VPNs sind eine nützliche Sache: Ursprünglich im Unternehmensumfeld entstanden, damit sich Mitarbeiter von außen mit dem internen Netzwerk verbinden können, hat über die Jahre auch die private Nutzung der Virtual Private Networks stark zugenommen. Eine VPN-Verbindung fehlerfrei – und noch dazu sicher – aufzusetzen ist allerdings nicht gerade einfach, wie jeder bezeugen kann, der sich schon einmal mit dem Wust an unterschiedlichen Konfigurationsoptionen herumgeschlagen hat, der etwa mit Open VPN einhergeht. Doch all das könnte schon bald der Vergangenheit angehören. Die VPN-Zukunft gehört nämlich einer neuen Technologie, und die heißt Wireguard. Vor wenigen Wochen in Version 1.0 veröffentlicht, ist es an der Zeit, sich das Ganze mal etwas näher anzusehen.

Klare Ansagen

"Einfach, schnell und sicher": Das sind die drei zentralen Versprechen von Wireguard. Und die kann man auch mit konkreten Fakten untermauern. So kommt Wireguard mit gerade einmal 4.000 Zeilen Code aus, während es Open VPN auf mehr als 100.000 bringt. Dies reduziert die Fehleranfälligkeit massiv und macht es auch einfacher, Sicherheitsüberprüfungen des Codes vorzunehmen. Möglich wird dies dadurch, dass Wireguard gar nicht versucht, jede denkbare Option auf dem Planeten zu unterstützen, sondern auf vernünftige Default-Einstellungen setzt.

Einfach

So ist denn auch der Verbindungsaufbau denkbar einfach: Es werden schlicht die öffentlichen Schlüssel zwischen Server und Client ausgetauscht – und das war es dann auch schon. Doch nicht nur für die Nutzer ergeben sich daraus Vorteile. Wireguard-Netze sind auch für Administratoren wesentlich einfacher zu planen und zu verwalten. Und was besonders positiv auffällt: Während es bei Open VPN und Co oftmals Probleme nach einem Netzausfall gibt, braucht man sich diese Sorgen bei Wireguard nicht zu machen. In dem Moment, wo die Datenverbindung wieder da ist, ist auch die VPN-Verbindung wieder da.

Schnell

Diese umgehende Reaktion ist überhaupt etwas, das Wireguard auszeichnet. Muss man bei VPN-Verbindungen üblicherweise einige Sekunden warten, bis diese aufgebaut sind, erfolgt dieser Schritt hier ohne jegliche Wartezeit. Der Performance-Vorteil gegenüber anderen VPN-Lösungen zeigt sich aber auch an anderer Stelle, nämlich am Server: Wireguard-Verbindungen erzeugen typischerweise eine deutlich geringe Belastung für den Prozessor, womit die Betreiber wiederum einen höheren Datendurchsatz gewähren können. Und natürlich heißt das dann auch, dass Wireguard gerade auf schwächeren Geräten erheblich besser läuft, worüber sich nicht zuletzt die Akkulaufzeit am Smartphone freut.

Sicher

Einfach und schnell ist ja nett, aber das bringt natürlich wenig, wenn das auf Kosten der Sicherheit geht. Das ist hier aber glücklicherweise nicht der Fall: Wireguard unterstützt moderne kryptografische Verfahren wie das Noise Protocol Framework sowie Curve25519, ChaCha20, Poly1305, BLAKE2, SipHash24 und HKDF. Auf den Support für weniger sichere Methoden hat man hingegen gleich verzichtet. All das wurde mittlerweile auch von Kryptografen einer eingängigen Prüfung unterzogen und für gut befunden.

Aus einer Sicherheitsperspektive ebenfalls erfreulich: Die beim Verbindungsaufbau ausgetauschten Schlüssel werden alle paar Minuten automatisch erneuert, wodurch etwas garantiert wird, was in der Fachsprache "Forward Secrecy" genannt wird. Selbst wenn einmal ein Schlüssel geknackt werden sollte, hat ein Angreifer damit lediglich Zugriff auf einen kurzen Ausschnitt der Kommunikation und nicht automatisch auch auf ältere, eventuell bei längerer Überwachung mitgeschnittene Daten.

