenverkehr zwischen beiden ermöglicht. Wenn Sie also über das WireGuard-Protokoll eine Verbindung zu einem VPN-Server herstellen, läuft im Hintergrund in etwa Folgendes ab:

Handshake

Vor jedem Austausch von Schlüsseln oder Daten sendet der Client eine Anfrage an den Server und leitet damit den sogenannten Handshake ein. Der Server antwortet, indem er seinen öffentlichen Schlüssel an den Client sendet. WireGuard verwendet den Noise_IK-Handshake von Noise, der eine Reihe von Sicherheits- und Datenschutzvorteilen bietet, wie z. B. die Vermeidung von Identitätsbetrug durch Schlüsselkompromittierung und Replay-Angriffen, die Verschleierung der Identitäten der Handshake-Teilnehmer sowie perfekte Vorwärtsgeheimnis.

Schlüsselaustausch & Ableitung

Anschließend tauschen Server und Client öffentliche Schlüssel aus, um die Identität des jeweils anderen zu überprüfen. Für den Schlüsselaustausch verwendet WireGuard Curve25519, eine hochmoderne Kryptografie auf Basis elliptischer Kurven, die auf der öffentlichen Diffie-Hellman-Kryptografiefunktion basiert.

Der Server und der Client verwenden die ausgetauschten Schlüssel, um einen eindeutigen Schlüssel zu erstellen, der nur ihnen bekannt ist. Dies geschieht über eine Schlüsselableitungsfunktion (KDF). Für die Schlüsselableitung verwendet WireGuard HKDF (oder HMAC-basiertes KDF), was beim VPN-Routing aufgrund seines hochsicheren zweistufigen Prozesses und der Flexibilität hinsichtlich der Schlüssellängen von Vorteil ist. Der abgeleitete Schlüssel wird für die symmetrische Verschlüsselung zwischen dem Client und dem VPN-Server verwendet.

Verschlüsselung und Authentifizierung

Für die Verschlüsselungs- und Authentifizierungsphasen verwendet WireGuard ChaCha20-Poly1305, eine Kombination aus der ChaCha20-Stromverschlüsselung und dem Poly1305-Nachrichtenauthentifizierungscode. Dieser Algorithmus ist äußerst leistungsfähig und im Allgemeinen schneller als AES-GCM.

Hashing

Unter Hashing versteht man den Vorgang beim verschlüsselten Routing, bei dem Eingabedaten beliebiger Größe in eine Zeichenfolge fester Länge umgewandelt werden. Nach der Umwandlung kann das Ausgabedatum oder der „Hash-Wert“ verwendet werden, um festzustellen, ob das Datenpaket während der Übertragung manipuliert oder verändert wurde. In diesem Fall unterscheidet sich der Hash-Wert für den Empfänger von dem des Absenders. WireGuard verwendet Blake2 als Hash-Funktion, die schneller und optimaler ist als frühere Standards (z. B. SHA-1 und SHA-2) und als ebenso sicher gilt wie fortschrittliche Standards wie SHA-3.

Transport

Die Transportschicht ist dafür zuständig, die Daten Ihres Datenverkehrs in verschlüsselte Pakete umzuwandeln, die über das Internet gesendet werden. WireGuard verpackt die verschlüsselten Daten mithilfe des User Datagram Protocol (UDP). Dieses Kommunikationsprotokoll ermöglicht eine schnelle und sichere Datenübertragung. Es wird kein TCP verwendet, da dieses in VPN-Netzwerken aufgrund eines größeren Datenaufwands und bekannter Probleme („TCP-Meltdowns“) weniger effizient ist.

Routing

Sobald Ihre Daten diesen komplexen, aber äußerst effizienten Prozess der VPN-Verschlüsselung mit WireGuard auf Ihrem Gerät durchlaufen haben – wodurch die Authentizität des vorgesehenen Empfängers und die Sicherheit der Datenpakete gewährleistet werden –, werden sie an den VPN-Server weitergeleitet. Dort wird die IP-Adresse Ihres Datenverkehrs durch die eigene öffentliche IP-Adresse des VPN-Servers ersetzt.

