PiVPN 2026: WireGuard oder OpenVPN mit einem Befehl selbst hosten

Ein VPN selbst zu hosten bedeutete früher, Konfigurationsdateien von Hand zu bearbeiten und zu hoffen, dass Schlüssel, Routing und Firewall stimmen. PiVPN nimmt Ihnen fast alles davon ab: Es ist ein Ein-Befehl-Installer, der WireGuard oder OpenVPN auf einem Raspberry Pi oder jedem Debian/Ubuntu-VPS einrichtet und Ihre Client-Geräte anschließend mit ein paar einfachen Befehlen verwaltet. Dieser Leitfaden erklärt, wie es funktioniert, die Installation, die ehrlichen Grenzen und wo es im Vergleich zu den Mesh-VPNs steht.

Raspberry Pi zu Hause oder VPS? Zu Hause braucht PiVPN einen Router, auf dem sich ein UDP-Port weiterleiten lässt, was CGNAT ausschließt. Auf einem VPS entfällt die Frage: ein Contabo Cloud VPS 4 (Affiliate-Link) bietet eine feste öffentliche IPv4 für 5,50 € pro Monat bei 24 Monaten Laufzeit, und die Installation unten ist dieselbe. Lieber ein US-Anbieter mit 30 Tagen Geld-zurück-Garantie? Ultahost VPS Basic kostet 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, gelesen am 21. Oktober 2026), genug für einen WireGuard-Server mit wenigen Geräten. Weitere Option: HostPapa Unmanaged VPS Lite (Affiliate-Link) für 2,95 $ im Monat bei 3 Jahren Laufzeit, danach zum regulären Preis (1 Kern, 1 GB RAM, 25 GB NVMe, Root-Zugang per SSH, 30 Tage Geld-zurück-Garantie, Stand 28. Oktober 2026).

Was ist PiVPN, und was ist es nicht?

PiVPN ist ein Wrapper/Installer, kein neues Protokoll. Es konfiguriert die echte, gut geprüfte VPN-Software für Sie:

• Wählen Sie bei der Einrichtung WireGuard (2026 empfohlen) oder OpenVPN.
• Es kümmert sich um Schlüssel, Serverkonfiguration, Routing und Firewall-Regeln mit vernünftigen Voreinstellungen.
• Verwalten Sie Clients mit pivpn add, pivpn -qr (QR-Code für Smartphones) und pivpn -l, um Profile aufzulisten.

Es bietet Ihnen einen klassischen einzelnen VPN-Server: Jedes Gerät verbindet sich mit dieser einen Maschine. Diese Einfachheit ist seine Stärke. Wenn Sie die wg0.conf lieber selbst schreiben, statt sich auf die Voreinstellungen des Installers zu verlassen, decken unsere gebrauchsfertigen WireGuard-Konfigurationsvorlagen dasselbe Single-Server-Setup ab, dazu Split-Tunnel-, Kill-Switch- und Multi-Peer-Varianten zum Einfügen und Anpassen.

Sollten Sie PiVPN auf einem Raspberry Pi oder einem VPS betreiben?

Die kurze Antwort: ein Pi, wenn Sie zurück in Ihr eigenes Heimnetzwerk wollen, ein VPS, wenn Sie einen schnellen Ausgangspunkt wollen. Beide lösen unterschiedliche Probleme, und viele betreiben beides.

• Raspberry Pi zu Hause → ein Tunnel zurück in Ihr Heimnetzwerk; abhängig von Ihrer Upload-Geschwindigkeit zu Hause und einer stabilen öffentlichen IP / dynamischem DNS. Siehe unseren Raspberry Pi 5 Self-Host-Leitfaden.
• Cloud-VPS → ein schneller, ständig verfügbarer privater Ausgangspunkt mit fester öffentlicher IP, für ein paar Euro im Monat: ideal für den Fernzugriff auf Reisen. Ein Contabo Cloud VPS 4 für 5,50 €/Monat bewältigt persönlichen VPN-Verkehr problemlos.

Wie installieren Sie PiVPN mit einem einzigen Befehl?

