Headscale vs Tailscale 2026: gratis selbst hosten oder 8 $/Nutzer?

Mesh-VPN explodierte im Jahr 2026. WireGuard wurde zum De-facto-Standard, Tailscale wurde zum verwalteten Referenz-Mesh, und die Selbsthost-Community brachte Headscale auf ein Reifestadium, das keine Ausrede mehr lässt, bei einem SaaS zu bleiben, wenn Souveränität wichtig ist. Wenn Sie nach "tailscale vs headscale" suchen, sind Sie wahrscheinlich hin- und hergerissen zwischen verwaltetem Komfort und totaler Kontrolle - dieser Vergleich trifft die Entscheidung, basierend darauf, wie jedes konzipiert ist, um zu laufen, mit Headscale, das auf einem Contabo VPS Frankfurt als selbstgehostete Referenz bereitgestellt wird.

Kurze Antwort

• Privat, Homelab, Nebenprojekte: Tailscale Free. Bis zu 6 Nutzer für 0 $, in 5 Minuten eingerichtet, aber nur für nicht-kommerzielle Nutzung.
• Kleines Team ohne jemanden, der einen Server betreut: ein kostenpflichtiger Tailscale-Tarif (8 $ pro Nutzer und Monat in Standard, 18 $ in Premium). Tailscale hält die Kontrollebene für Sie aktuell.
• 10 Nutzer oder mehr mit einem Sysadmin, oder Pflicht, Metadaten in der EU zu halten: Headscale auf Ihrem eigenen VPS, rund 66 € pro Jahr unabhängig von der Teamgröße, mit denselben offiziellen Tailscale-Apps auf jedem Gerät.

Die Datenebene ist in beiden Fällen identisch: WireGuard. Der gesamte Unterschied liegt in der Kontrollebene - wer orchestriert Schlüssel, ACLs, NAT-Traversal und wer hält die Metadaten für Ihr Mesh. Diese Nuance ändert alles: Kosten, Latenz, Anbieterbindung und Compliance-Haltung.

Was kostet es Sie? Tailscale ist für 6 Nutzer kostenlos, aber nur nicht-kommerziell, Twingate und NetBird enden bei 5 Nutzern, ZeroTier bei 10 Geräten. Unser kostenloser Tailscale Preisrechner nimmt Ihre Nutzer- und Gerätezahl und zeigt den günstigsten passenden Tarif jedes Dienstes über 12 bis 36 Monate, neben einem selbst gehosteten Headscale- oder NetBird-Server (Preise geprüft am 18.10.2026).

Auf einen Blick (der vollständige Vergleich mit 12 Kriterien folgt weiter unten):

Tailscale: verwaltete Architektur

Tailscale ist eine SaaS-Kontrollebene, die auf WireGuard aufgesetzt ist. Wenn Sie den Client installieren, tut er drei Dinge:

1. Authentifiziert sich gegen den Tailscale-Koordinator (login.tailscale.com).
2. Ruft die Liste der autorisierten Peers + deren WireGuard-Öffentlichkeits-Schlüssel ab.
3. Versucht eine direkte Peer-to-Peer-WireGuard-Verbindung. Wenn NAT dies blockiert, fällt er auf ein DERP-Relay (TCP/443) zurück, das von Tailscale Inc. verwaltet wird.

Der SaaS-Koordinator

Der Koordinator ist der Orchestrator. Er sieht niemals Ihre WireGuard-Privatschlüssel - diese werden lokal generiert und bleiben lokal. Er verteilt nur öffentliche Schlüssel und IP-Zuordnungen. Tatsächliche Angriffsfläche: Wenn der Koordinator kompromittiert wird, kann ein Angreifer einen Phantom-Peer in Ihr Mesh einfügen. Tailscale veröffentlicht ein detailliertes Bedrohungsmodell und unterzieht sich regelmäßigen Audits.

