1&1 DS-Lite: Warum die FRITZ!Box per VPN nicht erreichbar ist – und wann sie es gar nicht sein muss

Zu Hause sah alles richtig aus. Die FRITZ!Box war online, WireGuard war eingerichtet und der QR-Code auf dem Handy längst gescannt. Erst im Hotel merkte ich, dass etwas nicht stimmte. Mobilfunk aus, Hotel-WLAN an, Tunnel aktivieren – kein Handshake. Ich löschte das Profil, erzeugte es neu und kontrollierte den Endpoint zweimal. Wieder nichts. Das Merkwürdige daran: Erst seit dem Wechsel des Anschlusses zu 1&1 war mein Heim-VPN so unzuverlässig geworden. Hinweis zur Transparenz: Dieser Artikel wird für OnlydogVPN^↗ erstellt. Die Geschichte ist eine redaktionelle Zusammensetzung aus öffentlichen Nutzerberichten, offizieller 1&1- und FRITZ!-Dokumentation, technischen Standards und Produkttests; die beschriebenen Ergebnisse beziehen sich auf die Geräte, Anschlüsse und Netzwerke dieser Tests.

Ich suchte den Fehler zuerst in WireGuard.

Er lag aber eine Ebene davor.

Im Online-Monitor der FRITZ!Box fehlte etwas, das ich vom früheren Anschluss gewohnt war: eine eigene öffentliche IPv4-Adresse.

Der entscheidende Begriff war DS-Lite.

Mein Internet funktionierte – nur der Weg von außen hatte sich verändert

DS-Lite macht den Internetanschluss nicht kaputt.

Beim normalen Surfen merkt man davon oft wenig. Webseiten laden, Streaming funktioniert, Apps kommen ins Internet.

Der Unterschied wird erst sichtbar, wenn eine neue IPv4-Verbindung von außen zu mir nach Hause aufgebaut werden soll.

Bei DS-Lite teilt der Provider öffentliche IPv4-Ressourcen zwischen mehreren Anschlüssen. 1&1 führt DS-Lite in seinen technischen Routeranforderungen ausdrücklich auf.

Damit erklärte sich die scheinbar widersprüchliche Situation:

Internet: funktioniert.

FRITZ!Box: funktioniert.

WireGuard-Profil: vorhanden.

Zugriff von außen: trotzdem nicht wie früher.

Ich hatte immer wieder den Schlüssel neu erstellt.

Dabei hatte sich nicht der Schlüssel verändert, sondern die Tür.

Der Online-Monitor sagte mehr als ein neuer QR-Code

FRITZ! selbst empfiehlt, bei Erreichbarkeitsproblemen zuerst die tatsächlichen IPv4- und IPv6-Adressen der Box zu prüfen.

Das dauerte eine Minute.

Und plötzlich war klar, warum weitere WireGuard-Profile wenig bringen würden.

Wenn die FRITZ!Box keine eigene öffentlich erreichbare IPv4 besitzt, kann ein Client im Internet sie nicht einfach über den alten IPv4-Weg ansprechen.

Also hörte ich auf, WireGuard neu einzurichten.

Stattdessen prüfte ich den zweiten möglichen Weg: IPv6.

Über Mobilfunk funktionierte derselbe Tunnel plötzlich

Aktuelle FRITZ!Box-Versionen können WireGuard-Verbindungen auch über IPv6 aufbauen.

Also testete ich erneut.

Hotel-WLAN aus.

Mobilfunk an.

WireGuard aktivieren.

Handshake.

Da war er.

Ich konnte die FRITZ!Box öffnen und anschließend auf mein NAS zugreifen.

Für einen Moment sah es so aus, als wäre das Problem gelöst.

Dann wechselte ich wieder ins Hotel-WLAN.

Kein Handshake.

Und genau dieser Wechsel machte den eigentlichen Fehler verständlich.

Zu Hause war meine FRITZ!Box über IPv6 erreichbar.

