sing-box vs Xray 2026: Der wahre Unterschied liegt im Umfang

Affiliate-Hinweis: Dieser Artikel enthält Affiliate-Links zu Contabo und NordVPN. Wenn Sie über unseren Link einen VPS bestellen, erhalten wir eine Provision, ohne dass Ihnen Mehrkosten entstehen. Der folgende Vergleich gibt die dokumentierten Funktionen der Projekte wieder. Prüfen Sie die genaue Konfigurationssyntax in der offiziellen Dokumentation des jeweiligen Tools, denn sie ändert sich zwischen den Versionen.

Kurz gesagt: Sie wollen ein fokussiertes, bewährtes Anti-Zensur-Setup mit VLESS + REALITY und der größten Auswahl an Anleitungen? Nehmen Sie Xray. Sie wollen eine einzige Binärdatei, die Client und Server zugleich ist und auch neue QUIC-Protokolle (Hysteria2, TUIC) spricht? Dazu kommen Shadowsocks, VMess, VLESS, Trojan und WireGuard, also nehmen Sie sing-box. Beide unterstützen REALITY. Die eigentliche Wahl lautet: fokussiertes Werkzeug oder All-in-One-Werkzeugkasten. Neu bei diesen Protokollen? Beginnen Sie mit unserer Anleitung zur Einrichtung von V2Ray / VMess / VLESS.

Egal, wofür Sie sich entscheiden: Die Serverseite läuft auf einem VPS außerhalb des zensierten Netzes. Eine passende Option ist ein Contabo Cloud VPS mit Ubuntu 24.04 (Affiliate-Link), ab 5,50 € pro Monat bei 24 Monaten Laufzeit (Stand 17. Oktober 2026); wählen Sie ein Rechenzentrum nahe bei Ihren Nutzern für geringere Latenz.

Noch unentschieden? Sie müssen sich nicht vor dem Testen festlegen. Unser kostenloser VLESS REALITY Config Generator schreibt Server- und Client-Configs für beide Kerne aus denselben Schlüsseln, und wenn Sie schon einen vless://- oder vmess://-Link haben, macht der Link-Konverter daraus eine Xray-Config und eine sing-box-Config nebeneinander, mit einer Sicherheitsprüfung des Links. Beide laufen in Ihrem Browser.

Was ist sing-box, und was ist Xray?

• V2Ray (Project V): die ursprüngliche Multi-Protokoll-Proxy-Plattform. Sie führte VMess und später VLESS ein, mit Transporten wie TCP, WebSocket, HTTP/2, gRPC und QUIC. Sie ist nach wie vor die zentrale Referenz, aber ihr ursprünglicher Core hat kein REALITY.
• Xray: ein Fork von V2Ray, der XTLS Vision und REALITY ergänzt hat. Es ist der Core, an dem für die Zensurumgehung am meisten gearbeitet wird. Die meisten „V2Ray“-Setups gegen die GFW laufen 2026 unter der Haube tatsächlich mit Xray. (Eine vollständige Einrichtung zeigen wir in unserer Anleitung zu V2Ray / VMess & VLESS.)
• sing-box: in Foren und Suchfeldern meist singbox geschrieben, während das Projekt selbst den Bindestrich verwendet; Binärdatei, Paket und Konfigurationsschlüssel heißen alle sing-box. Es ist eine neuere All-in-One-Plattform (Go, eine einzige Binärdatei). Sie betreibt viele Protokolle als Client und als Server: Shadowsocks, VMess, VLESS, Trojan, Hysteria/Hysteria2, TUIC, WireGuard, ShadowTLS und weitere. Dazu kommen TLS/REALITY und mehrere Transporte. Apps gibt es für Android (SFA), iOS (SFI) und macOS (SFM).

Vergleich im Überblick

Welches sollten Sie wählen, sing-box oder Xray?

• Nehmen Sie Xray, wenn Ihr einziges Ziel ein robustes VLESS + REALITY-Setup gegen starke DPI ist (Chinas GFW, Iran, Russland) und Sie den am besten dokumentierten Weg wollen. Diese eine Aufgabe erledigt es sehr gut.
• Nehmen Sie sing-box, wenn Sie alles in einem Tool bündeln wollen: eine Binärdatei für den Server und alle Ihre Geräte, die Freiheit, Hysteria2/TUIC zu testen (UDP/QUIC-Protokolle, die auf verlustbehafteten oder gedrosselten Netzen besser laufen können), und integriertes WireGuard. Es ist die bessere „Schweizer Taschenmesser“-Basis, wenn Sie damit rechnen, die Protokolle zu wechseln.
• Unsicher? Beide laufen auf einem kleinen VPS (welcher VPS zu V2Ray/Xray passt) und beide unterstützen REALITY, eine falsche Wahl gibt es also nicht. Beginnen Sie mit dem Core, der zu der Anleitung passt, der Sie tatsächlich folgen werden. Für VLESS + REALITY ist das oft Xray. Für ein Multi-Protokoll-Labor ist es sing-box.

