VPS oder kommerzielles VPN? WireGuard oder AmneziaWG auf dem eigenen Server hosten

Ein Linux-Server für 4 € im Monat gibt dir ein privates VPN mit einer sauberen, dedizierten IP und genau einem Nutzer — dir. Der Preis dafür: Du bist selbst dafür verantwortlich, ihn gepatcht zu halten, und ein VPS steht immer nur in einem Land. Hier kommt ein ehrlicher Vergleich mit einem Abo bei NordVPN oder Mullvad — und wie du das Ganze so einrichtest, dass es über WG Connect auf dem Apple TV läuft.

Die Wahl

Die meisten, die darüber nachdenken, landen in einem von drei Lagern. Selbst hosten auf einem VPS gibt dir eine private Kiste, die du vollständig kontrollierst, mit einer einzelnen IP, die du nicht mit Tausenden Fremden teilst. Ein kommerzielles VPN wie Mullvad oder NordVPN gibt dir eine weltweite Serverflotte und Entwicklungsarbeit, die dafür sorgt, dass die Dienste nicht blockiert werden — dafür musst du dem Versprechen glauben, dass nichts protokolliert wird. Ein Server zu Hause (Raspberry Pi, NAS oder Router) ist die strengste Variante beim Datenschutz, aber nur nützlich, wenn du unterwegs bist und nach Hause zurückgreifen willst.

In diesem Leitfaden geht es um die erste Option: einen VPS, den du bei einem Hosting-Anbieter mietest, darauf WireGuard oder AmneziaWG — und WG Connect als Client auf dem Apple TV.

Ehrlicher Vergleich

Was du für einen eigenen Server brauchst

• Einen VPS. Jede Linux-Instanz mit KVM-Virtualisierung reicht. Hetzner Cloud (CX11/CX22), DigitalOcean Droplet, Contabo VPS S, AWS Lightsail und Vultr sind gängige Wahl. Ziel: mindestens 1 GB RAM und ein großzügiges Datenvolumen — VPN-Verkehr zählt mit.
• Ubuntu 22.04 / 24.04 oder Debian 12. Neuere Kernel bringen WireGuard von Haus aus mit. AmneziaWG lässt sich auf diesen Distributionen sauber über sein DKMS-Paket installieren.
• Eine öffentliche IPv4-Adresse (in den meisten VPS-Tarifen enthalten). UDP-Port 51820 muss offen sein — normalerweise ist er das standardmäßig, prüf aber die Firewall des Anbieters.
• SSH-Zugang. Etwas Vertrautheit mit der Kommandozeile hilft, aber die verbreiteten Installer-Skripte nehmen dir den Großteil der Arbeit ab.

Weg A — reines WireGuard

Die einfachste Einrichtung, und die empfohlene, solange du nicht ausdrücklich DPI-basierte Sperren umgehen musst. Zwei gleichwertige Wege:

Manuelle Installation

1. Per SSH einloggen: ssh root@your-vps-ip
2. Installieren: apt update && apt install -y wireguard
3. Schlüssel für den Server und einen Client-Peer (den Apple TV) erzeugen
4. /etc/wireguard/wg0.conf anlegen — mit dem privaten Schlüssel des Servers, Listen-Port 51820 und dem öffentlichen Schlüssel des Clients als [Peer]
5. IP-Weiterleitung aktivieren: sysctl -w net.ipv4.ip_forward=1
6. Starten: systemctl enable --now wg-quick@wg0
7. Die passende Client-.conf für den Apple TV exportieren

Oder einen Installer nehmen

Wenn du keine Konfigurationsdateien von Hand bearbeiten willst, erledigt ein quelloffener Installer wie angristan/wireguard-install die komplette Einrichtung mit einem einzigen Shell-Skript und gibt dir eine Peer-Konfiguration, die du vom Server kopieren kannst. wg-easy geht noch weiter — ein Docker-Container mit Weboberfläche zum Hinzufügen und Sperren von Clients.

Weg B — AmneziaWG (wenn Netzwerke reines WireGuard blockieren)

AmneziaWG ist ein Fork von WireGuard mit derselben Verschlüsselung (ChaCha20-Poly1305), aber mit umgeformten Paketen, die sich der Deep Packet Inspection entziehen. Gleiche Geschwindigkeit — plus Verkehr, den DPI-Systeme nicht als VPN erkennen können. Sinnvoll, wenn:

• du in einem Land bist oder dorthin reist, in dem WireGuard auf Protokollebene blockiert wird
• das Hotel- oder Campus-Netzwerk UDP-basierte VPNs verwirft
• der örtliche Provider VPN-Verkehr drosselt oder blockiert

Am einfachsten: der AmneziaVPN-Client

Die offizielle Desktop- oder Mobil-App von AmneziaVPN hat einen „Self-hosted“-Modus. Richte sie auf deinen VPS (IP, Root-Login, SSH-Schlüssel), wähl AmneziaWG als Protokoll — und die App installiert alles per SSH auf dem Server. Auf einem frischen Ubuntu-/Debian-VPS dauert das ein paar Minuten. Danach exportierst du die .conf-Datei und importierst sie in WG Connect auf dem Apple TV.

