Tailscale einrichten 2026: Das eigene sichere Netz über alle Geräte

Tailscale ist ein VPN-Mesh auf WireGuard-Basis, mit dem du alle deine Geräte sicher miteinander verbindest — ohne Portfreigaben am Router, ohne feste IP-Adresse, ohne DynDNS-Gebastel. Du installierst einen Client, meldest dich an, und das Gerät ist Teil deines privaten Netzes. Das dauert pro Gerät wirklich nur ein paar Minuten, und danach erreichst du deinen Homeserver aus dem Hotel-WLAN genauso wie vom Sofa.

Ich nutze Tailscale seit Jahren und bin jedes Mal wieder überrascht, wie wenig Ärger es macht. Trotzdem gibt es Dinge, die man wissen sollte, bevor man sein halbes Heimnetz daran hängt.

Wie Tailscale eigentlich funktioniert

Unter der Haube steckt WireGuard. Jedes Gerät baut verschlüsselte Tunnel direkt zu den anderen auf — Peer-to-Peer, wo es geht. Der Datenverkehr läuft also nicht über einen zentralen Server, sondern direkt zwischen deinem Laptop und deinem NAS.

Was Tailscale zusätzlich liefert, ist die Arbeit, die bei WireGuard pur lästig ist: Schlüsselaustausch und das Finden der Gegenstelle. Der Koordinierungsserver (die Control Plane) kennt alle öffentlichen Schlüssel und Endpunkte deiner Geräte und verteilt sie. Er sieht Metadaten, aber nicht deinen Inhalt — die privaten Schlüssel verlassen die Geräte nie.

Dann kommt NAT-Traversal: Beide Geräte sitzen typischerweise hinter einem Router ohne erreichbare öffentliche Adresse. Tailscale löst das mit STUN-artigen Techniken und gleichzeitigem Verbindungsaufbau von beiden Seiten (UDP hole punching). Klappt das nicht, greift ein DERP-Relay, ein Tailscale-Server, der die verschlüsselten Pakete durchschiebt. Langsamer, aber es funktioniert immer, und mitlesen kann das Relay nichts.

Jedes Gerät bekommt außerdem eine stabile Adresse aus 100.64.0.0/10, also etwas wie 100.101.102.103. Die bleibt gleich, egal ob das Gerät im Heim-WLAN, im Mobilfunknetz oder in einem fremden Café hängt. Dazu kommt über MagicDNS ein sprechender Name, sodass du einfach ssh homeserver tippen kannst.

Die ehrliche Einordnung: Was du Tailscale anvertraust

Tailscale ist ein kommerzieller US-Dienst. Der Login läuft über einen externen Identity Provider — Google, Microsoft, GitHub, Apple oder ein Passkey. Es gibt kein Eigenkonto mit Passwort, was sicherheitstechnisch sinnvoll ist, dich aber an einen dieser Anbieter bindet.

Die wichtige Unterscheidung: Dein Datenverkehr ist Ende-zu-Ende verschlüsselt und läuft, wo möglich, direkt zwischen deinen Geräten. Die Koordinierung ist aber zentral. Tailscale weiß, welche Geräte du hast, wie sie heißen, wann sie online sind und mit welchen öffentlichen IPs sie sich melden. Theoretisch könnte der Betreiber auch ein Gerät in dein Tailnet einschleusen — dagegen gibt es Tailnet Lock, bei dem neue Geräte von deinen bestehenden kryptografisch signiert werden müssen.

Der kostenlose Personal-Plan deckt bis zu 100 Geräte und 3 Nutzer ab. Privat stößt da praktisch niemand an die Grenze.

Wenn dir der zentrale Koordinierungsserver grundsätzlich nicht passt: Headscale ist eine quelloffene Reimplementierung der Control Plane, die du selbst hostest, und funktioniert mit den offiziellen Clients. Du brauchst dafür allerdings einen erreichbaren Server mit gültigem Zertifikat und musst DERP-Relays selbst betreiben — mehr Kontrolle, deutlich mehr Arbeit.