DERP - Designated Encrypted Relay for Packets

Wenn zwei Peers hinter symmetrischen NATs keinen direkten Tunnel herstellen können, leitet Tailscale verschlüsselten Datenverkehr über ein global verteiltes Netzwerk von DERP-Servern (offizielle DERP-Liste). Dies ist immer noch Ende-zu-Ende-verschlüsseltes WireGuard; Tailscale Inc. kann es nicht entschlüsseln. Aber die Netzwerkmetadaten (wer mit wem, wann, wie viel spricht) durchlaufen ihre Infrastruktur.

MagicDNS, ACLs, MFA SSO

• MagicDNS: machine.your-tailnet.ts.net-Auflösung überall im Mesh, keine manuelle DNS-Konfiguration.
• Deklarative JSON-ACLs: wer mit wem, auf welchen Ports sprechen kann. In iptables-Regeln kompiliert.
• MFA + SAML/OIDC SSO auf Premium- und Enterprise-Plänen (Google Workspace, Okta, Azure AD).
• Vollständige Audit-Logs auf Premium.

Die Benutzererfahrung ist ausgezeichnet. Der Preis ist es nicht, sobald Sie den kostenlosen Plan verlassen - der laut Preisseite von Tailscale, gelesen am 20. August 2026, bis zu 6 Nutzer mit unbegrenzt vielen Geraten abdeckt, wahrend Standard darüber mit 8 $ pro Nutzer und Monat ausgewiesen ist.

Was ist Headscale und wie funktioniert es mit Tailscale-Clients?

Headscale ist eine Open-Source-Neuimplementierung (BSD-3, Go) der Tailscale-Koordinator-API. Sie hosten es selbst auf Ihrem eigenen Server - ein Contabo VPS für 5,50 €/Monat reicht für die Kontrollebene eines kleinen Teams. Offizielle Tailscale-Clients (iOS, macOS, Android, Linux, Windows) verbinden sich direkt mit --login-server=https://your-headscale-domain.com. Kein Client-Fork, volle Souveränität, Break-even gegenüber Tailscale Premium bei ~7 Benutzern.

Headscale: selbstgehostete Architektur

Headscale (BSD-3, Go, gepflegt von Juan Font + aktiver Community) ist eine Open-Source-Neuimplementierung der Tailscale-Koordinator-API. Kein Fork - ein unabhängiger Server, der dasselbe Protokoll spricht und somit mit offiziellen Tailscale-Clients kompatibel ist.

Komponenten

• Headscale-Daemon: Einzelnes Go-Binary, ~30 MB, hört über HTTPS auf einem konfigurierbaren Port.
• Persistenz-Backend: SQLite (Standard, geeignet für kleine Installationen) oder PostgreSQL (empfohlen für Multi-Org-Produktionen).
• TLS-Reverse-Proxy: Caddy oder Traefik vor Headscale. Automatisches Let's Encrypt.
• Optionaler OIDC-Anbieter: Authentik, Keycloak, Authelia für Benutzer-Authentifizierung. Ohne OIDC bleiben Pre-Auth-Schlüssel (CLI) verfügbar.

Was Headscale tut

• Peer-Erkennung + Verteilung öffentlicher Schlüssel.
• Tailscale JSON-ACLs (100%-kompatibles Format).
• DERP: Entweder das öffentliche DERP-Netzwerk von Tailscale verwenden (Standard) oder eigenes DERP auf demselben VPS hosten.
• Exit-Knoten, Subnetz-Router, Taildrop, MagicDNS (seit v0.23).

Was Headscale nicht tut

• Keine offizielle Webkonsole (Community-Alternativen: headscale-ui, noch in der Stabilisierung).
• Kein Tailscale SSH mit Sitzungsaufzeichnung (SaaS-Premium-Funktion).
• Kein kommerzieller Support - es ist Community-Open-Source, GitHub-Issues sind der einzige Kanal.

