WireGuard Android – die App im Detail (kann mehr als Du denkst)

So schnell geht’s: Installiere die offizielle WireGuard-App für Android (Google Play oder APK von wireguard.com), importiere Deine Konfiguration per QR-Code oder .conf-Datei und lege den Schalter um – schon steht der VPN-Tunnel. Wie Du an eine Konfigurationsdatei kommst, was die App sonst noch kann und wie Du per Always-on-VPN einen Kill-Switch einrichtest, zeige ich Dir in diesem Guide.

WireGuard ist ein VPN-Protokoll, das es in den Linux-Kernel geschafft hat. Es ist schlank, schnell und funktioniert hervorragend. Ich benutze es bereits eine ganze Weile. Mullvad bietet viele Server mit WireGuard-Unterstützung an, aber auch NordVPN und andere VPN Provider tun das in der Zwischenzeit – bei NordVPN* ist das WireGuard-basierte Protokoll (NordLynx) sogar Standard. Surfshark* bietet nicht nur WireGuard als Protokoll an, sondern Du bekommst auch Konfigurationsdateien (Schlüsselpaare), für eine manuelle Konfiguration. WireGuard Android einrichten ist dann individuell möglich.

Zuletzt aktualisiert: 12. Juli 2026 – Bezugsquellen der App (F-Droid-Aus), Systemvoraussetzungen und Setup-Schritte geprüft; neu: Abschnitt zu Kill-Switch und Always-on-VPN.

WireGuard-Clients stehen mittlerweile offiziell für alle gängigen Betriebssysteme zur Verfügung – auch für Windows. Anders als in den frühen Jahren gibt es heute einen offiziellen, voll ausgestatteten Windows-Client (auf Basis des WireGuardNT-Treibers), der als empfohlener Weg gilt. Für Linux Mint und Ubuntu gab es eine Weile ein PPA, aber mittlerweile ist WireGuard fest in den Linux-Kernel eingezogen (seit Kernel 5.6 im Jahr 2020). Deswegen ist eine Installation unter Debian, Ubuntu, Linux Mint und anderen Distributionen wie Red Hat, Fedora und openSUSE sowie Arch nicht problematisch. Sogar auf dem Raspberry Pi läuft die Technologie problemlos. Unter macOS und iOS lässt sich das VPN-Protokoll ebenfalls nutzen.

Für Android gibt es ebenfalls einen offiziellen Client und Du bekommst ihn via Google Play oder als direkten APK-Download von der offiziellen WireGuard-Website. Bei F-Droid ist die App übrigens seit Ende 2023 nicht mehr zu haben – die F-Droid-Macher und der WireGuard-Entwickler haben sich wegen des eingebauten Update-Mechanismus überworfen.

Eine Installation unter Android muss ich Dir wahrscheinlich nicht erklären, weil Du schließlich nur das Paket einspielen musst. Die App ist ein Fliegengewicht: Der Download aus dem Play Store ist rund 7 MByte groß (die universelle APK von der WireGuard-Website etwa 17 MByte) und Du benötigst Android 7.0 oder neuer. Suchst Du für Dein Smartphone auch eine App für Deine Zugangsdaten, hilft Dir unser Vergleich der Passwort-Manager für Android.

WireGuard App für Android ist schnell eingerichtet

Die Installation von Android WireGuard ist nicht kompliziert. Hier eine kurze Zusammenfassung.

Die Installation der WireGuard App für Android ist nicht kompliziert. Das gilt auch für das Importieren einer entsprechenden Konfigurationsdatei. Der Knackpunkt ist, eine WireGuard-Konfigurationsdatei zu bekommen. Entweder lässt Du sie Dir von Deinem VPN-Anbieter erstellen – oder Du betreibst Deinen eigenen Server, etwa auf einem Raspberry Pi oder einem günstigen VPS. Wie das geht, zeige ich Dir Schritt für Schritt im Guide WireGuard-VPN-Server einrichten.

Android WireGuard – etwas ausführlicher erklärt

Nachdem Du die App installiert hast, siehst Du eigentlich nicht viel. Es gibt ein großes Plus-Zeichen und die 3 Punkte, über die Du die Einstellungen erreichst. Die Einstellungen sind sehr übersichtlich. Du kannst vorhandene Tunnel als Zip-Datei exportieren. Das wäre sozusagen ein Backup Deiner Konfiguration. Überdies darfst Du die Log-Datei exportieren und Du kannst ein dunkles Thema wählen. Das habe ich gemacht, da es mir besser liegt.

