Zum Inhalt springen
IDO DNS Service
Menü
Anmelden Konto anlegen
Alle Themen

FRITZ!Box als Standort mit WireGuard anbinden

Fernzugriff · FRITZ!OS 7.39 und neuer

Zuletzt überarbeitet am

Für alle, die ein Büro oder eine Praxis mit einer FRITZ!Box betreuen. Am Ende erreichen Sie jedes Gerät hinter dieser FRITZ!Box — den Server, den Drucker, die Anlage im Keller — als säßen Sie davor: ohne Portfreigabe und auch an einem DS-Lite-Anschluss.

Sie brauchen dafür die Konfigurationsdatei dieser Gegenstelle. Sie entsteht im Kundenbereich unter Fernzugriff und enthält Ihren geheimen Schlüssel — sie liegt nur einmal vor. Wir speichern den geheimen Teil nicht und können ihn Ihnen kein zweites Mal geben. Ist die Datei weg, legen Sie die Gegenstelle neu an; das dauert eine Minute.

Diese Anleitung gehört zu Fernzugriff von IDO DNS Service — was die Leistung kann und was sie kostet.

Was ein Standort ist

Eine FRITZ!Box legen Sie als Standort an, nicht als Gerät. Der Unterschied ist nicht formal: Bei einem Standort tragen Sie das Netz dahinter ein — etwa 192.168.178.0/24 — und damit wird alles in diesem Netz erreichbar. Der Server, der Drucker, die Anlage im Keller. Ohne diese Angabe erreichen Sie nur die FRITZ!Box selbst.

Die FRITZ!Box braucht dafür keine öffentliche IPv4-Adresse. Sie ruft von sich aus hinaus; an DS-Lite- und Mobilfunkanschlüssen funktioniert das genauso.

Was Sie brauchen

  • Eine FRITZ!Box mit FRITZ!OS 7.39 oder neuer (System → Update) und das Kennwort ihrer Oberfläche.
  • Im Kundenbereich unter Fernzugriff einen angelegten Kunden — die Gegenstelle entsteht in Schritt 1.
  • Das Netz hinter der FRITZ!Box, genau so, wie sie es vergibt — etwa 192.168.178.0/24 (Heimnetz → Netzwerk → Netzwerkeinstellungen).
  • Sonst nichts. Die FRITZ!Box erzeugt ihr Schlüsselpaar selbst und gibt uns danach eine Datei — von uns brauchen Sie keine.
  • Ob in der FRITZ!Box schon WireGuard-Verbindungen stehen, spielt auf diesem Weg keine Rolle mehr. Sie bleiben, wo sie sind.

Einrichten

Importieren Sie in eine FRITZ!Box keine fertige Konfigurationsdatei. Der Tunnel steht danach zwar, und die FRITZ!Box antwortet auch auf ihrer Tunneladresse — aber nichts im Büro dahinter ist erreichbar.

Das gilt auch dann, wenn die FRITZ!Box die Verbindung als Netzwerkverbindung führt. Am 14.09.2026 an einer FRITZ!Box 7590 nachgemessen: die Datei unter „Netzwerke koppeln“ eingelesen, der Haken bei „Nur bestimmte Geräte im Heimnetz“ aus, fünf entfernte Netze sauber übernommen — die Tunneladresse der Box antwortete mit TTL=63, ihre LAN-Adresse gar nicht. Mit /32 in der Adresszeile nicht und mit der ausgerechneten Maske auch nicht.

Ihr eigenes Netz vertritt eine FRITZ!Box nur, wenn die Verbindung über die manuellen Einstellungen des Assistenten entstanden ist. Deshalb steht hier ein Weg und keine Auswahl.

  1. Die Werte für die FRITZ!Box ablesen

    Fernzugriff → Kunde auswählen → Gegenstelle hinzufügen. Oben in der Maske stehen unter „Erzeugt das Gerät seinen Schlüssel selbst?“ genau die vier Werte, die Sie gleich brauchen: Gegenstelle (Endpunkt), Schlüssel der Gegenstelle, Netzwerk und Subnetzmaske.

    Legen Sie hier noch nichts an. Die FRITZ!Box erzeugt ihren Schlüssel gleich selbst; ausgefüllt und abgeschickt wird diese Maske erst in Schritt 5, mit der Datei, die dabei herauskommt. Lassen Sie sie so lange offen oder kommen Sie später zurück — die Werte sind dieselben.

