AmneziaWG Einrichtungsleitfaden

Schlüsselbegriffe

Schlüsselbegriff	Definition
🛡️ AmneziaWG	Ein Fork von WireGuard, der Paketheader, Größen und Übertragungszeiten randomisiert, um Deep Packet Inspection zu bekämpfen, während die bewährte Kryptographie beibehalten wird. Dies ist ein Protokoll, das auf Ihrem Server läuft.
🚀 AmneziaWG 2.0	Die aktuelle Hauptversion, die dynamische Header-Bereiche (statt fester Werte) verwendet, Padding auf Datenebene (S4) hinzufügt und Ersatzpakete mit einer benutzerdefinierten Protokollsignatur für stärkere DPI-Umgehung unterstützt.
🔍 Deep Packet Inspection (DPI)	Eine Netzwerkfilterungstechnik, die von ISPs und Behörden verwendet wird, um VPN-Verkehr durch Analyse von Paketheadern, Größen und Handshake-Mustern zu identifizieren und zu blockieren. AmneziaWG wurde speziell entwickelt, um dies zu bekämpfen.
⚡ WireGuard	Ein schnelles, modernes VPN-Protokoll mit einer kleinen Codebasis und Kernel-Level-Performance. Es ist leicht durch DPI-Systeme aufgrund seiner festen Paketstruktur identifizierbar, was in AmneziaWG behoben wurde.
🏠 Self-hosted VPN	Ein VPN, das Sie auf Ihrem eigenen Server (typischerweise eine VPS) bereitstellen und verwalten, anstatt sich bei einem kommerziellen Anbieter anzumelden. Sie kontrollieren die Schlüssel, Konfiguration und Infrastruktur.
🐧 DKMS (Dynamic Kernel Module Support)	Ein Linux-Framework, das Kernel-Module automatisch neu kompiliert, wenn der System-Kernel aktualisiert wird. Das AmneziaWG-Installationsprogramm verwendet DKMS, um ein hochperformantes Kernel-Modul zu erstellen.
🎭 Obfuscation	Die Praxis, VPN-Verkehr zu verschleiern, um ihn wie normalen Internetverkehr aussehen zu lassen. AmneziaWG verschleiert auf der Transportebene durch Randomisierung von Headern, Hinzufügen von Padding, Senden von Ersatzpaketen und Generieren von Junk-Paketen.
🔀 Split tunneling	Eine Routing-Konfiguration, bei der nur bestimmter Verkehr (z. B. blockierte Websites) durch das VPN läuft, während anderer Verkehr Ihre direkte Verbindung nutzt. Nützlich in Ländern mit teilweiser Zensur.
🖥️ KVM vs LXC	KVM ist vollständige Virtualisierung mit einem dedizierten Kernel, der erforderlich ist, um benutzerdefinierte Kernel-Module wie AmneziaWG zu laden. LXC ist Container-Virtualisierung, die den gemeinsamen Kernel des Hosts nutzt und keine benutzerdefinierten Module laden kann.
🎪 CPS (Custom Protocol Signature)	Eine Funktion von AmneziaWG 2.0, die Ersatzpakete sendet, die andere Protokolle (QUIC, DNS, SIP) nachahmen, bevor der eigentliche Handshake stattfindet, und DPI-Systeme täuscht, indem der Verkehr als normal klassifiziert wird.

---

🔄 Update (Juli 2026): Diese Anleitung behält ihre ursprüngliche Vorgehensweise bei, aber das unten angezeigte gepinnte Installer-Tag v5.8.1 ist nicht mehr aktuell. Die neueste Version von amneziawg-installer ist v5.18.4, die Unterstützung für Debian 12 und 13, vorgefertigte ARM64- und Raspberry-Pi-Kernel-Module, Ubuntu 25.10 und 26.04, Cascade-Modus und weitere Sicherheitsverbesserungen hinzufügt.

Wenn Sie diese Anleitung heute befolgen, ersetzen Sie den älteren gepinnten Befehl durch wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.18.4/install_amneziawg_en.sh oder überprüfen Sie das aktuelle Tag auf der Seite der neuesten Version, bevor Sie bereitstellen.

---

Selbst bereitgestellter AmneziaWG VPN Server — Vollständiger Leitfaden

AmneziaWG ist ein Protokoll, das entwickelt wurde, um ein spezifisches Problem zu lösen: Wie erreicht man WireGuard-Geschwindigkeiten, wenn die Netzwerke, mit denen man sich verbindet, aktiv versuchen, es zu blockieren? Es ist ein Fork von WireGuard, erstellt vom Amnezia VPN Team, und es tut das, was das Original nicht tut — es randomisiert die Transportschicht, sodass Deep Packet Inspection Systeme es nicht identifizieren können. Die Verschlüsselung bleibt genau gleich. Nur das Aussehen der Pakete im Netzwerk ändert sich.

Die breite Landschaft der VPN-Verschleierung war über die Jahre hinweg ein Wettrüsten. Tools wie Shadowsocks, VLESS+Reality und OpenVPN mit obfs4 versuchen, den Datenverkehr auf verschiedene Weise zu verschleiern — einige als Proxys, einige als vollständige Tunnel, einige mit hohen Leistungskosten. AmneziaWG nimmt eine spezifische Nische ein: Es ist ein vollständiger VPN-Tunnel mit WireGuard-ähnlicher Leistung und integriertem DPI-Schutz, alles in einem Paket. Und da es Open-Source ist, können Sie es auf Ihrem eigenen Server bereitstellen.

Aber hier ist das Problem, das dies notwendig macht. Sie richten WireGuard ein. Es funktioniert perfekt — schnell, sauber, zuverlässig. Dann eines schönen Tages funktioniert es nicht mehr. Keine Fehlermeldung, kein Timeout, keine Verbindungsverweigerung. Pakete verschwinden einfach. Das ist, wie DPI-Blockierung in der Praxis aussieht: Ihr Tunnel ist noch betriebsbereit, Ihre Konfiguration ist noch korrekt, und nichts kommt durch. Dies ist bereits die Realität in einigen Ländern.

