Tailscale einrichten in 2026: Ein privates Mesh-VPN für Ihre Server

Um Tailscale einzurichten, melden Sie sich bei Tailscale mit einem Google-, Microsoft-, GitHub- oder Apple-Konto an, um Ihr privates Netzwerk zu erstellen, installieren den Client auf jedem Gerät, führen sudo tailscale up aus, und jedes Gerät erhält eine feste 100.x.x.x-Adresse, die es von überall erreichen kann. Das ist der komplette Schnellstart, und um Ihren eigenen Laptop und Ihr Smartphone zu verbinden, dauert das tatsächlich fünf Minuten. Der Teil, den die Einsteiger-Anleitungen auslassen, ist der interessante: Tailscale auf einen VPS, einen Heimserver oder eine ganze Reihe von Docker-Containern zu richten, sodass Sie SSH, Datenbanken und Admin-Oberflächen privat erreichen — ohne einen einzigen Port zum öffentlichen Internet zu öffnen. Diese Anleitung behandelt die schnelle Einrichtung und danach die serverseitigen Funktionen — Subnet Router, Tailscale SSH, ACLs — die den Betrieb in 2026 lohnenswert machen.

Tailscale ist ein Mesh-VPN, das auf dem quelloffenen WireGuard-Protokoll aufbaut, das verschlüsselte Punkt-zu-Punkt-Verbindungen herstellt, sodass nur Geräte in Ihrem privaten Netzwerk miteinander kommunizieren können. Es ist ein echtes VPN, aber nicht von der Sorte „leite meinen Datenverkehr über einen Server in einem anderen Land“. Stattdessen baut es ein flaches privates Netzwerk auf — einen tailnet — über all Ihre Geräte hinweg, wo auch immer sie physisch stehen, und weist jedem eine stabile IP im Bereich 100.x.x.x zu. Nichts wird dem weiteren Internet preisgegeben; eine Maschine ist nur von anderen Maschinen erreichbar, die Sie zum selben tailnet hinzugefügt haben.

Tailscale einrichten: der 5-Minuten-Schnellstart

Der Einrichtungsablauf ist auf jeder Plattform gleich: Erstellen Sie das Netzwerk einmal und fügen Sie dann jedes Gerät hinzu.

1. Erstellen Sie Ihr tailnet. Gehen Sie zu login.tailscale.com/start und melden Sie sich mit einem Identitätsanbieter an (Google, Microsoft, GitHub oder Apple). Diese einmalige Anmeldung erstellt Ihr tailnet — es gibt kein separates Konto und kein Passwort zu verwalten.

2. Installieren Sie den Client auf Ihrer ersten Maschine. Unter Linux deckt der offizielle Einzeiler jede große Distribution ab:

   curl -fsSL https://tailscale.com/install.sh | sh
   

   Unter macOS, Windows, iOS und Android laden Sie stattdessen die App von tailscale.com/download herunter.

3. Verbinden Sie das Gerät. Führen Sie sudo tailscale up aus. Es gibt eine URL aus; öffnen Sie sie, authentifizieren Sie sich mit demselben Konto, und die Maschine tritt Ihrem tailnet mit ihrer eigenen 100.x.x.x-IP bei.

4. Fügen Sie weitere Geräte hinzu. Wiederholen Sie das auf Ihren anderen Maschinen — melden Sie sich dabei stets mit demselben Konto an. Prüfen Sie das Ergebnis mit tailscale status (listet jedes Gerät auf) und tailscale ip -4 (zeigt die Adresse dieser Maschine).

Ab diesem Punkt kann jedes Gerät jedes andere über seine Tailscale-IP erreichen, oder über den Namen, wenn Sie MagicDNS aktivieren — von jedem Netzwerk der Welt aus, Ende-zu-Ende verschlüsselt. Für eine Einrichtung aus Smartphone und Laptop ist das die Ziellinie. Für Server geht es weiter.

