Ist Tailscale kostenlos? Die Limits des Personal-Tarifs

Ist Tailscale kostenlos? Ja, im Personal-Tarif

Tailscale ist im Personal-Tarif kostenlos. Diese kostenlose Stufe hat kein Ablaufdatum und umfasst den Großteil des Produkts. Sie begrenzt die Anzahl der Personen, die Ihrem Netzwerk beitreten können, nicht jedoch die Anzahl der Geräte, die Sie verbinden. Stand 10. Oktober 2026 bietet die Tailscale-Preisseite im Personal-Tarif sechs Benutzer, eine unbegrenzte Anzahl an Benutzergeräten, 50 getaggte Ressourcen sowie Zugriff auf nahezu alle Funktionen.

Zuerst zwei Begriffe. Ein Tailnet ist Ihr privates Netzwerk: ein Konto, eine Benutzerliste, eine Richtliniendatei. Ein Seat (Benutzerplatz) ist eine Person innerhalb dieses Tailnets. Tailscale berechnet die Kosten pro Benutzerplatz, die Abrechnung erfolgt also basierend auf der Anzahl der Personen. Diese einzelne Tatsache entscheidet darüber, ob Ihr Setup kostenlos ist.

Jede Zahl unten ist ein veröffentlichter Wert mit dem Datum der Überprüfung. Preise und Kontingente ändern sich, prüfen Sie diese daher auf der Preisseite, bevor Sie ein Budget planen. Die Struktur ändert sich deutlich langsamer, und die Struktur ist der nützliche Teil: Personen und getaggte Infrastruktur werden gezählt, während die kostenpflichtigen Tarife eher Funktionen als ein größeres Geräte-Kontingent verkaufen. WireGuard, das zugrunde liegende Tunnel-Protokoll, ist in jedem Tarif identisch, und was Tailscale zusätzlich zu reinem WireGuard bietet erläutert diese Unterscheidung.

Was als Benutzer und was als Gerät zählt

Jede Maschine in einem Tailnet gehört einer Entität. Melden Sie sich mit Ihrer eigenen Identität an, gehört die Maschine Ihnen. Tailscale bezeichnet dies als Benutzergerät, und die FAQ zur Preisgestaltung sind hierzu eindeutig: „Benutzergeräte sind kostenlos und unbegrenzt.“ Ihr Laptop, Ihr Smartphone, Ihr Desktop-Rechner und Ihr Tablet belegen zusammen einen einzigen Sitzplatz, nicht vier.

Registrieren Sie eine Maschine stattdessen mit einem Tag, gehört sie diesem Tag. Tailscale nennt dies eine getaggte Ressource; getaggte Ressourcen sind die Einheiten, die im Tarif gezählt werden. Server und Router sollten getaggt werden, da eine gemeinsam genutzte Maschine nicht der Person gehören sollte, die zufällig den Anmeldebefehl auf ihr ausgeführt hat. Zum Stand 10. Oktober 2026 beinhaltet der Personal-Tarif 50 getaggte Ressourcen. Die Preisseite listet zusätzliche Ressourcen zu je 1 US-Dollar pro Monat auf, die im Self-Service erworben werden können. Ein VPS, der Aufgaben für alle übernimmt, fällt in diese Kategorie, unabhängig davon, ob es sich um einen Subnet-Router, der einen privaten Adressbereich ankündigt oder einen Exit-Node, der ausgehenden Datenverkehr weiterleitet handelt.

Taggen Sie einen Server direkt bei der Aufnahme in das Netzwerk, damit er zu keinem Zeitpunkt als eine Ihnen gehörende Maschine im Tailnet geführt wird:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status listet den Node mit dem Besitzer auf, unter dem er registriert wurde. Das Tag muss bereits in Ihrer Tailnet-Policy-Datei unter tagOwners existieren, da ein Tag eine Eigentumszuweisung darstellt und ein Node kein Tag beanspruchen kann, das ihm niemand zugewiesen hat. Existiert das Tag nicht in der Policy, kann der Node es nicht übernehmen.

