IT-Sicherheit
NetBird
NetBird ist ein quelloffenes Mesh-VPN auf WireGuard-Basis mit Zero-Trust-Networking: Peer-to-Peer-Tunnel, zentrale Steuerung und SSO-Anbindung.
- Open Source (BSD/AGPL), DE
- WireGuard-Mesh, Zero Trust
- P2P + NAT-Traversal/Relay
- SSO/OIDC, Access-Policies
- self-hosted oder Cloud
NetBird ist ein quelloffenes Overlay-Netzwerk auf Basis von WireGuard. Es baut zwischen allen verbundenen Geräten verschlüsselte Peer-to-Peer-Tunnel auf (ein Mesh-VPN) und löst klassische VPN-Konzentratoren samt manueller Firewall-Pflege durch ein zentral gesteuertes, identitätsbasiertes Zugriffsmodell ab.
Dieser Artikel erklärt die Architektur (Agent, Management, Signal, Relay), das NAT-Traversal, die SSO-Anbindung und Zugriffssteuerung über Policies und Posture Checks, die Self-Hosting- und Cloud-Optionen sowie die Abgrenzung zu Tailscale und Headscale.
1. Architektur
NetBird besteht aus vier Teilen: dem Agent auf jedem Gerät (verwaltet die WireGuard-Schnittstelle), dem Management-Dienst (zentraler Koordinationspunkt, verteilt Policies, Routen, DNS und Posture Checks in Echtzeit), dem Signal-Dienst (hilft Peers, sich zu finden, ohne den Inhalt zu sehen) und dem Relay (TURN-Fallback, wenn keine direkte Verbindung möglich ist). Auch über den Relay bleibt der Verkehr WireGuard-verschlüsselt.
2. NAT-Traversal und Verschlüsselung
NetBird stellt bevorzugt direkte Peer-to-Peer-Verbindungen her (über ICE/STUN, wie bei WebRTC); erst wenn das scheitert, springt der verschlüsselte Relay ein. Die Tunnel sind durchgehend WireGuard-verschlüsselt; der Signal-Dienst sieht die Inhalte der Aushandlung nicht. Das ergibt eine Ende-zu-Ende-Verschlüsselung zwischen den Peers, unabhängig vom Transportweg.
3. Identität und Zugriffssteuerung
Statt über Netzwerkgrenzen wird Zugriff bei NetBird über Identität und Richtlinien gesteuert: Anbindung an Identity-Provider per OIDC/SSO (etwa Keycloak, Entra ID, Google Workspace), MFA auf IdP-Seite, sowie Access-Policies, die festlegen, welche Peer-Gruppen worüber kommunizieren dürfen. Posture Checks prüfen vor dem Zugriff Gerätezustand, Client-Version oder Betriebssystem, das ist Zero Trust in der Praxis.
NetBird verschiebt die Vertrauensfrage vom Netz auf die Identität: Nicht der Standort im Netz entscheidet über Zugriff, sondern wer du bist und in welchem Zustand dein Gerät ist.
4. Self-Hosting, Cloud und Abgrenzung
Alle Serverkomponenten sind quelloffen und vollständig self-hostbar (inzwischen auch als gebündeltes Server-Binary); alternativ gibt es NetBird Cloud. Gegenüber Tailscale ist NetBirds Steuerungsebene vollständig Open Source und self-hostbar (Tailscale ist proprietär); gegenüber Headscale (einer inoffiziellen Tailscale-Server-Reimplementierung) ist NetBird ein eigenständiges, integriertes Produkt samt eigener Clients.
Management-Server härten
Der Management-Dienst ist der zentrale Vertrauensanker des Netzes. Beim Selbstbetrieb gehört er gehärtet, aktuell gehalten und nicht ungeschützt ins Internet gestellt; SSO und Zugriffsrechte sollten restriktiv konfiguriert sein.
5. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Vollständig Open Source und self-hostbar, deutscher Hersteller | Management-Server ist zentraler Vertrauensanker, der abgesichert werden muss |
| WireGuard-Mesh mit echtem P2P und Relay-Fallback | Funktioniert am besten mit angebundenem Identity-Provider |
| Identitätsbasierter Zugriff mit Policies und Posture Checks | Zero-Trust-Konzept erfordert Umdenken gegenüber klassischem VPN |
Häufige Fragen zu NetBird
Beide bauen WireGuard-Mesh-Netze. NetBirds Steuerungsebene ist vollständig Open Source und self-hostbar; Tailscale ist proprietär und wird als Cloud-Dienst betrieben. Wer volle Datenhoheit und Eigenbetrieb braucht, ist mit NetBird (oder dem Tailscale-Reimplement Headscale) besser bedient.
Für Fernzugriff und Standortvernetzung in vielen Fällen ja, mit dem Vorteil identitätsbasierter, segmentierter Zugriffe statt eines flachen Tunnels. Über Routing-Peers lassen sich auch Netze ohne NetBird-Agent erreichen. Voraussetzung ist ein abgesicherter Management-Server und idealerweise ein angebundener Identity-Provider.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
NetBird im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.