Was ist Tailscale? Kostenloses Mesh-VPN für 6 Nutzer (2026)

Tailscale ist ein Mesh-VPN, kostenlos für bis zu 6 Nutzer, das Ihre Laptops, Smartphones und Server zu einem privaten, verschlüsselten Netzwerk auf Basis von WireGuard verbindet, ohne Ports zu öffnen und ohne Konfigurationsdateien zu schreiben. Es ist dafür gemacht, Ihre eigenen Rechner von überall zu erreichen (NAS, Heimserver, SSH), nicht für anonymes Surfen: Um Ihre IP zu verbergen, braucht es einen Exit Node.

Dieser Leitfaden beantwortet der Reihe nach die Fragen, die Menschen bei Google eintippen: was Tailscale macht, wie es funktioniert, was kostenlos ist und was kostet, und wie man es wie ein normales VPN nutzt.

Was kostet es Sie? Tailscale ist für 6 Nutzer kostenlos, aber nur bei nicht-kommerzieller Nutzung, Twingate und NetBird enden bei 5 Nutzern, ZeroTier bei 10 Geräten. Unser kostenloser Tailscale-Preisrechner nimmt Ihre Zahl an Nutzern und Geräten und zeigt für jeden Dienst den günstigsten passenden Tarif über 12 bis 36 Monate, neben einem selbst gehosteten Headscale- oder NetBird-Server (Preise geprüft am 18. Okt. 2026).

Was ist Tailscale, in einem Satz?

Tailscale ist ein Mesh-VPN auf Basis von WireGuard, das alle Ihre Geräte fast ohne Einrichtung zu einem einzigen privaten Netzwerk verbindet. Sie installieren die App auf jedem Gerät, melden sich mit einem bestehenden Konto an, und alle Geräte erreichen sich sicher, egal wo auf der Welt sie gerade sind. Tailscale nimmt das schnelle, moderne WireGuard-Protokoll und erspart Ihnen die Handarbeit, die normalerweise damit verbunden ist.

Was macht Tailscale eigentlich?

Die Definition oben sagt, was Tailscale ist. Meist wollen die Leute aber wissen, was es tut, und die Antwort darauf ist kürzer: Es gibt jedem Ihrer Geräte eine feste private Adresse, die funktioniert, egal in welchem Netzwerk sich das Gerät gerade befindet.

Alles andere ergibt sich aus diesem einen Verhalten. In der Praxis leistet es drei Dinge:

• Es macht Ihre Geräte füreinander erreichbar. Ihr Laptop kann vom Café oder aus einem anderen Land auf Ihr NAS zu Hause, Ihren Desktop-PC oder einen gemieteten Server zugreifen, ohne dass Sie auch nur einen Port am Router öffnen.
• Es funktioniert weiter, wenn das Netzwerk wechselt. Die Adresse ändert sich nicht, wenn Sie vom heimischen WLAN in die Mobilfunkdaten wechseln. Verbindungen überstehen den Wechsel, statt abzubrechen.
• Es kann auf Wunsch auch Ihren Internetverkehr umleiten. Wenn Sie ein Gerät als Exit Node festlegen, läuft Ihr Surfen darüber. Das ist der Teil, der einem klassischen VPN ähnelt, und er ist standardmäßig ausgeschaltet.

Was es nicht bietet, ist eine Liste von Servern in anderen Ländern. Das ist die häufigste Quelle für Missverständnisse, dazu weiter unten mehr.

(Der Name wird in einem Wort geschrieben. Wenn Sie nach „tail scale“ in zwei Wörtern gesucht haben, sind Sie hier richtig: Das Produkt heißt Tailscale.)

Wie funktioniert Tailscale?

