Die beiden werden ständig verglichen, und der Vergleich ist leicht falsch gestellt. Headscale und OpenVPN lösen nicht dieselbe Form von Problem. Das eine koordiniert ein Mesh, in dem Ihre Geräte direkt miteinander sprechen; das andere ist ein Konzentrator, durch den aller Verkehr läuft. Zwischen ihnen zu entscheiden heißt vor allem zu entscheiden, welche dieser beiden Topologien Sie tatsächlich wollen — und die Antwort ist oft offensichtlich, sobald die Frage so gestellt ist.
Der strukturelle Unterschied, in einem Absatz
Bei OpenVPN verbinden sich Clients mit einem Server. Dieser Server sieht jedes Paket und ist zugleich Kontrollpunkt und Verkehrsweg. Wenn zwei Ihrer Laptops miteinander sprechen, läuft ihr Verkehr zum Server hinauf und wieder herunter.
Bei Headscale verteilt der Server Schlüssel und Netzkarten und geht dann aus dem Weg. Zwei einander bekannt gemachte Geräte sprechen direkt, Ende-zu-Ende mit WireGuard verschlüsselt. Die Control Plane kann offline sein, bestehende Tunnel laufen weiter.
Dieser eine Unterschied treibt fast alles Folgende.
Wo das Mesh gewinnt
Der Verkehr macht keinen Umweg. Zwei Maschinen im selben Büro erreichen einander quer durchs Büro, nicht über einen VPS in Frankfurt. Bei latenzempfindlicher Arbeit ist das kein Randgewinn.
Kein einzelner Verkehrsengpass. Die Bandbreite eines OpenVPN-Servers ist eine Decke, die sich alle teilen; ein Mesh hat kein entsprechendes zentrales Rohr.
Identität pro Gerät. Jeder Knoten hat einen eigenen Schlüssel und einen eigenen Platz in einer ACL - statt eines Zertifikats, das Eintritt in „das Netz" gewährt.
Meist Geschwindigkeit. WireGuard läuft unter Linux üblicherweise im Kernel, OpenVPN im Userspace, was auf einem Linux-Host tendenziell für WireGuard spricht. Behandeln Sie das als Tendenz, nicht als Zahl: Auf einer ausgelasteten Leitung, oder wenn beide Peers ohnehin nah am OpenVPN-Server sitzen, kann der Unterschied im Rauschen verschwinden.
Wo OpenVPN weiterhin gewinnt - und das ist keine Nostalgie
Durch feindliche Netze kommen. OpenVPN kann über TCP-Port 443 laufen, für einen portbasierten Filter nicht von gewöhnlichem HTTPS zu unterscheiden. WireGuard ist ausschließlich UDP: Ein Netz, das UDP blockiert, blockiert das Mesh vollständig — keine Client-Einstellung rettet das. In Hotel-, Campus- und Firmen-WLAN ist das entscheidend, und genau deshalb halten viele einen OpenVPN-Endpunkt allein als Notausgang am Leben. Wenn selbst TCP/443 nicht nur gefiltert, sondern inspiziert wird, ist die Antwort keine Transporteinstellung mehr, sondern Verschleierung — wstunnel, das den Tunnel in einem WebSocket transportiert, ist dann der übliche nächste Schritt.
Geräte, auf denen WireGuard nie laufen wird. Alte Router, eingebettete Industrietechnik, ältere NAS-Firmware, vom Hersteller aufgegebene Appliances. Ein Mesh, dem die Hälfte Ihres Bestands nicht beitreten kann, ist kein Mesh.
Ein kontrollierter Eintrittspunkt. Manchmal ist die Zentralisierung des Verkehrs die Anforderung und nicht der Nachteil - wenn alles einen einzigen Prüfpunkt passieren oder aus einer einzigen prüfbaren Adresse austreten muss. Für so etwas ist ein Mesh konstruktionsbedingt das falsche Werkzeug.
Reife des Ökosystems. Jahrzehnte an Dokumentation und keine Abhängigkeit vom Client eines einzelnen Unternehmens.
Eine Entscheidungstabelle ohne Ausflüchte
| Ihre Lage | Wählen Sie |
|---|---|
| Sie verbinden Ihre eigenen Maschinen miteinander | Headscale |
| Sie brauchen einen kontrollierten, prüfbaren Eintrittspunkt | OpenVPN |
| Ein Teil der Flotte ist alte Hardware oder Appliances | OpenVPN |
| Latenz zwischen den Peers zählt | Headscale |
| Sie arbeiten regelmäßig aus Netzen, die UDP filtern | OpenVPN (TCP/443) |
| Sie wollen Identität pro Gerät und zentrale ACLs | Headscale |
| Sie wollen keine Abhängigkeit vom Client eines Anbieters | OpenVPN |
Das ehrliche Urteil
Wenn Sie private Konnektivität zwischen Maschinen aufbauen, die Ihnen gehören, ist Headscale 2026 die bessere Voreinstellung — die Topologie passt zum Problem, und die Leistung folgt aus dieser Passung und nicht aus cleverer Technik.
Behalten Sie OpenVPN dort, wo es wirklich unersetzlich ist: feindliche Netze, die nur TCP/443 hinauslassen, und Hardware, die keinem modernen Mesh beitreten kann. Diese beiden Fälle sind enger als vor fünf Jahren, und sie verschwinden nicht.
Beides zu betreiben ist ein legitimes Ergebnis, kein Versäumnis zu entscheiden. Der Preis sind zwei zu prüfende Zugangswege statt einem — real, aber meist kleiner, als jeden Fall durch ein einziges Werkzeug zu zwingen, das nur zu manchen passt.
★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200+ Mbps garantiert
Hoste dein VPN auf deinem eigenen VPS → ContaboVoller Root-Zugriff · öffentliche IPv4 · wähle deine Region→
