Tailscale vs. WireGuard: Was ins Homelab gehört — und was der Unterschied wirklich ist

Die Frage ist schief gestellt — und genau deshalb so verbreitet. Tailscale nutzt selbst WireGuard als Transport. Der eigentliche Vergleich lautet: WireGuard selbst betreiben oder WireGuard von einem Koordinationsdienst orchestrieren lassen. Wer das versteht, trifft die Entscheidung in Minuten.

Was WireGuard ist

Ein schlankes, modernes VPN-Protokoll im Linux-Kernel: schnelle Kryptese, minimale Codebasis, Konfiguration aus wenigen Zeilen. Es verbindet Punkt zu Punkt — wer mit wem spricht, welche Schlüssel gelten, welche IPs erreichbar sind, konfigurierst du selbst. Wie das auf einer Firewall aussieht, zeigt unser WireGuard-auf-OPNsense-Guide.

Was Tailscale hinzufügt

Tailscale spannt aus WireGuard-Tunneln automatisch ein Mesh („Tailnet“):

Schlüsselverwaltung & Login: Geräte melden sich per SSO/Identity an, Schlüssel rotieren automatisch — kein Peer-Gefummel
NAT-Traversal: Verbindungen durch CGNAT, DS-Lite und doppelte Router hindurch, meist ohne einen einzigen offenen Port; wo direkt nichts geht, springen Relay-Server (DERP) ein
Komfort: MagicDNS (Geräte heißen server statt 100.x.y.z), Zugriffs-Regeln (ACLs), Subnet-Router (ganzes Heimnetz erreichbar), Exit Nodes (gesamter Traffic durchs Homelab)

Der Preis: Ein Koordinationsserver des Anbieters verwaltet Identitäten und verteilt Schlüssel. Der Datenverkehr selbst bleibt Ende-zu-Ende verschlüsselt zwischen deinen Geräten — aber die Kontrollebene liegt bei einer Firma (Freemium-Modell; der kostenlose Personal-Plan deckt Homelabs seit Jahren großzügig ab, Konditionen können sich ändern).

Der ehrliche Vergleich

	WireGuard (selbst)	Tailscale
Einrichtung	Peers, Schlüssel, Port, DynDNS — machbar, aber Handarbeit	App installieren, einloggen, fertig
Öffentliche Erreichbarkeit nötig?	ja (Port + öffentliche IP bzw. IPv6)	nein — funktioniert auch hinter CGNAT/DS-Lite
Abhängigkeiten	keine	Koordinationsserver des Anbieters
Topologie	das, was du baust (meist Stern zur Firewall)	automatisches Mesh
Performance	Referenz	quasi identisch bei Direktverbindung; Relay-Fälle langsamer
Kosten	0 €	Personal-Plan kostenlos, Teamfunktionen bezahlt
Selfhosting der Kontrollebene	entfällt (du bist die Kontrollebene)	Headscale (Open-Source-Reimplementierung)

Entscheidungshilfe

Pures WireGuard passt, wenn:

deine OPNsense ohnehin der zentrale Punkt ist und dein Anschluss von außen erreichbar ist
du null Abhängigkeit von Drittanbietern willst
das Szenario klassisch ist: „Handy/Laptop wählt sich zu Hause ein“

Tailscale passt, wenn:

dein Anschluss DS-Lite/CGNAT hat — das K.-o.-Kriterium für eingehendes WireGuard, und Tailscales Paradedisziplin
mehrere Standorte/Personen vernetzt werden (Eltern-Backup-Server!)
du in zehn Minuten fertig sein willst und ein Anbieter-Konto okay ist

Der Mittelweg — Headscale: ein selbst gehosteter, quelloffener Ersatz für Tailscales Koordinationsserver. Die offiziellen Tailscale-Clients verbinden sich damit; Identität und Schlüsselverteilung bleiben im Haus. Aufwand und Pflege liegen dann wieder bei dir — ein schönes Projekt fürs gewachsene Homelab, kein Einsteiger-Pflichtprogramm.

Unsere Einordnung fürs typische Labkompass-Setup

OPNsense vorhanden + echte IPv4 oder sauberes IPv6? → WireGuard auf der Firewall. Volle Kontrolle, null Abhängigkeit, Anleitung hier.
DS-Lite/CGNAT oder Multi-Standort? → Tailscale, ohne schlechtes Gewissen. Es löst reale Probleme, die pures WireGuard dort nicht lösen kann.
Beides gleichzeitig ist übrigens kein Widerspruch: WireGuard als Haupt-VPN, Tailscale als Zweitweg für den Notfall („Firewall-Update schiefgegangen, Haupttunnel tot“) hat schon manches Wochenende gerettet.

Und unabhängig vom Weg gilt: Ein VPN ersetzt keine Netz-Segmentierung — es verlängert nur den Zugang zu dem Netz, das du gebaut hast.