Valenius ist stark gewachsen. Diese Seite beginnt deshalb mit den sechs Dingen, die Sie anderswo nicht bekommen, dann folgt eine Tabelle, die klärt, was kostenlos ist und was nicht — und alle technischen Details stehen darunter, eingeklappt, bis Sie sie brauchen.
Viele Werkzeuge stellen eine Weboberfläche vor WireGuard®. Diese sechs Punkte sind die Gründe, warum Teams stattdessen Valenius wählen — und die ersten fünf können die kostenlosen Panels strukturell nicht leisten.
Ein privilegierter Systemdienst besitzt den Tunnel; der Nutzer spricht nur mit einer Tray-App. Ihre Mitarbeiter verbinden sich mit einem Klick auf einem gesperrten Notebook — ohne UAC-Abfrage, ohne sudo, ohne geteiltes Admin-Passwort und ohne privaten Schlüssel, den ein Standardbenutzer je lesen könnte.
Technische Details →Sie geben ein Gerät im Panel frei, und es erhält ein Schlüsselpaar, einen Preshared Key, eine IP aus dem Subnetz und eine fertige Konfiguration — niemand bearbeitet eine .conf-Datei, niemand startet ein Interface neu. Löschen Sie das Gerät, verschwindet auch der Peer auf dem Server.
Ihr Server antwortet zusätzlich auf UDP 443 — dem Port, den Hotel-WLANs und Gastnetze offen lassen, weil dort HTTPS liegt. Beide Ports sind gleichzeitig aktiv, und der Client wiederholt den Versuch automatisch über den Ausweichport. Das Ticket „das VPN funktioniert hier nicht“ bleibt aus.
Technische Details →Nicht nur am Admin-Panel — am VPN. Die Sitzung eines Nutzers transportiert erst nach einem geprüften zweiten Faktor Daten, serverseitig erzwungen, pro Gruppe, mit Push-Bestätigung als Alternative zur Code-Eingabe. Maschine-zu-Maschine-Verbindungen werden nie unterbrochen.
Technische Details →Jede Admin-Aktion ist über 50+ scope-basierte REST-Endpunkte mit öffentlicher OpenAPI-3.1-Spezifikation skriptbar, und dieselbe Oberfläche steht als MCP-Server bereit. Bitten Sie einen Assistenten, den Tunnel eines gestohlenen Notebooks zu kappen — daraus wird ein ganz normaler, protokollierter API-Aufruf.
Technische Details →
Valenius läuft auf Ihren eigenen Servern: Schlüssel, Gerätedaten und Logs verlassen das Unternehmen nie, weil es keine Hersteller-Cloud gibt, aus der sie austreten könnten. Der Kern steht unter AGPLv3, Ihr Sicherheitsteam kann also genau nachlesen, was er tut — und der Anbieter dahinter ist eine EU-GmbH, kein Adressat des US-CLOUD-Act.
Sicherheit & Vertrauen →Zwei Dinge überraschen regelmäßig: Die Community-Edition ist wirklich kostenlos — ohne Gerätelimit, ohne Testfrist — und Valenius verwaltet den WireGuard®-Server, den Sie bereits betreiben, ab dem ersten Tag. Kein Austausch, kein Migrationsprojekt.
Sie fragen sich, wie das gegen wg-easy, WGDashboard, WireGuard Portal oder WireGuard WebAdmin dasteht? Zum Funktionsvergleich im Detail →
Community ist die vollständige Plattform: unbegrenzte Geräte, alle fünf Client-Apps, zentrale Verwaltung, Sicherheit und Monitoring. Pro ergänzt die serverseitige Automatisierungsebene. Cloud ist Pro, wobei wir den Server betreiben.