Dies ist der Grund, warum der kostenlose Tarif Nutzer in beide Richtungen überrascht. Ein Homelab mit dreißig Maschinen, die alle mit Ihrem Konto angemeldet sind, belegt einen Sitzplatz und ist kostenlos. Ein Team aus vier Personen, bei dem sich jeder anmeldet, belegt vier von sechs Sitzplätzen und ist ebenfalls kostenlos. Zwölf Personen sind unabhängig von der Geräteanzahl nicht kostenlos, da das Limit die Anzahl der Personen zählt.

Ephemere Ressourcen bilden die dritte Kategorie. Ein Node, der sich mit einem ephemeren Auth-Key registriert – etwa ein Continuous-Integration-Runner oder ein Kubernetes-Pod –, löscht sich selbst, sobald er gestoppt wird. Er verbraucht stattdessen ein monatliches Kontingent an Minuten, anstatt einen Ressourcenplatz zu belegen. Zum Stand 10. Oktober 2026 verfügen Personal- und Standard-Tarife über 1.000 dieser Minuten pro Monat, der Premium-Tarif über 10.000. Ein Node, der länger als vier Stunden aktiv bleibt, verliert seinen Status als ephemere Ressource und wird zu einer gewöhnlichen getaggten Ressource.

Ein weiteres Detail zur Abrechnung: Ein eingeladener Benutzer belegt erst dann einen Sitzplatz, wenn er das Tailnet tatsächlich nutzt. Die FAQ zur Preisgestaltung besagen, dass ein Benutzer „erst dann einen Sitzplatz belegt, wenn er sich zum ersten Mal in der Admin-Konsole anmeldet oder ein Gerät authentifiziert“. Sie können Einladungen frühzeitig versenden, ohne für Personen zu bezahlen, die das Angebot nie wahrnehmen.

Kosten der kostenpflichtigen Tarife

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

Der Tarif Personal ist kostenlos. Der Standard-Tarif kostet 8 US-Dollar pro Benutzer und Monat, der Premium-Tarif 18; beide Preise gelten mit Stand vom 10. Oktober 2026. Der Enterprise-Tarif wird individuell durch den Vertrieb angeboten und beinhaltet kundenspezifische Benutzerzahlen und Limits. Da die Tarife Standard und Premium keine Obergrenze für Benutzer vorsehen, ist für die meisten Teams die siebte Person der Grund für den Wechsel in ein kostenpflichtiges Modell, nicht der vierzigste Server. Um diese Listenpreise in eine tatsächliche monatliche Rechnung umzurechnen, müssen Benutzerlizenzen und getaggte Ressourcen addiert werden. Eine detaillierte Aufschlüsselung für einen Privathaushalt und ein fünfköpfiges Team veranschaulicht dies für beide Szenarien.

Welche Funktionen sind kostenpflichtigen Tarifen vorbehalten

Dies sind Funktionsbeschränkungen. Das Hinzufügen von Maschinen führt nicht zu einer Höherstufung. Das Erstellen komplexerer Zugriffsrichtlinien hingegen schon.

Access Control Lists (ACLs, die Regeln, die festlegen, welcher Benutzer welche Maschine erreichen darf) verdeutlichen dies. Die Richtliniendatei selbst ist in jedem Plan enthalten. Die Anzahl der Gruppen, die Sie darin definieren dürfen, jedoch nicht.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Der Personal-Tarif erlaubt 3 Gruppen, der Standard-Tarif 10 und der Premium-Tarif 300. Eine Gruppe ist eine benannte Menge von Benutzern; dies ist also faktisch eine Obergrenze für die Granularität der Benutzerverwaltung. Drei Gruppen reichen für „Ich“, „Familie“ und „Gäste“. Für ein Unternehmen mit verschiedenen Abteilungen reicht dies nicht aus.

