WireGuard auf einem Mac zu installieren wirkt trivial, bis die Anleitung, der Sie folgen, für Linux geschrieben war. Zwei Dinge bringen Leute zu Fall: Es gibt zwei verschiedene WireGuard-Produkte für macOS, und der Schnittstellenname, den alle Beispiele verwenden, wg0, kann auf einem Mac nicht existieren.
Noch keine Konfiguration zum Importieren? Der kostenlose WireGuard-Konfigurationsgenerator erstellt im Browser die Serverdatei und die Client-Datei für den Mac, bereit zum Import als .conf; die Schlüssel entstehen lokal, nichts wird an einen Server gesendet. Der Generator ist kostenlos und ohne Konto, bis 250 Geräte, und sein ZIP-Export enthält jede Client-.conf mit ihrem QR-Code als PNG, praktisch, um ein ganzes Büro oder eine Familie auf einmal auszustatten.
Erzeugen Sie Ihre WireGuard-Konfigurationen hier
Serveradresse eingeben, Anzahl der Geräte wählen, dann jeden QR-Code in der App scannen.
Alle Schlüssel werden in deinem Browser erzeugt (Curve25519 / X25519). Nichts wird an unsere Server gesendet - deine Konfiguration bleibt zu 100 % privat.
Öffentliche IPv4 oder Domain des Rechners, auf dem WireGuard läuft. Noch kein Server? Leer lassen und später eintragen.
Kostenlos, ohne Konto: bis zu 250 Clients, jede .conf mit QR-Code, und ein ZIP mit allen Dateien.
Alles, was das Gerät ins Internet sendet, läuft über Ihren Server.
Erweiterte EinstellungenTunnel-Subnetz, DNS, Site-to-Site-Netze. Die Standardwerte passen für die meisten Setups.
Optional. Gib das LAN-Subnetz hinter dem Server und/oder hinter einem Client an, der als Standort-Gateway dient (ein Router, ein Raspberry Pi, ein NAS). Der Generator trägt jedes LAN in die AllowedIPs des Servers ein, gibt jedem Peer die Routen zu den anderen LANs und schreibt die Forwarding-Regeln auf die Gateways. Lass ein Feld leer für einen normalen Client.
Was du herunterlädst
wg0.conf
für den Server
client1.conf
eine pro Gerät
QR (Beispiel)
für die Handy-App
Nur zur Veranschaulichung: Zeilen und QR-Code sind erfunden, kein echter Schlüssel. Deine echten Dateien entstehen beim Klick in deinem Browser.
Noch keinen Server? Der Mac-Client braucht einen WireGuard-Server, mit dem er sich verbindet; ein Contabo Cloud VPS (Affiliate-Link) betreibt einen mit eigener öffentlicher IPv4, ab 5,50 € pro Monat bei 24 Monaten Laufzeit (Stand 17. Oktober 2026). Lieber ein US-Anbieter mit 30 Tagen Geld-zurück-Garantie? Ultahost VPS Basic kostet 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, gelesen am 21. Oktober 2026), genug für einen WireGuard-Server mit wenigen Geräten. Anbieter noch offen? Im Vergleich: bester VPS für ein VPN und Contabo vs Hetzner vs OVH, zum tatsächlich berechneten Preis. Weitere Option: HostPapa Unmanaged VPS Lite (Affiliate-Link) für 2,95 $ im Monat bei 3 Jahren Laufzeit, danach zum regulären Preis (1 Kern, 1 GB RAM, 25 GB NVMe, Root-Zugang per SSH, 30 Tage Geld-zurück-Garantie, Stand 28. Oktober 2026).
Die zwei Installationen, laut offizieller Seite
Die WireGuard-Installationsseite nennt beide, und es ist tatsächlich unterschiedliche Software:
Die App aus dem Mac App Store. Ein grafischer Client mit Eintrag in der Menüleiste, Tunnelimport und Aktivierung bei Bedarf. Das wollen die meisten.
Die Kommandozeilenwerkzeuge.
brew install wireguard-tools
# oder, mit MacPorts
port install wireguard-tools
Sie erhalten wg und wg-quick, dieselben Befehle wie auf einem Server. Darunter läuft die Go-Implementierung im Userspace statt eines Kernelmoduls, denn macOS hat kein WireGuard im Kernel.
Beide teilen sich die Tunnelliste nicht. Ein in der App importierter Tunnel taucht nicht in wg show auf, und umgekehrt. Wählen Sie pro Maschine eines, sofern Sie keinen Grund für beides haben.
Was Linux-Anleitungen scheitern lässt: wg0 gibt es hier nicht
Das ist der häufigste Fehlschlag, und die Fehlermeldung erklärt ihn selten.
Unter Linux legen Sie wg0 an und machen weiter. Unter macOS laufen Tunnel über den utun-Treiber, und die plattformübergreifende WireGuard-Dokumentation formuliert die Einschränkung unmissverständlich: Der utun-Treiber kann keine beliebigen Schnittstellennamen haben. Man muss utun gefolgt von einer Zahl verwenden, etwa utun0, oder schlicht utun, damit der Kernel wählt.