Schritt für Schritt: Tailnet aufbauen

1. Konto anlegen. Auf tailscale.com registrieren und dabei den Identity Provider wählen. Nimm den, dessen Konto du wirklich mit Zwei-Faktor-Authentifizierung abgesichert hast — dieser Login ist der Schlüssel zu deinem gesamten Netz.
2. Ersten Client installieren. Auf Windows und macOS gibt es einen Installer mit Tray-Icon, mehr ist da nicht zu tun. Unter Linux erledigt das curl -fsSL https://tailscale.com/install.sh | sh, danach startest du die Anmeldung mit sudo tailscale up. Der Befehl gibt eine URL aus: im Browser öffnen, einloggen, fertig. Wer das Skript-Piping nicht mag, nimmt das Paket aus dem Repository seiner Distribution.
3. Mobilgeräte dazu. Android und iOS haben offizielle Apps im Store. Anmelden, VPN-Profil bestätigen, läuft. Den Tunnel solltest du auf dem Handy dauerhaft aktiv lassen.
4. In der Admin-Konsole nachsehen. Alle Geräte erscheinen unter Machines mit ihrer 100.x-Adresse, dem MagicDNS-Namen und letztem Kontakt. Das ist deine Zentrale für alles Weitere.
5. Verbindung testen. tailscale status zeigt alle Peers und ob die Verbindung direkt oder über ein Relay läuft. Genauer wird es mit tailscale ping homeserver — die Ausgabe verrät explizit, ob der Weg direkt ist oder via DERP geht. Die erste Antwort kommt oft über das Relay, danach schaltet Tailscale meist auf direkt um. Das ist normal.

Wenn du dein Heimnetz gerade erst aufbaust, lohnt vorher ein Blick auf die Grundlagen — wie du ein Heimnetzwerk einrichten solltest, entscheidet mit, wie sauber Tailscale später hineinpasst.

Die Killer-Features fürs Heimnetz

1. Subnet Router: das ganze Heimnetz von unterwegs

Das ist für mich die wichtigste Funktion. Normalerweise erreichst du nur Geräte, auf denen Tailscale läuft. Ein Subnet Router macht daraus mehr: Ein einzelnes Gerät im Heimnetz wirft sich als Wegweiser für das komplette lokale Subnetz auf. Damit erreichst du auch Drucker, Fritzbox-Oberfläche oder Thermostat — alles, was kein Tailscale sprechen kann.

Ein Raspberry Pi im Dauerbetrieb ist dafür perfekt. Zuerst IP-Forwarding aktivieren:

• echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-tailscale.conf
• echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
• sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

Dann die Route bekanntgeben — hier für ein Heimnetz auf 192.168.178.0/24, passe das an deins an: sudo tailscale up --advertise-routes=192.168.178.0/24

Und jetzt der Schritt, den fast jeder beim ersten Mal vergisst: Die Route muss in der Admin-Konsole freigegeben werden. Gerät anklicken, unter Subnets die angebotene Route abnicken. Vorher passiert nichts.

Wer eine richtige Firewall betreibt, kann Tailscale auch direkt dort installieren. Für OPNsense gibt es ein Plugin, und dann sitzt der Subnet Router genau da, wo er logisch hingehört — inklusive der Option, zwei Standorte site-to-site zu koppeln.

2. Exit Node: kompletter Traffic durchs Heimnetz

Ein Exit Node leitet deinen gesamten Internetverkehr über das Gerät zu Hause. Im Hotel-WLAN ist das Gold wert: Du surfst effektiv über deinen eigenen Anschluss, das fremde Netz sieht nur einen verschlüsselten Tunnel. Als Nebeneffekt greift auch dein heimischer Werbefilter wieder.

Auf dem Gerät zu Hause genügt sudo tailscale up --advertise-exit-node.

In der Konsole freigeben (gleiche Stelle wie bei den Subnets), dann auf dem Client aktivieren — in der App per Menü, auf der Kommandozeile mit sudo tailscale up --exit-node=homeserver. Denk dran, dass dein Upload zu Hause jetzt die Bremse ist: Bei 40 Mbit Upstream surfst du unterwegs mit maximal 40 Mbit.

3. MagicDNS

Standardmäßig aktiv und einfach angenehm: Statt 100.101.102.103 tippst du den Gerätenamen, also nas, homeserver oder laptop. Obendrein gibt es kostenlose HTTPS-Zertifikate auf *.ts.net-Namen, sodass deine Dienste ohne Browser-Warnung laufen.

4. Taildrop

Dateien zwischen deinen Geräten schicken, ohne Cloud und ohne dass beide im gleichen WLAN sein müssen. Vom Handy ins Teilen-Menü, Tailscale wählen, Zielgerät antippen; auf der Kommandozeile geht tailscale file cp urlaub.zip laptop:.

