Contabo VPS VPN Einrichtung Schritt für Schritt (Ubuntu 24.04 / 22.04) - Leitfaden 2026

Sie möchten ein VPN, das Ihnen gehört. Kein jährliches "No-Logs"-Audit, keine IP, die mit 4.000 Fremden geteilt wird, keine Preisverdopplung, wenn die Promo endet. Diese Anleitung bringt WireGuard in 20 Minuten auf einem Contabo VPS zum Laufen, vom Anmelden bis zum ersten curl ifconfig.me, das Ihre deutsche VPS-IP zurückgibt.

Noch kein Server? Optionen nach den Schritten

Warum Contabo statt Hetzner, OVH oder DigitalOcean

Die Wahl des VPS-Anbieters für ein selbstgehostetes VPN ist nicht trivial und beeinflusst das Preis-Leistungs-Jurisdiktions-Verhältnis, das Sie in den nächsten 3 bis 5 Jahren erhalten. Beim Vergleich der veröffentlichten Spezifikationen von Contabo, Hetzner Cloud und OVH kommt das Urteil auf drei Achsen an: Preis, Leistung, Jurisdiktion.

Beim Preis ist der Contabo Cloud VPS 4 mit 5,50 €/Monat (geprüft am 17. Okt. 2026) für 4 vCPU / 8 GB RAM / 200 Mbps+ in Europa unschlagbar. Hetzner CX23 hat ein Äquivalent für 5,99 €/Monat, aber nur 2 vCPU und 4 GB RAM, die Hälfte des Spielraums, wenn Sie neben dem VPN auch Nextcloud, Pi-hole oder Vaultwarden hosten möchten. OVH VPS-1 bietet für 4,49 €/Monat 2 vCPU / 4 GB; prüfen Sie die aktuellen Specs auf ovhcloud.com.

Bei der Leistung werben beide Hosts mit reichlich Bandbreite für ein persönliches VPN (Contabo mit einer 200 Mbit/s Verbindung, Hetzner mit einem geteilten Gigabit-Port). Für ein selbstgehostetes VPN ist selbst eine 200 Mbit/s Verbindung mehr als genug, um die meisten Heimverbindungen auszulasten, sodass der rohe Spitzendurchsatz selten der entscheidende Faktor ist - Jurisdiktion und Preis sind meist wichtiger. Führen Sie iperf3 selbst von Ihrer eigenen Verbindung aus, wenn Sie genaue Zahlen benötigen.

Bei der Jurisdiktion hat Contabo sein Hauptrechenzentrum in Nürnberg (Deutschland), Hetzner in Falkenstein (ebenfalls Deutschland), OVH in Roubaix oder Straßburg (Frankreich). Deutschland und Frankreich haben vergleichbare DSGVO-Rahmenwerke und beide liegen außerhalb des US CLOUD Act. Praktischer Unterschied: Contabos Muttergesellschaft ist rein deutsch (GmbH München), Hetzner ebenfalls (GmbH Gunzenhausen), OVHcloud ist seit 2021 an der Pariser Börse notiert, was eine zusätzliche Aktionärsdruckschicht hinzufügt, die die anderen beiden nicht haben. Für ein datenschutzorientiertes VPN bevorzugen wir leicht die nicht börsennotierten deutschen GmbHs.

Der letzte Unterschied ist der Support. Keiner der drei garantiert bei den Einstiegstarifen eine Antwortzeit. Für ein persönliches VPN, bei dem Sie die meisten Probleme selbst über SSH lösen können, spielt der Support kaum eine Rolle - außer an dem Tag, an dem Ihr VPS nach einem Kernel-Update nicht mehr startet und Sie Zugriff auf die Rettungskonsole benötigen. Prüfen Sie, ob das Panel Ihres Anbieters eine Rettungskonsole bietet, bevor Sie sie brauchen.

Unklar, welcher Anbieter zum eigenen Fall passt? Der interaktive VPS-Vergleich stellt fünf Fragen (Einsatz, Budget, Region, RAM, Bandbreite) und nennt eine erste Wahl und eine Alternative unter Contabo, Hetzner, OVH, Vultr und DigitalOcean.

