Was ist eigentlich Tailscale und welche Vorteile bietet es gegenüber traditionellen VPN-Verbindungen?

Tailscale ist ein VPN-Dienst, der Geräte zu einem privaten Netz verbindet, dem sogenannten Tailnet. Technisch basiert er auf WireGuard. Der Unterschied zu einem klassischen Firmen-VPN liegt in der Topologie: Die Geräte bauen ihre verschlüsselten Tunnel direkt untereinander auf (Mesh). Ein zentraler VPN-Konzentrator, durch den der gesamte Verkehr läuft, entfällt. Zentral bleibt nur die Verwaltung: Ein Coordination Server verteilt öffentliche Schlüssel, Adressen und Zugriffsregeln, sieht aber selbst keine Nutzdaten.

Für den Einstieg genügen ein Konto bei einem Identity Provider (Microsoft, Google, GitHub, Apple oder ein OIDC-Anbieter) und der Client auf jedem Gerät. Portfreigaben in der Firewall sind in der Regel nicht nötig. Damit ist Tailscale sowohl für das Heimnetz als auch für den Fernzugriff auf Server und Kundensysteme verbreitet.

Wie ein traditionelles VPN funktioniert

Ein klassisches Remote-Access-VPN arbeitet nach dem Hub-and-Spoke-Prinzip. Am Rand des Firmennetzes steht ein VPN-Gateway (Firewall oder Appliance), das aus dem Internet erreichbar ist. Der Client auf dem Notebook baut einen Tunnel zu diesem Gateway auf, gängig sind IPsec/IKEv2 (UDP 500 und 4500), SSL-VPN-Varianten über TCP 443 oder OpenVPN. Nach der Anmeldung erhält das Gerät eine Adresse aus einem Pool und Routen in die internen Netze.

Dieses Modell hat sich über Jahrzehnte bewährt, bringt aber strukturelle Eigenschaften mit, die im heutigen Betrieb Aufwand verursachen:

• Öffentlich erreichbares Gateway: Der VPN-Konzentrator muss aus dem Internet erreichbar sein und ist damit ein bevorzugtes Angriffsziel. Schwachstellen in VPN-Appliances wurden in den letzten Jahren wiederholt aktiv ausgenutzt; die US-Behörde CISA ordnete im Januar 2024 mit der Emergency Directive 24-01 sogar die Trennung betroffener Ivanti-Gateways vom Netz an.
• Single Point of Failure und Engpass: Sämtlicher Verkehr läuft über das Gateway. Fällt es aus oder ist die Bandbreite erschöpft, betrifft das alle Benutzer gleichzeitig.
• Umwege (Hairpinning): Arbeiten zwei Mitarbeitende im Homeoffice auf denselben Server in der Cloud zu, läuft der Verkehr zuerst ins Rechenzentrum und von dort wieder hinaus.
• Grobe Zugriffsrechte: Nach dem Verbindungsaufbau steht dem Gerät oft ein ganzes Netzsegment offen. Feingranulare Regeln pro Benutzer und Dienst sind möglich, werden aber selten konsequent gepflegt.
• Site-to-Site-Aufwand: Jeder zusätzliche Standort braucht einen eigenen Tunnel mit abgestimmten Parametern (Phase-1/Phase-2-Proposals, Pre-Shared Keys oder Zertifikate, feste öffentliche IP-Adressen).

Wie Tailscale aufgebaut ist

Tailscale trennt die Control Plane von der Data Plane. Die Control Plane ist der Coordination Server, den Tailscale als Clouddienst betreibt. Die Data Plane sind die WireGuard-Tunnel zwischen den Geräten.

Der private Schlüssel eines Geräts verlässt das Gerät nie. Der Coordination Server kennt nur die öffentlichen Schlüssel und kann den Verkehr deshalb nicht entschlüsseln. Jedes Gerät erhält eine feste Adresse aus dem Bereich 100.64.0.0/10 (dem Adressraum für Carrier-Grade NAT) sowie eine IPv6-Adresse aus fd7a:115c:a1e0::/48. Über MagicDNS sind die Geräte zusätzlich unter ihrem Namen erreichbar, zum Beispiel nas oder nas.tailnet-name.ts.net.

