Windows 11/10: VPN-Client (IKEv2) geht nicht – Lösung

VPN-Client (IKEv2) unter Windows 11 und 10 geht nicht? Entdecken Sie die häufigsten Ursachen und Schritt-für-Schritt-Lösungen zur schnellen Fehlerbehebung.

Wenn der IKEv2-VPN-Client unter Windows 10 oder Windows 11 plötzlich nicht mehr funktioniert, liegt das meistens an Registrierungseinstellungen, blockierten Ports oder fehlenden Zertifikaten.

Dieser Artikel zeigt Ihnen Schritt für Schritt, wie Sie die häufigsten Ursachen erkennen und dauerhaft beheben – inklusive konkreter Anleitungen für jede Fehlermeldung.

Was ist IKEv2 und warum wird es unter Windows genutzt?

IKEv2 steht für „Internet Key Exchange Version 2″ und ist ein modernes VPN-Protokoll, das vor allem für seine Stabilität und Sicherheit bekannt ist. Besonders bei mobilen Verbindungen, zum Beispiel auf Laptops im Homeoffice oder unterwegs, zeigt IKEv2 seine Stärken: Es verbindet sich nach einem Netzwerkwechsel automatisch neu. Zudem unterstützt Windows 10 und Windows 11 IKEv2 nativ, sodass Sie keinen zusätzlichen VPN-Client installieren müssen.

Dennoch kommt es regelmäßig zu Verbindungsproblemen. Außerdem hat Microsoft in verschiedenen Windows-Versionen interne Sicherheitsrichtlinien geändert, die IKEv2-Verbindungen beeinflussen. Deshalb ist es wichtig, die genaue Fehlerursache zu kennen, bevor Sie mit der Behebung beginnen.

Häufige Fehlermeldungen beim IKEv2-VPN unter Windows

Zunächst sollten Sie die genaue Fehlermeldung notieren. Jede Fehlernummer gibt nämlich einen direkten Hinweis auf die Ursache.

Fehler 809 – Netzwerkverbindung konnte nicht hergestellt werden

Fehler 809 ist die häufigste IKEv2-Fehlermeldung und lautet sinngemäß: „Die Netzwerkverbindung zwischen Ihrem Computer und dem VPN-Server konnte nicht hergestellt werden.“ Meistens liegt dieser Fehler an einem fehlenden NAT-Traversal-Eintrag in der Registrierung oder an einem blockierten UDP-Port auf dem Router. Außerdem tritt er auf, wenn sich eine Firewall zwischen dem Client und dem Server befindet, die den VPN-Datenverkehr filtert.

Fehler 789 – L2TP/IKEv2-Verbindungsversuch fehlgeschlagen

Fehler 789 erscheint häufig, wenn die IKEv2-Aushandlung scheitert. Ursache ist oft ein fehlendes oder abgelaufenes Zertifikat auf dem Client oder Server. Ebenso kann ein falsch konfigurierter Pre-Shared Key (PSK) diesen Fehler auslösen.

Fehler 13801 – IKEv2-Authentifizierungsdaten inakzeptabel

Fehler 13801 bedeutet, dass die Authentifizierung fehlschlägt. Häufig liegt das an einem abgelaufenen Computerzertifikat oder daran, dass dem Stammzertifikat nicht vertraut wird. Zusätzlich tritt dieser Fehler auf, wenn der Servername im Zertifikat nicht mit dem in der VPN-Verbindung eingetragenen Servernamen übereinstimmt.

Fehler 13806 – Kein gültiges Computerzertifikat gefunden

Fehler 13806 zeigt an, dass Windows kein passendes Maschinenzertifikat im lokalen Zertifikatsspeicher findet. Deshalb schlägt die IKEv2-Authentifizierung noch vor dem eigentlichen Verbindungsaufbau fehl.

Fehler 691 – Zugriff verweigert

Fehler 691 deutet auf ein Problem mit den Anmeldedaten hin. Entweder sind Benutzername oder Passwort falsch, oder die VPN-Richtlinie auf dem Server verweigert dem Nutzer die Verbindung. Außerdem kann ein falsch konfiguriertes RADIUS-Profil diese Fehlermeldung erzeugen.

Fehler 812 – Verbindung durch Richtlinie verhindert

Fehler 812 tritt auf, wenn eine Netzwerkrichtlinie (Network Policy Server, NPS) die Verbindung aktiv blockiert. Meistens liegt das an einem Konfigurationsfehler auf dem VPN-Server.