# scheitert unter macOS
sudo wg-quick up wg0
# funktioniert
sudo wg-quick up utun
Wenn Sie eine Anleitung mit wg0 kopiert haben, benennen Sie die Konfigurationsdatei und jeden Befehl um, der sie referenziert. Schlüssel, AllowedIPs, Endpoint und DNS sind nicht betroffen: Nur der Schnittstellenname ist plattformabhängig.
Herausfinden, welches utun Sie bekommen haben. Wenn Sie den Kernel wählen lassen, brauchen Sie einen Weg, das Ergebnis zu erfahren. Setzen Sie WG_TUN_NAME_FILE, bevor Sie den Tunnel hochfahren, und der gewählte Name wird dort hineingeschrieben:
export WG_TUN_NAME_FILE=/tmp/wg-name
sudo -E wg-quick up utun
cat /tmp/wg-name # zum Beispiel utun4
Sonst lesen Sie die Ausgabe von ifconfig und raten, welches utun Ihnen gehört: einmal in Ordnung, in einem Skript mühsam.
Eine vorhandene Konfiguration importieren
Haben Sie eine Client-Konfiguration auf dem Server erzeugt, lässt sie sich unverändert übernehmen. In der App nutzen Sie den Import und wählen die .conf-Datei; der Tunnel erscheint in der Liste und ist bereit. Auf der Kommandozeile legen Sie sie unter /opt/homebrew/etc/wireguard/utun.conf (Apple Silicon) oder /usr/local/etc/wireguard/utun.conf (Intel) ab, benennen die Datei nach der Schnittstelle und führen wg-quick up utun aus.
Eine für ein Telefon erzeugte Konfiguration funktioniert auch auf einem Mac. Sie ist eine Peer-Definition, kein gerätespezifisches Artefakt, vorausgesetzt jedes Gerät hat sein eigenes Schlüsselpaar statt eines geteilten.
Prüfen, ob es wirklich funktioniert
Fahren Sie den Tunnel hoch und bestätigen Sie zwei Dinge, statt sie anzunehmen.
sudo wg show
Ein gesunder Peer zeigt einen latest handshake innerhalb der letzten zwei Minuten und transfer-Zähler ungleich null in beide Richtungen. Gesendet, aber nichts empfangen ist die Signatur eines blockierten Rückwegs. Kommt der Handshake nie zustande, geht unser Leitfaden zur Handshake-Fehlerbehebung die Ursachen nach Wahrscheinlichkeit durch. Sieht die Mac-Seite richtig aus und kommt der Handshake trotzdem nie an, liegt der Fehler fast immer am Server: Die Checkliste zur Fehlersuche in unserem WireGuard Self-Hosting Kit (9 USD, auf Englisch, PDF + .conf-Vorlagen) nennt 12 Ursachen in Diagnosereihenfolge, jeweils mit dem Befehl, der sie bestätigt, und die Client-Vorlagen lassen sich unverändert in die macOS-App importieren. Das Kit auf Gumroad ansehen.
Bestätigen Sie dann, dass der Verkehr wirklich durch den Tunnel läuft und nicht bloß die Schnittstelle existiert: Prüfen Sie Ihre öffentliche IP im Browser, und wenn Sie DNS durch den Tunnel leiten, kontrollieren Sie, dass nichts ausleckt. Unsere Notiz zu DNS-Lecks bei WireGuard behandelt die relevanten Einstellungen.
Ein VPN ändert Ihre IP. Nicht Ihren Browser.
Ein Tunnel ersetzt die Adresse, die ein Dienst sieht. An dem, was Ihr Browser von sich aus preisgibt, ändert er nichts - Schriften, Bildschirm, Zeitzone, Grafik-Stack. Diese Kombination reicht oft aus, um Sie über Sitzungen hinweg wiederzuerkennen.
Messen Sie Ihren Browser-Fingerabdruck - passiv, ohne Fragen, ohne Konto, ohne E-Mail-Adresse.
Kurz gefasst
Zwei Produkte: die App aus dem App Store für einen grafischen Client, wireguard-tools über Homebrew oder MacPorts für dieselbe Kommandozeile wie auf dem Server. Sie teilen keine Tunnel. Und unter macOS muss die Schnittstelle utun oder utunN heißen, niemals wg0, weil der utun-Treiber keine beliebigen Namen akzeptiert. Diese eine Zeile erklärt die meisten gescheiterten Mac-Einrichtungen nach Linux-Anleitungen.
★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200-Mbit/s-Port
Ihr Mac ist der Client. Der Tunnel braucht einen Server → Contabo VPSEin Linux-VPS betreibt die WireGuard-Seite, mit der sich Ihr Mac verbindet, mit Kernel- statt Userspace-Implementierung. Root-Zugriff, planbarer Preis, EU-Rechenzentren.→Affiliate-Link
★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200-Mbit/s-Port
Hoste dein VPN auf deinem eigenen VPS → ContaboCloud VPS 4 · 5,50 €/Mon. · Karte oder PayPal · Bestellungen auch von außerhalb der EU→Preis geprüft am 17.10.2026, Laufzeit 24 Monate
