Geschichte des VPN von PPTP bis WireGuard: 30 Jahre Evolution, Fehler und Geschwindigkeitsrekorde

Warum die Geschichte des VPNs im Jahr 2026 wichtig ist

Kontext: Das Internet hat sich verändert, und wir tunneln immer noch

Das Paradoxon ist einfach: Wir leben in einer Welt von Clouds, ZTNA und SASE – und trotzdem hält das gute alte VPN das Netz am Laufen. Es ist nicht verschwunden, sondern hat sich neu erfunden. In den Neunzigern klang das Wort Tunnel wie Magie. Heute ist es eine lebenswichtige Voraussetzung für Privatsphäre, Datenzugriff und reibungslose Zusammenarbeit verteilter Teams. Wenn du denkst, VPN sei einfach nur „einschalten und loslegen“, hast du nur halb recht. Der Teufel steckt – wie immer – im Protokoll.

Die VPN-Geschichte gleicht der Entwicklung von Autos: Von den ersten lauten Modellen mit primitiver Federung bis zu leisen, aber starken Elektrofahrzeugen. PPTP war das erste Auto – laut, auf dem Papier schnell, aber unsicher. WireGuard ist wie ein sportlicher Elektroflitzer: minimalistisch, schnell, zuverlässig. Unterschiedliche Klasse, unterschiedliche Zeiten. Aber die Straße bleibt dieselbe – unser Internet.

Warum es sich lohnt, das zu verstehen: Geschwindigkeit, Sicherheit, Umgehung von Beschränkungen

Das Wissen um die Protokollgeschichte hilft dir, fundierte Entscheidungen zu treffen – ohne zu raten. Welches VPN eignet sich für Business, das keine Verbindungsabbrüche zulässt? Wie schaltest du Zugang in Länder mit striktem DPI frei, wenn ein „normales“ VPN nicht funktioniert? Wie vermeidest du Speed-Einbußen von 60 % durch veraltete Verschlüsselung? Die Antworten liegen in der Vergangenheit – und in den Trends für 2026: QUIC, MASQUE, Post-Quantum-Kryptografie, hybride Topologien, automatisches Skalieren am Perimeter und natürlich Zero Trust.

Kurz gesagt: Wir gehen den Weg von PPTP bis WireGuard, erklären, warum manche Lösungen verschwunden sind, andere durchgestartet sind und wieder andere im Nischenbetrieb weiterleben. Und ja, es wird Praxis geben. Ganz ohne BlaBla.

Die Nullerjahre und die späten Neunziger: PPTP und die ersten Unternehmensknoten

PPTP: schneller Start, rascher Untergang

Das Point-to-Point Tunneling Protocol entstand Ende der 90er als ultrasimpler Zugang für Remote-Nutzer. Es basierte auf PPP und nutzte MPPE mit RC4 – bekannt, aber genau hier liegt seine Schwäche. MS-CHAPv2 wurde Anfang der 2010er innerhalb von Stunden geknackt und später automatisiert in Minuten. Heute ist PPTP mehr ein Museumsstück, das nur noch dort genutzt wird, wo Schwerfälligkeit herrscht und Sicherheit eher zweitrangig ist. Wir empfehlen es nicht, weder für kritische noch weniger sensible Einsätze – zu hoch sind die Risiken.

Seine historische Bedeutung ist dennoch groß: PPTP zeigte, dass Nutzer Einfachheit, Geschwindigkeit und eine Connect-Taste wollen. Dieses Bedürfnis besteht weiter. Und überraschenderweise trifft WireGuard diese Bedürfnisse heute ganz ohne kryptografische Schwachstellen.

L2TP ohne IPsec: ein Kompromiss, an den kaum jemand denkt

L2TP verschlüsselt Daten von sich aus nicht. Punkt. Es wurde oft mit IPsec kombiniert, um echten Schutz zu bieten. Die Version L2TPv2 war der Standard in der Windows-XP-Ära und bei frühen Cisco-Routern, wo Kompatibilität und minimale Hürden zählten. Alleine ist L2TP heute selten im Einsatz, allenfalls in geschlossenen Netzwerken. Historisch war es jedoch die Brücke von der „Tunnelidee“ zur echten Sicherheit.