Multiplattform

Aus Nutzersicht ist Wireguard für eine Fülle von Betriebssystemen verfügbar: Ursprünglich primär für Linux entwickelt, gibt es Clients auch für Windows, Mac OS, diverse BSD-Systeme sowie iOS und Android. Für Letzteres gibt es die App übrigens nicht nur in Googles Play Store, sondern auch bei der freien Alternative von F-Droid. Immerhin ist all das schließlich Open Source. Trotzdem bleibt der Linux-Support das Herzstück von Wireguard, und das aus gutem Grund: Immerhin geht es hier nicht zuletzt um die Implementation für die Server-Seite – und die meisten VPNs laufen nun mal mit Linux. Umso erfreulicher ist, dass es auch hier zuletzt einen entscheidenden Fortschritt gab.

Linux

Mit dem aktuellen Linux 5.6 ist Wireguard ein fixer Bestandteil des Linux-Kernels geworden. "Kernel-Support für ein vernünftiges VPN" war der zur Aufnahme des Codes angefügte Kommentar, der bereits recht viel über die Rezeption der Technologie unter den Entwicklern aussagt. Linux-Erfinder Linus Torvalds hatte bereits vor rund zwei Jahren seine Liebe zu Wireguard erklärt, das seiner Meinung nach eine echte Wohltat im Vergleich zu jenem "Horror, der Open VPN und IPSec darstellen", sei.

Lob von Shuttleworth

Und auch ein anderer prominenter Name aus der Linux-Welt zeigt sich begeistert: Ubuntu-Gründer Mark Shuttleworth bezeichnet gegenüber dem STANDARD die Aufnahme von Wireguard als eines der wichtigsten neuen Features des gerade erst veröffentlichten Ubuntu 20.04. Der Fokus auf hohe Sicherheit und das "Just works"-Prinzip deckten sich gut mit der eigenen Philosophie.

Entsprechend dürfte sich Wireguard in der Linux-Welt nun flott verbreiten: So wurde es etwa für das erwähnte Ubuntu 20.04 bereits auf Linux 5.4 rückportiert, und auch beim Vorgänger Ubuntu 18.04 soll Wireguard-Support nachgeliefert werden. In das aktuelle Debian Buster ist die neue VPN-Technologie ebenfalls bereits eingeflossen. Und bei kommenden Distributionen wie Fedora 32 gibt es in dieser Hinsicht ohnehin keine Fragen, da sie bereits mit Linux 5.6 ausgeliefert werden.

Android

Was dabei nicht übersehen werden darf: Im Kern von Android steckt ebenfalls eine Linux-Kernel. Das bedeutet, dass auch hier Wireguard-Support direkt in das Betriebssystem einfließen wird – wenn auch nicht ganz so flott wie in der restlichen Linux-Welt. Jedenfalls hat Google den entsprechenden Code bereits in sein "Generic Kernel Image" aufgenommen. Mit diesem soll künftig ein einheitlicher Kernel etabliert werden, der dann auf mehreren Geräten läuft – und im Optimalfall auch von Google selbst aktuell gehalten werden kann. Das ist derzeit natürlich noch Zukunftsmusik, trotzdem ist klar, dass Wireguard zumindest für kommende Geräte auch unter Android ein fixer Bestandteil sein wird.

Um hier keine Missverständnisse entstehen zu lassen: Aus Nutzersicht ändert sich dadurch ohnehin nur begrenzt etwas, gibt es doch jetzt schon – wie erwähnt – die offizielle Wireguard-App, mit der sich entsprechende Verbindungen problemlos aufbauen lassen.

VPN-Anbieter

Die größte Hürde ist derzeit noch der Support bei den VPN-Providern. Einzelne Vorreiter wie Mullvad bieten schon länger Wireguard-Support auf ihren Servern. Es ist aber davon auszugehen, dass andere Anbieter hier bald nachziehen werden. Mit der Aufnahme in die großen Linux-Distributionen wird die Übernahme sehr einfach, und wer hat schon etwas dagegen, den gleichen Dienst mit geringerem Wartungsaufwand und reduzierter Last auf den eigenen Servern zu betreiben?

Fazit

Es kommt nur selten vor, dass eine neue Technologie den Status quo in einem Bereich komplett auf den Kopf stellt. Genau das zeichnet sich aber hier ab: Die Vorteile von Wireguard sind sowohl für Nutzer als auch für Betreiber so groß, dass es unwahrscheinlich scheint, dass sich noch lange jemand den Einsatz von Open VPN und Co antun wird. (Andreas Proschofsky, 24.4.2020)