Wenn das Netzwerk VPN blockiert — nutze AmneziaWG auf dem Apple TV

Immer mehr Netzwerke — Hotels, Schulen, restriktive Provider, manche Firewalls auf Landesebene — erkennen und blockieren WireGuard schon auf Protokollebene. An der Verschlüsselung liegt es nicht; das Problem ist, dass die Pakete wie ein VPN aussehen. Genau das löst AmneziaWG. WG Connect unterstützt es nativ auf dem Apple TV.

Das Problem

WireGuard ist schnell und schlank, aber seine Pakete haben eine wiedererkennbare Form. Der Handshake ist eine Nachricht mit fester Größe. Die folgenden Pakete sind gleich lang und laufen über einen bekannten UDP-Port. Netzbetreiber mit Deep Packet Inspection (DPI) — verbreitet in Hotels, in Firmennetzen und in Ländern mit aktiver Filterung — erkennen WireGuard mit hoher Treffsicherheit und verwerfen den Datenverkehr.

Das Ergebnis: WG Connect zeigt endlos „Verbinde…“, oder der Tunnel steht, aber es fließen keine Daten. Die Verschlüsselung ist nicht gebrochen — das Netzwerk weigert sich schlicht, die Pakete weiterzuleiten.

Wie AmneziaWG das löst

AmneziaWG ist eine Erweiterung von WireGuard aus dem Amnezia-VPN-Projekt. Sie nutzt dieselbe bewährte Kryptografie — ChaCha20-Poly1305, Curve25519, BLAKE2 — formt die Pakete aber so um, dass DPI sie nicht mehr einordnen kann. Die Änderungen sind simpel, aber wirksam:

• Junk-Pakete zu Beginn der Sitzung, die Klassifizierer aus dem Tritt bringen
• Zufälliges Padding in jedem Paket, damit Fingerprinting über die Paketlänge scheitert
• Veränderte Handshake-Header, die nicht zur Signatur von WireGuard passen
• Universelles Padding (in AmneziaWG 2.0), das über die gesamte Sitzung hinweg greift

Für DPI sieht der Verkehr aus wie ganz normales, leicht rauschendes Internet. Für Client und Server von AmneziaWG ist es derselbe schnelle Tunnel.

  WireGuard                 AmneziaWG

  ▓▓▓▓ ▓▓▓▓ ▓▓▓▓ ▓▓▓▓       ░ ▓▓▓ ▓ ░ ▓▓▓▓ ░ ▓▓ ░ ▓▓▓▓
  ▓▓▓▓ ▓▓▓▓ ▓▓▓▓ ▓▓▓▓       ▓▓ ░ ▓▓▓▓▓ ░ ▓▓ ▓▓▓ ░ ▓▓
  gleichförmig · erkennbar  Junk + Padding · wirkt wie Rauschen
  

WG Connect unterstützt es nativ

Du brauchst keine zweite App. WG Connect erkennt anhand der Parameter (Jc, S1, S2, H1 usw.), ob die importierte .conf-Datei reines WireGuard oder AmneziaWG (1.0 oder 2.0) ist. Die Oberfläche zeigt dir, welches Protokoll aktiv ist. Keine Schalter. Kein Expertenmodus.

Schritt für Schritt

1. Besorg dir eine AmneziaWG-Konfiguration. Diese Wege gibt es:
   • Amnezia Free — erzeugt kostenlos AmneziaWG-Konfigurationen
   • Firewalla — unterstützt AmneziaWG nativ in der eigenen App; exportiere die .conf für den Apple TV
   • Selbst hosten — der Open-Source-Server amnezia-wg läuft auf jedem günstigen VPS mit 256 MB RAM oder auf einem Raspberry Pi zu Hause
2. In WG Connect importieren. Profil hinzufügen → Vom Handy hochladen → QR-Code scannen → .conf hochladen.
3. Protokollerkennung prüfen. Öffne die Profildetails. WG Connect zeigt dort AmneziaWG 1.0 oder AmneziaWG 2.0 in den Metadaten an.
4. Verbinden. Der Handshake dauert einen Moment länger als bei reinem WireGuard (die Junk-Pakete gehen zuerst raus), aber der Tunnel steht genauso zuverlässig.
5. Im blockierten Netzwerk testen. Ein Netzwerk, das WireGuard vorher verworfen hat, sollte AmneziaWG anstandslos durchlassen.

Wo AmneziaWG am meisten bringt

• Restriktive Netze auf Landesebene — dort, wo gängige VPN-Protokolle landesweit gefiltert werden
• Firmen- oder Schul-Wi-Fi mit VPN-Richtlinien, die per DPI durchgesetzt werden
• Manche Hotels — vor allem Kongresszentren — die UDP-basierte VPNs sperren
• Streamingdienste mit VPN-Erkennung, die über die IP hinausgeht — selten, aber es kommt vor

Was du beachten solltest

• Du brauchst einen AmneziaWG-Server, nicht nur einen Client. Normale WireGuard-Server sprechen kein AmneziaWG. Beide Seiten müssen es unterstützen.
• Kleiner Mehraufwand. Junk-Pakete und Padding kosten 2–5 % Bandbreite und etwas Zeit beim Handshake. Beim Streaming merkst du davon nichts.
• Gleiche Verschlüsselung. AmneziaWG ändert nichts an den Sicherheitseigenschaften. Es ändert nur, wie die Pakete auf der Leitung aussehen.

Häufige Fragen