IPsec und L2TP/IPsec: Branchenstandard und seine Kompromisse

Warum IPsec für Unternehmen zum Standard wurde

IPsec ist keine einzelne Technik, sondern eine Architektur zur IP-Ebene-Verschlüsselung. ESP, AH, die Modi Transport und Tunnel, IKE für den Schlüsselaustausch – das klingt komplex, und das ist es auch. Gerade diese Komplexität sorgte aber für Flexibilität und Kompatibilität in den Unternehmensnetzen der 2000er und 2010er Jahre. Hersteller bauten auf IPsec unzählige VPN-Gateways, Hardwarebeschleuniger und ASICs, die Gigabit-Übertragungen ohne CPU-Last ermöglichten. Damals gab es keine echte Alternative für „ernsthafte“ Netzwerke.

Schwachstellen? Komplizierte Konfigurationen, Inkompatibilitäten zwischen Implementierungen, Probleme mit NAT und Fragmentierung, dazu nervige IKEv1-Probleme, vor allem im Aggressive Mode. IPsec hat sich dennoch gehalten, weil IKEv2 vieles verbesserte: schnellerer Schlüsselwechsel, MOBIKE-Unterstützung, Ausfallsicherheit. Heute ist IPsec weiterhin die Nummer eins da, wo Hardwarebeschleunigung und hohe Anforderungen zusammenkommen – etwa bei Banken, Netzbetreibern oder Rechenzentrumsverbindungen.

L2TP/IPsec: das „goldene Mittel“ des letzten Jahrzehnts

Die Kombination aus L2TP über IPsec wurde zum Volksstandard bei Windows und mittelklassigen Routern. Einfaches Konzept, standardisierte Ports, akzeptable Kompatibilität. Ein Nachteil zeigt sich 2026 jedoch deutlicher: unnötige Verpackung, viele Header, erhöhter Overhead. Das führt zu deutlich spürbaren Geschwindigkeitsverlusten in mobilen Netzen mit hohem RTT. In Zeiten von 4G/5G beeinträchtigt das die User Experience und treibt die Nutzer zu flüssigeren, „leichteren“ Lösungen.

Unter TLS-Schirm: OpenVPN und SSTP

OpenVPN: der flexible Arbeitspferd

OpenVPN brachte VPN in die TLS-Welt. Es übernimmt das von den meisten Admins bekannte PKI-Ökosystem, läuft sowohl über TCP als auch UDP und bietet eine Vielzahl an feinen Einstellungsmöglichkeiten. OpenVPN ist zum Synonym für „anpassbares“ VPN geworden. Es ist stabil, berechenbar, gut dokumentiert. Und es durchdringt schwierige Netzwerke, wenn nur Port 443 und TCP erreichbar sind. Im Zeitalter von DPI war das entscheidend.

Der größte Nachteil ist die Performance: User-Mode, komplexe Kryptografie, riesiger Code. Im Durchschnitt kommt es auf dem gleichen Gerät auf nur ein Viertel bis die Hälfte der Bandbreite von WireGuard. Mit gutem Tuning (UDP, TLS 1.3, passende Cipher, LZO deaktivieren, Puffer anpassen) klappt es besser, aber Wunder gibt es keine. 2026 ist OpenVPN das Werkzeug für „funktionierende Verbindungen bei allen Bedingungen“ und wenn TLS-Framing politisch wichtig ist.

SSTP: „VPN als HTTPS“ von Microsoft

SSTP ist ein sauberes Protokoll, das in HTTPS eingebettet Port 443 über TLS nutzt. Außen wirkt es wie gewöhnlicher Webtraffic. Für Unternehmens-Windows-Umgebungen war das einst ein Traum. SSTP hat jedoch Schwächen: es ist proprietär, an Windows gebunden und entwickelt sich nicht so schnell wie OpenVPN oder WireGuard. 2026 lebt es in der Nische „existierend und funktionierend“, aber selten als Erstwahl für neue Projekte.

Alternativen und Experimente: SoftEther, Shadowsocks, V2Ray

SoftEther: das Schweizer Taschenmesser

SoftEther entstand als akademisches Projekt und wurde zu einem flexiblen Server, der mehrere Protokolle spricht, HTTPS imitiert, L2TP/IPsec unterstützt und sogar wie OpenVPN fungieren kann. Er umgeht geschickt Sperren und hilft oft. Trotzdem wurde SoftEther kein Massenstandard in Unternehmen. Warum? Weil Wartung aufwändig, Vorhersagbarkeit geringer und Update-Modelle in großen Organisationen oft undurchsichtig sind. Für komplexe Netze und Filterumgehung ist SoftEther dennoch oft der „Plan B“.

