WireGuard auf iPhone & iPad: Vollständige iOS-Einrichtung (2026)

WireGuard ist das sauberste VPN-Protokoll, das auf einem iPhone oder iPad läuft — schnell, akkuschonend und mit einem einzigen Schalter, sobald es eingerichtet ist. Diese Anleitung führt Sie Schritt für Schritt durch WireGuard auf iOS im Jahr 2026: App installieren, Serverkonfiguration importieren, On-Demand (immer aktiv) aktivieren und Handshake- sowie MTU-Probleme beheben. Es funktioniert mit jedem WireGuard-Server — PiVPN, NetBird oder einer manuellen Einrichtung. (Für Android siehe unseren WireGuard auf Android Leitfaden.)

Was Sie vor Beginn benötigen

• Ein iPhone oder iPad mit iOS/iPadOS 15 oder höher (die WireGuard-App unterstützt auch ältere Versionen, aber On-Demand ist auf neueren Versionen am zuverlässigsten).
• Ein laufender WireGuard-Server mit einem erreichbaren öffentlichen Endpunkt — ein Raspberry Pi zu Hause mit weitergeleitetem Port oder ein kleiner VPS. WireGuard auf iOS ist nur der Client; es funktioniert nicht eigenständig.
• Die Client-Konfiguration, die der Server für dieses Gerät erstellt: entweder ein QR-Code auf dem Bildschirm oder eine .conf-Datei, die Sie auf das iPhone übertragen können. Jedes Gerät sollte seine eigene Konfiguration (eigenes Schlüsselpaar) erhalten — niemals eine Konfiguration auf mehreren Telefonen teilen, da doppelte Schlüssel den Handshake unterbrechen.

Schritt 1 — App installieren

Installieren Sie die offizielle WireGuard-App aus dem App Store, veröffentlicht vom WireGuard Development Team. Vermeiden Sie Drittanbieter-Klone — ein VPN-Client sieht all Ihren Datenverkehr, daher ist der Herausgeber wichtig.

Schritt 2 — Serverkonfiguration importieren

Tippen Sie auf + und wählen Sie:

• Aus QR-Code erstellen — scannen Sie den QR, den Ihr Server generiert (pivpn -qr, NetBird oder qrencode). Schnellste und fehlerfreiste Methode.
• Aus Datei oder Archiv erstellen — importieren Sie eine .conf aus der Dateien-App oder per AirDrop.
• Von Grund auf neu erstellen — fügen Sie Schlüssel und den [Peer]-Endpunkt manuell ein.

WireGuard ist der Client; es benötigt einen Server. Ein Contabo VPS für 4,99 €/Monat betreibt bequem einen persönlichen WireGuard-Server.

Schritt 3 — Verbinden und überprüfen

Schalten Sie den Tunnel ein und erlauben Sie die VPN-Konfiguration, wenn iOS dazu auffordert. Überprüfen Sie die aktualisierten Handshake-Daten (nicht "nie") und dass sich Ihre öffentliche IP ändert. Für Hintergrundinformationen zum Protokoll siehe WireGuard vs OpenVPN.

Schritt 4 — On-Demand (immer aktiv)

Bearbeiten Sie den Tunnel → aktivieren Sie On-Demand → aktivieren Sie es bei Wi-Fi und/oder Mobilfunk. iOS hält den Tunnel aufrecht und verbindet sich automatisch neu — das praktische iOS-Äquivalent zu einem immer aktiven VPN. Ein echter systemweiter Kill-Switch auf iOS benötigt ein Konfigurationsprofil (MDM) für verwaltete Geräte; für die meisten Benutzer reicht On-Demand aus.

Erlaubte IPs: Volltunnel vs. Splittunnel

Das wichtigste Feld in einem WireGuard-Tunnel auf iOS ist AllowedIPs im [Peer]-Abschnitt — es entscheidet, welcher Verkehr durch das VPN geht:

• 0.0.0.0/0, ::/0 — Volltunnel. Jedes Paket (IPv4 und IPv6) wird über Ihren Server geleitet. Dies ist, was Sie für Privatsphäre in öffentlichen Wi-Fi-Netzwerken oder um Ihre Heim-IP ins Ausland zu nehmen, wollen.
• Ein spezifischer Bereich, z.B. 10.0.0.0/24 — Splittunnel. Nur der Verkehr zu diesem Subnetz nutzt das VPN; alles andere geht über Ihre normale Verbindung. Dies ist ideal, wenn Sie nur Geräte in Ihrem Heim- oder Büronetzwerk erreichen möchten, ohne alles andere zu verlangsamen.