| Funktion | Community | Self-hosted Pro | Cloud by Stranto |
|---|---|---|---|
| Clients & Nutzererlebnis | |||
| Client-Apps für Windows, Linux, macOS, Android & iOS | Ja | Ja | Ja |
| Verbindung per Klick ohne Administratorrechte | Ja | Ja | Ja |
| Verifizierte Konnektivitätsprüfung durch den Tunnel | Ja | Ja | Ja |
| Mehrere VPNs gleichzeitig am Desktop, QR-Kopplung am Handy | Ja | Ja | Ja |
| Automatischer Ausweichport UDP 443 für restriktive Netze | Nein | Ja | Ja |
| Zentrale Verwaltung | |||
| Unbegrenzt viele Geräte, Nutzer und Kunden | Ja | Ja | Ja |
| Live-Präsenz, Konfigurations-Push aus der Ferne, Einstellungen je Gerät | Ja | Ja | Ja |
| Audit-Log, Verbindungshistorie, bereinigte Log-Sammlung aus der Ferne | Ja | Ja | Ja |
| Verschlüsseltes Backup & Restore der gesamten Installation | Ja | Ja | Ja |
| Automatische Client-Updates aus Ihrem eigenen Backend | Ja | Ja | Ja |
| Vorkonfigurierte Installer je Kunde (Silent / MDM) | Ja | Ja | Ja |
| Serverseitige Verfügbarkeitsprüfung & Kill Tunnel aus der Ferne | Nein | Ja | Ja |
| Traffic-Statistiken & Dashboards je Client | Nein | Ja | Ja |
| Server-Automatisierung | |||
| Verwaltet einen bestehenden WireGuard®-Server (manueller Upload) | Ja | Ja | Ja |
| Zero-Touch-Provisionierung über den Pro-Sidecar | Nein | Ja | Ja |
| Automatische Vergabe von Schlüsseln, Preshared Keys und IPs | Nein | Ja | Ja |
| Mehrere isolierte Kunden auf einem WireGuard®-Host | Nein | Ja | Ja |
| Konnektivitäts-Selbsttest per Klick, per Handshake bestätigt | Nein | Ja | Ja |
| Appliance-Updates ohne Ausfall, Auto-Rollback, Rollout-Ringe | Nein | Ja | Ja |
| Sicherheit & Zugriffskontrolle | |||
| Konfigurationsverschlüsselung at rest + Dateirechte nur für das System | Ja | Ja | Ja |
| Anmeldung am Admin-Panel per OIDC + TOTP | Ja | Ja | Ja |
| Flottenweite Rotation des API-Schlüssels aus der Ferne | Ja | Ja | Ja |
| AGPLv3-Quellcode, den Sie selbst prüfen können | Ja | Kern | Kern |
| mTLS + interne CA zwischen Backend und WireGuard®-Servern | Nein | Ja | Ja |
| Serverseitig erzwungene MFA für den VPN-Zugang (TOTP / Push) | Nein | Ja | Ja |
| Monitoring & Integrationen | |||
| Prometheus-Metrik-Endpunkt + offizielles Zabbix-Template | Ja | Ja | Ja |
| Metriken je Gateway — Peers, Handshake-Alter, CPU, Speicher | Nein | Ja | Ja |
| Management-REST-API + öffentliche OpenAPI-3.1-Spezifikation | Nein | Ja | Ja |
| Eingebauter MCP-Server für KI-Assistenten | Nein | Ja | Ja |
| Betrieb, Lizenz & Support | |||
| Wo das Backend läuft | Ihre Infrastruktur | Ihre Infrastruktur | EU-Cloud von Stranto |
| Hosting, Updates und Backups durch Stranto | Nein | Nein | Ja |
| Lizenz | AGPLv3 | AGPLv3-Kern + kommerzielle Pro-Lizenz | Im Abonnement enthalten |
| Support | Community, über GitHub | In der Lizenz enthalten | Enthalten |
| Preis | Dauerhaft kostenlos | Sprechen Sie mit uns | ab 3,00 € / Endpunkt / Monat |
Cloud by Stranto enthält jede Pro-Funktion — der einzige Unterschied ist, wer den Server betreibt. Zu Preisen und Mengenstaffeln →
Zehn Funktionsbereiche, jeweils mit Architektur und technischen Daten. Nichts wurde gestrichen; es ist nur eingeklappt, damit die Seite lesbar bleibt.
Ein privilegierter Systemdienst besitzt den WireGuard®-Tunnel; Nutzer kommunizieren mit ihm über eine App im Infobereich via lokalem IPC-Kanal, der den aufrufenden Nutzer authentifiziert. Keine UAC-Abfragen, kein sudo, kein gemeinsames Admin-Passwort — und integrierte Profiltrennung pro Nutzer.
Nachdem der Tunnel steht, prüft Valenius Ihren Server durch den Tunnel und wechselt erst dann zum grünen Häkchen, wenn die Prüfung erfolgreich ist — „verbunden“ bedeutet also Ende-zu-Ende verifiziert, nicht nur „Schnittstelle aktiv“.
