VPN auf einem QNAP NAS mit WireGuard einrichten (Schritt-für-Schritt 2026)

Ein QNAP NAS speichert deine Dateien, Backups und oft auch deine Überwachungskameras, was es zu einem verlockenden Ziel macht, wenn du es direkt dem Internet aussetzt. Einen WireGuard VPN-Server direkt auf dem NAS laufen zu lassen löst das: Du bekommst einen privaten, verschlüsselten Tunnel direkt in dein Heimnetzwerk, ohne Ports zu öffnen oder Konten Anmeldeversuchen von aussen auszusetzen. So richtest du das ein.

Was du vorher brauchst

Ein QNAP NAS mit QTS oder QuTS hero und verfügbarem App Center, Admin-Zugriff auf das NAS, und entweder Zugriff auf die Port-Weiterleitung deines Routers oder einen QNAP-Router mit QuRouter, der WireGuard etwas anders handhabt. Ausserdem brauchst du die WireGuard App auf dem Gerät, von dem aus du dich verbinden willst: Handy, Laptop oder ein weiteres NAS.

Schritt 1: QVPN Service aus dem App Center installieren

Öffne das App Center auf deinem QNAP NAS, suche nach QVPN Service und installiere es. Es ist kostenlos und wird direkt von QNAP gepflegt, und es ist das Werkzeug, mit dem du WireGuard-, OpenVPN-, L2TP/IPsec- und PPTP-Server über eine einzige Oberfläche einrichtest. Nach der Installation öffnest du QVPN Service über das Hauptmenü.

Schritt 2: WireGuard-Server aktivieren

Gehe in QVPN Service zu VPN Server, wähle WireGuard und aktiviere es. Gib dem Server einen Namen, den du später wiedererkennst, und klicke dann auf Generate Keypairs. QVPN erzeugt automatisch die 32-Byte-Schlüsselpaare des NAS; du musst sie nicht manuell generieren wie bei einer nackten Linux-Installation.

Schritt 3: Für jedes Gerät einen Peer hinzufügen

Für jedes Gerät, das sich verbinden soll (Handy, Laptop, ein zweites NAS), klickst du auf Add Peer, gibst ihm einen erkennbaren Namen und fügst den WireGuard-Public-Key dieses Geräts ein. Hast du noch keine Client-Schlüssel generiert, installiere zuerst die WireGuard App auf dem Client-Gerät; sie erzeugt ein Schlüsselpaar, das du danach kopieren kannst. Der Bereich Connection Accounts in QVPN kann auch automatisch ein komplettes Schlüsselpaar pro Nutzer erzeugen und als scanbaren QR-Code anzeigen, der schnellste Weg, die mobile WireGuard App einzurichten, ohne Schlüssel per Hand einzutippen.

Schritt 4: Firewall-Regel einrichten

QNAPs Qufirewall braucht eine Regel, die WireGuard-Traffic erlaubt, sonst verweigert dein sorgfältig eingerichteter Server einfach Verbindungen. Füge in Qufirewall eine Regel hinzu, die den WireGuard-Port (Standard 51820, UDP) von externen Quellen erlaubt, so eng gefasst, wie es dir angenehm ist.

Schritt 5: Port am Router weiterleiten

Ausser du nutzt einen QNAP-Router mit QuRouter, musst du UDP-Port 51820 von deinem Router auf die lokale IP-Adresse deines NAS weiterleiten, zum Beispiel 192.168.1.2:51820. Das ist der Schritt, den man am häufigsten vergisst, und deshalb ist “der Server läuft, aber nichts verbindet sich” meist ein Router-Problem, kein QNAP-Problem.

Schritt 6: Von einem Client-Gerät verbinden

Öffne auf Handy oder Laptop die WireGuard App, importiere die von QVPN erzeugte Konfiguration (per QR-Code-Scan oder Dateiimport) und verbinde dich. Ist alles korrekt eingerichtet, solltest du über die lokale Netzwerkadresse auf die Admin-Seite und die Freigaben deines NAS zugreifen können, selbst ausserhalb deines Heim-WLANs.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Das NAS stattdessen als VPN-Client nutzen

Alles bisher Beschriebene macht dein QNAP zu einem VPN-Server, mit dem du dich verbindest. QVPN Service kann auch andersherum laufen: als VPN-Client, der den Traffic des NAS selbst oder von Apps in Container Station durch einen kommerziellen VPN-Anbieter leitet. Das ist relevant, wenn du Download- oder Sync-Aufgaben direkt auf dem NAS laufen lässt und willst, dass dieser Traffic über die IP eines VPN-Anbieters läuft statt über deine Heimverbindung. Die Einrichtung ist ähnlich: Importiere die WireGuard-Konfigurationsdatei des Anbieters in den Client-Bereich von QVPN statt einen Server einzurichten.

