WireGuard-VPN auf der FRITZ!Box einrichten: Fernzugriff fürs Handy und den Laptop

Kurz gesagt: Ab FRITZ!OS 7.50 legst du in den VPN-Einstellungen der FRITZ!Box mit dem WireGuard-Assistenten eine Verbindung für ein einzelnes Gerät an. Die Box erzeugt die Schlüssel und zeigt einen QR-Code, den du mit der WireGuard-App scannst. Damit das Handy die Box von unterwegs findet, brauchst du eine MyFRITZ!- oder DynDNS-Adresse und einen Anschluss, der von außen erreichbar ist. Teste immer aus dem Mobilfunk, nie aus dem eigenen WLAN.

Grundlage dieser Anleitung sind die offiziellen Versionshinweise von FRITZ! (ehemals AVM) zu FRITZ!OS 7.50 bis 8.50 und die Dokumentation des WireGuard-Projekts (Stand Oktober 2026). Menünamen können je nach Modell und FRITZ!OS-Version abweichen.

Kurz zu den Begriffen: Ein VPN (Virtual Private Network) ist ein verschlüsselter Tunnel durchs Internet. Dein Handy verhält sich damit so, als wäre es zu Hause im WLAN. WireGuard ist ein modernes VPN-Verfahren, das mit wenigen Einstellungen auskommt. Jede Seite hat ein Schlüsselpaar: Der private Schlüssel bleibt geheim, der öffentliche wird an die Gegenstelle weitergegeben.

Was du brauchst #

• eine FRITZ!Box mit mindestens FRITZ!OS 7.50, der Version, mit der FRITZ! WireGuard eingeführt hatHerstellerangabe. Aktualisiere vorher auf die neueste Version für dein Modell
• die WireGuard-App auf dem Handy oder Laptop. Das WireGuard-Projekt bietet Apps für Android, iOS, Windows und macOS an, für Linux Kernelmodul und KommandozeilenwerkzeugeHerstellerangabe
• eine Adresse, unter der die Box im Internet erreichbar ist. Zur Einführung mit FRITZ!OS 7.50 nennt FRITZ! dafür eine MyFRITZ!-Adresse oder eine DynDNS-Adresse eines Drittanbieters als VoraussetzungHerstellerangabe. Ab FRITZ!OS 8.50 lassen sich WireGuard-Verbindungen auch ohne diese Adresse anlegenHerstellerangabe, dann funktioniert der Zugriff aber nur, solange sich deine öffentliche IP-Adresse nicht ändert
• einen Anschluss, der von außen erreichbar ist. Als allgemeine Einordnung: Ohne eigene öffentliche IPv4-Adresse, etwa bei DS-Lite, ist die Box von außen in der Regel nur über IPv6 erreichbar, und das Gerät unterwegs braucht dann ebenfalls IPv6. Wie du erkennst, welche Anschlussart du hast, erklärt IPv6 im Heimnetz

1. MyFRITZ! einrichten #

In den MyFRITZ!-Einstellungen der Box registrierst du sie bei MyFRITZ!Net. Danach hat sie eine eigene MyFRITZ!-Adresse, einen Namen, der immer auf die aktuelle Adresse deines Anschlusses zeigt. Diese Adresse landet später in der WireGuard-Konfiguration als Endpoint, also als Ziel, das dein Handy anwählt. Nutzt du einen anderen DynDNS-Anbieter, trägst du ihn in den DynDNS-Einstellungen der Box ein. Die genaue Bezeichnung kann je nach FRITZ!OS-Version abweichen.

Für WireGuard brauchst du nur die Adresse, keinen Internetzugriff auf die Benutzeroberfläche. Prüfe nach der Einrichtung, ob dieser Zugriff eingeschaltet ist, und schalte ihn ab, wenn du ihn nicht brauchst.

2. Verbindung auf der FRITZ!Box anlegen #

1. Öffne in der Benutzeroberfläche die VPN-Einstellungen für WireGuard. Die genaue Bezeichnung kann je nach FRITZ!OS-Version abweichen.
2. Starte das Anlegen einer neuen WireGuard-Verbindung.
3. Wähle die Variante, ein einzelnes Gerät zu verbinden, etwa ein Smartphone oder einen Laptop. Die genaue Beschriftung unterscheidet sich je nach Version.
4. Gib der Verbindung einen eindeutigen Namen, zum Beispiel handy-anna oder laptop-arbeit, und schließe den Assistenten ab.
5. Fragt die Box nach der zusätzlichen Bestätigung, schließe sie ab. Sie soll verhindern, dass jemand, der nur dein Kennwort kennt, unbemerkt einen VPN-Zugang anlegt.

Lege für jedes Gerät eine eigene Verbindung an. Geht ein Handy verloren, löschst du genau diese eine Verbindung, und alle anderen Geräte bleiben unberührt.

3. Konfiguration aufs Gerät übertragen #

Am Ende bietet die Box die Konfiguration als QR-Code und als Datei an.

• Smartphone: In der WireGuard-App einen neuen Tunnel anlegen, die Option zum Scannen eines QR-Codes wählen und den Code vom Bildschirm scannen.
• Laptop: Die Datei herunterladen und über die Importfunktion der WireGuard-App öffnen.