  2. In der FRITZ!Box den Assistenten durchgehen

    Internet → Freigaben → VPN (WireGuard) → WireGuard-Verbindung hinzufügen, dann der Reihe nach:

    • Welche Art Verbindung? — Netzwerke koppeln
    • Ist diese Verbindung auf der Gegenstelle bereits eingerichtet? — Nein
    • Gleichzeitig zu einer bestehenden Verbindung der Gegenstelle? — Ja
    • Einstellungen der Gegenstelle — Manuelle Einstellungen

    „Gleichzeitig: Ja“ ist kein Detail. Mit „Nein“ behandelt FRITZ!OS die Verbindung als alleinstehend und bietet an, den gesamten Verkehr hindurchzuschicken. Der Kunde surfte dann über den Vermittlungsserver statt über seinen eigenen Anschluss.

  3. Endpunkt, Schlüssel und die IP-Einstellungen eintragen

    • Internet-Adresse der Gegenstelle und Öffentlicher Schlüssel: die beiden Werte aus Schritt 1. Sie sind für alle Kunden desselben Vermittlungsservers gleich — eine gute Gegenprobe, wenn beim zweiten Standort etwas nicht will.
    • Entferntes IPv4-Netzwerk und Subnetzmaske: die Werte „Netzwerk“ und „Subnetzmaske“ aus Schritt 1 — genau so.

    Die letzte Zahl im Feld „Netzwerk“ ist kein Schreibfehler und keine glatte 0: Die FRITZ!Box liest aus diesem einen Feldpaar zweierlei — die Maske sagt, was durch den Tunnel geht, der Hostanteil, welche Adresse sie sich selbst gibt. Eine 0 dort nimmt ihr die erste Adresse des Netzes, und die gehört dem Vermittlungsserver. Und die Maske ist je Kunde ausgerechnet, nicht für alle dieselbe.

  4. Die letzte Seite — hier entscheidet sich alles

    • Gesamten IPv4-Netzwerkverkehr über die VPN-Verbindung senden: aus. Der Kunde surft weiter über seinen eigenen Anschluss.
    • NetBIOS über diese Verbindung zulassen: an, wenn Windows-Freigaben über den Tunnel erreichbar sein sollen.
    • Nur bestimmte Geräte im Heimnetz sollen erreichbar sein: aus — aus heißt, das ganze Büronetz ist erreichbar.

    Dann Fertigstellen.

  5. Die Datei der FRITZ!Box bei uns einlesen

    Die FRITZ!Box bietet zum Schluss eine Konfigurationsdatei für die Gegenstelle an — laden Sie sie herunter. Zurück in der Maske aus Schritt 1: Name eintragen, Art: Standort, und den Inhalt der Datei in das Feld „Das Gerät hat mir eine Datei gegeben“ einfügen. Öffentlichen Schlüssel, gemeinsamen Zusatzschlüssel und das Netz lesen wir daraus — abgetippt wird nichts. Ein geheimer Schlüssel in der Datei wird weder gelesen noch gespeichert.

    Der gemeinsame Zusatzschlüssel (PresharedKey) ist keine Feinheit. Kennen ihn nicht beide Seiten, kommt kein Handschlag zustande — die Verbindung bleibt grau, ohne dass irgendwo ein Fehler steht. Deshalb ist das Einlesen der Datei der sichere Weg und das Abtippen der zweitbeste.

  6. Warten — oder die FRITZ!Box zum Wählen bringen

    Meist müssen Sie hier nichts tun: In der Datei aus Schritt 5 steht, wie die FRITZ!Box selbst erreichbar ist, und der Vermittlungsserver ruft dann von sich aus an. Binnen einer halben Minute steht die Verbindung.

    Bleibt sie grau, ist der Anschluss von außen nicht erreichbar — hinter DS-Lite und im Mobilfunk ist das der Normalfall. Dann muss die FRITZ!Box anrufen, und dazu hat sie nur einen Anlass, wenn etwas in den Tunnel will: Ein Ping aus dem Büronetz auf 10.80.0.1 — die Adresse des Vermittlungsservers im Tunnel, für alle Kunden dieselbe — genügt.

    Ob wir anrufen können, sehen Sie bei der Gegenstelle unter „Der Server ruft an unter“. Dort lässt es sich auch nachtragen oder wieder abstellen.

Damit Namen funktionieren

Wenn im Büro eine FRITZ!Box steht, kann sie zugleich der Namensdienst für alle im Tunnel sein — dann erreichen Sie server.fritz.box statt einer Zahl. Tragen Sie dafür im Kundenbereich unter „Kundendaten“ die Tunneladresse dieses Standorts als DNS-Server ein.