Die weiteren Beschränkungen, geprüft am 10. Oktober 2026 anhand der Preisseite und der Funktionsdokumentation von Tailscale:

• Die Anbindung eines eigenen Identity Providers (IdP), also Single Sign-On (SSO) mit einem beliebigen OIDC-Anbieter, den Sie bereits betreiben, ist in jedem Plan enthalten, auch im Personal-Tarif. Tailscale hat die Beschränkung auf kostenpflichtige Pläne im April 2024 aufgehoben und gibt an, dass „SSO für jeden wieder kostenlos verfügbar ist“. Die benutzerdefinierte OIDC-Einrichtung erfordert den Nachweis der Domain-Inhaberschaft und einen Anbieter, der die technischen Anforderungen erfüllt, jedoch keinen bestimmten Tarif. Was der Standard-Tarif im Bereich Identität hinzufügt, ist SCIM, das Benutzer und Gruppen automatisch von diesem Anbieter synchronisiert.
• Die Gerätefreigabe und grundlegende Überprüfungen des Gerätestatus (Betriebssystem und Tailscale-Version) sind in jedem Plan enthalten. Integrationen für den Gerätestatus mit Mobile Device Management (MDM) und Endpoint-Security-Tools beginnen ab dem Standard-Tarif.
• Erweiterte Benutzerrollen wie Billing Admin, IT Admin und Auditor beginnen ab dem Standard-Tarif.
• Netzwerk-Flow-Logs beginnen ab dem Premium-Tarif, ebenso wie erweitertes Tailscale SSH. Grundlegendes Tailscale SSH ist in jedem Plan enthalten; der Preisvergleich führt es für bis zu 5 Hosts auf.

Die Aufzeichnung von SSH-Sitzungen ist ein Fall, der sorgfältige Prüfung erfordert, da er belegt, dass diese Beschränkungen funktionsspezifisch und nicht nach einer festen Tarifhierarchie festgelegt sind und sich zudem ändern können. Die Dokumentation zur Sitzungsaufzeichnung von Tailscale führt die recorderbasierte Funktion für die Personal- und Enterprise-Pläne auf, kennzeichnet diese Funktion jedoch mit Stand vom 10. Oktober 2026 als veraltet: Tailscale bietet sie nicht mehr über tsrecorder an, der Support für bestehende Benutzer endet im August 2027 und die Dokumentation verweist stattdessen auf Tailscale PAM. Die Preisseite gruppiert die Aufzeichnung für SSH, Kubernetes und Datenbanken unter der separat erworbenen Privileged Access Management-Erweiterung. Prüfen Sie die aktuelle Seite, bevor Sie darauf eine Compliance-Anforderung aufbauen.

Warum ein kostenloses Tailnet die Meldung "Reached use limit" anzeigt

Die Admin-Konsole zeigt "Reached use limit" an, wenn das Tailnet keine weiteren Benutzer aufnehmen kann. Die Nachrichtenreferenz von Tailscale, geprüft am 10. Oktober 2026, nennt drei Ursachen: das Hinzufügen von mehr Benutzern als der Plan erlaubt, ein Konto, das nach einer Planänderung nicht korrekt aktualisiert wurde, sowie eine Organisationsrichtlinie, die den Zugriff auf das Tailnet einschränkt. Beim Personal-Plan ist die häufigste Ursache die siebte Person, da der Plan die Anzahl der Personen begrenzt. Der Standard-Plan und höhere Tarife haben keine Benutzerbeschränkung; bei einem kostenpflichtigen Plan deutet die Meldung daher auf ein Problem mit der Kontokonfiguration hin, und die dokumentierte Lösung von Tailscale besteht darin, den Support zu kontaktieren. Wenn Sie sich mit einer Firmendomäne anmelden, fragen Sie Ihren IT-Administrator, ob eine Richtlinie die Tailscale-Anmeldungen einschränkt. Keine dieser Ursachen bezieht sich auf die Anzahl der verbundenen Laptops oder Telefone; das Zählen von Geräten bei dieser Meldung ist daher Zeitverschwendung. Öffnen Sie die Admin-Konsole und zählen Sie zuerst die Benutzerkonten.

Benötigen Sie einen kostenpflichtigen Plan für ein benutzerdefiniertes DERP-Relay?

DERP (Designated Encrypted Relay for Packets) ist das Relay-Netzwerk von Tailscale. Wenn zwei Knoten keine direkte Verbindung durch NAT (Network Address Translation) aufbauen können, greift ihr verschlüsselter Datenverkehr auf einen DERP-Server zurück. Der Betrieb eines eigenen DERP-Relays erfolgt über die Konfiguration in der Tailnet-Policy-Datei. Die Dokumentation von Tailscale zu benutzerdefinierten DERP-Servern nennt zum Stand 10. Oktober 2026 keine Einschränkungen bezüglich des Tarifs. Auf derselben Seite werden benutzerdefinierte DERP-Server weiterhin als Alpha-Status gekennzeichnet.

