WG Tunnel Desktop: Mehr als nur ein WireGuard-Client für Windows, Linux und macOS
Wer WireGuard nutzt, kennt das Prinzip: Konfiguration importieren, Verbindung einschalten, fertig. Für viele Einsatzzwecke reicht das völlig aus. Sobald man aber mehrere VPN-Verbindungen verwalten, den Datenverkehr gezielter steuern oder eine Verbindung beim Wechsel des Netzwerks automatisch anpassen möchte, stößt man mit einem einfachen VPN-Client schnell an Grenzen.
Kein VPN-Anbieter: Eine eigene WireGuard- oder AmneziaWG-Konfiguration wird weiterhin benötigt.
EINFÜHRUNG
Wenn ein einfacher Schalter nicht mehr reicht
Genau hier setzt WG Tunnel Desktop an. Das Open-Source-Projekt erweitert WireGuard um zahlreiche Funktionen, die man sonst eher aus umfangreicheren VPN-Lösungen kennt. Dazu gehören ein systemweiter Kill Switch, automatische Tunnelaktivierung, DNS-Steuerung, ein lokaler Proxy und inzwischen sogar Multihop-Verbindungen.
WG Tunnel ist übrigens kein neues Projekt. Die Android-App gibt es schon deutlich länger und sie hat sich dort mit zahlreichen Zusatzfunktionen etabliert. Mit der Desktop-Version bringt Entwickler Zane Schepke einen großen Teil dieses Funktionsumfangs auf den PC – inzwischen für Windows, Linux und macOS mit Apple Silicon.
Aktuell ist WG Tunnel Desktop 2.4.1, veröffentlicht am 17. Oktober 2026.
ÜBERBLICK
Was ist WG Tunnel Desktop eigentlich?
WG Tunnel Desktop ist ein alternativer, quelloffener Client für WireGuard und AmneziaWG. Die Anwendung verwendet weiterhin die bewährte VPN-Technik, ergänzt sie aber um Funktionen für Automatisierung, Sicherheit und komfortablere Verwaltung.
Das Projekt steht unter der MIT-Lizenz und wird auf GitHub entwickelt. Die Desktop-Version teilt sich wesentliche Teile ihrer Tunnel-, DNS- und Wiederherstellungslogik mit der Android-App. Dadurch kommen viele Funktionen, die man bisher vor allem vom Smartphone kannte, auch auf den Desktop.
FUNKTIONEN
Diese Funktionen bringt WG Tunnel Desktop mit
Die Liste ist inzwischen ziemlich umfangreich. Nicht jede Funktion ist für jeden Nutzer notwendig. Gerade in Kombination können die einzelnen Möglichkeiten aber einen spürbaren Unterschied machen.
WireGuard und AmneziaWG
WG Tunnel unterstützt klassische WireGuard-Tunnel und AmneziaWG. AmneziaWG erweitert WireGuard um Möglichkeiten zur Verschleierung des Datenverkehrs, die in geeigneten Umgebungen helfen können, bestimmte Formen der Protokollerkennung zu umgehen.
Laut Projekt unterstützt die Desktop-Version AmneziaWG 2.0 bis 3.1. Ob das im eigenen Netzwerk einen Vorteil bringt, hängt unter anderem von der eingesetzten Gegenstelle und den jeweiligen Einschränkungen ab.
Auto-Tunneling: VPN automatisch aktivieren
Mit Auto-Tunneling lassen sich VPN-Verbindungen abhängig von den Eigenschaften des aktiven Netzwerks automatisch aktivieren. Die Desktop-Variante ist dabei etwas einfacher gehalten als die Android-Version.
Das ist beispielsweise praktisch, wenn ein Notebook im eigenen WLAN anders arbeiten soll als unterwegs oder in einem fremden Netzwerk. Statt jedes Mal manuell den richtigen Tunnel einzuschalten, kann WG Tunnel die Verbindung anhand der erkannten Netzwerkbedingungen verwalten.
Unter macOS wurde die WLAN-Erkennung in Version 2.4.1 weiter verbessert. Dafür benötigt die Anwendung entsprechende Standort- beziehungsweise WLAN-Berechtigungen.
