Ratgeber
Läuft der VPN-Tunnel auf dem Router, ist jedes Gerät im Netz auf einen Schlag geschützt — auch Fernseher, Konsolen und smarte Lautsprecher, auf denen sich keine Apps installieren lassen. Die Kompromisse sind real: Der Durchsatz hängt an der CPU des Routers, das ganze Haus tritt über ein einziges Land aus, und die Fehlersuche wird schwieriger. Dieser Ratgeber erklärt die Varianten und die Entscheidung.
Jedes Gerät, das dem Netz beitritt, steckt automatisch im Tunnel — keine Apps installieren, keine Einrichtung pro Gerät, nichts, was Gäste konfigurieren müssten. Auch Geräte, die gar keine VPN-Software ausführen können, sind abgedeckt.
Die Verschlüsselung läuft auf dem Prozessor des Routers, und Consumer-Router haben schwache. Eine Verbindung, die per App auf dem Laptop Hunderte Megabit schafft, kann über denselben Router auf einen Bruchteil davon einbrechen.
Eine Firmware mit eingebautem VPN-Client ist nicht die einzige Option. Ein kleiner Rechner als Gateway oder ein zweiter Router hinter dem Haupt-Router erreicht dasselbe mit anderen Kompromissen — ganz ohne Flashen.
Weil manche Geräte schlicht keine VPN-App ausführen können. Smart-TVs, Spielkonsolen, Streaming-Boxen, smarte Lautsprecher und die meisten IoT-Geräte bieten keine Möglichkeit, Client-Software zu installieren — der einzige Weg, ihren Verkehr durch einen Tunnel zu leiten, führt eine Etage höher: über den Router, an dem sie hängen. Alles hinter dem Router erbt den Tunnel, ohne von seiner Existenz zu wissen.
Es gibt auch einen praktischen Bonus bei Gerätelimits: Das Netz hinter einem Router zählt für den VPN-Dienst als eine einzige Verbindung. Bei Aurora deckt ein Abo bis zu 7 Geräte ab, und ein Router belegt einen Platz — egal, wie viele Geräte dahinter sitzen.
Die Verschlüsselung des Tunnels läuft jetzt auf dem Prozessor des Routers, und der wird zum Engpass, lange bevor es Ihr Internettarif wird. Consumer-Router nutzen kleine, sparsame Chips: OpenVPN, schwer und single-threaded, kommt auf solcher Hardware oft nur auf einige Dutzend Megabit. WireGuard ist viel leichter und erreicht auf demselben Chip ein Mehrfaches — aber auch damit sättigt ein billiger Router keine schnelle Glasfaserleitung.
Die Latenz leidet weniger als die Bandbreite, Surfen und Videoanrufe fühlen sich also meist normal an. Weh tut es bei großen Downloads, Cloud-Backups und 4K-Streams — die alle gleichzeitig um dieselbe kleine CPU konkurrieren. Prüfen Sie vor der Festlegung, was der Prozessor Ihres Routers realistisch verschlüsseln kann, und bevorzugen Sie WireGuard gegenüber OpenVPN, wo immer die Wahl besteht.
Das ganze Haus tritt jetzt über ein Land aus. Mit einer App pro Gerät kann Ihr Laptop an einem Standort sitzen und der Fernseher an einem anderen; beim Router-Tunnel ändert ein Wechsel des Ausgangslandes ihn für alle auf einmal. Banking-Seiten, Liefer-Apps und alles Standortsensible sehen auf jedem Gerät im Haus dieselbe ausländische Adresse.
Auch die Fehlersuche wird härter. Lädt eine Seite nicht, lautet die Frage nicht mehr nur „ist mein Internet down“ — es kann der Provider sein, der Router, der Tunnel oder der VPN-Server, und die Symptome sehen identisch aus. Ein schneller Weg, den Tunnel aus dem Pfad zu nehmen — etwa ein separates ungetunneltes Netz —, macht aus einem Rate-Abend einen Zwei-Minuten-Check.
Manche Router können nativ einen VPN-Client ausführen — entweder bringt die Hersteller-Firmware einen mit, oder die Hardware wird von Community-Firmware unterstützt, die WireGuard- und OpenVPN-Clients nachrüstet. Sie tragen Serveradresse und Schlüssel im Admin-Panel ein, und der Router baut den Tunnel selbst auf. Das ist die aufgeräumteste Variante: eine Kiste, keine Zusatzhardware.