Tailscale funktioniert in vier Schritten: Jedes Gerät erzeugt sein eigenes WireGuard-Schlüsselpaar, die öffentlichen Schlüssel werden über den Koordinationsserver von Tailscale ausgetauscht, die Geräte finden einen Weg zueinander durch das NAT (direkt oder über ein verschlüsseltes Relay), und danach fließt der Verkehr von Gerät zu Gerät über WireGuard. Das passiert der Reihe nach, wenn Sie zum ersten Mal tailscale up ausführen:

1. Sie melden sich mit einer Identität an, die Sie schon haben. Google, Microsoft, GitHub, Apple oder ein beliebiger OIDC-Anbieter. Tailscale speichert kein eigenes Passwort; der Identitätsanbieter bestätigt, wer Sie sind, und diese Identität bestimmt, welchem Tailnet das Gerät beitritt.
2. Das Gerät erzeugt lokal ein WireGuard-Schlüsselpaar. Der private Schlüssel verlässt den Rechner nie. Nur der öffentliche Schlüssel und die Adressen, unter denen das Gerät erreichbar ist, gehen an den Koordinationsserver (die Steuerungsebene unter login.tailscale.com).
3. Der Koordinationsserver verteilt die Karte. Jedes Gerät erhält die öffentlichen Schlüssel und erreichbaren Adressen seiner Gegenstellen, die von Ihnen geschriebenen Zugriffsregeln (ACLs), eine feste private Adresse im Bereich 100.64.0.0/10 und einen MagicDNS-Namen wie nas.your-tailnet.ts.net.
4. Die Geräte finden einen Weg zueinander. Jedes ermittelt per STUN seine öffentliche Adresse und versucht, durch NAT-Hole-Punching eine direkte UDP-Verbindung aufzubauen. Sitzen beide Seiten hinter einem strikten NAT oder CGNAT, läuft der Verkehr stattdessen über ein DERP-Relay, weiterhin Ende-zu-Ende verschlüsselt (das Relay transportiert Chiffretext, den es nicht lesen kann), und Tailscale versucht im Hintergrund weiter, auf einen direkten Weg umzuschalten.
5. Der Verkehr fließt über WireGuard, von Gerät zu Gerät. Der Koordinationsserver sieht kein einziges Paket Ihrer Daten; er kümmert sich nur um Schlüssel, Identität und die Liste der Gegenstellen.

Eines sollten Sie im Kopf behalten: Der Koordinationsserver ist das Teil, dem Sie vertrauen. Er transportiert nie Ihre Daten, aber er entscheidet, welche öffentlichen Schlüssel zu Ihrem Tailnet gehören. Wenn Sie das stört, ersetzt ihn der Open-Source-Server Headscale auf einem Rechner, der Ihnen gehört, und die offiziellen Tailscale-Clients funktionieren unverändert weiter.

Wofür wird Tailscale genutzt?

Seine Stärken zeigt es immer dann, wenn Sie privaten Zugriff auf Ihre eigenen Rechner brauchen:

• Einen Heimserver oder ein NAS erreichen, von überall, als wären Sie zu Hause.
• Die Geräte eines kleinen Teams verbinden, ohne klassisches Firmen-VPN.
• Per SSH auf Server zugreifen, ohne sie dem öffentlichen Internet auszusetzen.
• Cloud- und Heimrechner verbinden, zu einem flachen, privaten Netzwerk.

Das ist etwas anderes als ein kommerzielles VPN. Wenn Sie die Variante zum Selbermachen vergleichen möchten, lesen Sie unsere Gegenüberstellung Tailscale vs. reines WireGuard.

Was ist der Unterschied zwischen Tailscale und einem normalen VPN?

Hier geraten viele durcheinander, deshalb lohnt sich Klarheit. Ein kommerzielles VPN leitet Ihren Verkehr über die Server eines Anbieters, um Ihre IP zu verbergen und Streaming freizuschalten. Tailscale verbindet Ihre eigenen Geräte privat miteinander. Es ist nicht für anonymes Surfen gebaut und auch nicht dafür, das Netflix-Angebot eines anderen Landes zu schauen. Es ist für den sicheren, privaten Zugriff auf die Rechner und Dienste gebaut, die Ihnen gehören.

Mesh oder Hub-and-Spoke: die Form des Netzwerks

Die Tabelle oben vergleicht, wofür die beiden da sind. Der tiefere Unterschied liegt in der Topologie, und sie entscheidet, wie Ihr Verkehr tatsächlich fließt.

Ein klassisches VPN ist sternförmig (Hub and Spoke). Jedes Gerät wählt sich beim selben Konzentrator ein, und alles, was Sie senden, läuft darüber, sogar eine Datei an den Laptop auf Ihrem eigenen Schreibtisch. Dieser Hub ist ein einzelner Ort für die Konfiguration, ein einzelner Ausfallpunkt und ein Umweg, der echte Millisekunden kostet, wenn die beiden Rechner im selben Raum stehen und der Hub in einem anderen Land.