Deferred Endpoint Bootstrapping: Schutz schon beim Start
Eine der interessantesten Funktionen steckt weniger in der Oberfläche als in der Art, wie WG Tunnel den Verbindungsaufbau behandelt. Viele VPN-Clients müssen zunächst die Adresse des Gegenübers auflösen, bevor der Tunnel vollständig gestartet werden kann. Wenn DNS gerade nicht funktioniert oder das Netzwerk langsam reagiert, kann sich der Aufbau verzögern.
WG Tunnel geht einen anderen Weg: Zunächst werden die Tunnel-Schnittstelle, Routen und Firewall-Regeln eingerichtet. Die Auflösung der Gegenstellen erfolgt anschließend im Hintergrund und wird bei Bedarf wiederholt.
Der Vorteil: Der Schutz soll nicht erst dann beginnen, wenn die Gegenstelle erfolgreich aufgelöst wurde. Das kann die Zeit verringern, in der der normale Netzwerkverkehr noch nicht durch den Tunnel geschützt ist. Das ist besonders interessant bei instabilen Verbindungen oder wenn ein VPN möglichst zuverlässig beim Systemstart verfügbar sein soll. Es ist allerdings kein Freifahrtschein: Die tatsächliche Schutzwirkung hängt weiterhin von der Konfiguration und den Firewall-Regeln ab.
Kill Switch: Verbindungen bei einem Ausfall blockieren
Ein Kill Switch soll verhindern, dass Netzwerkverkehr ungewollt über die normale Internetverbindung läuft, wenn ein VPN-Tunnel ausfällt oder nicht verfügbar ist. Bei WG Tunnel Desktop ist der Kill Switch eine eigenständige systemweite Einstellung. Er hängt also nicht ausschließlich davon ab, ob gerade ein bestimmter Tunnel aktiv ist.
Zusätzlich lässt sich der Schutz für den Systemstart wiederherstellen. Nach einem Neustart kann WG Tunnel die entsprechenden Regeln erneut anwenden.
Je nach Konfiguration kann es außerdem wichtig sein, lokalen LAN-Verkehr gezielt zu erlauben. Genau in diesem Bereich gab es in Version 2.4.0 und 2.4.1 weitere Fehlerkorrekturen. Wer den Kill Switch nutzt, sollte nach dem Update prüfen, ob die gewünschte Erreichbarkeit lokaler Geräte erhalten bleibt.
Tunnel und Gruppen verwalten
WG Tunnel bietet mehr als eine einfache Liste mit Einträgen zum Ein- und Ausschalten. Tunnel lassen sich importieren, exportieren und bearbeiten. Hinzu kommen Sortiermöglichkeiten, Live-Statistiken und Tunnel-Gruppen.
Gerade wer mehrere Standorte, Server oder unterschiedliche Einsatzzwecke hat, profitiert davon. Beispielsweise lassen sich Verbindungen für das Heimnetz, einen Serverstandort oder den Zugriff auf bestimmte interne Dienste übersichtlicher organisieren.
Die Statistiken zeigen unter anderem die Laufzeit der Verbindung. Im Proxy-Modus werden außerdem Informationen zur aktiven Proxy-Adresse und zum Authentifizierungsstatus angezeigt.
Multihop: VPN-Verbindungen hintereinander schalten
Mit Desktop-Version 2.4.0 kam die Unterstützung für Multihop-Verbindungen hinzu. Dabei wird ein Tunnel innerhalb eines anderen Tunnels verwendet. Vereinfacht gesagt läuft der Datenverkehr damit nicht nur über eine einzelne VPN-Verbindung, sondern über mehrere aufeinanderfolgende Stationen. Das kann für spezielle Netzwerktopologien oder bewusst getrennte Verbindungswege interessant sein.
Allerdings gilt auch hier: Mehr Hops bedeuten nicht automatisch mehr Sicherheit. Entscheidend ist, wer die einzelnen Endpunkte betreibt, wie die Routen eingerichtet sind und welchem Zweck die zusätzliche Station dient. Außerdem können zusätzliche Stationen Latenz und Komplexität erhöhen.