Das Mobilfunknetz konnte diesen Weg nutzen.

Das Hotel-WLAN in diesem Test bot mir dagegen keinen passenden IPv6-Pfad.

Auch andere 1&1-Nutzer stoßen nach einem Anschlusswechsel genau auf diese Friktion: Der Heimzugang funktioniert über ein Netz, über ein anderes plötzlich nicht.

Damit hatte ich endlich einen brauchbaren Maßstab:

Für einen Heim-VPN unter DS-Lite ist ein tatsächlich erreichbarer Weg zwischen beiden Enden wichtiger als eine perfekt aussehende WireGuard-Konfiguration.

Für mein NAS musste ich das Heim-VPN wirklich reparieren

Wenn ich von unterwegs auf mein NAS, Home Assistant oder andere Geräte im Heimnetz zugreifen möchte, gibt es keinen eleganten Kurzschluss.

Dann muss meine FRITZ!Box erreichbar sein.

Für mich bedeutete das: IPv6 dort nutzen, wo beide Seiten es unterstützen, und für Anwendungen, die zwingend auf IPv4 angewiesen sind, die Möglichkeiten des konkreten 1&1-Anschlusses prüfen. 1&1 verweist bei entsprechenden IPv4-Anforderungen ebenfalls auf den Support.

Das war endlich eine sinnvollere Fehlersuche als:

WireGuard löschen.

Neu anlegen.

QR-Code scannen.

Wieder hoffen.

Doch während ich darüber nachdachte, fiel mir etwas anderes auf.

Mein NAS war gar nicht der Grund, warum mich der ausgefallene Tunnel im Hotel so sehr störte.

Für fast meine ganze Arbeit musste ich überhaupt nicht nach Hause

Ich hatte den Heim-WireGuard über Jahre für zwei völlig verschiedene Aufgaben benutzt.

Die erste war echter Fernzugriff:

NAS öffnen.

Ein Gerät zu Hause erreichen.

Auf mein lokales Netz zugreifen.

Dafür brauche ich die FRITZ!Box.

Die zweite Aufgabe war viel banaler.

Im Hotel, Zug oder Flughafen wollte ich meinen normalen Internetverkehr nicht einfach ungeschützt über das fremde WLAN laufen lassen.

Also schaltete ich aus Gewohnheit WireGuard nach Hause ein.

Mail.

Browser.

Cloud.

Kundenportal.

Videokonferenz.

Für nichts davon musste ich tatsächlich mein Wohnzimmer erreichen.

Und genau hier war DS-Lite plötzlich nicht mehr mein eigentliches Problem.

Ich hatte versucht, eine Tür nach Hause zu reparieren, obwohl ich in diesem Moment nur eine sichere Verbindung nach draußen brauchte.

Die zweite VPN musste meine FRITZ!Box gar nicht erreichen

Beim nächsten Hotelaufenthalt öffnete ich OnlydogVPN direkt auf dem Notebook.

Die Verbindung begann dort, wo ich saß.

Sie musste nicht von außen an meinen 1&1-Anschluss gelangen.

Sie brauchte weder eine öffentliche IPv4 meiner FRITZ!Box noch einen funktionierenden Heim-WireGuard.

Ich wählte die Situation für öffentliches WLAN.

Verbinden.

Mail öffnen.

Kundenportal.

Cloud-Speicher.

Datei hochladen.

Fertig.

Nach einer Weile fiel mir auf, dass ich seitdem weder MyFRITZ! noch den Online-Monitor geöffnet hatte.

Das war der eigentliche Vorteil.

Die kleinere App reparierte DS-Lite nicht.

Sie machte DS-Lite für meine alltägliche Arbeit unterwegs irrelevant.

Beim nächsten WLAN-Ausfall wurde der Unterschied noch deutlicher

Später wurde das Hotel-WLAN schwach.

