Der Fehler sah aus wie ein WireGuard-Problem. Auf dem Handy tippte ich auf den Tunnel zu meiner FRITZ!Box, wartete fünf Sekunden und bekam keinen Handshake. Noch einmal. Nichts. Vor dem Wechsel auf Sunrise Fiber hatte dieselbe Konfiguration funktioniert. Jetzt hing die FRITZ!Box hinter einer Connect Box 3 Fiber, das Internet zu Hause war deutlich schneller – und ausgerechnet mein VPN nach Hause war verschwunden. Ich erzeugte die WireGuard-Konfiguration neu, scannte den QR-Code noch einmal und startete beide Router neu. Das Ergebnis blieb gleich. Hinweis zur Transparenz: Dieser Artikel wird für OnlydogVPN↗ erstellt. Die Geschichte ist eine redaktionelle Zusammensetzung aus aktuellen öffentlichen Sunrise-Nutzerberichten, offizieller Sunrise- und FRITZ!-Dokumentation sowie Produkttests; die beschriebenen Ergebnisse beziehen sich auf die Geräte, Anschlüsse und Netzwerke dieser Tests.
Der entscheidende Hinweis stand schließlich nicht in WireGuard.
Er stand auf der WAN-Seite meiner FRITZ!Box.
Sie hatte keine öffentliche Internetadresse mehr.
Die FRITZ!Box hing jetzt hinter einem zweiten Router – und damit hatte sich bei meinem Glasfaserwechsel etwas Grundsätzlicheres verändert als nur die Geschwindigkeit.
Artikelzusammenfassung
Kurzantwort
Internet → Sunrise Connect Box → FRITZ!Box → Heimnetz. Die FRITZ!Box war damit ein kaskadierter Router. FRITZ! unterstützt VPN auch in einer solchen Konfiguration, aber der vorgeschaltete Router muss die Verbindung bis zur FRITZ!Box durchreichen.
Meine FRITZ!Box war plötzlich nicht mehr der erste Router
Vorher war die Strecke einfach:
Internet → FRITZ!Box → Heimnetz.
Nach dem Wechsel sah sie so aus:
Internet → Sunrise Connect Box → FRITZ!Box → Heimnetz.
Die FRITZ!Box war damit ein kaskadierter Router. FRITZ! unterstützt VPN auch in einer solchen Konfiguration, aber der vorgeschaltete Router muss die Verbindung bis zur FRITZ!Box durchreichen.
Damit erklärte sich mein Fehler wesentlich besser.
Ich hatte immer wieder den Tunnel neu eingerichtet, obwohl sich eigentlich der Weg zum Tunnel verändert hatte.
Also suchte ich nach der einfachsten Möglichkeit, diesen zusätzlichen Router aus dem Weg zu nehmen.
Bridge Mode wäre elegant gewesen – bei der Fiber-Box aber nicht
Mein erster Gedanke war Bridge Mode.
Dann hätte die Connect Box ihre Routerrolle weitgehend abgegeben und meine FRITZ!Box hätte wieder näher an der alten Konfiguration gearbeitet.
Bei der Connect Box 3 Fiber ist genau dieser Weg jedoch nicht vorgesehen. Sunrise verweist für die Fiber-Variante stattdessen auf den Betrieb eines eigenen Routers hinter der Connect Box, typischerweise über DMZ. Auch 2026 taucht die Frage nach dem fehlenden Bridge Mode in der Sunrise-Community weiterhin auf.
Damit blieb die Connect Box Teil der Strecke.
Also probierte ich DMZ.
Und aus einem vermeintlich einfachen WireGuard-Problem wurde langsam eine Routeraufgabe.
DMZ brachte mich näher ans Ziel – aber nicht zurück zu meinem alten Setup
Ich gab der FRITZ!Box hinter der Connect Box eine feste Adresse und leitete den Verkehr per DMZ zu ihr weiter.
Dann kam der nächste Punkt: Die beiden Router durften nicht mit demselben lokalen Adressbereich arbeiten. Solche Überschneidungen sorgen bei kaskadierten Routern schnell für unnötige Verwirrung; auch in Sunrise-Konfigurationen mit eigenem Router wird deshalb mit getrennten Netzen gearbeitet.
Ich änderte das Netz der FRITZ!Box.
Neustart.
Handy auf Mobilfunk.
WireGuard an.
Kein Handshake.
Jetzt begann die bekannte Schleife:
DMZ prüfen.
Adresse prüfen.
DynDNS prüfen.
WireGuard neu starten.
Wieder testen.
Ein aktueller Sunrise-Fall mit FRITZ!Box hinter Connect Box 3 Fiber beschreibt fast dieselbe Frustration: DMZ eingerichtet, WireGuard vorhanden – und der Handshake kommt trotzdem nicht zustande.