Seien Sie präzise bei der Frage, was ein benutzerdefiniertes Relay ändert, da hier das Relaying häufig mit Self-Hosting verwechselt wird. Ein benutzerdefinierter DERP-Server verlagert den Datenpfad für den Fallback auf eine Maschine in Ihrem Besitz. Der Steuerungspfad verlagert sich nicht. Der Koordinationsserver von Tailscale verwaltet weiterhin Ihre Knotenschlüssel, Ihre Policy-Datei und Ihre Benutzerliste. Er speichert niemals die privaten Schlüssel, die Ihren Datenverkehr entschlüsseln. Daher ist die Frage was ein Angreifer tatsächlich gewinnt, wenn er diesen Koordinationsserver übernimmt weniger kritisch, als es zunächst klingt. Wenn Sie diesen Teil auf eigener Hardware betreiben möchten, ist ein Relay das falsche Werkzeug. Sie benötigen eine andere Steuerungsebene (Control Plane).

Wann ist eine selbst gehostete Headscale-Control-Plane sinnvoll?

Headscale, der Open-Source-Tailscale-Control-Server ersetzt den Koordinationsserver durch eine Instanz, die Sie auf einem VPS (Virtual Private Server) betreiben. Die Tailscale-Clients ändern sich dabei nicht. Sie kommunizieren mit Ihrem Server anstelle des Tailscale-Servers, wodurch keine Lizenzgebühren anfallen und keine Nutzerbeschränkungen bestehen.

Betrachten wir zuerst die Kosten, da der Unterschied geringer ist als oft angenommen. Ein Standard-Platz kostet 8 US-Dollar pro Monat. Ein kleiner VPS, der eine Control-Plane ausführen kann, kostet etwa so viel wie ein oder zwei Lizenzen. Die Rechnung geht also erst bei mehreren Nutzern auf; für ein einzelnes Homelab, das ohnehin kostenlos war, ändert sich finanziell nichts. Selbst-Hosting, um bei einem Netzwerk mit fünf Geräten Geld zu sparen, lohnt sich nicht.

Die eigentliche Abwägung findet zwischen Kontrolle und Arbeitsaufwand statt. Bei Headscale liegen Ihre Nutzerliste und Ihre Policy-Datei auf einer Maschine in Ihrem Besitz, in einem Land Ihrer Wahl, ohne dass ein Drittanbieter-Account im Pfad liegt. Laut der am 10. Oktober 2026 geprüften Projektdokumentation werden ACLs und Grants, Tags, Subnet-Router, Exit-Nodes, MagicDNS, Taildrop, Tailscale SSH, Node-Registrierung über OpenID Connect (OIDC) sowie ein eingebetteter DERP-Server unterstützt. Funnel und Serve werden als derzeit nicht unterstützt aufgeführt, daher bleibt das Veröffentlichen eines Dienstes mit Serve oder Funnel vorerst der Tailscale-eigenen Control-Plane vorbehalten. Netzwerk-Flow-Logs fehlen ebenfalls, OIDC-Gruppen können nicht innerhalb von ACL-Regeln verwendet werden und das Projekt ist konzeptionell auf ein einzelnes Tailnet beschränkt.

Diesen Arbeitsaufwand übernehmen Sie:

• Sie sind für die Verfügbarkeit der Control-Plane verantwortlich. Bestehende Tunnel leiten weiterhin Datenverkehr weiter, da die Peers bereits über die Schlüssel der jeweils anderen verfügen. Alles, was eine Koordination erfordert, fällt jedoch aus: Neue Nodes können sich nicht registrieren, ablaufende Schlüssel können nicht erneuert werden und Richtlinienänderungen erreichen die Nodes nicht.
• Sie sind für Upgrades verantwortlich. Headscale implementiert ein Protokoll, das von den Tailscale-Clients kontinuierlich geändert wird. Ihr Upgrade-Zeitplan richtet sich daher nach den Client-Releases und nicht nach Ihrem Kalender.
• Sie sind für die Datenbank und deren Backups verantwortlich. Geht dieser Zustand verloren, muss jeder Node neu registriert werden.
• Sie sind für TLS (Transport Layer Security) am öffentlichen Endpunkt des Servers verantwortlich, da die Clients den Control-Server über HTTPS erreichen.

