Headscale selbst hosten: Die souveräne Tailscale-Kontrollebene (2026)

Wenn Sie unseren Tailscale vs WireGuard Selbst-Hosting-Vergleich gelesen haben, wissen Sie bereits, dass Headscale der dritte Weg ist - derjenige, der die Tailscale-UX mit der Selbst-Hosting-Souveränität von WireGuard kombiniert. Die Frage ist nicht mehr "ist es möglich?", sondern "lohnt sich der Einrichtungsaufwand?". Dieser Leitfaden beantwortet das konkret, basierend auf einer Standard-Headscale-Implementierung auf einem Contabo VPS.

Plan: Was Headscale wirklich ist, wann es sinnvoll ist (und wann nicht), Schritt-für-Schritt-Installation auf Contabo mit PostgreSQL und OIDC, ACL-Konfiguration, die Produktionsfallen, vor denen niemand warnt, und 36-monatige Kosten im Vergleich zu Tailscale Premium. Am Ende können Sie in 5 Minuten entscheiden, ob sich die Investition von 2-3 Tagen für eine saubere Einrichtung lohnt.

Sie wägen Headscale gegen den gehosteten Dienst selbst ab? Unser Vergleich Tailscale vs Headscale zeigt die fehlenden Funktionen, die Kosten über 3 Jahre und ein Urteil nach Teamgröße.

Noch keinen VPS gewählt? Unser Vergleich Bester VPS für ein VPN stellt acht Anbieter für selbst gehostetes WireGuard zum tatsächlich gezahlten Preis gegenüber, inklusive der zwei Posten, die das Ranking verändern: kostenpflichtige IPv4 und Drosselung.

Noch keinen VPS gewählt? Unser Vergleich Bester VPS für ein VPN stellt acht Anbieter für selbst gehostetes WireGuard zum tatsächlich gezahlten Preis gegenüber, inklusive der zwei Posten, die das Ranking verändern: kostenpflichtige IPv4 und Drosselung.

Was Headscale tatsächlich ist

Headscale ist eine Open-Source-Neuimplementierung der Tailscale-Koordinator-API, geschrieben in Go, hauptsächlich von Juan Font und einer engagierten Community gepflegt. Quellcode: github.com/juanfont/headscale. Lizenz: BSD-3.

Es ist kein Fork von Tailscale. Es ist ein Server, der dasselbe Protokoll spricht wie der Tailscale SaaS-Koordinator - das bedeutet, dass die offiziellen Tailscale-Clients (iOS, Android, macOS, Windows, Linux) auf Ihre Headscale-Instanz zeigen können und sie sich normal verhalten. Es gibt keinen gepatchten Client, keine fragwürdige benutzerdefinierte Binärdatei.

Was Headscale übernimmt:

• Peer-Erkennung und Schlüsselverteilung - genau wie der SaaS-Koordinator.
• NAT-Traversal-Koordination - über DERP-Relays (Sie können die öffentlichen DERP-Relays von Tailscale kostenlos nutzen oder Ihre eigenen hosten).
• Deklarative ACLs - akzeptiert dasselbe JSON-ACL-Format wie Tailscale. Gleiche Syntax, gleiche Semantik.
• MagicDNS - Auflösung von node.tailnet.example.com (oder welcher Domain Sie konfigurieren).
• Subnetz-Routen - um ein VPC oder LAN hinter einem Knoten freizugeben.
• Exit-Nodes - um den gesamten Internetverkehr über einen ausgewählten Knoten zu leiten.

Was Headscale NICHT übernimmt (die ehrlichen Grenzen):

• Keine offiziellen Premium-Funktionen: keine Tailscale SSH-Sitzungsaufzeichnung, keine native SSO-Konsole (Sie müssen OIDC selbst einrichten), keine proprietäre GUI-Admin (ein separates headscale-ui-Projekt existiert, von Drittanbietern).
• Mobile Client-Verwaltung ist manueller - Authentifizierungsschlüssel müssen CLI-seitig generiert werden.
• Tailscale Inc. Support ist nicht vorhanden - nur Community-Support, GitHub Discussions und Discord.