Was Sie zum Ausprobieren brauchen

Beide Cores laufen auf jedem kleinen Linux-VPS mit öffentlicher IP, und der Server ist das einzige Teil, das Sie sich nicht leihen können: Er muss außerhalb des Netzes stehen, das Sie filtert. Unser kostenloser VLESS-REALITY-Konfigurationsgenerator schreibt Server- und Client-Konfigurationen für Xray und für sing-box aus denselben Schlüsseln, erzeugt in Ihrem Browser. So können Sie einen Core installieren, testen und zum anderen wechseln, ohne etwas neu zu generieren.

Wenn Sie sich aus China oder dem Iran verbinden, zählt der Standort des Rechenzentrums mehr als die technischen Daten. Contabo bietet neben Europa und den USA auch Singapur und Tokio, und der Einstiegstarif (4 vCPU, 8 GB RAM, 5,50 €/Monat in den ersten 24 Monaten) übertrifft den Bedarf eines persönlichen Proxys bei Weitem. Kein Anbieter garantiert, dass seine IP-Bereiche erreichbar bleiben. Betrachten Sie den Server daher als austauschbar und halten Sie Ihre Konfiguration bereit, um sie auf einer neuen IP erneut auszurollen.

Protokolle und Transporte auf einen Blick

Die beiden Cores überschneiden sich bei den klassischen Proxy-Protokollen, gehen bei den neueren aber getrennte Wege. Das ist der klarste sachliche Unterschied zwischen ihnen.

• Gemeinsame Basis: Beide sprechen VLESS, VMess, Trojan und Shadowsocks, und beide unterstützen REALITY und TLS. Beide bieten außerdem gängige Transporte wie TCP, WebSocket, HTTP/2 und gRPC. Für einen VLESS + REALITY-Tunnel sind Sie also mit jedem der beiden Cores abgedeckt.
• Der Schwerpunkt von Xray: Der Xray-Core ist um den Stack VLESS + XTLS Vision + REALITY herum gebaut. XTLS Vision ist Xrays eigenes Flusssteuerungs-Design, das den „TLS-in-TLS“-Overhead verringert, der entsteht, wenn TLS-Verkehr durch einen TLS-Proxy getunnelt wird. Für dieses Setup ist Xray am bekanntesten und am besten dokumentiert.
• Die zusätzlichen Protokolle von sing-box: sing-box ergänzt in derselben Binärdatei neuere QUIC/UDP-basierte Protokolle, vor allem Hysteria/Hysteria2 und TUIC, dazu WireGuard als integrierten Inbound/Outbound und ShadowTLS. Diese Breite ist der Hauptgrund, zu sing-box statt zu Xray zu greifen.

Welches widersteht Deep Packet Inspection besser?

Beide Projekte setzen REALITY als erste Verteidigungslinie gegen Deep Packet Inspection ein. REALITY übernimmt den echten TLS-Handshake einer legitimen Drittanbieter-Website (ein „steal-oneself's-handshake“-Design), sodass die Verbindung für einen Beobachter wie gewöhnliches HTTPS zu dieser Website aussieht und nicht wie ein Proxy. Entscheidend ist, dass es darauf ausgelegt ist, Active Probing zu überstehen, bei dem ein Zensor sich selbst mit Ihrem Server verbindet, um zu prüfen, ob er sich wie ein Proxy verhält: Da REALITY unerwartete Anfragen an die echte Zielseite weiterleitet, sieht die Sonde eine normale TLS-Antwort statt eines verräterischen Proxys.

Xray ist das Projekt, in dem REALITY eingeführt wurde und in dem XTLS Vision den Fingerabdruck der doppelten Verschlüsselung eines TLS-Tunnels verringert. sing-box implementiert REALITY ebenfalls und legt es über seinen breiteren Protokollsatz, sodass Sie REALITY etwa mit einem QUIC-basierten Protokoll an einem separaten Endpunkt kombinieren können. Keiner der beiden Ansätze garantiert eine Umgehung: Zensursysteme verändern sich, und ehrlich gesagt ist Anti-DPI ein fortlaufendes Katz-und-Maus-Spiel und kein gelöstes Problem.

