NetBird vs Tailscale: Welches Mesh-VPN passt?

NetBird vs Tailscale: die kurze Antwort

Bei NetBird vs Tailscale geht es um die Wahl der Control Plane, weil beide Mesh-VPNs Ihre Datenpakete mit WireGuard übertragen. Tailscale betreibt den Koordinationsserver für Sie, und dieser Server ist Closed Source. NetBird bietet einen vergleichbaren gehosteten Dienst an. Außerdem veröffentlicht NetBird seinen Management-Server unter einer Open-Source-Lizenz, sodass Sie das gesamte System auf einem VPS betreiben können. Wählen Sie Tailscale, wenn niemand auf Ihrer Seite einen Server betreiben soll. Wählen Sie NetBird, wenn die Control Plane selbst auf Hardware laufen muss, die Sie kontrollieren.

Wenn Sie noch mehr als zwei Tools vergleichen, beginnen Sie mit der umfassenderen Liste der Tailscale-Alternativen. Die folgenden Abschnitte vergleichen diese beiden Tools direkt anhand der vier Punkte, in denen sie sich tatsächlich unterscheiden.

Was gleich ist: WireGuard im Hintergrund

Ein Mesh-VPN (virtuelles privates Netzwerk) verbindet jedes Gerät direkt mit allen anderen Geräten. Der Datenverkehr läuft nicht über ein zentrales Gateway. Beide Tools statten jedes Gerät mit einem WireGuard-Schlüsselpaar aus. Der private Schlüssel wird auf dem Gerät erstellt und verlässt es nie. Anschließend versuchen beide, einen direkten Tunnel zwischen zwei Peers aufzubauen. Ein Relay wird nur verwendet, wenn ein direkter Pfad fehlschlägt.

Das bedeutet: Die Verschlüsselung auf der Übertragungsstrecke verwendet bei beiden Produkten dasselbe Protokoll. Ein Relay in beiden Systemen leitet WireGuard-Pakete weiter, die es nicht entschlüsseln kann, weil es keinen privaten Schlüssel besitzt. Für die Ausgangsbasis ohne Control Plane lesen Sie was Tailscale zusätzlich zu einfachem WireGuard bietet.

Ein Unterschied besteht im Datenpfad. Tailscale führt WireGuard im Userspace über wireguard-go aus. Die NetBird-README nennt WireGuard im Kernel unter Linux. Treffen Sie die Auswahl nicht allein anhand dieses Kriteriums. Führen Sie iperf3 über den Tunnel auf Ihrem eigenen VPS aus. Die Begrenzung ergibt sich normalerweise zuerst aus der CPU, dem verfügbaren Bandbreitenkontingent oder dem Netzwerkpfad zwischen den Peers.

Wer betreibt die Steuerungsebene?

Die Steuerungsebene ist der Server, der den öffentlichen Schlüssel und die Tunneladresse jedes Geräts kennt. Sie teilt jedem Gerät mit, welche Peers vorhanden sind und welche davon es erreichen darf. Sie überträgt nicht Ihren Datenverkehr.

Tailscale. Der Koordinationsserver ist Closed Source. Er läuft ausschließlich als gehosteter Dienst von Tailscale. Die Clients sind Open Source: der zentrale Daemon auf jeder Plattform sowie die vollständigen Linux- und Android-Clients. Die grafischen Anwendungen für Windows und macOS sind geschlossen. Der Code für DERP, den Relay-Server von Tailscale, ist offen. Wenn Sie eine Tailscale-kompatible Steuerungsebene auf Ihrem eigenen Server benötigen, ist Headscale eine Option. Tailscale beschreibt Headscale als unabhängiges, von der Community gepflegtes Projekt, das nicht von Tailscale gesteuert wird. Die Einrichtung wird unter Headscale als selbst gehosteten Tailscale-Steuerungsserver betreiben beschrieben.

NetBird. Unter app.netbird.io gibt es eine gehostete Cloud. Derselbe Code ist auf GitHub verfügbar und kann von Ihnen selbst betrieben werden. Im Oktober 2026 nennt die README des Repositorys die Lizenzen eindeutig. Der Client und der größte Teil des Repositorys stehen unter der BSD-3-Clause-Lizenz. Die Verzeichnisse management/, signal/ und relay/ stehen unter AGPLv3 (GNU Affero General Public License, Version 3). Die AGPL enthält eine zusätzliche Bedingung. Wenn Sie diese Server ändern und anderen Personen die Nutzung über ein Netzwerk ermöglichen, müssen Sie diesen Personen den geänderten Quellcode anbieten.

