WireGuard Preshared Key: Nutzen und warum er kein Passwort ist

Jeder WireGuard-Peer hat bereits ein Schlüsselpaar, also lautet die erste naheliegende Frage zu PresharedKey: Was soll ein dritter Schlüssel noch bringen?

Die Antwort ist eng und konkret, und es lohnt sich, sie genau zu formulieren, denn die beiden gängigen Beschreibungen sind beide falsch.

Was er nicht ist

Er ist kein Passwort auf dem Tunnel. Viele fügen ihn hinzu in der Erwartung, dass die Verbindung dann ein Geheimnis verlangt, so wie SSH eine Passphrase verlangt. So funktioniert er nicht.

Er ersetzt nichts. Ein Preshared Key erlaubt dir weder schwächere Schlüssel noch das Weglassen von Firewall-Regeln, und er macht einen offenen Port auch nicht sicherer.

Was er ist

Der Handshake von WireGuard leitet die Sitzungsschlüssel aus den öffentlichen und privaten Schlüsseln der beiden Peers ab. Ist ein Preshared Key konfiguriert, wird er als zusätzliche Eingabe in diese Ableitung eingemischt.

Die Folge ist der eigentliche Sinn: Der Preshared Key ist symmetrisch und wird nie über die Leitung gesendet. Ein Angreifer, der heute jedes Paket deines Verkehrs aufzeichnet und später die Fähigkeit erlangt, den Austausch auf Basis elliptischer Kurven zu brechen, kann die Sitzungsschlüssel trotzdem nicht ableiten, weil eine der Eingaben nie über das Netz gegangen ist.

Die WireGuard-Dokumentation nennt das Post-Quanten-Resistenz, und die Formulierung ist zutreffend, solange du das Bedrohungsmodell im Blick behältst. Der Gegner, gegen den sich das richtet, speichert Verkehr jetzt und entschlüsselt ihn später. Zeichnet niemand deinen Tunnel auf, schützt das vor nichts, und das Hinzufügen kostet dich trotzdem fast nichts.

Einen erzeugen und einbauen

wg genpsk

Das gibt einen Base64-kodierten 32-Byte-Schlüssel aus. Erzeugen und speichern in einem Schritt:

wg genpsk > peer1.psk
chmod 600 peer1.psk

Er gehört in den Abschnitt [Peer], auf beiden Maschinen, mit demselben Wert:

[Peer]
PublicKey = <the other side's public key>
PresharedKey = <the same value on both ends>
AllowedIPs = 10.10.0.2/32

Ein Preshared Key pro Peer-Paar, nicht einer pro Server. Verwendest du denselben Wert für alle Clients, hält jeder einzelne von ihnen den Schlüssel, der alle anderen schützt.

Hast du deine Dateien mit unserem WireGuard-Konfigurationsgenerator erstellt, solltest du wissen, was er hier tut und was nicht: Er erzeugt die Schlüsselpaare in deinem Browser und schreibt das Server-[Interface], die [Peer]-Blöcke und eine Client-Datei pro Gerät, gibt aber keine PresharedKey-Zeile aus. Führe wg genpsk einmal pro Client aus und füge denselben Wert auf beiden Seiten in den [Peer]-Block dieses Clients ein, bevor du die Datei weitergibst, dann sind die Konfigurationen vollständig. Der Generator ist bis 10 Geräte kostenlos; darüber hinaus hebt WireGuard Pro (unser eigenes Produkt, einmalig 9 EUR, kein Abo) das Limit auf 250 und liefert ein ZIP mit jeder Client-.conf samt QR-Code als PNG, praktisch, um ein ganzes Büro oder eine Familie in einem Rutsch einzurichten.

In einen laufenden Tunnel einbauen, ohne dich auszusperren

Hier erwischt es viele. Ein Preshared Key, der nur auf einer Seite passt, bedeutet: Der Handshake schließt nicht mehr ab, und WireGuard sagt dir nicht, warum. wg show meldet keinen aktuellen Handshake, dieselbe Ausgabe wie bei einem falschen Port, einem Firewall-Drop oder einem falschen Public Key.

Ist der Tunnel dein einziger Weg zu einem entfernten Server, bist du damit ausgesperrt.

Die sichere Reihenfolge:

1. Erzeuge den Schlüssel und bring ihn zuerst auf beide Maschinen, ohne eine der Konfigurationen zu bearbeiten.
2. Hast du Out-of-Band-Zugang (eine Konsole oder IPMI), nutze ihn und bearbeite beide Seiten.
3. Wenn nicht, plane ein Zurücksetzen ein. Etwa echo "wg-quick down wg0 && wg-quick up wg0" | at now + 10 minutes mit der ursprünglichen Konfiguration auf der Platte, sodass sich ein Fehler von selbst behebt, solange du noch einen Zugang hast.
4. Bearbeite die entfernte Seite, dann die lokale, und prüfe mit wg show, dass innerhalb der letzten zwei Minuten ein Handshake stattgefunden hat.

Das allgemeine Symptom, ein Tunnel, der früher funktionierte und jetzt keinen Handshake zeigt, behandelt die Handshake-Fehlerbehebung. Ergänze diese Liste um „eine Seite hat einen Preshared Key, die andere nicht“.

Wo Preshared Keys im Vergleich zu allem anderen stehen

Sie tun nichts für die Sichtbarkeit des Tunnels. Ein Netz, das WireGuard anhand der Verkehrsform blockiert, blockiert ihn genauso. Das ist ein anderes Problem mit anderen Antworten: siehe Anti-DPI und VPN-Umgehung.

Sie ändern nichts daran, wer den Port erreichen kann. Den Endpunkt zu verbergen ist eine eigene Technik, behandelt in Port Knocking und Stealth.

Sie sind als Schlüsselmaterial zu behandeln. Nicht in einer Chatnachricht, nicht in einem geteilten Dokument, nicht in ein Repository committet. Ein Preshared Key in einer Git-Historie ist schlimmer als gar keiner, weil er Vertrauen erzeugt, hinter dem nichts steht.

Baust du die Serverseite von Grund auf, findest du die komplette Anleitung unter WireGuard auf einem VPS selbst hosten, und das spätere Hinzufügen von Clients behandelt einen WireGuard-Peer hinzufügen. Brauchst du die Maschine noch, diese Anleitung ist auf einem Contabo Cloud VPS geschrieben (Affiliate-Link).

Lieber einen US-Host mit 30 Tagen Geld-zurück-Garantie? Ultahost VPS Basic kostet 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, abgelesen am 21. Oktober 2026), genug für einen WireGuard-Server für ein paar Geräte.