WireGuard-Verbindungen einrichten

Zurück im Hauptbildschirm darfst Du mit einer Berührung des Plus-Zeichens einen neuen VPN-Tunnel einrichten. Dafür gibt es drei Optionen:

• Aus Datei oder Archiv importieren: Hier könntest Du eine Zip-Datei importieren oder eine Conf-Datei, die Du vorher als Backup exportiert oder generiert hast. Das ist ganz praktisch, wenn Du ein neues Smartphone bekommst und nicht wieder alles manuell konfigurieren möchtest. Weiterhin wählst Du die Option, wenn Du eine einzelne Konfigurationsdatei hast. Im Anschluss mehr zu dieser Option.
• Von QR-Code scannen: Das muss man nicht weiter erklären. Als ich den WireGuard-Testzugang von NordVPN bekommen habe, schickte mir die Firma auch die entsprechenden QR-Codes. Damit war eine Konfiguration sehr schnell erledigt. Das ist sehr angenehm, muss ich gestehen.
• Von Grund auf erstellen: Mit dieser Option könntest Du wirklich Deinen Tunnel manuell eintippen. Dazu musst Du nicht nur die Einstellungen wissen, sondern das ist auch mühsam.

Surfshark bietet einen WireGuard-Konfigurator. Nachdem Du Dich bei dem VPN-Provider angemeldet hast, findest Du ihn im Dashboard unter VPN → Manuelle Einrichtung. Damit kannst Du Dir schnell eine Konfigurationsdatei zu einem bestimmten Server erstellen. Die Methode erklärt sich von selbst. Du erstellst einfach ein neues Schlüsselpaar und wählst danach das Land aus. Im Anschluss bekommst Du eine Zusammenfassung und die Option, die .conf-Datei herunterzuladen.

Wie Du die Konfiguration auf Deinen Android-Client bekommst – dafür gibt es mehrere Möglichkeiten. Vielleicht über einen Cloud-Service oder Du erstellst die Konfiguration gleich mit Deinem Android-Browser.

Einen VPN-Tunnel herstellen – er ist Roaming-fähig!

Sobald Du ein paar VPN-Tunnels eingerichtet hast, könnte der Client zum Beispiel so aussehen.

Wie Du in meinem Screenshot siehst, kann ich mich nun mit einem Surfshark-Server in der Schweiz verbinden. Du musst einfach nur den Hebel umlegen und die Verbindung steht sofort.

Es ist auch egal, wenn sich Deine Verbindungen ins Internet ändern. Ob Du vom WLAN über 4G zu einem Wi-Fi Hotspot springst, macht nichts aus. Die Verbindung oder der Tunnel bleibt bestehen. Das ist sehr angenehm. Anders gesagt: WireGuard kann Roaming!

Weitere Funktionen, die weniger offensichtlich sind

So, nun geht es etwas ans Eingemachte. Keine Sorge, so schlimm wird es nicht. Tippst Du auf einen Tunnel, bekommst Du allgemeine Informationen dazu. Das sind Adressen, öffentliche Schlüssel und die erlaubten IP-Adressen. Darauf komme ich etwas später zurück. Rechts oben siehst Du ein Stift-Symbol, mit dem Du die WireGuard-Konfiguration noch manuell ändern kannst.

Das sieht dann wie im nächsten Screenshot aus und hier findest Du auch den so wichtigen privaten Schlüssel. Lass den auf jeden Fall, wie er ist und generiere keinen neuen. Sonst funktioniert die Verbindung zu Surfshark nicht mehr. Das kannst Du machen, wenn Du mit eigenen privaten Schlüsseln hantieren willst, ich nehme aber den Schlüssel, der mir vom VPN Provider zugewiesen wurde.

Wichtig: Die App speichert keine Einstellungen automatisch. Du musst bei allen Änderungen immer das Speichern-Symbol rechts oben benutzen. Das ist nichts Tragisches, aber eine kleine Stolperfalle, die mich auch erwischt hat. 🙂

Im Screenshot oben siehst Du, dass Du gewisse Anwendungen vom Tunnel ausnehmen darfst (Alle Anwendungen erlaubt).

Split Tunneling

Die eben angesprochene Funktion wird gerne auch als Split Tunneling bezeichnet. Konfigurierst Du hier Ausnahmen für gewisse Anwendungen, läuft der Datenverkehr davon nicht durch das VPN. Vielleicht erklären wir das an einem Beispiel:

Per Standard würde sämtlicher Traffic durch das VPN laufen und Du erreichst keine Computer, Drucker und dergleichen mehr im gleichen Netzwerk. Benutzt Du aber Dein Telefon gleichzeitig als Fernbedienung für LibreELEC und Kodi, würdest Du Deinen Raspberry Pi vielleicht nicht mehr erreichen. Nun darfst Du Kore als Ausnahme setzen. Das bedeutet in meinem Beispiel, dass sämtlicher Traffic außer der von Kore durch das VPN fließt.

Komplette Netzwerke als Ausnahme

Es gibt noch eine weitere Möglichkeit, wie Du Maschinen im gleichen Netzwerk erreichst. Du kannst in den Einstellungen die Option Exclude private IPs auswählen. Damit konfiguriert der Client einen Standard-Satz an privaten IP-Adressen, die nicht durch den VPN-Tunnel laufen. Das ist auch eine Art Split Tunneling, allerdings nicht auf Anwendungs- sondern auf Netzwerk-Ebene.