Ursachen für IKEv2-VPN-Verbindungsprobleme unter Windows 10 und 11

Bevor Sie mit den Lösungen beginnen, lohnt es sich, die häufigsten Ursachen zu kennen. Dadurch sparen Sie Zeit und gehen gezielter vor.

Die wichtigsten Ursachen im Überblick:

• Fehlender Registry-Eintrag für NAT-Traversal (AssumeUDPEncapsulationContextOnSendRule)
• Blockierte UDP-Ports (UDP 500 und UDP 4500) auf dem Router oder der Firewall
• Fehlende oder abgelaufene Zertifikate im lokalen Zertifikatsspeicher
• Deaktivierte Windows-Dienste (z. B. „IKE and AuthIP IPsec Keying Modules“)
• Falsche MTU-Einstellungen beim Netzwerkadapter
• Veraltete oder fehlerhafte Netzwerktreiber
• Falsche VPN-Verbindungseinstellungen, zum Beispiel der Verbindungstyp oder das Authentifizierungsprotokoll
• Inkompatible Windows-Updates, die Sicherheitsrichtlinien verschärft haben

Zusätzlich spielen seit 2025 und 2026 auch neuere Windows-11-Updates eine Rolle, da Microsoft mehrfach Änderungen an den IPsec-Richtlinien vorgenommen hat.

Schritt-für-Schritt-Lösungen für IKEv2-VPN-Probleme

Lösung 1: Registry-Eintrag für NAT-Traversal setzen (Fehler 809)

Dieser Fix löst in den meisten Fällen Fehler 809 und ist außerdem der erste Schritt, den Sie ausprobieren sollten. Das Problem liegt darin, dass Windows hinter einem NAT-Router (zum Beispiel einer Fritzbox) den IKEv2-Verkehr standardmäßig blockiert.

Anleitung:

1. Drücken Sie Windows + R, tippen Sie regedit ein und bestätigen Sie mit OK.
2. Navigieren Sie zum folgenden Pfad:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
3. Klicken Sie mit der rechten Maustaste in den leeren Bereich des rechten Fensters und wählen Sie Neu → DWORD-Wert (32-Bit).
4. Benennen Sie den neuen Wert: AssumeUDPEncapsulationContextOnSendRule
5. Doppelklicken Sie auf den Wert und setzen Sie ihn auf 2 (hexadezimal oder dezimal, Wert ist identisch).
6. Klicken Sie auf OK und starten Sie Windows neu.

Bedeutung der Werte:

• 0 = Standard (kein NAT)
• 1 = NAT hinter Server
• 2 = NAT hinter Client und Server (empfohlene Einstellung für die meisten Heimnetzwerke)

Außerdem sollten Sie nach dem Neustart prüfen, ob der Registrierungseintrag gespeichert wurde.

Lösung 2: Notwendige Windows-Dienste aktivieren

Damit IKEv2 funktioniert, müssen bestimmte Windows-Systemdienste aktiv laufen. Häufig sind diese Dienste deaktiviert, weil ein Optimierungstool oder ein fehlerhaftes Update sie abgeschaltet hat.

Anleitung:

1. Drücken Sie Windows + R, tippen Sie services.msc ein und drücken Sie Enter.
2. Suchen Sie folgende Dienste und stellen Sie sicher, dass sie auf „Automatisch“ und „Wird ausgeführt“ stehen:

• IKE and AuthIP IPsec Keying Modules (IKEEXT)
• IPsec Policy Agent
• Remote Access Connection Manager
• Secure Socket Tunneling Protocol Service (SSTP)

1. Um einen Dienst zu starten, klicken Sie ihn mit der rechten Maustaste an und wählen Sie „Starten“.
2. Um den Starttyp zu ändern, öffnen Sie die Eigenschaften des Dienstes per Doppelklick und wählen Sie unter „Starttyp“ den Eintrag „Automatisch“ aus.
3. Bestätigen Sie mit OK und starten Sie anschließend Windows neu.

Zusätzlich empfiehlt es sich, den Dienst „Windows Defender Firewall“ ebenfalls zu überprüfen, da deaktivierte Firewalls manchmal Routing-Probleme verursachen können.

Lösung 3: Router-Ports und Windows-Firewall konfigurieren

IKEv2 benötigt zwei UDP-Ports sowie ein spezielles IP-Protokoll. Wenn Ihr Router oder die Windows-Firewall diese blockiert, kommt die Verbindung nicht zustande.