Der Haken sind Kompatibilität und Risiko. Nicht jedes Modell unterstützt Fremd-Firmware, Flashen kann die Garantie kosten oder das Gerät bei Unachtsamkeit unbrauchbar machen, und Hersteller-Firmwares unterscheiden sich stark darin, welche Protokolle sie akzeptieren. Statt einem bestimmten Modell hinterherzujagen, prüfen Sie das Prinzip: Unterstützt die Firmware dieses Routers — ab Werk oder aus der Community — das Protokoll Ihres VPN, idealerweise WireGuard, und hat die CPU dafür Luft?
Statt den Router verschlüsseln zu lassen, stellen Sie einen kleinen Rechner — einen Mini-PC oder Einplatinencomputer — ins Netz, fahren den Tunnel dort und richten die Geräte auf ihn als Gateway aus. Der Router macht weiter, was er gut kann, und der Tunnel bekommt eine weit stärkere CPU: Selbst ein bescheidener x86-Mini-PC verschlüsselt WireGuard mit Geschwindigkeiten, an die kein Consumer-Router herankommt.
Der Preis: eine weitere Kiste, die Strom braucht und gepflegt werden will, plus etwas Netzwerkwissen — das Gateway muss Verkehr weiterleiten und als Standardroute gesetzt sein. Dafür bekommen Sie einfache Fehlersuche — Gateway aus dem Pfad nehmen, und das Netz läuft wieder direkt — und ein vollwertiges Betriebssystem, das jeden Client und jede Regel fährt, die Sie wollen.
Lassen Sie Ihren bestehenden Router unangetastet und hängen Sie einen zweiten dahinter; der zweite fährt den Tunnel und strahlt ein eigenes WLAN aus. Das Zuhause hat nun zwei Netze: Wer dem ersten beitritt, ist direkt unterwegs, wer dem zweiten beitritt, steckt im Tunnel. Ein Gerät umzuziehen heißt einfach: WLAN wechseln.
Das ist die am leichtesten durchschaubare Variante und die sicherste zum Experimentieren — ein Fehler am zweiten Router legt nie das Internet des Haushalts lahm. Die Kompromisse: doppeltes NAT, das gelegentlich Spielkonsolen und portabhängige Apps verwirrt, und dieselbe CPU-Obergrenze wie in Variante eins, denn verschlüsseln muss der zweite Router weiterhin selbst.
Selten will man wirklich jedes Gerät im Tunnel haben. Regelbasiertes Routing lässt den Router pro Gerät entscheiden — meist anhand der lokalen IP- oder MAC-Adresse —, ob der Verkehr in den Tunnel geht oder direkt raus. Eine typische Aufteilung schickt Fernseher und Arbeits-Laptop durch den Tunnel, während latenzempfindliche Konsolen und Smart-Home-Zentralen direkt bleiben.
Drei Dinge machen eine Aufteilung zuverlässig:
Unterwegs verschlüsselt ein VPN Ihren Verkehr im Hotel- und Flughafen-WLAN, lässt Ihre Konten weiterhin aus einem vertrauten Land verbinden und erreicht Dienste, die sich im Ausland anders verhalten. Ein Allheilmittel ist es nicht: Streaming-Plattformen erkennen Serveradressen, und die lokalen Regeln unterscheiden sich je nach Land. Die eine Regel, die am meisten zählt: alles vor der Abreise einrichten und testen.
Ein VPN (virtuelles privates Netzwerk) baut einen verschlüsselten Tunnel zwischen Ihrem Gerät und einem entfernten Server auf, und Ihr Datenverkehr tritt von diesem Server aus ins Internet. Ihr Internetanbieter sieht nicht mehr, welche Seiten Sie besuchen, und Websites sehen die IP-Adresse des Servers statt Ihrer eigenen. Es ist ein Werkzeug für Privatsphäre — kein Tarnumhang.
Die Wahl eines VPN läuft auf ein paar überprüfbare Fakten hinaus: was in der Protokollierungsrichtlinie tatsächlich steht, wo das Unternehmen sitzt, welche Protokolle es einsetzt, ob es eigene Server betreibt und was die Verlängerung wirklich kostet. Werbeversprechen wie „Verschlüsselung auf Militärniveau“ enthalten null Information — jedes ernsthafte VPN nutzt dieselben Algorithmen.
14 Tage Geld-zurück-Garantie. Bis zu 7 Geräte mit einem Abo.
Meine Geräte schützen