Manuell: amneziawg-go oder Kernelmodul

Es gibt den Server in zwei Varianten:

• Kernelmodul (DKMS): schneller, braucht einen KVM-virtualisierten VPS und einen Kernel, der DKMS unterstützt. Die meisten günstigen VPS-Tarife erfüllen das.
• Userspace (amneziawg-go): ein paar Prozent langsamer, läuft aber überall — auch in OpenVZ- und LXC-Containern, wo du keine Kernelmodule laden kannst. Gut zu wissen, wenn dein Anbieter zum gewünschten Preis kein KVM anbietet.

Repos und Anleitungen findest du bei der GitHub-Organisation von Amnezia VPN.

Import in WG Connect

WG Connect behandelt dein selbst gehostetes Profil genau wie ein kommerzielles. Kein Schalter, kein Expertenmodus.

1. Exportier die Client-.conf von deinem Server (oder kopier sie von deinem Rechner, falls der Installer sie dort abgelegt hat)
2. Auf dem Apple TV: Profil hinzufügen → Vom Handy hochladen
3. Scann den QR-Code mit dem Handy, zieh die .conf hinein — der Apple TV holt sie sich über das lokale Netzwerk
4. Verbinden — WG Connect erkennt, ob es reines WireGuard oder AmneziaWG (1.0 / 2.0) ist, und zeigt das aktive Protokoll auf der Detailseite des Profils an

Du kannst mehrere Profile behalten — etwa eines selbst gehostet in Deutschland und ein Mullvad-Profil fürs Streaming — und mit zwei Klicks vom Startbildschirm aus wechseln.

Die Abwägungen, die im Marketing niemand erwähnt

• Erkennung von Rechenzentrums-IPs. Streaming-Dienste pflegen ASN-Sperrlisten. Deine frische IP bei Hetzner oder Contabo entsperrt heute vielleicht Netflix und funktioniert nächsten Monat nicht mehr. Kommerzielle VPNs beschäftigen ganze Teams damit, IPs schneller zu rotieren, als die Streaming-Dienste sie erkennen. Mit einem einzelnen VPS geht das nicht.
• Ein einzelner Ausfallpunkt. Fällt dein VPS aus, fällt dein VPN aus. Es gibt kein Ausweichen auf „einen anderen Server in Deutschland“. Mach einen Snapshot und leg dir einen Wiederherstellungsplan zurecht — oder nimm gelegentliche Ausfälle in Kauf.
• Nur ein Land. Du kannst einen zweiten VPS in einem anderen Land hochziehen, aber jeder kostet weitere 3–6 €/Monat. Genau hier rechnet sich ein kommerzielles VPN, wenn du wirklich Länderauswahl brauchst.
• Du bist die IP. Wenn an der IP eine Abmahnung landet, ist sie an dich adressiert. Wenn eine Website die IP wegen Missbrauchs sperrt, ist dein Tunnel gesperrt. Viele finden das besser — weniger Unklarheit, als sich eine IP mit Tausenden zu teilen. Manche eben nicht.
• Das Patchen liegt bei dir. Unbeaufsichtigte Sicherheitsupdates erledigen unter Ubuntu das meiste, trotzdem solltest du alle paar Wochen nach der Kiste schauen. apt update && apt upgrade ist das Minimum.

Wann selbst hosten die richtige Entscheidung ist

• Du willst feste, niedrige Monatskosten ohne die Dark-Pattern-Verlängerung der Consumer-VPNs
• Du bist grundsätzlich skeptisch gegenüber „Keine Logs“-Versprechen und willst das Vertrauen in eigener Hand haben
• Du brauchst eine stabile, wiederverwendbare IP — für den Zugriff auf eigene Dienste, für Freigabelisten oder um dich geografisch festzunageln
• Du willst DPI-basierte VPN-Sperren mit AmneziaWG umgehen und nicht für einen kommerziellen Anbieter zahlen, der es vielleicht unterstützt und vielleicht nicht
• Der VPS erledigt noch etwas anderes — eine persönliche Website, ein Backup-Ziel, einen kleinen Spieleserver

Wann das kommerzielle VPN gewinnt

• Du willst weltweite Serverauswahl und Länderwechsel mit einem Klick
• Streaming-Dienste zu entsperren ist dein Hauptanwendungsfall
• Du willst überhaupt nicht über Linux nachdenken
• Du reist viel und willst IPs, die du dir mit Tausenden anderen teilst

Viele WG-Connect-Nutzer behalten beides: einen günstigen VPS für den Alltagsverkehr und das Vertrauen, dazu ein kommerzielles WireGuard-Profil (Mullvad, IVPN, AzireVPN) für die Fälle, in denen Länderauswahl wirklich zählt.

Häufige Fragen