WEITERE FUNKTIONEN
Proxy, DNS, Systemdienst und mehr
Lokaler Proxy: VPN für ausgewählte Anwendungen nutzen
WG Tunnel kann eine VPN-Verbindung über einen lokalen HTTP- oder SOCKS-Proxy bereitstellen. Anwendungen, die einen solchen Proxy unterstützen, können den Tunnel dadurch gezielt verwenden. Das ist eine interessante Alternative, wenn nicht der gesamte Rechnerverkehr über das VPN laufen soll.
Die Desktop-Version unterstützt HTTP, SOCKS4 und SOCKS5. SOCKS4 wurde in Version 2.4.0 ergänzt; Version 2.4.1 behebt unter anderem Probleme im Proxy-Modus mit benutzerdefiniertem Tunnel-DNS.
Dabei sollte man die Grenzen kennen: Ein Proxy wirkt nur für Programme, die tatsächlich über ihn kommunizieren. Er ist nicht dasselbe wie ein systemweiter VPN-Tunnel.
Split DNS und verschlüsseltes DNS
DNS-Anfragen lassen sich durch den Tunnel leiten. WG Tunnel unterstützt dafür klassisches DNS sowie verschlüsselte Varianten über DNS-over-TLS (DoT) und DNS-over-HTTPS (DoH). Zusätzlich kann DNS anhand von Domain-Suffixen aufgeteilt werden. Bestimmte Domains können dadurch über den Tunnel aufgelöst werden, während andere die System-DNS-Konfiguration verwenden.
Das ist vor allem in Umgebungen mit internen Domains interessant. Ein Beispiel wäre ein Heimnetz, in dem interne Hostnamen nur über einen bestimmten VPN-Server aufgelöst werden können.
Eine wichtige Einschränkung: Die Desktop-Version bietet kein App-basiertes Split Tunneling wie die Android-App. Die DNS-Aufteilung nach Domains ist davon zu unterscheiden – sie legt fest, wie Namen aufgelöst werden, nicht pauschal, welche Anwendung welchen Netzwerkweg nimmt.
Dynamische DNS- und IPv6-Behandlung
Wer einen VPN-Endpunkt mit dynamischer IP-Adresse betreibt, kennt das Problem: Ändert sich die öffentliche Adresse, kann die bisherige Verbindung ins Leere laufen. WG Tunnel kann Änderungen erkennen und Endpunkte aktualisieren, ohne dass die Anwendung dafür komplett neu gestartet werden muss.
Auch IPv6 wird berücksichtigt. Je nach Netzwerkbedingungen kann WG Tunnel IPv6-Endpunkte bevorzugen oder auf IPv4 zurückfallen. Das soll Verbindungen robuster machen, wenn ein Netzwerk IPv6 nur teilweise oder gar nicht unterstützt.
Gerade bei wechselnden WLANs, mobilen Anschlüssen oder selbst betriebenen VPN-Endpunkten können solche Funktionen im Alltag helfen.
Systemdienst statt ausschließlich grafischer Anwendung
Ein weiterer Unterschied zu einer rein grafischen Anwendung: WG Tunnel Desktop besteht nicht nur aus dem sichtbaren Fenster. Ein eigenständiger Systemdienst kümmert sich um den Tunnelbetrieb.
Das bedeutet, dass der VPN-Tunnel weiterlaufen kann, auch wenn die grafische Oberfläche geschlossen ist. Zusammen mit der Wiederherstellung beim Systemstart ist das sinnvoll für Rechner, die dauerhaft erreichbar sein sollen oder auf denen ein VPN zuverlässig im Hintergrund laufen muss.
Die grafische Oberfläche kann außerdem in den System-Tray minimiert werden. Ein Statussymbol informiert über den Verbindungszustand.
Verschlüsselte Speicherung sensibler Daten
VPN-Konfigurationen enthalten sensible Informationen, etwa private Schlüssel und Endpunktdaten. WG Tunnel speichert Tunnelkonfigurationen und weitere vertrauliche Daten laut Projekt verschlüsselt in einer lokalen Datenbank mit AES-256-GCM. Der Schlüssel für diese Verschlüsselung wird im Schlüsselbund beziehungsweise im Anmeldeinformationsspeicher des Betriebssystems abgelegt.
