Mesh-VPN im Vergleich 2026: NetBird, Tailscale, Headscale, ZeroTier, Netmaker und Nebula

Sie wollen Standorte, Cloud-Ressourcen und Geräte in ein Netz bringen? WZ-IT plant und betreibt Standortvernetzung auf Basis von NetBird und WireGuard, einschließlich Rollen, Richtlinien und Monitoring. Vernetzung gemeinsam einordnen

Mesh-VPN werden meist paarweise verglichen: NetBird gegen Tailscale, Tailscale gegen ZeroTier, und so weiter. Solche Gegenüberstellungen beantworten eine konkrete Frage gut, verdecken aber, dass die Kandidaten gar nicht dieselbe Bauart teilen. Wer die Auswahl trifft, entscheidet zuerst zwischen Architekturen und erst danach zwischen Produkten.

Dieser Beitrag ordnet sechs Lösungen im Zusammenhang ein: welche Bauart sie verfolgen, was Self-Hosting jeweils tatsächlich umfasst, und wo Lizenzgrenzen verlaufen, die in Funktionsvergleichen selten auftauchen. Alle Angaben zu Lizenzen und Versionen stammen aus den Repositories, Preise von den Preisseiten der Anbieter, Stand 24. August 2026.

Transparenzhinweis: WZ-IT ist offizieller NetBird-Reseller und betreibt NetBird für Kunden. Die Lizenz- und Preisangaben unten sind belegt und nachprüfbar; die Empfehlungen im Abschnitt zur Auswahl sind es naturgemäß nicht im selben Maß.

Inhaltsverzeichnis

• Drei Bauarten, nicht eine
• Die Kandidaten im Überblick
• Lizenzen: was self-hosted jeweils bedeutet
• Preise, wo es welche gibt
• NetBird
• Tailscale und Headscale
• ZeroTier
• Netmaker
• Nebula
• Welche Lösung wofür
• Was ein Vergleich nicht beantwortet
• Unser Vorgehen bei WZ-IT
• Weiterführende Guides

Drei Bauarten, nicht eine

Die sechs Lösungen lassen sich in drei Gruppen einteilen, und diese Einteilung erklärt die meisten Unterschiede besser als jede Funktionsliste.

WireGuard mit zentraler Steuerebene. NetBird, Tailscale, Headscale und Netmaker nutzen WireGuard für den Datenverkehr und ergänzen eine Steuerebene, die Schlüssel verteilt, Zugriffsregeln durchsetzt und Verbindungen durch NAT vermittelt. Der Verkehr läuft direkt zwischen den Geräten, die Steuerebene ist nur für Koordination zuständig.

Eigenes Protokoll auf Ebene 2. ZeroTier verwendet kein WireGuard, sondern ein eigenes Protokoll, und bildet virtuelle Netzwerk-Switches ab. Damit lassen sich Geräte so verbinden, als hingen sie am selben Switch, einschließlich Broadcast-Verkehr. Das ist ein anderes Modell als ein Routing-Overlay.

Zertifikatsbasiertes Overlay. Nebula stammt von Slack und ist auf sehr große Knotenzahlen ausgelegt. Statt eines Verwaltungsdienstes mit Datenbank arbeitet es mit einer eigenen Zertifikatsinfrastruktur: Jeder Knoten trägt ein signiertes Zertifikat, das seine Gruppenzugehörigkeit und erlaubten Adressen festlegt. Es gibt keine Weboberfläche.

Die Wahl zwischen diesen Gruppen fällt vor der Produktwahl. Wer Broadcast-Verkehr oder Ebene-2-Semantik braucht, kommt an ZeroTier kaum vorbei. Wer zehntausende Knoten ohne zentrale Verwaltung anbinden will, landet bei Nebula. Für die üblichen Fälle im Mittelstand, also Standorte, Server und Mitarbeitergeräte mit Rechteverwaltung, ist die erste Gruppe gebaut.

Die Kandidaten im Überblick

Alle Zahlen aus den öffentlichen Repositories, Stand 24. August 2026.

Tailscale steht ohne Sternezahl in der Tabelle, weil der Vergleich in die Irre führen würde: Die Clients sind quelloffen, die Steuerebene ist es nicht. Genau diese Lücke hat Headscale hervorgebracht, dessen Sternezahl deshalb auch nicht die Verbreitung von Tailscale abbildet.

Lizenzen: was self-hosted jeweils bedeutet

"Self-hosted" steht auf fast allen dieser Projekte. Was es umfasst, unterscheidet sich erheblich, und diese Unterschiede stehen in den Lizenzdateien, nicht in den Funktionslisten.

Drei Punkte sind für die Entscheidung wesentlich.