Welche privaten IP-Adressen ausgenommen sind, siehst Du in den Einstellungen. Du hast übrigens auch die Möglichkeit, selbst IP-Adressbereiche zu bestimmen.

Pass aber bei dieser Methode auf! Natürlich ist es bequem, gleich einen kompletten IP-Adressbereich als Ausnahme hinzuzufügen. Allerdings haben viele Heim-Router den gleichen IP-Adressbereich. Der Klassiker ist wohl 192.168.x.x. Somit würde Dein Android-Gerät auch in anderen WLANs mit den privaten IP-Adressen erreichbar sein.

Ein VPN benutzt Du aber unter anderem auch, in öffentlichen WLANs wie einer Ferienwohnung, im ICE oder im Bus von den anderen Geräten abgeschottet zu sein. Deswegen wäre ich mit der Einstellung vorsichtig.

Vielleicht legst Du Dir wie ich einfach mehrere Konfigurationen an. Eine davon ist komplett strikt und die anderen sind Deinen Anforderungen entsprechend etwas offener. Das Split Tunneling wird nicht global konfiguriert, sondern pro Tunnel. Du darfst also für jede einzelne Verbindung festlegen, wie strikt Du Dich abschotten willst.

Kill-Switch für WireGuard Android: Always-on-VPN nutzen

Einen eigenen Kill-Switch-Schalter findest Du in der WireGuard-App nicht – das ist kein Mangel, sondern Absicht. Android bringt die Funktion von Haus aus mit und die App überlässt das schlicht dem System.

So richtest Du den Kill-Switch ein: Öffne Einstellungen → Netzwerk & Internet → VPN und tippe auf das Zahnrad neben WireGuard. Dort aktivierst Du Durchgehend aktives VPN (Always-on-VPN) und zusätzlich Verbindungen ohne VPN blockieren. Die Blockade-Option gibt es seit Android 8 – da die App ohnehin Android 7 voraussetzt, erfüllt praktisch jedes aktuelle Gerät die Voraussetzung.

Die erste Option startet den Tunnel automatisch, etwa nach einem Neustart. Die zweite ist der eigentliche Kill-Switch: Bricht die VPN-Verbindung ab, fließt gar kein Datenverkehr mehr – nichts landet ungeschützt im offenen Netz. Sogar Mullvad empfiehlt genau diese Kombination, um DNS-Leaks unter Android zu verhindern.

Zwei Stolperfallen solltest Du kennen: Mit aktivierter Blockade funktionieren Deine Split-Tunneling-Ausnahmen nicht mehr – ausgenommene Apps haben dann schlicht gar kein Internet. Und in Hotel- oder Zug-WLANs mit Anmeldeseite (Captive Portal) musst Du die Blockade unter Umständen kurz deaktivieren, bis Du eingeloggt bist.

Ich habe WireGuard Android immer aktiv

Auf meinem Smartphone deaktiviere ich WireGuard gar nicht mehr. Ich erreiche im LAN, was ich will und sobald ich das Haus verlasse und ein fremdes Netzwerk benutze, ist mein Gerät gleich geschützt. Da muss ich mir keine Gedanken mehr machen.

Was ich allerdings nicht sagen kann, wie viel mehr Akku das verbraucht. Ich hatte bisher noch keine Probleme, dass mir der Saft ausgegangen ist. Vielleicht hat jemand da genauere Kenntnisse und möchte sie mir verraten.

Übrigens entwickelt sich WireGuard kontinuierlich weiter: Große Anbieter haben ihre WireGuard-Implementierungen 2025/2026 um eine Post-Quantum-Verschlüsselung ergänzt – etwa NordVPN bei NordLynx und Surfshark bei seiner WireGuard-Verbindung –, um die Tunnel gegen künftige Quantencomputer abzusichern. An der Bedienung der App ändert sich für Dich nichts; sie bleibt so schlank und schnell wie gewohnt.

Ansonsten braucht die App wirklich nicht viel Platz. Hast Du ohnehin einen der besten VPN-Anbieter im Einsatz, der WireGuard anbietet, würde ich dessen Android-App auf jeden Fall installieren. Das ist unkomplizierter und benutzerfreundlicher. Gerade Einsteiger dürften sich damit leichter tun. Zudem ist es einfacher, das Land schnell zu wechseln.

Als Alternative und Ausweichoption kannst Du einen Tunnel auch manuell einrichten. Klar, die Konfiguration ist etwas mehr manueller Aufwand, aber Du musst das eigentlich nur einmal machen. Danach ziehst Du ein Backup und hast Deine Ruhe. WireGuard für Android möchte ich nicht mehr missen, da es schnell und insbesondere Roaming-fähig ist.

Aktualisiert am 16.07.2026 von Henry. Fakten geprüft.