Kurze Antwort: Tailscale basiert auf WireGuard, Verschluesselung und Geschwindigkeit bei direkter Verbindung sind also gleich. Tailscale fuegt eine verwaltete Steuerungsebene hinzu (Schluessel, NAT-Traversal, DNS, ACLs): gratis bis 6 Nutzer, danach 8 $ pro Nutzer und Monat. Rohes WireGuard ist kostenlos, aber Sie konfigurieren alles selbst.
Tailscale vs WireGuard ist kein Protokollvergleich. Tailscale ist WireGuard, darunter. Der Vergleich besteht zwischen der eigenen Verwaltung von WireGuard und dem Ueberlassen der Verwaltung an Tailscales Steuerungsebene. Diese Unterscheidung bestimmt alles: Einrichtungszeit, laufende Wartung, was Sie kontrollieren und was Sie einem Dritten anvertrauen.
Reines WireGuard? Der Server braucht eine oeffentliche IPv4, die ein Heimanschluss hinter CGNAT nicht liefert: ein Contabo Cloud VPS 4 (Affiliate-Link) reicht fuer 5,50 EUR pro Monat bei 24 Monaten Laufzeit, derselbe Preis wie in den Tabellen unten.
Die Entscheidung in einer Tabelle
| Aspekt | Rohes WireGuard | Tailscale |
|---|---|---|
| Verschluesselung der Datenebene | Curve25519 + ChaCha20-Poly1305 | Identisch (selber WireGuard-Tunnel) |
| Schluesselverwaltung | Manuell | Automatisch |
| NAT-Traversierung | Manuell / Portweiterleitung | Automatisch (STUN + DERP) |
| Metadaten-Exposition | Keine ueber Ihre Server hinaus | Koordinationsserver sieht Topologie |
| Kosten | Nur VPS, z. B. Contabo Cloud VPS 4 fuer 5,50 EUR/Monat oder Ultahost VPS Basic fuer 5,52 $/Monat (1 CPU, 1 GB, 24 Monate Laufzeit) | Kostenloses Kontingent oder 8+ $/Benutzer/Monat |
| Einrichtungszeit (5 Geraete) | 30 bis 60 Minuten | Unter 10 Minuten |
| Laufende Wartung | Sie kuemmern sich um alles | Tailscale kuemmert sich um die Koordination |
| Quellcode | Vollstaendig offen | Datenebene offen, Steuerungsebene geschlossen |
Die Verschluesselung ist dieselbe. Die Frage ist, ob Sie die Steuerungsebene selbst betreiben oder jemand anderen dafuer bezahlen wollen.
Zwei Abkuerzungen: Der WireGuard-Konfigurationsgenerator schreibt Server- und Client-Dateien fuer den rohen Weg, und der Tailscale-Preisrechner zeigt die Monatsrechnung fuer Ihre Teamgroesse im Vergleich zum Selbsthosten. Der Generator ist kostenlos und ohne Konto, bis 250 Geräte, und sein ZIP-Export enthält jede Client-.conf mit ihrem QR-Code als PNG, praktisch, um ein ganzes Büro oder eine Familie auf einmal auszustatten.
Erzeugen Sie Ihre WireGuard-Konfigurationen hier
Serveradresse eingeben, Anzahl der Geräte wählen, dann jeden QR-Code in der App scannen.
Alle Schlüssel werden in deinem Browser erzeugt (Curve25519 / X25519). Nichts wird an unsere Server gesendet - deine Konfiguration bleibt zu 100 % privat.
Öffentliche IPv4 oder Domain des Rechners, auf dem WireGuard läuft. Noch kein Server? Leer lassen und später eintragen.
Kostenlos, ohne Konto: bis zu 250 Clients, jede .conf mit QR-Code, und ein ZIP mit allen Dateien.
Alles, was das Gerät ins Internet sendet, läuft über Ihren Server.
Erweiterte EinstellungenTunnel-Subnetz, DNS, Site-to-Site-Netze. Die Standardwerte passen für die meisten Setups.
Optional. Gib das LAN-Subnetz hinter dem Server und/oder hinter einem Client an, der als Standort-Gateway dient (ein Router, ein Raspberry Pi, ein NAS). Der Generator trägt jedes LAN in die AllowedIPs des Servers ein, gibt jedem Peer die Routen zu den anderen LANs und schreibt die Forwarding-Regeln auf die Gateways. Lass ein Feld leer für einen normalen Client.