Design und Governance

Die Projekte stammen aus unterschiedlichen Linien, und das prägt ihren Aufbau.

• sing-box (SagerNet) ist eine einzige Mehrzweck-Binärdatei: Dieselbe ausführbare Datei ist Client und Server, Routing-Regeln, DNS-Handling und mehrere Inbounds/Outbounds werden in einer einheitlichen JSON-Datei konfiguriert. Es ist das jüngere der beiden Projekte und will eine universelle Plattform sein statt die Referenz eines einzelnen Protokolls.
• Xray (Project XTLS) ist ein Community-Fork von V2Ray (Project V). Es bleibt nah an der Rolle des Proxy-Cores: Es ist vor allem die Engine, das Client-Erlebnis liefern meist separate Apps von Drittanbietern. Seine Identität ist an XTLS Vision und REALITY geknüpft, die Anti-Erkennungs-Funktionen, die es als Erstes eingeführt hat.

Der Unterschied verläuft also nicht nur Funktion für Funktion. Es ist ein All-in-One-Werkzeugkasten gegenüber einem fokussierten Proxy-Core mit einem großen Client-Ökosystem drumherum.

Die Lizenzen sind nicht dieselben, und Vergleiche lassen das regelmäßig aus

Beide Projekte sind Open Source, und die meisten Gegenüberstellungen hören bei diesem Wort auf. Sie stehen aber nicht unter denselben Bedingungen, und das ist genau die Art Unterschied, die zählt, wenn Sie etwas ausliefern, das auf einem der beiden aufbaut.

Xray-core steht unter der Mozilla Public License 2.0. Die GitHub-API normalisiert sie als MPL-2.0. Es ist ein Copyleft auf Dateiebene: Wenn Sie eine MPL-Datei ändern, bleibt diese Datei unter MPL, Sie dürfen sie aber mit Code unter anderen Lizenzen kombinieren.

sing-box steht unter der GPL Version 3 oder später, plus einer eigenen Klausel. Die Datei LICENSE enthält die übliche Lizenzierung unter GPLv3-or-later und fügt dann hinzu:

In addition, no derivative work may use the name or imply association with this application without prior consent.

(Sinngemäß: Kein abgeleitetes Werk darf ohne vorherige Zustimmung den Namen verwenden oder eine Verbindung zu dieser Anwendung nahelegen.) Dieser zusätzliche Satz ist der Grund, warum GitHub die Lizenz nicht normalisiert: Die API meldet Other / NOASSERTION statt GPL-3.0, weil der Text nicht mehr die unveränderte Lizenz ist. (Beide Werte am 20. August 2026 über die GitHub-API abgerufen, zusammen mit 41.119 Sternen für Xray-core und 37.139 für sing-box.)

Wenn Sie für den Eigenbedarf selbst hosten, betrifft Sie nichts davon, denn Software zu betreiben heißt nicht, sie weiterzuverbreiten. Wenn Sie aber ein Produkt, einen Dienst oder eine Appliance auf einem dieser Cores aufbauen, sind „GPLv3-or-later mit Namensbeschränkung“ und „MPL-2.0“ sehr unterschiedliche Ausgangspunkte. Das ist eine Frage für die Person, die bei Ihnen Lizenzen betreut, und nichts, was ein Vergleichsartikel klären sollte.

Welche Clients funktionieren mit sing-box und Xray?

Im Alltag zählt die Art, wie Sie sich verbinden, genauso viel wie der Server-Core.

• Client-Apps: sing-box liefert offizielle Begleit-Apps (SFA für Android, SFI für iOS und SFM für macOS), die denselben Core auf dem Gerät ausführen. Xray liefert keine eigenen Endnutzer-Apps; stattdessen steckt es in beliebten Drittanbieter-Clients wie v2rayNG unter Android und Shadowrocket unter iOS, die viele ohnehin schon nutzen.
• Konfiguration: Beide Cores werden mit JSON konfiguriert. sing-box nutzt ein einheitliches Schema, das Inbounds, Outbounds, DNS und Routing-Regeln in einer einzigen Datei abdeckt, was zu einem All-in-One-Setup passt. Das JSON von Xray ist auf Proxy-Inbound/Outbound ausgerichtet und hat einen eigenen Routing-Block. Trivial ist keines von beiden, und beide Schemata ändern sich zwischen den Releases: An der Konfiguration, nicht an der Installation, scheitern die meisten Setups.