Schritt 1 - Bestellen Sie den Contabo VPS

Gehen Sie zu contabo.com über unseren Link /go/contabo-vps-2y und wählen Sie:

• Plan: Cloud VPS 4 (4 vCPU, 8 GB RAM, 100 GB SSD, 200-Mbit/s-Port, unbegrenzter Traffic / Fair Use)
• Welche Stufe für ein VPN: Die Port-Geschwindigkeit begrenzt Ihren Tunnel. Cloud VPS 4 hat einen 200-Mbit/s-Port. Ist Ihre Leitung schneller als 200 Mbit/s und wollen Sie die volle Geschwindigkeit durch das VPN, listet Contabo Cloud VPS 6 mit 300-Mbit/s-Port (7,50 €/Monat) und Cloud VPS 8 mit 600-Mbit/s-Port (14 €/Monat), contabo.com, 19.10.2026. Die Schritte sind für alle drei gleich.
• Preis: 5,50 €/Monat zzgl. MwSt., von Contabo "für die ersten 24 Monate" angezeigt (contabo.com, 19.10.2026)
• OS: Ubuntu 24.04 LTS oder 22.04 LTS: Die Pakete WireGuard, qrencode und iptables-persistent liegen in den Standard-Repositories beider Versionen. Ein Unterschied zählt in Schritt 2: Unter 24.04 heißt der SSH-Dienst ssh, nicht sshd.
• Rechenzentrum: Nürnberg (DE) - beste Latenz für Frankreich/Europa + deutsche DSGVO-Jurisdiktion
• Root-Passwort: ein starkes generieren, vorübergehend in Ihrem Passwort-Manager speichern (nach Erstellen eines Nicht-Root-Benutzers löschen)
• Add-ons: alles abwählen (Contabo-Backups nicht nötig, wir sichern selbst)

Gesamtkosten ~66 € zzgl. MwSt. für das erste Jahr (5,50 €/Monat, contabo.com, 19.10.2026). Bei Aktivierung erhalten Sie eine E-Mail mit der öffentlichen IP und dem Root-Passwort. Die Aktivierung erfolgt nicht immer sofort: Sie kann von wenigen Minuten bis zu einigen Stunden dauern.

Offenlegung: /go/contabo-vps-2y ist ein gesponserter Link. Wenn Sie den VPS erwerben, verdienen wir eine Provision ohne zusätzliche Kosten für Sie. Unsere Preisgestaltung wird nicht beeinflusst. Wir empfehlen Contabo auf Grundlage der veröffentlichten Specs und der öffentlichen Erfolgsbilanz, nicht wegen einer Provision.

Schritt 2 - Erste SSH-Verbindung und Absicherung

In Ihrem lokalen Terminal:

ssh root@IHRE.ÖFFENTLICHE.IP
# Fingerabdruck akzeptieren, Root-Passwort einfügen

Sobald Sie verbunden sind, zuerst aktualisieren:

apt update && apt upgrade -y
apt install -y curl wget unzip fail2ban

Erstellen Sie einen Nicht-Root-Benutzer (SSH-Root wird deaktiviert):

adduser eric
# Eingabeaufforderungen folgen (starkes Passwort, optional vollständiger Name)
usermod -aG sudo eric

Kopieren Sie Ihren SSH-Öffentlichen Schlüssel von Ihrem lokalen MacBook (in einem anderen Terminal):

ssh-copy-id eric@IHRE.ÖFFENTLICHE.IP
# Falls ssh-copy-id fehlt: cat ~/.ssh/id_ed25519.pub | ssh root@IP "mkdir -p /home/eric/.ssh && cat >> /home/eric/.ssh/authorized_keys && chown -R eric:eric /home/eric/.ssh && chmod 700 /home/eric/.ssh && chmod 600 /home/eric/.ssh/authorized_keys"

Testen Sie die Nicht-Root-Anmeldung in einem neuen Terminal, ohne das erste zu schließen:

ssh eric@IHRE.ÖFFENTLICHE.IP
# Sollte nur mit SSH-Schlüssel-Passphrase anmelden

Wenn das funktioniert, deaktivieren Sie Root-SSH und Passwortauthentifizierung in /etc/ssh/sshd_config (aus der Root-Shell):

cat > /etc/ssh/sshd_config.d/00-hardening.conf <<'EOF'
PermitRootLogin no
PasswordAuthentication no
EOF
sshd -t && systemctl restart ssh
sshd -T | grep -E '^(permitrootlogin|passwordauthentication) '
# expected: permitrootlogin no / passwordauthentication no