5. Key Expiry für Server abschalten

Geräteschlüssel laufen standardmäßig nach einigen Monaten ab und müssen neu autorisiert werden. Bei deinem Laptop kein Problem. Bei einem Server, der im Keller steht und nur über Tailscale erreichbar ist, ist es eine Falle mit Ansage — irgendwann fällt er raus und du kommst nicht mehr ran. Setze in der Admin-Konsole daher Disable key expiry, und zwar sofort bei jedem Gerät ohne Bildschirm.

Wofür ich es im Alltag benutze

Der eigentliche Gewinn ist, dass ich Dienste nicht mehr ins Internet stellen muss. Vorher: Reverse Proxy, Portfreigabe, Zertifikate, Fail2ban, jede Woche Logs voller Loginversuche aus aller Welt. Heute lauschen die Dienste nur im lokalen Netz, und ich komme über das Tailnet ran. Die Angriffsfläche von außen ist null.

So läuft bei mir das Foto-Backup über Immich: Die Handy-App synchronisiert auch unterwegs, weil das Handy im Tailnet den Server sieht. Genauso Nextcloud, Portainer, Home Assistant und die NAS-Oberfläche — alles nur über Tailnet-Adressen, kein offener Port am Router.

Ein weiterer Klassiker: Der Desktop zu Hause schläft, ich will von unterwegs ran. Der Pi als Subnet Router schickt das Magic Packet ins lokale Netz, damit funktioniert Wake on LAN aus dem Zug zuverlässig.

ACLs: wer darf was

Standardmäßig darf in einem Tailnet jedes Gerät mit jedem anderen reden. Solo ist das genau richtig. Sobald du aber Familie oder Freunde einlädst, solltest du das eingrenzen — sonst hat der Laptop deines Bruders vollen Zugriff auf dein NAS.

Die Regeln liegen in der Admin-Konsole als JSON-Datei (Reiter Access Controls). Du arbeitest dort mit Tags und Nutzern: Du vergibst einem Server etwa den Tag tag:media und erlaubst einer Nutzergruppe nur Port 8096 darauf. Für den Anfang reicht meist eine simple Regel — Familie darf auf genau einen Dienst, du auf alles.

Wo die Grenzen liegen

• Zentraler Anbieter. Der Verkehr bleibt verschlüsselt, aber Gerätenamen, Online-Zeiten und öffentliche IPs liegen bei Tailscale. Wer das nicht will, landet bei Headscale oder WireGuard pur.
• Abhängigkeit beim Verbindungsaufbau. Ist die Control Plane nicht erreichbar, laufen bestehende Verbindungen weiter, neue kommen aber nicht sauber zustande. Ausfälle sind selten, kommen aber vor.
• Relay-Durchsatz. Wenn P2P scheitert und alles über DERP läuft, merkst du das. Für SSH und Weboberflächen egal, für große Dateikopien ärgerlich.
• Kein Ersatz für Geräte-Härtung. Tailscale schützt den Transportweg. Ein Container mit Standardpasswort bleibt ein Container mit Standardpasswort — nur eben einer, an den jetzt jedes Gerät im Tailnet herankommt. Updates, gute Passwörter und minimale Rechte bleiben Pflicht.

Troubleshooting: die drei häufigsten Stolpersteine

Alles läuft nur über ein Relay

tailscale status zeigt bei jedem Peer relay statt einer direkten Verbindung. Ursache ist fast immer die Firewall: Tailscale braucht ausgehendes UDP, standardmäßig auf Port 41641. Blockiert dein Router oder eine restriktive Firewall das, bleibt nur der Umweg. Prüfe außerdem, ob UPnP oder NAT-PMP am Router abgeschaltet ist — damit klappt das Hole Punching deutlich zuverlässiger. tailscale netcheck zeigt dir, was Tailscale über dein Netz herausfindet.

Die Subnet-Route funktioniert nicht

Zwei Klassiker, in dieser Reihenfolge prüfen: Ist die Route in der Admin-Konsole freigegeben? Und ist IP-Forwarding wirklich aktiv (sysctl net.ipv4.ip_forward muss 1 liefern, auch nach einem Reboot)? Wenn beides stimmt und es trotzdem hakt, kollidiert oft das Subnetz: Sitzt du unterwegs in einem WLAN mit demselben 192.168.178.0/24 wie zu Hause, weiß dein Gerät nicht, wohin. Ein ungewöhnliches Heimnetz-Subnetz wie 192.168.77.0/24 erspart dir das dauerhaft.