Was du herunterlädst
wg0.conf
für den Server
client1.conf
eine pro Gerät
QR (Beispiel)
für die Handy-App
Nur zur Veranschaulichung: Zeilen und QR-Code sind erfunden, kein echter Schlüssel. Deine echten Dateien entstehen beim Klick in deinem Browser.
Was WireGuard wirklich ist
WireGuard ist ein VPN-Protokoll. Es lebt im Linux-Kernel (seit Version 5.6) und hat Implementierungen fuer Windows, macOS, iOS und Android. Seine Designphilosophie ist Minimalismus: etwa 4.000 Codezeilen, eine feste kryptographische Suite (Curve25519 fuer den Schluesselaustausch, ChaCha20-Poly1305 fuer symmetrische Verschluesselung, BLAKE2s fuer Hashing) und keine Aushandlung von Cipher-Suiten.
Sie generieren ein Schluesselpaar auf jedem Geraet, tauschen oeffentliche Schluessel manuell aus, konfigurieren erlaubte IP-Bereiche und aktivieren die Schnittstelle. WireGuard verwaltet den Tunnel. Alles andere, einschliesslich Schluesselverteilung, DNS, NAT-Traversierung, Zugriffskontrolle und Widerruf, liegt in Ihrer Verantwortung.
Das ist keine Kritik. Es ist eine bewusste Designentscheidung. WireGuard macht eine Sache und ueberlasst den Rest Ihnen, was genau das ist, was manche Administratoren wollen.
Was Tailscale obendrauf hinzufuegt
Tailscale umhuellt eine Steuerungsebene um WireGuards Datenebene. Der Verkehr zwischen Ihren Geraeten laeuft weiterhin durch einen WireGuard-Tunnel mit derselben Kryptographie. Was sich aendert, ist alles um diesen Tunnel herum:
Automatische Schluesselverwaltung. Wenn Sie ein Geraet zu Ihrem Tailscale-Netzwerk (Tailnet genannt) hinzufuegen, verteilt die Steuerungsebene oeffentliche Schluessel an jedes andere Geraet, das es erreichen koennen soll. Sie kopieren nie manuell einen Schluessel.
NAT-Traversierung. WireGuard erfordert, dass mindestens ein Endpunkt eine oeffentlich erreichbare IP-Adresse hat, oder Sie muessen Portweiterleitung konfigurieren. Tailscale nutzt eine Kombination aus STUN, Hole Punching und eigenen Relay-Servern (DERP genannt), um direkte Peer-to-Peer-Verbindungen durch NATs und Firewalls herzustellen. In den meisten Konfigurationen ist keine Portweiterleitung noetig.
MagicDNS. Jedes Geraet erhaelt einen stabilen Hostnamen in Ihrem Tailnet (z.B. laptop.tailnet-name.ts.net). Sie adressieren Maschinen per Name statt per IP.
Zugriffskontrolllisten. Tailscale bietet ein deklaratives ACL-System, in dem Sie definieren, welche Geraete und Benutzer welche Dienste erreichen koennen. Mit rohem WireGuard wuerden Sie dies durch Firewall-Regeln auf jeder Maschine implementieren.
Ein Web-Dashboard und eine API. Sie koennen alle verbundenen Geraete, ihre letzte Onlinezeit, ihr Betriebssystem und ihre Tailscale-Version im Browser sehen. Rohes WireGuard hat keine Verwaltungsoberflaeche.
Was Tailscale wegnimmt
Jede Annehmlichkeit, die Tailscale bietet, kommt von seiner Steuerungsebene, und diese Steuerungsebene ist ein proprietaerer SaaS-Dienst, betrieben von Tailscale Inc. in den Vereinigten Staaten. Hier ist, was das in der Praxis bedeutet:
Ihr Koordinationsserver gehoert nicht Ihnen. Die Steuerungsebene weiss, welche Geraete in Ihrem Netzwerk sind, ihre oeffentlichen Schluessel, ihre IP-Adressen und ihre Verbindungsmetadaten. Tailscale erklaert, dass es den Inhalt Ihres Verkehrs nicht sieht (weil der WireGuard-Tunnel Ende-zu-Ende verschluesselt ist), aber es sieht die Netzwerktopologie.
Sie haengen von Tailscales Verfuegbarkeit ab. Wenn der Koordinationsserver ausfaellt, funktionieren bestehende Verbindungen weiter (weil die WireGuard-Tunnel bereits aufgebaut sind), aber neue Geraete koennen nicht beitreten und Schluesselrotationen stocken. Das ist ein praktisches Problem fuer Produktionsinfrastruktur.