FRITZ! speichert QR-Code und Konfigurationsdatei aus Sicherheitsgründen nicht dauerhaft auf der Box und weist darauf hin, dass beides nicht in fremde Hände gelangen darfHerstellerangabe. Darin steckt der private Schlüssel deines Geräts. Wer die Datei hat, kommt in dein Heimnetz.

Hast du die Datei gesichert und musst sie später auf ein Handy übertragen, etwa nach einem Gerätewechsel, macht der WireGuard-QR-Code-Generator daraus lokal im Browser einen QR-Code, ohne dass die Datei dein Gerät verlässt. Sauberer ist trotzdem eine neue Verbindung pro Gerät.

4. Full Tunnel oder Split Tunnel? #

Öffne in der WireGuard-App die Details des Tunnels und sieh dir das Feld AllowedIPs an. Beim Senden wirkt diese Liste laut WireGuard-Dokumentation wie eine Routingtabelle: Pakete an diese Adressen gehen durch den Tunnel, alles andere nichtHerstellerangabe.

• Full Tunnel (0.0.0.0/0 steht in der Liste): Der gesamte IPv4-Verkehr läuft über zu Hause. Das ist sinnvoll in offenen WLANs, etwa im Café oder Hotel, kostet aber Upload-Bandbreite deines Anschlusses.
• Split Tunnel (nur dein Heimnetz, etwa 192.168.178.0/24): Nur Zugriffe auf NAS, Drucker oder Smart Home gehen durch den Tunnel. Surfen läuft direkt.

Was die Box vorgibt, hängt von deinen Angaben im Assistenten ab. Passe es bei Bedarf in der App an. Zu IPv6 gilt: Seit FRITZ!OS 8.00 transportiert der Tunnel auch IPv6-Daten. Dafür ist eine neu angelegte Verbindung nötig, und IPv6-Daten werden nicht ins Internet weitergeleitetHerstellerangabe. Ältere Verbindungen legst du deshalb besser neu an.

5. Richtig testen #

Ein Test im eigenen WLAN sagt nichts aus, weil dein Handy die Box dort ohnehin erreicht. So prüfst du es richtig:

1. WLAN am Handy ausschalten, mobile Daten an.
2. Tunnel in der WireGuard-App aktivieren.
3. Im Browser die IP-Adresse deiner FRITZ!Box (oft 192.168.178.1) oder deines NAS öffnen.
4. In der App unter den Details nachsehen: Ein aktueller Handshake und steigende Werte bei den empfangenen Daten zeigen, dass der Tunnel steht.

Typische Fehler und Lösungen #

• Kein Handshake: Meist findet das Handy die Box nicht. Prüfe, ob der Endpoint die MyFRITZ!- oder DynDNS-Adresse enthält und ob dein Anschluss von außen erreichbar ist. Ohne eigene öffentliche IPv4-Adresse (etwa bei DS-Lite) und ohne IPv6 im Netz unterwegs klappt es in der Regel nicht.
• Tunnel steht, aber Heimnetz-Geräte antworten nicht: Hat das Netz, in dem du gerade bist, denselben Adressbereich wie dein Heimnetz, oft 192.168.178.0/24 bei einer anderen FRITZ!Box, weiß dein Gerät nicht, wohin die Pakete gehören. Abhilfe schafft ein weniger verbreiteter Adressbereich für dein Heimnetz, zum Beispiel 192.168.47.0/24. Das stellst du unter Heimnetz → Netzwerk → Netzwerkeinstellungen → Erweiterte Netzwerkeinstellungen → IPv4 ein. Alle Geräte bekommen dann neue Adressen, plane das also bewusst.
• Seiten laden langsam oder brechen ab: Das kann an der Paketgröße liegen. Ab FRITZ!OS 8.50 lässt sich die MTU für alle WireGuard-Verbindungen einstellenHerstellerangabe. Die MTU ist die maximale Größe eines Datenpakets. Verringere sie nur schrittweise und nur, wenn es tatsächlich hakt.
• QR-Code nicht mehr da: Die Box speichert QR-Code und Datei nicht dauerhaft. Lösche die Verbindung und lege sie neu an.

Sicherheitshinweise #

• Die Konfiguration ist ein Schlüssel zu deinem Heimnetz. Schick sie nicht per Messenger oder E-Mail und speichere sie nicht unverschlüsselt in der Cloud.
• Lösche Verbindungen von Geräten, die du nicht mehr nutzt oder verloren hast, sofort.
• Mit WireGuard brauchst du in der Regel keinen offenen Zugriff auf die Benutzeroberfläche über HTTPS mehr. Schalte den Internetzugriff auf die FRITZ!Box-Dienste ab, wenn du ihn nur dafür aktiviert hattest.
• Lass die zusätzliche Bestätigung für Änderungen eingeschaltet.

Was heißt das für dich? #

Für den Zugriff von unterwegs ist das WireGuard der FRITZ!Box ein naheliegender Weg: kein zusätzlicher Server, keine Portfreigabe von Hand, keine fremde Cloud dazwischen. Die einzige echte Hürde ist die Erreichbarkeit deines Anschlusses. Ohne eigene öffentliche IPv4-Adresse und ohne IPv6 unterwegs stößt sie an Grenzen. Dann lohnt ein Blick auf Lösungen mit Vermittlungsserver, die der Vergleich Tailscale vs. WireGuard erklärt. Betreibst du hinter der FRITZ!Box eine eigene Firewall, gehört das VPN eher dorthin: WireGuard auf OPNsense.