Beginnen Sie mit der Kurzfassung, wenn Sie über Budgets entscheiden — oder springen Sie zum technischen Deep Dive, wenn Sie die Infrastruktur betreiben.
Sechs Dinge, die Valenius für Ihre Organisation bedeutet, bevor es technisch wird.
Valenius läuft auf Ihren eigenen Servern. VPN-Schlüssel, Gerätedaten Ihrer Mitarbeiter und Logs verlassen nie Ihr Unternehmen — es gibt keine Hersteller-Cloud, aus der sie austreten könnten, und keinen Dritten, dem Sie vertrauen müssen.
Die Stranto Business Solutions GmbH hat ihren Sitz in der EU. Keine Exposition gegenüber dem US-CLOUD-Act, keine Datentransfers in Drittländer, die Sie Ihrem Datenschutzbeauftragten erklären müssten. DSGVO-Konformität ergibt sich aus der Architektur selbst — ob Sie selbst hosten oder unsere EU-Managed-Cloud nutzen.
Ihre Mitarbeiter verbinden sich mit einem Klick am Notebook oder einem Tipp in der mobilen App mit dem VPN — ohne Administratorrechte auf ihren Geräten zu besitzen. Weniger Rechte bedeuten weniger Sicherheitsvorfälle und weniger Support-Tickets.
Die Kernplattform ist unter der AGPLv3-Lizenz veröffentlicht. Ihr Sicherheitsteam — oder jeder andere — kann genau nachlesen, was die Software tut. Keine Blackbox, kein verstecktes Phone-Home.
Die Community-Edition ist kostenlos, ohne Gerätelimit und ohne Testfrist. Sie zahlen nur, wenn Sie Automatisierung (Pro) wünschen oder möchten, dass wir es für Sie hosten — und Sie können jederzeit aufhören, ohne Ihre Einrichtung zu verlieren.
Sie betreiben bereits ein WireGuard®-VPN? Valenius verwaltet es ab dem ersten Tag — kein Austausch, kein Migrationsprojekt. Ihr bestehender Server, Ihre Firewall oder VM macht einfach weiter.
Wie Valenius tatsächlich funktioniert: die Client-Architektur, die Management-Ebene und die Pro-Automatisierungsebene.
Ein privilegierter Systemdienst besitzt den WireGuard®-Tunnel; Nutzer kommunizieren mit ihm über eine App im Infobereich via lokalem IPC-Kanal, der den aufrufenden Nutzer authentifiziert. Keine UAC-Abfragen, kein sudo, kein gemeinsames Admin-Passwort — und integrierte Profiltrennung pro Nutzer.
Nachdem der Tunnel steht, prüft Valenius Ihren Server durch den Tunnel und wechselt erst dann zum grünen Häkchen, wenn die Prüfung erfolgreich ist — „verbunden“ bedeutet also Ende-zu-Ende verifiziert, nicht nur „Schnittstelle aktiv“.
Die Android- und iOS-Apps teilen sich eine Codebasis und bieten daher denselben Verbinden/Trennen-Ablauf sowie dasselbe verifizierte Verbindungshäkchen wie die Desktop-Clients — die App zeigt Ihre VPN-Profile auch bei einer kurzen Verbindungsunterbrechung weiter an, statt einen Fehler anzuzeigen.
Neue Geräte werden durch Scannen eines QR-Codes aktiviert — keine Konfiguration auf einer Handytastatur eintippen.
Jeder Client hält einen Heartbeat sowie einen Long-Poll-Kanal zu Ihrem Backend aufrecht. Ein Gerät erscheint Sekunden nach dem Öffnen der App im Infobereich als online — und als offline, sobald der Nutzer sie beendet, denn der Client meldet sich aktiv ab, statt auf ein Timeout zu warten.
Das echte Admin-Panel — Live-Überblick über den Gerätebestand
Ein schlanker Sidecar läuft neben Ihrer WireGuard®-Schnittstelle und stellt dem Backend eine Management-API bereit. Geben Sie ein Gerät im Panel frei — es erhält ein Schlüsselpaar, eine IP aus dem Subnetz der Schnittstelle und eine vollständige Konfiguration, ohne dass jemand eine .conf-Datei anfasst.
Die Einrichtung erfolgt über einen einzigen Enrollment-Token: Der Sidecar erzeugt seinen eigenen privaten Schlüssel, sendet eine Signieranfrage an Ihr Backend und erhält sein Zertifikat automatisch. Der Token ist einmalig und wird bei der Nutzung verbraucht.
Bevor Sie einem Kunden sagen, dass sein VPN läuft, kann das Admin-Panel das für Sie prüfen. „Ports prüfen“ testet jeden eingehenden Port, den der WireGuard®-Host benötigt — die UDP-Ports werden mit einem echten WireGuard®-Handshake bestätigt, nicht mit einem Ping, sodass ein bestandener Test beweist: Der Port ist erreichbar, der Schlüssel des Servers stimmt, und die Peer-Bereitstellung funktioniert tatsächlich.
„Test ausführen“ geht weiter und lässt den Server sich selbst untersuchen: IP-Weiterleitung, NAT, Firewall-Weiterleitungsregeln, vorgelagertes Routing und Konfigurationsabweichungen. Das erkennt den verwirrendsten VPN-Fehler überhaupt — einen Tunnel, der sich verbindet, als verbunden angezeigt wird und trotzdem keinen Datenverkehr überträgt. Von außerhalb des Servers ist das nicht erkennbar.