Das Versprechen ist präzise: der Großteil des Wertes von Tailscale Premium, zum Preis eines kleinen VPS, mit einer Kontrollebene, die Ihnen gehört.

Wann Headscale tatsächlich sinnvoll ist

Headscale ist nicht immer die richtige Antwort. Hier ist die Entscheidungsmatrix zur Entscheidung:

Die beiden Hauptgründe, warum Menschen Headscale in der Produktion einsetzen:

1. Souveränität / Compliance: Rechtsabteilung oder DSI verbieten unkontrollierte SaaS-Abhängigkeit. Headscale erfüllt das Kriterium "Europäisch gehostet, GDPR-konform, kein US-Transfer". Es ist der Fall in wachsenden EU-regulierten B2B-SaaS.
2. Kostenoptimierung im großen Maßstab: Bei 15+ Benutzern werden Tailscale Premium zu vierstelligen monatlichen Rechnungen. Ein Contabo Cloud VPS 4 für 66 €/Jahr + 2-3 Tage Sysadmin-Zeit kostet weniger Bargeld; die 36-Monats-Tabelle weiter unten zeigt die vollständige Rechnung.

Wenn keiner dieser Gründe auf Ihre Situation zutrifft, bleiben Sie bei Tailscale Premium oder Raw WireGuard. Der Mittelweg macht nur Sinn, wenn er tatsächlich gerechtfertigt ist.

Architektur für die Produktion gewählt

Hier ist die Referenzarchitektur, von der dieser Leitfaden ausgeht:

[Tailscale-Client iOS/Android/Linux]
            │
            │ HTTPS (Port 443)
            ▼
[Caddy Reverse Proxy] ──► [Headscale]
            │                    │
            │                    ▼
            │            [PostgreSQL 15]
            │
            └──► [Tailscale DERP Relays - kostenlose öffentliche]

Komponenten:

• Contabo Cloud VPS 4 Nürnberg (4 vCPU, 8 GB RAM, 100 GB SSD, 5,50 €/Monat) - siehe unsere Contabo-Bewertung 2026 und das Schritt-für-Schritt-Setup-Tutorial zur Vorbereitung des VPS.
• Headscale 0.24 als Koordinator.
• PostgreSQL 15 als Backend (im Vergleich zum Standard-SQLite, robuster bei wachsender Knotenzahl).
• Caddy 2 als Reverse Proxy mit automatischem Let's Encrypt TLS - Headscale benötigt HTTPS, die offiziellen Clients erfordern es.
• OIDC über Authentik (ebenfalls selbst gehostet, aber Auth0 oder Keycloak funktionieren auch).
• Tailscale öffentliche DERP-Relays für NAT-Traversal - kostenlos, es sei denn, Sie haben spezifische Paranoia-Anforderungen, müssen Sie DERP nicht selbst hosten.

Schritt-für-Schritt-Installation auf Contabo

Einrichtungszeit auf einem frisch bereitgestellten VPS: etwa 90 Minuten, wenn Sie die Schritte ohne Zögern befolgen. Wir gehen von Debian 12 aus (dem Standard bei Contabo).

1. Systemvorbereitung

apt update && apt upgrade -y
apt install -y postgresql postgresql-contrib caddy curl wget

2. Erstellen der Headscale PostgreSQL-Datenbank

sudo -u postgres psql <<EOF
CREATE USER headscale WITH PASSWORD 'SETZEN_SIE_HIER_EIN_STARKES_PASSWORT';
CREATE DATABASE headscale OWNER headscale;
GRANT ALL PRIVILEGES ON DATABASE headscale TO headscale;
EOF

3. Installation von Headscale

Das offizielle.deb-Paket ist der sauberste Weg. Neueste Version: github.com/juanfont/headscale/releases.