Bei NetBird sind genau die Server-Komponenten AGPLv3-lizenziert, die beim Self-Hosting betrieben werden. Die Lizenzdatei benennt management/, signal/, relay/ und combined/ ausdrücklich. AGPLv3 ist eine Open-Source-Lizenz, aber eine mit Rückwirkungspflicht bei Bereitstellung über ein Netzwerk. Für den produktiven Self-Hosting-Einsatz gibt es zusätzlich eine kommerzielle Lizenzstufe, die wir in einem eigenen Beitrag aufgeschlüsselt haben.

Netmaker trennt Funktionen ab. Die Lizenzdatei stellt fest, dass alles unter pro/ einer separaten Pro-Lizenz unterliegt und nur der Rest unter Apache 2.0 steht.

ZeroTier ist gemischt. Die Lizenzdatei weist MPL für den Kern aus und verweist für nonfree/ auf eine gesonderte Regelung. Der Controller lässt sich betreiben, aber nicht unter einer durchgängig freien Lizenz.

Headscale und Nebula sind die einzigen beiden ohne Einschränkung: BSD-3-Clause beziehungsweise MIT, vollständig.

Preise, wo es welche gibt

Headscale, Nebula und die freien Teile von NetBird und Netmaker kosten nichts. Bei den kommerziellen Angeboten sind die Abrechnungsmodelle unterschiedlich, was den direkten Preisvergleich verhindert.

Der Unterschied ist praktisch bedeutsam. Bei wenigen Personen mit vielen Geräten, etwa in der Maschinen- oder Anlagenvernetzung, fällt eine Abrechnung nach Nutzern günstiger aus. Bei vielen Personen mit je einem Gerät kehrt sich das um. Wir haben diesen Effekt in einem eigenen Beitrag zu Preismodellen durchgerechnet.

NetBird

NetBird kombiniert WireGuard mit einer eigenen Steuerebene, Weboberfläche, SSO-Anbindung, Gruppen und Zugriffsregeln. Die aktuelle Version v0.77.1 stammt vom 21. August 2026, die Entwicklung ist entsprechend aktiv.

Für den Einsatz im Unternehmen relevant sind Subnetz-Routen, mit denen ganze Netze hinter einem Peer erreichbar werden, sowie die Anbindung an einen vorhandenen Identitätsanbieter. Was zuletzt dazugekommen ist, etwa das überarbeitete Dashboard und identitätsbasiertes SSH, haben wir gesondert beschrieben.

Der Punkt, der vor der Entscheidung geklärt gehört, ist die Lizenzstufe beim Self-Hosting.

Tailscale und Headscale

Tailscale ist der bekannteste Vertreter und der ausgereifteste in Bedienung und Verbreitung. Die Einschränkung ist strukturell: Die Steuerebene ist proprietär und wird von Tailscale betrieben. Wer sie in eigener Hand haben möchte, kann das mit Tailscale selbst nicht.

Headscale schließt genau diese Lücke: eine unabhängige, quelloffene Implementierung des Steuerservers unter BSD-3-Clause, die mit den regulären Tailscale-Clients arbeitet. Mit 43.124 Sternen ist es das meistbeachtete Projekt in dieser Übersicht.

Was Headscale nicht mitbringt, ist der Funktionsumfang der kommerziellen Tailscale-Ebene: keine gleichwertige Weboberfläche, kein Nutzerverwaltungsunterbau, Konfiguration überwiegend in Dateien. Für technisch geführte Umgebungen ist das kein Hindernis, für gemischte Teams schon.

Den Kostenvergleich zwischen dem Tailscale-Abonnement und selbst betriebenen Alternativen haben wir separat aufgeschlüsselt.

ZeroTier

ZeroTier ist der älteste Ansatz in dieser Liste und der einzige, der auf Ebene 2 arbeitet. Damit verhalten sich verbundene Geräte wie an einem gemeinsamen Switch, was für bestimmte Protokolle und Altsysteme der einzige gangbare Weg ist.

Der Preis dafür ist ein eigenes Protokoll statt WireGuard und eine Lizenzlage, die vollständiges Self-Hosting unter freier Lizenz nicht hergibt. Die Abrechnung nach Geräten passt zu Szenarien mit vielen Endpunkten und wenigen Personen.

Ein direkter Gegenüberstellung zu NetBird liegt als eigener Vergleich vor.

Netmaker

Netmaker setzt auf WireGuard mit Fokus auf Standort- und Subnetz-Routing und richtet sich an Umgebungen mit vielen Netzen statt vieler Einzelgeräte. Die letzte Veröffentlichung v1.6.0 stammt vom 12. Juni 2026 und liegt damit deutlich weiter zurück als bei NetBird oder Nebula.

Die Aufteilung in Apache-2.0 und eine Pro-Lizenz gehört vor die Entscheidung, weil betriebsrelevante Funktionen im abgetrennten Teil liegen können.