NAT-Traversal: warum keine Portfreigaben nötig sind

Die meisten Geräte stehen hinter einem NAT-Router oder einer Firewall und sind von aussen nicht direkt erreichbar. Tailscale löst das mit NAT-Traversal: Beide Seiten ermitteln über STUN ihre öffentliche Adresse und den zugewiesenen Port, tauschen diese Informationen über den Coordination Server aus und senden gleichzeitig UDP-Pakete aneinander. Die ausgehenden Pakete öffnen auf beiden Firewalls einen Zustandseintrag, über den die Pakete der Gegenseite anschliessend hereinkommen (UDP Hole Punching).

Gelingt das nicht, etwa bei restriktiven Firewalls, die ausgehendes UDP sperren, oder bei bestimmten Formen von Carrier-Grade NAT, läuft der Verkehr über ein DERP-Relay per HTTPS. Auch dort bleibt er Ende-zu-Ende mit WireGuard verschlüsselt; das Relay sieht nur verschlüsselte Pakete. Der Preis ist eine höhere Latenz und ein geringerer Durchsatz. Peer Relays verringern diesen Nachteil, indem ein eigenes Gerät mit guter Anbindung die Weiterleitung übernimmt.

Die Vorteile gegenüber einem traditionellen VPN

Weniger Angriffsfläche

Da die Clients ihre Verbindungen ausgehend aufbauen, braucht kein Gerät einen offenen Port im Internet. Ein Server, der nur über das Tailnet erreichbar sein soll, kann seine Dienste ausschliesslich an die Tailscale-Schnittstelle binden. Für Port-Scanner im Internet ist er dann nicht sichtbar. WireGuard selbst ist mit rund 4000 Zeilen Kernel-Code deutlich kleiner als typische IPsec- oder SSL-VPN-Implementierungen und verwendet einen festen Satz moderner Verfahren (Curve25519, ChaCha20-Poly1305, BLAKE2s). Eine Aushandlung von Cipher-Suites, wie sie bei IPsec regelmässig zu Fehlkonfigurationen führt, gibt es nicht.

Identität statt Netzwerkadresse

Jedes Gerät im Tailnet ist an einen Benutzer oder ein Tag gebunden. Die Anmeldung läuft über den Identity Provider, den Sie bereits verwenden; MFA und Conditional Access aus Microsoft Entra ID gelten damit auch für den Netzwerkzugang. Neue Geräte können sich nur nach erfolgreicher Anmeldung beim Identity Provider ins Tailnet einbinden, und jeder Geräteschlüssel läuft standardmässig nach 180 Tagen ab. Verlässt ein Mitarbeitender das Unternehmen, sperren Sie das Konto im Identity Provider; mit SCIM-Provisionierung (ab Tarif Standard) wird der Benutzer im Tailnet automatisch deaktiviert und seine Geräte verlieren den Zugang.

Zugriffsregeln nach dem Prinzip der minimalen Rechte

Standardmässig darf in einem neuen Tailnet jedes Gerät jedes andere erreichen. Für den produktiven Einsatz legen Sie die Zugriffsrechte in einer zentralen Policy-Datei (HuJSON) fest. Das folgende Beispiel erlaubt der Gruppe der Administratoren SSH und HTTPS auf alle Server mit dem Tag tag:server, allen übrigen Benutzern nur HTTPS auf den Intranet-Server:

{
  "groups": {
    "group:admins": ["admin@example.com"]
  },
  "tagOwners": {
    "tag:server": ["group:admins"]
  },
  "grants": [
    {
      "src": ["group:admins"],
      "dst": ["tag:server"],
      "ip":  ["tcp:22", "tcp:443"]
    },
    {
      "src": ["autogroup:member"],
      "dst": ["intranet"],
      "ip":  ["tcp:443"]
    }
  ],
  "hosts": {
    "intranet": "100.101.102.103"
  }
}

Die Regeln setzt jeder Client lokal durch. Ein Paket, das die Policy nicht erlaubt, verwirft bereits das Zielgerät. Der Coordination Server verteilt die Policy nur.

Direkte Verbindungen statt Umwege

Weil die Tunnel direkt zwischen den Geräten bestehen, nimmt der Verkehr den kürzesten Weg. Zwei Geräte im selben Büro kommunizieren lokal, ein Notebook im Homeoffice erreicht einen Cloud-Server direkt. Das senkt die Latenz und entlastet die Internetanbindung des Hauptstandorts.

