WireGuard über O2 Home 5G: Die wichtigste Einstellung war am Ende, nicht jeden VPN wie einen Festnetz-Tunnel zu behandeln

O2 verkauft den HomeSpot ausdrücklich als Internetzugang über LTE beziehungsweise 5G für Zuhause; 2026 kam mit dem HomeSpot 5G Basic noch ein weiteres Modell hinzu.

Für Streaming und normales Arbeiten war meine Verbindung schnell genug.

Nur mein VPN verhielt sich nicht wie am alten Festnetz.

Und genau deshalb führte mich die erste naheliegende Einstellung nur einen Teil des Weges.

Als Erstes setzte ich `PersistentKeepalive = 25`

Das ist einer dieser WireGuard-Tipps, die man bei NAT-Problemen fast zwangsläufig findet.

WireGuard beschreibt `PersistentKeepalive` selbst für Peers hinter NAT oder einer Stateful Firewall. Ein kleines Paket in regelmässigen Abständen hält die Zuordnung offen; 25 Sekunden gelten dafür als üblicher Wert.

Also setzte ich:

`PersistentKeepalive = 25`

Tunnel neu starten.

Cloud-Datei erneut hochladen.

Diesmal lief die Verbindung länger.

Dann kam wieder dieser merkwürdige Zustand:

VPN scheinbar verbunden.

Internet praktisch tot.

Neu verbinden.

Sofort wieder da.

Damit war Keepalive nicht nutzlos. Es löste nur nicht mein eigentliches Problem.

Eine NAT-Zuordnung offen zu halten ist etwas anderes, als einen VPN nach einer kurzen Veränderung der Mobilfunkverbindung wieder sauber weiterlaufen zu lassen.

Also suchte ich weiter.

Dann landete ich bei `netpublic` – und fast bei der falschen Baustelle

Wer nach WireGuard und O2 Home 5G sucht, landet schnell bei der öffentlichen IPv4-Adresse.

O2 kann für geeignete Anschlüsse eine öffentliche IPv4 freischalten. In einem aktuellen O2-Supportfall für WireGuard wurde dafür nach der Aktivierung ausdrücklich der APN `netpublic` genannt.

Zunächst dachte ich:

Das ist es.

Öffentliche IP besorgen.

APN ändern.

Problem gelöst.

Dann fiel mir auf, dass der Nutzer in diesem Fall etwas anderes wollte als ich.

Er wollte von draussen in sein Heimnetz hinein.

Dafür muss der heimische WireGuard-Endpunkt aus dem Internet erreichbar sein. Auch AVM nennt eine öffentlich erreichbare IPv4- oder IPv6-Adresse als Voraussetzung für entsprechende WireGuard-Verbindungen zur FRITZ!Box.

Mein Laptop wollte aber nicht von draussen nach Hause.

Er wollte von meinem O2-Anschluss hinaus zu einem kommerziellen VPN.

Das machte `netpublic` für meinen Fall plötzlich viel weniger wichtig.

Mein Problem war nicht die fehlende öffentliche IPv4

Der Laptop begann den VPN-Tunnel selbst.

Niemand musste meinen HomeSpot von aussen erreichen.

Also liess ich Portfreigaben und öffentliche IPv4 erst einmal in Ruhe und beobachtete stattdessen, wann die Verbindung hängen blieb.

Das Muster war ziemlich eindeutig.

Nicht sofort nach dem Verbinden.

Nicht bei einem besonders grossen Download.

Sondern häufig nach einem kurzen Wackler im Mobilfunknetz.

Ein paar Sekunden schlechter Empfang.

Eine kurze Unterbrechung.

Normales Internet kam zurück.

Der WireGuard-Tunnel sah noch aktiv aus, transportierte aber nichts mehr, bis ich ihn neu verband.

Auch andere WireGuard-Nutzer beschreiben diese praktische Reibung nach einem Wechsel zwischen WLAN und Mobilfunk: Verbindung sichtbar aktiv, Datenfluss erst nach einem Reconnect wieder normal.

Damit änderte sich die Frage.

Ich suchte nicht länger nach der einen perfekten WireGuard-Zahl.

Ich wollte einen VPN, der mit einer Verbindung zurechtkommt, die sich unter ihm gelegentlich verändert.

Ein 5G-Router sieht statischer aus, als seine Verbindung ist

Der HomeSpot steht auf dem Schreibtisch wie ein normaler Router.

Das verleitet dazu, die Verbindung dahinter wie DSL oder Glasfaser zu behandeln.

Nur kommt sein WAN aus dem Mobilfunknetz.

