VPN funktioniert nicht mit FRITZ!Box: Ursachen und sichere Lösungen

Kurzantwort (direkt):

Wenn ein VPN mit der FRITZ!Box nicht funktioniert, können die Gründe z. B. eine fehlende öffentliche IPv4‑Adresse (DS‑Lite/CGNAT), falsche Art des VPN‑Setups (Remote‑Zugang vs. Client‑behind‑Box vs. Site‑to‑Site), eine fehlerhafte MyFRITZ!/DynDNS‑Konfiguration, Subnetzkonflikte oder Client‑/Server‑Fehler sein. Prüfen Sie zuerst Basiskonnektivität und Name‑/IP‑Auflösung, dann VPN‑Protokoll und Logs — und arbeiten Sie schrittweise, mit Backups und klaren Rollback‑Schritten.

Für wen ist dieser Artikel?

Dieser Leitfaden richtet sich an Heimanwender, IT‑Verantwortliche in kleinen Büros und technikaffine Nutzer in Deutschland, Österreich und der Schweiz. Er erklärt die Unterschiede zwischen den drei gängigen Szenarien, listet typische Symptome und Ursachen und führt sicher von einfachen Prüfungen zu tiefergehenden Diagnosen — ohne riskante Änderungen ohne Rückgängig‑Optionen.

Kurz: VPN‑Typen und warum die Unterscheidung wichtig ist

• VPN zur FRITZ!Box (Remote‑Zugriff): Ein Client (Laptop/Smartphone) baut von außen eine Verbindung zur FRITZ!Box auf. Die FRITZ!Box fungiert als VPN‑Server.
• VPN‑Client hinter der FRITZ!Box: Ein Gerät oder ein Router im Heimnetz nutzt einen externen VPN‑Provider. Die FRITZ!Box stellt nur Internetzugang und NAT bereit; Probleme betreffen meist Routing, DNS oder MTU.
• Site‑to‑Site / Business‑VPN: Zwei Netze werden dauerhaft miteinander verbunden (z. B. FRITZ!Box ↔ Router im Büro). Hier sind IP‑Adressplanung, IPsec‑Parameter und ggf. Zertifikate relevant.

Die Diagnose unterscheidet sich nach Szenario — die folgenden Abschnitte behandeln das separat.

Symptome und mögliche Ursachen (Kurzüberblick)

• Keine Verbindung: Falsche Zugangsdaten, fehlende öffentliche IPv4‑Adresse (DS‑Lite/CGNAT), Client‑ oder Serverkonfiguration falsch.
• Verbindung steht, aber kein Internet: DNS‑Probleme, Routing‑Fehler, Default‑Gateway nicht korrekt gesetzt oder Full‑Tunnel vs. Split‑Tunnel‑Konflikte.
• Verbindung steht, aber lokale Geräte (NAS, Drucker) nicht erreichbar: Subnetzkonflikte, Firewall‑Regeln oder Gastnetz/Client‑Isolation.
• Stabile Verbindungsabbrüche: MTU/Fragmentierung, instabile Mobilfunk‑/WLAN‑Verbindung oder ISP‑Engpässe.
• FRITZ!Box‑Meldungen/Logs: Hinweise zu MyFRITZ!/DynDNS, Authentifizierungsfehlern oder Verbindungszeitüberschreitungen helfen der Fehlersuche.

Modell‑ und Firmwarehinweis

Funktionen, Menütexte und Verfügbarkeit von Protokollen können je nach FRITZ!Box‑Modell und FRITZ!OS‑Version variieren. Manche Funktionen (z. B. zusätzliche Protokollunterstützung) werden modellabhängig oder schrittweise eingeführt. Prüfen Sie vor Änderungen die offizielle AVM‑Dokumentation für Ihr konkretes Modell und die aktuelle Firmware‑Version.

Risikoarme Basisprüfungen (ohne Einstellungen zu ändern)

1. Internetzugang prüfen: Funktioniert Internet an der FRITZ!Box ohne VPN? Browser‑Test und ein Ping (z. B. 8.8.8.8) sind einfache Prüfungen.
2. Öffentliche IP prüfen: Vergleichen Sie die angezeigte IP der FRITZ!Box mit einem externen „What is my IP“-Dienst. Fehlt eine öffentliche IPv4 (DS‑Lite/CGNAT), sind direkte eingehende Verbindungen häufig nicht möglich.
3. MyFRITZ!/DynDNS prüfen: Wenn Sie die Box von außen erreichen wollen, kontrollieren Sie, ob der Dienst aktiv ist und die Adresse aktuell auf die richtige IP zeigt.
4. Uhrzeit/Datum prüfen: Eine stark abweichende Systemzeit kann Zertifikate/Authentifizierung stören.
5. Logs anschauen: Notieren Sie relevante Fehlermeldungen aus System‑ und VPN‑Logs (sofern verfügbar).