HS_VERSION="0.29.5"
wget https://github.com/juanfont/headscale/releases/download/v${HS_VERSION}/headscale_${HS_VERSION}_linux_amd64.deb
dpkg -i headscale_${HS_VERSION}_linux_amd64.deb

4. Headscale-Konfiguration

Die Werte unten gelten für Headscale 0.29 (Oktober 2026). Die vollständige Datei für Ihr genaues Setup (Docker oder .deb, Caddy, nginx oder eingebautes TLS, SQLite wie vom Projekt empfohlen) erzeugt unser Headscale Config Generator.

Bearbeiten Sie /etc/headscale/config.yaml. Die minimal erforderlichen Einstellungen:

server_url: https://headscale.ihre-domain.com
listen_addr: 127.0.0.1:8080
metrics_listen_addr: 127.0.0.1:9090

database:
  type: postgres
  postgres:
    host: localhost
    port: 5432
    name: headscale
    user: headscale
    pass: SETZEN_SIE_HIER_EIN_STARKES_PASSWORT

derp:
  server:
    enabled: false
  urls:
    - https://controlplane.tailscale.com/derpmap/default

prefixes:
  v4: 100.64.0.0/10
  v6: fd7a:115c:a1e0::/48

dns:
  magic_dns: true
  base_domain: ts.ihre-domain.com

policy:
  mode: file
  path: /etc/headscale/acl.json

oidc:
  issuer: https://auth.ihre-domain.com/application/o/headscale/
  client_id: headscale
  client_secret: OIDC_SECRET_HERE
  scope: ["openid", "profile", "email"]

Kritische Punkte:

• server_url muss HTTPS sein. Die offiziellen Tailscale-Clients verweigern die Kommunikation über einfaches HTTP.
• prefixes.v4: 100.64.0.0/10 ist der CGNAT-Bereich, den Tailscale standardmäßig verwendet. Ändern Sie dies nicht, es sei denn, Sie wissen, was Sie tun.
• oidc: optional, aber in der Produktion dringend empfohlen. Ohne es fallen Sie auf headscale users create und vorab geteilte Schlüssel zurück.

5. Caddy als Reverse Proxy

/etc/caddy/Caddyfile:

headscale.ihre-domain.com {
    reverse_proxy 127.0.0.1:8080
}

Neuladen: systemctl reload caddy. Caddy holt sich automatisch das Let's Encrypt-Zertifikat. Überprüfen Sie die Gültigkeit der Kette, bevor Sie fortfahren - offizielle Tailscale-Clients verweigern selbstsignierte Zertifikate.

6. Starten von Headscale

systemctl enable --now headscale
journalctl -u headscale -f

Sie sollten Startprotokolle sehen, dann "Listening on 127.0.0.1:8080".

7. Erstellen eines ersten Benutzers und eines Vorab-Authentifizierungsschlüssels

headscale users create eric
headscale users list   # numeric ID of eric, e.g. 1
headscale preauthkeys create --user 1 --reusable --expiration 24h

Die Ausgabe liefert einen tskey-auth-xxxxxxxxxxxx Schlüssel. Notieren Sie ihn.

8. Verbinden eines Tailscale-Clients

Auf einem Linux-Client mit installiertem offiziellen Tailscale-Client:

tailscale up \
  --login-server https://headscale.ihre-domain.com \
  --authkey tskey-auth-xxxxxxxxxxxx

Der Knoten erscheint in headscale nodes list. Von dort aus können Sie seine 100.x.x.x IP abrufen und verwenden.

Für iOS/Android: Installieren Sie die offizielle Tailscale-App, Einstellungen → benutzerdefinierter Login-Server → geben Sie Ihre Headscale-URL ein. Tippen Sie auf "Anmelden", Sie werden zu Ihrem OIDC-Anbieter weitergeleitet.

