NetBird vs. Tailscale vs. WireGuard: Mesh-VPN-Vergleich und Entscheidungsguide

Souveränes Mesh-VPN für verteilte Standorte? WZ-IT baut Remote-Management-Plattformen auf self-hosted NetBird, Headscale und WireGuard. Zur Remote-Management-Plattform

Reines WireGuard, Tailscale, Headscale und NetBird lösen dasselbe Problem - verschlüsselte Verbindungen zwischen verteilten Geräten - auf vier sehr unterschiedlichen Ebenen. WireGuard ist die schlanke, schnelle Datenebene ohne jede Steuerung. Tailscale legt darüber eine besonders einfache, aber proprietäre Control Plane als Cloud-Dienst. Headscale reimplementiert genau diesen Control-Server quelloffen zum Self-Hosting. NetBird ist die durchgängig quelloffene Komplettplattform mit eigener Control Plane, IdP-Anbindung und granularen ACLs. Wer maximale Einfachheit will, nimmt Tailscale; wer Steuerungsebene, Schlüssel und Audit-Daten souverän in der eigenen Infrastruktur behalten will, wählt NetBird oder Headscale. Dieser Entscheidungsguide ordnet alle vier entlang der Achsen Open Source, Self-Hosting, Control Plane, IdP, ACLs, Lizenz und NAT-Traversal ein.

Inhaltsverzeichnis

• Kurzantwort: Welche Lösung passt zu wem?
• Die vier Ansätze im Überblick
• Vergleichstabelle: NetBird vs. Tailscale vs. Headscale vs. WireGuard
• Open Source, Lizenz und Souveränität
• Control Plane, IdP und ACLs
• NAT-Traversal: wie die Verbindung zustande kommt
• Wann welche Lösung? Entscheidungsguide
• Souveränität und unser Einsatz bei WZ-IT
• Weiterführende Guides

---

Kurzantwort: Welche Lösung passt zu wem?

• Reines WireGuard: wenige, stabile Standorte oder Punkt-zu-Punkt-Tunnel, volle Kontrolle, keine Control Plane gewünscht. Maximale Schlankheit, manueller Betrieb.
• Tailscale: schnellste Inbetriebnahme, minimaler Aufwand, Cloud akzeptabel. Proprietäre Control Plane, nicht self-hostbar.
• Headscale: Sie wollen die Tailscale-Clients nutzen, aber den Control-Server selbst hosten. Schlank, ohne offizielles UI, mit Einschränkungen bei ACLs.
• NetBird: souveräne Komplettplattform - self-hosted, quelloffen, mit IdP/SSO, granularen ACLs und Dashboard. Unsere Standardwahl für verteilte Infrastruktur und Fernwartung.

Die vier Ansätze im Überblick

Reines WireGuard ist ein im Linux-Kernel verankertes VPN-Protokoll (seit Linux 5.6 in der Mainline, ca. 4.000 Zeilen Code) mit moderner Kryptografie. Es liefert nur die Datenebene: Jeder Peer hat ein Schlüsselpaar, über AllowedIPs definieren Sie Routen, der Verkehr läuft über UDP. Es gibt keine Control Plane - Schlüsselverteilung, Peer-Discovery und Zugriffssteuerung erledigen Sie manuell oder per eigener Automatisierung. Details im Leitfaden WireGuard zur Standortanbindung und in unserer WireGuard-Expertise.

Tailscale legt über WireGuard eine ausgereifte, sehr einfach zu bedienende Control Plane. Sie verteilt Schlüssel, koordiniert Peers und setzt ACLs durch. Diese Control Plane ist proprietär und wird ausschließlich als SaaS auf der Infrastruktur des Anbieters betrieben; Schlüsselaustausch und ACL-Durchsetzung liegen damit beim Anbieter, self-hosten lässt sie sich offiziell nicht.

Headscale ist die quelloffene Reimplementierung genau dieses Koordinationsservers (BSD-3, aktuell v0.29.1 vom Juni 2026). Es nutzt die offiziellen Tailscale-Clients, läuft self-hosted, hat aber keine offizielle Weboberfläche (Community-Projekte wie headscale-ui/Headplane springen ein) und einen reduzierten Funktionsumfang. Mehr unter Was ist Headscale? und in unserer Headscale-Expertise.

NetBird ist eine durchgängig quelloffene Komplettplattform über WireGuard: eigene Clients, self-hostbare Control Plane (Management, Signal, Relay), Web-Dashboard, OIDC-IdP-Anbindung und granulare Policies. Stand Mitte 2026 bei Version 0.73, getragen von einem europäischen Anbieter (Berlin). Grundlagen unter Was ist NetBird? und in der NetBird-Expertise.

Vergleichstabelle: NetBird vs. Tailscale vs. Headscale vs. WireGuard

Der entscheidende Unterschied liegt in der Control Plane - sie bestimmt Souveränität, Lizenzmodell und Funktionsumfang. Die Datenebene ist bei allen vier WireGuard.

Open Source, Lizenz und Souveränität

Die Lizenzlage ist der schärfste Trennstrich. WireGuard (Linux-Kernel-Modul) steht unter GPLv2; die Userspace-Tools und plattformübergreifenden Apps unter MIT/ISC. Tailscale veröffentlicht seine Clients unter BSD-3-Clause, hält den Koordinationsserver aber proprietär und betreibt ihn nur selbst - der heikle Teil für Souveränität, weil Schlüsselaustausch und ACL-Durchsetzung beim Anbieter liegen. Headscale ist komplett BSD-3 und damit frei self-hostbar.