Jeder von Pro verwaltete WireGuard®-Server kann zusätzlich auf UDP 443 antworten — der Port, den Hotel-WLAN, Gäste-Netzwerke und streng abgeriegelte Firmen-Firewalls fast immer offen lassen, weil dort HTTPS läuft. Beide Ports laufen gleichzeitig, per Kunde umschaltbar im Admin-Panel, und Clients versuchen automatisch den Fallback-Port, sobald ein Verbindungsversuch blockiert wird — ohne manuelle Profiländerung, ohne Support-Ticket.
Das ist eine Ausfallsicherheit, die die meisten WireGuard®-basierten Wettbewerber schlicht nicht bieten, weil dafür eine echte Management-Ebene auf der Serverseite nötig ist, um zwei Ports sicher zu betreiben und dem Client automatisch den richtigen zuzuweisen. Für Ihre Nutzer wird ein restriktives Netzwerk kein Grund mehr, die IT anzurufen.
Jeder Aufruf zwischen Ihrem Backend und Ihren WireGuard®-Servern ist beidseitig authentifiziertes TLS: Das Backend betreibt eine eigene interne Zertifizierungsstelle, und ein Server ohne gültiges Client-Zertifikat erhält nichts außer einem Health-Endpunkt.
Auf Endgeräten sind Konfigurationen an das Systemkonto gebunden und auf jeder Plattform im Ruhezustand verschlüsselt — in beiden Editionen. Standardnutzer können sich verbinden, aber niemals einen privaten Schlüssel lesen; selbst ein direkter Festplattenzugriff legt keinen offen.
Pro kann auch den Tunnel selbst absichern: Servererzwungene Multi-Faktor-Authentifizierung bedeutet, dass die VPN-Sitzung eines Nutzers erst nach einem verifizierten zweiten Faktor Daten überträgt — ein direkter Baustein für Zugangskontrollen im Sinne von NIS2.
MFA ist pro Gruppe konfigurierbar, nicht alles-oder-nichts — strengere Prüfungen für Admins, leichtere für den Arbeitsalltag. Statt einen Code einzutippen, können Nutzer eine Verbindung per Tipp und Face ID/Fingerabdruck auf einem zweiten Gerät bestätigen. Und sie betrifft nur den Nutzerzugang: Maschine-zu-Maschine- und Standort-zu-Standort-Verbindungen werden nie unterbrochen.
Clients prüfen Ihr Backend — nicht einen Herstellerserver — auf Updates und installieren sie automatisch innerhalb einer Stunde. Sie brauchen es sofort? „Update erzwingen“ im Panel löst beim nächsten Heartbeat einen sofortigen einmaligen Rollout aus. Jeder Download wird per Prüfsumme verifiziert, bevor ein einziges Byte installiert wird.
Pro-Appliances gehen weiter: Der Update-Agent startet die neue Version neben der laufenden, prüft sie wiederholt per Health-Check, schaltet die Produktion nur bei Erfolg um und beobachtet sie danach weiter — mit automatischem Rollback, falls sich die neue Version fehlerhaft verhält.
Alles, was im Panel administrativ möglich ist, kann Pro auch über eine berechtigungsgesteuerte REST-API: Clients und Kunden anlegen und bearbeiten, Peers provisionieren, ein Gerät verbinden oder zwangsweise trennen, MFA-Richtlinien setzen, QR-Kopplungscodes erzeugen, Traffic- und Audit-Daten abrufen. Die OpenAPI-3.1-Spezifikation wird offen von Ihrem eigenen Backend ausgeliefert — Visual Studio, Postman, n8n oder ein RMM importieren sie direkt über die URL und erzeugen daraus einen typisierten Client, ganz ohne Token allein zum Lesen der Spezifikation.
Dieselbe Oberfläche steht zusätzlich als MCP-Server bereit — das Protokoll, über das Claude, Gemini, OpenAI und Mistral externe Werkzeuge aufrufen. Richten Sie einen Assistenten auf Ihr Backend und fragen Sie in natürlicher Sprache: „Welche Clients haben sich diese Woche nicht gemeldet?“, „Trenne den Tunnel des gestohlenen Notebooks“, „Lege einen neuen Kunden namens Acme an“. Darunter ist jede Anfrage ein ganz gewöhnlicher API-Aufruf — dasselbe Token, dieselben Rechte, derselbe Audit-Eintrag.
Den Zugriff gestalten Sie. Ein Token trägt nur die Berechtigungen, die Sie anhaken — ein Triage-Assistent darf die Flotte also ansehen, ohne irgendetwas ändern zu können; das Recht zu handeln kommt als bewusste, separate Entscheidung hinzu. Binden Sie ein Token an einen Kunden, sieht es die übrigen nie. Ein Widerruf wirkt sofort, und jede Aktion wird unter dem Namen dieses Tokens im Audit-Log festgehalten.
Die Community-Edition ist kostenlos, selbst gehostet und enthält jede Funktion, die Sie gerade gelesen haben — bis auf die Pro-Automatisierung.