Traditionelle Alternativen lösen dieses Problem nicht vollständig. Shadowsocks ist ein Proxy, kein vollständiger VPN-Tunnel — Ihr DNS und Ihr Non-TCP-Datenverkehr werden immer noch austreten. OpenVPN mit obfs4 funktioniert, hat aber etwa 25 % Leistungsaufwand. VLESS+Reality bietet starke Verschleierung, ist aber Proxy-basiert und komplex einzurichten. AmneziaWG füllt die Lücke: Es ist ein vollständiger VPN-Tunnel mit WireGuard-ähnlicher Leistung und integriertem DPI-Schutz.

Dieser Leitfaden führt Sie durch die Bereitstellung eines vollständig funktionsfähigen AmneziaWG 2.0 Servers auf jedem KVM VPS in weniger als 15 Minuten mit einem einzigen Community-Installer-Skript. Am Ende werden Sie einen funktionierenden VPN-Tunnel haben, mit dem Sie sich von jedem Gerät aus verbinden können. Die Schritte sind anbieterunabhängig — sie funktionieren auf jedem VPS mit SSH-Zugriff und Root-Rechten, ob von AvaHost oder einem anderen. Dies ist für Benutzer mit mittlerem technischem Geschick geschrieben, die sich mit SSH und grundlegenden Linux-Befehlen auskennen.

Eine Klarstellung, bevor wir beginnen: AmneziaWG ist ein Protokoll. AmneziaVPN ist eine Client-Anwendung, die sich damit verbindet. Sie sind verwandt, aber unterschiedlich — wie TLS für Ihren Browser. Sie benötigen eine Anwendung zum Verbinden, aber das Protokoll ist das, was auf Ihrem Server läuft.

Aber bevor wir etwas bereitstellen, müssen Sie verstehen, was AmneziaWG von WireGuard unterscheidet — und warum dieser Unterschied wichtig ist, wenn DPI Sie beobachtet.

---

Was ist AmneziaWG? (Mentales Modell)

WireGuard besticht durch seine Eleganz. Es hat eine kleine Codebasis, nutzt moderne Kryptographie und läuft im Linux-Kernel für nahezu native Performance. Aber diese Eleganz hat ein Sichtbarkeitsproblem: Jedes WireGuard-Paket trägt die gleiche feste Header-Struktur, die gleichen festen Paketgrößen und das gleiche Handshake-Muster. Für ein Deep-Packet-Inspection-System hat der WireGuard-Tunnel eine Signatur, die so deutlich ist wie ein Barcode. Sobald ein DPI-Gerät diese Signatur erkennt, kann es jedes Paket verwerfen, ohne den Port zu blockieren oder die Verbindung zu schließen.

AmneziaWG ist ein Fork von WireGuard-Go, erstellt vom Amnezia-VPN-Team. Es hat die architektonische Einfachheit von WireGuard geerbt — der gleiche Curve25519-Schlüsselaustausch, die gleiche ChaCha20-Poly1305-Verschlüsselung, das gleiche Noise-IK-Handshake. Die gesamte Kryptographie bleibt unverändert und ist ebenfalls verifiziert. Was AmneziaWG ändert, ist die Transportschicht: Paket-Header, Paketgrößen und Timing-Muster.

Stellen Sie sich das so vor. WireGuard ist wie ein Kurier, der immer die gleiche Uniform trägt — schnell, zuverlässig und effizient. Aber jeder, der die Straße beobachtet, lernt, diese Uniform zu erkennen und kann den Kurier an jedem Kontrollpunkt stoppen. AmneziaWG ist der gleiche Kurier, der die gleichen Pakete trägt, aber er wechselt seine Uniform an jedem Kontrollpunkt. Die gleiche Person, die gleiche Fracht, ein völlig anderes Aussehen.

Die Versionsverlauf ist wichtig. AmneziaWG 1.x führte benutzerdefinierte Header ein, die sich von WireGuards festen Werten unterschieden — das half eine Zeit lang, aber DPI-Systeme passten sich an. AmneziaWG 2.0, veröffentlicht Ende 2025, randomisiert alles: Header ändern sich von Paket zu Paket, Padding variiert von Nachricht zu Nachricht, und Ersatzpakete ahmen andere Protokolle nach, bevor der eigentliche Handshake beginnt. Es gibt keine universelle Signatur zur Erkennung, da jeder AmneziaWG-2.0-Server seinen eigenen eindeutigen Satz von Parametern generiert. Jeder Server spricht seinen eigenen Dialekt.

Wenn alle Obfuskationsparameter auf Null gesetzt sind, verhält sich AmneziaWG identisch mit WireGuard — es ist vollständig rückwärtskompatibel auf Protokollebene. Aber mit aktiven Parametern (was die Standardeinstellung ist), wird es zu dem, was WireGuard nicht sein kann: ein schneller VPN-Tunnel, den DPI-Systeme schwer identifizieren können.

Wie genau verschlüsselt AmneziaWG seinen Traffic also? Schauen wir uns die vier Ebenen der Obfuskation an, die DPI blind machen — und warum sie fast keine Geschwindigkeitskosten verursachen.

---

Wie AmneziaWG sich vor DPI versteckt (ohne Geschwindigkeitsverlust)

AmneziaWG 2.0 nutzt vier Ebenen der Verschleierung, die zusammenwirken. Jede zielt auf eine andere Methode ab, mit der DPI-Systeme VPN-Verkehr identifizieren. Zusammen machen sie den Verkehr jedes Servers einzigartig.