DNS-Rebind-Schutz. Die FRITZ!Box beantwortet keine Namen, die auf private Adressen zeigen — auch nicht Ihre eigenen. Tragen Sie unter Heimnetz → Netzwerk → Netzwerkeinstellungen → DNS-Rebind-Schutz jeden Namen vollständig ein, einen je Zeile — also server.kunde.idodns.de und nicht idodns.de. Die FRITZ!Box vergleicht das Feld mit dem Namen selbst und nicht mit seinem Ende; eine Ausnahme für die Zone deckt die Namen darunter nicht mit ab. Ohne den Eintrag bleiben die Namen und die Zertifikate wirkungslos.

Wenn es nicht klappt

Die Verbindung wird grün, aber nichts dahinter ist erreichbar

Die häufigste Ursache zuerst: Die Verbindung ist aus einer fertigen Datei entstanden statt über die manuellen Einstellungen des Assistenten. Dann trägt sie das Büronetz nicht.

Erkennen können Sie es mit zwei Pings auf dasselbe Gerät, ohne in der FRITZ!Box nachzusehen:

ping 10.80.3.2 — die Tunneladresse: antwortet
ping 192.168.181.1 — die LAN-Adresse: antwortet nicht

Ihre beiden Werte stehen im Kundenbereich: die Tunneladresse in der Tabelle der Gegenstellen, die LAN-Adresse ist die des Routers im Büronetz. Antwortet die erste und die zweite nicht, ist es dieser Fall — beides ist dasselbe Gerät.

Die Überschrift in der Liste der FRITZ!Box hilft dabei nur halb. Eine Geräteverbindung trägt das Büro nie — eine Netzwerkverbindung, die aus einer Datei entstanden ist, aber ebenso wenig. Am 14.09.2026 nachgemessen: Datei unter „Netzwerke koppeln“ eingelesen, Haken beim Heimnetz aus, alle Netze richtig in der Liste — und die LAN-Adresse blieb stumm. Verlassen Sie sich auf die beiden Pings, nicht auf die Überschrift.

Zu tun ist in beiden Fällen dasselbe: die Verbindung löschen und nach der Anleitung oben neu anlegen. Nachbessern lässt sich das nicht — die IP-Einstellungen sind nach dem Anlegen schreibgeschützt.

Zweite Ursache: Das Netz hinter dem Standort fehlt oder ist falsch eingetragen. Prüfen Sie im Kundenbereich, ob dort genau das Netz steht, das die FRITZ!Box vergibt — 192.168.178.0/24 und 192.168.188.0/24 sehen ähnlich aus und sind es nicht.

Zwei Kunden haben dasselbe Netz

Das geht nicht, und wir weisen es beim Anlegen ab. Ein Netz kann im Fernzugriff nur an einer Stelle liegen, sonst wäre nicht entscheidbar, wohin ein Paket gehört. Ändern Sie bei einem der beiden Kunden das LAN — etwa auf 192.168.30.0/24.

Die Verbindung bricht nach kurzer Zeit ab

Das passiert an Anschlüssen mit Adressumsetzung beim Anbieter, wenn das Lebenszeichen fehlt. In unseren Dateien steht PersistentKeepalive = 25 — wenn Sie die Konfiguration von Hand nachgebaut haben, ergänzen Sie diese Zeile.

Die FRITZ!Box will eine Datei erzeugen, statt unsere zu nehmen

Das ist richtig so — lassen Sie sie. In der Datei, die sie ausgibt, steht unter Endpoint die FRITZ!Box selbst; das ist eine Auskunft über ihre Erreichbarkeit und keine Aufforderung. Anrufen tut weiterhin sie: Den Vermittlungsserver hat sie als „Internet-Adresse der Gegenstelle“ eingetragen bekommen.

Hier stand bis zum 14.09.2026 das Gegenteil: der Rat, stattdessen unsere Datei in die FRITZ!Box zu lesen. Tunnel grün, Büronetz stumm — und das unabhängig davon, unter welcher Überschrift die Verbindung danach steht.

„Die Konfigurationsdatei kann nicht importiert werden, da bereits ein Schlüsselpaar existiert“

Diese Meldung kommt nur, wenn eine fertige Datei in die FRITZ!Box gelesen wird — und das tut die Anleitung oben nirgends. Sehen Sie sie, dann sind Sie im falschen Zweig des Assistenten. Gehen Sie zurück und antworten Sie auf „bereits auf der Gegenstelle eingerichtet?“ mit Nein, danach Manuelle Einstellungen.

Eine FRITZ!Box hat genau ein WireGuard-Schlüsselpaar — für alle ihre Verbindungen zusammen. Nicht eines je Verbindung. Eine fertige Datei bringt ein eigenes mit und würde das vorhandene ersetzen; deshalb verweigert sie den Import. Sie schützt damit jede WireGuard-Datei und jeden QR-Code, den Ihr Kunde schon auf einem Telefon oder Laptop hat.

