NetBird vs Headscale (2026): Der eigene Stack oder der Client eines anderen

Beide Projekte beantworten dieselbe Frage, wie betreibe ich ein WireGuard-Mesh, ohne dass eine Firma die Karte in der Hand hält?, und beide beantworten sie ehrlich. Der Unterschied liegt nicht in den Funktionen und nicht in der Leistung. Er liegt darin, welche Abhängigkeit Sie zu tragen bereit sind.

Sie vergleichen NetBird eher mit dem gehosteten Tailscale-Dienst als mit Headscale? Unser Vergleich NetBird vs Tailscale behandelt die Gratis-Tarife, den Preis pro Nutzer und den einen Unterschied, der entscheidet.

Die Kurzfassung in einem Satz

Headscale ersetzt den Koordinationsserver von Tailscale durch einen, den Sie selbst betreiben, und behält die offiziellen Tailscale-Clients. NetBird ersetzt das gesamte Produkt: eigener Agent, eigener Management-Server, eigenes Dashboard, eigene Identitätsschicht, WireGuard darunter, nichts darüber geliehen.

Dieser eine strukturelle Unterschied bestimmt fast alles andere.

Wo die Abhängigkeit sitzt

Das ist der Punkt, den man zuerst klären sollte, denn kein Funktionsvergleich übersteht ihn.

Bei Headscale gehört der Server Ihnen, aber der Client ist Software, die von Tailscale Inc. gepflegt wird und über eine überschreibbare Login-URL auf Ihren Server zeigt. Diese Regelung besteht seit Jahren und ist nicht vertraglich abgesichert. Wenn Sie den Kompromiss aus der anderen Richtung betrachten wollen, ist der verwaltete Tailscale-Dienst im Vergleich zu Headscale der Vergleich, der es als SaaS gegen Selbsthosting einordnet.

Bei NetBird ist der Client der eigene Agent des Projekts. Niemand weiter oben kann das Protokoll unter Ihnen ändern, und im Gegenzug liegen Plattformabdeckung, Release-Rhythmus und das langfristige Überleben des Projekts ganz bei NetBird. NetBird selbst gehostet betreiben zeigt, was das konkret bedeutet.

Keines ist abstrakt betrachtet sicherer. Das eine verlangt, dass Sie auf die fortgesetzte Duldung eines Client-Anbieters vertrauen; das andere, dass Sie auf ein kleineres Projekt setzen, dem sein ganzer Stack gehört.

Ein 3D-Rendering auf dunkelgrauem Hintergrund: ein Ring aus schwarzen facettierten Polyedern, die durch dünne goldene Linien miteinander verbunden sind, jede Form mit mehreren Nachbarn verknüpft — Ein gerenderter Ring aus schwarzen facettierten Formen, verbunden durch dünne goldene Linien, jede mit mehreren anderen verknüpft. Beide Projekte existieren, um genau diese Form zu bauen, ohne dass eine Firma das Diagramm verwaltet.

Bewegliche Teile, ehrlich gezählt

Headscale ist ein Go-Binary und eine Datenbank. Das ist die ganze Installation. Einen Rechner hinzuzufügen ist ein Login-Befehl in einem Client, den die meisten schon haben.

Die Standardinstallation von NetBird startet mehrere Dienste zusammen: einen Management-Server, einen Signal-Server, ein TURN-Relay für Verbindungen, die nicht direkt zustande kommen, ein Dashboard und einen Identitätsanbieter. Das veröffentlichte docker-compose macht daraus einen einzigen Befehl, aber ein Befehl ist nicht ein Dienst. Es ist mehr Fläche zum Patchen, Überwachen und Sichern.

Die ehrliche Einordnung: NetBird bietet mehr ab Werk, Headscale macht weniger Wartungsaufwand. Was davon das bessere Geschäft ist, hängt davon ab, ob Sie überhaupt eine Admin-Oberfläche wollten.

Identität, und warum sie die beiden trennt

NetBird behandelt Identität als Teil des Produkts. SSO, Gruppenzuordnung und Gerätefreigabe sind der vorgesehene Weg, keine Erweiterung. Wenn die Antwort auf die Frage, „wer darf in dieses Netz?“, aus Google Workspace, Okta, Entra oder Authentik kommen soll, ist das eine dokumentierte Einrichtung und kein eigenes Projekt.