Verbinden Sie einen ganzen Server oder ein ganzes Netzwerk mit einem Subnet Router

Den Client auf jedem Gerät zu installieren, ist bei drei Laptops in Ordnung. Es skaliert nicht für ein Heimlabor voller IoT-Geräte oder einen VPS, der ein Dutzend Dienste in einem privaten Subnetz betreibt. Ein Subnet Router löst das: Eine Maschine im Netzwerk kündigt eine Route an, und jedes Gerät in Ihrem tailnet kann dann dieses gesamte Subnetz über sie erreichen, ohne dass Tailscale auf jeder Box installiert ist.

Aktivieren Sie auf der Maschine, die als Router fungieren soll, zunächst IP-Weiterleitung und kündigen Sie dann die Routen an, gemäß Tailscales Subnet-Router-Anleitung (aktualisiert im Januar 2026):

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale set --advertise-routes=10.0.0.0/24

Öffnen Sie dann die Seite Machines in der Admin-Konsole, suchen Sie das Router-Gerät und genehmigen Sie seine angekündigten Routen unter Subnets. Danach kann jedes Gerät in Ihrem tailnet alles unter 10.0.0.0/24 erreichen, als befände es sich im selben LAN. Das ist der Trick, der Tailscale mit einem selbst gehosteten Stack koppelt: Setzen Sie den Router auf Ihren VPS, und Sie erreichen jeden internen Container über seine private Adresse, ohne dass irgendetwas ins offene Internet veröffentlicht wird.

Ersetzen Sie SSH-Schlüssel durch Tailscale SSH

Tailscale kann auch die SSH-Authentifizierung übernehmen, sodass Sie keine authorized_keys-Dateien mehr über Server hinweg verwalten müssen. Führen Sie dies einmal auf jedem Host aus, gemäß Tailscales SSH-Dokumentation (validiert im Januar 2026):

sudo tailscale set --ssh

Dies erzeugt einen Host-Schlüssel, registriert ihn bei der Control Plane und sorgt dafür, dass tailscaled tailnet-Datenverkehr zu Port 22 abfängt. Verbindungen werden dann über die Tailscale-Identität authentifiziert und über WireGuard mit Node-Schlüsseln verschlüsselt — kein SSH-Schlüsselpaar mehr zum Herumkopieren, und der Zugriff wird durch die ACL-Regeln Ihres tailnet geregelt statt danach, wer zufällig einen privaten Schlüssel besitzt. Ein Vorbehalt, den Sie kennen sollten, bevor Sie es ausführen: Die Aktivierung lässt jede bestehende SSH-Sitzung zur Tailscale-IP dieser Maschine hängen, führen Sie es also von der Konsole aus oder rechnen Sie mit einer Neuverbindung.

Sichern Sie es ab, bevor Sie es laufen lassen

Ein frisches persönliches tailnet ist standardmäßig freizügig: Jedes Gerät kann jedes andere Gerät erreichen. Das ist praktisch und für eine Einzelperson-Einrichtung völlig in Ordnung, aber Sie sollten es straffen, bevor Sie andere Personen hinzufügen oder Server exponieren.

• MagicDNS gibt jedem Gerät einen Namen (wie vps oder nas) statt einer nackten IP — schalten Sie es in der Admin-Konsole ein, damit Ihre Befehle und Konfigurationen sauber lesbar bleiben.
• ACLs sind die eigentliche Kontrolle. Tailscales Richtliniendatei erlaubt Ihnen Regeln wie „Laptops dürfen den Datenbankserver auf Port 5432 erreichen, Smartphones nicht.“ Verschieben Sie Server hinter Tags (zum Beispiel tag:server) und gewähren Sie Zugriff auf das Tag, nicht auf Einzelpersonen, damit die Regeln bestehen bleiben, wenn Personen dazukommen oder gehen.
• Schlüsselablauf und Gerätegenehmigung verhindern, dass eine verlorene oder veraltete Maschine für immer in Ihrem Netzwerk verweilt. Lassen Sie den Schlüsselablauf aktiviert und aktivieren Sie die Gerätegenehmigung, wenn mehr als eine Person das tailnet nutzt.