Das ist eine sinnvolle zusätzliche Schutzmaßnahme. Sie ersetzt allerdings weder eine sichere Benutzerkontenverwaltung noch die Sicherung des Rechners selbst.
Automatische Updates und weitere Desktop-Funktionen
WG Tunnel besitzt einen integrierten Updater mit Update-Benachrichtigungen. Die automatische Aktualisierung ist laut Projekt für Windows-Installationen sowie direkt installierte .deb– und .rpm-Pakete vorgesehen. Andere Linux-Installationswege können manuelle Updates erfordern.
Außerdem wurde die Anwendung als natives Programm auf Basis von GraalVM umgesetzt, statt eine komplette Java-Laufzeitumgebung mitzuliefern. Der Entwickler nennt dadurch kürzere Startzeiten und einen geringeren Speicherbedarf als wichtige Ziele dieser Umstellung.
Unter Linux unterstützt die Anwendung Wayland nativ und kann bei Bedarf auf X11 zurückfallen.
AKTUELLE VERSION
Was ist in Version 2.4.1 neu?
Die aktuelle Version 2.4.1 erschien am 17. Oktober 2026. Sie ist vor allem ein Wartungs- und Verbesserungsupdate mit einigen wichtigen Korrekturen:
- Langsame Tunnelstarts unter Windows wurden verbessert.
- Unter macOS kamen Verbesserungen an der WLAN-Erkennung für Auto-Tunneling hinzu.
- Das Verhalten der Anwendung im macOS-Dock wurde korrigiert.
- Probleme im Proxy-Modus mit benutzerdefiniertem Tunnel-DNS wurden behoben.
- Die Unterstützung für getunnelte virtuelle Maschinen unter macOS wurde ergänzt beziehungsweise verbessert.
- Zusätzlich gab es weitere Korrekturen und Aktualisierungen.
Bereits Version 2.4.0 hatte Multihop, SOCKS4-Unterstützung, Verbesserungen bei Tunnel-Gruppen, Korrekturen am Kill Switch und Optimierungen für den Tunnelstart unter Windows eingeführt.
Wer WG Tunnel bereits einsetzt, sollte deshalb die Release Notes im Blick behalten. Gerade bei einem VPN-Client können Fehlerkorrekturen an Firewall-Regeln, DNS oder dem Verbindungsaufbau wichtiger sein als neue Funktionen auf der Oberfläche.
INSTALLATION
So kommt WG Tunnel auf den Rechner
Die Installation unterscheidet sich je nach Betriebssystem. Lade die Anwendung am besten direkt aus dem offiziellen GitHub-Projekt herunter. Dort findest du die passenden Pakete für Windows, Linux und macOS.
Windows 10 und Windows 11
Voraussetzung ist Windows 10 ab Version 1803 oder neuer.
- Öffne die Release-Seite auf GitHub.
- Lade die aktuelle Windows-Installationsdatei mit der Endung
.exeherunter. - Starte den Installer und bestätige die erforderliche Administratorabfrage.
- Dadurch kann der Systemdienst eingerichtet werden, der für Tunnel, Routen und Firewall-Regeln benötigt wird.
- Starte anschließend WG Tunnel und importiere deine vorhandene WireGuard-Konfiguration.
Alternativ kann die Installation über WinGet erfolgen:
Wichtig bei einem Upgrade: Wer noch die alte Desktop-Version 1.x installiert hat, muss diese vor dem Wechsel auf Version 2.x deinstallieren. Die Installationsarchitektur wurde geändert; die alte und die neue Version können nicht parallel bestehen.
macOS auf Apple Silicon
Die Desktop-Version unterstützt macOS 13 (Ventura) oder neuer auf Macs mit Apple Silicon. Intel-Macs werden derzeit nicht unterstützt.
- Lade die aktuelle
.dmg-Datei von der GitHub-Release-Seite. - Öffne das Image und ziehe WG Tunnel in den Programme-Ordner.
- Starte die Anwendung.