Benötigte Ports für IKEv2:

• UDP-Port 500 (IKE-Aushandlung)
• UDP-Port 4500 (NAT-Traversal, IPsec über NAT)
• IP-Protokoll 50 (ESP – Encapsulating Security Payload)

Anleitung für die Windows-Firewall:

1. Öffnen Sie die Windows-Sicherheit über das Startmenü.
2. Klicken Sie auf Firewall und Netzwerkschutz → Erweiterte Einstellungen.
3. Wählen Sie Eingehende Regeln → Neue Regel.
4. Wählen Sie „Port“ und klicken Sie auf Weiter.
5. Wählen Sie „UDP“ und tragen Sie bei „Bestimmte lokale Ports“ die Werte 500, 4500 ein.
6. Wählen Sie „Verbindung zulassen“, aktivieren Sie alle drei Netzwerkprofile (Domäne, Privat, Öffentlich) und vergeben Sie einen Namen, zum Beispiel IKEv2 VPN UDP.
7. Wiederholen Sie den Vorgang für eine eingehende Regel für IP-Protokoll 50: Statt „Port“ wählen Sie diesmal „Benutzerdefiniert“ und tragen bei „Protokoll“ den Wert „50″ ein.

Anleitung für den Router:
Melden Sie sich in der Benutzeroberfläche Ihres Routers an (bei einer Fritzbox unter fritz.box, bei einem Speedport unter speedport.ip) und leiten Sie UDP 500, UDP 4500 sowie IP-Protokoll 50 auf die lokale IP-Adresse Ihres VPN-Clients weiter. Außerdem sollten Sie prüfen, ob auf dem Router selbst ein VPN-Passthrough für IKEv2 aktiviert ist.

Lösung 4: Zertifikatsprobleme beheben (Fehler 789, 13801, 13806)

Zertifikatsfehler sind besonders häufig in Unternehmensumgebungen, können aber ebenso im privaten Umfeld auftreten.

Anleitung – Zertifikatsspeicher prüfen:

1. Drücken Sie Windows + R, tippen Sie certmgr.msc ein und drücken Sie Enter. Dieser Befehl öffnet den Zertifikat-Manager für den aktuellen Benutzer.
2. Für Maschinenzertifikate (Computerzertifikate) öffnen Sie stattdessen certlm.msc.
3. Navigieren Sie zu Persönlich → Zertifikate (im Benutzerspeicher) bzw. zu Eigene Zertifikate → Zertifikate (im Computerspeicher).
4. Prüfen Sie, ob das VPN-Zertifikat vorhanden ist und ob das Ablaufdatum in der Zukunft liegt.
5. Öffnen Sie das Zertifikat per Doppelklick und wechseln Sie zur Registerkarte „Zertifizierungspfad“. Dort sollte als Status „Dieses Zertifikat ist gültig.“ angezeigt werden.

Anleitung – Stammzertifikat importieren:

Falls dem Stammzertifikat des VPN-Servers nicht vertraut wird, müssen Sie es manuell importieren:

1. Öffnen Sie certlm.msc.
2. Navigieren Sie zu Vertrauenswürdige Stammzertifizierungsstellen → Zertifikate.
3. Klicken Sie mit der rechten Maustaste in das Fenster und wählen Sie Alle Tasks → Importieren.
4. Folgen Sie dem Importassistenten und wählen Sie die Stammzertifikatsdatei (meistens .cer oder .crt) aus.
5. Bestätigen Sie alle Abfragen und starten Sie Windows neu.

Zusätzlich sollten Sie darauf achten, dass der Common Name (CN) oder der Subject Alternative Name (SAN) im Serverzertifikat exakt mit dem Hostnamen oder der IP-Adresse übereinstimmt, die Sie in der VPN-Verbindung eingetragen haben.

Lösung 5: VPN-Verbindung neu erstellen und korrekt konfigurieren

Manchmal ist die ursprüngliche VPN-Verbindung schlicht falsch konfiguriert. Deshalb lohnt es sich, die Verbindung zu löschen und neu einzurichten.

Anleitung:

1. Öffnen Sie Einstellungen → Netzwerk und Internet → VPN.
2. Klicken Sie auf die vorhandene VPN-Verbindung und wählen Sie „Entfernen“.
3. Klicken Sie anschließend auf „VPN-Verbindung hinzufügen“.
4. Wählen Sie als VPN-Anbieter „Windows (integriert)“.
5. Tragen Sie einen Verbindungsnamen ein, zum Beispiel Firma IKEv2.
6. Tragen Sie den Servernamen oder die Server-IP-Adresse ein.
7. Wählen Sie als VPN-Typ „IKEv2″ aus der Dropdown-Liste.
8. Wählen Sie unter „Anmeldungstyp“ die passende Option – meistens „Benutzername und Kennwort“ oder „Zertifikat“.
9. Tragen Sie Benutzername und Kennwort ein (sofern nötig) und klicken Sie auf „Speichern“.