Ein Mesh-VPN ist Peer-to-Peer. Jedes Gerät hält einen Schlüssel für jedes andere Gerät und spricht direkt mit ihm, wenn das Netzwerk es zulässt, wobei NAT-Traversal einen Weg durch die Router dazwischen bahnt. Es gibt zwar weiterhin einen Koordinationsserver, aber er verteilt Schlüssel und Adressen; Ihre Pakete transportiert er nicht. Scheitert das Traversal, was in manchen restriktiven Netzen vorkommt, weicht der Verkehr auf ein Relay aus, und Sie haben wieder das sternförmige Verhalten: langsamer, aber funktionsfähig.

Drei Folgen ergeben sich aus der Form, nicht aus der Marke:

• Die Latenz folgt dem tatsächlichen Weg zwischen zwei Geräten, nicht dem Weg zu einem Konzentrator.
• Ein Mesh hat keinen einzelnen Engpass, den man dimensionieren oder verlieren könnte, wohl aber einen Koordinationsdienst, dessen Verfügbarkeit weiterhin zählt.
• Ein neues Gerät hinzuzufügen ist ein Schlüsselaustausch, keine Änderung an einer zentralen Konfiguration.

Wo liegen die Grenzen von Tailscale?

Tailscale ist ausgezeichnet, hat aber seine Kompromisse. Für die Steuerungsebene verlassen Sie sich auf die Koordinationsserver und die Anmeldung von Tailscale, es ist also nicht völlig autark. Wenn Ihnen das wichtig ist, beseitigen der Open-Source-Server Headscale oder reines WireGuard diese Abhängigkeit, mit mehr Einrichtungsaufwand. Abgerechnet wird pro Nutzer, die Kosten wachsen also mit der Teamgröße. Und weil es für den privaten Gerätezugriff gedacht ist, ersetzt es kein kommerzielles VPN, wenn es ums Freischalten von Inhalten geht. Wählen Sie es für das, was es ist: der einfachste Weg, Ihre eigenen Geräte sicher miteinander zu vernetzen.

Ist Tailscale kostenlos?

Kurz: ja, für die private Nutzung bis 6 Nutzer. Unsere eigene Seite Ist Tailscale kostenlos? Die Grenzen des Gratis-Plans geht fünf typische Fälle durch (Familie, Homelab, Freelancer, kleines Team) und zeigt, was jeder Weg über den Gratis-Plan hinaus kostet.

Es gibt einen kostenlosen Tarif, und für die private Nutzung ist er ungewöhnlich großzügig: Der Tarif Personal umfasst bis zu 6 Nutzer mit unbegrenzt vielen Nutzergeräten, solange die Nutzung nicht-kommerziell bleibt. Ein Tailnet, das mit einer Firmendomain angelegt wird, startet eine Testphase und braucht danach einen bezahlten Tarif, abgerechnet pro Nutzer statt pro Gerät. Zahlen von tailscale.com/pricing, gelesen am 18. Okt. 2026; prüfen Sie sie vor dem Abschluss erneut, die Preistabelle ändert sich regelmäßig.

Getaggte Ressourcen (Server, Exit Nodes, Subnet Router) sind in bezahlten Tarifen bis 50 Stück inklusive, danach kostet jede 1 $ pro Monat. Drei Wege, nichts zu zahlen, wenn Ihnen Personal zu klein wird: Zählen Sie die Personen, die sich anmelden, nicht die Geräte (ein Haushalt mit 4 Personen und 20 Rechnern bleibt kostenlos); hosten Sie die Steuerungsebene selbst mit Headscale, wo die offiziellen Tailscale-Clients funktionieren, es keine Nutzergrenze gibt und nur der Server kostet, etwa ein Contabo VPS für rund 5,50 € pro Monat (geprüft am 17. Okt. 2026), wobei unser kostenloser Headscale-Konfigurationsgenerator die Konfiguration schreibt; oder vergleichen Sie mit der Konkurrenz in unserem Tailscale-Preisrechner, der die tatsächlichen Kosten von Tailscale, Twingate, NetBird und ZeroTier über 12 bis 36 Monate für Ihre Zahlen ausrechnet.