Das kostenlose Kontingent hat Grenzen. Tailscales kostenloser Personal-Plan deckt bis zu 6 Benutzer mit unbegrenzt vielen Geräten ab (laut tailscale.com, gelesen am 7. Oktober 2026). Darüber hinaus beginnt die Preisgestaltung bei 8 $ pro Benutzer und Monat im Standard-Plan.
Sie koennen die Steuerungsebene nicht inspizieren oder aendern. Sie ist Closed Source. Wenn Sie genau verstehen wollen, was der Koordinationsserver mit Ihren Metadaten macht, vertrauen Sie auf Tailscales Dokumentation und Datenschutzrichtlinie, statt den Code zu lesen.
Rohes WireGuard: was Sie bekommen, wenn Sie es selbst machen
WireGuard ohne Steuerungsebene zu betreiben bedeutet, dass Sie jede operationale Aufgabe uebernehmen, aber auch jede operationale Entscheidung kontrollieren:
Volle Eigentumsrechte an allen Komponenten. Ihre Schluessel, Ihre Server, Ihr DNS, Ihre Firewall-Regeln. Nichts verlaesst Ihre Infrastruktur ausser dem verschluesselten Tunnelverkehr.
Keine externe Abhaengigkeit. Ihr VPN funktioniert, solange Ihre Server laufen. Kein Drittanbieterdienst kann es beeinflussen.
Keine Preisgestaltung pro Benutzer. WireGuard ist kostenlos und Open Source. Ihre Kosten sind der VPS oder Server, auf dem Sie es betreiben, typischerweise 3 bis 6 $ pro Monat fuer eine Basisinstanz.
Keine Metadaten-Exposition gegenueber Dritten. Kein Koordinationsserver sieht Ihre Topologie.
Die Kosten sind Zeit. WireGuard fuer zwei Geraete einzurichten dauert zehn Minuten. Es fuer zwanzig Geraete an drei Standorten einzurichten, mit Schluesselrotation, DNS und Firewall-Regeln, dauert erheblich laenger und erfordert laufende Wartung.
★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200-Mbit/s-Port
Contabo Cloud VPS ansehen →Der guenstigste Weg fuer rohes WireGuard oder Headscale: Cloud VPS 4 fuer 5,50 EUR/Monat, deutsche Rechenzentren unter DSGVO, reicht fuer 1 bis 10 Nutzer.→Was es ueber 3 Jahre kostet
Der Preis pro Nutzer macht sich erst bemerkbar, wenn Sie den Gratis-Plan verlassen. Hier die reinen Kosten ueber 36 Monate zu den oben genannten Preisen (Tailscale Standard zu 8 $ pro Nutzer und Monat, ein Contabo Cloud VPS 4 zu 5,50 EUR pro Monat als WireGuard-Hub):
| Teamgroesse | Tailscale, 36 Monate | Rohes WireGuard auf einem VPS, 36 Monate |
|---|---|---|
| 1 bis 6 Nutzer, privat | 0 $ (kostenloser Personal-Plan) | etwa 198 EUR (Contabo Cloud VPS 4) |
| 10 Nutzer | 2.880 $ | etwa 198 EUR |
| 25 Nutzer | 7.200 $ | etwa 198 EUR (derselbe VPS, WireGuard ist sparsam) |
Die VPS-Zeile waechst nicht mit der Nutzerzahl, die Tailscale-Zeile waechst linear. Was die Tabelle nicht zeigt, ist Ihre Zeit: Bei 10 Nutzern betraegt der Unterschied rund 74 $ pro Monat, Selbsthosting lohnt sich also, solange Einrichtung und Wartung Sie monatlich weniger kosten. Fuer einen Einzelnutzer im Gratis-Plan ist Tailscale schlicht guenstiger; fuer ein Team ab 10 Personen, das mit Linux vertraut ist, gewinnt ein einzelner VPS finanziell mit grossem Abstand.
Umstieg von Tailscale auf rohes WireGuard
Wenn Sie aus dem Gratis-Plan herauswachsen und selbst hosten wollen, behandeln Sie das als kleines Projekt, nicht als Nachmittagsaufgabe:
- Listen Sie jeden Knoten auf, mit seiner Tailnet-IP (
100.x.x.x) und den ACLs, auf die Sie sich tatsaechlich stuetzen. - Stellen Sie einen VPS mit oeffentlicher IPv4 bereit als Hub, installieren Sie dann WireGuard und oeffnen Sie UDP 51820 in der Firewall.