Außerdem können Sie über PowerShell zusätzliche Parameter setzen:

Set-VpnConnection -Name "Firma IKEv2" -AuthenticationMethod MachineCertificate
Set-VpnConnection -Name "Firma IKEv2" -EncryptionLevel Required

Lösung 6: Netzwerkadapter und TCP/IP-Stack zurücksetzen

Ein beschädigter TCP/IP-Stack oder ein fehlerhafter Netzwerkadaptertreiber kann ebenso IKEv2-Verbindungen verhindern. Deshalb empfiehlt sich ein vollständiger Netzwerk-Reset.

Anleitung über die Eingabeaufforderung (als Administrator):

1. Klicken Sie mit der rechten Maustaste auf das Startmenü und wählen Sie „Windows-Terminal (Administrator)“ oder „Eingabeaufforderung (Administrator)“.
2. Geben Sie nacheinander folgende Befehle ein und bestätigen Sie jeweils mit Enter:

netsh winsock reset
netsh int ip reset
ipconfig /release
ipconfig /flushdns
ipconfig /renew

3. Starten Sie Windows anschließend neu.

Zusätzlich können Sie über Einstellungen → Netzwerk und Internet → Erweiterte Netzwerkeinstellungen → Netzwerk zurücksetzen einen vollständigen Netzwerk-Reset durchführen. Dieser Schritt setzt allerdings alle gespeicherten WLAN-Netzwerke zurück, sodass Sie sich anschließend neu verbinden müssen.

Lösung 7: MTU-Wert anpassen

Ein häufig übersehener Grund für instabile IKEv2-Verbindungen ist ein zu hoher MTU-Wert (Maximum Transmission Unit). Besonders bei PPPoE-Verbindungen (DSL) oder bei VPN-over-VPN-Szenarien kann das zu Paketfragmentierungen führen.

Empfohlene Vorgehensweise:

1. Öffnen Sie die Eingabeaufforderung als Administrator.
2. Prüfen Sie zunächst den aktuellen MTU-Wert Ihres Netzwerkadapters:

   netsh interface ipv4 show subinterfaces

3. Setzen Sie den MTU-Wert für den WAN-Adapter auf 1400 (für IKEv2 über PPPoE):

   netsh interface ipv4 set subinterface "Ethernet" mtu=1400 store=persistent

Ersetzen Sie Ethernet durch den tatsächlichen Namen Ihres Netzwerkadapters, den Sie im vorherigen Schritt ermittelt haben.

4. Starten Sie Windows neu und testen Sie die VPN-Verbindung erneut.

Lösung 8: Diagnose und Protokolle mit PowerShell auswerten

Falls keine der bisherigen Lösungen hilft, liefern PowerShell und die Windows-Ereignisanzeige detaillierte Informationen über die Ursache.

Anleitung – Ereignisanzeige:

1. Drücken Sie Windows + X und wählen Sie „Ereignisanzeige“.
2. Navigieren Sie zu Anwendungs- und Dienstprotokolle → Microsoft → Windows → RasClient.
3. Suchen Sie dort nach Fehlerereignissen mit der Ereignis-ID 20227 oder 20226 – diese geben Aufschluss über den genauen Fehlercode.

Anleitung – PowerShell-Diagnose:

Öffnen Sie PowerShell als Administrator und führen Sie folgenden Befehl aus:

Get-VpnConnection -AllUserConnection

Dieser Befehl zeigt alle VPN-Verbindungen und deren aktuelle Konfiguration an. Prüfen Sie dabei besonders die Felder VpnType, AuthenticationMethod und EncryptionLevel.

Außerdem können Sie mit folgendem Befehl IKEv2-spezifische Sicherheitszuordnungen anzeigen:

Get-NetIPsecMainModeSA
Get-NetIPsecQuickModeSA

Lösung 9: Windows aktualisieren und Treiber erneuern

Veraltete Netzwerktreiber und fehlende Windows-Updates sind ebenfalls eine häufige Ursache für IKEv2-Probleme. Deshalb sollten Sie stets sicherstellen, dass Ihr System auf dem neuesten Stand ist.

