Tailscale vs. WireGuard: Was ins Homelab gehört — und was der Unterschied wirklich ist

Kurz gesagt: Tailscale nutzt selbst WireGuard als Transport — der echte Vergleich lautet: WireGuard selbst betreiben oder orchestrieren lassen. Pures WireGuard passt, wenn deine Firewall von außen erreichbar ist und du null Abhängigkeit willst; Tailscale passt bei DS-Lite/CGNAT oder Multi-Standort, kostet dafür aber die Kontrollebene beim Anbieter.

Die Frage ist schief gestellt — und genau deshalb so verbreitet. Tailscale nutzt selbst WireGuard als Transport. Der eigentliche Vergleich lautet: WireGuard selbst betreiben oder WireGuard von einem Koordinationsdienst orchestrieren lassen. Wer das versteht, trifft die Entscheidung in Minuten.

Was WireGuard ist #

WireGuard ist ein schlankes, modernes VPN-Protokoll im Linux-Kernel: schnelle Kryptese, minimale Codebasis, Konfiguration aus wenigen Zeilen. Es verbindet Punkt zu Punkt — wer mit wem spricht, welche Schlüssel gelten, welche IPs erreichbar sind, konfigurierst du selbst. Wie das auf einer Firewall aussieht, zeigt unser WireGuard-auf-OPNsense-Guide.

Was Tailscale hinzufügt #

Tailscale spannt aus WireGuard-Tunneln automatisch ein Mesh („Tailnet“):

• Schlüsselverwaltung & Login: Geräte melden sich per SSO/Identity an, Schlüssel rotieren automatisch — kein Peer-Gefummel
• NAT-Traversal: Verbindungen durch CGNAT, DS-Lite und doppelte Router hindurch, meist ohne einen einzigen offenen Port; wo direkt nichts geht, springen Relay-Server (DERP) ein
• Komfort: MagicDNS (Geräte heißen server statt 100.x.y.z), Zugriffs-Regeln (ACLs), Subnet-Router (ganzes Heimnetz erreichbar), Exit Nodes (gesamter Traffic durchs Homelab)

Der Preis: Ein Koordinationsserver des Anbieters verwaltet Identitäten und verteilt Schlüssel. Der Datenverkehr selbst bleibt Ende-zu-Ende verschlüsselt zwischen deinen Geräten — aber die Kontrollebene liegt bei einer Firma (Freemium-Modell; der kostenlose Personal-Plan deckt Homelabs seit Jahren großzügig ab, Konditionen können sich ändern).

Wie sich das in der Praxis anfühlt, zeigt exemplarisch Home Assistant über Tailscale erreichen — Fernzugriff aufs Smart Home ohne einen einzigen offenen Port.

Der ehrliche Vergleich #

Entscheidungshilfe #

Pures WireGuard passt, wenn:

• deine OPNsense ohnehin der zentrale Punkt ist und dein Anschluss von außen erreichbar ist
• du null Abhängigkeit von Drittanbietern willst
• das Szenario klassisch ist: „Handy/Laptop wählt sich zu Hause ein“

Tailscale passt, wenn:

• dein Anschluss DS-Lite/CGNAT hat — das K.-o.-Kriterium für eingehendes WireGuard, und Tailscales Paradedisziplin
• mehrere Standorte/Personen vernetzt werden (Eltern-Backup-Server!)
• du in zehn Minuten fertig sein willst und ein Anbieter-Konto okay ist

Der Mittelweg — Headscale: ein selbst gehosteter, quelloffener Ersatz für Tailscales Koordinationsserver. Die offiziellen Tailscale-Clients verbinden sich damit; Identität und Schlüsselverteilung bleiben im Haus. Aufwand und Pflege liegen dann wieder bei dir — ein schönes Projekt fürs gewachsene Homelab, kein Einsteiger-Pflichtprogramm.

Unsere Einordnung fürs typische Labkompass-Setup #

1. OPNsense vorhanden + echte IPv4 oder sauberes IPv6? → WireGuard auf der Firewall. Volle Kontrolle, null Abhängigkeit — Anleitung: WireGuard auf OPNsense einrichten.
2. DS-Lite/CGNAT oder Multi-Standort? → Tailscale, ohne schlechtes Gewissen. Es löst reale Probleme, die pures WireGuard dort nicht lösen kann.
3. Beides gleichzeitig ist übrigens kein Widerspruch: WireGuard als Haupt-VPN, Tailscale als Zweitweg für den Notfall („Firewall-Update schiefgegangen, Haupttunnel tot“) hat schon manches Wochenende gerettet.

Und unabhängig vom Weg gilt: Ein VPN ersetzt keine Netz-Segmentierung — es verlängert nur den Zugang zu dem Netz, das du gebaut hast.