Wichtiger als der Preis ist diese Unterscheidung: Tailscale ist kostenlos in dem Sinne, dass Ihnen ein Koordinationsdienst bereitgestellt wird, nicht in dem Sinne, dass Sie alles selbst betreiben. Ihr Verkehr bleibt Peer-to-Peer, aber der Dienst, der Ihre Geräte einander vorstellt, gehört Tailscale. Wenn Sie auch diesen Teil auf Ihrer eigenen Infrastruktur haben wollen, ist genau dafür Headscale da, eine Open-Source-Neuimplementierung der Steuerungsebene, die Sie selbst hosten.

Warum ist Tailscale dann kostenlos? Tailscale erklärt es selbst im Beitrag How our free plan stays free von CEO Avery Pennarun (gelesen am 24. Oktober 2026). Ihre Daten laufen Peer-to-Peer zwischen Ihren Geräten, nicht über die Server von Tailscale, deshalb kostet ein kostenloser Nutzer sehr wenig; und wer es zu Hause nutzt, bringt es mit in die Firma, wo Unternehmen pro Nutzer zahlen. Die erklärte Position von Tailscale: Ihre Daten sind nicht das Produkt. Der Gratis-Tarif hängt an diesem Geschäftsmodell, ein Grund, warum manche Homelabs ein selbst gehostetes Headscale als Rückfallebene behalten.

Die Aufschlüsselung Fall für Fall (Familie, Homelab, Freelancer, 7. Nutzer) steht in unserer Anleitung Ist Tailscale kostenlos? Die Grenzen des Gratis-Plans, mit den Kosten jedes Auswegs.

Sieht Tailscale meinen Datenverkehr?

Im Normalfall nein, und der Grund liegt in der Architektur, nicht in einem Versprechen. Tailscale baut WireGuard-Tunnel direkt zwischen Ihren Geräten auf, und die Schlüssel verlassen diese Geräte nie: Die Koordinationsserver tauschen öffentliche Schlüssel und Verbindungsinformationen aus, keine Nutzdaten. Was Tailscale sehen kann, sind Metadaten: welche Geräte es gibt, wann sie sich verbinden, welche Adressen sie melden.

Eine Feinheit sollten Sie kennen, statt sie selbst zu entdecken. Wenn zwei Geräte hinter Netzwerkkonfigurationen sitzen, die keine direkte Verbindung zulassen, weicht der Verkehr auf ein DERP-Relay aus, das Tailscale betreibt. Dieses Relay transportiert den verschlüsselten Tunnel; hineinsehen kann es nicht, denn die Schlüssel liegen weiterhin nur auf Ihren Geräten. Ehrlich formuliert heißt das: Relays können sehen, dass Sie kommunizieren und wie viel, aber nie, was Sie sagen.

Tailscale oder VPN-App: ein einziger Unterschied

Hinter den meisten Fragen der Art „Was soll ich nehmen?“ steckt, dass das Wort VPN zwei völlig verschiedene Aufgaben abdeckt.

Eine kommerzielle VPN-App gibt Ihnen die IP-Adresse eines anderen. Das ermöglicht Geo-Entsperrung und das Verbergen Ihrer Adresse vor einer Website, und das ist das ganze Produkt. Tailscale gibt Ihnen Ihre eigenen Geräte, von überall erreichbar, als teilten sie ein privates Netzwerk. Es verbirgt Sie nicht vor Websites, Sie gehen weiterhin über das Netzwerk ins Internet, in dem Sie sich gerade befinden, es sei denn, Sie leiten bewusst über einen Exit Node, den Sie selbst kontrollieren.

Die Frage ist also nicht, was besser ist, sondern welche Aufgabe Sie haben. Ihr NAS aus dem Hotel erreichen: Das ist Tailscale. Einen Dienst schauen, der dort, wo Sie sind, nicht verfügbar ist: Das ist ein kommerzielles VPN. Wer beides will, betreibt beides, und das ist ein ganz normales Setup, kein Kompromiss.

Was überrascht bei Tailscale zuerst?

