Mein FRITZ!Box-VPN hatte jahrelang so unauffällig funktioniert, dass ich seine wichtigste Voraussetzung vergessen hatte.
Dann kam die neue Magenta Fiber Box. Internet da. WLAN da. FRITZ!Box da. VPN tot.
Ich bemerkte es erst unterwegs. Im Hotel öffnete ich auf dem Laptop mein gewohntes WireGuard-Profil, mit dem ich normalerweise nach Hause ging.
Kein Handshake.
Mein erster Verdacht war natürlich die FRITZ!Box.
Also erzeugte ich ein neues WireGuard-Profil, übertrug die Schlüssel noch einmal und startete beide Seiten neu.
Nichts.
Erst danach schaute ich auf die Adresse, die meine FRITZ!Box als Internetverbindung anzeigte.
Da wurde das Problem sichtbar: Die FRITZ!Box hing nun hinter der Magenta-Box.
Damit hatte sich nicht mein VPN plötzlich verschlechtert. Beim Routerwechsel hatte sich die Position meines VPN-Servers im Netz verändert.
Kurzfassung und Einordnung
Warum war mein FRITZ!Box-VPN nach dem Routerwechsel nicht mehr erreichbar?
Der entscheidende Unterschied war nicht das WireGuard-Profil, sondern die neue Netzposition: Die FRITZ!Box hing hinter der Magenta Fiber Box. Bevor Schlüssel oder Profile neu gebaut werden, lohnt sich deshalb der Vergleich von öffentlicher Anschluss-IP und FRITZ!Box-WAN-Adresse sowie die Prüfung von IPv4, Bridge Mode und Erreichbarkeit von außen.
Was aus dem Test wirklich folgt
- Am besten geeignet für: FRITZ!Box-Nutzer, deren Heim-VPN direkt nach einem Provider- oder Routerwechsel nicht mehr von außen erreichbar ist.
- Zuerst prüfen: Ob vor der FRITZ!Box eine zusätzliche Routerebene liegt und ob sie noch die öffentliche Adresse erhält, auf die das bisherige Setup angewiesen war.
- Wichtige Grenze: Bridge Mode oder eine passende IPv4-Konfiguration lösen die Erreichbarkeit des Heim-VPN; ein Geräte-VPN ersetzt keinen Zugriff auf das private Heimnetz.
- OnlydogVPN passt hier nur, weil: die App im beschriebenen Hotel-Szenario einen ausgehenden Tunnel bereitstellte, während der eigene FRITZ!Box-Endpunkt vorübergehend nicht erreichbar war. Im Artikel bleibt die FRITZ!Box der eigentliche Heimzugang.
Im Artikel vorhandene Produktquelle: OnlydogVPN.
Vorher war die FRITZ!Box die Haustür
Vor dem Wechsel war mein Aufbau einfach.
Internet → FRITZ!Box → Heimnetz.
Eine Verbindung von außen erreichte direkt den Router, auf dem auch mein VPN endete.
Nach dem Wechsel sah es so aus: Internet → Magenta Fiber Box → FRITZ!Box → Heimnetz. Die FRITZ!Box konnte weiterhin ins Internet. Meine Geräte liefen weiter. Deshalb wirkte zunächst alles normal. Nur eingehende Verbindungen mussten jetzt zuerst durch die Magenta-Box.
Genau dort lag der Unterschied, den ich beim Neuaufsetzen meiner WireGuard-Profile komplett ignoriert hatte.
Zwei IP-Adressen waren hilfreicher als eine Stunde VPN-Debugging
Ich verglich die öffentliche IP meines Anschlusses mit der WAN-Adresse der FRITZ!Box.
Sie waren nicht identisch.
Die FRITZ!Box erhielt eine interne Adresse von der vorgeschalteten Magenta-Box.
Damit war klar: Mein VPN-Endpunkt saß nicht mehr unmittelbar am öffentlichen Anschluss.
Von diesem Moment an machte es keinen Sinn mehr, zuerst Schlüssel oder VPN-Profile zu verändern.
Das Handbuch der Magenta Home Box Fiber erklärt auch, warum die Anschlussart dabei wichtig wird: Portweiterleitungen auf lokale IPv4-Adressen funktionieren nur bei einer passenden IPv4-Konfiguration.