Auf dem Weg oben stellt sich die Frage gar nicht: Dort erzeugt die FRITZ!Box den Schlüssel selbst, vorhandene Verbindungen bleiben unangetastet, und niemand muss etwas neu verteilen. Bis zum 14.09.2026 stand hier der Rat, zuerst alle Verbindungen zu löschen und dann unsere Datei einzulesen. Er kostete die bestehenden Zugänge — und führte trotzdem zu einer Verbindung, die das Büro nicht trägt.

Das Feld „Netzwerk“: die letzte Zahl und die Maske

An diesem einen Feldpaar aus Schritt 3 gehen die meisten Versuche zugrunde, weil es zweierlei zugleich bedeutet. Die Maske sagt, was durch den Tunnel geht. Die letzte Zahl dagegen ist die Adresse, die sich die FRITZ!Box selbst gibt — sie ist kein Beiwerk.

  • Eine 0 dort lässt die FRITZ!Box die erste Adresse des Netzes nehmen. Die gehört dem Vermittlungsserver. Beide hätten dann dieselbe, und die Verbindung trägt kein einziges Paket — sie sieht dabei eingerichtet aus.
  • Eine /32-Angabe lehnt sie ganz ab: „Das Netzwerk der Gegenstelle (10.80.3.2/32) hat nicht genügend Adressen.“
  • Richtig ist die Adresse dieser Gegenstelle — 10.80.3.2 und nicht 10.80.3.0 — mit der Maske, die im Kundenbereich danebensteht. Sie ist ausgerechnet, nicht geraten: so eng wie möglich und so weit wie nötig, damit auch Ihr eigenes Gerät hereinkommt — es liegt in einem anderen Block.

Erreicht dieser Kunde damit andere Kunden? Nein. Die Maske umschließt seinen Block und Ihren, sonst nichts — die Blöcke Ihrer übrigen Kunden liegen außerhalb. Und selbst wenn dort etwas Weiteres stünde, änderte es nichts: Was zwischen zwei Kunden laufen darf, entscheidet allein das Regelwerk auf dem Vermittlungsserver, und dort ist verboten, was nicht ausdrücklich erlaubt ist. Diese Angabe im Gerät ist die zweite Reihe, nicht die erste.

Beide Werte stehen im Kundenbereich fertig nebeneinander — in der Tabelle der Gegenstellen unter „Von Hand einrichten“. Abschreiben genügt.

Das Gerät soll seinen eigenen Schlüssel behalten

Nicht nur FRITZ!Boxen sind so. Manche Router erzeugen ihr Schlüsselpaar grundsätzlich selbst und geben nur den öffentlichen Teil heraus. Tragen Sie ihn dann bei uns im Feld „Öffentlicher Schlüssel“ ein.

Alles Übrige steht danach auf der Seite des Kunden: In der Tabelle der Gegenstellen unter „Von Hand einrichten“ finden Sie Tunneladresse, Endpunkt, unseren öffentlichen Schlüssel, die AllowedIPs und das Lebenszeichen — dieselben Werte, die sonst in der Datei stünden. Sie sind auch dann noch da, wenn die Einrichtung eine Woche später weitergeht.

Die FRITZ!Box kennt kein WireGuard

Dann ist FRITZ!OS älter als 7.39. Aktualisieren Sie unter System → Update. Sehr alte Modelle bekommen WireGuard nicht mehr — nehmen Sie dort einen kleinen Rechner im Netz als Standort.

Wie es weitergeht

Der Standort steht — jetzt fehlt noch das Gerät, von dem aus Sie hineingehen: das Telefon per QR-Code in einer Minute, der Laptop per Datei. Danach erreichen Sie alles hinter der FRITZ!Box unter seiner Adresse — und mit dem Eintrag im DNS-Rebind-Schutz auch unter seinem Namen.

Meldet der Browser beim Server im Büro noch eine Zertifikatswarnung, ist Remotedesktop ohne Zertifikatswarnung der nächste Schritt. Und wenn der Kunde lieber im Browser bedient werden möchte, ohne dass auf seinem Rechner etwas installiert wird: Fernwartung im Browser. Läuft dahinter ein Server, dessen Sicherung noch aussteht, ist der Cloud-Speicher die zweite Sache, die man bei diesem Kunden gleich miterledigt.

Weiter im selben Bereich

Ihr Gerät ist nicht dabei? Alle Anleitungen

Kommen Sie nicht weiter? Sehen Sie zuerst unter Häufige Fragen nach.

Steht die Antwort dort nicht, schreiben Sie uns an info@idodns.de — mit dieser Anleitung im Betreff. Was mehrfach gefragt wird, steht danach hier.