Auf einem frischen Debian/Ubuntu-Host:

# review the script before running it (open the URL in a browser first)
curl -L https://install.pivpn.io | bash

Der geführte Installer fragt nach dem Protokoll (wählen Sie WireGuard), der Netzwerkschnittstelle, einer statischen IP, dem DNS-Anbieter und dem öffentlichen Endpunkt (IP oder Domain). Wenn er fertig ist, fügen Sie Ihren ersten Client hinzu:

pivpn add            # create a client profile
pivpn -qr            # show a QR code to import on a phone

Öffnen und lesen Sie ein Installationsskript immer, bevor Sie es an bash übergeben. Für die grundlegende VPS-Härtung, die auch hier gilt, siehe den Contabo-VPS-Einrichtungsleitfaden, und für die Protokollwahl WireGuard vs. OpenVPN.

Ist PiVPN kostenlos?

Ja, vollständig. PiVPN ist quelloffene Software, die auf einer Maschine installiert wird, die Sie ohnehin kontrollieren: kein Konto, keine Lizenzstufe, keine Gebühr pro Gerät. Bezahlen müssen Sie nur die Maschine, auf der es läuft: gar nichts, wenn Sie einen Raspberry Pi wiederverwenden, den Sie bereits besitzen, oder die monatlichen Kosten eines kleinen VPS, wenn Sie eine feste öffentliche IP und einen ständig verfügbaren Ausgangspunkt wollen.

Das ist das gesamte Kostenmodell, und genau das unterscheidet einen selbst gehosteten Tunnel von einem kommerziellen VPN-Abo: Sie kaufen Hardware oder Hosting, keinen Dienst. Was Sie damit nicht bekommen, ist die Anonymität einer geteilten IP wie bei einem kommerziellen Anbieter: Ihr Tunnel tritt über eine Adresse aus, die nur Ihnen gehört.

Wie fügen Sie PiVPN-Clients hinzu und entfernen sie?

Ab drei oder vier Clients sind die Fehler nicht mehr offensichtlich. Zwei Geräte mit derselben Adresse funktionieren jeweils allein, und das zweite, das sich verbindet, verdrängt das erste, was wie ein sporadischer Serverfehler aussieht und keiner ist. Wir haben wg-clients-audit geschrieben, um einen Ordner mit generierten .conf-Dateien zu lesen und genau das zu melden: doppelte Adressen, einen privaten Schlüssel, der auf zwei Geräten wiederverwendet wird, und AllowedIPs-Bereiche, die so breit sind, dass sie das eigene LAN des Clients verschlucken.

pivpn add erledigt das erste Profil; der Rest des Alltags besteht aus drei weiteren Befehlen:

pivpn list           # every profile, and which are enabled
pivpn -qr <name>     # re-display a profile QR code
pivpn revoke <name>  # disable a lost or retired device

Das Widerrufen ist wichtiger, als viele denken. Ein WireGuard-Peer bleibt gültig, bis Sie ihn entfernen: Ein verlorenes Smartphone oder ein Laptop, der das Unternehmen verlassen hat, behält einen funktionierenden Schlüssel, bis jemand diesen Befehl ausführt. Die generierten Profile liegen im Home-Verzeichnis des Installationsbenutzers. Behandeln Sie diese Dateien wie Passwörter, denn genau das sind sie.

Warum verbindet sich PiVPN, überträgt aber keinen Verkehr?

Fast jeder Fall von „die Installation lief sauber, aber von außen komme ich nicht rein" geht auf eine von zwei Ursachen zurück, und keine davon ist die Schuld von PiVPN. Trifft die zweite auf Sie zu, ist die Lösung keine Einstellung, sondern ein anderes Werkzeug; diesen Vergleich finden Sie unter PiVPN vs. Tailscale.

Der Port ist nicht erreichbar. WireGuard lauscht auf UDP, und ein Heimrouter leitet diesen Port nur weiter, wenn Sie es ihm sagen. Sie brauchen eine Portweiterleitungsregel, die diesen UDP-Port an die lokale Adresse des Pi schickt, und der Pi braucht eine feste lokale IP, damit die Regel weiter auf ihn zeigt. Setzt Ihr Provider Sie hinter CGNAT, hilft keine Regel; diesen Fall behandelt unser Leitfaden zu WireGuard hinter CGNAT. Bevor Sie Profile verteilen, sagt Ihnen unser kostenloser WireGuard-Port-Checker, ob eine Weiterleitung an Ihrem Anschluss überhaupt funktionieren kann (er vergleicht die WAN-Adresse Ihres Routers mit Ihrer öffentlichen IP, um CGNAT und doppeltes NAT zu erkennen), und schreibt die Firewall-Regel für den Pi.