Wenn Sie einen Volltunnel gewählt haben, aber dennoch mit Druckern und lokalen Geräten kommunizieren möchten, aktivieren Sie "Private IPs ausschließen" beim Bearbeiten des Tunnels — iOS schreibt AllowedIPs um, um das Internet durch das VPN zu senden, während 192.168.x.x/10.x.x.x lokal bleibt. Das Vergessen dieser Einstellung ist der übliche Grund, warum AirPlay oder ein lokales NAS "verschwindet", sobald das VPN eingeschaltet ist.

Mehrere Server betreiben und zwischen ihnen wechseln

Die WireGuard-App kann so viele Tunnel speichern, wie Sie möchten — einen für zu Hause, einen für einen VPS im Ausland, einen für ein Firmennetzwerk. Nur einer ist gleichzeitig aktiv. Geben Sie jedem einen klaren Namen und Sie können in zwei Klicks von der App oder dem iOS-Einstellungen → VPN-Menü wechseln. Wenn Sie On-Demand auf mehr als einem Tunnel verwenden, aktivieren Sie es nur auf dem, den Sie als Standard möchten, oder iOS könnte unvorhersehbar zwischen ihnen wechseln.

Fehlerbehebung

• Kein Handshake ("nie"): falsche Endpunkt-IP/Port, Server-UDP-Port nicht offen oder nicht übereinstimmender öffentlicher Schlüssel. Überprüfen Sie, ob der Server erreichbar ist.
• Verbindet sich, aber kein Internet: senken Sie die MTU (z.B. 1280) in der Schnittstellenkonfiguration — behebt viele MTU-Probleme bei Mobilfunk.
• DNS-Lecks: setzen Sie den DNS des Tunnels auf Ihren Server oder einen vertrauenswürdigen Resolver und testen Sie.
• On-Demand hält das VPN aus: überprüfen Sie, ob es nicht für Ihr aktuelles Wi-Fi in der SSID-Liste deaktiviert ist und dass "Auf Anforderung trennen" nicht aktiviert ist — dieser Schalter sagt iOS, den Tunnel zu trennen, das Gegenteil von immer aktiv.
• Tunnel lässt sich nicht aus QR importieren: stellen Sie sicher, dass die Bildschirmhelligkeit hoch ist und der gesamte Code im Rahmen ist; ein teilweise abgeschnittener QR schlägt stillschweigend fehl. Greifen Sie auf das Importieren der .conf aus der Dateien-App zurück.
• Funktioniert im Wi-Fi, aber nicht im Mobilfunk (oder umgekehrt): dies ist fast immer die MTU oder ein IPv6-Mismatch — setzen Sie 1280 und stellen Sie sicher, dass der Server einen funktionierenden DNS-Resolver bereitstellt.

Für wiederverwendbare Client-/Server-Vorlagen siehe WireGuard-Konfigurationsvorlagen.

Fazit

WireGuard auf iOS ist eine Fünf-Minuten-Einrichtung: Installieren Sie die offizielle App, importieren Sie Ihre Serverkonfiguration per QR, erlauben Sie die VPN-Konfiguration und aktivieren Sie On-Demand für immer aktiv. Halten Sie den MTU-Trick für instabile Mobilfunknetze bereit. Sie benötigen nur einen WireGuard Server, auf den Sie es richten können — ein Contabo VPS oder ein Raspberry Pi zu Hause erledigt die Aufgabe.

Redaktionelle Anleitung basierend auf dem dokumentierten Verhalten des offiziellen WireGuard iOS-Clients und iOS On-Demand VPN. Die Sicherheit hängt von Ihrer Serverkonfiguration und der Schlüsselhygiene ab. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann ohne zusätzliche Kosten für Sie anfallen.