Dynamische Header (H1–H4)

WireGuard verwendet feste 32-Bit-Nachrichtentypidentifizierer:

• 1 — für Initiierung
• 2 — für Antwort
• 3 — für Antwort mit Cookie
• 4 — für Daten

Ein DPI-Gerät, das Verkehr scannt, sucht einfach nach diesen Werten. AmneziaWG 2.0 ersetzt jeden festen Wert durch eine Zufallszahl aus einem angegebenen Bereich. Der Initiierungsheader (H1) kann ein beliebiger Wert zwischen 234567 und 345678 sein. Der Antwortheader (H2) kann zwischen 3456789 und 4567890 liegen. Diese Bereiche überlappen sich nie — das Protokoll muss Pakettypen intern immer noch unterscheiden können — aber für einen externen Beobachter gibt es keinen einzelnen Headerwert, an dem er sich festhalten kann. Jedes Paket sieht anders aus als das vorherige.

Zufälliges Padding (S1–S4)

Das Initiierungspaket von WireGuard ist immer genau 148 Bytes groß. Seine Antwort ist immer genau 92 Bytes groß. Diese festen Größen sind ein weiterer Fingerabdruck. AmneziaWG fügt jedem Pakettyp zufälliges Padding hinzu: Initiierung wird zu 148+S1 Bytes, Antwort wird zu 92+S2 Bytes, Antwort mit Cookie wird zu 64+S3 Bytes, und jedes Datenpaket erhält S4 Bytes Padding. S3 und S4 sind neu in Version 2.0 — und S4 ist die bedeutendste Ergänzung, da sie jedes einzelne Datenpaket betrifft und die Verkehrsanalyse auf Sitzungsebene erheblich erschwert.

Es gibt eine kritische Einschränkung: S1+56 darf nicht gleich S2 sein. Da der ursprüngliche Größenunterschied zwischen Initiierung und Antwort 56 Bytes beträgt (148−92), werden zwei aufgepolsterte Pakete die gleiche Größe haben, wenn die Padding-Werte diesen Unterschied zufällig exakt ausgleichen — und damit den Fingerabdruck neu schaffen, den AmneziaWG zu eliminieren versucht. Der Parametergenerator des Installers stellt diese Einschränkung automatisch sicher.

Benutzerdefinierte Protokollsignatur (I1–I5)

Bevor der eigentliche Handshake beginnt, sendet der AmneziaWG-Client bis zu fünf Ersatzpakete, die andere Protokolle nachahmen — QUIC, DNS, SIP oder benutzerdefinierte Byte-Muster. Der Server ignoriert diese Pakete vollständig. Er wartet einfach auf den echten Handshake.

• Einfache Konfiguration: Sendet 128 zufällige Bytes <r 128>.
• Komplexe Konfiguration: Sendet Bytes, die wie die Initiierung einer QUIC-Verbindung aussehen (<b 0xc000000001><r 64><t>), mit einem Unix-Zeitstempel.

Für ein DPI-System, das den Sitzungsstart beobachtet, sehen die ersten Pakete wie normaler Webverkehr aus.

Junk-Pakete (Jc, Jmin, Jmax)

Nach den Ersatzpaketen sendet der Client eine anpassbare Anzahl von Junk-Paketen — reines Rauschen mit zufälligen Größen zwischen Jmin und Jmax. Diese Pakete verwischen das Zeit- und Größenprofil des Sitzungsstarts und machen es für DPI-Systeme schwieriger, zu identifizieren, wo der echte Handshake beginnt.

Geschwindigkeitsfrage

Es gibt eine Zahl, die im Internet kursiert: AmneziaWG hat 65% Overhead. Diese Zahl ist real, bezieht sich aber auf die User-Space-Go-Implementierung — nicht auf das Kernel-Modul. Der Community-Installer, der in diesem Leitfaden verwendet wird, erstellt ein DKMS-Kernel-Modul, und das Kernel-Modul fügt insgesamt weniger als 12% Overhead hinzu — in echten Tests näher an 3%. In einem unkensorierten Netzwerk würden Sie etwa 95 Mbps durch WireGuard und 92 Mbps durch AmneziaWG 2.0 sehen. In einem zensierten Netzwerk ist der Vergleich 92 Mbps versus null.

Die folgende Tabelle fasst die Parameter zusammen, die der Installer automatisch generiert:

Parameter	Generierter Bereich	Beispielwert
Jc (Anzahl der Junk-Pakete)	4–8	6
Jmin (min. Junk-Größe)	40–89	55
Jmax (max. Junk-Größe)	Jmin+100 bis Jmin+500	380
S1 (Initiierungs-Padding)	15–150	72
S2 (Antwort-Padding)	15–150, S1+56≠S2	56
S3 (Cookie-Padding)	8–55	32
S4 (Daten-Padding)	4–27	16
H1 (Initiierungsheader-Bereich)	uint32 ohne Überlappung	234567-345678
H2 (Antwortheader-Bereich)	uint32 ohne Überlappung	3456789-4567890
H3 (Cookie-Header-Bereich)	uint32 ohne Überlappung	56789012-67890123
H4 (Datenheader-Bereich)	uint32 ohne Überlappung	456789012-567890123
I1 (CPS-Paket)	<r N> Format	<r 128>

Sie müssen diese Parameter nicht manuell festlegen. Der Installer generiert jedes Mal kryptographisch zufällige Werte, die die Einschränkungen erfüllen.

Nachdem Sie nun wissen, wie Verschleierung funktioniert, schauen wir uns an, wie AmneziaWG mit Alternativen verglichen wird, die Sie möglicherweise in Betracht ziehen.