Und dort können kurze Unterbrechungen und Verbindungswechsel schlicht Teil des Alltags sein. Auch in der O2-Community finden sich 2026 HomeSpot-Nutzer, die genau solche Phasen mit Abbrüchen oder vorübergehend unbrauchbarer Verbindung beschreiben.

Für mich war das der entscheidende Perspektivwechsel.

Bis dahin hatte ich gefragt:

Welche WireGuard-Einstellung ist falsch?

Jetzt fragte ich:

Wie schnell kommt meine geschützte Verbindung zurück, wenn O2 Home 5G kurz stolpert?

Diese Frage passte viel besser zu dem Problem, das tatsächlich vor mir lag.

Die Router-Schleife machte die Sache nur komplizierter

Zwischendurch probierte ich noch eine Konfiguration, die bei solchen Suchen ständig auftaucht:

HomeSpot vorne.

FRITZ!Box dahinter.

WireGuard auf der FRITZ!Box.

Und schon beginnt man über öffentliche IPv4, `netpublic`, private Adressen, Portweiterleitung und Double NAT nachzudenken.

Ein aktueller O2-Fall zeigt genau diese Konstellation: Der HomeSpot hatte die Mobilfunkverbindung, dahinter hing eine FRITZ!Box mit privater Adresse, und plötzlich mussten mehrere Netzwerkschichten für den eingehenden VPN-Zugriff zusammenpassen.

Da stoppte ich.

Denn wieder versuchte ich gerade, ein Problem zu lösen, das ich gar nicht hatte.

Ich wollte keinen Server zu Hause erreichbar machen.

Ich wollte auf meinem Laptop arbeiten.

Cloud-Dokument öffnen.

Upload fertigstellen.

Videocall starten.

Und wenn 5G kurz wackelt, nicht jedes Mal meinen VPN manuell wiederbeleben.

Damit war es Zeit, nicht noch einen WireGuard-Parameter zu testen, sondern den Ansatz zu wechseln.

Die kleinere App musste nur eine Sache beweisen

Ich öffnete OnlydogVPN^{offizielle Website}.

Nicht weil ich plötzlich einen anderen Standort brauchte.

Deutschland war völlig in Ordnung.

Auch der Durchsatz meines O2-Anschlusses war vorher kein Problem gewesen.

Interessant war der Ansatz für schwache und wechselnde Netze.

Ich verband die App und startete denselben Cloud-Upload noch einmal.

25 Prozent.

41.
42.

Diesmal lief er weiter.

Dann provozierte ich genau den Moment, der mit meinem bisherigen Tunnel lästig gewesen war: Die Mobilfunkverbindung verlor kurz ihren brauchbaren Pfad und kam zurück.

Der Upload pausierte.

Dann bewegte sich der Balken wieder.

74 Prozent.

91.

Fertig.

Ich musste den VPN nicht ausschalten.

Nicht neu verbinden.

Nicht den nächsten Parameter googeln.

Damit war das ursprüngliche Problem erledigt.

Und erst danach interessierte mich, warum.

Die technische Erklärung passte in einen Absatz

Die kleinere App verwendet einen HTTP/3-basierten Transport. HTTP/3 läuft über QUIC, dessen Design Netzwerkpfadwechsel unterstützt. Die Produktdokumentation richtet diesen Ansatz ausdrücklich auf schwache und wechselnde Verbindungen aus.

Für meinen Alltag war die Übersetzung einfacher:

5G wackelt.

Verbindung pausiert kurz.

VPN erholt sich.

Upload läuft weiter.

Mehr Protokolltheorie brauchte ich nicht.

Das Ergebnis war bereits sichtbar.

Und genau deshalb begann die kleinere App für meinen O2-Anschluss interessanter zu werden als eine immer längere WireGuard-Konfiguration.

Damit wurde aus „Welche Einstellung hilft?“ endlich eine brauchbare Frage

Ich würde WireGuard über O2 Home 5G heute in zwei völlig verschiedene Fälle teilen.

Fall eins: Ich möchte von unterwegs in mein Heimnetz.

Dann sind die klassischen Einstellungen wichtig.

Öffentliche Erreichbarkeit.

Bei O2 gegebenenfalls öffentliche IPv4 und `netpublic`.

Richtiger WireGuard-Endpunkt.

Korrekte UDP-Weiterleitung.

Keine versehentliche Double-NAT-Falle.

Und hinter NAT kann `PersistentKeepalive = 25` sinnvoll sein.

Dafür ist WireGuard hervorragend geeignet.

Fall zwei: Ich möchte von meinem Laptop einfach nach draussen durch einen VPN arbeiten.