12-Kriterien-Vergleich

Drei Beobachtungen, die Sie selten anderswo lesen:

1. Custom Headscale DERP ist ein Game-Changer für die EU. Hoste DERP auf demselben Contabo Frankfurt VPS und du ersetzt eine US-DERP-Infrastruktur durch eine EU-Infrastruktur - ein großer GDPR-Gewinn für Unternehmen mit EU/EEA-Compliance-Anforderungen.
2. Das Fehlen einer offiziellen Headscale-Konsole ist weniger problematisch, als man denkt, sobald die anfängliche Konfiguration abgeschlossen ist. Der tägliche Betrieb erfolgt über die CLI (headscale nodes list, headscale acl tests) und passt in 3 Befehle.
3. Die versteckten Kosten von Tailscale Premium: Die Abrechnung erfolgt pro Benutzer, nicht pro Gerät. Wenn Sie 5 Benutzer und 100 Knoten haben, zahlen Sie 5 × 18 $/Monat - nicht 100 × 1,80 $. Headscale ignoriert diese Unterscheidung (ein Knoten = ein Knoten).

Praxis: Headscale-Setup auf Contabo Frankfurt

Referenz-Setup für einen Contabo Cloud VPS 4 Frankfurt (4 vCPU, 8 GB RAM, 100 GB SSD, unbegrenzter Traffic (Fair-Use), 5,50 €/Monat - siehe unser Contabo-Test 2026). Stack: Debian 12, Docker, Headscale 0.29 (SQLite), Caddy 2, Authentik 2026.4.

Schritt 1 - Contabo-Bereitstellung (5 min)

Bestellen Sie einen Contabo Cloud VPS 4 Frankfurt über unseren Contabo VPS-Link. Lieber ein US-Anbieter mit 30 Tagen Geld-zurück-Garantie? Ultahost VPS Basic kostet 5,52 $ im Monat bei 24 Monaten Laufzeit (1 GB RAM, dedizierte IPv4, gelesen am 21. Oktober 2026), genug für einen Headscale-Server für ein kleines Team. Günstigste Option: HostPapa Unmanaged VPS Lite (Affiliate-Link) für 2,95 $ im Monat bei 3 Jahren Laufzeit, danach zum regulären Preis (1 Kern, 1 GB RAM, 25 GB NVMe, Root-Zugang per SSH, 30 Tage Geld-zurück-Garantie, Stand 28. Oktober 2026), genug für Headscale, das als einzelnes schlankes Binary läuft. Starten Sie mit einem minimalen Debian-12-Image: nur SSH-Schlüssel, Root-Login sofort deaktiviert, ufw + fail2ban konfiguriert mit dem Contabo Schritt-für-Schritt-Tutorial.

Schritt 2 - Docker-Stack (10 min)

# /opt/headscale/docker-compose.yaml (Headscale 0.29.6, SQLite as recommended upstream)
services:
  headscale:
    image: docker.io/headscale/headscale:0.29.6
    container_name: headscale
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /var/run/headscale
    ports:
      - "127.0.0.1:8080:8080"
      - "127.0.0.1:9090:9090"
    volumes:
      - /opt/headscale/config:/etc/headscale:ro
      - /opt/headscale/lib:/var/lib/headscale
    command: serve
    healthcheck:
      test: ["CMD", "headscale", "health"]

  caddy:
    image: docker.io/library/caddy:2
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - /opt/headscale/Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
    depends_on:
      - headscale

volumes:
  caddy_data:
  caddy_config:

Minimaler Caddyfile:

headscale.yourdomain.com {
  reverse_proxy headscale:8080
}

docker compose up -d und Let's Encrypt kümmert sich in etwa 30 Sekunden um das TLS-Zertifikat. Caddy erreicht Headscale über den Dienstnamen (headscale:8080): Im Caddy-Container würde 127.0.0.1 auf Caddy selbst zeigen. In der config.yaml server_url: https://headscale.yourdomain.com, listen_addr: 0.0.0.0:8080 (der Container muss auf allen seinen Schnittstellen lauschen) und eine von dieser Domain verschiedene dns.base_domain setzen. Unser Headscale Config Generator schreibt die vollständige Datei für genau diesen Stack. Insgesamt: 15 Minuten aktive Einrichtung.