Die Serverseite von NetBird besteht aus drei Teilen. Der management-Dienst speichert den Netzwerkstatus: Peer-Schlüssel, die Zuweisung von IP-Adressen, Zugriffskontrolle und DNS-Einstellungen. Der signal-Dienst unterstützt zwei Peers beim Austausch von Verbindungskandidaten. Diese Nachrichten sind zwischen den Peers verschlüsselt, sodass signal sie nicht lesen kann. Der relay-Dienst überträgt Datenverkehr, wenn kein direkter Pfad verfügbar ist.

Wie schreibt man Zugriffsregeln in den jeweiligen Produkten?

Beide Produkte starten ein neues Netzwerk mit einer Allow-All-Regel. Jedes Gerät kann jedes andere Gerät erreichen, bis Sie diese Regel ändern. Ersetzen Sie die Regel, bevor Sie einen Server hinzufügen, auf dem sich schützenswerte Daten befinden.

Tailscale: eine Policy-Datei

Tailscale verwaltet alle Zugriffsregeln in der Tailnet-Policy-Datei. Sie verwendet HuJSON (Human JSON). Dabei handelt es sich um JSON, das zusätzlich Kommentare und nachgestellte Kommas erlaubt. Sie bearbeiten die Datei in der Administratorkonsole oder übertragen sie über die API. Aktuelle Regeln werden als grants geschrieben. Mit dieser Datei kann eine Gruppe getaggte Produktionsserver ausschließlich über SSH und HTTPS erreichen. Sie enthält außerdem einen Test:

{
  "groups": {
    "group:engineering": ["alice@example.com", "bob@example.com"]
  },
  "tagOwners": {
    "tag:production": ["group:engineering"]
  },
  "grants": [
    {
      "src": ["group:engineering"],
      "dst": ["tag:production"],
      "ip": ["tcp:22", "tcp:443"]
    }
  ],
  "tests": [
    {
      "src": "alice@example.com",
      "accept": ["tag:production:22"]
    }
  ]
}

Der Abschnitt tests ist wichtig. Seine Assertions werden bei jeder Änderung der Policy-Datei als Prüfungen ausgeführt. Dadurch wird eine fehlerhafte Änderung erkannt, bevor sie angewendet wird. Die Standard-Policy eines neuen Tailnets besteht aus einem einzelnen Eintrag acls mit "src": ["*"] und "dst": ["*:*"]. Auch das vollständige Weglassen des Feldes acls bedeutet Allow-All. Löschen Sie diesen Eintrag, sobald Ihre Berechtigungen eingerichtet sind. Im Oktober 2026 umfasst der kostenlose Personal-Tarif 3 ACL-Gruppen.

NetBird: Gruppen und Policies im Dashboard

NetBird erstellt die Zugriffskontrolle aus Gruppen und Policies. Eine Gruppe ist eine Menge von Peers. Sie können Peers manuell, über die Gruppen eines Setup Keys oder aus den Benutzergruppen Ihres Identity Providers einer Gruppe hinzufügen. Eine Policy benennt eine Quellgruppe und eine Zielgruppe. Sie kann unidirektional oder bidirektional sein. Außerdem kann sie das Protokoll und die Ports einschränken. Portbereiche werden als 8000-9000 geschrieben. Eine Policy kann zusätzlich Posture Checks enthalten. Ein Posture Check ist eine Bedingung, die ein Peer erfüllen muss, bevor die Verbindung erlaubt wird.

Sie konfigurieren all dies im Dashboard. Ein neues Konto enthält eine Policy namens Default, über die alle Peers miteinander kommunizieren können. Fügen Sie zuerst Ihre eigenen Policies hinzu und deaktivieren Sie anschließend Default. Wenn Sie Regeln als Text verwalten möchten, stellt NetBird eine öffentliche REST API bereit. Außerdem gibt es einen offiziellen Terraform Provider (netbirdio/netbird), der sowohl mit NetBird Cloud als auch mit einem selbst gehosteten Management-Server funktioniert. Die NetBird-Dokumentation zur Zugriffskontrolle beschreibt keine integrierten Test-Assertions wie den Abschnitt tests von Tailscale. Mit Terraform prüfen Sie stattdessen die Plan-Ausgabe.

Wie wird der Netzwerkverkehr weitergeleitet, wenn kein direkter Pfad vorhanden ist?

Beide Tools versuchen zunächst, eine direkte Verbindung herzustellen. Sie verwenden STUN (Session-Traversal-Utilities für NAT), um die öffentliche Adresse jedes Peers zu ermitteln. Anschließend versuchen sie, auf beiden Seiten einen Pfad durch NAT (Network Address Translation) zu öffnen. Strenge Firewalls und einige Mobilfunknetze blockieren dies. Daher benötigen beide Tools einen Fallback.