Bestehende Netze anbinden

Nicht jedes Gerät kann einen Tailscale-Client ausführen, etwa Drucker, NAS-Systeme älterer Bauart oder Industriesteuerungen. Für solche Fälle übernimmt ein Subnet Router die Rolle eines Gateways: Ein Linux-Server im Zielnetz kündigt das lokale Subnetz im Tailnet an (advertise), und berechtigte Geräte erreichen es darüber.

curl -fsSL https://tailscale.com/install.sh | sh
echo 'net.ipv4.ip_forward = 1' | \
  sudo tee /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
sudo tailscale up \
  --advertise-routes=192.168.10.0/24 \
  --advertise-tags=tag:server

Die angekündigte Route muss anschliessend in der Admin-Konsole freigegeben werden, sofern keine automatische Freigabe (autoApprovers) in der Policy konfiguriert ist. Analog lässt sich ein Gerät mit --advertise-exit-node als Exit Node betreiben. Clients, die diesen Exit Node wählen, leiten dann ihren gesamten Internetverkehr darüber, was dem Full-Tunnel-Modus eines klassischen VPN entspricht.

Weniger Betriebsaufwand

Schlüsselrotation, Adressvergabe, DNS und Routing verwaltet der Coordination Server. Ein neuer Standort braucht einen Subnet Router mit Internetzugang, aber keine feste öffentliche IP-Adresse und keine Abstimmung von IPsec-Parametern mit der Gegenseite. Für den Fernzugriff auf Server stehen zusätzlich Tailscale SSH (Anmeldung per Tailnet-Identität ohne verteilte SSH-Schlüssel) und tailscale serve (Freigabe eines lokalen Webdienstes im Tailnet) zur Verfügung.

Grenzen und Abhängigkeiten

Tailscale ersetzt das klassische VPN-Gateway, verlagert aber einen Teil der Verantwortung auf einen externen Dienst. Diese Punkte sollten Sie vor einer Einführung prüfen.

Für Unternehmen in der Schweiz gilt das revidierte Datenschutzgesetz (revDSG). Da beim Anbieter Personendaten der Benutzer (Konten, Geräte, Verbindungsmetadaten) anfallen, führen Sie Tailscale im Verzeichnis der Bearbeitungstätigkeiten auf, sofern Ihr Unternehmen eines führen muss (ab 250 Mitarbeitenden oder bei Bearbeitungen mit hohem Risiko). Prüfen Sie den Auftragsbearbeitungsvertrag (Data Processing Addendum) des Anbieters und die Rechtsgrundlage der Bekanntgabe ins Ausland gemäss Art. 16 revDSG, etwa eine Zertifizierung unter dem Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln. Ist eine Datenbearbeitung beim Anbieter ausgeschlossen, bleibt Headscale als selbst betriebene Control Plane.

EU-Hinweis: Für Niederlassungen in der EU gelten die DSGVO und deren Regeln zur Übermittlung in Drittländer (Art. 44 ff. DSGVO). Die Prüfung verläuft inhaltlich ähnlich; massgebend ist dort das EU-U.S. Data Privacy Framework.

Kosten

Der Tarif Personal ist kostenlos und umfasst bis zu sechs Benutzer, beliebig viele Benutzergeräte und 50 getaggte Geräte (Stand Oktober 2026). Für den geschäftlichen Einsatz kostet der Tarif Standard 8 USD, Premium 18 USD pro Benutzer und Monat. Premium ergänzt unter anderem Network Flow Logs, Log-Streaming und erweiterte Optionen für Tailscale SSH. Enterprise wird individuell angeboten.

Für wen sich Tailscale eignet

Tailscale eignet sich besonders, wenn Benutzer und Ressourcen verteilt sind: Homeoffice, Cloud-Server bei mehreren Anbietern, kleine Aussenstandorte ohne feste IP-Adresse oder Fernwartung bei Kunden. Für kleine und mittlere Unternehmen kann es ein VPN-Gateway vollständig ersetzen. In grösseren Umgebungen läuft es häufig parallel zum bestehenden VPN, zum Beispiel für den Administrationszugriff auf Server, wo die feingranularen Zugriffsregeln den grössten Nutzen bringen.

Weniger geeignet ist es, wenn Vorgaben eine vollständig selbst betriebene Infrastruktur verlangen und Headscale den Funktionsumfang nicht abdeckt, oder wenn der gesamte Internetverkehr zentral gefiltert werden muss. In diesem Fall bleibt ein Secure Web Gateway nötig, das Tailscale ergänzt.

Zum Testen genügt es, den Client auf zwei Geräten zu installieren und sich mit demselben Konto anzumelden. Mit tailscale status sehen Sie anschliessend alle Geräte im Tailnet, mit tailscale ping <gerät> prüfen Sie, ob eine direkte Verbindung oder ein Relay verwendet wird.