Wenn Sie einen Fehler finden, dokumentieren Sie Meldungen und prüfen Sie zuerst weniger invasive Korrekturen.

Unterschiedliche Diagnosen nach VPN‑Typ

A) VPN zur FRITZ!Box (Remote‑Zugang)

Häufige Ursachen:

• Keine öffentliche IPv4 (DS‑Lite/CGNAT) — viele Provider vergeben keine frei erreichbare IPv4 mehr.
• MyFRITZ!/DynDNS nicht korrekt eingerichtet oder veraltet.
• Fehler in Client‑Konfiguration (z. B. Serveradresse, Authentifizierungsdaten, falsch konfiguriertes Protokoll).
• Benutzerkonto in der FRITZ!Box ohne VPN‑Zugriffsrechte.

Praktisches Vorgehen (risikoarm → eingreifend):

1. Test von außen: Versuchen Sie die Verbindung über ein anderes Netz (z. B. Mobilfunk‑Hotspot). So lässt sich schnell prüfen, ob die Box grundsätzlich extern erreichbar ist.
2. Öffentliche IP prüfen: Wenn Sie DS‑Lite/CGNAT vermuten, klären Sie mit dem ISP, ob eine öffentliche IPv4 möglich ist oder ob Sie alternative Lösungen (z. B. Relay‑Dienste) benötigen.
3. Client‑Einstellungen kontrollieren: Serveradresse/Hostname, Benutzername und Authentifizierungsart (Pre‑Shared Key, Zertifikat etc.) prüfen.
4. Benutzerkonto prüfen: Ist das Konto für den VPN‑Zugriff freigeschaltet? (Siehe Ihre FRITZ!Box‑Benutzerkonfiguration.)
5. Protokoll‑Alternative prüfen: Wenn Ihr Modell eine alternative VPN‑Methode unterstützt (z. B. zusätzliches Protokoll), kann ein Test sinnvoll sein — nur wenn die Funktion vom Hersteller für Ihr Modell dokumentiert ist.
6. Logs auswerten: IKE‑/IPsec‑Fehler oder Timeouts geben Hinweise auf Parameter‑Missmatch oder Erreichbarkeitsprobleme.

Hinweis zur Portweiterleitung: Die FRITZ!Box bietet in vielen Fällen native Server‑Funktionalität für VPN. Portweiterleitung ist nicht generell erforderlich; sie wird relevant, wenn ein zweiter Router oder ein vorgelagertes NAT/CGNAT die FRITZ!Box von extern abschirmt.

B) VPN‑Client hinter der FRITZ!Box (Gerät nutzt externen VPN‑Provider)

Typische Probleme:

• Kein Internetzugang, sobald der VPN aktiv ist: Providerseitige Einschränkungen, DNS‑Fehler oder falsch gesetzte Routen.
• Lokale Geräte nicht erreichbar: Bei Full‑Tunnel‑VPN läuft der gesamte Verkehr über den VPN‑Server; lokale Ressourcen sind dann ggf. ausgeblendet.

Praktische Schritte:

1. Ohne VPN testen: Stellen Sie sicher, dass lokale Geräte ohne VPN erreichbar sind.
2. DNS prüfen: Manche Provider leiten DNS über ihre eigenen Server. Testen Sie DNS‑Server wie 1.1.1.1 oder 8.8.8.8 kurzfristig.
3. MTU prüfen: Probleme mit Fragmentierung lassen sich oft durch geringfügig reduzierte MTU‑Werte beseitigen (z. B. Test mit 1400).
4. Split‑Tunnel prüfen: Falls lokale Zugriffe gewünscht sind, muss der VPN‑Client so konfiguriert sein, dass lokale Subnetze nicht über den Tunnel geroutet werden.

C) Site‑to‑Site / Business (FRITZ!Box ↔ Router)

Häufige Ursachen:

• Subnetzkonflikte (gleiches IP‑Segment auf beiden Seiten).
• Parameter‑Mismatch in IPsec (Verschlüsselungsalgorithmen, Hash‑Funktionen, PFS, Lebenszeiten, Pre‑Shared Key / Zertifikate).
• NAT/ISP‑Einschränkungen zwischen den Endpunkten.

Vorgehen:

1. IP‑Plan prüfen: Beide Seiten müssen unterschiedliche Netzbereiche verwenden.
2. Parameter abgleichen: Alle IPsec‑Einstellungen auf beiden Seiten müssen zueinander passen.
3. Verbindungsinitiierung testen: Manche Geräte bauen die Verbindung nur auf, wenn die andere Seite initialisiert; testen Sie Verbindungsaufbau von beiden Endpunkten.
4. Protokolle vergleichen: Logs beider Router geben Hinweise auf Phase‑1/Phase‑2‑Fehler.