---

AmneziaWG vs Alternativen — Schnellentscheidungsleitfaden

Wenn Sie VPN-Protokolle für eine zensierte Umgebung evaluieren, sind Sie wahrscheinlich auf mehrere Optionen gestoßen. So vergleichen sie sich bei Schlüsselparametern:

	WireGuard	AmneziaWG 2.0	OpenVPN+obfs4	Shadowsocks	VLESS+Reality
DPI-Resistenz	Niedrig	Hoch	Mittel	Mittel	Sehr hoch
Geschwindigkeitsoverhead	~4 %	<12 % (~3 % unter realen Bedingungen)	~25 %	~8 %	~10 %
Vollständiger VPN-Tunnel	Ja	Ja	Ja	Nein (Proxy)	Nein (Proxy)
Läuft im Kernel	Ja	Ja (DKMS)	Nein	Nein	Nein
Setup-Komplexität	Niedrig	Niedrig (mit Installer)	Hoch	Mittel	Hoch
Transport	UDP	UDP	TCP/UDP	TCP	TCP

Die Entscheidungsregeln sind einfach:

• Keine DPI in Ihrem Land? Verwenden Sie reguläres WireGuard. Es ist einfacher und hat ein breiteres Ökosystem.
• Benötigen Sie maximalen DPI-Schutz und stören sich nicht an Proxies? VLESS+Reality ist die stärkste Option für Verschleierung, aber es ist kein vollständiger Tunnel.
• Möchten Sie sowohl Geschwindigkeit als auch einen vollständigen Tunnel mit Verschleierung? AmneziaWG 2.0 ist die einzige Option, die WireGuard-ähnliche Leistung mit echtem DPI-Schutz in einem vollständigen VPN-Tunnel bietet.
• Verwenden Sie bereits OpenVPN+obfs4 und funktioniert es immer noch? Kein dringender Grund zum Wechsel, aber AmneziaWG wird deutlich schneller sein.

Dieser Artikel konzentriert sich auf AmneziaWG, da es das einzige Protokoll ist, das Ihnen einen vollständigen Tunnel, Kernel-Level-Leistung und integrierte Verschleierung bietet — alles mit einem einzigen Skript eingerichtet.

Wenn Amn

Was Sie vor dem Start benötigen

Stellen Sie vor der Ausführung des Installers sicher, dass Ihre Umgebung diese Anforderungen erfüllt:

Anforderung	Details	Grund
Betriebssystem	Ubuntu 24.04 LTS (saubere Installation). Ubuntu 25.10 ist experimentell. Debian 12/13 funktioniert, erfordert aber möglicherweise curl vorinstalliert.	Der Installer ist auf Ubuntu 24.04 getestet und vollständig unterstützt.
VPS-Spezifikationen	1 vCore, 1 GB RAM, 25 GB Speicher. Jeder Plan für 3–5 USD/Monat ist geeignet.	Der Installer benötigt ~2 GB Festplattenspeicher und ~1 GB RAM während des DKMS-Builds. Das funktionierende VPN verbraucht minimale Ressourcen.
Virtualisierung	KVM (nicht OpenVZ, nicht LXC).	AmneziaWG lädt das Kernel-Modul über DKMS. LXC verwendet einen gemeinsamen Host-Kernel und kann keine benutzerdefinierten Module laden.
SSH-Zugriff	Root oder Sudo-Benutzer mit Passwort-/Schlüsselauthentifizierung.	Der Installer muss als Root ausgeführt werden.
SSH-Port	Standard-Port 22 oder in UFW vorab geöffnet, wenn Sie einen nicht standardmäßigen Port verwenden.	Wenn SSH nicht auf Port 22 läuft und Sie ihn nicht im Voraus geöffnet haben, blockiert die Firewall-Konfiguration des Installers Sie sofort.
Client-Anwendung	Amnezia VPN >= 4.8.12.7 (alle Plattformen).	Die AWG 2.0-Optionen werden von älteren Clients nicht erkannt. Der Standard-WireGuard-Client unterstützt AWG überhaupt nicht.

⚠️ Warnung: LXC-Container werden nicht unterstützt. Wenn Ihr VPS LXC-Virtualisierung verwendet, schlägt der DKMS-Kernel-Modul-Build fehl. Sie müssen KVM oder Bare-Metal verwenden. Fragen Sie Ihren Provider, wenn Sie sich unsicher sind.

⚠️ Warnung: Wenn Ihr SSH auf einem nicht standardmäßigen Port läuft (alles andere als 22), müssen Sie ihn vor der Ausführung des Installers in UFW öffnen:
sudo ufw allow YOUR_PORT/tcp
Ersetzen Sie YOUR_PORT durch Ihren tatsächlichen SSH-Port. Der Installer enthält UFW mit einer Standardrichtlinie — wenn Ihr SSH-Port nicht zulässig ist, werden Sie sofort blockiert.

💡 Tipp: Warten Sie 5–10 Minuten nach der Erstellung Ihres VPS, bevor Sie den Installer ausführen. Cloud-init und Hintergrund-Initialisierungsprozesse können mit den apt-get-Aufrufen des Installers in Konflikt geraten.

Mit Ihrem VPS bereit und Voraussetzungen bestätigt, deployen wir AmneziaWG 2.0 mit dem Community-Installer-Skript — die schnellste und transparenteste Methode.

---

Methode 1 — Bereitstellung mit dem CLI-Installer (Empfohlen)

Dies ist die primäre Installationsmethode. Sie laden ein versionsfixiertes Installerskript herunter, führen es als root aus, durchlaufen acht automatisierte Schritte (mit zwei erwarteten Neustarts) und erhalten am Ende einen vollständig konfigurierten AmneziaWG 2.0-Server. Der Installer übernimmt alles: Paketinstallation, Kernel-Modul-Kompilierung, Firewall-Konfiguration, Parametergenerierung und Service-Start.