Nebula

Nebula wurde bei Slack entwickelt, um die eigene Infrastruktur zu verbinden, steht unter MIT und ist vollständig frei. Die aktuelle Version v1.11.1 stammt vom 21. August 2026.

Der Ansatz unterscheidet sich grundlegend: keine Verwaltungsoberfläche, keine Datenbank, keine Nutzerverwaltung. Stattdessen eine Zertifikatsinfrastruktur, in der jeder Knoten sein Gruppenzugehörigkeits-Zertifikat trägt. Das skaliert außerordentlich gut und lässt sich vollständig automatisieren, verlangt aber, dass Zertifikatsausgabe und -rücknahme selbst gebaut werden.

Für Umgebungen, die Infrastruktur ohnehin als Code verwalten, ist das ein Vorteil. Für Umgebungen, die eine Oberfläche zur Rechtevergabe brauchen, ist Nebula keine Alternative.

Welche Lösung wofür

Was ein Vergleich nicht beantwortet

Die Merkmale oben sind überprüfbar. Was über den Erfolg im Betrieb entscheidet, steht in keiner Tabelle:

Wer pflegt die Zugriffsregeln? Ein Mesh-VPN ersetzt die zentrale Einwahl durch ein Regelwerk. Ohne gepflegte Gruppen und Richtlinien entsteht schnell ein flaches Netz, in dem jeder alles erreicht. Das ist kein Fehler der Software, sondern eine Frage der Zuständigkeit.

Was passiert beim Verlust der Steuerebene? Bestehende Verbindungen laufen meist weiter, neue kommen nicht zustande, und Rechteänderungen greifen nicht mehr. Bei selbst betriebener Steuerebene gehört deren Sicherung und ein geprüfter Wiederanlauf ins Betriebskonzept.

Wie kommen Anlagen ohne Client ins Netz? Maschinen, Steuerungen und Altsysteme können oft keinen VPN-Client ausführen. Dafür braucht es einen Peer im selben Netzsegment, der Routen für dieses Subnetz bekanntgibt. Ob eine Lösung das unterstützt, entscheidet in der Industrie häufiger als die Bedienoberfläche.

Wer wird auditiert? In regulierten Umgebungen muss nachvollziehbar sein, wer wann worauf zugreifen konnte. Protokollierung, Rollen und Nachweisführung unterscheiden sich zwischen den Lösungen deutlich und sind bei den freien Varianten regelmäßig der Teil, der in der kommerziellen Stufe liegt.

Unser Vorgehen bei WZ-IT

Wir setzen NetBird ein und sind offizieller Reseller. Das ist eine Festlegung, keine neutrale Position, und sie hat einen praktischen Grund: Wir betreiben die Vernetzung für Kunden mit, und dafür brauchen wir eine Lösung mit Weboberfläche, SSO und Subnetz-Routing, die sich auch in fremder Infrastruktur betreiben lässt.

Das heißt nicht, dass sie überall passt. Wo Ebene-2-Semantik gebraucht wird, ist ZeroTier die technisch richtige Antwort. Wo eine Umgebung vollständig automatisiert verwaltet wird und keine Oberfläche braucht, ist Nebula sparsamer. Wo lediglich die Steuerebene aus einer fremden Cloud herausgeholt werden soll und die Tailscale-Bedienung bleiben darf, ist Headscale der kürzere Weg.

Die Vernetzung ist bei uns selten ein Einzelprojekt. Sie ist die Schicht, über die Standorte, Cloud-Ressourcen und lokale Systeme zusammenfinden, und gehört deshalb zur Infrastruktur insgesamt statt daneben.

Weiterführende Guides

Die paarweisen Vergleiche mit mehr Detailtiefe:

• NetBird vs. Tailscale - Self-hosted oder Cloud
• NetBird vs. ZeroTier - WireGuard-Overlay gegen Ebene-2-Ansatz
• NetBird vs. Twingate - Self-hosted oder Cloud-ZTNA
• Tailscale-Preise 2026 - wann Selbstbetrieb günstiger wird
• NetBird Self-Hosting-Lizenz - was die kommerzielle Stufe ändert
• VPN-Kosten pro Nutzer oder pro Gerät - warum das Abrechnungsmodell den Preis bestimmt
• OpenVPN vs. WireGuard und WireGuard-Standortanbindung - die Grundlagen darunter

Unklar, welche Lösung zu Ihrer Umgebung passt? Wir sichten Standorte, Systeme und Anforderungen, empfehlen eine Lösung und übernehmen auf Wunsch Aufbau und Betrieb. Termin vereinbaren

Quellen

• NetBird auf GitHub
• NetBird: Lizenzdatei
• Headscale auf GitHub
• ZeroTier auf GitHub
• ZeroTier: Preise
• Netmaker auf GitHub
• Netmaker: Lizenzdatei
• Nebula auf GitHub
• Tailscale: Preise
• WireGuard