Shadowsocks und V2Ray: kein echtes VPN, aber sehr nützlich

Shadowsocks und V2Ray sind Proxies und Transportmechanismen zur Umgehung von Zensur und DPI. Sie bieten keinen vollwertigen L3/L2 Tunnel, tarnen sich aber genial als normaler Webtraffic, nutzen moderne Verschlüsselungen und funktionieren dort, wo klassische VPNs scheitern. 2026 gehören sie fast immer zum Toolkit in stark blockierten Regionen. Viele kommerzielle VPN-Anbieter integrieren sie als One-Click-Obfuskation. Kein Business-Traffic mit Druckern oder Routing, aber Freiheit und Zugang.

WireGuard: Minimalismus und Geschwindigkeit ohne Schnickschnack

Warum WireGuard durchgestartet ist

WireGuard kam wie ein frischer Wind. Kleine Codebasis, Linux-Kernel, standardmäßig UDP, NoiseIK für den Handshake, ChaCha20-Poly1305 für symmetrische Verschlüsselung, Curve25519 für ECDH, BLAKE2s für Hashing. Komplex klingend? Praktisch sensationell schnell, stabil und simpel. Konfigurationen sind nur wenige Dutzend Zeilen, kein monströser Haufen mit Hunderten von Direktiven. Roaming per Default, blitzschnelle Reconnects, stabile Netzwerke auf Mobilfunk. Und ja, Geschwindigkeit: Auf gleicher Hardware liefert WireGuard oft 2-4x mehr Durchsatz als OpenVPN.

Kritik gibt es auch: Die statische Peer-Struktur passt nicht überall, besonders bei dynamischen ACLs und größeren Multi-Tenant-Umgebungen. Doch Ökosysteme mit Managern, APIs und Providern füllen diese Lücken. 2026 ist WireGuard in Kerneln integriert, sichere Treiber für Windows und macOS etabliert, mobile Stacks ausgereift. Fazit: neuer De-facto-Standard für User-VPNs und immer öfter auch Back-End-Unternehmenslösungen – wenn nicht „reines“ IPsec verlangt wird.

Konkrete Zahlen und Fallstricke im Einsatz

In der Praxis zeigt sich: Mit guter Leitung und einem 1-Gbit/s-Server liefert WireGuard mühelos 700-900 Mbit/s auf modernen CPUs, auf ARM-Single-Board-Computern 200-400 Mbit/s. Die Latenz steigt kaum, wichtig für Calls und Gaming. Typische Fallstricke? Falsch eingestelltes MTU, fehlende AllowedIPs-Policy, vergessener PersistentKeepalive bei NAT und vor allem zu wenig Monitoring. Aber all das lässt sich beheben, und die einfache Config erlaubt schnellen Standardbetrieb – oft binnen eines Tages.

Geschwindigkeit, Verschlüsselung, Handshakes: wie die Evolution die Praxis veränderte

Kryptografie und ihre Folgen für die Performance

Der Wechsel von RC4 und 3DES zu AES-GCM und ChaCha20-Poly1305 brachte Verdoppelungen bis Verdreifachungen der Geschwindigkeit auf gleicher Hardware. AES-NI-Hardwarebeschleunigung machte AES zum Standard auf x86, während ChaCha20 vor allem auf ARM und mobilen Plattformen glänzt. Das Ergebnis: Früher wählte man Verschlüsselungen „nur fürs sichere Gefühl“, heute entscheidet man sich für „sicher und schnell“ – und das funktioniert wirklich. TLS 1.3 beschleunigte Handshakes und strich schwache Cipher. Noise in WireGuard macht Handshakes quasi sofort. UDP statt TCP über TCP spart Overhead – und Latenzen bleiben erträglich.

NAT, MTU und andere praktische Details

Netzwerk-Feinheiten sind keine Kleinigkeiten. Ein falsches MTU kostet leicht 10-20 % Speed wegen Fragmentierung. Ein verkehrtes MSS-Clamping bringt Instabilität im Mobilfunk. Kein Keepalive bei WireGuard bedeutet, dass Peers hinter NAT nach 2 Minuten in der Versenkung verschwinden. 2026 lösen Profilsets, automatische Tuning-Tools und erprobte Playbooks diese Probleme. Aber wichtig bleibt: das Protokoll allein ist kein Zauberstab. Das Detailwissen machts.

