PiVPN vs Tailscale (2026): Die Frage ist, ob Sie einen Port öffnen können
PiVPN gibt Ihnen einen klassischen VPN-Server auf einem Raspberry Pi und braucht einen eingehenden Port. Tailscale braucht keinen und funktioniert hinter CGNAT, wo PiVPN es nicht kann. Diese eine Einschränkung entscheidet die meisten Setups, bevor ein Feature-Vergleich überhaupt beginnt.
Von Eric Gerard · Gründer · VPNSmith - Spezialist für selbstgehostete VPNs & DSGVO-VPS··3 Min. Lesezeit·Foto: Pexels
Teilen
Suchen Sie nach diesem Vergleich, finden Sie lange Feature-Tabellen. Die meisten davon vergraben die eine Tatsache, die das Ergebnis für die Mehrheit entscheidet, und sie hat nichts mit Features zu tun: Können Sie an Ihrem Internetanschluss einen eingehenden Port öffnen?
Wenn ja, funktionieren beide Werkzeuge und die Wahl hängt davon ab, was Sie wollen. Wenn nein, ist der Vergleich vorbei, bevor er anfängt.
PiVPN baut einen Server. Clients wählen sich von außen ein, was einen aus dem Internet erreichbaren Port voraussetzt - und damit eine eigene öffentliche Adresse.
Tailscale nimmt nie eine eingehende Verbindung an. Beide Enden bauen ausgehende Verbindungen auf, ein Koordinationsserver führt sie zusammen. An Ihrem Router muss sich nichts ändern.
Die erste Frage lautet also nicht „was ist besser", sondern was gibt Ihnen Ihr Anbieter? Liegt die WAN-Adresse Ihres Routers zwischen 100.64.0.0 und 100.127.255.255, sitzen Sie hinter Carrier-Grade-NAT: Es gibt keinen Port weiterzuleiten, und PiVPN ist von außen nicht erreichbar, ganz gleich wie es konfiguriert ist.
Eine Raspberry-Pi-Platine mit aufgesetzten Kühlkörpern, die GPIO-Leiste an der linken Kante. Dieselbe Hardware betreibt beide Werkzeuge — der Unterschied liegt darin, ob etwas von außen sie erreichen muss.
Jenseits der Erreichbarkeit bauen die beiden tatsächlich Unterschiedliches.
PiVPN ist Hub-and-Spoke. Alles läuft über den Pi. Genau das wollen Sie, wenn es darum geht, zu Hause zu sein, während Sie woanders sind: mit Ihrer Heim-IP surfen, den Drucker erreichen, einen Dienst nutzen, der nur Ihrer Heimadresse vertraut.
Tailscale ist ein Mesh. Ihr Laptop spricht direkt mit Ihrem Telefon, ob der Pi läuft oder nicht. Nichts wird durch eine einzelne Kiste geschleust, also bricht nichts zusammen, wenn diese Kiste neu startet — und nichts läuft über Ihren Heimanschluss, sofern Sie es nicht ausdrücklich einschalten.
Keine der beiden Formen ist besser. Sie beantworten verschiedene Sätze: „Ich will in meinem Heimnetz sein" gegen „Ich will, dass meine Maschinen einander erreichen."
Beginnen Sie mit Tailscale, wenn Sie unsicher sind. Es funktioniert überall, auch in den Fällen, in denen PiVPN es schlicht nicht kann, und ein Gerät hinzuzufügen dauert Sekunden. Für die meisten, die ihre eigenen Maschinen von außen erreichen wollen, ist das die ganze Aufgabe.
Nehmen Sie PiVPN, wenn es gerade um Ihren Heimanschluss selbst geht — so aufzutreten, als wären Sie zu Hause, oder jede Abhängigkeit von außen abzulehnen. Beides sind legitime Gründe, und der zweite ist keine Paranoia: Es ist der Unterschied zwischen einem Netz, das Sie betreiben, und einem Netz, das Sie abonnieren.