NetBird hat seine Server-Komponenten (management/, signal/, relay/) mit Version 0.53.0 (August 2025) auf AGPLv3 umgestellt, während die Clients weiter unter BSD-3 stehen. Die AGPLv3 betrifft praktisch nur, wer NetBird modifiziert und als öffentlichen Dienst anbietet; Self-Hosting, interne Nutzung und MSP-Betrieb bleiben uneingeschränkt kostenfrei. Für Souveränität zählt: Bei NetBird und Headscale liegen Control Plane, Schlüssel und Audit-Daten in Ihrer Infrastruktur in der EU - relevant auch für Regulierung wie die NIS2-Richtlinie. Dieser Beitrag ist allgemeine Information und keine Rechtsberatung.

Control Plane, IdP und ACLs

Die Control Plane macht aus WireGuard ein verwaltbares Netz. Tailscale und NetBird bringen hier den größten Komfort: zentrale Schlüsselverteilung, SSO-Login und policy-basierten Zugriff. NetBird bindet beliebige OIDC-Identity-Provider an - Keycloak, Authentik, Microsoft Entra ID, Google oder Okta - und liefert seit Version 0.62 eine integrierte Identität fürs Self-Hosting, sodass kein externer IdP zwingend ist. Die Zugriffssteuerung folgt default-deny: Nichts ist erreichbar, bis eine Policy es freigibt, optional eingeschränkt auf Protokolle und Ports.

Headscale unterstützt OIDC und HuJSON-ACLs, hat aber eine bekannte Einschränkung: OIDC-Gruppen lassen sich bis v0.29.1 nicht direkt in ACLs verwenden - feingranulares Gruppen-RBAC bilden Sie über Tags ab. Reines WireGuard kennt weder IdP noch Policies; Zugriff steuern Sie ausschließlich über AllowedIPs und Firewallregeln. Wer identitätsbasierten Zugriff mit Audit-Trail braucht, kommt an einer Control Plane mit IdP nicht vorbei.

NAT-Traversal: wie die Verbindung zustande kommt

Alle vier müssen Peers hinter NAT und Firewalls verbinden, ohne dass am Standort ein Inbound-Port offen sein muss. Reines WireGuard schafft das durch outbound aufgebaute Tunnel plus PersistentKeepalive, das das NAT-Mapping offen hält - direkte Peer-zu-Peer-Verbindung, aber ohne automatische Vermittlung.

Tailscale und Headscale nutzen DERP-Relays (Designated Encrypted Relay for Packets): Sie tauschen über DERP Discovery-Nachrichten aus, handeln eine direkte Verbindung aus und fallen nur zurück, wenn keine direkte Route möglich ist. Da der Verkehr Ende-zu-Ende WireGuard-verschlüsselt bleibt, sehen die Relays nie Klartext. NetBird verwendet ICE/STUN (Pion) für die direkte Aushandlung und einen eigenen Relay-Service als TURN-artigen Fallback. Funktional sind sich Tailscale, Headscale und NetBird hier sehr ähnlich; der Unterschied liegt darin, wer die Relays betreibt - bei Headscale und NetBird Ihre eigenen.

Wann welche Lösung? Entscheidungsguide

• Wenige, statische Tunnel, kein Overhead gewünscht: reines WireGuard. Punkt-zu-Punkt oder Hub-and-Spoke zwischen ein paar Standorten, die sich selten ändern.
• Schnellster Start, Cloud akzeptabel: Tailscale. Ideal für kleine Teams ohne Souveränitätsanforderung, die in Minuten ein Mesh wollen.
• Tailscale-Komfort, aber Control-Server selbst hosten: Headscale. Passt, wenn Sie bereits Tailscale-Clients einsetzen und nur die Cloud-Abhängigkeit loswerden wollen - mit Abstrichen bei UI und ACLs.
• Souveräne Komplettlösung mit IdP, ACLs und Dashboard: NetBird. Die richtige Wahl für verteilte Infrastruktur, Fernwartung und Multi-Standort-Betrieb mit Audit-Anforderungen und EU-Datenhaltung.
• Maximale Compliance- und Auditierbarkeit: NetBird oder Headscale self-hosted, kombiniert mit einem Browser-Gateway als auditierbarer Zugriffsschicht.

Für die meisten Szenarien verteilter Infrastruktur mit Souveränitätsanspruch fällt unsere Empfehlung auf NetBird - mit Headscale als schlanker Alternative für reine Tailscale-Kompatibilität.

Souveränität und unser Einsatz bei WZ-IT

Bei WZ-IT setzen wir auf den souveränen Teil dieses Spektrums: self-hosted NetBird als verschlüsseltes Netz-Backend, bei Bedarf Headscale für Tailscale-kompatible Umgebungen und reines WireGuard dort, wo eine schlanke Punkt-zu-Punkt-Anbindung genügt. Standorte werden outbound-only angebunden, Zugriff ist identitätsbasiert und default-deny, darüber liegt ein auditierbares Browser-Gateway. So bleiben Control Plane, Schlüssel und Audit-Daten in Ihrer Infrastruktur in der EU.

Wie das in der Praxis aussieht, zeigt die Case Study ABCO Water Systems - produktiv für verteilte Anlagen in Australien. Konzeption, Aufbau und Betrieb übernehmen wir auf Wunsch komplett im Rahmen unserer Remote-Management-Plattformen.

Weiterführende Guides

• Was ist NetBird? - die quelloffene Komplettplattform im Detail
• Was ist Headscale? - der self-hosted Tailscale-Control-Server
• WireGuard zur Standortanbindung - die Datenebene unter allen vieren
• NetBird-Expertise, Headscale-Expertise und WireGuard-Expertise

Unsicher, welche Lösung zu Ihrer Infrastruktur passt? Lernen Sie uns kennen oder sehen Sie sich unsere Remote-Management-Plattformen an.