Zensurumgehung und DPI: wie sich Schutzwerkzeuge entwickeln

Vom simplen Portwechsel zur echten Traffic-Imitation

Früher reichte es, Port 443 TCP zu nutzen und VPN über TLS zu verpacken. Heute liest DPI Handshakes, vergleicht Muster und kappt Verbindungen bei Verdacht. Im Gegenzug entstanden Obfuskationen wie stunnel, obfs4, Shadowsocks, V2Ray, Trojan. Kommerzielle VPNs gehen noch weiter: Tarnung als QUIC, Heuristiken zur Browser-Fingerprint-Imitation, Serverrotation und SNI-Manipulation. 2026 boomt die Technik mit uTLS, JA3/JA4-Randomisierung und Simulieren echter HTTP/3-Sitzungen. Es ist ein Wettlauf ohne Ende, bei dem es keinen klaren Sieger gibt. Doch richtig konfiguriert bestehen Stacks dort, wo Vanilla-VPN scheitert.

Domain Fronting und MASQUE als neue Welle

Domain Fronting ist teilweise Geschichte – große Clouds haben es blockiert. Aber die Idee lebt weiter. MASQUE, eine Sammlung Technologien für Tunnel über HTTP/3, verspricht authentischen Look und gute Performance. Erste Pilotimplementierungen ermöglichen Stabilität dort, wo OpenVPN und sogar WireGuard wegen Verhaltensmerkmalen blockiert werden. 2026 ist das noch kein Allheilmittel, doch der Trend ist klar: VPN wird immer mehr „HTTP-artig“, bis DPI es zuverlässig erkennt.

Trends 2026: QUIC, MASQUE, ZTNA, Post-Quantum und neuer Perimeter

VPN wandert zu QUIC und HTTP/3

OpenVPN über QUIC, Proxies auf MASQUE, WireGuard über QUIC-Kapselung – all das ist bereits verfügbar, wenn auch in frühen Versionen. Warum? Geringere Latenz auf WLAN und Mobilfunk, besseres Verhalten bei Paketverlust, kein Head-of-Line-Blocking. Plus die Fähigkeit, als normaler Webverkehr hinter Firewalls zu erscheinen. Im Automotive-Bereich, VoIP und VDI wachsen QUIC-Tunnel stark – weniger Freezes, mehr Stabilität.

Zero Trust, ZTNA und die Rolle des VPN

Zero Trust hat VPN nicht abgeschafft. Es hat es erwachsen gemacht. 2026 sehen wir hybride Architekturen: L3-Tunnel für „schweren“ Traffic und Segmente, ZTNA für Apps und Nutzer, darüber Identität, MFA und Kontextsteuerung. Der klassische Perimeter ist in Clouds und Home Offices aufgegangen; uneingeschränkter Vollzugriff ist jetzt selten. VPN ist Transport; Kontrolle liegt bei Access Brokern, App-Level-Proxies, Host-Policies und eBPF.

Post-Quantum: Realität vs. Marketing

Der Hype um Post-Quantum-Algorithmen ist groß. 2026 bestehen die meisten realen Implementierungen aus hybriden TLS 1.3-Handshakes in Pilotprojekten, experimentellen IKEv2-Builds und Test-Plugins für WireGuard-ähnliche Lösungen. Die Praxis: Das Risiko „Jetzt mitschneiden, später knacken“ interessiert vor allem Finanzen und Verteidigung. Der Massenmarkt folgt, aber ohne Eile. Unsere Prognose: 2027-2028 kommen stabile PQC+ECDH-Profile in kommerzielle VPNs; bis 2030 wird der „quantenresistente“ Modus ein erwartetes Feature wie TLS 1.3 heute sein.

