WireGuard auf Android: Vollständige Einrichtungsanleitung (2026)

WireGuard ist das schnellste und einfachste VPN-Protokoll, das auf einem Telefon läuft - einmal eingerichtet, ist die Verbindung mit einem einzigen Schalter hergestellt und es verbraucht im Vergleich zu älteren Protokollen weniger Akku. Diese Anleitung führt Sie Schritt für Schritt durch WireGuard auf Android im Jahr 2026: Installation der App, Import Ihrer Serverkonfiguration, Aktivierung eines Kill-Switches, Split-Tunneling pro App und Behebung von Handshake- und MTU-Problemen. Es funktioniert mit jedem WireGuard-Server - PiVPN, NetBird oder einer manuellen Einrichtung. Noch keine Konfiguration zum Importieren? Unser kostenloser WireGuard-Konfigurationsgenerator schreibt die Serverdatei und die Datei für das Smartphone direkt im Browser, mit einem QR-Code zum Scannen in der App.

Noch kein Server? Optionen nach den Schritten

Was Sie vor dem Start benötigen

• Ein Android-Telefon oder -Tablet mit Android 10 oder höher (ältere Versionen funktionieren, aber die Always-on/Kill-Switch-Schalter sind in neueren Versionen am saubersten).
• Ein laufender WireGuard-Server mit einem erreichbaren öffentlichen Endpunkt - ein Raspberry Pi zu Hause mit weitergeleitetem UDP-Port oder ein kleiner VPS. Die Android-App ist nur der Client.
• Die Client-Konfiguration für dieses Gerät - ein QR-Code auf dem Bildschirm oder eine .conf-Datei. Geben Sie jedem Gerät sein eigenes Schlüsselpaar; die Wiederverwendung einer Konfiguration auf mehreren Telefonen führt zu Handshake-Problemen, da zwei Peers dann denselben öffentlichen Schlüssel teilen.
• Sie haben diese .conf nur auf dem Computer? Fügen Sie sie in den kostenlosen .conf-zu-QR-Konverter oben in unserem WireGuard-QR-Code-Leitfaden ein: Er erzeugt den Code in Ihrem Browser, sendet nichts über das Netz und warnt Sie, wenn der Endpoint eine private oder CGNAT-Adresse ist, die das Telefon außerhalb Ihres WLANs nicht erreicht.

Schritt 1 - App installieren

Installieren Sie die offizielle WireGuard-App aus dem Play Store oder F-Droid (Open-Source-Build). Vermeiden Sie Drittanbieter-„WireGuard“-Kopien.

Play Store oder F-Droid?

Beide bieten denselben offiziellen Client. Die Play Store-Version aktualisiert sich automatisch und ist für die meisten Nutzer geeignet. Die F-Droid-Version wird von F-Droid aus dem Quellcode kompiliert, enthält keine Google-Abhängigkeiten und eignet sich für ein de-googeltes Telefon - der Kompromiss ist, dass Updates etwas langsamer eintreffen. Beide sind vertrauenswürdig; vermeiden Sie einfach Apps, die ähnlich aussehen, von unbekannten Herausgebern, da ein VPN-Client Ihren gesamten Datenverkehr verarbeitet.

Schritt 2 - Serverkonfiguration importieren

Tippen Sie in der App auf + und wählen Sie eine der folgenden Optionen:

• Von QR-Code scannen - am schnellsten und am wenigsten fehleranfällig. Ihr Server rendert die Client-Konfiguration als QR (pivpn -qr, NetBirds App oder qrencode bei einer manuellen Einrichtung). Den genauen Befehl und die Vorsichtsmaßnahmen finden Sie in unserem Leitfaden zum WireGuard-QR-Code: Der Code enthält den privaten Schlüssel des Clients.
• Aus Datei importieren - kopieren Sie die .conf auf das Telefon und wählen Sie sie aus.
• Von Grund auf neu erstellen - Schlüssel und den [Peer]-Endpunkt manuell einfügen.

WireGuard ist die Client-Hälfte; es benötigt einen Server-Endpunkt. Wenn Sie keinen haben, ein Contabo VPS für 5,50 €/Monat betreibt bequem einen persönlichen WireGuard-Server.

Noch keine Konfiguration zum Importieren? Der kostenlose WireGuard-Konfigurationsgenerator erstellt im Browser die Server- und Client-Konfigurationen und zeigt für jeden Client einen QR-Code an, den die Android-App direkt scannt. Der Generator ist kostenlos und ohne Konto, bis 250 Geräte, und sein ZIP-Export enthält jede Client-.conf mit ihrem QR-Code als PNG, praktisch, um ein ganzes Büro oder eine Familie auf einmal auszustatten.

Schritt 3 - Verbinden und überprüfen

Schalten Sie den Tunnel ein. Überprüfen Sie, ob das neueste Handshake aktualisiert wird (nicht „nie“) und ob sich Ihre öffentliche IP ändert. Für Hintergrundinformationen zum Protokoll siehe WireGuard vs OpenVPN.

Schritt 4 - Kill-Switch aktivieren (Always-on)

Android hat dies eingebaut: Einstellungen > Netzwerk & Internet > VPN > (Zahnrad neben WireGuard) → Always-on VPN und Verbindungen ohne VPN blockieren aktivieren. Jetzt leitet das Telefon keinen Datenverkehr außerhalb des Tunnels, wenn WireGuard ausfällt - das Android-Äquivalent eines Kill-Switches.