Entschlüsselung

Da der VPN-Server die Verschlüsselung Ihrer Daten auf dem Weg zu seinem Server übernimmt, wird diese Verschlüsselungsebene dort mithilfe der oben genannten Schlüssel entfernt bzw. entschlüsselt. Unter der Annahme jedoch, dass die ursprüngliche Verbindung zwischen Ihrem Gerät und dem beabsichtigten Empfänger im Internet über HTTPS gesichert ist, sollte eine Verschlüsselungsebene bestehen bleiben, die verhindert, dass das VPN Ihre Klartextdaten einsehen kann. Sobald die VPN-Verschlüsselung aufgehoben ist, kann das VPN das endgültige Ziel erkennen, an das Ihre Daten gesendet werden sollen. Da die HTTPS-Verschlüsselung standardmäßig aktiviert ist, wird Ihr Datenverkehr mithilfe eines WireGuard-basierten VPNs durchgehend verschlüsselt.

WireGuard-Kompatibilität

WireGuard wird manchmal wegen seiner im Vergleich zu anderen Protokollen wie OpenVPN eingeschränkten Kompatibilität kritisiert. Dies ist jedoch weitgehend übertrieben, da es sich auf die Kompatibilität bestimmter Hardware (wie z. B. Router) und nicht auf Betriebssysteme bezieht.

• Betriebssysteme: WireGuard ist mit den meisten gängigen Betriebssystemen und Geräten kompatibel: Windows, Mac OS, Linux, Android, iOS und modernen Versionen von BSD.

• Routers: Ein Hardware-Problem bei WireGuard besteht darin, dass es mit vielen VPN-Routern nicht so weit verbreitet kompatibel ist wie derzeit beispielsweise OpenVPN. Das ist nicht überraschend, da WireGuard erst seit vier Jahren auf dem Markt ist. Da in den kommenden Jahren neuere Router-Hardware auf den Markt kommen wird, geht Nym davon aus, dass sich diese Kompatibilitätslücke schnell schließen wird.

Vorteile von WireGuard VPN

Geschwindigkeit

WireGuard ist im Vergleich zu anderen VPN-Kommunikationsprotokollen sehr schnell – bis zu 50 % schneller als OpenVPN, das seit zwei Jahrzehnten der Industriestandard ist. Minimale Codebasis

Der Code von WireGuard ist bemerkenswert schlank und umfasst nur 4.000 Zeilen. Zum Vergleich: OpenVPN-Versionen haben etwa 100.000 Codezeilen. Dadurch wird die Leistung von WireGuard extrem optimiert und effizient gestaltet.

Hohe Sicherheit

WireGuard verwendet modernste Verschlüsselungsalgorithmen und Public-Key-Kryptografie für den Schlüsselaustausch. Diese Verschlüsselungsstandards sind derzeit unknackbar. Zudem sorgt diese kompakte und schlanke Codebasis für eine deutlich geringere Angriffsfläche, während bei dem komplexeren OpenVPN unsichtbare Konfigurationsfehler zu Datenlecks oder größeren Angriffsschwachstellen führen können.

Schnelle Wiederverbindung

WireGuard ist zustandslos konzipiert, was bedeutet, dass es nicht darauf angewiesen ist, einen kontinuierlichen Verbindungszustand zwischen Peers aufrechtzuerhalten. Dieses Design ermöglicht eine nahtlose Bewältigung von Störungen, da keine erneute Herstellung einer Sitzung oder eines Verbindungszustands erforderlich ist. Sobald wieder Datenpakete übertragen werden, kann WireGuard dort weitermachen, wo es aufgehört hat.

