AmneziaWG vs. WireGuard: Was sich unter der Haube wirklich ändert
Ein WireGuard-Handshake beginnt immer mit einem festen Nachrichtentyp — dem Byte 0x01 — gefolgt von einer vorhersehbaren Feldstruktur. Dieses eine Byte reicht einem System zur tiefen Paketinspektion (DPI) oft schon aus, um die Sitzung zu markieren, bevor überhaupt echter Datenverkehr fließt. AmneziaWG wurde genau dafür entwickelt, diesen Fingerabdruck zu entfernen, während Geschwindigkeit und Kryptografie von WireGuard unverändert bleiben. Hier ist, was sich zwischen beiden tatsächlich unterscheidet — und warum das für eine stabile Verbindung in Netzwerken zählt, die bei VPN-Mustern wählerisch sind.
Gleicher kryptografischer Kern, andere Signatur im Netz
AmneziaWG ist kein völlig neu entwickeltes VPN-Protokoll — es ist ein Fork von WireGuard-Go, der denselben Noise-Protocol-Handshake, den Curve25519-Schlüsselaustausch und die ChaCha20-Poly1305-Verschlüsselung beibehält. Die Sicherheitsgarantien bleiben gleich. Was sich ändert, ist alles, was ein außenstehender Beobachter im Netzwerk tatsächlich sehen kann: Paketgrößen, Header-Bytes und das Timing-Muster rund um den Handshake.
WireGuard wurde für rohe Geschwindigkeit und minimalen Code entwickelt, nicht um sich vor Netzbetreibern zu verstecken — das war nie Teil seines Designziels. Mehr dazu, wie diese Verschleierungsschicht konfiguriert ist, gibt es auf der AmneziaWG-Protokollseite.
Wie DPI gewöhnliches WireGuard tatsächlich erkennt
Standard-WireGuard-Traffic lässt sich leicht herausfiltern, weil seine Handshake-Nachricht immer mit demselben Typfeld beginnt und die Paketgrößen rund um eine Sitzung einem engen, wiederkehrenden Muster folgen. Forscher, die das Verhalten großer DPI-Systeme untersuchen, berichteten, dass ein gewöhnlicher WireGuard-Handshake in etwa 30 Sekunden nach Sitzungsbeginn markiert wird — bei einigen der aggressivsten heute eingesetzten Filterinfrastrukturen.
Neuere Erkennungsmethoden gehen noch weiter. Beiträge zur Netzwerksicherheit aus dem Jahr 2026 beschreiben, wie DPI maschinelle Lernmodelle mit Paket-Timing- und Entropie-Analyse kombiniert, um WireGuard bereits nach rund 100 Paketen zu identifizieren — ohne ein einziges Byte zu entschlüsseln.
Ein DPI-System muss die Verschlüsselung nicht brechen. Es reicht, wenn dein Traffic statistisch anders aussieht als alles andere im Netz.
Das ist die eigentliche Angriffsfläche: nicht die Chiffre, sondern die Form des Datenverkehrs.
Was AmneziaWG im Netz verändert
Die in der eigenen technischen Dokumentation des Projekts beschriebene Verschleierungsschicht von AmneziaWG stört diese Form, bevor der eigentliche Handshake überhaupt beginnt:
- Junk-Pakete (Jc, Jmin, Jmax) — der Client sendet vor dem echten Handshake eine konfigurierbare Anzahl von Junk-Paketen zufälliger Größe und bricht so das feste Größenmuster, nach dem DPI sucht.
- Zufällige Header — das Nachrichtentyp-Byte und andere Header-Felder stimmen nicht mehr mit den bekannten Konstanten von WireGuard überein.
- Nachrichten-Padding — Paketlängen variieren, sodass sich der Sitzungsverkehr nicht zu einer erkennbaren Größenverteilung häuft.
- Signaturpakete — zusätzlicher Köder-Traffic, der so gestaltet ist, dass er anderen gängigen Protokollen ähnelt statt einem VPN-Handshake.
Version 2.0 des Protokolls erweiterte dies zu einer umfassenderen Nachahmung von Headern und Paketgrößen, über den reinen Junk-Paket-Ansatz früherer Versionen hinaus. Nichts davon berührt die zugrunde liegende Verschlüsselung — es ändert sich, was ein außenstehender Beobachter sieht, nicht das, was die beiden Endpunkte tatsächlich austauschen.
WireGuard vs. AmneziaWG auf einen Blick
| WireGuard | AmneziaWG | |
|---|---|---|
| Verschlüsselung | ChaCha20-Poly1305, Curve25519 | Identisch |
| Handshake-Muster | Fest, erkennbar | Zufällig, mit Junk-Paketen |
| Geschwindigkeits-Overhead | Keiner (Basis) | Gering, durch Junk-Pakete |
| DPI-Resistenz | Niedrig — in Sekunden markierbar | Hoch — genau dafür entwickelt |
| Am besten geeignet für | Offene Netzwerke, Heimrouter | Netzwerke, die erkennbare VPN-Muster einschränken |
Was beim Verbinden passiert
- Du meldest dich an in der RunVPN-App — über Google, E-Mail oder Telegram.
- Die App holt sich die Konfiguration automatisch von den RunVPN-Servern — nichts muss manuell importiert oder eingefügt werden.
- Ein Tunnel öffnet sich standardmäßig mit AmneziaWG, optimiert für eine stabile Verbindung auch in Netzwerken, die erkennbare VPN-Verkehrsmuster einschränken.
- Du tippst auf Verbinden, und der Traffic läuft durch den Tunnel — die Verschleierungsparameter sind auf beiden Seiten bereits korrekt gesetzt.
Für besonders anspruchsvolle Netzwerke hält RunVPN außerdem VLESS-Reality als zweite Protokolloption bereit, die auf der Xray-Engine läuft.
Häufig gestellte Fragen
Ist AmneziaWG langsamer als WireGuard? Junk-Pakete bringen einen kleinen Overhead mit sich, aber im alltäglichen Gebrauch — Browsen, Streamen, Messaging — wirst du den Unterschied nicht bemerken. Der grundlegende Verschlüsselungspfad ist identisch mit dem von WireGuard.
Ersetzt AmneziaWG WireGuard vollständig? Nein — es baut darauf auf. Gleicher Schlüsselaustausch, gleiche Chiffren-Suite. Die Verschleierungsschicht ist eine Ergänzung, kein Redesign des Sicherheitsmodells.
Warum ist das wichtig, wenn mein Netzwerk nicht restriktiv ist? Selbst in offenen Netzwerken bedeutet ein weniger erkennbares Verkehrsmuster eine geringere Exposition gegenüber automatisierter Traffic-Klassifizierung im Allgemeinen — ein Teil einer umfassenderen Privatsphäre-Haltung, keine einzelne Wunderlösung.
Muss ich davon selbst etwas konfigurieren? Nein. RunVPN richtet AmneziaWG automatisch ein, sobald du dich angemeldet hast — es gibt kein manuelles Profil, keine Junk-Paket-Einstellung und keinen Handshake-Parameter, den du anfassen müsstest.