WireGuard vs Tailscale - Kontrolle oder Komfort? Praxisleitfaden 2026
Tailscale baut AUF WireGuard auf. Die Frage ist nicht "welches Protokoll ist besser", sondern "wollen Sie Schlüssel manuell verwalten und einen Koordinator selbst hosten - oder zahlen Sie Komfort für Zero-Config?". Konkrete Trade-offs.
Zum VergleichVanilla WireGuard vs Tailscale - Fakten
| WireGuard (raw) | Tailscale | |
|---|---|---|
| Erstes Peer-Setup | Manuell: Schlüssel generieren, wg0.conf editieren, Routen setzen, Ports öffnen | Installer: 1 Klick, Login mit Google/GitHub, fertig |
| NAT-Traversal (CGNAT, doppeltes NAT) | Sie lösen es selbst (Port-Forward, DDNS, eigener Relay) | Eingebaute DERP-Relays - läuft durch CGNAT ohne Konfig |
| Weiteres Gerät hinzufügen | wg0.conf auf ALLEN Peers editieren + Restart | Login auf neuem Gerät - Tailscale propagiert Schlüssel |
| ACL / Zugriffssteuerung | iptables/nftables manuell | Tailscale-ACL (JSON) mit UI, Rollen, Tags, MagicDNS |
| Kosten | Free (Open-Source) | Free: unbegrenzt Geräte + bis 6 Nutzer; darüber kostenpflichtig |
| Drittanbieter-Vertrauen | Keines (Ihr Server, Ihre Schlüssel) | Tailscale Inc. hat Verbindungs-Metadaten (nicht Inhalt); Headscale = Self-Host |
5 Szenarien, in denen rohes WireGuard sinnvoll ist
Maximale Kontrolle und Auditierbarkeit
Sie arbeiten in einem Bereich, wo Drittanbieter-Abhängigkeiten ein No-Go sind (Behörden, Finanzen, EU-Gesundheitswesen). WireGuard sind ~4000 Code-Zeilen - in einer Woche von einer Person auditierbar. Tailscale schichtet weitere 100k+ Zeilen drauf (Koordinator, DERP, mehrere SDKs). Weniger Abhängigkeiten = kleinere Risikofläche.
Enge, statische Topologie mit 2-3 festen Peers
Ein Heimserver, ein VPS, ein häufig genutzter Laptop. Einmal konfigurieren, läuft jahrelang. Tailscale ist Overkill - sein Vorteil ist Komfort beim Hinzufügen, und Sie fügen nichts hinzu.
Hardware-Beschleunigung auf Routern
OpenWrt, OPNsense, MikroTik haben natives WireGuard mit Hardware-Offload - sub-Millisekunde-Latenz, 1+ Gbps Durchsatz. Tailscale läuft auf Consumer-Routern userspace - Software-Verschlüsselung ist langsamer. Für Gigabit-Heim-Hardware spürbar.
Kein Internet-Zugang vom Koordinator
Air-Gapped-Netze oder stark gefirewallte Umgebungen. Tailscale braucht Erreichbarkeit zu controlplane.tailscale.com (oder Headscale), sonst läuft nichts. WireGuard ist Peer-zu-Peer ohne Koordinator - nur UDP zwischen Endpoints.
Sie betreiben bereits eigene Infrastruktur (Ansible/Terraform)
Wenn Sie eine Flotte mit Ansible verwalten, mit Prometheus monitoren, Zertifikate via cert-manager pflegen - WireGuard einzubinden ist eine Ansible-Rolle. Tailscales Komfort bringt weniger als die Reibung in Ihrer bestehenden IaC.
5 Szenarien, in denen Tailscale die offensichtliche Wahl ist
Dynamische Geräte-Liste (>5)
Jedes neue Gerät bei rohem WG = wg0.conf auf jedem Peer editieren + Restart. Bei 10 Geräten ist das jedes Mal eine Stunde Arbeit. Tailscale: neues Gerät loggt sich ein, bekommt automatisch ACL-getriebenen Zugriff. Schmerzlos skalierbar.
Smartphones, Tablets, Laptops - echte Mobilität
Tailscale liefert native iOS/Android-Apps mit kernel-mode WireGuard (WG-Go). NAT-Traversal erledigt, MagicDNS löst Hostnames wie im LAN, optional Funnel für öffentliche URLs. Rohes WG auf Mobilgeräten heißt händisches Laden von .conf-Dateien und manuelle Reconnects bei Netzwerkwechsel.