Open Source

Der Code von WireGuard ist Open Source und steht somit jedem zur Überprüfung zur Verfügung. Ob ein Open-Source-Code jedoch leicht überprüfbar ist, hängt davon ab, wie umfangreich er ist. In dieser Hinsicht zeichnet sich WireGuard durch die geringe und übersichtliche Größe seiner Codebasis aus. Dies macht das Protokoll nicht nur äußerst schlank, sondern ermöglicht auch einfachere öffentliche Prüfungen.

Nachteile von WireGuard VPN

Fehlende Verschleierung

WireGuard verfügt über keine integrierte Verschleierung. Es wurde als einfaches, schnelles und sicheres VPN-Protokoll konzipiert und legt den Schwerpunkt auf Einfachheit und Leistung. Es enthält jedoch keine Funktionen zur Verschleierung des Datenverkehrs, um die Nutzung eines VPN zu verbergen. Das bedeutet, dass WireGuard-Datenverkehr von Netzwerküberwachungstools oder von Stellen, die Deep Packet Inspection (DPI) durchführen, identifiziert werden kann.

Andere Tools können in Verbindung mit WireGuard verwendet werden, wie beispielsweise Obfsproxy, Shadowsocks oder Stunnel, um das VPN-Routing-Verfahren zusätzlich zu verschleiern.

Nicht in alle VPNs integriert

Die Mehrheit der gängigen VPNs auf dem Markt nutzt noch nicht WireGuard, sondern setzt seit Jahrzehnten auf OpenVPN. Das bedeutet lediglich, dass WireGuard im VPN-Bereich vergleichsweise weniger praxiserprobt ist. Dies ändert sich jedoch rasch, da immer mehr VPNs WireGuard integrieren.

Fehlende Router-Unterstützung

WireGuard wird derzeit bei weitem nicht von so vielen VPN-Routern unterstützt wie beispielsweise OpenVPN, was hauptsächlich daran liegt, dass diese Hardware vor dem Aufkommen von WireGuard entwickelt und programmiert wurde. Nym rechnet daher in den kommenden Jahren mit einer Veränderung der Router-Kompatibilität für WireGuard.

WireGuard-Protokoll im Vergleich zu anderen VPN-Protokollen

WireGuard ist nicht das einzige Kommunikationsprotokoll, das von VPNs auf dem Markt verwendet wird, und die Unterschiede zwischen ihnen können sowohl für die Leistung des VPNs als auch für die Privatsphäre der Nutzer erheblich sein.

WireGuard vs. OpenVPN

OpenVPN ist das Kommunikationsprotokoll, das von der überwiegenden Mehrheit der VPNs auf dem Markt verwendet wird. Es wurde 2001 eingeführt und ist damit der bewährte Industriestandard für verschlüsseltes VPN-Routing. Es gibt jedoch erhebliche Leistungsunterschiede zwischen WireGuard und OpenVPN. Lesen Sie den ausführlichen Vergleich der beiden Protokolle von Nym.

OpenVPN: Bietet den Vorteil einer flexiblen Konfiguration für Nutzer und Programmierer sowie eine große Auswahl an Verschlüsselungsalgorithmen. Es bietet zudem eine wesentlich breitere Kompatibilität mit VPN-Routern und ist in Unternehmensumgebungen weiter verbreitet.

WireGuard: Ist viel schneller als OpenVPN, mit deutlich geringerem Datenaufwand und gleicher Sicherheit.

WireGuard vs. IPSec/IKEv2

IPSec (Internet Protocol Security) und IKEv2 (Internet Key Exchange Version 2) sind Protokolle zur Sicherung der Internetkommunikation. Sie werden oft zusammen als IPSec/IKEv2 verwendet.

IPSec/IKEv2: Wie OpenVPN unterstützt es eine Vielzahl von kryptografischen Protokollen, weist jedoch auch einen extrem hohen Daten-Overhead auf, mit einem Quellcodeumfang von mehreren hunderttausend Zeilen. Dies kann zu Fehlern und Fehlkonfigurationen führen und die Überprüfung erschweren.

