NetBird, Tailscale und Headscale im Vergleich

Wer den Eigenbetrieb verlangt, muss mehr festlegen als den Standort einer virtuellen Maschine. Dazu gehören Datenbank, Zertifikate, Identitätsanbieter, Relays, Updates und Wiederherstellung. Die wirtschaftliche Abwägung sollte diese Arbeitszeit neben den Lizenz- oder Dienstkosten berücksichtigen.

Umgekehrt entbindet ein verwalteter Dienst nicht von eigenen Regeln und Gerätepflege. Auch dort können zu breite Freigaben, veraltete Clients und vergessene Serverkonten den vorgesehenen Schutz unterlaufen.

Bei allen drei Ansätzen hängt eine direkte Verbindung davon ab, was NAT, Firewalls und die beteiligten Anschlüsse erlauben. Ein Relay kann nötig werden. Der Transport bleibt zwischen den jeweiligen WireGuard-Endpunkten verschlüsselt, aber der Umweg beeinflusst unter Umständen Latenz und Durchsatz.

Tailscale dokumentiert DERP und Peer Relays. NetBird stellt eigene Relay-Komponenten bereit. Headscale kann Tailscale-DERP-Server oder eigens konfigurierte Relays verwenden. Ein selbst betriebener Headscale-Server allein bedeutet daher nicht, dass alle Infrastruktur außerhalb des eigenen Netzes entfällt.

Für die Abnahme die tatsächlichen Pfade in repräsentativen Netzen prüfen, etwa Mobilfunk, Hotel-WLAN und einen restriktiven Unternehmensanschluss. Bei der Anbindung von Standortnetzen endet der Tunnel gegebenenfalls am Routing-Gateway. Die Strecke zur Zielanwendung braucht ihren eigenen Schutz.

NetBird arbeitet mit Gruppen und Zugriffsrichtlinien. Die dokumentierte anfängliche Default-Policy erlaubt Verbindungen zwischen allen Peers und muss durch passende Regeln ersetzt werden. Zusätzliche engere Regeln heben eine weiterhin aktive breite Freigabe nicht auf.

Tailscale empfiehlt Grants für neue Policies und unterstützt daneben ältere ACLs. Headscale 0.29.3 dokumentiert ebenfalls Grants und ACLs, aber nicht alle Tailscale-Funktionen. Beispielsweise fehlen laut Headscale-Dokumentation Device-Posture-Bedingungen und IP-Sets.

Auch Headscale erlaubt ohne geladene Policy zunächst Verkehr zwischen den Knoten. Bei allen Kandidaten muss daher die Ausgangskonfiguration geprüft werden. „Zero Trust“ in einer Produktbeschreibung belegt keine bereits passend segmentierte Installation.

Tailscale bindet unterstützte Identitätsanbieter an seinen Dienst an. NetBird dokumentiert Identitätsanbindungen für den jeweiligen Cloud- oder selbst betriebenen Aufbau. Headscale unterstützt OIDC, weist aber auf Grenzen bei der Übernahme von OIDC-Gruppen in Netzrichtlinien hin.

Für die Auswahl konkrete Abläufe aufschreiben: Ein neuer Mitarbeiter erhält ein verwaltetes Notebook, ein Dienstleister bekommt zeitlich begrenzten Zugriff und ein Server wird ohne interaktive Benutzeranmeldung registriert. Danach prüfen, welche Schritte automatisierbar sind und welche Edition dafür erforderlich ist.

Ein privates Netz ersetzt keine Rollenprüfung innerhalb einer Fachanwendung. Ebenso müssen Geräteverlust, abgelaufene Schlüssel, ausgeschiedene Benutzer und nicht mehr benötigte Routing-Gateways im Betrieb behandelt werden. Eine erfolgreiche SSO-Anmeldung ist dafür nur ein Teil.

NetBird verwendet im geprüften Repository BSD-3-Clause für den Clientbereich und AGPLv3 für die Verzeichnisse Management, Signal, Relay und Combined. Eine pauschale Aussage „alles BSD“ wäre deshalb falsch. Kommerzielle Funktionen und Support sind zusätzlich anhand des gewählten Angebots zu prüfen.

Der offene Tailscale-Client und der kommerzielle Koordinationsdienst haben unterschiedliche Nutzungsgrundlagen. Headscale steht unter BSD-3-Clause, liefert aber nicht automatisch die Dienstmerkmale oder Supportzusagen des Tailscale-Anbieters.

Für geschäftskritischen Zugang die benötigte Unterstützung konkret benennen: Reaktionszeit, unterstützte Versionen, Verantwortung bei einem Client-Problem und Wiederherstellung der Steuerung. Ein eigener Betrieb kann sinnvoll sein, wenn diese Aufgaben personell und technisch abgedeckt sind.

Die folgende Zuordnung ist eine redaktionelle Entscheidungshilfe aus den dokumentierten Betriebsmodellen. Sie ersetzt keinen Test der benötigten Funktionen und enthält keine pauschale Rangfolge.

Für einen aussagekräftigen Pilotbetrieb dieselben Benutzergruppen, Gerätearten und Anwendungen verwenden. Antwortzeiten nur bei vergleichbaren Pfaden messen. Eine direkte Verbindung bei einem Produkt mit einem Relay-Pfad beim anderen zu vergleichen, sagt zunächst mehr über den Netzpfad als über den Client aus.

Bei einer Migration bestehende Routen, DNS-Regeln, Geräteidentitäten und Freigaben inventarisieren. Die Konfigurationen sind nicht einfach austauschbar. Überlappende Routen zweier parallel aktiver Clients können außerdem die Beobachtung verfälschen.

Vor dem Wechsel einen Rückweg und einen unabhängigen administrativen Zugang bereithalten. Erst wenn erlaubte Zugriffe, Sperren, Entzug, Neustart und zeitweise Nichterreichbarkeit der Steuerung geprüft sind, den alten Zugang schrittweise abbauen.

Vergleich geprüft am 20. September 2026. NetBird-Release 0.79.0 und Headscale 0.29.3, dazu die aktuelle Tailscale-Dienst- und Policy-Dokumentation. Editionsmerkmale vor Vertragsabschluss erneut prüfen.