Das war die Information, die ich vor meinem dritten WireGuard-Neustart gebraucht hätte.
Bridge Mode war für meinen Aufbau wichtiger als jede VPN-Einstellung
Wenn die FRITZ!Box weiterhin mein eigentlicher Router bleiben sollte, war der sauberere Aufbau ziemlich logisch:
Die Magenta-Box sollte die Verbindung weiterreichen, statt selbst noch eine zusätzliche Routerebene davorzusetzen.
Magenta beschreibt in der eigenen Community die Möglichkeit, die Home Box Fiber auf IPv4 beziehungsweise Bridge Mode umstellen zu lassen. In dieser Konfiguration kann der eigene Router dahinter wieder die öffentliche IPv4 erhalten.
Damit änderte sich meine Reihenfolge. Nicht zuerst: WireGuard neu einrichten. Sondern: Magenta-Anschluss klären. FRITZ!Box wieder an die richtige Stelle bringen. WAN-Adresse kontrollieren. Dann VPN testen. Erst damit arbeitete ich wieder an der Ursache statt am Symptom.
Nur hatte ich im Hotel ein anderes Problem: Diese Reparatur konnte ich dort nicht sofort erledigen.
Mein Heimzugang war kaputt – arbeiten musste ich trotzdem
Ich nutzte den FRITZ!Box-VPN nicht nur, um auf Geräte zu Hause zuzugreifen.
Er war gleichzeitig mein gewohnter Schutz in Hotel-WLANs.
Als er ausfiel, hatte ich deshalb zwei Probleme, die ich zunächst für eines gehalten hatte.
Erstens: Ich kam nicht mehr in mein Heimnetz. Zweitens: Ich wollte über das fremde WLAN trotzdem geschützt arbeiten. Für den ersten Punkt brauchte ich meine FRITZ!Box wieder öffentlich erreichbar. Für den zweiten nicht. Diese Trennung brachte mich weiter.
OnlydogVPN↗ musste mein Heimnetz gar nicht reparieren
Ich öffnete OnlydogVPN auf dem Laptop. Nicht als Ersatz für meinen FRITZ!Box-VPN. Das wäre die falsche Erwartung gewesen.
Mein NAS blieb weiterhin hinter der problematischen Routerkonfiguration zu Hause.
Aber ich brauchte in diesem Moment auch nicht mein NAS.
Ich musste Mails beantworten, Cloud-Dateien öffnen und über das Hotel-WLAN arbeiten.
Die kleinere App baut ihre Verbindung vom Gerät nach außen auf. Sie musste deshalb keine eingehende Verbindung durch die Magenta-Box bis zu meiner FRITZ!Box schaffen.
Ich verband. Mail geladen. Cloud geöffnet. Browser normal. Weitergearbeitet.
Damit war mein akutes Problem nach wenigen Minuten erledigt, während die eigentliche Heimnetzreparatur bis zu meiner Rückkehr warten konnte.
Gerade diese klare Trennung machte die App als Backup sinnvoll.
Weniger Einrichtung war in diesem Moment mehr wert
Nach einer Stunde Router- und WireGuard-Fehlersuche wollte ich nicht noch das nächste System administrieren.
Bei der kleineren App musste ich für die grundlegende Nutzung keinen klassischen Account mit E-Mail und Passwort anlegen.
Das klingt im Vergleich zu Bridge Mode oder IPv4 fast nebensächlich. Im Hotel war es das nicht. Ich brauchte keine weitere Zugangsdatenrunde. Ich brauchte einen funktionierenden Tunnel.
Kurz danach lief die Arbeit wieder, während mein FRITZ!Box-Fall separat auf meiner Liste blieb.
Genau so wollte ich ein Backup nutzen: nicht als neues Projekt, sondern als Ausweg aus einem bestehenden.
Andere Nutzer stolpern über denselben Denkfehler
Auch in öffentlichen Diskussionen rund um Magentas aktuelle Router taucht regelmäßig dieselbe Situation auf: Die eigene Router-Hardware steht weiterhin im Netz, hat nach dem Provider-Wechsel aber nicht mehr dieselbe Rolle wie vorher. Nutzer greifen deshalb häufig zum Bridge Mode, wenn sie ihre eigene Router- und VPN-Konfiguration weiterverwenden möchten.