Dann würde ich nicht mehr automatisch dieselbe Infrastruktur aufbauen.

Mein Laptop braucht keinen öffentlich erreichbaren HomeSpot.

Keine eingehende Portfreigabe.

Keinen MyFRITZ-Endpunkt.

Keine öffentliche IPv4 nur für diesen Zweck.

Er braucht eine ausgehende geschützte Verbindung, die mit meinem Mobilfunkanschluss klarkommt.

Genau dort war die kleinere App für mich die passendere Antwort.

Vorher optimierte ich WireGuard, danach optimierte ich meinen Arbeitstag

Das klingt nach einem kleinen Unterschied.

Im Alltag war er ziemlich gross.

Mit meiner alten Denkweise sah jeder Verbindungsfehler wie eine Einladung aus:

MTU ändern.

Keepalive prüfen.

DNS wechseln.

Port kontrollieren.

APN recherchieren.

Router neu starten.

Mit der neuen Denkweise war das Ziel viel einfacher:

Ich möchte den Laptop öffnen und arbeiten.

Wenn die 5G-Verbindung kurz schwankt, soll mein VPN nicht daraus ein neues Projekt machen.

OnlydogVPN reduzierte genau diese Arbeit.

Statt mehr Kontrolle über jeden einzelnen Parameter bekam ich weniger Momente, in denen ich überhaupt eingreifen musste.

Für meinen O2-Home-5G-Anschluss war mir das wertvoller.

Die Grenze bleibt klar

Wenn ich von unterwegs auf meinen NAS, Home Assistant oder meine FRITZ!Box zugreifen möchte, würde ich WireGuard behalten und die O2-Seite sauber für eingehende Erreichbarkeit konfigurieren.

Das ist eine andere Aufgabe.

Für meinen normalen Laptop-Verkehr wollte ich dagegen keinen Heimserver erreichen.

Ich wollte einfach einen stabilen ausgehenden VPN.

Da brachte mir die kleinere App die passendere Eigenschaft:

Erholung nach einer schwankenden Verbindung statt noch mehr Parameter, mit denen ich die Schwankung selbst verwalten musste.

OnlydogVPN hat weniger öffentliche Historie und weniger unabhängige Bewertungen als grosse etablierte VPN-Anbieter.

Für genau diesen 5G-Alltag wog das für mich aber weniger schwer als die Tatsache, dass der Upload nach dem Verbindungswackler einfach weiterlief.

Den internen O2-Pfad sehe ich nicht – das Verhalten schon

Ich kann nicht beobachten, welche internen NAT-, Routing- oder Mobilfunkentscheidungen O2 in dem Moment trifft, in dem sich mein 5G-Pfad verändert, und deshalb auch nicht jeden WireGuard-Hänger auf dieselbe interne Ursache zurückführen.

Beobachten konnte ich aber das, was für meinen Arbeitstag zählte.

Mit meiner WireGuard-Konfiguration:

Tunnel sichtbar aktiv, Datenverkehr nach bestimmten Unterbrechungen festgefahren, manueller Reconnect nötig.

Mit der kleineren App:

kurze Unterbrechung, Verbindung kommt zurück, Upload läuft weiter.

Damit war mein Vergleich abgeschlossen.

Nicht bei der schönsten Konfigurationsdatei.

Beim fertigen Upload.

Welche WireGuard-Einstellungen helfen also bei O2 Home 5G?

Wenn ich von aussen ins Heimnetz möchte, würde ich zuerst die Erreichbarkeit lösen: öffentliche IPv4 bei O2 beziehungsweise `netpublic`, korrekten WireGuard-Endpunkt und saubere Portweiterleitung prüfen. Hinter NAT kann `PersistentKeepalive = 25` sinnvoll sein.

Wenn ich dagegen nur einen VPN für meinen Laptop über O2 Home 5G brauche, würde ich nicht mehr automatisch einen Nachmittag mit MTU, Ports und Routerkonfiguration verbringen.

Dann zählt für mich eine andere Eigenschaft:

Nach einem kurzen 5G-Hänger soll der Browser zurückkommen.

Die Datei soll weiterlaufen.

Und ich soll nicht merken müssen, dass mein VPN gerade seine Verbindung neu sortiert.

WireGuard gab mir mehr Einstellungen zum Prüfen.

OnlydogVPN gab mir bei dieser Aufgabe weniger Gründe, sie überhaupt anzufassen.

Bei O2 Home 5G war die hilfreichste VPN-Einstellung für mich deshalb am Ende keine Zahl – sondern eine Verbindung, die sich nach einem Mobilfunkwackler selbst wieder um meine Arbeit kümmert.