Tailscale verwendet ersatzweise DERP-Server (Designated Encrypted Relay for Packets). Tailscale betreibt diese Server in vielen Regionen. Sie übertragen den Netzwerkverkehr über HTTPS. Dafür entstehen Ihnen keine zusätzlichen Kosten. Tailscale unterstützt außerdem Peer-Relays. Ein Peer-Relay ist eines Ihrer eigenen Geräte, das als Relay fungiert. Tailscale versucht dieses vor DERP. In der Tailscale-Dokumentation werden Peer-Relays als Option beschrieben, wenn Sie eine geringere Latenz und einen höheren Durchsatz benötigen, als DERP bietet. Peer-Relays sind seit dem 18. Februar 2026 allgemein verfügbar, in allen Tarifen einschließlich des kostenlosen Tarifs. Sie aktivieren ein Peer-Relay mit einem UDP-Port Ihrer Wahl und erlauben es mit einem Grant in der Policy-Datei:

sudo tailscale set --relay-server-port=40000

Um den Pfad einer Verbindung anzuzeigen, führen Sie tailscale ping für einen Peer aus. Eine Antwort mit via DERP(fra) bedeutet, dass die Verbindung über ein Relay läuft. Eine Antwort mit einer IP-Adresse und einem Port bedeutet, dass die Verbindung direkt besteht. Wenn eine Verbindung dauerhaft über ein Relay läuft, beschreibt warum ein weitergeleiteter Tailscale-Link langsam ist und wie Sie eine direkte Verbindung herstellen die möglichen Ursachen.

NetBird leitete den Netzwerkverkehr in älteren Releases über den coturn-TURN-Server weiter. Mit Version 0.29.0 wurde NetBird Relay eingeführt. Seitdem ersetzt es coturn für weitergeleitete Verbindungen. Das Relay akzeptiert WebSocket-Verbindungen über den Pfad /relay oder QUIC über den UDP-Port 33080. Die aktuelle Dokumentation verlagert auch STUN in den Relay-Dienst. In NetBird Cloud betreibt NetBird die Relays. Auf einem selbst gehosteten Server betreiben Sie das Relay. Jedes weitergeleitete Byte wird auf Ihr VPS-Bandwidth-Kontingent angerechnet. Jeder weitergeleitete Pfad führt über den Standort dieses VPS. Prüfen Sie den Pfad für jeden Peer mit:

netbird status -d

Für jeden Peer wird als Verbindungstyp P2P (direkt) oder Relayed angezeigt.

Was umfasst das Self-Hosting von NetBird auf einem VPS?

Der offizielle Quickstart richtet die gesamte Serverseite mit einem Skript ein. Stand Oktober 2026 wird dafür eine Linux-Maschine mit mindestens 1 CPU und 2 GB Arbeitsspeicher benötigt. Außerdem erforderlich sind ein öffentlicher Domainname, der auf den VPS verweist, sowie Docker mit dem Compose-Plugin, jq und curl. Öffnen Sie TCP 80, TCP 443 und UDP 3478 in der Firewall des VPS. Öffnen Sie diese Ports auch in der Netzwerk-Firewall Ihres Providers. In den meisten Control Panels ist das eine separate Einstellung.

export NETBIRD_DOMAIN=netbird.example.com; curl -fsSL https://github.com/netbirdio/netbird/releases/latest/download/getting-started.sh | bash

Das Skript stellt vier Arten von Diensten bereit:

• Traefik als Reverse Proxy mit TLS-Zertifikaten (Transport Layer Security) von Let's Encrypt.
• Einen integrierten Dex-Server als Identity Provider. Damit können Sie Benutzer im Dashboard anlegen, ohne ein externes Login-System zu benötigen.
• Die oben beschriebenen Management-, Signal- und Relay-Dienste.
• Optionale Erweiterungen: den NetBird-Proxy-Dienst und die IP-Reputationsfilterung von CrowdSec.