„sing-box oder v2rayN?“ ist der falsche Vergleich

Diese Frage taucht ständig auf, und sie vermischt zwei verschiedene Arten von Software.

sing-box ist ein Core. Er spricht die Protokolle, terminiert den Tunnel und routet den Verkehr. v2rayN ist ein Client: eine Desktop-Oberfläche für Windows, die Ihre Profile verwaltet, Abo-Links importiert und die Verbindung startet und beendet. Die Protokolle implementiert v2rayN nicht selbst, sondern steuert darunter einen Core. Je nach installiertem Build ist dieser Core V2Ray, Xray oder sing-box.

Die beiden sind also keine Alternativen. Ehrlich formuliert besteht die Entscheidung aus zwei Teilen:

• Welcher Core soll das Protokoll und den Widerstand gegen DPI übernehmen, sing-box oder Xray? Diesen Vergleich zieht diese Seite weiter oben.
• Welcher Client soll ihn auf Ihrem Rechner steuern? Unter Windows ist v2rayN die übliche Antwort, egal welchen Core Sie wählen. Unter Android ist das Gegenstück v2rayNG, und sing-box liefert zusätzlich eigene offizielle Apps (SFA, SFI, SFM).

Wenn Sie bereits v2rayN nutzen und überlegen, „auf sing-box umzusteigen“, geht es in Wahrheit darum, den Core zu wechseln, den v2rayN startet, und nicht darum, die Anwendung zu ersetzen. Prüfen Sie, welche Cores Ihr v2rayN-Build unterstützt, bevor Sie etwas annehmen, denn das unterscheidet sich von Release zu Release.

Wie migrieren Sie von Xray zu sing-box?

Eine Frage, die aufkommt, sobald die Entscheidung gefallen ist: Kann man die Konfigurationsdatei einfach umwandeln? Durch Umschreiben von Hand nicht. Eine Migration von V2Ray zu sing-box erstellt die Konfiguration neu, statt sie zu übersetzen: Die beiden Cores beschreiben dieselbe Verbindung mit anderen Schlüsselnamen, Suchen und Ersetzen bringt Sie also nicht ans Ziel.

So sieht der Unterschied am Beispiel eines VMess-Outbounds aus:

Zum reinen Umbenennen kommen zwei praktische Hinweise. Die aktuelle Xray-Dokumentation zeigt den VMess-Outbound mit address, port und id direkt unter settings statt im älteren vnext-Array, das viele veröffentlichte Beispiele noch verwenden: Selbst innerhalb derselben Linie sehen also nicht alle Konfigurationen gleich aus. Und sing-box trennt in tls und transport, was Xray unter streamSettings zusammenhält, und genau dort geht ein mechanisches Kopieren Feld für Feld meist schief.

Der verlässliche Weg ist daher, den sing-box-Outbound aus den Serverparametern zu schreiben, die Sie bereits kennen (Host, Port, UUID, Transport, TLS-Einstellungen), und nicht aus der alten Datei, und ihn vor dem Start zu prüfen: sing-box check -c config.json meldet Schemafehler, und sing-box format -w -c config.json schreibt die Datei in kanonischer Form neu. Wie der Vorbehalt weiter unten sagt: Gleichen Sie die Feldnamen mit der aktuellen Dokumentation der Version ab, die Sie tatsächlich installiert haben, denn diese Schemata ändern sich zwischen den Releases.

Wenn Sie v2rayN unter Windows nutzen, ist die Migration eine andere Aufgabe. Dort schreiben Sie keine Serverkonfiguration um, sondern tauschen den Core, den der Client steuert, denn v2rayN kann unter derselben Oberfläche entweder den Xray-Core oder den sing-box-Core ausführen. Das ändert, welche Optionen die Oberfläche anbietet, und vor allem, welche Komponente DNS auflöst. Diesen Wechsel und seine eine wiederkehrende Falle behandeln wir in v2rayN mit dem sing-box-Core.

Welchen Server brauchen Sie für einen der beiden?