Praxis der Protokoll-Auswahl 2026: einfache Checkliste

Szenarien und empfohlene Stack-Kombinationen

Remote Work mit sensiblen Daten: WireGuard als Transport, dazu ZTNA mit MFA und Segmentierung. Verbindungen zwischen Büros mit Carrier-Hardware: IPsec IKEv2 mit Hardwarebeschleunigung auf beiden Seiten. Umgehung von Blockaden und Reisen: WireGuard mit Obfuskation oder MASQUE/HTTP-Transport, Backup OpenVPN TCP 443. Für Gaming und Calls: WireGuard UDP, optimiertes MTU, aktiviertes Roaming, geografisch nahe Nodes. Für IoT und Telematik: leichte WireGuard-Clients, gesteuert über zentrale Controller mit API-Updates.

Technische Details, wichtiger als Marketing

Prüfe MTU und MSS auf deinen Routen, sonst verlierst du Geschwindigkeit sinnlos. Setze TLS 1.3 in OpenVPN ein und streiche veraltete Cipher. Füge in WireGuard PersistentKeepalive für NAT-Clients hinzu. Verzichte auf TCP-over-TCP, außer es ist unvermeidbar. Baue Monitoring ein: Tunnelmetriken, Handshake-Frequenz, Dekodierungsfehler, Hop-Latenzen. Und plane genug CPU-Reserven: Verschlüsselung liebt Kerne – und Kerne lieben korrektes Pinning und Multithreading.

Use-Cases 2023-2026: Business, Remote Work, Gaming, Streaming

Business: Migration von OpenVPN zu WireGuard

Ein Unternehmen mit 1200 Mitarbeitern nutzte OpenVPN als Haupttransport. Problem: Klagen über Video-Call-Aussetzer und Latenzspitzen abends. Umgestellt auf WireGuard mit Segmentierung nach Abteilungen, Knoten näher zu Clouds verlegt und Anycast für den Zugriff aktiviert. Ergebnis: RTT durchschnittlich 18-25 % niedriger, Bandbreite pro Client 1,8-2,3x höher, Helpdesk-Tickets um 40 % gesunken. Überraschend, aber wahr: Weniger Konfiguration heißt weniger Fehler.

Gaming und Medien: UDP rettet den Tag

Spieler klagten über Lags? Oft sind TCP-Tunnel über TCP-Spiele schuld. Umstieg auf WireGuard oder OpenVPN-UDP, korrektes MTU und Routing über nächstgelegenen POP – und die Verzögerungen waren verschwunden. In realen Netzwerken sank der Ping von 72 auf 46 ms, Paketverluste fielen unter 0,5 %. Für Streaming hilft QUIC-Transport: Kein Head-of-Line-Blocking rettet Bilder auch bei 1-2 % Verlust.

Lektionen aus der Vergangenheit: was scheiterte und wie wir es besser machen

Komplexität tötet

IPsec und OpenVPN zeigten: Ohne Orchestrierung und automatisches Management droht Chaos in Konfigurationen. WireGuard antwortete mit Minimalismus; der Markt mit Schlüssel- und Policy-Managern. Fazit: Entweder du standardisierst oder irgendwann erwischt dich der nicht greifbare Bug, der dir Stunden kostet.

Sicherheit ist ein Prozess, kein Häkchen

PPTP schien lange okay, bis es öffentlich und schnell gebrochen wurde. Wir lernten: Audits, standardisierte Kryptoprimitive, kleine Codebasis und schnelle Threat-Response halten Protokolle am Leben. Heute siegt der, der sich am schnellsten anpasst, nicht der mit den meisten Einstellungsmöglichkeiten.

Was kommt 2026-2028: Prognose

Verschmelzung von VPN und Anwendungen

Die Grenze zwischen Tunnel und Anwendung verwischt. HTTP/3, MASQUE, integrierte Zugriffsregeln, Telemetrie auf Hosts und eBPF-Filter führen zu einer Welt, in der VPN nur noch die Transportschicht eines schlauen Zugriffssystems ist. Es wird unsichtbar. So soll es sein.

Hybride Cipher und Edge-Beschleunigung

Hybride Handshakes mit PQC werden zum De-facto-Standard in regulierten Branchen. Gleichzeitig übernehmen SmartNICs und Netzwerkkarten-Karten die Kryptografie für Gigabit- und Terabit-Tunnel. Provider bauen POPs näher an Nutzer, etablieren Anycast-Endpunkte und optimieren Routen mit BGP-Communitys. Nutzer merken vor allem eins: Es wird schneller.