Sie sind nun für den Betrieb jedes Teils verantwortlich. Der Identity Provider legt fest, wer sich anmelden und Geräte hinzufügen darf. Für ein kleines Team ist Dex ausreichend. Später können Sie einen externen Single-Sign-on-Provider anbinden, beispielsweise einen selbst gehosteten Authentik-SSO-Server. TLS hängt von der Reihenfolge ab. Let's Encrypt validiert die Domain, indem die Zertifizierungsstelle eine Verbindung zu diesem VPS herstellt. Legen Sie daher den DNS-Eintrag an und öffnen Sie die Ports, bevor Sie das Skript ausführen. Wenn die Domain noch nicht auf den VPS aufgelöst wird, schlägt die Validierung fehl und es wird kein Zertifikat ausgestellt. Auch für Backups und Upgrades sind Sie verantwortlich. Die vollständige Installation mit einer Prüfung nach jedem Schritt finden Sie im Leitfaden zum Self-Hosting eines NetBird-VPN-Servers.

Einen Linux-Server in jeweils einem Mesh registrieren

Für die Teilnahme an einem Mesh ist ausgehender Netzwerkzugriff auf die Control Plane erforderlich. Führen Sie diese Befehle daher auf Ihrem eigenen Rechner aus. Ein Server verfügt über keinen Browser. Beide Tools verwenden deshalb einen zuvor erstellten Schlüssel anstelle einer interaktiven Anmeldung.

Tailscale mit einem Authentifizierungsschlüssel aus der Administrationskonsole:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --auth-key=YOUR_AUTH_KEY
tailscale status

tailscale status sollte diesen Rechner mit einer 100.x.y.z-Adresse sowie die anderen Geräte in Ihrem Tailnet auflisten. Ein Authentifizierungsschlüssel ohne festgelegtes Ablaufdatum läuft nach 90 Tagen ab. Das ist die maximale Gültigkeitsdauer. Ein Server, den Sie bereits registriert haben, bleibt registriert. Ein Skript, das neue Server registriert, benötigt einen neuen Schlüssel.

NetBird mit einem Setup-Schlüssel aus dem Dashboard:

curl -fsSL https://pkgs.netbird.io/install.sh | sh
netbird up --setup-key YOUR_SETUP_KEY
netbird status

Fügen Sie bei einem selbst gehosteten Server --management-url https://netbird.example.com zur Zeile netbird up hinzu. Ohne diese Angabe verbindet sich der Client mit NetBird Cloud. NetBird Cloud kennt einen auf Ihrem eigenen Server erstellten Setup-Schlüssel nicht. netbird status sollte melden, dass die Management- und Signal-Dienste verbunden sind.

Kosten und kostenlose Tarife, Stand Oktober 2026

Diese Angaben stammen von den beiden Preisseiten vom 2. Oktober 2026. Die Preise ändern sich. Prüfen Sie sie daher erneut, bevor Sie sich festlegen.

Tailscale Personal ist für bis zu 6 Benutzer mit unbegrenzt vielen Geräten pro Benutzer kostenlos. Der Tarif umfasst 50 getaggte Ressourcen (Server, die einem Tag statt einer Person zugeordnet sind) und 3 ACL-Gruppen. Die kostenpflichtigen Tarife sind Standard für $8 pro Benutzer und Monat sowie Premium für $18. Der Preis für Enterprise wird auf Anfrage genannt. Die Aufschlüsselung der tatsächlichen Kosten für einen Haushalt oder ein kleines Team bei Tailscale behandelt die Sonderfälle.

NetBird Cloud ist für bis zu 5 Benutzer und 100 Maschinen kostenlos. Team kostet €6 pro Benutzer und Monat, Business kostet €12. Der Preis für Enterprise wird auf Anfrage genannt. Die kostenpflichtigen Tarife umfassen 100 Maschinen plus 10 Maschinen pro Benutzer. Jede weitere Maschine kostet €0.50 pro Monat. Self-hosted NetBird hat keine Lizenzgebühr. Sie zahlen für den VPS und für den Zeitaufwand für den Betrieb.

Wählen Sie Tailscale, wenn ...

• Niemand in Ihrem Team einen Control-Server betreiben, patchen oder sichern möchte.
• Sie Zugriffsregeln als eine Textdatei verwalten möchten und Tests eine fehlerhafte Änderung erkennen sollen, bevor sie angewendet wird.
• Ihre Benutzer unterwegs sind und sich aus Hotel- oder Mobilfunknetzen verbinden. Dort bieten die DERP-Server von Tailscale in vielen Regionen ohne zusätzliche Einrichtung einen nahegelegenen Fallback.
• Ihre Gruppe in den kostenlosen Tarif für 6 Benutzer passt oder der Preis pro Benutzer akzeptabel ist.

Wählen Sie NetBird, wenn ...