Headscale unterstützt OIDC, kann also auf Ihren Anbieter zeigen, aber die Verwaltungsoberfläche drumherum ist bewusst schlanker. Die Aufgabe von Headscale ist es, das Tailscale-Protokoll korrekt zu sprechen, nicht ein Produkt zur Geräteverwaltung zu sein. Die Zugriffskontrolle steckt in Tailscale-kompatiblen ACL-Dateien, was hervorragend ist, wenn Sie eine prüfbare Datei in der Versionsverwaltung wollen, und dürftig, wenn Sie eine Oberfläche wollten.

Eine Tabelle, die nicht ausweicht

Wenn das auf Sie zutrifft	Tendenz zu
Laptops und Smartphones von Menschen, die nie eine Konfigurationsdatei sehen sollten	Headscale
Sie wollen SSO, Gruppen und Gerätefreigabe in einem einzigen Produkt	NetBird
Sie wollen möglichst wenige Dienste betreiben, patchen und sichern	Headscale
Sie lehnen es grundsätzlich ab, vom Client einer anderen Firma abzuhängen	NetBird
Sie wollen Zugriffsregeln als prüfbare Datei in Git	Headscale
Sie wollen ab dem ersten Tag eine Admin-Oberfläche	NetBird

Was wir nicht behaupten würden

Wir würden Ihnen nicht sagen, dass eines schneller ist. Beide transportieren den Verkehr über WireGuard, beide durchdringen NAT und beide weichen auf ein Relay aus, wenn es nicht anders geht, einen TURN-Server bei NetBird, DERP bei Headscale. Auf einer bestimmten Verbindung entscheiden Ihr Pfad und Ihre Hardware, nicht das Etikett auf der Control Plane. Wenn der Durchsatz wirklich Ihr Engpass ist, messen Sie Ihre eigene Strecke, bevor Sie eine Vergleichstabelle für sich entscheiden lassen.

Wir würden Ihnen auch nicht sagen, dass das Selbsthosten der Control Plane das Mesh hochverfügbar macht. Bei beiden Projekten laufen bei nicht erreichbarer Control Plane bestehende Tunnel weiter, während neue Anmeldungen, Schlüsselrotation und Richtlinienänderungen stillstehen. Das ist ein gutartiges Fehlerverhalten, und es bedeutet, dass Sie ein Backup des Zustands der Control Plane brauchen: keinen Cluster.

Das ehrliche Fazit

Wählen Sie Headscale, wenn Sie das Kleinste wollen, das funktioniert, und damit leben können, dass der Client von jemand anderem kommt. Wählen Sie NetBird, wenn Identität, Richtlinien und eine Oberfläche Teil desselben Produkts sein sollen und Sie lieber den ganzen Stack besitzen, als sich dessen am besten gepflegten Teil zu leihen.

So oder so braucht der Koordinationsserver ein Zuhause: einen kleinen, ständig laufenden VPS mit öffentlicher IP und einer Domain. Für Headscale erstellt unser kostenloser Headscale-Konfigurationsgenerator die config.yaml, die Docker-Compose-Datei und den Reverse-Proxy-Block; für beide wird ein Contabo Cloud VPS 4 (4 vCPU, 8 GB RAM) auf contabo.com ab 5,50 €/Monat angezeigt (geprüft am 17. Okt. 2026), was Platz für die mehreren Dienste von NetBird lässt. Wenn Ihnen ein US-Anbieter mit 30-Tage-Geld-zurück-Garantie lieber ist, kostet Ultahost VPS Basic 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, abgelesen am 21. Oktober 2026), genug für einen Headscale-Server für ein kleines Team; für den schwereren Stack von NetBird nehmen Sie die Contabo-Maschine.

Wenn Ihnen keine der beiden Abhängigkeiten zusagt und Sie lieber ein Mesh mit eigener Zertifizierungsstelle betreiben möchten, ist das eine ganz andere, dritte Form: Headscale im Vergleich zu Nebula nimmt diese Abzweigung.