WireGuard: Ist einfacher und effizienter, bietet den Nutzern jedoch keine Auswahl an Verschlüsselungsalgorithmen.

WireGuard vs. PPTP

Das Point-to-Point Tunneling Protocol (PPTP) ist eines der ältesten VPN-Verschlüsselungsprotokolle. Es wurde Mitte der 1990er Jahre von Microsoft eingeführt und wird noch immer von einigen älteren Plattformen verwendet.

PPTP: Verwendet MPPE (Microsoft Point-to-Point Encryption) mit der RC4-Verschlüsselung, die nach heutigen Maßstäben als schwach gilt. Die Einrichtung ist jedoch relativ schnell und einfach, sodass es in Kontexten nützlich sein könnte, in denen Geschwindigkeit wichtiger ist als Sicherheit. WireGuard: Ist nicht nur extrem schnell, sondern verwendet auch modernste Verschlüsselungsalgorithmen, wodurch der Kompromiss zwischen Geschwindigkeit und Sicherheit bei PPTP völlig überflüssig wird.

WireGuard vs. L2TP

L2TP (Layer 2 Tunneling Protocol) ist eine Erweiterung von PPTP und L2F (Layer 2 Forwarding Protocol).

L2TP: L2TP selbst bietet keine Verschlüsselung und wird daher häufig mit IPsec kombiniert, um eine Verschlüsselung zu gewährleisten und die übertragenen Daten zu sichern (L2TP/IPsec).

WireGuard: Da L2TP keine Nutzerdaten verschlüsselt, ist ein Vergleich mit WireGuard nicht sinnvoll.

WireGuard: Beschleunigung dezentraler Netzwerke

Was WireGuard im Hinblick auf den Datenschutz im Internet zu einer so spannenden und wichtigen Technologie macht, ist seine Fähigkeit, schnelles und sicheres Routing für datenschutzorientierte dezentrale VPNs (dVPNs) bereitzustellen.

Die zentralisierten und auf einem einzigen Server basierenden Architekturen herkömmlicher VPNs haben andererseits nie einen angemessenen Datenschutz für die Nutzer gewährleistet. Sie sind anfällig für Datenlecks, die Zusammenarbeit bei Massenüberwachungsanfragen, Hintertüren für Werbetreibende und den Verkauf von Daten an Broker. Andererseits sind dVPNs vielversprechend, doch die Geschwindigkeit ist ein Problem. Je mehr Server Ihre Daten durchlaufen müssen, um Ihren Datenverkehr zu verschleiern, desto langsamer wird alles sein. Für den Versand einer vertraulichen E-Mail mag dies kein großes Problem darstellen, für ein umfassendes Netzwerk-Routing jedoch schon.

WireGuard ist eine bahnbrechende Lösung für den Datenschutz: Es bietet ein extrem schnelles, effizientes und optimiertes Routing-Protokoll, sodass Nutzer von den fortschrittlichen Datenschutzmaßnahmen eines Multi-Hop-dVPN profitieren können, ohne dabei allzu große Einbußen bei der Geschwindigkeit hinnehmen zu müssen.

NymVPN hat sich dafür entschieden, den Nutzern die Wahl zu lassen. Sie können ganz einfach auf einen 2-Hop-dVPN-Modus umschalten, der auf WireGuard basiert und für sehr schnellen und privaten Schutz im Alltag sorgt. Oder für besonders sensible Anwendungsfälle (wie Nachrichtenversand und Kryptotransaktionen) können sich Nutzer für den beispiellosen 5-Hop-Mixnet-Modus entscheiden, der auf dem Sphinx-Protokoll basiert und speziell für die Verarbeitung von Mixnet-Datenverkehr entwickelt wurde.

Bei der Auswahl des besten VPNs für Ihre Datenschutzanforderungen sollten Sie bedenken, wie ein dezentrales Netzwerk mit WireGuard dafür sorgen kann, dass Sie Ihre Privatsphäre nicht opfern müssen, um das Internet einfach und schnell nutzen zu können.