Die Android- und iOS-Apps teilen sich eine Codebasis und bieten daher denselben Verbinden/Trennen-Ablauf sowie dasselbe verifizierte Verbindungshäkchen wie die Desktop-Clients — die App zeigt Ihre VPN-Profile auch bei einer kurzen Verbindungsunterbrechung weiter an, statt einen Fehler anzuzeigen.
Neue Geräte werden durch Scannen eines QR-Codes aktiviert — keine Konfiguration auf einer Handytastatur eintippen.
Jeder Client hält einen Heartbeat sowie einen Long-Poll-Kanal zu Ihrem Backend aufrecht. Ein Gerät erscheint Sekunden nach dem Öffnen der App im Infobereich als online — und als offline, sobald der Nutzer sie beendet, denn der Client meldet sich aktiv ab, statt auf ein Timeout zu warten.
Das echte Admin-Panel — Live-Überblick über den Gerätebestand
Clients prüfen Ihr Backend — nicht einen Herstellerserver — auf Updates und installieren sie automatisch innerhalb einer Stunde. Sie brauchen es sofort? „Update erzwingen“ im Panel löst beim nächsten Heartbeat einen sofortigen einmaligen Rollout aus. Jeder Download wird per Prüfsumme verifiziert, bevor ein einziges Byte installiert wird.
Pro-Appliances gehen weiter: Der Update-Agent startet die neue Version neben der laufenden, prüft sie wiederholt per Health-Check, schaltet die Produktion nur bei Erfolg um und beobachtet sie danach weiter — mit automatischem Rollback, falls sich die neue Version fehlerhaft verhält.
Ein schlanker Sidecar läuft neben Ihrer WireGuard®-Schnittstelle und stellt dem Backend eine Management-API bereit. Geben Sie ein Gerät im Panel frei — es erhält ein Schlüsselpaar, eine IP aus dem Subnetz der Schnittstelle und eine vollständige Konfiguration, ohne dass jemand eine .conf-Datei anfasst.
Die Einrichtung erfolgt über einen einzigen Enrollment-Token: Der Sidecar erzeugt seinen eigenen privaten Schlüssel, sendet eine Signieranfrage an Ihr Backend und erhält sein Zertifikat automatisch. Der Token ist einmalig und wird bei der Nutzung verbraucht.
Bevor Sie einem Kunden sagen, dass sein VPN läuft, kann das Admin-Panel das für Sie prüfen. „Ports prüfen“ testet jeden eingehenden Port, den der WireGuard®-Host benötigt — die UDP-Ports werden mit einem echten WireGuard®-Handshake bestätigt, nicht mit einem Ping, sodass ein bestandener Test beweist: Der Port ist erreichbar, der Schlüssel des Servers stimmt, und die Peer-Bereitstellung funktioniert tatsächlich.
„Test ausführen“ geht weiter und lässt den Server sich selbst untersuchen: IP-Weiterleitung, NAT, Firewall-Weiterleitungsregeln, vorgelagertes Routing und Konfigurationsabweichungen. Das erkennt den verwirrendsten VPN-Fehler überhaupt — einen Tunnel, der sich verbindet, als verbunden angezeigt wird und trotzdem keinen Datenverkehr überträgt. Von außerhalb des Servers ist das nicht erkennbar.
Jeder von Pro verwaltete WireGuard®-Server kann zusätzlich auf UDP 443 antworten — der Port, den Hotel-WLAN, Gäste-Netzwerke und streng abgeriegelte Firmen-Firewalls fast immer offen lassen, weil dort HTTPS läuft. Beide Ports laufen gleichzeitig, per Kunde umschaltbar im Admin-Panel, und Clients versuchen automatisch den Fallback-Port, sobald ein Verbindungsversuch blockiert wird — ohne manuelle Profiländerung, ohne Support-Ticket.
Das ist eine Ausfallsicherheit, die die meisten WireGuard®-basierten Wettbewerber schlicht nicht bieten, weil dafür eine echte Management-Ebene auf der Serverseite nötig ist, um zwei Ports sicher zu betreiben und dem Client automatisch den richtigen zuzuweisen. Für Ihre Nutzer wird ein restriktives Netzwerk kein Grund mehr, die IT anzurufen.
Jeder Aufruf zwischen Ihrem Backend und Ihren WireGuard®-Servern ist beidseitig authentifiziertes TLS: Das Backend betreibt eine eigene interne Zertifizierungsstelle, und ein Server ohne gültiges Client-Zertifikat erhält nichts außer einem Health-Endpunkt.