Drei Dinge sorgen für die meiste Reibung am Anfang, und keines davon ist ein Mangel:

• Jedes Gerät braucht den Client. Es gibt keinen serverseitigen Schalter, der einen Rechner in Ihr Netzwerk holt. Alles, was erreichbar sein soll, muss Tailscale ausführen, weshalb ein Drucker oder ein altes NAS oft hinter einem Subnet Router landet.
• Die IP-Adressen sehen ungewohnt aus. Geräte erhalten eine Adresse im Bereich 100.x, nicht im Bereich Ihres Heimnetzes. Das ist Absicht, so gibt es keine Konflikte mit dem lokalen Netzwerk, in dem Sie gerade sind, es bedeutet aber, dass Lesezeichen auf 192.168.x-Adressen von unterwegs nicht funktionieren.
• Der Zugriff ist standardmäßig offen. In einem neuen Netzwerk kann jedes Gerät jedes andere erreichen. Für den privaten Gebrauch ist das in Ordnung, für alles Geteilte falsch; genau dafür gibt es ACLs, und es lohnt sich, sie zu schreiben, bevor Sie jemanden einladen.

Kann Tailscale Ihre IP verbergen wie ein normales VPN?

Ja, unter einer Bedingung: Sie geben ihm einen Ausgang. Tailscale hat keine eigenen Surf-Server. Damit Ihr Internetverkehr woanders austritt als im Netzwerk, in dem Sie sich befinden, bestimmen Sie ein Gerät in Ihrem Tailnet zum Exit Node, und Ihre anderen Geräte surfen mit dessen IP. Dafür gibt es drei Möglichkeiten, und sie erfüllen nicht denselben Zweck:

Ein VPS ist die übliche Wahl, wenn Sie einen Ausgang wollen, der weder von Ihrem Router noch vom Strom zu Hause abhängt. Die Einrichtung dauert rund zehn Minuten: Tailscale auf dem Server installieren, IP-Forwarding aktivieren (net.ipv4.ip_forward = 1), sudo tailscale set --advertise-exit-node ausführen und den Node anschließend in der Admin-Konsole freigeben. Alle Befehle und die Prüfung, ob es funktioniert, finden Sie in unserer vollständigen Anleitung zum Tailscale Exit Node. Derselbe Server kann später auch Headscale betreiben, wenn Sie zusätzlich nicht mehr von den Koordinationsservern abhängen wollen.

Das Fazit

Tailscale ist der einfachste Weg zu einem privaten Netzwerk aus Ihren eigenen Geräten. Es übernimmt Geschwindigkeit und Sicherheit von WireGuard und versteckt die Komplexität, sodass die Verbindung von Laptop, Smartphone und Server Minuten statt eines ganzen Abends dauert. Es ist kein Anonymisierungswerkzeug, sondern ein Werkzeug für privaten Zugriff, und für diese Aufgabe ist es kaum zu schlagen.

Ein VPN ändert Ihre IP. Ihren Browser ändert es nicht.

Ein Tunnel ersetzt die Adresse, die ein Dienst sieht. An dem, was Ihr Browser von sich aus preisgibt (Schriftarten, Bildschirm, Zeitzone, Grafik-Stack), ändert er nichts, und diese Kombination ist oft stabil genug, um Sie über mehrere Sitzungen hinweg wiederzuerkennen, mit oder ohne Tunnel.

Messen Sie den Fingerabdruck Ihres eigenen Browsers: passiv, ohne Fragen, ohne Konto, ohne E-Mail.

Damit die Befehle griffbereit bleiben: Unser kostenloses Tailscale & Headscale Cheat Sheet (PDF, 4 Seiten auf Englisch, direkter Download, ohne Anmeldung) fasst status und ping, Exit Node, Subnet Router, Serve und Funnel, die Headscale-Konfiguration, Benutzer, Schlüssel und ACLs sowie die üblichen Fehlerursachen zusammen. Cheat Sheet herunterladen.

Verwandte Anleitungen

• Tailscale Funnel: der Unterschied von einem Wort, der Ihre App ins öffentliche Internet stellt
• Tailscale Exit Node: die vollständige Anleitung auf einem VPS
• Tailscale vs. Headscale: verwaltetes SaaS oder selbst gehosteter Steuerungsserver
• Tailscale Subnet Router: Drucker oder NAS ohne Client erreichen

Wenn Sie den Endpunkt lieber selbst betreiben, statt von einem Koordinationsdienst abzuhängen, stellt unser Vergleich der günstigsten VPS die Einstiegstarife vor, die dafür ausreichen.