6.1 — Verbindung zu Ihrem VPS über SSH

Öffnen Sie Ihr Terminal und verbinden Sie sich mit Ihrem Server:

ssh root@<SERVER_IP>

Ersetzen Sie <SERVER_IP> durch die tatsächliche öffentliche IP-Adresse Ihres VPS. Wenn Ihr Provider Ihnen einen Nicht-Root-Benutzer gegeben hat, melden Sie sich mit diesem Benutzer an und eskalieren Sie dann:

ssh <username>@<SERVER_IP>
sudo -i

Sie sollten das Ubuntu 24.04-Willkommensbanner gefolgt von einer Root-Eingabeaufforderung sehen:

Welcome to Ubuntu 24.04 LTS (GNU/Linux 6.8.0-xx-generic x86_64)
...
root@vps:~#

6.2 — Installer herunterladen und ausführen

Laden Sie das Installerskript herunter, machen Sie es ausführbar und führen Sie es aus:

wget https://raw.githubusercontent.com/bivlked/amneziawg-installer/v5.8.1/install_amneziawg_en.sh

chmod +x install_amneziawg_en.sh

sudo bash ./install_amneziawg_en.sh

Die URL ist auf v5.8.1 versionsfixiert — die neueste Version ab April 2026. Dies ist Supply-Chain-Sicherheit: Sie stellt sicher, dass das heruntergeladene Skript mit der getesteten Version übereinstimmt, auch wenn das Repository seitdem aktualisiert wurde.

Der Installer beginnt mit einer Systemprüfung:

============================================
AmneziaWG 2.0 Installer v5.8.1
============================================
Checking system requirements...
OS: Ubuntu 24.04 LTS — OK
Virtualization: KVM — OK
RAM: 1024 MB — OK
Disk: 25 GB free — OK

Wenn eine Prüfung fehlschlägt, stoppt der Installer und teilt Ihnen mit, warum. Beheben Sie das Problem und führen Sie den Befehl erneut aus.

6.3 — Installer-Eingabeaufforderungen durchlaufen

Der Installer ist eine Zustandsmaschine mit acht Schritten und Wiederaufnahmefunktion nach Neustart. Er speichert seinen Fortschritt in /root/awg/awgsetup_cfg.init, sodass bei einem Neustart des Servers einfach derselbe Befehl erneut ausgeführt wird und er dort weitermacht, wo er aufgehört hat.

Schritt 0: Initialisierung — Der Installer prüft Ihr Betriebssystem, den Virtualisierungstyp, den RAM und den Speicherplatz. Er erstellt das Arbeitsverzeichnis /root/awg/ und richtet eine Lock-Datei ein, um parallele Ausführungen zu verhindern.

Schritt 1: Systemaktualisierung & Paketinstallation — Der Installer führt apt-get update && apt-get upgrade -y aus. Dann installiert er AmneziaWG, DKMS, Linux-Header, UFW, Fail2Ban, QR-Code-Generierungstools und andere Abhängigkeiten.

📝 Hinweis: Der Installer entfernt auch mehrere Hintergrunddienste, die Ressourcen auf minimalen VPS-Instanzen verbrauchen: snapd, modemmanager, networkd-dispatcher, unattended-upgrades, packagekit, lxd-agent-loader und udisks2. Dies ist beabsichtigt und sicher für minimale VPN-Knoten, kann aber allgemeine Umgebungen beschädigen.

Wenn Schritt 1 abgeschlossen ist, fordert der Installer einen Neustart an:

Reboot required. Reboot now? [y/n]:

Geben Sie y ein und drücken Sie die Eingabetaste. Nachdem der Server wieder hochgefahren ist, melden Sie sich erneut per SSH an und führen Sie denselben Befehl aus:

sudo bash ./install_amneziawg_en.sh

Das Skript liest seinen gespeicherten Zustand und fährt mit Schritt 2 fort, ohne Eingabeaufforderungen erneut zu stellen.

Schritt 2: DKMS-Kernel-Modul-Build — Der Installer kompiliert das AmneziaWG-Kernel-Modul gegen Ihren aktuellen Kernel und registriert es bei DKMS für automatisches Rebuild bei zukünftigen Kernel-Updates:

Step 2: Building AmneziaWG kernel module via DKMS...
Creating symlink /var/lib/dkms/amneziawg/2.0/source -> /usr/src/amneziawg-2.0
DKMS: add completed.
Kernel preparation completed.
Building module:
make -C /lib/modules/6.8.0-xx-generic/build M=/var/lib/dkms/amneziawg/2.0/build modules
DKMS: build completed.
DKMS: install completed.

Ein zweiter Neustart wird angefordert. Geben Sie y ein und drücken Sie die Eingabetaste.

📝 Hinweis: Zwei Neustarts während der Installation sind normal und erwartet. Der erste lädt neue Kernel-Header, der zweite aktiviert das neu erstellte Kernel-Modul. Das Skript speichert den Zustand zwischen Neustarts — nichts geht verloren.

Nach dem zweiten Neustart melden Sie sich erneut per SSH an und führen Sie den Installer noch einmal aus:

sudo bash ./install_amneziawg_en.sh

Schritt 3: Modulverifizierung nach Neustart — Das Skript überprüft, ob das Kernel-Modul geladen ist (lsmod | grep amneziawg). Wenn der DKMS-Build aus irgendeinem Grund fehlgeschlagen ist, wird auf die Userspace-Go-Implementierung mit einer Warnung über den höheren Overhead zurückgegriffen.

Schritt 4: Firewall-Setup — UFW wird mit einer Standard-Deny-Eingangsrichtlinie aktiviert. Der Installer fügt eine SSH-Rate-Limiting-Regel auf Port 22 hinzu, öffnet Ihren VPN-Port für UDP-Verkehr und konfiguriert Routing-Regeln für die awg0-Schnittstelle.

Schritt 5: Management-Skripte herunterladen — Die Client-Management-Skripte (manage_amneziawg.sh und awg_common.sh) werden mit Nur-Eigentümer-Berechtigungen (700) in /root/awg/ heruntergeladen. Diese sind auch auf v5.8.1 versionsfixiert.