CGNAT / doppeltes NAT bei Mobilfunkanbietern
Mobilfunkanbieter setzen oft CGNAT ein - keine öffentliche IP. Reines WireGuard braucht mindestens EINEN Peer mit öffentlicher IP (oder einen öffentlichen Relay). Tailscales DERP-Netz löst das automatisch - läuft durch doppeltes NAT in beide Richtungen.
Mit Personen außerhalb Ihres Teams teilen
Sie wollen dem Cousin Jellyfin-Zugriff geben? Bei WG: Schlüssel generieren, Konfiguration erklären, eigene Konfig editieren. Bei Tailscale: "Share" auf einem Host klicken, Link senden, er meldet sich mit eigenem Konto an - Zugriff nur auf diesen Host.
Zero-Trust-ACLs ohne iptables
Tailscale-ACL (JSON) ermöglicht: "Laptops mit Tag admin erreichen Hosts mit Tag prod auf Port 22, TVs erreichen tv-Tag-Hosts auf 8096". Bei WG schreiben Sie iptables-Regeln pro Peer manuell. Ab 5 Peers spart Tailscale-ACL Stunden.
Wann Sie überhaupt kein VPN brauchen
Wenn 80% Ihres Anwendungsfalls "HA / Jellyfin / Nextcloud vom Smartphone öffnen" sind, ist VPN Overkill. Sie exponieren EINE URL (ihr-zuhause.smarthomeentry.com), geschützt durch die Auth des Dienstes selbst, plus 2FA in HA - fertig. Kein Gerät-Setup, keine Schlüsselrotation, keine ACLs. SmartHomeEntry läuft mit einem outbound-only Agent (kein Port-Forwarding), löst auch CGNAT. Für Mesh zwischen eigenen Geräten bleibt Tailscale richtig - wir versuchen nicht, es zu ersetzen.
Häufig gestellte Fragen
Das Verschlüsselungsprotokoll - ja, identisch. Tailscale nutzt kernel WireGuard auf Linux und WG-Go auf iOS/macOS. Alles andere kommt obendrauf: Koordinator zum Schlüsselaustausch, DERP-Relays, MagicDNS, ACLs, UI, NAT-Traversal-Logik. WireGuard ist der Motor; Tailscale ist das Auto.
Den Inhalt nicht (E2E-verschlüsselt durch WireGuard). Aber Tailscale Inc. hat Metadaten: welche Geräte im Tailnet sind, wann sie sich verbinden, welche Public Keys sie haben. Falls das ein No-Go ist - Headscale (Open-Source-Backend) eliminiert diese Abhängigkeit komplett.
Rohes kernel WireGuard ist marginal schneller (kleinerer Stack). In der Praxis unter 5% Durchsatz-Differenz. Der Flaschenhals ist meist die CPU eines Mobilgeräts oder Ihr Heim-Upload, nicht WG selbst. "Rohes WG vs Tailscale" ist selten eine Performance-Entscheidung.
Teilweise. Funnel (Beta seit 2023) exponiert einen Tailnet-Hostname ins Internet - Sie bekommen `host.ihr-tailnet.ts.net` als öffentliche URL. Keine eigene Domain, kein WAF, max. 3 Funnels. Für "schnell mit Freunden teilen" - okay. Für Produktion - eine dedizierte Lösung (CF Tunnel oder SmartHomeEntry) gewinnt.
Wenn Sie ohnehin Infrastruktur verwalten und keinen Drittanbieter wollen - ja. Headscale ist ein Drop-in-Ersatz für den Koordinator; Tailscale-Clients laufen damit unverändert. Nachteile: Sie übernehmen Updates, Monitoring, eigenes DERP wenn Clients hinter CGNAT sitzen. Für 90% der Hobbyisten reicht Tailscales Free-Tier und spart Arbeit.
Weitere Vergleiche ansehen
Oder überspringen Sie das VPN ganz und exponieren Sie nur die Web-URL
Wenn es um Zugriff auf HA/Jellyfin/Nextcloud vom Smartphone geht - Mesh-VPN ist das falsche Werkzeug. SmartHomeEntry ist eine öffentliche HTTPS-Subdomain ohne Schlüssel-Setup, ohne ACLs, ohne Client-Installation beim Empfänger.