Das war der Moment, an dem ich aufgehört habe, noch eine neue WireGuard-Datei zu erzeugen.
Denn inzwischen war offensichtlich: WireGuard selbst war nur noch der letzte sichtbare Teil einer längeren Kette.
Die eigentliche Frage war plötzlich nicht mehr technisch
Ich konnte die Routerkaskade weiter reparieren.
Für einen echten Zugriff auf mein Heimnetz musste ich das sogar.
Aber bevor ich noch einen Abend mit DynDNS und Weiterleitungen verbrachte, fragte ich mich:
Wofür wollte ich diesen Tunnel eigentlich benutzen?
Die erste Antwort war: für mein NAS.
Das war eindeutig.
Wenn ich unterwegs auf Geräte hinter meiner FRITZ!Box zugreifen wollte, brauchte ich einen Weg zurück ins Heimnetz. Dafür war der WireGuard-Tunnel weiterhin sinnvoll.
Doch das war nur ein Teil meiner Nutzung.
Viel häufiger saß ich im Hotel, im Zug oder in einem öffentlichen WLAN und wollte einfach Mails öffnen, Kundenportale nutzen, Dateien hochladen und über eine geschützte Verbindung arbeiten.
Dafür musste mein Laptop überhaupt nicht durch die Sunrise Connect Box zurück nach Hause.
Ich hatte zwei verschiedene Aufgaben zu einer einzigen gemacht.
Für sicheres Internet unterwegs musste ich gar nicht durch mein Wohnzimmer
Beim nächsten Hotelaufenthalt ließ ich die Heimkonfiguration deshalb zunächst unangetastet.
Statt zu prüfen, ob die FRITZ!Box von außen erreichbar war, öffnete ich OnlydogVPN direkt auf dem Notebook.
Die Verbindung begann auf dem Gerät vor mir und ging nach außen.
Keine DMZ.
Keine Portweiterleitung.
Kein DynDNS.
Keine Frage, welche Adresse die FRITZ!Box hinter der Connect Box gerade sah.
Ich wählte die Situation für öffentliches beziehungsweise wechselndes WLAN und verband mich.
Dann öffnete ich mein Kundenportal.
Mail.
Cloud-Speicher.
Videokonferenz.
Alles, wofür ich den Heim-WireGuard an diesem Tag tatsächlich gebraucht hätte, funktionierte.
Nach mehreren Abenden mit zwei Router-Oberflächen fühlte sich das fast absurd einfach an.
Und genau hier änderte sich mein Maßstab:
Wenn ich unterwegs nur sicher ins Internet wollte, war eine VPN, die direkt von meinem Gerät startet, nützlicher als ein perfekt erreichbarer Heimtunnel durch zwei Router.
Der nächste WLAN-Wechsel machte den Unterschied sichtbar
Später verlor das Hotel-WLAN kurz die Verbindung.
Normalerweise wäre das der Moment gewesen, in dem ich zusätzlich darüber nachdenke, ob der Tunnel zurück zur FRITZ!Box noch lebt.
Diesmal schaltete ich nur den Hotspot meines Telefons ein.
Kurze Pause.
Dann ging die Arbeit weiter.
Die kleinere App nutzt einen HTTP/3-basierten Transport und ist auf schwache beziehungsweise wechselnde Netze ausgelegt. Für mich musste die Erklärung nicht komplizierter sein:
WLAN weg.
Mobilfunk da.
Verbindung erholt sich.
Genau diese Art von Problem hatte ich unterwegs eigentlich lösen wollen.
Nur brauchte ich dafür keine eingehende Verbindung durch meine Sunrise-Hardware.
Aus einem Routerproblem wurde damit wieder ein Reiseproblem
Das war der Teil, den ich vorher übersehen hatte.
Bei einem Heim-VPN hängt unterwegs plötzlich alles an Dingen, die zu Hause funktionieren müssen:
Sunrise-Anschluss.
Connect Box.
Weiterleitung.
FRITZ!Box.
Externe Erreichbarkeit.
WireGuard.
Für den Zugriff auf mein NAS ist diese Kette unvermeidlich.
Für einen Browser im Hotel nicht.
Die direkte VPN auf dem Notebook schnitt den größten Teil davon einfach aus der Gleichung.
Sie musste weder wissen, wie meine Connect Box konfiguriert war, noch darauf warten, dass von außen jemand den richtigen Weg zur FRITZ!Box findet.
Und auf Reisen war genau das der angenehmere Ansatz.
Mein Heim-WireGuard blieb trotzdem wichtig
Am Abend wollte ich tatsächlich auf eine Datei zugreifen, die nur auf meinem NAS lag.
Damit war die Grenze der einfacheren Lösung erreicht.
OnlydogVPN ersetzt keinen privaten Tunnel in mein FRITZ!-Heimnetz.