Schritt 5 - Split-Tunneling pro App

Bearbeiten Sie den Tunnel → Anwendungen → Apps ausschließen (alles wird getunnelt außer diesen - nützlich für eine Banking-App) oder nur ausgewählte Apps einschließen. In den Client integriert, keine zusätzliche Software erforderlich.

Netzwerkebene-Routing: Erlaubte IPs

Das Split-Tunneling pro App (Schritt 5) entscheidet, welche Apps den Tunnel nutzen. AllowedIPs in der [Peer]-Konfiguration entscheidet, welche Ziele dies tun - und die beiden kombinieren sich:

• 0.0.0.0/0, ::/0 leitet den gesamten IPv4- und IPv6-Verkehr über Ihren Server - der Full-Tunnel-Standard, den Sie für Privatsphäre in öffentlichen WLANs wünschen.
• Ein enger Bereich wie 10.0.0.0/24 sendet nur Ihr Heim-/Büro-Subnetz durch den Tunnel, während der Rest Ihres Datenverkehrs über die normale Verbindung läuft - perfekt, um ein Heim-NAS oder Pi-hole zu erreichen, ohne alles zu verlangsamen.

Wenn Sie einen Full-Tunnel betreiben, aber dennoch zu Hause drucken oder streamen möchten, ist der sauberste Weg, diese Geräte im LAN zu belassen und die App für das Streaming aus dem Tunnel auszuschließen, da der Android-Client nicht über die iOS-Option „private IPs ausschließen“ verfügt.

Um das LAN oder eine einzelne Adresse aus einem Volltunnel herauszuhalten, macht der kostenlose AllowedIPs-Rechner aus "alles außer X" die Bereiche zum Einfügen.

Fehlerbehebung

• Kein Handshake (bleibt „nie“): falsche Endpunkt-IP/Port, Server-UDP-Port nicht offen in seiner Firewall oder ein nicht übereinstimmender öffentlicher Schlüssel. Überprüfen Sie, ob der Server zuhört und erreichbar ist. Der kostenlose WireGuard-Port-Checker erkennt CGNAT und schreibt die Portweiterleitungs- und Firewall-Regeln für Ihren Server.
• Verbindet sich, aber kein Internet: senken Sie die MTU (z.B. 1280) in der Schnittstellenkonfiguration - behebt viele MTU-Probleme im Mobilfunknetz. Der kostenlose MTU-Rechner schreibt die genaue MTU =-Zeile aus Ihrem Ping-Test oder Ihrer Verbindungsart.
• Verbindung bricht bei Bildschirmabschaltung ab: deaktivieren Sie die Akkuoptimierung für die WireGuard-App (Einstellungen → Apps → WireGuard → Akku → Unbeschränkt).
• DNS-Lecks: setzen Sie den DNS des Tunnels auf Ihren Server oder einen vertrauenswürdigen Resolver und testen Sie dann mit unserer DNS-Leak-Anleitung.
• „Always-on“ ausgegraut: Android erlaubt Always-on nur, wenn ein Tunnel sauber importiert und mindestens einmal verbunden wurde - verbinden Sie sich zuerst manuell, dann stellen Sie es ein.
• Langsame Wiederverbindung nach Wechsel von Wi-Fi↔Mobil: fügen Sie PersistentKeepalive = 25 zum [Peer] hinzu, damit der Tunnel den Pfad über Netzwerkänderungen und hinter NAT hinweg aufrechterhält.

Für wiederverwendbare Client-/Server-Vorlagen siehe WireGuard-Konfigurationsvorlagen.

Ein VPN ändert Ihre IP. Nicht Ihren Browser.

Ein Tunnel ersetzt die Adresse, die ein Dienst sieht. An dem, was Ihr Browser von sich aus preisgibt, ändert er nichts - Schriften, Bildschirm, Zeitzone, Grafik-Stack. Diese Kombination reicht oft aus, um Sie über Sitzungen hinweg wiederzuerkennen.

Messen Sie Ihren Browser-Fingerabdruck - passiv, ohne Fragen, ohne Konto, ohne E-Mail-Adresse.

Fazit

WireGuard auf Android ist in fünf Minuten eingerichtet: Installieren Sie die offizielle App, importieren Sie Ihre Serverkonfiguration per QR, schalten Sie ein und aktivieren Sie Always-on + Blockieren-ohne-VPN für einen Kill-Switch. Fügen Sie bei Bedarf Split-Tunneling pro App hinzu und behalten Sie den MTU-Trick für instabile Mobilfunknetze im Hinterkopf. Sie benötigen nur einen WireGuard-Server, auf den Sie verweisen können - ein Contabo VPS oder ein Raspberry Pi zu Hause erledigt den Job.

Redaktionelle Anleitung basierend auf dem dokumentierten Verhalten des offiziellen WireGuard Android-Clients und den Always-on VPN-Funktionen von Android. Die Sicherheit hängt von Ihrer Serverkonfiguration und der Schlüsselhygiene ab. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann ohne zusätzliche Kosten für Sie anfallen.