Schritt 3 - Verbinden von 5 Clients

# Auf dem Headscale-Server
headscale users create eric
headscale users list   # numeric ID of eric, e.g. 1
headscale preauthkeys create --user 1 --reusable --expiration 24h
# → tskey-auth-xxxxx

# Auf jedem Client (MacBook, 2 Linux Debian, iOS, Android)
sudo tailscale up \
  --login-server=https://headscale.yourdomain.com \
  --authkey=tskey-auth-xxxxx

iOS und Android erfordern das Bearbeiten von Einstellungen → Tailscale → Benutzerdefinierte Koordinator-URL in der offiziellen App (Option sichtbar seit 1.40). Das Verbinden einer Handvoll Clients dauert nur wenige Minuten.

Schritt 4 - Was Sie in Bezug auf die Leistung erwarten können

Um selbst zu vergleichen, führen Sie iperf3 zwischen einem Client und dem Contabo VPS Frankfurt aus. Die folgende Tabelle zeigt, was Sie erwartungsgemäß erwarten können - messen Sie Ihre eigene Route für genaue Zahlen:

Beim direkten Tunnel (der nominale Fall) gibt es keinen Unterschied - es ist WireGuard auf beiden Seiten. Der Unterschied zeigt sich nur beim DERP-Relay: Das Hosten Ihres eigenen DERP auf Contabo Frankfurt vermeidet einen langen Umweg und bietet niedrigere RTT und höheren Durchsatz als ein entferntes öffentliches DERP, das während der Stoßzeiten gesättigt sein kann.

Headscale 0.29.6 (24. Oktober 2026): Was das Update für Sie ändert

Headscale 0.29.6 erschien am 24. Oktober 2026 als Sicherheits- und Patch-Release (Quelle: die GitHub-Release-Notes, gelesen am 25. Oktober 2026). Die minimal unterstützte Tailscale-Client-Version bleibt 1.80.0, und die Notes nennen keinen neuen Konfigurationsschlüssel: Das Update ist ein Tag-Wechsel in der Compose-Datei oben, gefolgt von docker compose pull && docker compose up -d.

Was es behebt:

• Kompromittierte Zertifizierungsstelle. Die Binaries werden mit Go 1.27.3 gebaut, das Zertifikatsketten mit den kompromittierten eMudhra-Zwischenschlüsseln ablehnt (CVE-2026-111943), und die Container-Images werden auf Basen neu gebaut, deren CA-Bundle emSign ECC Root CA - G3 nicht mehr enthält. Wer Headscale selbst kompiliert, muss mit Go 1.27.3 oder neuer neu bauen, sonst fehlt dieser Schutz.
• HTTP/2-Denial-of-Service. golang.org/x/net 0.60.0, golang.org/x/text 0.42.0 und gRPC 1.83.2 schließen die veröffentlichten HTTP/2- und Textverarbeitungs-Schwachstellen. Die Headscale-Control-Plane ist ein HTTPS-Endpunkt, den jeder Node abfragt: Auf einem im Internet erreichbaren Server ist das der wichtigste Fix.
• Große Tailnets. Die Peer-Map wird pro Policy-Schreibvorgang einmal statt zweimal gebaut, jeder Node findet seine Regeln einmal statt dass jedes Node-Paar gegen jede Regel geprüft wird, Map-Updates filtern ihre Empfänger nicht mehr erneut, und ein Node, der sich abmeldet oder gelöscht wird, hinterlässt keine INTERNAL_ERROR-Streams mehr.

Das ist auch der ehrliche Preis der Self-Hosting-Spalte in der Tabelle oben: Bei Tailscale wurde der Koordinationsserver für Sie gepatcht; bei Headscale lesen Sie die Release-Notes und fahren das Update selbst, auf einem Server, den Sie kontrollieren. Auf einem Contabo Cloud VPS 4 (Affiliate-Link) besteht der Vorgang aus einem Pull und einem Neustart, und Ihre Geräte reden währenddessen weiter miteinander: Die WireGuard-Tunnel zwischen den Nodes hängen nicht von der Erreichbarkeit der Control-Plane ab.