Wenn schlichtes WireGuard für Ihr Netz genügt und Sie kein verschleiertes Protokoll brauchen, liefert Ihnen unser kostenloser WireGuard-Konfigurationsgenerator in einer Minute eine funktionierende Server- und Client-Konfiguration, die Schlüssel werden in Ihrem Browser erzeugt.

Egal welchen Core Sie wählen, der Tunnel bricht auf dieselbe Weise, wenn die MTU falsch ist: Kleine Anfragen gehen durch, große Übertragungen bleiben hängen, und unter Last reißt die Verbindung ab. Dieses Muster wird routinemäßig dem Anbieter angelastet. mtu-probe misst das größte Paket, das Ihr Pfad tatsächlich transportiert, sodass Sie die MTU der Schnittstelle anhand einer Messung statt eines Standardwerts festlegen können: 60 Byte abziehen für WireGuard über IPv4, 80 über IPv6.

Egal welchen Core Sie wählen, Sie hosten ihn selbst auf Ihrem eigenen VPS. Genau das hält die Einrichtung privat und unter Ihrer Kontrolle. Für den persönlichen Gebrauch reicht eine kleine Instanz völlig aus; wenn Sie noch einen Anbieter suchen, sehen Sie sich an, wie Contabo, Hetzner und OVH für ein selbstgehostetes VPN abschneiden.

Eine praktische Option ist ein Contabo VPS (Ubuntu 24.04). Wählen Sie ein Rechenzentrum in der Nähe Ihrer Zielregion, um die Latenz niedrig zu halten. Contabo-VPS-Preise ansehen →

Sobald der VPS läuft, schreibt unser VLESS-REALITY-Konfigurationsgenerator Server- und Client-Konfigurationen für beide Cores, Xray oder sing-box, aus denselben Schlüsseln, sodass Sie beide ausprobieren können.

Was sollte Sie zögern lassen?

Zensur zu umgehen kann in manchen Ländern gegen geltendes Recht verstoßen. Dieser Artikel erklärt die Technik; er ist keine Rechtsberatung. Außerdem ändern sich die Konfigurationsschemata der Proxy-Cores zwischen den Releases. Betrachten Sie jeden Konfigurationsausschnitt, den Sie finden (auch in Anleitungen), als Ausgangspunkt. Prüfen Sie ihn anhand der aktuellen offiziellen Dokumentation von sing-box oder Xray, bevor Sie sich darauf verlassen.

Und wenn Ihnen die Pflege eines Proxy-Kerns zu viel ist, ist ein kommerzielles VPN mit verschleierten Servern der schlüsselfertige Weg, etwa NordVPN (verschleiertes OpenVPN, NordWhisper). Der Kompromiss ist real: seine Server-IPs sind geteilt und den Zensoren bekannt, daher wird es in einem stark gefilterten Land öfter blockiert als Ihr eigener REALITY-Server.

Ihr VPN verbirgt Ihre IP. Ihren Browser verbirgt es nicht.

Ein korrekt konfigurierter WireGuard-Tunnel ersetzt die Adresse, die eine Website sieht. An dem, was Ihr Browser von sich aus preisgibt, ändert er nichts: Schriften, Bildschirm, Zeitzone, Grafik-Stack. Diese Kombination ist oft einzigartig genug, um Sie über Sitzungen hinweg wiederzuerkennen, mit oder ohne Tunnel.

Messen Sie den Fingerabdruck Ihres eigenen Browsers, passiv, ohne Fragen, ohne Konto, ohne E-Mail. Sie erfahren, wie viele von N Browsern so aussehen wie Ihrer und welches Merkmal Sie hervorstechen lässt.

Verwandte Anleitungen

• v2rayN erklärt: der Windows-Client für VLESS und VMess
• Hysteria2-Masquerade: den Tunnel hinter einer plausiblen Website verstecken
• V2Ray-Einrichtung: VMess & VLESS für China, Iran, Russland
• Shadowsocks vs VPN: technischer Vergleich
• Cloak: TLS-Verschleierung für selbstgehostete VPNs
• Anti-DPI: Deep Packet Inspection umgehen
• Russlands hartes Vorgehen gegen VPNs 2026: was blockiert ist und was noch funktioniert
• v2rayN mit dem sing-box-Core: was sich ändert, und die DNS-Falle

Beide Cores brauchen trotzdem einen Server. Wenn dieser Teil noch nicht geklärt ist, listet unser Vergleich der günstigsten VPS für WireGuard auf, was jeder Anbieter für die Ausstattung verlangt, die diese Setups tatsächlich brauchen.