Was ist AmneziaWG? Der WireGuard-Fork für eine stabile Verbindung
Ein normaler WireGuard-Handshake hat eine sehr charakteristische Form: ein 148 Byte großes Initiationspaket, gefolgt von einer 92 Byte langen Antwort, verschickt über UDP mit einer Handvoll vorhersehbarer Header-Werte. Genau diese Gleichförmigkeit macht WireGuard schnell — und macht ihn zugleich leicht durch automatisierte Netzwerkfilter erkennbar. AmneziaWG existiert, um diese zweite Hälfte des Problems zu lösen, ohne die erste anzutasten.
Was AmneziaWG eigentlich ist
AmneziaWG ist ein Fork der WireGuard-Go-Implementierung, entwickelt vom Team hinter dem Amnezia-VPN-Projekt. Der kryptografische Kern von WireGuard bleibt dabei vollständig unverändert — Curve25519 für den Schlüsselaustausch, ChaCha20-Poly1305 für die Verschlüsselung, dieselbe Handshake-Logik. Die Sicherheitsgarantien, die du von WireGuard erwartest, bleiben also erhalten. Was sich ändert, ist die Transportschicht: der Teil der Verbindung, den ein Netzwerkbeobachter tatsächlich zu sehen bekommt.
Kurz gesagt ist AmneziaWG WireGuard mit verwürfelter „Form”, sodass eine Verbindung weniger nach Schablone und mehr nach gewöhnlichem Hintergrundrauschen aussieht.
Warum reines WireGuard in manchen Netzen an seine Grenzen stößt
Die Analyse von Netzwerkverkehr ist deutlich ausgefeilter geworden. Forschung zur Erkennung von Netzwerkverkehr zeigt, dass unmodifizierter WireGuard-Traffic bereits in rund 30 Sekunden anhand seiner Handshake-Signatur klassifiziert werden kann. Moderne DPI-Systeme (Deep Packet Inspection) stützen sich zunehmend auf Machine-Learning-Modelle, die einen Datenstrom allein anhand von Paket-Timing und Entropie-Mustern innerhalb der ersten rund 100 Pakete einordnen — ganz ohne den Inhalt zu lesen. Einige regionale Filtersysteme, die 2026 dokumentiert wurden, klassifizieren WireGuard und IKEv2 gezielt selbst auf nicht standardmäßigen Ports.
Nichts davon ist ein Fehler in der Kryptografie von WireGuard — die Verschlüsselung selbst bleibt intakt. Das Problem liegt rein in den Metadaten: Feste Paketgrößen und vorhersehbares Timing reichen einem Klassifizierer aus, um „das ist WireGuard” zu erraten, ohne ein einziges Byte zu entschlüsseln.
Wie AmneziaWG das Verkehrsmuster verändert
AmneziaWG legt mehrere Verschleierungstechniken über den Standard-Transport von WireGuard:
- Junk-Pakete — konfigurierbare Täuschungspakete, die vor dem eigentlichen Handshake gesendet werden und die Annahme „das erste Paket ist immer X Byte groß” aushebeln.
- Header-Randomisierung — die festen Nachrichtentyp-Header, die WireGuard normalerweise verwendet, werden durch zufällige Werte ersetzt.
- Padding variabler Länge — Paketlängen liegen nicht mehr auf festen, leicht abgleichbaren Größen.
- Protokoll-Mimikry — die Form des Verkehrs wird so angepasst, dass sie einem Klassifizierer keine einheitliche Schablone bietet.
Das Ergebnis ist eine Verbindung, die dasselbe zugrunde liegende WireGuard-Protokoll trägt, einem Netzwerkfilter aber nicht die saubere, wiederholbare Signatur liefert, nach der er sucht.
AmneziaWG im Vergleich zu reinem WireGuard
| WireGuard | AmneziaWG | |
|---|---|---|
| Verschlüsselung | Curve25519 / ChaCha20-Poly1305 | Identisch — unverändert |
| Handshake-Größe | Fest (148 / 92 Byte) | Randomisiert mit Junk-Paketen |
| Paket-Header | Feste, vorhersehbare Werte | Randomisiert |
| Erkennbarkeit durch DPI | Hoch — in Sekunden klassifizierbar | Deutlich reduziert |
| Geschwindigkeits-Overhead ggü. WireGuard | Referenz | Minimal — derselbe schlanke Kern |
Einrichtung: Was tatsächlich passiert
- Du installierst die RunVPN-App und meldest dich an — per Google, E-Mail oder Telegram.
- Die App holt ihre Konfiguration automatisch. Es gibt keinen manuellen Schlüsselaustausch, keine Konfigurationsdatei, keinen QR-Code zum Scannen — die AmneziaWG-Parameter werden dir in dem Moment bereitgestellt, in dem du dich anmeldest.
- Du tippst auf Verbinden. Die App handelt den verschleierten Handshake im Hintergrund aus und baut den Tunnel auf.
Das ist der komplette Ablauf — es gibt keine Protokollauswahl und keinen Einstellungsdialog zu konfigurieren. Das ist wichtig, weil die Verschleierungsparameter von AmneziaWG (Anzahl der Junk-Pakete, Header-Werte) zwischen Client und Server übereinstimmen müssen, damit alles korrekt funktioniert.
Was das für den Alltag bedeutet
- Öffentliches Wi-Fi im Café oder am Flughafen — dein Verkehr ist verschlüsselt und zeigt der Netzwerküberwachung im gemeinsam genutzten Netz keine offensichtliche VPN-Signatur.
- Mobilfunknetze mit aggressivem Traffic-Shaping — eine Verbindung, die nicht als „VPN” markiert wird, wird seltener durch musterbasierte Shaping-Regeln gedrosselt.
- Alltägliche Privatsphäre — dank No-Logs-Prinzip bleibt das, was du im Tunnel tust, auf Seiten von RunVPN nicht gespeichert.
Häufig gestellte Fragen
Ist AmneziaWG langsamer als WireGuard? Nein. Die Verschleierungsschicht erzeugt nur minimalen Overhead — das Kernprotokoll und die Verschlüsselung sind identisch mit WireGuard, das ohnehin zu den schnellsten verfügbaren VPN-Protokollen zählt.
Muss ich AmneziaWG manuell konfigurieren? Nein. In der RunVPN-App erfolgt die Konfiguration automatisch nach der Anmeldung — es gibt nichts von Hand zu importieren oder einzurichten.
Ist AmneziaWG weniger sicher als WireGuard, weil es modifiziert wurde? Nein. Die Verschleierung wirkt ausschließlich auf der Transportschicht. Der kryptografische Handshake und die Verschlüsselung (Curve25519, ChaCha20-Poly1305) sind gegenüber dem originalen WireGuard unverändert.
Nutzt RunVPN ausschließlich AmneziaWG? AmneziaWG ist das Standardprotokoll. RunVPN betreibt im Hintergrund zusätzlich VLESS-Reality (XTLS-Vision) für mehr Ausfallsicherheit — du musst dich nicht manuell zwischen beiden entscheiden.
Schnell, verschlüsselt und schwer zu fingerabdrucken — genau darum geht es bei AmneziaWG. Lade RunVPN herunter und verbinde dich in Sekunden, oder erfahre mehr über VLESS-Reality, das zweite Protokoll im Hintergrund.