Es ist unbedenklich, Tailscale rund um die Uhr laufen zu lassen — das ist der beabsichtigte Einsatz, und ein untätiges tailnet birgt keine Angriffsfläche, weil nichts öffentlich veröffentlicht wird. Das Risiko ist nicht die Betriebszeit; es ist eine zu weit gefasste ACL, und genau das beheben die zwei Minuten oben.

Tailscale vs. Cloudflare Tunnel: Welches sollten Sie nutzen?

Beide ermöglichen es, einen selbst gehosteten Dienst zu erreichen, ohne Ports zu öffnen, aber sie lösen unterschiedliche Probleme, und viele Setups nutzen beide. Tailscale baut ein privates Netzwerk auf, dem nur Ihre Geräte beitreten können. Cloudflare Tunnel veröffentlicht einen Dienst über Cloudflares Edge im öffentlichen Web. Nutzen Sie Tailscale für alles, was privat bleiben soll — SSH, Datenbanken, Admin-Dashboards, interne Tools. Nutzen Sie einen Tunnel für alles, was die Öffentlichkeit sehen soll, etwa eine Website oder eine öffentliche API.

	Tailscale	Cloudflare Tunnel
Zugriffsmodell	Privates Mesh — nur Ihre Geräte	Öffentliches HTTPS ins Internet
Wer es erreichen kann	Nur Geräte in Ihrem tailnet	Jeder mit der URL (sofern Sie nicht Access hinzufügen)
Client nötig	Ja, auf jedem Gerät	Nein, funktioniert in jedem Browser
Am besten für	SSH, Datenbanken, Admin-Panels, Entwicklung	Öffentliche Sites, APIs, Webhooks
Zugrunde liegende Technik	WireGuard-Mesh	Cloudflare-Edge-Proxy
Startkosten	Kostenlos (Personal)	Kostenlos

Ein gängiges Muster ist ein Tunnel für das öffentliche Frontend und Tailscale für das private Backoffice desselben VPS. Wenn Sie sich noch zwischen einem Mesh-VPN und einem klassischen Gateway entscheiden, behandelt unsere Aufschlüsselung von Zero Trust vs. VPN in 2026 die Kompromisse ausführlicher. Für die Docker-Compose-Variante der öffentlichen Seite siehe wie man Cloudflare Tunnel in Docker betreibt.

Ist Tailscale kostenlos, und wann zahlen Sie tatsächlich?

Für die meisten Self-Hoster ist Tailscale unbegrenzt kostenlos. Am 8. April 2026 hat Tailscale seine Pläne überarbeitet: Die kostenlose Personal-Stufe deckt nun bis zu sechs Nutzer mit unbegrenzten Nutzergeräten (Laptops, Smartphones, Tablets) und 50 getaggten Ressourcen ab — ein Sprung von der alten Grenze von drei Nutzern und 100 Geräten. „Getaggte Ressourcen“ meint Server, Subnet Router und Dienstkonten; jenseits der ersten 50 kosten sie jeweils etwa 1 $/Monat. Bezahlpläne existieren vor allem für Teams, die SSO-Provisionierung, mehr ACL-Gruppen und Audit-Logging benötigen.