Warum eine eigene Datei statt sshd_config zu bearbeiten: Ubuntu liest zuerst /etc/ssh/sshd_config.d/*.conf (die Include-Zeile am Anfang von sshd_config) und behält den ersten gefundenen Wert. Eine Datei aus dem Cloud-Image kann so die Passwort-Anmeldung stillschweigend aktiv lassen. Eine Datei namens 00-... wird vor den anderen gelesen. Und systemctl restart sshd scheitert unter 24.04 mit "Unit sshd.service not found" (geprüft auf einem Contabo-VPS mit Ubuntu 24.04.5 am 30.10.2026); systemctl restart ssh funktioniert unter 24.04 und 22.04.

Jetzt bleibt Port 22 offen, aber nur SSH-Schlüssel und nur für eric. Kein Risiko mehr für Root-Brute-Force.

Schritt 3 - UFW-Firewall

# Immer noch als Root
apt install -y ufw
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp comment 'SSH'
ufw allow 51820/udp comment 'WireGuard'
ufw enable
# Antwort y
ufw status verbose

UFW ist jetzt aktiv. Melden Sie sich von der Root-Sitzung ab und fahren Sie als eric mit sudo fort.

Schritt 4 - WireGuard installieren

# Als eric mit sudo
sudo apt install -y wireguard qrencode iptables-persistent

Server-Schlüssel generieren:

sudo bash -c 'umask 077 && wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub
# Notieren Sie den öffentlichen Schlüssel, Sie benötigen ihn für Clients

Öffentliches Interface identifizieren (könnte eth0, ens3, ens18 usw. sein):

ip route | awk '/default/ {print $5}'
# Bei Contabo normalerweise eth0 oder ens18

Schritt 5 - Konfigurieren von /etc/wireguard/wg0.conf

Bearbeiten (passen Sie eth0 an, wenn oben anders):

sudo nano /etc/wireguard/wg0.conf

Fügen Sie dies ein (ersetzen Sie SERVER_PRIVATE_KEY durch den Inhalt von /etc/wireguard/server.key):

[Interface]
PrivateKey = SERVER_PRIVATE_KEY
Address = 10.66.66.1/24
ListenPort = 51820
MTU = 1420

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Aktivieren Sie ip_forward:

sudo bash -c 'echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf'
sudo sysctl -p
# Überprüfen: sysctl net.ipv4.ip_forward (sollte 1 anzeigen)

WireGuard starten:

sudo systemctl enable --now wg-quick@wg0
sudo wg show
# Sollte Schnittstelle wg0, öffentlichen Schlüssel, Hörport anzeigen

Schritt 6 - Erstellen Sie den ersten Peer (Client)

Auf dem Server, generieren Sie einen Client-Schlüssel:

sudo mkdir -p /etc/wireguard/clients
sudo bash -c 'umask 077 && wg genkey | tee /etc/wireguard/clients/mac.key | wg pubkey > /etc/wireguard/clients/mac.pub'
sudo cat /etc/wireguard/clients/mac.pub
# Notieren Sie diesen öffentlichen Schlüssel

Fügen Sie den Peer zur Server wg0.conf hinzu:

sudo bash -c 'cat >> /etc/wireguard/wg0.conf <<EOF

[Peer]
# MacBook
PublicKey = CLIENT_MAC_PUBKEY
AllowedIPs = 10.66.66.2/32
EOF'

Konfiguration ohne Herunterfahren neu laden:

sudo wg syncconf wg0 <(wg-quick strip wg0)

Generieren Sie die Client-Datei (sicher auf MacBook/iPhone übertragen):

sudo bash -c 'cat > /etc/wireguard/clients/mac.conf <<EOF
[Interface]
PrivateKey = $(cat /etc/wireguard/clients/mac.key)
Address = 10.66.66.2/24
DNS = 9.9.9.9, 149.112.112.112
MTU = 1420

[Peer]
PublicKey = $(cat /etc/wireguard/server.pub)
Endpoint = IHRE.ÖFFENTLICHE.IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
EOF'

Für iPhone / Android, als QR kodieren:

sudo qrencode -t ansiutf8 < /etc/wireguard/clients/mac.conf

Scannen Sie diesen QR aus der WireGuard-App (App Store, Play Store) und der Tunnel ist konfiguriert.