Warum WireGuard statt OpenVPN oder L2TP

QVPN Service unterstützt neben WireGuard weiterhin OpenVPN, L2TP/IPsec und PPTP, und ältere Anleitungen zur QNAP-VPN-Einrichtung greifen aus Gewohnheit oft zu OpenVPN. WireGuard ist für diese konkrete Aufgabe fast durchweg die bessere Wahl: Der Code ist nur ein Bruchteil so gross wie bei OpenVPN, was ihn leichter prüfbar macht und weniger anfällig für obskure Konfigurationsfehler, und er liefert durchgehend höheren Durchsatz und schnellere Neuverbindungen, wenn dein Handy zwischen WLAN und Mobilfunk wechselt. PPTP sollte 2026 überhaupt nicht mehr genutzt werden; seine Verschlüsselung ist seit Jahren gebrochen. L2TP/IPsec funktioniert noch, bringt aber Overhead, den WireGuard nicht braucht. Ausser bei einem alten Gerät, das wirklich keinen WireGuard-Client ausführen kann, gibt es kaum einen Grund, bei einer modernen QNAP-Einrichtung auf etwas anderes zu setzen. Den ausführlichen technischen Vergleich gibt es unter WireGuard vs OpenVPN.

Teste die Verbindung von ausserhalb deines Netzwerks, bevor du dich darauf verlässt

Geh nicht davon aus, dass die Einrichtung funktioniert, nur weil QVPN den Server als aktiv anzeigt. Trenne dein Handy komplett vom Heim-WLAN, schalte auf mobile Daten um, verbinde dich dann über WireGuard und versuche, auf eine Freigabe oder die Admin-Seite deines NAS zuzugreifen. Nur dieser Test bestätigt wirklich, dass Port-Weiterleitung, Firewall-Regel und Peer-Konfiguration zusammen funktionieren. Ein Test von einem Gerät, das noch mit deinem Heimnetzwerk verbunden ist, kann bestehen, selbst wenn die Einrichtung kaputt ist, weil lokaler Traffic deinen Router nie verlassen muss.

Sicherheitsgewohnheiten, die sich lohnen, sobald es läuft

Behandle die von QVPN erzeugten Schlüssel wie ein Passwort: Füge sie nicht in Chat-Apps oder geteilte Dokumente ein, und entferne einen Peer komplett aus QVPN, wenn du das zugehörige Gerät verlierst, statt nur die App zu löschen. Halte QTS oder QuTS hero und QVPN Service selbst aktuell, da VPN-Server-Software genau die Art Komponente ist, die am meisten von schnellen Sicherheitsupdates profitiert. Fügst du einen zweiten WireGuard-Server hinzu, für den Laptop eines Partners oder häufig zu Besuch kommende Verwandte, gib ihm einen eigenen Peer-Eintrag statt eine Konfiguration über mehrere Geräte zu teilen; das macht das spätere Entziehen des Zugriffs bei verlorenem oder ersetztem Gerät deutlich sauberer.

QNAP-Router im Vergleich zu einem eigenständigen NAS

Läuft dein Netzwerk über einen QNAP-Router mit QuRouter statt über ein separates NAS, unterscheidet sich die WireGuard-Einrichtung leicht: QuRouter verwaltet Server- und Client-Konfiguration über eine eigene Oberfläche, die manuelle Port-Weiterleitung entfällt oft, da der Router bereits die Kontrolle über die Netzwerkgrenze hat. Für die meisten Heimanwender mit separatem NAS und separatem Router bleibt der oben beschriebene Weg über QVPN Service trotzdem der praktischere, da er nicht voraussetzt, den vorhandenen Router zu ersetzen.

Häufige Probleme und Lösungen

Läuft die Verbindung auf Timeout, ist fast immer die Port-Weiterleitung schuld; prüfe, ob sich die lokale IP des NAS seit Einrichtung der Regel geändert hat, da Router DHCP-Adressen gelegentlich neu vergeben. Verbindet sich der Tunnel, aber du erreichst keine Freigaben, prüfe, ob das Client-Gerät in den Allowed IPs des Peers zum Subnetz deines NAS routen darf, nicht nur zum NAS selbst. Verweigert QVPN Service, WireGuard überhaupt zu aktivieren, prüfe, ob deine QTS- oder QuTS-hero-Firmware aktuell ist; ältere Firmware-Versionen wurden ausgeliefert, bevor QVPN Service 3 WireGuard-Unterstützung erhielt.

Weiterlesen: VPN-Server auf einem Synology NAS einrichten und WireGuard vs OpenVPN: Welches Protokoll solltest du 2026 nutzen?.