Und wenn Sie das Mesh ohne das Unternehmen wollen, gibt es den Mittelweg: die Control Plane selbst betreiben, mit Headscale, hier im Vergleich mit Tailscale. Sie behalten die offiziellen Clients und das NAT-Traversal, und der Teil, der über Ihre Geräte Bescheid weiß, bleibt auf einer Maschine, die Ihnen gehört.
Was ist der eigentliche Unterschied zwischen PiVPN und Tailscale?+
PiVPN ist ein Installationsskript: Es richtet WireGuard oder OpenVPN auf Ihrem Raspberry Pi ein und hinterlässt Ihnen einen klassischen VPN-Server, in den sich Clients einwählen. Tailscale ist ein Mesh-Netz mit einem Koordinationsserver, den Tailscale Inc. betreibt; Ihre Geräte finden einander darüber und sprechen anschließend direkt miteinander. PiVPN gibt Ihnen eine Haustür in Ihr Heimnetz. Tailscale gibt jedem Gerät eine private Adresse, die von überall funktioniert, ohne dass eine Tür geöffnet werden muss.
Kann ich PiVPN nutzen, wenn mein Anbieter mich hinter CGNAT setzt?+
Nein, und das ist die Einschränkung, die die meisten dieser Entscheidungen klärt, bevor ein Feature-Vergleich überhaupt beginnt. PiVPN braucht einen aus dem Internet erreichbaren eingehenden Port. Hinter Carrier-Grade-NAT haben Sie keine eigene öffentliche Adresse, es gibt also nichts, wohin ein Port weitergeleitet werden könnte. Tailscale ist genau für diesen Fall gebaut: Beide Seiten bauen ausgehende Verbindungen auf und werden vom Koordinationsserver zusammengeführt. Prüfen Sie zuerst die WAN-Adresse Ihres Routers - beginnt sie mit 100.64 bis 100.127, sitzen Sie hinter CGNAT.
Was ist privater?+
PiVPN, im strengen Sinn: Nichts verlässt Ihren Einflussbereich. Tailscales Datenebene ist ebenfalls Ende-zu-Ende mit WireGuard verschlüsselt, das Unternehmen kann Ihren Verkehr also nicht lesen - aber es hält die Koordinations-Metadaten: welche Geräte existieren, wann sie sich verbinden, von welchen Adressen. Wenn Ihr Einwand lautet, dass überhaupt kein Dritter die Form Ihres Netzes kennen soll, ist PiVPN die ehrliche Antwort. Wenn Ihr Einwand lautet, dass niemand Ihre Daten lesen soll, sind beide in Ordnung.
Was ist einfacher einzurichten?+
Tailscale, mit großem Abstand. Installieren, anmelden, fertig - keine Portweiterleitung, kein dynamisches DNS, kein Zertifikat zu verteilen. Das Skript von PiVPN ist gut gemacht und die Installation selbst geht schnell, aber die Arbeit drumherum nicht: eine feste IP oder DDNS, ein am Router geöffneter Port und eine Konfigurationsdatei, die von Hand auf jeden Client wandert.
Ergibt PiVPN 2026 noch Sinn?+
Ja, in zwei Situationen. Wenn Sie einen echten Austrittspunkt zu Hause wollen - im Internet so unterwegs sein, als säßen Sie an Ihrem Heimanschluss, etwa für einen Dienst, der nur Ihrer Heim-IP vertraut - dann leistet ein Hub-and-Spoke-Server genau das. Und wenn Sie jede Abhängigkeit von einem fremden Unternehmen ablehnen, besteht der ganze Wert von PiVPN darin, dass es nichts gibt, wovon man abhängen könnte.
Gibt es einen Mittelweg?+
Ja: Betreiben Sie den Koordinationsserver selbst. Headscale ist eine quelloffene Implementierung von Tailscales Control Plane, Sie behalten also das Mesh-Verhalten und die offiziellen Clients und besitzen zugleich den Teil, der über Ihre Geräte Bescheid weiß. Das kostet mehr Einrichtung als Tailscale und weniger Wartungsfreiheit als PiVPN - der übliche Preis der Mitte.