Kritische ACL-Konfiguration

ACLs sind der Bereich, in dem Headscale zeigt, dass es wirklich "Tailscale-kompatibel" ist. Die JSON-Datei akzeptiert dieselbe Syntax wie Tailscale Premium ACLs.

Produktionsbeispiel (5-Benutzer-Team mit Entwicklungs-/Staging-Trennung):

{
  "acls": [
    {
      "action": "accept",
      "src": ["group:admins"],
      "dst": ["*:*"]
    },
    {
      "action": "accept",
      "src": ["group:devs"],
      "dst": ["tag:dev:*", "tag:staging:22,80,443"]
    },
    {
      "action": "accept",
      "src": ["group:devs"],
      "dst": ["tag:prod:80,443"]
    }
  ],
  "groups": {
    "group:admins": ["eric@vpnsmith.com"],
    "group:devs": ["alice@vpnsmith.com", "bob@vpnsmith.com"]
  },
  "tagOwners": {
    "tag:dev": ["group:admins"],
    "tag:staging": ["group:admins"],
    "tag:prod": ["group:admins"]
  }
}

Nach jeder Bearbeitung neu laden: headscale acls reload. Headscale validiert das JSON, bevor es angewendet wird, sodass ein Syntaxfehler das Produktionsnetzwerk nie unterbricht.

Produktionsfallen, die niemand erwähnt

Hier sind vier Fallen, mit denen Sie beim Betrieb von Headscale rechnen sollten:

1. Erschöpfung des PostgreSQL-Verbindungspools. Headscale begrenzt seine PostgreSQL-Verbindungen (database.postgres.max_open_conns und max_idle_conns). In einem Mesh, in dem sich viele Knoten häufig neu verbinden (denken Sie an WLAN-Roaming auf Handys), wird ein zu kleiner Pool zum Engpass. Prüfen Sie die Standardwerte in der Beispielkonfiguration Ihrer Version und erhöhen Sie sie, wenn die Logs wartende Verbindungen zeigen.

2. Tailscale öffentliche DERP-Relays können weit von einigen Ihrer Knoten entfernt sein. Wird der Verkehr über eine entfernte Region weitergeleitet, steigt die Latenz. Lösung: Hosten Sie ein DERP-Relay auf einem VPS in der Region. Headscale verarbeitet es transparent - siehe die offiziellen DERP-Setup-Dokumente.

3. PostgreSQL-Backup ist obligatorisch und unterschätzt. Headscale speichert alles in PostgreSQL: Knoten, öffentliche Schlüssel, ACL-Zustand, OIDC-Zuordnungen. Verlieren Sie die DB, verlieren Sie das gesamte Netzwerk. Richten Sie pg_dump täglich + automatisiertes Backup in einen S3-kompatiblen Objektspeicher ein (z. B. Hetzner Object Storage, ~1 €/Monat) und testen Sie Ihre Wiederherstellung regelmäßig.

4. Headscale-Binär-Upgrades sind sanft, aber es gibt Breaking Changes zwischen den Minor-Versionen. Lesen Sie das CHANGELOG, bevor Sie von 0.23 auf 0.24 aktualisieren. Das Entwicklerteam ist auf GitHub reaktionsschnell, aber Headscale befindet sich in aktiver Entwicklung - planen Sie sie bei jedem Upgrade ein.

Echte Kosten über 36 Monate - Headscale vs Tailscale Premium

Die Berechnung bei 10 Benutzern, 25 Knoten, mit vorsichtigen Annahmen:

Headscale gewinnt um ~2.230 € über 36 Monate bei 10 Benutzern. Nicht enorm, aber real - und die Lücke vergrößert sich linear mit der Teamgröße. Bei 20 Benutzern sparen Sie ~8.000 €/3 Jahre. Bei 50 Benutzern ist es ernsthaftes Geld.

Wenn Ihre Zeit mehr als 100 €/h wert ist, schrumpft diese Lücke schnell. Wenn sie weniger als 50 €/h wert ist (Junior, Nebenprojekt, Lernen), gewinnt Headscale leicht.