Diagnose‑Checkliste (geordnet von risikoarm zu eingreifend)

1. Internetzugang & öffentliche IP prüfen (MyFRITZ!/DynDNS, externe „What is my IP“‑Abfrage).
2. Verbindung über anderes Netz testen (Mobilfunk‑Hotspot).
3. Benutzerkonten und Berechtigungen in der FRITZ!Box prüfen.
4. Client‑Konfiguration kontrollieren (Protokoll, Serveradresse, Schlüssel/Zertifikate).
5. Logs einsehen (System‑ und VPN‑Logs).
6. Kurzfristig testen: Gastnetz/Client‑Firewall temporär deaktivieren (nur zur Fehlereingrenzung; danach sofort wieder aktivieren).
7. MTU anpassen: Kleinere Werte testen (z. B. 1400), um Fragmentierungsprobleme auszuschließen.
8. Firmware prüfen: Auf verfügbare FRITZ!OS‑Updates achten, vorher ein Backup der Einstellungen erstellen.
9. ISP kontaktieren: Bei Verdacht auf DS‑Lite/CGNAT oder Sperren für eingehende Verbindungen.
10. Protokollwechsel oder Umstrukturierung: Nur wenn Ihr Modell und Ihre Anforderungen dies erlauben — zuerst testen, dann schrittweise umstellen.

Sicherheits‑ und Rollback‑Hinweise (wichtig)

• Backup der Einstellungen: Erstellen Sie vor größeren Änderungen oder einem Firmware‑Update ein Export‑Backup der FRITZ!Box‑Konfiguration.
• Änderungen dokumentieren: Notieren Sie vorherige Werte (z. B. PSK, IP‑Adressen, Berechtigungen), damit Sie Änderungen rückgängig machen können.
• Schrittweise testen: Nehmen Sie eine Änderung vor, testen Sie und gehen Sie erst dann zur nächsten Änderung über.
• Fernzugriff mit Vorsicht: Wenn Sie Änderungen aus der Ferne vornehmen, sorgen Sie für eine lokale Rückfallmöglichkeit (z. B. jemanden vor Ort), falls das Web‑Interface nicht mehr erreichbar ist.
• Firewalls nur kurz deaktivieren: Schalten Sie Firewalls nur temporär und testweise ab; aktivieren Sie sie sofort danach.

Typische Fehlermeldungen und kurze Interpretation

• "Authentication failed" / "Authentifizierung fehlgeschlagen": Prüfen Sie Benutzername/Passwort, Pre‑Shared Key oder Zertifikatsgültigkeit.
• "No route to host" / Timeouts: Ziel nicht erreichbar — ISP‑Blockade, falsche öffentliche IP oder Routingproblem.
• "IKE/Phase 1/Phase 2 failed": Parameter‑Mismatch (Algorithmen, Lebenszeit, Schlüssel) oder NAT‑Traversal‑Probleme.
• Verbindung steht, aber kein Internet: Überprüfen Sie DNS‑Server und Routing (Default‑Gateway über VPN?).

Praktische Beispiele (Kurzfälle)

• Fall 1 — Externer Zugriff nicht möglich: Verdacht auf DS‑Lite/CGNAT. Symptom: Keine öffentliche IPv4 sichtbar; externe Verbindungsversuche schlagen fehl. Lösung: ISP kontaktieren wegen einer öffentlichen IPv4‑Adresse oder alternative Relay/DynDNS‑Lösungen prüfen.

• Fall 2 — Verbunden, aber NAS nicht erreichbar: VPN steht, Pings funktionieren, aber Freigaben fehlen. Ursache: NAS‑Firewall oder Freigaberichtlinien erlauben nur lokale Subnetze. Lösung: NAS‑Firewall anpassen oder Routen/Netzbereiche prüfen.

• Fall 3 — VPN‑Client hat kein Internet: Der VPN‑Provider leitet DNS nicht korrekt oder erlaubt keinen Verkehr. Lösung: DNS temporär manuell auf 1.1.1.1/8.8.8.8 setzen oder Provider kontaktieren.

Rollback‑Plan (falls etwas schiefgeht)

1. Backup bereithalten und wiederherstellen: Laden Sie das zuvor erzeugte Export‑Backup hoch, wenn eine Konfiguration nicht mehr funktioniert.
2. Lokaler Zugriff: Stellen Sie sicher, dass ein direkter LAN‑Zugang möglich ist, falls das Web‑Interface nicht erreichbar ist.
3. Supportkontakte: Notieren Sie ISP‑Hotline, AVM‑Support und die Modell‑/Firmwaredaten für schnellen Support.

