WireGuard auf DigitalOcean (2026): eigenes VPN auf einem Droplet für 4 USD

Das Wichtigste

Ein DigitalOcean Droplet ist einer der einfachsten Orte für ein eigenes WireGuard-VPN. Das günstigste Basic Droplet reicht für den privaten Gebrauch, die Einrichtung dauert etwa eine Viertelstunde, und dank sekundengenauer Abrechnung kostet ein Server für eine Reise nur die Stunden, in denen er existiert.

Am 17. Oktober 2026 führte die Preisseite von DigitalOcean diese für ein solches VPN relevanten Tarife:

Für eine Person genügt das Droplet für 4 USD. WireGuard läuft im Linux-Kernel und braucht sehr wenig Speicher. Nehmen Sie den Tarif für 6 USD, wenn mehrere Personen den Server teilen oder Sie viel streamen: Das Transferkontingent verdoppelt sich.

So funktioniert die Abrechnung, und warum das für ein VPN zählt

DigitalOcean gibt an, dass Droplets seit dem 1. Januar 2026 sekundengenau abgerechnet werden, mit einem Minimum von 60 Sekunden bzw. 0,01 USD, und dass Pauschaltarife nie mehr als ihren Monatspreis kosten. Zwei Folgen:

• Ein Reise-VPN kostet fast nichts. Legen Sie ein Droplet in der Stadt an, die Sie brauchen, nutzen Sie es eine Woche und löschen Sie es. Sie zahlen nur diese Woche.
• Ausschalten ist nicht Beenden. Ein ausgeschaltetes Droplet existiert weiter und wird weiter berechnet. Um nicht mehr zu zahlen, löschen Sie es (vorher einen Snapshot anlegen, wenn Sie es später neu erstellen wollen).

Das Kontingent zählt nur den ausgehenden Transfer; eingehender Traffic ist laut DigitalOcean immer kostenlos. Auf einem VPN-Server verlassen die Dateien, die Sie durch den Tunnel laden, das Droplet in Richtung Ihres Geräts. Es sind also Ihre eigenen Downloads, die die 500 GiB verbrauchen.

Schritt 1: das Droplet anlegen

1. Legen Sie ein Droplet mit Ubuntu 24.04 LTS an (WireGuard ist im Kernel, kein Zusatzmodul nötig).
2. Wählen Sie die Region, in der Ihr Traffic erscheinen soll. DigitalOcean nennt San Francisco, Richmond, New York City, Kansas City, Atlanta, Toronto, Amsterdam, London, Frankfurt, Bangalore, Singapur und Sydney.
3. Wählen Sie den Tarif Basic für 4 USD und hinterlegen Sie einen SSH-Schlüssel statt eines Passworts.
4. Notieren Sie die öffentliche IPv4-Adresse des Droplets: Sie wird zum Endpoint Ihrer Clients.

Schritt 2: WireGuard installieren und die Serverkonfiguration schreiben

Verbinden Sie sich per SSH und installieren Sie WireGuard:

apt update && apt install -y wireguard

Am schnellsten kommen Sie mit unserem kostenlosen WireGuard-Konfigurationsgenerator zu passenden Dateien: IP des Droplets eingeben, Anzahl der Clients wählen, und er schreibt in Ihrem Browser die Serverkonfiguration und eine Konfiguration pro Client, mit lokal erzeugten Schlüsseln und einem QR-Code für jedes Smartphone. Den Serverteil kopieren Sie nach /etc/wireguard/wg0.conf.

Wenn Sie lieber von Hand arbeiten, erzeugen Sie ein Schlüsselpaar mit wg genkey | tee server.key | wg pubkey > server.pub und folgen unseren WireGuard-Konfigurationsvorlagen.

Schritt 3: Weiterleitung, Firewall und Start

Erlauben Sie dem Server, den Traffic seiner Clients weiterzuleiten:

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-wireguard.conf
sysctl --system

Öffnen Sie den WireGuard-Port und lassen Sie SSH offen (51820/udp ist der Standard; siehe welchen Port WireGuard nutzt):

ufw allow OpenSSH
ufw allow 51820/udp
ufw enable

Achten Sie darauf, dass Ihre wg0.conf die NAT-Regeln enthält, damit der Client-Traffic über die öffentliche Schnittstelle des Droplets hinausgeht (bei DigitalOcean meist eth0; prüfen Sie es mit ip route):

PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Starten Sie dann den Tunnel und aktivieren Sie ihn beim Booten:

systemctl enable --now wg-quick@wg0
wg show

Importieren Sie die Client-Konfiguration auf dem Smartphone (QR-Code) oder dem Computer, verbinden Sie sich und prüfen Sie, ob Ihre öffentliche IP jetzt die des Droplets ist. Zeigt der Client keinen Handshake, geht unsere Anleitung zur Handshake-Fehlerbehebung die Ursachen der Reihe nach durch.

DigitalOcean oder ein Monats-VPS?

DigitalOcean ist das bessere Werkzeug, wenn der Server vorübergehend ist oder den Ort wechselt: Sekundenabrechnung und zwölf Standorte machen es ideal für ein VPN, das Sie für eine Reise anlegen und danach löschen. Für einen Server, den Sie monatelang behalten, bietet ein Monats-VPS wie ein Contabo Cloud VPS mehr CPU, RAM und Transfer zu einem ähnlichen Preis. Wie Sie WireGuard dort einrichten, zeigt unsere Anleitung eigenes VPN auf Contabo hosten.

Aktuelle Droplet-Preise von DigitalOcean ansehen · Aktuelle Contabo Cloud VPS ansehen