Auf Endgeräten sind Konfigurationen an das Systemkonto gebunden und auf jeder Plattform im Ruhezustand verschlüsselt — in beiden Editionen. Standardnutzer können sich verbinden, aber niemals einen privaten Schlüssel lesen; selbst ein direkter Festplattenzugriff legt keinen offen.
Pro kann auch den Tunnel selbst absichern: Servererzwungene Multi-Faktor-Authentifizierung bedeutet, dass die VPN-Sitzung eines Nutzers erst nach einem verifizierten zweiten Faktor Daten überträgt — ein direkter Baustein für Zugangskontrollen im Sinne von NIS2.
MFA ist pro Gruppe konfigurierbar, nicht alles-oder-nichts — strengere Prüfungen für Admins, leichtere für den Arbeitsalltag. Statt einen Code einzutippen, können Nutzer eine Verbindung per Tipp und Face ID/Fingerabdruck auf einem zweiten Gerät bestätigen. Und sie betrifft nur den Nutzerzugang: Maschine-zu-Maschine- und Standort-zu-Standort-Verbindungen werden nie unterbrochen.
Alles, was im Panel administrativ möglich ist, kann Pro auch über eine berechtigungsgesteuerte REST-API: Clients und Kunden anlegen und bearbeiten, Peers provisionieren, ein Gerät verbinden oder zwangsweise trennen, MFA-Richtlinien setzen, QR-Kopplungscodes erzeugen, Traffic- und Audit-Daten abrufen. Die OpenAPI-3.1-Spezifikation wird offen von Ihrem eigenen Backend ausgeliefert — Visual Studio, Postman, n8n oder ein RMM importieren sie direkt über die URL und erzeugen daraus einen typisierten Client, ganz ohne Token allein zum Lesen der Spezifikation.
Dieselbe Oberfläche steht zusätzlich als MCP-Server bereit — das Protokoll, über das Claude, Gemini, OpenAI und Mistral externe Werkzeuge aufrufen. Richten Sie einen Assistenten auf Ihr Backend und fragen Sie in natürlicher Sprache: „Welche Clients haben sich diese Woche nicht gemeldet?“, „Trenne den Tunnel des gestohlenen Notebooks“, „Lege einen neuen Kunden namens Acme an“. Darunter ist jede Anfrage ein ganz gewöhnlicher API-Aufruf — dasselbe Token, dieselben Rechte, derselbe Audit-Eintrag.
Den Zugriff gestalten Sie. Ein Token trägt nur die Berechtigungen, die Sie anhaken — ein Triage-Assistent darf die Flotte also ansehen, ohne irgendetwas ändern zu können; das Recht zu handeln kommt als bewusste, separate Entscheidung hinzu. Binden Sie ein Token an einen Kunden, sieht es die übrigen nie. Ein Widerruf wirkt sofort, und jede Aktion wird unter dem Namen dieses Tokens im Audit-Log festgehalten.
Valenius stellt einen Prometheus-kompatiblen Metrik-Endpunkt bereit, damit das Monitoring-System, das Sie ohnehin betreiben, das VPN genauso überwachen kann wie Ihre Server — läuft das Backend, ist die Datenbank erreichbar, wie viel Lizenzlaufzeit bleibt, wie viele Geräte sind online. Enthalten in beiden Editionen: Observability gehört zum quelloffenen Kern und ist kein Pro-Aufpreis.
Für Zabbix gibt es ein fertiges, offizielles Template. Ein HTTP-Agent-Item fragt einmal pro Minute ab, und die in Zabbix eingebaute Prometheus-Vorverarbeitung leitet alles Weitere aus dieser einen Antwort ab — rund zwanzig Items für Control Plane und Lizenz sowie Items und Trigger pro Gateway, die die Low-Level-Discovery selbst findet. Kein Agent auf dem Backend, kein Skript auf dem Zabbix-Server und eine Anfrage pro Minute, egal wie groß die Flotte wird.
curl-CheckGET /api/v1/metrics, Prometheus-Textformatmonitoring:read, optionale CIDR-FreigabelisteValenius by HTTP, importgeprüft auf Zabbix 7.4, deklariert 7.0Die Community-Edition ist kostenlos, selbst gehostet und enthält jede Funktion, die Sie gerade gelesen haben — bis auf die Pro-Automatisierung.