★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200-Mbit/s-Port

Hoste dein VPN auf deinem eigenen VPS → ContaboVoller Root-Zugriff · öffentliche IPv4 · wähle deine Region→

Häufig gestellte Fragen

Was ist der Unterschied zwischen NetBird und Headscale?

Headscale ist eine quelloffene Nachimplementierung des Tailscale-Koordinationsservers: Sie betreiben den Server, aber die Rechner nutzen weiterhin die offiziellen Tailscale-Clients, die statt auf Tailscale auf Ihren Server zeigen. NetBird ist ein vollständig eigener Stack (eigener Agent, eigener Management-Server, eigenes Dashboard und eigene Identitätsschicht), aufgebaut auf WireGuard, aber ohne jede Abhängigkeit von Tailscale. Headscale ersetzt also eine Komponente des Produkts eines anderen, NetBird ersetzt das ganze Produkt.

Welches lässt sich leichter selbst hosten?

Headscale, wenn man die beweglichen Teile zählt. Es ist ein einzelnes Go-Binary mit einer Datenbank dahinter, und die Clients sind Apps, die Ihre Nutzer vielleicht schon installiert haben. Die Standardinstallation von NetBird startet mehrere Dienste gleichzeitig: Management, Signal, ein TURN-Relay für Verbindungen, die nicht direkt zustande kommen, ein Dashboard und einen Identitätsanbieter. Das docker-compose-Setup macht daraus einen einzigen Befehl, aber es bleibt mehr Fläche, die betrieben, gepatcht und gesichert werden muss. NetBird bietet mehr ab Werk; Headscale macht weniger Wartungsaufwand.

Unterstützen NetBird oder Headscale SSO?

Beide können es, auf unterschiedlichen Wegen. NetBird behandelt Identität als Teil des Produkts: Die Standardinstallation bringt einen Identitätsanbieter mit, und die Anbindung eines externen Anbieters (Google Workspace, Okta, Entra, Authentik) ist ein dokumentierter Weg statt eines Zusatzes. Headscale unterstützt OIDC, Sie können es also an Ihren eigenen Anbieter anbinden, aber das Drumherum (Gruppenzuordnung, Abläufe zur Gerätefreigabe, die Admin-Oberfläche) ist dünner, weil die Aufgabe von Headscale darin besteht, das Tailscale-Protokoll zu sprechen, nicht ein Verwaltungsprodukt zu sein.

Ist Headscale von der Client-Roadmap von Tailscale betroffen?

Ja, und das ist das strukturelle Risiko, das man benennen sollte. Headscale funktioniert, weil die offiziellen Tailscale-Clients das Überschreiben des Login-Servers erlauben und weil Headscale mit einem Protokoll Schritt hält, das es nicht kontrolliert. Diese Regelung besteht seit Jahren und ist nicht vertraglich abgesichert. NetBird hat das umgekehrte Risiko: Sie hängen vom eigenen Client von NetBird ab, von den unterstützten Plattformen und vom Fortbestand des Projekts, aber niemand sonst kann das Protokoll unter Ihnen ändern.

Was sollte ich für ein kleines Team wählen?

Wenn es sich um Laptops und Smartphones von Menschen handelt, die nie eine Konfigurationsdatei sehen sollten, und Sie den Tailscale-Apps bereits vertrauen, ist Headscale die leichtere Antwort: ausgereifte Clients, ein vertrauter Login, ein einziger Dienst zu betreiben. Wenn Gerätefreigabe, Gruppenrichtlinien und SSO Teil desselben Produkts sein sollen und Sie überhaupt nicht vom Client einer anderen Firma abhängen wollen, ist NetBird genau dafür gebaut und liefert ab dem ersten Tag eine Admin-Oberfläche.

Kann ich später von einem zum anderen migrieren?

Ja, aber rechnen Sie damit, die Clients neu zu installieren, statt eine Einstellung umzuschalten. Die beiden sprechen unterschiedliche Protokolle, eine Migration bedeutet also, jeden Rechner mit dem Agent des anderen Projekts neu anzumelden: dem Tailscale-Client für Headscale, dem NetBird-Agent für NetBird. Ihr Adressschema und Ihre Zugriffsregeln lassen sich auf dem Papier übertragen, aber es gibt keinen Export, der eine Installation in die andere verwandelt.