Schritt 6: Interaktive Konfiguration — Der Installer stellt nun vier Fragen:

• UDP-Port (Standard: 39743, Bereich 1024–65535). Der Standard ist ein zufälliger hoher Port — behalten Sie ihn bei, es sei denn, Ihr ISP blockiert bekanntermaßen hohe UDP-Ports.
• Tunnel-Subnetz (Standard: 10.9.9.1/24). Dies ist Ihr internes VPN-Netzwerk. Der Server erhält .1, Clients erhalten .2 bis .254 und unterstützen bis zu 253 Clients.
• IPv6 deaktivieren (Standard: Y). Empfohlen — das Deaktivieren von IPv6 verhindert, dass Verkehr auf IPv6-Routen außerhalb des Tunnels leckt.
• Routing-ModusWählen Sie 1 für den gesamten Verkehr, 2 für Amnezia List + DNS (empfohlen) oder 3 für benutzerdefinierte Netzwerke. Modus 2 leitet nur blockierte öffentliche IP-Bereiche und DNS durch das VPN, hält Ihren lokalen Netzwerkzugriff schnell und direkt.

💡 Tipp: Die MTU ist standardmäßig auf 1280 eingestellt. Dies ist die minimale IPv6-MTU und ist für mobile und Mobilfunknetze kritisch. iOS ist streng bei der Path MTU Discovery, und Mobilfunknetze haben oft eine effektive MTU unter WireGuards Standard von 1420. Lassen Sie dies bei 1280.

Schritt 7: Service-Start — Der Installer generiert die Serverkonfiguration unter /etc/amnezia/amneziawg/awg0.conf, erstellt zwei Standard-Client-Konfigurationen (my_phone und my_laptop) unter /root/awg/, generiert QR-Codes und startet den awg-quick@awg0 systemd-Service.

Schritt 8: Abschluss — Sie sehen die Erfolgsmeldung:

Der Installer generiert alle AmneziaWG 2.0-Verschleierungsparameter automatisch. Sie müssen sie nicht anfassen. Jeder Server erhält einen eindeutigen Satz von Werten — es gibt keinen universellen Fingerabdruck, den DPI-Systeme erkennen können.

6.4 — Verwaltung von Clients nach der Installation

Das Management-Skript unter /root/awg/manage_amneziawg.sh verwaltet alle Client-Lebenszyklusvorgänge. Hier sind die wesentlichen Befehle:

Neuen Client hinzufügen:

sudo bash /root/awg/manage_amneziawg.sh add my_desktop

Dies generiert eine .conf-Datei, einen QR-Code und eine .vpnuri-Datei für den neuen Client. Die Serverkonfiguration wird sofort neu geladen — kein Service-Neustart erforderlich.

Temporären Auto-Ablauf-Client hinzufügen:

sudo bash /root/awg/manage_amneziawg.sh add guest --expires=7d

Ein Cron-Job prüft alle fünf Minuten und entfernt den Client automatisch, wenn er abläuft. Die Konfiguration, Schlüssel und der Servereintrag werden alle bereinigt.

Alle Clients auflisten:

sudo bash /root/awg/manage_amneziawg.sh list

Clients:
  my_phone     (10.9.9.2/32)
  my_laptop    (10.9.9.3/32)
  my_desktop   (10.9.9.4/32)
  guest        (10.9.9.5/32) [expires in 6d 23h]

Fügen Sie das Flag -v hinzu, um zusätzliche Details einschließlich öffentlicher Schlüssel und Erstellungsdaten zu erhalten.

Client entfernen:

sudo bash /root/awg/manage_amneziawg.sh remove guest

Vollständigen Serverstatus prüfen:

sudo bash /root/awg/manage_amneziawg.sh check

Dies zeigt den Service-Status, den offenen Port, alle AWG 2.0-Parameter, den Kernel-Modul-Status, den UFW-Status und den Fail2Ban-Status in einer Ansicht.

Verkehrsstatistiken pro Client anzeigen:

sudo bash /root/awg/manage_amneziawg.sh stats

Client          Received        Sent            Latest handshake
───────────────────────────────────────────────────────────────────
my_phone        1.24 GiB        356.7 MiB       2 minutes ago
my_laptop       892.3 MiB       128.4 MiB       15 seconds ago
my_desktop      0 B             0 B             (none)

Sicherung erstellen:

sudo bash /root/awg/manage_amneziawg.sh backup

Dies erstellt ein komprimiertes Archiv unter /root/awg/backups/ mit Ihrer Serverkonfiguration, Client-Konfigurationen, Schlüsseln und Ablaufdaten.

📝 Hinweis: Die Befehle add und remove verwenden awg syncconf für sofortige Neuladen. Die Serverkonfiguration wird sofort aktualisiert, ohne den Service neu zu starten. Verwenden Sie restart nur, wenn Sie serverseitige Parameter wie den Port oder die MTU ändern.

6.5 — Überprüfen Sie, ob der Server läuft

Führen Sie diese Prüfungen durch, um zu bestätigen, dass alles funktioniert:

Überprüfen Sie den systemd-Service:

sudo systemctl status awg-quick@awg0

● awg-quick@awg0.service - AmneziaWG Quick via awg-quick(8) for awg0
     Loaded: loaded (/lib/systemd/system/awg-quick@.service; enabled)
     Active: active (exited) since Thu 2026-04-09 14:32:01 UTC

Überprüfen Sie AmneziaWG-Status und -Parameter:

sudo awg show awg0

Überprüfen Sie die Firewall:

sudo ufw status verbose

Status: active
Default: deny (incoming), allow (outgoing)
22/tcp                     LIMIT IN    Anywhere
39743/udp                  ALLOW IN    Anywhere

Überprüfen Sie Fail2Ban:

sudo fail2ban-client status sshd

Status for the jail: sshd
|- Filter
|  |- Currently failed: 0
|  `- Total failed: 0
`- Actions
   |- Currently banned: 0
   `- Banned IP list:

Überprüfen Sie das DKMS-Kernel-Modul:

dkms status

amneziawg/1.0.0, 6.8.0-110-generic, x86_64: installed

Wenn alle fünf Prüfungen bestanden werden, läuft Ihr AmneziaWG 2.0-Server und ist bereit, Verbindungen anzunehmen.