- Erlaube den angeforderten Hintergrunddienst in den macOS-Systemeinstellungen.
Alternativ ist die Installation über Homebrew möglich:
Beim ersten Start muss macOS den Hintergrunddienst freigeben. Die Anwendung führt dich zu der entsprechenden Einstellung.
Linux: Debian und Ubuntu
Für Debian- und Ubuntu-basierte Systeme gibt es ein eigenes APT-Repository. Der Installationsweg laut Projekt:
Wie bei jedem Installationsskript aus dem Internet empfiehlt es sich, das Skript vor der Ausführung zu prüfen. Alternativ kannst du das .deb-Paket direkt von GitHub laden und lokal installieren:
Linux: Fedora und RHEL
Für Fedora und RHEL steht ein COPR-Repository zur Verfügung:
Alternativ kannst du das aktuelle .rpm-Paket aus den GitHub-Releases herunterladen und installieren.
Linux: Arch Linux
Für Arch Linux ist das Paket über das AUR verfügbar:
Bei einer direkten Installation des .pacman-Pakets muss der Dienst anschließend aktiviert und gestartet werden:
Linux-Hinweise
Die Firewall muss nftables oder iptables mit dem nft-Backend verwenden. Bei systemd-basierten Distributionen startet der Dienst automatisch beim Systemstart. Bei anderen Init-Systemen ist zusätzliche Einrichtung erforderlich.
Snap, Flatpak und AppImage werden vom Projekt derzeit nicht angeboten.
ERSTER TUNNEL
Nach der Installation: Den ersten Tunnel einrichten
Wenn WG Tunnel installiert ist, brauchst du eine bestehende WireGuard- oder AmneziaWG-Konfiguration. Das ist in der Regel eine .conf-Datei, die du von deinem VPN-Server oder Router erhältst.
Konfiguration importieren
Öffne WG Tunnel und importiere deine Konfiguration über die Tunnelverwaltung.
Einstellungen prüfen
Prüfe die Gegenstellenadresse, die erlaubten IP-Bereiche und die DNS-Einstellungen.
Tunnel aktivieren
Aktiviere den Tunnel und kontrolliere, ob der Handshake zustande kommt.
Zugriff testen
Teste den Zugriff auf die gewünschten Ziele – zum Beispiel interne Server oder Dienste im Heimnetz.
Kill Switch bewusst testen
Wenn du den Kill Switch verwenden möchtest, richte ihn bewusst ein und teste anschließend, was bei einem getrennten Tunnel passiert. Prüfe dabei auch, ob lokaler LAN-Verkehr, Drucker oder andere interne Geräte weiterhin wie gewünscht erreichbar sind.
Bei einer Proxy-Konfiguration muss außerdem die jeweilige Anwendung auf die lokale Proxy-Adresse eingestellt werden. Ein aktivierter WG-Tunnel allein bedeutet nicht automatisch, dass jedes Programm den lokalen Proxy nutzt.
VERGLEICH
WG Tunnel Desktop oder der normale WireGuard-Client?
Der offizielle WireGuard-Client ist keineswegs schlecht. Im Gegenteil: Er ist eine gute Wahl, wenn du klassische WireGuard-Konfigurationen möglichst einfach importieren und aktivieren möchtest. Er konzentriert sich bewusst auf das Wesentliche. WG Tunnel Desktop richtet sich eher an Nutzer, die mehr Kontrolle über das Verhalten ihrer VPN-Verbindungen benötigen.