Die öffentliche Adresse hat sich geändert. Die meisten Privatanschlüsse erhalten eine dynamische IP, sodass der in einem Client-Profil hinterlegte Endpunkt nach der nächsten Zuteilung nicht mehr stimmt. Ein Dynamic-DNS-Hostname anstelle einer reinen IP löst das dauerhaft, und es lohnt sich, ihn einzurichten, bevor Sie Profile verteilen, nicht danach.

Wenn der Tunnel steht, aber kein Verkehr fließt, liegt die Ursache meist woanders: unser Leitfaden zur Handshake-Fehlerbehebung geht die acht Ursachen nach Wahrscheinlichkeit geordnet durch.

Wo liegen die Grenzen von PiVPN?

• Einzelner Server, kein Mesh. Jeder Client läuft über diese eine Maschine. Ideal als persönlicher Ausgangsknoten; nicht dafür gebaut, viele Geräte und Standorte zu vernetzen.
• Die Wartung liegt bei Ihnen. Patches, Schlüsselrotation, Firewall und Verfügbarkeit sind Ihre Sache: Lassen Sie automatische Sicherheitsupdates aktiviert.
• Einschränkungen beim Hosting zu Hause. Auf einem Raspberry Pi begrenzt Ihre Upload-Geschwindigkeit den Durchsatz, und Sie brauchen eine stabile öffentliche IP oder dynamisches DNS.
• Es ist ein Wrapper. Die Sicherheit kommt von WireGuard/OpenVPN und Ihrer Host-Hygiene, nicht von PiVPN selbst.

PiVPN vs. Tailscale: Was sollten Sie wählen?

Wenn Sie ein Mesh statt eines einzelnen Servers brauchen, sehen Sie sich unseren NetBird-Self-Host-Leitfaden und die Übersicht bestes selbst gehostetes VPN 2026 an.

Ihr VPN verbirgt Ihre IP. Es verbirgt nicht Ihren Browser.

Ein korrekt konfigurierter WireGuard-Tunnel ersetzt die Adresse, die eine Website sieht. An dem, was Ihr Browser von sich aus preisgibt, ändert er nichts: Schriften, Bildschirm, Zeitzone, Grafik-Stack. Diese Kombination ist oft eindeutig genug, um Sie über Sitzungen hinweg zu verfolgen, mit oder ohne Tunnel.

Messen Sie Ihren eigenen Browser-Fingerabdruck: passiv, ohne Fragen, ohne Konto, ohne E-Mail. Er zeigt Ihnen, wie viele von N Browsern wie Ihrer aussehen und welches Merkmal Sie hervorstechen lässt.

Fazit

PiVPN ist 2026 der schnellste, einfachste Weg, einen eigenen WireGuard- oder OpenVPN-Server aufzusetzen: auf einem Raspberry Pi für den Zugriff nach Hause oder auf einem günstigen VPS für einen ständig verfügbaren privaten Ausgangspunkt. Wählen Sie es, wenn Sie einen sauberen persönlichen Server wollen; greifen Sie zu einem Mesh-VPN, wenn Sie viele verbundene Knoten brauchen. So oder so gehören Server und Schlüssel Ihnen.

Sobald der Server steht, besteht die tägliche Arbeit aus dem Hinzufügen und Widerrufen von Peers: siehe PiVPN-Clients verwalten für pivpn add, pivpn -qr, den Widerruf und das, was tatsächlich kaputtgeht, wenn man es falsch macht.

Contabo-VPS für PiVPN starten →

Redaktioneller Leitfaden auf Grundlage des dokumentierten Verhaltens des PiVPN-Installers und der dokumentierten Eigenschaften von WireGuard und OpenVPN. Die Sicherheit hängt von den zugrunde liegenden Protokollen und Ihrer Host-Hygiene ab, was wir offen sagen. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; es kann eine Affiliate-Provision anfallen, ohne Mehrkosten für Sie.