Anwendungsfälle - wer sollte was wählen

Wählen Sie Tailscale (verwaltet)

• Solo / personliche Projekte, bis zu 6 Nutzer → Tailscale Free. $0, unbegrenzt viele Gerate laut Ausweisung vom 20. August 2026, und die Benutzererfahrung ist unschlagbar.
• Frühphasen-Startup <5 Benutzer → Ebenfalls Tailscale Free. Konzentrieren Sie sich auf das Produkt.
• Scaleup 20-100 Benutzer, US-freundliche B2B-SaaS-Compliance → Tailscale Premium. Audit-Logs, SAML, professioneller Support - das ist ihr Sweet Spot.
• Kein interner Sysadmin → Tailscale, keine Debatte.

Wählen Sie Headscale (selbstgehostet)

• EU-Compliance / DSGVO / öffentliche Sektor-Souveränität → Headscale. Die Kontrollebene lebt in Ihrer Gerichtsbarkeit.
• Team mit einem kompetenten Sysadmin und verfügbarer Zeit → Headscale zahlt sich schnell aus (günstiger ab ~9 Benutzern über 3 Jahre; bei 15 Benutzern sind die ~1.000 € Anfangskosten in etwa 8 Monaten wieder drin).
• Produktion mit strengen Datenresidenzanforderungen (Gesundheitswesen, EU-Fintech, Verteidigung) → Headscale ist im Wesentlichen obligatorisch.
• Wunsch, Ihren VPN-Stack zu verstehen und zu beherrschen → Headscale lehrt Sie Dinge; Tailscale verbirgt sie.

Wählen Sie reines WireGuard (Erinnerung)

Wenn Sie immer noch ein drittes Szenario abwägen (Hub-and-Spoke-WireGuard ohne Kontrollebene), klärt unser Vergleich Tailscale vs WireGuard selbstgehostet diesen Zweig. Headscale entscheidet nur gegen Tailscale.

Headscale-Einschränkungen, die Sie kennen müssen

Ehrlichkeit zuerst - Headscale ist solide, aber hier sind die echten Schwachstellen in der Produktion:

1. Feature-Verzögerung gegenüber Tailscale. Neue Tailscale-Funktionen (Tailscale Funnel, Tailscale Serve, SSH-Sitzungsaufzeichnung) kommen mit Verzögerung in Headscale an, und einige werden nie kommen (intrinsisch SaaS-Premium-Funktionen).
2. ACL-Flexibilität. Das Tailscale JSON-ACL-Format ist kompatibel, aber das Headscale-Linting ist weniger ausführlich: Ein Tippfehler in einem Tag kann stillschweigend brechen. Empfohlener Workflow: headscale acl tests in CI vor dem Pushen.
3. Kein automatisches MagicDNS für schnelle PoCs. Auf der Tailscale-SaaS-Seite funktioniert MagicDNS mit zwei Klicks. Auf der Headscale-Seite müssen Sie die DNS-Zone auf dem Server konfigurieren - entweder dnsmasq oder eine dedizierte CoreDNS-Zone. Nicht unüberwindbar, aber es ist nicht magisch.
4. Kein offizielles Bug-Bounty. Wenn Sie eine CVE finden, sind es GitHub-Issues, kein bezahltes verantwortungsvolles Offenlegungsprogramm.
5. Drittanbieter headscale-ui. Die Community-Webkonsole funktioniert, ist aber nicht auf dem Niveau des Tailscale-Dashboards in der Benutzererfahrung. Für die meisten Routineoperationen reicht die CLI aus.

3-Jahres-Vergleich der TCO

Mittleres Szenario: 10 aktive Benutzer, 30 Knoten, moderates Wachstum. Annahmen: Sysadmin zu 50 €/h (Junior-Mid-Level EU), Tailscale Premium 18 $/Benutzer/Monat (Preise Juni 2026), Contabo Cloud VPS 4 Frankfurt 5,50 €/Monat + ein Hardware-Reset (~30 €).

