Pangolin vs Cloudflare Tunnel (2026): Wem gehört der Austrittspunkt

Beide Werkzeuge lösen dasselbe lästige Problem: Sie betreiben etwas zu Hause und wollen es von außen erreichen, ohne einen Port am Router zu öffnen — was hinter CGNAT nicht einmal möglich wäre.

Sie lösen es auch auf dieselbe Weise: Ein Dienst auf Ihrer Maschine öffnet eine ausgehende Verbindung zu einem öffentlichen Endpunkt, und der Verkehr kommt durch diese Röhre zurück. Auf Ihrer Heim-IP lauscht nichts.

Der Unterschied besteht in einem Wort: wessen öffentlicher Endpunkt.

Kurze Antwort

Cloudflare Tunnel übergibt den öffentlichen Endpunkt an Cloudflare. Nichts zu mieten, nichts zu patchen, und es läuft in Minuten.

Pangolin legt diesen Endpunkt auf eine Maschine, die Sie mieten und betreiben — meist ein kleiner VPS. Sie behalten den Pfad für sich und erben einen Server zur Pflege.

Das ist der ganze Handel. Alles Weitere folgt daraus.

Wer sitzt im Pfad?

Bei Cloudflare Tunnel verbinden sich Besucher mit Cloudflare, und Cloudflare verbindet sich mit Ihnen. Wenn Cloudflare das TLS für Ihren Hostnamen terminiert — die Standardanordnung —, wird Ihr Verkehr an deren Edge entschlüsselt, bevor er in den Tunnel hinein wieder verschlüsselt wird. Das ist kein verborgenes Verhalten, sondern die Voraussetzung dafür, dass Caching und Filterung überhaupt arbeiten können.

Ob das zählt, hängt davon ab, was Sie veröffentlichen. Ein öffentlicher Blog und ein Dokumentenserver sind nicht dieselbe Entscheidung, und man trifft sie besser bewusst als beiläufig.

Bei Pangolin ist der Endpunkt Ihr VPS. Die Maschine steht weiterhin beim Anbieter, „niemand ist im Pfad" wäre also zu stark — aber die Software, die Ihren Verkehr terminiert, gehört Ihnen, und ihre Konfiguration ebenso.

Eine Frau in Schwarz steht vor einer Glaswand, hinter der blau beleuchtete Serverschränke stehen; sie hält ein aufgeklapptes silbernes Notebook und blickt darauf, auf dem Glas Herstellerlogos wie HP, Intel, NetApp und Schneider Electric.

Der öffentliche Endpunkt liegt immer auf der Maschine von jemandem. Ein Tunnel beantwortet nicht die Frage, ob ein Server im Pfad steht, sondern wessen Server es ist.

Was beide tatsächlich kosten

Cloudflare Tunnel ist im kostenlosen Tarif verfügbar, und viele betreiben ihn jahrelang, ohne zu zahlen. Ehrlich formuliert: kostenlos beschreibt den Preis, nicht die Vereinbarung. Ihr Verkehr läuft über Infrastruktur, die Sie nicht kontrollieren, zu Bedingungen, die sich ändern können.

Pangolin hat keine Lizenzkosten, ist aber ebenfalls nicht kostenlos. Sie zahlen den VPS und — teurer — Sie tragen die Wartung: Updates, Zertifikate, Überwachung und eine Sicherung der Konfiguration.

Man vergleicht die Monatsbeträge und hört dort auf. Der wiederkehrende Posten, der überrascht, ist der zweite.

Welches für einen Heimserver?

Es soll heute Abend laufen, ohne Pflegeaufwand → Cloudflare Tunnel. Schwer zu widerlegen.
Sie veröffentlichen etwas, das Sie keinem Dritten überlassen würden → selbst gehosteter Tunnel zum eigenen VPS.
Sie sitzen hinter CGNAT ohne öffentliche Adresse → beide funktionieren, genau dafür sind sie da.
Sie wollen verstehen, wie das funktioniert → Pangolin lehrt mehr, weil Sie die Teile selbst zusammensetzen.

Eine Anmerkung zum VPS, denn dort trifft der Plan auf die Wirklichkeit: Der Endpunkt braucht eine stabile öffentliche Adresse, die ein Heimanschluss hinter CGNAT nicht liefert. Die kleinste Stufe bei jedem ernsthaften Anbieter genügt für einen Tunnel — das ist keine Last, die Kerne braucht. Was sie braucht, ist, in acht Monaten immer noch zu laufen und immer noch gepatcht zu sein.

Der Fehler, zu dem beide Werkzeuge verleiten

Ein Tunnel ist keine Authentifizierung.

Er entfernt den offenen Port. Er entscheidet nicht, wer passieren darf. Was Sie veröffentlichen, ist für jeden erreichbar, der den Hostnamen erfährt — und Hostnamen sickern durch, unter anderem über die Transparenzprotokolle für Zertifikate.

Beide Projekte liefern Zugriffskontrollen genau aus diesem Grund. Nutzen Sie sie. Der Tunnel war nie die Sicherheitsgrenze, sondern nur die Leitung, durch die der Verkehr ankommt.