Nützliche Werkzeuge für die Diagnose

• ping und traceroute von Client und ggf. von der FRITZ!Box (falls das Gerät diese Funktionen bietet).
• Externes Testnetz (Handy‑Hotspot) für Erreichbarkeitstests von außen.
• VPN‑Client‑Logs und System‑Logs der FRITZ!Box.
• MTU‑Tests (z. B. Ping mit fragmentierungsrelevanten Einstellungen) zur Fehlersuche bei Performance‑/Stabilitätsproblemen.

Verwandte Anleitungen

• /article/vpn-connected-but-no-internet-windows-11/
• /article/vpn-connected-but-websites-wont-load/
• /article/vpn-blocks-local-network-devices-windows-11/
• /article/vpn-kills-wifi-connection/
• /article/vpn-connected-but-printer-not-working/

FAQ

1. Warum kann ich meine FRITZ!Box von außen nicht per VPN erreichen?

Prüfen Sie zunächst, ob die FRITZ!Box eine öffentliche IPv4‑Adresse hat. Viele Anschlüsse verwenden DS‑Lite/CGNAT, wodurch direkte eingehende Verbindungen nicht möglich sind. Zusätzlich können MyFRITZ!/DynDNS, VPN‑Benutzerrechte oder Systemzeit Probleme verursachen. Testen Sie die Erreichbarkeit über ein anderes Netz (z. B. Mobilfunk), um ISP‑Einschränkungen auszuschließen.

2. Die VPN‑Verbindung steht, aber ich habe kein Internet – was tun?

Oft liegt es an Routing oder DNS. Prüfen Sie, ob auf dem Client das Default‑Gateway über das VPN gesetzt wird (Full‑Tunnel) und welche DNS‑Server verwendet werden. Ein kurzer Test: DNS manuell auf 1.1.1.1 oder 8.8.8.8 setzen; hilft das, ist DNS die Ursache.

3. Kann ich Portweiterleitung auf einem vorgelagerten Gerät nutzen, um VPN zu ermöglichen?

Das kann nötig sein, wenn ein weiteres NAT vor der FRITZ!Box sitzt oder der ISP CGNAT verwendet. Eine Portweiterleitung ist aber nicht generell erforderlich; viele FRITZ!Box‑Modelle bieten native Server‑Funktionen für VPN‑Zugänge.

4. Unterstützt meine FRITZ!Box WireGuard?

Die Unterstützung für WireGuard oder andere Zusatzprotokolle ist modell‑ und firmwareabhängig. AVM ergänzt Funktionen schrittweise und nicht alle Modelle erhalten jede Neuerung. Prüfen Sie die offizielle AVM‑Dokumentation für Ihr Modell und Ihre FRITZ!OS‑Version, bevor Sie WireGuard einrichten.

5. Warum sehe ich NAS/Drucker nicht über die VPN‑Verbindung?

Mögliche Ursachen sind Subnetzkonflikte (gleiches IP‑Segment auf beiden Seiten), Geräte‑Firewalls oder Client‑Isolation (z. B. im Gastnetz). Prüfen Sie, ob das Gerät Verbindungen aus dem entfernten Subnetz akzeptiert und ob die Routen korrekt gesetzt sind.

6. Sollte ich FRITZ!OS aktualisieren, wenn VPN Probleme macht?

Ein Update kann Fehler beheben, aber führen Sie es nicht ohne Vorbereitung durch. Erstellen Sie ein Backup der Einstellungen, lesen Sie die Release‑Notes und planen Sie ggf. ein Wartungsfenster. Bei produktiven Umgebungen zuerst testen, wenn möglich.

7. Wer kann mir helfen, wenn ich nicht weiterkomme?

Kontaktieren Sie Ihren Internet‑Provider (bei DS‑Lite/CGNAT oder Anschlussproblemen), den AVM‑Support (modell‑spezifische Fragen zur FRITZ!Box) und falls nötig den Hersteller des VPN‑Clients/Providers. Halten Sie Modellnummer, FRITZ!OS‑Version und relevante Log‑Ausschnitte bereit.

Zusammenfassung

VPN‑Probleme mit der FRITZ!Box lassen sich systematisch eingrenzen: Zuerst Basischecks (Internet, MyFRITZ!/DynDNS, IP‑Typ), dann Protokoll‑/Client‑Prüfungen und schließlich tiefergehende Änderungen (MTU, Firmware, Protokollwechsel). Achten Sie auf Modell‑ und Firmwareunterschiede, sichern Sie Einstellungen vor Änderungen und dokumentieren Sie Fehlermeldungen. Bei DS‑Lite/CGNAT ist häufig der ISP die Ursache für fehlende Erreichbarkeit von außen.

Quellen

• AVM — Service & Support (Dokumentationsstartseite): https://avm.de/service/
• AVM — Produktinformationen und Firmwareübersicht: https://avm.de/
• WireGuard — Offizielle Webseite: https://www.wireguard.com/
• Carrier‑Grade NAT (Erklärung): https://en.wikipedia.org/wiki/Carrier-grade_NAT