Das ist die ehrliche Bilanz. Entscheiden Sie sich dafür, wenn Kontrolle oder eine Nutzeranzahl, die mit pro-Platz-Preisen schwer abzubilden ist, der Grund sind. Entscheiden Sie sich nicht dafür, um acht Dollar zu sparen.

Ein selbst gehosteter NetBird-Server ist die andere Option für das Selbst-Hosting. Er liefert seine eigene Control-Plane, eine eigene Identitätsverwaltung und ein eigenes Web-Interface mit. Er ist als eigenständiges Produkt konzipiert und nicht als Neuimplementierung eines fremden Control-Servers. Beide Optionen bedeuten, dass Sie einen Dienst betreiben, von dem Ihr Netzwerk abhängt. Entscheiden Sie sich zuerst für den Betrieb eines solchen Dienstes und wählen Sie dann die Lösung.

FAQ

Ist der kostenlose Tarif von Tailscale eine Testversion?

Nein. Personal ist ein dauerhaft kostenloser Tarif ohne Ablaufdatum. Zum Stand vom 10. Oktober 2026 umfasst er sechs Benutzer, eine unbegrenzte Anzahl an Benutzergeräten sowie 50 getaggte Ressourcen. Er enthält nahezu den gesamten Funktionsumfang, einschließlich Single Sign-On mit einem eigenen OIDC-Identitätsanbieter. Nicht enthalten sind Funktionen der kostenpflichtigen Tarife, wie etwa zusätzliche ACL-Gruppen, SCIM-Provisionierung, erweiterte Benutzerrollen und Netzwerk-Flow-Logs. Überprüfen Sie die aktuellen Zahlen auf der Preisseite von Tailscale, da sich die Kontingente ändern können.

Wie viele Geräte kann ich im kostenlosen Tarif von Tailscale hinzufügen?

Die Anzahl Ihrer eigenen Geräte ist unbegrenzt. Laut den Preis-FAQ von Tailscale sind Benutzergeräte – also alle Nodes, die nicht getaggt sind – kostenlos und unbegrenzt. Gezählt werden getaggte Ressourcen, also Server und Router, die Sie mit einem Tag registrieren; im Tarif Personal waren dies am 10. Oktober 2026 genau 50 Stück. Ältere Anleitungen, die ein Limit von 20 oder 100 Geräten nennen, beschreiben ein veraltetes Preismodell, das nicht mehr gültig ist.

Warum zeigt mein Tailnet die Meldung "Reached use limit" an?

Im Tarif Personal ist die häufigste Ursache eine siebte Person, da der Tarif Personen statt Maschinen zählt. Tailscale nennt zudem Konten, die nach einem Tarifwechsel nicht korrekt aktualisiert wurden, sowie Organisationsrichtlinien, die den Zugriff einschränken, als mögliche Gründe. Bei einem kostenpflichtigen Tarif, der kein Benutzerlimit hat, kontaktieren Sie den Tailscale-Support. Zählen Sie zuerst die Benutzerkonten in der Admin-Konsole. Nicht getaggte Laptops und Smartphones sind nicht die Ursache.

Ist Headscale günstiger als die Bezahlung für Tailscale?

Nur bei einer größeren Anzahl an kostenpflichtigen Plätzen. Ein VPS, der Headscale ausführen kann, kostet in etwa so viel wie ein oder zwei Standard-Plätze pro Monat. Ein kleines Tailnet spart also nichts ein, und ein Tailnet für eine Einzelperson war ohnehin bereits kostenlos. Headscale lohnt sich, wenn Sie die Control Plane auf eigener Hardware betreiben möchten oder wenn die nutzerbasierte Preisgestaltung bei einer hohen Anzahl an Benutzern unpraktisch wird. Der Preis ist operativer Natur: Upgrades, die den Releases des Tailscale-Clients folgen, Datenbank-Backups, ein TLS-Zertifikat, das Sie erneuern müssen, und die Tatsache, dass Sie die einzige Person sind, die einen Ausfall beheben kann.