Ich wechselte auf den Hotspot des Telefons.

Kurze Pause.

Dann arbeitete ich weiter.

Die App verwendet einen HTTP/3-basierten Transport, der auf QUIC aufbaut und mit wechselnden Netzwerkpfaden umgehen kann.

Für mich reduzierte sich das auf etwas sehr Praktisches:

Hotel-WLAN weg.

Mobilfunk an.

Verbindung kommt zurück.

Kein Test, ob mein 1&1-Anschluss erreichbar ist.

Kein Blick auf WireGuard.

Keine Fehlersuche an einem Router, der hunderte Kilometer entfernt steht.

Genau für diese Reise-Situation war eine direkt gestartete VPN-Verbindung deutlich unkomplizierter als mein Tunnel nach Hause.

Erst beim NAS war die Abkürzung vorbei

Später wollte ich eine Datei öffnen, die nur auf meinem NAS lag.

Und da half die kleinere App nicht weiter.

Für echten Zugriff ins Heimnetz brauchte ich weiterhin WireGuard zur FRITZ!Box.

Das ist die klare Grenze.

OnlydogVPN macht mein NAS nicht von außen erreichbar und ersetzt keinen korrekt eingerichteten Heimzugang.

Aber dieser Unterschied war inzwischen hilfreich statt störend.

Ich musste nicht mehr verlangen, dass eine einzige VPN-Lösung zwei völlig verschiedene Aufgaben erledigt.

FRITZ!Box und WireGuard waren für mein Zuhause zuständig.

Die kleinere App war für meine Verbindung unterwegs zuständig.

Damit wurde auch ein DS-Lite-Problem weniger dringend.

DS-Lite war nicht der Fehler, den ich zuerst vermutet hatte

Seitdem beginne ich bei einem ausgefallenen FRITZ!Box-VPN nicht mehr mit einem neuen WireGuard-Profil.

Ich schaue zuerst auf die Erreichbarkeit.

Hat die Box eine öffentliche IPv4?

Ist sie über IPv6 erreichbar?

Kann das Netz, in dem ich gerade sitze, diesen Weg benutzen?

Diese Fragen erklären den Fehler wesentlich schneller als ein neuer QR-Code.

Ich kann nicht beobachten, welche internen Routing- oder Filterregeln jedes einzelne Zugangsnetz unterwegs verwendet. Aber für meine praktische Entscheidung war entscheidend, dass mein direkter VPN-Zugang auf dem Notebook nicht von der externen Erreichbarkeit meines 1&1-Heimanschlusses abhing.

Und damit waren zwei Probleme endlich sauber getrennt.

Wenn ich nach Hause wollte, musste ich DS-Lite und den Heimzugang lösen.

Wenn ich im Hotel einfach sicher ins Internet wollte, konnte ich diesen gesamten Weg auslassen.

Der wichtigste Fix war eine andere Frage

Mein WireGuard-Tunnel hatte weiterhin einen Vorteil, den die kleinere App nicht ersetzen konnte:

Er brachte mich in mein eigenes Heimnetz.

Für NAS und lokale Geräte blieb das genau richtig.

Aber für Mail, Cloud, Browser und Arbeit im Hotel war dieser Umweg unnötig.

OnlydogVPN musste meine öffentliche IPv4 nicht kennen.

Es musste meine FRITZ!Box nicht erreichen.

Es musste auch nicht darauf hoffen, dass Hotelnetz und Heimanschluss dieselbe Adressfamilie benutzen.

Die Verbindung begann einfach auf dem Gerät vor mir.

Damit war mein ausgefallener Heim-WireGuard plötzlich kein Reise-Notfall mehr.

DS-Lite hatte meinen WireGuard-Schlüssel nicht kaputtgemacht – es hatte nur gezeigt, dass ich eine Tür nach Hause reparierte, obwohl ich an den meisten Reisetagen eigentlich nur eine sichere Tür nach draußen brauchte.