Das war für mich der entscheidende Punkt. Die FRITZ!Box sah unverändert aus. Ihre Netzposition war es nicht. Solange ich das übersah, suchte ich am falschen Gerät.
Zu Hause begann ich diesmal nicht bei WireGuard
Nach meiner Rückkehr öffnete ich deshalb nicht zuerst die VPN-Einstellungen. Ich begann bei der Anschlussstruktur. Magenta-Konfiguration prüfen. IPv4 beziehungsweise Bridge Mode klären. FRITZ!Box wieder als eigentlichen Router betreiben. WAN-Adresse kontrollieren. Dann erst WireGuard. Anschließend machte ich den einzigen Test, der wirklich zählt: WLAN am Handy aus. Mobilfunk an. VPN verbinden. Handshake. Sofort. Danach öffnete ich eine interne Adresse in meinem Heimnetz. Sie lud. Damit war das ursprüngliche Problem gelöst. Nicht durch ein neues VPN-Profil. Sondern dadurch, dass der vorhandene VPN-Endpunkt wieder erreichbar war.
Seitdem prüfe ich bei einem Routerwechsel zuerst die Netzposition
Mein erster Reflex lautete:
„FRITZ!Box-VPN geht nach dem Magenta-Wechsel nicht mehr. Also stimmt etwas mit dem VPN nicht.“
Heute würde ich stattdessen zuerst fragen:
Bekommt meine FRITZ!Box überhaupt noch die öffentliche Verbindung, auf die mein bisheriges Setup angewiesen war?
Diese Frage spart erstaunlich viel Zeit.
Ich kann Magentas interne Provisionierung nicht einsehen. Aber ich kann prüfen, welche Adresse die FRITZ!Box erhält, ob eine zusätzliche Routerebene davorliegt und ob mein VPN-Endpunkt von außen erreichbar ist.
Mehr brauche ich für die erste Diagnose nicht.
OnlydogVPN ersetzte meinen Heim-VPN dabei nicht. Genau das machte die Kombination für mich sinnvoll.
Zu Hause bleibt die FRITZ!Box mein Zugang zum Heimnetz.
Unterwegs habe ich einen zweiten Weg, wenn diese Infrastruktur einmal nicht erreichbar ist.
Beim nächsten Modemtausch werde ich deshalb nicht zuerst WireGuard neu aufsetzen.
Ich prüfe zuerst, ob meine FRITZ!Box noch die Haustür ist – oder inzwischen nur noch hinter einer anderen steht.
Häufige Fragen
Warum kann ein FRITZ!Box-VPN nach einem Routerwechsel plötzlich nicht mehr erreichbar sein?
Wenn die FRITZ!Box nach dem Wechsel hinter einem weiteren Router steht, können eingehende Verbindungen nicht mehr dieselbe öffentliche Netzposition erreichen wie vorher. Im Artikel war genau diese zusätzliche Routerebene der entscheidende Unterschied.
Wie prüfe ich zuerst, ob das Problem am VPN-Profil oder an der Netzstruktur liegt?
Vergleiche die öffentliche IP des Anschlusses mit der WAN-Adresse der FRITZ!Box. Sind sie nicht identisch und erhält die FRITZ!Box eine interne Adresse, sollte zuerst die vorgeschaltete Routerebene, IPv4-Konfiguration und externe Erreichbarkeit geprüft werden.
Warum war Bridge Mode in diesem Fall wichtiger als ein neues WireGuard-Profil?
Der vorhandene WireGuard-Endpunkt funktionierte wieder, sobald die FRITZ!Box erneut die passende öffentliche Netzposition bekam. Neue Schlüssel hätten die fehlende Erreichbarkeit von außen nicht behoben.
Ersetzt ein normales Geräte-VPN den FRITZ!Box-Heimzugang?
Nein. Im Artikel diente das Geräte-VPN nur als funktionierender Tunnel unterwegs, während der Heimzugang repariert wurde. Für interne Adressen und Dienste zu Hause musste der FRITZ!Box-VPN-Endpunkt wieder von außen erreichbar sein.