Ihr Server läuft und ist überprüft. Wenn Sie einen GUI-gesteuerten Ansatz bevorzugen, anstatt das Terminal zu verwenden, finden Sie hier die alternative Methode mit der AmneziaVPN-App.

---

Methode 2 — Bereitstellung mit der AmneziaVPN-App (Alternative)

Die AmneziaVPN-Desktopanwendung kann AmneziaWG automatisch über SSH auf Ihrem Server installieren. Sie verwendet das gleiche zugrunde liegende Installationsskript wie die CLI-Methode, verpackt aber alles in einer geführten Benutzeroberfläche. Dies ist ideal, wenn Sie eine Installation ohne manuelle Eingriffe wünschen.

1. Laden Sie AmneziaVPN von amnezia.org/en/downloads herunter. Die App ist für Windows, macOS, Linux, Android und iOS verfügbar.
2. Öffnen Sie die App und klicken Sie auf das ➕ (Plus-Symbol) oder Erste Schritte.
3. Wählen Sie „Self-hosted VPN“ aus den angezeigten Optionen.
4. Geben Sie Ihre Server-Anmeldedaten ein:
   • Server-IP-Adresse (und Port, falls SSH nicht auf Port 22 läuft, z. B. 203.0.113.10:2221)
   • SSH-Benutzername (z. B. root)
   • Passwort oder SSH-Privatschlüssel
5. Wählen Sie den Installationstyp:
   • Automatisch — installiert nur AmneziaWG (empfohlen)
   • Manuell — wählen Sie ein bestimmtes Protokoll aus der Liste
6. Klicken Sie auf „Installieren“ — die App verbindet sich über SSH mit Ihrem Server und führt die Installation automatisch aus. Sie sehen einen Fortschrittsindikator.
7. Nach der Installation erstellt die App ein einsatzbereites VPN-Verbindungsprofil.

Hinweise nach der Installation:

• Die App installiert AmneziaWG standardmäßig mit einem zufälligen Port. Einige ISPs blockieren UDP auf hohen Ports. Die App empfiehlt, zu einem Port unter 9999 zu wechseln (z. B. 585 oder 1234). So ändern Sie den Port: Klicken Sie auf das Zahnradsymbol neben der Verbindung → Registerkarte „Verwaltung“ → ändern Sie die Portnummer.
• Falls auf Ihrem Server bereits Amnezia-Software installiert ist, klicken Sie während der Verbindungserstellung auf „Setup überspringen“ und verwenden Sie dann „Server auf zuvor installierte Amnezia-Dienste prüfen“ in der Registerkarte „Verwaltung“.

So vergleichen sich die beiden Methoden:

Aspekt	CLI-Installationsprogramm	AmneziaVPN-App
Kontrolle	Vollständig — Sie sehen jeden Schritt und können anpassen	Begrenzt — App verwaltet alles
Transparenz	Transparent — alle Befehle sichtbar	Undurchsichtig — läuft im Hintergrund
Flexibilität	Benutzerdefiniertes Routing, Endpunkt, Flags	Verwendet nur Standardwerte
Benutzerfreundlichkeit	Erfordert SSH-Kenntnisse	Keine Terminalarbeit erforderlich
Verwaltung	Vollständige manage_amneziawg.sh-Suite	Nur App-basierte Verwaltung
Am besten geeignet für	Nicht verwaltete VPS, Fehlerbehebung	Schnelle Einrichtung, geführte Erfahrung

Unabhängig davon, ob Sie die CLI oder die App verwendet haben, ist Ihr Server einsatzbereit. Jetzt verbinden wir Ihr erstes Gerät.

---

Verbindung mit Ihrem ersten Client herstellen

Nach der Installation haben Sie drei Möglichkeiten, die Client-Konfiguration in die Amnezia VPN-App zu importieren. Wählen Sie die Methode, die zu Ihrem Gerät passt.

Methode A: QR-Code (Mobil)

Das Installationsprogramm hat einen QR-Code unter /root/awg/my_phone.png generiert. Laden Sie ihn auf Ihren Computer herunter:

scp root@<SERVER_IP>:/root/awg/my_phone.png .

Öffnen Sie die PNG-Datei auf Ihrem Bildschirm. Öffnen Sie auf Ihrem Telefon die Amnezia VPN-App, tippen Sie auf „VPN hinzufügen“ → „QR-Code scannen“, und richten Sie Ihre Kamera auf den QR-Code auf Ihrem Bildschirm. Die Verbindung wird automatisch importiert.

Methode B: vpn:// URI (Amnezia Client)

Zeigen Sie die komprimierte URI auf Ihrem Server an:

cat /root/awg/my_phone.vpnuri

Kopieren Sie die gesamte vpn://…-Zeichenkette und senden Sie sie an sich selbst – per Telegram, E-Mail oder einer Notiz-App. Öffnen Sie auf Ihrem Telefon die Amnezia VPN-App, tippen Sie auf „VPN hinzufügen“ → „Aus Zwischenablage einfügen“. Die Konfiguration wird in einem Schritt importiert.

Die URI ist eine zlib-komprimierte, Base64-codierte Version der vollständigen Konfigurationsdatei. Sie ist kompakt und für schnelle Freigabe ausgelegt.

Methode C: .conf-Datei (Desktop/Windows)

Laden Sie die Konfigurationsdatei herunter:

scp root@<SERVER_IP>:/root/awg/my_phone.conf .

Öffnen Sie den AmneziaWG für Windows-Client oder die AmneziaVPN Desktop-App, klicken Sie auf „Tunnel(s) aus Datei importieren“, und wählen Sie die .conf-Datei aus.