Fazit - wann Headscale im Jahr 2026 einsetzen

Setzen Sie Headscale ein, wenn:

• Sie eine Souveränitäts- / GDPR- / kein US-Transfer-Anforderung haben
• Ihr Team 10+ Benutzer mit 12+ Monaten Horizont hat
• Sie einen internen Sysadmin oder Sysadmin-Instinkt haben
• Tailscale Premium teuer erscheint, aber Raw WireGuard zu primitiv

Bleiben Sie bei Tailscale Premium, wenn:

• Ihre Zeit mehr als 100 €/h wert ist
• Keine spezifische Compliance-Anforderung
• Sie lieber diese 2-3 Tage in Ihr Produkt investieren

Bleiben Sie bei Raw WireGuard, wenn:

• Sie unter 5 Knoten, einfache Einrichtung, Lernstimmung sind
• Hub-and-Spoke alle Ihre Anwendungsfälle abdeckt

Headscale ist die am meisten unterschätzte Antwort im selbst gehosteten VPN-Ökosystem im Jahr 2026. Es erledigt den Großteil der Arbeit von Tailscale, auf einem Contabo VPS für 5,50 €/Monat, mit voller Datenhoheit. Lieber ein US-Anbieter mit 30 Tagen Geld-zurück-Garantie? Ultahost VPS Basic kostet 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, gelesen am 21. Oktober 2026), genug für einen Headscale-Server für ein kleines Team. Der Preis sind 2-3 Tage Einrichtung und ein Sysadmin-Reflex.

Damit die Befehle griffbereit bleiben: Unser kostenloses Tailscale & Headscale Cheat Sheet (PDF, 4 Seiten auf Englisch, direkter Download, ohne Anmeldung) fasst status und ping, Exit Node, Subnet Router, Serve und Funnel, die Headscale-Konfiguration, Benutzer, Schlüssel und ACLs sowie die üblichen Fehlerursachen zusammen. Cheat Sheet herunterladen.

Weiterführende Informationen

• Headscale vs WireGuard: der Tunnel und der Server, der die Schlüssel verteilt - was reines WireGuard Ihnen überlässt und was Headscale laut eigener Dokumentation nicht ist
• Tailscale vs WireGuard selbst hosten: welches im Jahr 2026
• Selbst gehostetes VPN auf Contabo: vollständiger WireGuard-Leitfaden 2026
• Contabo VPS: Schritt-für-Schritt-Setup für VPN 2026
• VPS VPN-Überwachung mit Prometheus + Grafana
• Contabo Bewertung 2026
• Kostenrechner für selbst gehostete VPNs - geben Sie Ihre Benutzeranzahl und Ihren Stundensatz ein, um zu sehen, ob Headscale, Tailscale oder Raw WireGuard bei den Gesamtkosten gewinnt
• Interaktiver VPS-Vergleich - vergleichen Sie Contabo, Hetzner und OVH nach Latenz, RAM und realen 24-Monats-Preisen, bevor Sie Ihren Headscale-Host auswählen

Quellen und Referenzen:

• Headscale - offizieller Quellcode und Dokumentation
• Headscale Dokumentationsseite
• Tailscale ACL-Syntaxreferenz
• DERP-Server-Setup-Leitfaden

Veröffentlicht am 2026-06-05. Leitfaden auf Grundlage der offiziellen Headscale-Dokumentation, nicht eines eigenen Produktionseinsatzes. Kosten aus dem Mai 2026 Contabo und Tailscale Preisgestaltung - überprüfen Sie vor der Entscheidung. Die tatsächliche Leistung und Einsparungen hängen von der Teamgröße und der vorhandenen Infrastruktur ab.

Erinnerung: Headscale, Tailscale und VPN-Selbsthosting sind in der EU, den USA, Kanada vollkommen legal. VPNSmith veröffentlicht diesen Inhalt zu Bildungszwecken.