Eigentlich bin ich da konservativ. Läuft die Kiste, fasse ich sie nicht an. Die FRITZ!Box 7690 macht hier ihren Job, versorgt das ganze Haus, kein Gezicke, keine spontanen Neustarts.
Dann stolpere ich im Changelog vom neuesten FritzBox Update über einen unscheinbaren Satz von AVM – und merke, dass mein VPN bisher nur so halb das getan hat, was ich ihm zugeschrieben habe.
Kurzfassung: WireGuard auf der FritzBox konnte lange Zeit zwar IPv4 tunneln, IPv6 aber gern mal einfach durchwinken. Und genau das wurde jetzt gefixt. Wirklich gefixt.
Was vorher schief lief (und warum das mehr als ein Detail ist)
Wenn ich unterwegs WireGuard anschalte, erwarte ich ein simples Versprechen: Alles geht durch den Tunnel. Nicht „alles außer…“. Bisher war es aber so:
- IPv4 lief sauber über den Tunnel (
0.0.0.0/0). - IPv6 dagegen oft direkt ins jeweilige WLAN oder Mobilfunknetz.
Bahn-WLAN, Hotel, Café – völlig egal. Technisch korrekt nennt man das einen Traffic Leak. Praktisch bedeutet es: Ein Teil deiner Verbindungen umgeht dein VPN komplett. Das merkt man nicht sofort. Webseiten laden, Apps funktionieren, alles fühlt sich sicher an. Ist es aber nicht.
IPv6 ist dabei kein Exot mehr. Viele Anschlüsse, gerade DS-Lite, setzen massiv darauf. Und ja, auch Dienste im Heimnetz hängen inzwischen gern ausschließlich an IPv6.
Kurz erklärt: IPv6 ist der moderne IP-Standard mit extrem vielen Adressen. Wenn dein VPN den nicht tunnelt, ist das wie eine Haustür mit modernem Schloss, aber offenem Fenster.
Das neue FritzBox Update: Eine Zeile, großer Effekt
In den aktuellen Labor-Versionen von FRITZ!OS für die 7690 steht sinngemäß: „Auch IPv6-Daten können nun über einen WireGuard-VPN-Tunnel übertragen werden.“
Keine große Ankündigung, kein Marketing-Feuerwerk. Aber technisch ist das der entscheidende Punkt. Endlich echtes Full-Tunneling, auch für IPv6. Heißt: Unterwegs greife ich sauber auf mein Heimnetz zu, inklusive IPv6-only-Dienste wie Home Assistant oder Container-Kram. Und mein Traffic bleibt dort, wo er hingehört.
NordVPN auf der FritzBox (Mach’s gleich richtig)
Hör auf, auf jedem einzelnen Gerät eine eigene VPN-App laufen zu lassen. Das nervt nur und saugt dir den Handy-Akku leer.
Wenn wir hier eh schon am WireGuard schrauben: Pack NordVPN direkt auf den Router. Damit läuft der komplette Traffic aus deiner Hütte anonym raus – egal ob vom Laptop, Handy oder dem Smart-TV, der sonst nach Hause telefoniert. Wie du das sauber einrichtest, ohne durchzudrehen, haben wir aufgeschrieben.
Zur Anleitung: NordVPN & WireGuard direkt auf der Box einrichten
Warum das Update allein nicht reicht (Der „AVM-Moment“)
Jetzt kommt der Teil, bei dem man kurz denkt, man sei selbst schuld. Update installiert, VPN am Handy aktiviert, IPv6 geprüft – nichts. Kein IPv6-Traffic im Tunnel.
Der Grund ist banal und ein bisschen typisch: Bestehende WireGuard-Profile werden nicht automatisch angepasst. Die FritzBox lernt alten Verbindungen kein neues Verhalten an. Dual-Stack gibt es nur für frisch erzeugte Konfigurationen. Heißt übersetzt: Dein VPN ist technisch besser, weiß es aber noch nicht.
Die Lösung (ja, nervig, aber einmalig)
So habe ich es gelöst:
- Alte WireGuard-Verbindung löschen Komplett. Kein Bearbeiten, kein „mal schauen“.
- Neue Verbindung anlegen Erst jetzt erzeugt FRITZ!OS eine Config mit IPv4 und IPv6 (
::/0). - Clients neu koppeln QR-Code scannen, Profile neu importieren, fertig.
Danach läuft IPv6 sauber durch den Tunnel. Testbar, messbar, kein Ratespiel.
Kurz erklärt:
::/0ist das IPv6-Pendant zu0.0.0.0/0. Damit sagst du dem Router: Alles geht durch das VPN.
Fazit zum FritzBox Update: Pflicht, aber mit Sternchen
Wenn du WireGuard regelmäßig nutzt, vor allem unterwegs oder an DS-Lite-Anschlüssen, ist dieses Update auf die 7690 kein Nice-to-have. Es schließt ein echtes Sicherheitsloch. Der Mehraufwand durch das Neuaufsetzen der Verbindungen ist überschaubar und einmalig.
Wenn du eher gemütlich unterwegs bist und keine Lust auf Labor-Versionen hast: Warten ist okay. Aber merk dir schon mal, was ansteht. Beim offiziellen Release heißt es nicht nur „Update klicken“, sondern auch „VPN neu einrichten“.
Ich hätte mir gewünscht, dass AVM das deutlicher kommuniziert. Aber immerhin: Jetzt ist das Fenster zu. Und genau das wollte ich von Anfang an.