Schritt-für-Schritt-Tipps für die Einführung 2026

Schmerzfreie Migration

Wähle deinen Zielstack: WireGuard für User, IPsec IKEv2 für Site-to-Site. Plane einen Pilot mit 5-10 % Traffic. Sorge für Monitoring vor, während und nach der Migration. Aktualisiere deine Cipher-Policy, eliminiere alte Sets, teste Client-Kompatibilität. Berücksichtige Compliance: Handshake-Logging, Schlüsselrotation, Konfigurationsspeicher. Prüfe MTU auf realen Wegen. Schreibe einen Rollback-Plan, auch wenn du überzeugt bist, dass alles glattläuft. Das ist keine Feigheit, sondern Reife.

Team und Prozesse

Bestimme einen Owner für die Protokollarchitektur. Verteile Verantwortung auf Netzwerk, Security, SRE. Erstelle einen Incident-Runbook fürs VPN. Überwache Tunnel-Profile regelmäßig entsprechend Traffic-Mustern: Volumen, Spitzen, UDP/TCP-Anteil, Verfügbarkeit. Und bitte, dokumentiere alles. Du sparst dir Wochen im entscheidenden Moment.

Checkliste zur Performance-Optimierung

Schnelle Erfolge

Wechsle wann immer möglich zu UDP. Setze das richtige MTU und MSS. Aktiviere TLS 1.3 in OpenVPN. In WireGuard stelle PersistentKeepalive von 15-25 Sekunden für NAT-Clients ein. Nutze den nächstgelegenen POP und geografisch passende Anycast-Adressen. Prüfe deine Ciphers: AES-GCM oder ChaCha20-Poly1305, keine veralteten Modi.

Erweiterte Einstellungen

Tune Warteschlangen und Puffer auf dem Server, setze Multithreading und Pinning ein. Aktiviere Offload wo sicher. Überprüfe asymmetrische Routen zum Client. Nutze Profile für Apps wie VoIP, VDI, Dateien, Medien. Mixe verschiedene Stacks, aber protokolliere Wechsel. Und vergiss nicht Schlüsselrotation und automatisiertes Deployment: Menschen machen Fehler, Skripte weniger.

FAQ: kurze Antworten auf „ewige“ Fragen

Was ist 2026 schneller: OpenVPN oder WireGuard?

Im Schnitt ist WireGuard 2-4 Mal schneller und bringt geringere Latenz, besonders in Mobilfunknetzen. OpenVPN ist aber weiterhin nützlich als Backup über TCP 443 und dort, wo klassisches HTTPS-Tarnen wichtig ist.

Sollte man L2TP/IPsec für neue Projekte nutzen?

Nur bei strengen Kompatibilitätsanforderungen mit alter Hardware. Sonst lieber IKEv2/IPsec oder WireGuard – da sind Geschwindigkeit und Steuerung besser.

Hilft QUIC für VPN?

Ja, besonders in instabilen Netzen. QUIC/HTTP/3-Tunnel mindern Freezes bei Paketverlust und verbessern Roaming. Außerdem ist QUIC schwerer per Regel zu blockieren.

Wie umgeht man DPI und Blockaden 2026?

Nutze Obfuskation: WireGuard mit QUIC-/HTTPS-Tarnung, MASQUE, uTLS oder Proxylösungen wie Shadowsocks/V2Ray. Halte OpenVPN TCP 443 als Fallback. Kombinierte Ansätze funktionieren besser als Einzel-Lösungen.

Brauche ich jetzt schon postquantenfähiges VPN?

Wenn du aus Fintech, Defense bist oder Daten jahrzehntelang sicher speichern willst, starte Pilotprojekte mit hybriden Handshakes. Für den Massenmarkt reicht aktuell TLS 1.3 mit zeitgemäßen Ciphers. Beobachte Standards – sie reifen schnell.

Eignet sich WireGuard für interbüroliche Tunnel?

Ja, insbesondere wenn keine Hardware-IPsec-Accelerators vorhanden sind. Bei Terabit-Lasten und Bedarf an Operator-Kompatibilität bleibt Hardware-IPsec erste Wahl.

Warum ist mein VPN „langsam“, obwohl der Server stark ist?

Oft schuld sind MTU/MSS, TCP-over-TCP, schwache Ciphers, fehlende Keepalive bei NAT, suboptimale Route oder überlasteter POP. Starte mit Messungen: Latenz, Verluste, Durchsatz, Handshakes. Dann optimiere.