Verbindung überprüfen

Nach der Verbindung überprüfen Sie, dass der Tunnel Ihren Datenverkehr durch den Server leitet:

curl ifconfig.me

Die Ausgabe sollte die öffentliche IP-Adresse Ihres Servers anzeigen, nicht Ihre lokale: 203.0.113.1

Für weitere Details, einschließlich des geografischen Standorts des Servers:

curl -s https://ipinfo.io/json

{
  "ip": "203.0.113.1",
  "city": "Amsterdam",
  "region": "North Holland",
  "country": "NL",
  ...
}

⚠️ Warnung: Der Standard-WireGuard-Client funktioniert nicht mit AmneziaWG 2.0-Konfigurationen. Sie müssen die Amnezia VPN-App (Version 4.8.12.7 oder später) oder einen nativen AmneziaWG-Client (Version 2.0.0 oder später auf Windows/Android/iOS) verwenden.

⚠️ Warnung: Wenn Sie unter Windows „Invalid key: s3″ sehen, ist Ihr AmneziaWG Windows-Client veraltet (Version unter 2.0.0). Aktualisieren Sie auf Version 2.0.0+ oder wechseln Sie zur Amnezia VPN-App.

💡 Tipp: Wenn Sie verbunden sind, aber kein Internet haben, überprüfen Sie, dass Ihre Client-Konfiguration MTU = 1280 im Abschnitt [Interface] hat. Dies ist die häufigste Ursache für „

Was kommt als Nächstes — Ihr Setup erweitern

Sie haben jetzt einen DPI-resistenten VPN-Tunnel auf Ihrem eigenen Server, unter Ihrer Kontrolle, mit WireGuard-ähnlicher Geschwindigkeit. Das stille Paketsterben, das Ihre WireGuard-Verbindung unterbrochen hat, ist kein Problem mehr — Ihr Traffic sieht aus wie etwas, das ein DPI-System zuverlässig nicht identifizieren kann.

Hier sind die nützlichsten Dinge, die Sie als Nächstes tun können:

1. Clients für Ihre Familie oder Ihr Team hinzufügen — verwenden Sie das Verwaltungsskript, um Konfigurationen für jedes Gerät zu generieren, das Zugriff benötigt.
2. Split Tunneling konfigurieren, wenn Sie kein vollständiges Tunnel-Routing benötigen — es hält lokalen Traffic schnell und reduziert die Bandbreite auf Ihrem VPS.
3. Sichern Sie Ihre Konfigurationen — führen Sie den Backup-Befehl aus und speichern Sie das Archiv an einem sicheren Ort. Falls Ihr Server jemals neu aufgebaut werden muss, ist dies das, was Sie davor bewahrt, von vorne anzufangen.

Konfigurieren Sie Split Tunneling, wenn Sie nicht den gesamten Traffic durch das VPN leiten müssen. Dies ist besonders nützlich in Ländern mit teilweiser Zensur — leiten Sie nur blockierte Websites durch den Tunnel und halten Sie lokalen Traffic direkt:

sudo bash /root/awg/manage_amneziawg.sh modify my_phone AllowedIPs "192.168.1.0/24,10.0.0.0/8"

Ändern Sie Ihren Client-DNS, wenn Sie andere Resolver bevorzugen:

sudo bash /root/awg/manage_amneziawg.sh modify my_phone DNS "8.8.8.8,1.0.0.1"

Passen Sie PersistentKeepalive ansudo bash /root/awg/manage_amneziawg.sh modify my_phone PersistentKeepalive 25

Installieren Sie auf Ihrem RouterAWG Manager und auf ASUS-Routern mit Asuswrt-Merlin über AmneziaWG für Merlin unterstützt.

Sichern Sie Ihre Konfiguration jetzt, bevor sich etwas ändert:

sudo bash /root/awg/manage_amneziawg.sh backup

Falls Sie jemals zu einem neuen Server migrieren müssen, führen Sie eine Neuinstallation durch und dann:

sudo bash /root/awg/manage_amneziawg.sh restore
sudo bash /root/awg/manage_amneziawg.sh regen

Der restore-Befehl stellt Ihre Konfigurationen und Schlüssel wieder her, und regen aktualisiert die Client-Konfigurationen mit der neuen Server-IP.

Für tiefere Dokumentation finden Sie die offiziellen Amnezia-Dokumente unter docs.amnezia.org und die Community ist aktiv auf Telegram.

Fazit

Nach Durchlaufen des vollständigen Setups fällt bei AmneziaWG 2.0 auf, dass es nicht nur funktioniert – sondern warum es zuverlässig dort funktioniert, wo andere scheitern. Durch die Beibehaltung des bewährten kryptografischen Kerns von WireGuard und die grundlegende Veränderung des Aussehens des Datenverkehrs im Netzwerk umgeht es genau die Schwachstellen, die Deep Packet Inspection ausnutzt. Das Ergebnis ist ein Setup, das sich in der Praxis genauso schnell und einfach anfühlt wie WireGuard, aber in feindseligen Umgebungen deutlich widerstandsfähiger ist. Nach der Bereitstellung wird der Nutzen offensichtlich: Sie betreiben nicht einfach nur ein VPN – Sie betreiben eines, das dafür konzipiert ist, echte Blockierungen zu überstehen.

Wenn Sie nach einem zuverlässigen VPS suchen, um Ihren AmneziaWG-Server zu hosten – oder wenn Sie mit zusätzlichen Endpunkten für Teamkollegen hochfahren müssen – bietet AvaHost KVM-Virtualisierung mit vollständigem Root-Zugriff, NVMe-Speicher und Ubuntu 24.04-Unterstützung, die dieses Setup erfordert. Ihre Infrastruktur ist speziell für die Art von selbstgehosteten Bereitstellungen konzipiert, die dieser Leitfaden behandelt.