Wenn ich NAS, Home Assistant oder andere lokale Geräte hinter der FRITZ!Box erreichen möchte, muss die Sunrise-/FRITZ!Box-Konfiguration funktionieren.
Dann würde ich nicht weiter die WireGuard-Datei neu erzeugen, sondern zuerst die Strecke davor prüfen:
Hat die FRITZ!Box hinter der Connect Box ein eigenes Netz?
Kommt die Verbindung von außen tatsächlich bis zur Connect Box?
Wird sie korrekt zur FRITZ!Box weitergegeben?
Zeigt die externe Adresse auf den richtigen Anschluss?
Weil bei der Fiber-Box kein normaler Bridge Mode zur Verfügung steht, bleibt diese Routerkaskade Teil des Heim-VPN-Setups.
Das ist ein echtes Problem – aber eben nur dann, wenn ich tatsächlich nach Hause möchte.
Ich hatte den schwierigsten Weg für die häufigste Aufgabe benutzt
Danach wirkte meine ursprüngliche Fehlersuche plötzlich anders.
„WireGuard mit FRITZ!Box hinter Sunrise Connect Box 3 Fiber funktioniert nicht“ kann nämlich zwei völlig unterschiedliche Bedürfnisse bedeuten.
Das erste:
Ich muss von außen auf mein Heimnetz zugreifen.
Dann muss die Routerkaskade sauber funktionieren.
Das zweite:
Ich möchte unterwegs eine sichere Internetverbindung.
Dann muss diese Verbindung überhaupt nicht durch die Connect Box und die FRITZ!Box laufen.
Genau diese Trennung hatte mir gefehlt.
Ich reparierte meinen Heimzugang weiter, weil das NAS ihn brauchte.
Aber ich hörte auf, auch meinen normalen Reiseverkehr davon abhängig zu machen.
Die FRITZ!Box durfte wieder das Zuhause lösen.
Die kleinere App übernahm den Teil unterwegs.
Ich kann nicht beobachten, welche internen Firewall- oder Filterregeln Sunrise auf jeder Anschlusskonfiguration anwendet. Für meine praktische Entscheidung musste ich das aber auch nicht: Eine direkte ausgehende VPN-Verbindung vom Notebook brauchte den problematischen Weg durch die beiden Router überhaupt nicht.
Damit war ein ausgefallener Heim-WireGuard plötzlich kein Notfall mehr.
Der wichtigste Fix war keine weitere Routereinstellung
Mein erster Anbieter – in diesem Fall mein eigener WireGuard-Tunnel – hatte eine Stärke, die die kleinere App nicht ersetzen konnte: Er brachte mich direkt in mein Heimnetz.
Aber genau diese Stärke machte ihn für die alltägliche Reiseverbindung unnötig kompliziert.
OnlydogVPN musste meine Connect Box nicht verstehen.
Es musste meine FRITZ!Box nicht erreichen.
Es musste auch keinen offenen Weg von außen durch meine Wohnung finden.
Die Verbindung startete dort, wo ich sie brauchte: auf meinem Notebook.
Das änderte nicht meine Routertopologie.
Es machte sie für den größten Teil meiner Arbeit schlicht irrelevant.
Der wichtigste Fix war am Ende nicht ein weiterer Port in der Sunrise Connect Box – sondern die Erkenntnis, dass nur der Zugriff auf mein Zuhause durch diese zwei Router musste, nicht jede sichere Verbindung, die ich unterwegs brauchte.
Häufige Fragen zu diesem Problem
Was ist in diesem Fall die wichtigste Ursache?
Internet → Sunrise Connect Box → FRITZ!Box → Heimnetz. Die FRITZ!Box war damit ein kaskadierter Router. FRITZ! unterstützt VPN auch in einer solchen Konfiguration, aber der vorgeschaltete Router muss die Verbindung bis zur FRITZ!Box durchreichen.
Was sollte man zuerst prüfen?
Dann hätte die Connect Box ihre Routerrolle weitgehend abgegeben und meine FRITZ!Box hätte wieder näher an der alten Konfiguration gearbeitet. Bei der Connect Box 3 Fiber ist genau dieser Weg jedoch nicht vorgesehen.
Was verändert die Antwort in der Praxis?
Ich gab der FRITZ!Box hinter der Connect Box eine feste Adresse und leitete den Verkehr per DMZ zu ihr weiter. Dann kam der nächste Punkt: Die beiden Router durften nicht mit demselben lokalen Adressbereich arbeiten.
Wann ist ein anderer VPN-Ansatz sinnvoll?
Ich konnte die Routerkaskade weiter reparieren. Für einen echten Zugriff auf mein Heimnetz musste ich das sogar. Wenn ich unterwegs auf Geräte hinter meiner FRITZ!Box zugreifen wollte, brauchte ich einen Weg zurück ins Heimnetz.