Bei 10 Benutzern / 30 Knoten ist Headscale ~12% günstiger in der TCO über 36 Monate. Bei 5 Benutzern zieht Tailscale Premium voraus (~3.240 $ vs ~5.280 € für Headscale - die festen Sysadmin-Kosten zerschlagen die SaaS-Einsparung). Bei 20+ Benutzern gewinnt Headscale entscheidend: Tailscale Premium erreicht 12.960 $/36m, während Headscale bei ~5.280 € bleibt.

Der wirtschaftliche Sweet Spot von Headscale: 10-15 Benutzer. Darunter gewinnt Tailscale Free oder Premium. Darüber gewinnt Headscale durch K.o.

Segmentiertes Urteil

Die schlechteste Wahl: Headscale ohne einen dedizierten Sysadmin. Sie werden mit einer ungepatchten Kontrollebene an einem Dienstagabend enden.

Damit die Befehle griffbereit bleiben: Unser kostenloses Tailscale & Headscale Cheat Sheet (PDF, 4 Seiten auf Englisch, direkter Download, ohne Anmeldung) fasst status und ping, Exit Node, Subnet Router, Serve und Funnel, die Headscale-Konfiguration, Benutzer, Schlüssel und ACLs sowie die üblichen Fehlerursachen zusammen. Cheat Sheet herunterladen.

Weiterführende Lektüre

• Was Tailscale ist und was es wirklich ersetzt
• Tailscale Subnet Router: das ganze LAN erreichen, ohne Tailscale überall zu installieren
• ZeroTier oder Tailscale: welches Mesh passt
• VPN auf einem Synology- oder QNAP-NAS: der komplette Leitfaden
• WireGuard auf einem OpenWrt-Router: Client und Server
• Headscale selbstgehostet: vollständiger Installationsleitfaden 2026
• Headscale vs WireGuard: der Tunnel und der Server, der die Schlüssel verteilt - was reines WireGuard Ihnen überlässt und was Headscale laut eigener Dokumentation nicht ist
• Tailscale vs WireGuard selbstgehostet 2026
• NetBird vs Tailscale: wer die Control Plane betreibt - die Alternative, bei der der Management-Server selbst quelloffen ist, statt einer Neuimplementierung zu folgen
• Selbstgehostetes VPN auf Contabo WireGuard 2026
• Contabo VPS-Setup Schritt für Schritt
• WireGuard vs OpenVPN - VPS-Benchmarks 2026
• Contabo-Test 2026: ehrliches Feedback aus der Produktion
• Kostenrechner für selbstgehostete VPNs - Modellieren Sie Tailscale vs Headscale vs WireGuard TCO mit Ihrer Teamgröße und Ihrem Stundensatz
• Interaktiver VPS-Vergleich - Wählen Sie den richtigen Headscale-Host zwischen Contabo, Hetzner und OVH auf einen Blick
• Tailscale Funnel: das eine Wort, das Ihre App ins öffentliche Internet stellt

Quellen:

• Headscale - Quellcode juanfont/headscale
• Tailscale CLI-Client - Quellcode
• Tailscale Sicherheitsbulletin & Bedrohungsmodell
• DERP - Designated Encrypted Relay for Packets
• WireGuard Whitepaper - Jason A. Donenfeld

Artikel veröffentlicht am 2026-06-07. Leistungsnotizen basieren darauf, wie Tailscale und Headscale konzipiert sind (beide verwenden WireGuard als Datenebene); messen Sie Ihre eigene Route für genaue Zahlen. Tailscale-Preise stammen von tailscale.com/pricing im Juni 2026 - überprüfen Sie vor einer Entscheidung. Tatsächliche Einsparungen hängen von der Teamgröße, dem Stundensatz des Sysadmins und den Compliance-Anforderungen ab.

Hinweis: WireGuard, Tailscale und Headscale sind in der EU, den USA, Kanada vollständig legal. VPNSmith veröffentlicht diesen Inhalt zu Bildungszwecken.