Plan	Preis (2026)	Nutzer	Getaggte Ressourcen	Am besten für
Personal	Kostenlos	Bis zu 6	50, danach je ~1 $/Monat	Homelabs, Einzelentwickler, kleine Teams
Standard	8 $/Nutzer/Monat	Unbegrenzt	Höhere Limits + SCIM	Wachsende Teams mit SSO-Bedarf
Premium	18 $/Nutzer/Monat	Unbegrenzt	Bis zu 300 ACL-Gruppen, Flow-Logs	Sicherheitsbewusste Organisationen
Enterprise	Individuell	Individuell	Individuelle Kontingente	Große Bereitstellungen

Für einen Einzelentwickler, der ein oder zwei VPS betreibt, werden Sie die kostenlose Stufe mit ziemlicher Sicherheit nie verlassen. Wir betreiben die eigene Infrastruktur dieser Site über WaseerHost, unsere Hosting-Firma, und ein privates Mesh über eine Handvoll Server liegt klar innerhalb dessen, was Personal abdeckt. Wenn Sie noch überlegen, wo Sie diese Server unterbringen, ist unser Leitfaden zum sicheren Einrichten eines VPS der natürliche erste Schritt, und Tailscale ist ein starker zweiter.

Häufig gestellte Fragen

Ist Tailscale schwer einzurichten? Nein — es ist eines der am einfachsten zu startenden Netzwerk-Tools. Sie melden sich mit einem bestehenden Konto an (keine Schlüssel zu erzeugen), installieren einen Client und führen einen Befehl aus. Die Komplexität taucht erst auf, wenn Sie Serverfunktionen wie Subnet Router, ACLs und Tailscale SSH hinzufügen, und selbst diese sind jeweils ein paar Befehle statt der manuellen Schlüsselverwaltung, die rohes WireGuard verlangt.

Ist Tailscale für den privaten Gebrauch kostenlos? Ja. Seit April 2026 deckt der kostenlose Personal-Plan bis zu sechs Nutzer, unbegrenzte Nutzergeräte und 50 getaggte Ressourcen (Server und Subnet Router) ab. Das reicht für die große Mehrheit der Heimlabore und Einzelentwickler, um unbegrenzt und kostenlos zu laufen.

Gibt es etwas Besseres als Tailscale? Das hängt davon ab, was Ihnen wichtig ist. Wenn Sie es vermeiden wollen, gänzlich von Tailscales Koordinationsservern abhängig zu sein, ist Headscale eine quelloffene, selbst gehostete Implementierung des Tailscale-Control-Servers, die mit den offiziellen Clients funktioniert. NetBird und ZeroTier sind weitere Mesh-Optionen. Für die meisten Menschen ist die gehostete kostenlose Tailscale-Stufe einfacher und gibt wenig auf.

Kann man Tailscale die ganze Zeit eingeschaltet lassen? Ja, und so ist es gedacht. Da Ihr tailnet nichts dem öffentlichen Internet preisgibt, erzeugt es keine Angriffsfläche, es verbunden zu lassen, so wie es ein offener Port täte. Was Sie ordentlich halten sollten, ist Ihre ACL-Richtlinie, nicht die Betriebszeit.

Ersetzt Tailscale meine Firewall oder meine SSH-Schlüssel? Es kann SSH-Schlüssel über Tailscale SSH ersetzen, das per Identität statt über ein Schlüsselpaar authentifiziert. Es ergänzt eine Firewall, statt sie zu ersetzen: Ein gutes Muster ist, öffentliches SSH an der Firewall komplett zu schließen und die Box nur über das tailnet zu erreichen.

Sources

• Tailscale — Was ist Tailscale?: WireGuard-basiertes verschlüsseltes Mesh und das tailnet-Konzept.
• Tailscale — Subnet Router (aktualisiert Jan. 2026): IP-Weiterleitung und --advertise-routes-Schritte.
• Tailscale — Tailscale SSH (validiert Jan. 2026): Verhalten von tailscale set --ssh und ACL-Anforderung.
• Tailscale — Preisaktualisierung, 8. April 2026: die Planüberarbeitung und die neue Stufenstruktur.
• PBX Science — Tailscale-Gratisplan nun sechs Nutzer, unbegrenzte Geräte: Limits der kostenlosen Stufe und Überschreitungspreise für getaggte Ressourcen.
• Headscale (juanfont/headscale): quelloffener, selbst gehosteter Tailscale-Control-Server.