• Die Control Plane auf einer Infrastruktur laufen muss, die Sie selbst verwalten, und Sie das offizielle Projekt statt einer separaten Neuimplementierung verwenden möchten.
• Sie in einem selbst gehosteten Netzwerk mehr als 6 Personen ohne nutzerbezogene Gebühren benötigen.
• Ihr Team Gruppen und Richtlinien lieber in einem Dashboard verwaltet oder bereits für alle anderen Aufgaben Terraform verwendet.
• Sie mit NetBird Cloud beginnen und sich die Möglichkeit offenhalten möchten, später auf einen eigenen Server umzusteigen, wobei derselbe Client verwendet wird.

Was auf beiden Seiten fehlt

Jeder Punkt hier stammt aus der offiziellen Dokumentation oder der Preisseite des jeweiligen Anbieters, geprüft am 2. Oktober 2026.

Tailscale fehlt:

• Ein offizieller selbst gehosteter Control-Server. Der Koordinationsserver ist Closed Source, und Headscale ist ein separates Community-Projekt.
• Open-Source-GUIs für Windows und macOS. Der darunterliegende Daemon ist offen, die Anwendungen sind es nicht.

NetBird fehlt:

• Integrierte Test-Assertions für Zugriffsrichtlinien. Die Dokumentation zur Zugriffskontrolle beschreibt keine solchen Funktionen. Die Überprüfung der Richtlinien hängt daher von Ihnen oder von Terraform-Plänen ab.
• Beim Self-Hosting Relays, die von anderen betrieben werden. Ihr Relay läuft auf Ihrem VPS. Ein Peer, der weit von diesem VPS entfernt ist, verwendet einen langen Relay-Pfad, und Sie bezahlen für die Bandbreite.

Beide starten mit einer Allow-All-Richtlinie. Ein neues Netzwerk ist daher vollständig offen, bis Sie Regeln festlegen. Das vollständige Bedrohungsmodell für die gehostete Variante finden Sie unter was eine gehostete Control Plane sehen kann und was nicht.

FAQ

Ist NetBird vollständig Open Source?

Ja, aber unter zwei Lizenzen. Im Oktober 2026 weist die NetBird-README darauf hin, dass der Client und der größte Teil des Repositorys unter der BSD-3-Clause-Lizenz stehen. Die Verzeichnisse management/, signal/ und relay/ stehen unter AGPLv3. Wenn Sie diese Serverkomponenten ändern und anderen Personen die Nutzung über ein Netzwerk ermöglichen, müssen Sie ihnen gemäß AGPL den Quellcode Ihrer Änderungen anbieten.

Kann ich den Control Server von Tailscale wie den von NetBird selbst hosten?

Nein. Der Tailscale-Koordinationsserver ist nicht als Quellcode verfügbar und läuft nur als gehosteter Dienst. Der übliche selbst gehostete Ersatz ist Headscale, ein unabhängiger Open-Source-Koordinationsserver, der mit den offiziellen Tailscale-Clients funktioniert. Tailscale beschäftigt den Hauptbetreuer von Headscale, gibt jedoch an, das Projekt nicht zu steuern.

Kann das Relay meinen Datenverkehr in NetBird oder Tailscale lesen?

Nein. Bei beiden Produkten wird der private WireGuard-Schlüssel auf dem Gerät erstellt und verlässt es niemals. Ein Tailscale-DERP-Server, ein Tailscale-Peer-Relay und ein NetBird-Relay leiten ausschließlich verschlüsselte WireGuard-Pakete weiter. Das Relay kann jedoch sehen, mit welchen Peers es Verbindungen herstellt und wie viele Daten zwischen ihnen übertragen werden.

Welchen VPS benötige ich für das Self-Hosting von NetBird?

Im Oktober 2026 verlangt der offizielle Quickstart mindestens 1 CPU und 2 GB Arbeitsspeicher. Außerdem benötigen Sie eine öffentliche Domain, die auf den VPS aufgelöst wird, Docker mit dem Compose-Plugin sowie die offenen Ports TCP 80, TCP 443 und UDP 3478. Planen Sie auch Bandbreite für weitergeleiteten Datenverkehr ein. Auf einem selbst ge hosteten Server läuft jede weitergeleitete Verbindung über Ihren VPS.

Welches Angebot hat den größeren kostenlosen Tarif?

Im Oktober 2026 erlaubt Tailscale Personal bis zu 6 Benutzer mit einer unbegrenzten Anzahl von Geräten pro Benutzer. Der kostenlose NetBird-Cloud-Tarif erlaubt bis zu 5 Benutzer und 100 Maschinen. Ein selbst ge hosteter NetBird-Server hat keine Benutzergrenze und keine Lizenzgebühr. Sie bezahlen jedoch für den VPS und betreiben den Server selbst.