Für macOS / Linux-Desktop, holen Sie die .conf lokal:

# Auf Ihrem Mac
scp eric@IHRE.ÖFFENTLICHE.IP:/etc/wireguard/clients/mac.conf ~/Downloads/
# Aus der offiziellen WireGuard-App importieren

Schritt 7 - Lecktests

Aktivieren Sie den Tunnel auf Ihrem Client, dann im Browser:

1. ipleak.net: Ihre öffentliche IP muss die Contabo Nürnberg VPS sein. Geo = Deutschland. Wenn Sie immer noch Ihre französische ISP-IP sehen → Tunnel leitet nicht, überprüfen Sie AllowedIPs des Clients. Dieses Feld leistet mehr, als es aussieht: siehe was AllowedIPs wirklich entscheidet.
2. dnsleaktest.com → "Erweiterter Test"-Button: Zurückgegebene DNS muss Quad9 (9.9.9.9) oder Ihr VPS sein. Wenn Sie Orange/SFR/Free DNS sehen → DNS-Leck, überprüfen Sie DNS = 9.9.9.9 in der Client .conf.
3. browserleaks.com/webrtc: Keine lokale IP darf über WebRTC lecken. Wenn Lecks auftreten → WebRTC im Browser deaktivieren (uBlock Origin → "Verhindern, dass WebRTC leckt").
4. curl ifconfig.me vom Client-Terminal: muss die VPS-IP zurückgeben.

Alles grün: Ihr selbstgehostetes VPN funktioniert. Willkommen.

Schritt 8 - Backups und Wartung

Der Tunnel läuft. Gute Gewohnheiten:

• Sichern Sie /etc/wireguard/ wöchentlich: rsync -avz eric@VPS:/etc/wireguard/ ~/backup-wg/$(date +%F)/
• Monatliche Updates: sudo apt update && sudo apt upgrade -y && sudo reboot (~30s Ausfallzeit, oder verwenden Sie unattended-upgrades)
• Überwachung: siehe den Prometheus + Grafana Überwachungsleitfaden
• Client-seitiger Kill-Switch: siehe den Linux Kill-Switch (iptables + systemd) Leitfaden
• Spezifische Vorlagen: siehe die 8 gebrauchsfertigen WireGuard-Vorlagen

Gesamtkosten über 5 Jahre

Um ehrlich mit einem kommerziellen VPN-Dienst zu vergleichen:

Und auf dem Contabo VPS können Sie auch hosten: einen Pi-hole DNS, Nextcloud, Vaultwarden, einen Discord-Bot, eine persönliche Mastodon-Instanz. Das VPN selbst nutzt im normalen persönlichen Gebrauch nur sehr wenig CPU und RAM.

Fazit

WireGuard auf Contabo Cloud VPS 4 für 5,50 €/Monat (geprüft am 17. Okt. 2026) bleibt unsere #1 Wahl für selbstgehostete VPNs. ~20-minütige Einrichtung, eine beworbene 200 Mbit/s+ Verbindung, niedrige Latenz aus Westeuropa, deutsche DSGVO-Jurisdiktion. Der wirkliche Nachteil: Support nur per Ticket im Panel my.contabo.com, ohne Live-Chat, nicht ideal bei einem dringenden Ausfall.

Schon Contabo-Kunde? Seit dem 19. Oktober 2026 ist my.contabo.com ein neues Panel (neues Passwort, Tickets, Sub-Users): Hake die Änderungen mit unserer Checkliste zum neuen Contabo-Panel ab.

Um loszulegen: Contabo Cloud VPS 4 über unseren Link /go/contabo-vps-2y. Eine Geld-zurück-Garantie bietet Contabo nicht an; Verbraucher in der EU haben laut AGB ein 14-tägiges Widerrufsrecht.

Unsere vollständige Contabo VPS Bewertung beschreibt Stärken und Schwächen in 5 Kategorien (Leistung, Preis, RAM/CPU, Support, Dashboard) mit der Punkteaufteilung.

Weitere VPS-Vergleiche: Contabo vs Hostinger (Einstiegspreis gegen Verlängerungspreis) und Contabo-Alternativen (welcher VPS, je nachdem, warum Sie Contabo verlassen).