Anleitung – Windows Update:

1. Öffnen Sie Einstellungen → Windows Update.
2. Klicken Sie auf „Nach Updates suchen“ und installieren Sie alle verfügbaren Updates.
3. Achten Sie besonders auf kumulative Updates und optionale Treiber-Updates, da diese häufig Netzwerk-Fixes enthalten.

Anleitung – Netzwerktreiber aktualisieren:

1. Klicken Sie mit der rechten Maustaste auf das Startmenü und wählen Sie „Geräte-Manager“.
2. Erweitern Sie den Abschnitt „Netzwerkadapter“.
3. Klicken Sie mit der rechten Maustaste auf Ihren Netzwerkadapter (z. B. „Intel Wi-Fi 6 AX201″) und wählen Sie „Treiber aktualisieren“.
4. Wählen Sie „Automatisch nach Treibern suchen“ oder laden Sie den aktuellen Treiber direkt vom Hersteller herunter (z. B. von intel.com, realtek.com oder qualcomm.com).

Lösung 10: Split-Tunneling konfigurieren

In manchen Fällen hilft Split-Tunneling, Verbindungsprobleme zu umgehen. Dabei wird nur der VPN-Datenverkehr durch den Tunnel geleitet, während der normale Internetzugriff weiterhin direkt erfolgt. Besonders in Unternehmensumgebungen kann das die Stabilität deutlich verbessern.

Anleitung per PowerShell:

Set-VpnConnection -Name "Firma IKEv2" -SplitTunneling $True

Um Split-Tunneling wieder zu deaktivieren:

Set-VpnConnection -Name "Firma IKEv2" -SplitTunneling $False

Unterschiede zwischen Windows 10 und Windows 11 bei IKEv2

Grundsätzlich ist IKEv2 auf beiden Systemen gleich implementiert. Jedoch gibt es einige Unterschiede, die Sie beachten sollten:

Windows 11 hat ab Version 22H2 die Standardverschlüsselung für IKEv2-Verbindungen verschärft. Ältere VPN-Server, die nur AES-128 oder schwächere Algorithmen unterstützen, werden deshalb möglicherweise abgelehnt. Außerdem hat Microsoft in neueren Windows-11-Updates die Behandlung von NAT-Traversal in einigen Fällen geändert.

Windows 10 hingegen ist toleranter gegenüber älteren Konfigurationen, bietet aber weniger Diagnoseoptionen in der Benutzeroberfläche. Zudem endet der offizielle Support für Windows 10 am 14. Oktober 2025, sodass es im Jahr 2026 keine regulären Sicherheitsupdates mehr erhält – was auch VPN-bezogene Sicherheitsfixes einschließt.

Deshalb empfehlen wir grundsätzlich den Einsatz von Windows 11 mit aktuellen Updates. Sollten Sie noch Windows 10 nutzen, sollten Sie einen baldigen Umstieg auf Windows 11 in Betracht ziehen.

Empfohlene Vorgehensweisen für stabile IKEv2-VPN-Verbindungen

Damit Sie IKEv2-VPN-Probleme zukünftig vermeiden, sollten Sie folgende empfohlene Vorgehensweisen dauerhaft einhalten:

Zertifikate rechtzeitig erneuern: Setzen Sie im Kalender eine Erinnerung, mindestens vier Wochen vor dem Ablaufdatum eines VPN-Zertifikats. Abgelaufene Zertifikate sind einer der häufigsten Gründe für plötzliche IKEv2-Ausfälle.

Windows stets aktuell halten: Installieren Sie kumulative Updates zeitnah. Außerdem sollten Sie optionale Updates gezielt prüfen, da diese häufig Netzwerk- und VPN-Fixes enthalten.

Regelmäßige Verbindungstests: Testen Sie die VPN-Verbindung mindestens einmal wöchentlich, besonders nach Windows-Updates. Dadurch erkennen Sie Probleme frühzeitig, bevor sie im Ernstfall auftreten.

Protokollierung aktivieren: Aktivieren Sie dauerhaft die RasClient-Ereignisprotokollierung, sodass im Fehlerfall sofort detaillierte Logs vorliegen.

Starke Verschlüsselung wählen: Nutzen Sie auf dem VPN-Server AES-256 mit SHA-256 und Diffie-Hellman-Gruppe 14 oder höher. Windows 11 unterstützt diese Algorithmen standardmäßig und bevorzugt sie gegenüber älteren Konfigurationen.

Registry-Backup anlegen: Bevor Sie Registry-Änderungen vornehmen, exportieren Sie immer den betroffenen Schlüssel. Dazu klicken Sie im Registrierungseditor mit der rechten Maustaste auf den Schlüssel und wählen „Exportieren“.