DNS-Konflikte mit Pi-hole oder AdGuard

MagicDNS übernimmt die DNS-Auflösung auf den Clients, und das kollidiert gern mit einem lokalen Filter-Resolver. Die Lösung heißt Split-DNS: Trag deinen Pi-hole in der Admin-Konsole unter DNS als globalen Nameserver ein und aktiviere Override local DNS. Dann fragen alle Tailnet-Geräte deinen Filter, auch unterwegs, während MagicDNS die ts.net-Namen weiter selbst auflöst. Wichtig: Der Pi-hole muss über seine Tailnet-Adresse erreichbar sein und Anfragen aus dem 100.x-Bereich zulassen.

Fazit

Tailscale ist eines der wenigen Tools, bei denen der Aufwand in keinem Verhältnis zum Nutzen steht. Zwanzig Minuten Einrichtung, und du hast ein verschlüsseltes Netz über alle deine Geräte, das du nie wieder anfassen musst. Der Gewinn ist nicht nur Komfort, sondern echte Sicherheit: Dienste, die vorher mit offenem Port im Internet standen, sind jetzt nur noch für dich sichtbar.

Der Preis ist ein zentraler US-Anbieter in der Vertrauenskette — für die meisten privaten Setups ein fairer Deal. Mein Rat: Fang mit Tailscale an, richte einen Raspberry Pi als Subnet Router und Exit Node ein und schalte Key Expiry für Server ab. Stört dich der zentrale Anbieter später, kannst du auf Headscale umziehen, ohne die Clients zu wechseln.

Häufige Fragen

Ist Tailscale kostenlos?

Ja, für den privaten Gebrauch. Der Personal-Plan deckt bis zu 100 Geräte und 3 Nutzer ab und enthält alle wichtigen Funktionen: Subnet Router, Exit Nodes, MagicDNS, Taildrop und ACLs. Bezahlt wird erst, wenn du mehr Nutzer oder Team-Features wie erweiterte Audit-Logs brauchst.

Ist Tailscale sicher — sieht Tailscale meine Daten?

Deine Inhalte nicht. Die Verschlüsselung ist Ende-zu-Ende über WireGuard, die privaten Schlüssel bleiben auf den Geräten. Selbst wenn Verkehr über ein DERP-Relay läuft, sieht das Relay nur verschlüsselte Pakete. Was Tailscale sehr wohl kennt, sind Metadaten: welche Geräte du hast, wie sie heißen, wann sie online sind, welche öffentlichen IPs sie nutzen.

Tailscale oder WireGuard pur?

Tailscale ist WireGuard, plus die Automatik drumherum. Bei WireGuard pur konfigurierst du jeden Schlüssel, jeden Endpunkt und jede Route selbst, brauchst eine erreichbare Gegenstelle mit Portfreigabe und pflegst bei jedem neuen Gerät alle Configs nach. Dafür hängt niemand außer dir in der Kette. Faustregel: ein fester Tunnel zwischen zwei Standorten, die du kontrollierst — WireGuard pur genügt. Ein Dutzend mobile Geräte, die überall auftauchen — nimm Tailscale.

Was ist ein Exit Node?

Ein Gerät in deinem Tailnet, über das dein kompletter Internetverkehr geleitet wird, nicht nur der Verkehr zu anderen Tailnet-Geräten. Praktisch ein klassisches VPN mit deinem Zuhause als Ausgangspunkt. Sinnvoll in fremden WLANs oder wenn du unterwegs deinen heimischen Werbefilter nutzen willst. Die Geschwindigkeit begrenzt der Upload deines Heimanschlusses.

Funktioniert Tailscale hinter CGNAT?

Ja, und das ist einer der größten Vorteile. Bei CGNAT teilst du dir eine öffentliche IPv4-Adresse mit anderen Kunden und kannst keine Ports weiterleiten — klassisches VPN scheitert daran komplett. Tailscale braucht keine eingehende Verbindung: Beide Seiten bauen nach außen auf, und die Koordinierung bringt sie zusammen. Oft klappt sogar direktes P2P; wenn nicht, übernimmt ein DERP-Relay. Bei CGNAT oder DS-Lite ist Tailscale meist die einfachste Lösung überhaupt.