- Waehlen Sie einen privaten Adressbereich (zum Beispiel
10.66.0.0/24) und ordnen Sie jeder alten Tailnet-IP eine neue Adresse zu. - Erzeugen Sie eine Konfiguration pro Client und uebermitteln Sie sie ueber einen sicheren Kanal (Passwortmanager oder Signal, niemals unverschluesselte E-Mail).
- Stellen Sie einen Client nach dem anderen um, pruefen Sie die Verbindung und passen Sie
AllowedIPsauf dem Hub an. - Lassen Sie Tailscale ein bis zwei Wochen parallel laufen, damit Sie zurueckwechseln koennen, falls ein Geraet Probleme macht.
Wenn Sie lieber die Tailscale-Clients und deren NAT-Traversal behalten moechten, betreiben Sie stattdessen Headscale auf demselben VPS (siehe den Mittelweg weiter unten).
Wann rohes WireGuard waehlen
Sie haben eine kleine, statische Geraetegruppe. Ein persoenlicher VPN-Server mit ein bis fuenf Clients ist WireGuards Staerke. Die Schluesselverwaltung ist bei dieser Groesse trivial, und die Einfachheit der Einrichtung ist eine Tugend.
Sie brauchen volle Kontrolle ueber Ihre Infrastruktur. Wenn Ihr Bedrohungsmodell einschliesst, keinem Drittanbieter-Koordinationsdienst Ihre Netzwerktopologie anzuvertrauen, ist rohes WireGuard die einzige Option, die alles in Ihren Haenden haelt.
Sie integrieren WireGuard in ein anderes System. Wenn Sie VPN-Funktionalitaet in ein Produkt oder einen benutzerdefinierten Netzwerk-Stack einbetten, wollen Sie das Protokoll, nicht den verwalteten Dienst.
Wann Tailscale waehlen
Sie haben eine wachsende oder dynamische Geraetegruppe. Sobald Sie ueber eine Handvoll Maschinen hinausgehen, werden Schluesselverteilung und NAT-Traversierung echte operationale Belastungen. Tailscale eliminiert beides.
Ihr Team braucht gemeinsamen Zugriff. Tailscales Benutzerverwaltung und ACLs machen es einfach, Teammitgliedern Zugriff auf bestimmte Ressourcen zu geben, ohne Firewall-Regeln auf jeder Maschine zu konfigurieren.
Sie sind hinter restriktiven NATs. Unternehmens-Firewalls, Carrier-Grade-NAT und symmetrische NAT-Konfigurationen koennen rohe WireGuard-Verbindungen schwierig oder unmoeglich machen ohne einen Relay. Tailscales DERP-Infrastruktur handhabt das automatisch.
Damit die Befehle griffbereit bleiben: Unser kostenloses Tailscale & Headscale Cheat Sheet (PDF, 4 Seiten auf Englisch, direkter Download, ohne Anmeldung) fasst status und ping, Exit Node, Subnet Router, Serve und Funnel, die Headscale-Konfiguration, Benutzer, Schlüssel und ACLs sowie die üblichen Fehlerursachen zusammen. Cheat Sheet herunterladen.
Der Mittelweg: Headscale
Wenn Sie Tailscales Komfort ohne seine proprietaere Steuerungsebene wollen, ist Headscale eine Open-Source-Reimplementierung des Tailscale-Koordinationsservers, geschrieben in Go. Sie funktioniert mit den offiziellen Tailscale-Clients und gibt Ihnen dieselbe automatische Schluesselverwaltung, NAT-Traversierung und MagicDNS, laeuft aber vollstaendig auf Ihrer eigenen Infrastruktur.
Der Kompromiss ist die Einrichtungskomplexitaet. Headscale erfordert, dass Sie den Koordinationsserver selbst bereitstellen und warten, und es hat keine Funktionsparitaet mit Tailscales kommerziellem Angebot (die Web-Oberflaeche wird von der Community gepflegt, und einige Enterprise-Funktionen fehlen).
Weitere Tailscale-Vergleiche: Twingate vs Tailscale, NetBird vs Tailscale, ZeroTier vs Tailscale.
Affiliate-Link
★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200-Mbit/s-Port
Hoste dein VPN auf deinem eigenen VPS → ContaboCloud VPS 4 · 5,50 €/Mon. · Karte oder PayPal · Bestellungen auch von außerhalb der EU→Preis geprüft am 17.10.2026, Laufzeit 24 Monate