| Funktion | Offizieller WireGuard-Client | WG Tunnel Desktop |
|---|---|---|
| Klassische WireGuard-Tunnel | Ja | Ja |
| AmneziaWG | Nein | Ja |
| Systemweiter Kill Switch | Nicht als vergleichbare integrierte Funktion | Ja |
| Auto-Tunneling nach Netzwerkbedingungen | Nicht in vergleichbarer Form integriert | Ja |
| Lokaler HTTP-/SOCKS-Proxy | Nicht integriert | Ja |
| Verschlüsseltes und aufgeteiltes DNS | Nicht in diesem Funktionsumfang integriert | Ja |
| Dynamische Endpunkt-Wiederherstellung | Nicht in diesem Funktionsumfang integriert | Ja |
| Multihop-Funktion in der Anwendung | Nicht integriert | Ja |
| Tunnel-Gruppen und erweiterte Verwaltung | Einfachere Verwaltung | Ja |
| Systemdienst und Wiederherstellung beim Booten | Abhängig vom Betriebssystem und der Integration | Als Desktop-Funktion vorgesehen |
Der Vergleich bezieht sich auf die integrierten Funktionen der jeweiligen Anwendungen. WireGuard selbst ist das Protokoll; was sich mit dem offiziellen Client erreichen lässt, kann je nach Betriebssystem, Netzwerk und zusätzlichen Systemwerkzeugen variieren.
Wo WG Tunnel besonders punktet
Der größte Vorteil ist die Kombination der Funktionen. Wer mehrere Tunnel betreibt, DNS gezielt steuern möchte, einen Proxy benötigt oder sicherstellen will, dass bei einem Tunnel-Ausfall nicht einfach der normale Internetzugang übernimmt, bekommt mit WG Tunnel viele dieser Möglichkeiten in einer Oberfläche.
Auch die Wiederherstellung nach einem Neustart und die automatische Behandlung wechselnder Endpunktadressen sind für Rechner interessant, die nicht nur gelegentlich manuell verbunden werden.
Wer dagegen nur einen einzigen Tunnel benötigt, den er bei Bedarf einschaltet, braucht nicht unbedingt einen zusätzlichen Client. In diesem Fall bleibt die offizielle WireGuard-Anwendung eine schlanke und unkomplizierte Lösung.
ANDROID
Und was ist mit der Android-Version?
WG Tunnel wurde ursprünglich für Android entwickelt und ist dort schon länger verfügbar. Viele der erweiterten Funktionen – etwa Auto-Tunneling, Proxy-Modus, DNS-Steuerung und Kill-Switch-Funktionen – stammen aus dieser Entwicklung.
Die Desktop-Version bringt einen großen Teil dieser Ideen auf den PC, ist aber kein vollständiger Klon der Android-App. Unterschiede gibt es unter anderem bei Split Tunneling, den Systemberechtigungen und der Integration in das jeweilige Betriebssystem.
Wer WG Tunnel bisher nur vom Smartphone kennt, findet mit der Desktop-Version also eine interessante Ergänzung für den eigenen Rechner.
Passend dazu: Unseren bereits veröffentlichten Beitrag zu den Neuerungen von WG Tunnel für Android findest du im RDDZ-Newsbereich. Dort behandeln wir die Android-Version getrennt von der Desktop-Reihe.
FAZIT
Für wen lohnt sich WG Tunnel Desktop?
WG Tunnel Desktop ist besonders dann interessant, wenn WireGuard zwar die richtige Basis ist, die Standardfunktionen des Clients aber nicht mehr ausreichen.
Die Kombination aus Kill Switch, Auto-Tunneling, DNS-Steuerung, Proxy-Modus, dynamischer Endpunktbehandlung und Tunnel-Gruppen macht die Anwendung zu einer vielseitigen Alternative. Mit AmneziaWG und Multihop kommen zusätzliche Möglichkeiten für spezielle Anforderungen hinzu.
Die Software ist Open Source und für Windows, Linux sowie Apple-Silicon-Macs verfügbar. Gleichzeitig sollte man im Hinterkopf behalten, dass ein VPN-Client mit Systemdienst, Firewall-Regeln und automatischer Wiederherstellung mehr Verantwortung trägt als ein einfacher Schalter im Fenster. Wer die erweiterten Funktionen nutzt, sollte die eigene Konfiguration deshalb sorgfältig prüfen.
Für alle, die WireGuard bereits einsetzen und mehr Kontrolle über ihre Verbindungen möchten, ist WG Tunnel Desktop definitiv einen Blick wert.
WireGuard-VPN für Team oder Standort einrichten?
Von der WireGuard-Anbindung bis zur Netzwerkplanung: Sprechen Sie uns an, wir unterstützen bei Konzept, Einrichtung und Betrieb.