Also welches?

Fragen Sie sich, wem Sie den Austrittspunkt überlassen wollen.

Lautet die Antwort „ich möchte dafür keinen Server betreiben", ist Cloudflare Tunnel das richtige Werkzeug — und das ist keine Schande: Die Alternative ist eine Maschine, die Sie über Jahre am Leben halten müssen.

Lautet die Antwort „der Pfad muss meiner sein", dann ist es Pangolin, und der Preis ist ein VPS, dessen Pflege nun Ihnen gehört.

Worauf keines von beiden antwortet, ist die Frage danach: Was Sie gerade erreichbar gemacht haben, braucht weiterhin seine eigene Authentifizierung, seine eigenen Updates und seine eigene Sicherung. Der Tunnel hat es nur erreichbar gemacht.

★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200+ Mbps garantiert

Hoste dein VPN auf deinem eigenen VPS → ContaboVoller Root-Zugriff · öffentliche IPv4 · wähle deine Region→

Häufig gestellte Fragen

Was ist der Unterschied zwischen Pangolin und Cloudflare Tunnel?

Wo Ihr Datenverkehr herauskommt. Cloudflare Tunnel verbindet Ihren Dienst mit dem Netz von Cloudflare: Besucher erreichen Cloudflare, und Cloudflare erreicht Sie über eine ausgehende Verbindung, die Ihr Dienst geöffnet hat. Pangolin macht denselben Trick, aber der öffentliche Endpunkt ist eine Maschine, die Sie mieten und verwalten — üblicherweise ein kleiner VPS — der Austrittspunkt gehört also Ihnen. Keines von beiden verlangt einen offenen Port am Router, und genau deshalb greift man überhaupt danach.

Ist Cloudflare Tunnel wirklich kostenlos?

Der Tunnel selbst ist im kostenlosen Tarif von Cloudflare verfügbar, und sehr viele Menschen betreiben ihn, ohne je zu zahlen. Behandeln Sie „kostenlos" als Beschreibung des Preises, nicht der Vereinbarung: Ihr Datenverkehr läuft über eine Infrastruktur, die Sie nicht kontrollieren, zu Bedingungen, die der Anbieter setzt und ändern kann. Pangolin hat ebenfalls keine Lizenzkosten, ist aber nicht im selben Sinne kostenlos — Sie zahlen den VPS und tragen die Wartung.

Sieht Cloudflare meinen Datenverkehr?

Wenn Cloudflare das TLS für Ihren Hostnamen terminiert — der übliche Aufbau —, dann ja: Ihr Verkehr wird an deren Edge entschlüsselt, bevor er zu Ihnen wieder verschlüsselt wird. So funktionieren Filterung und Caching überhaupt erst, es ist also kein verborgenes Verhalten. Ob es eine Rolle spielt, hängt ganz davon ab, was Sie veröffentlichen: eine private Mediathek und ein internes Administrationspanel tragen nicht dieselbe Konsequenz.

Welches eignet sich für einen Heimserver?

Wenn die Priorität lautet „heute Abend lauffähig, ohne Server zur Pflege und ohne Rechnung", ist Cloudflare Tunnel schwer zu widerlegen. Wenn die Priorität lautet, dass kein Dritter im Pfad sitzt — bei einem Dienst mit Dokumenten, Sicherungen oder allem, was Sie einem Anbieter nicht überlassen würden —, dann beantwortet ein selbst gehosteter Tunnel zum eigenen VPS genau das, zum Preis einer Maschine, die am Leben und aktuell gehalten werden muss.

Brauche ich mit Pangolin trotzdem einen VPS?

Ja, und das ist der Punkt, kein Nachteil. Der öffentliche Endpunkt von Pangolin muss irgendwo mit einer stabilen Adresse liegen, was ein Heimanschluss hinter CGNAT nicht liefern kann. Ein kleiner VPS ist die übliche Antwort. Es ist auch der Teil, den man unterschätzt: eine Maschine, die auf unbestimmte Zeit Updates, Überwachung und eine Sicherung ihrer Konfiguration braucht.

Kann ich beide einsetzen?

Sie schließen sich nicht aus, und eine Aufteilung nach Sensibilität ist ein vernünftiges Muster: Cloudflare Tunnel vor dem, was öffentlich und cache-freundlich ist, ein selbst gehosteter Tunnel für alles, was Sie lieber nicht über einen Dritten leiten. Der Preis sind zwei Systeme statt einem — und das ist ein realer Preis, wenn zu unpassender Stunde etwas kaputtgeht.

Ist ein Dienst hinter einem Tunnel dadurch sicher?

Nein, und das ist das häufigste Missverständnis bei beiden Werkzeugen. Ein Tunnel entfernt den offenen Port; er authentifiziert niemanden. Was Sie veröffentlichen, bleibt für jeden erreichbar, der den Hostnamen herausfindet, und braucht deshalb eine eigene Authentifizierung davor. Beide Projekte bieten Zugriffskontrollen genau aus diesem Grund: Der Tunnel war nie die Sicherheitsgrenze.