NetBird vs. Headscale: Zwei Wege zum selbst gehosteten WireGuard-Netz

Wer 2026 die Control-Plane seines Mesh-VPN in die eigene Infrastruktur holen will, landet fast immer bei einer von zwei Optionen: Headscale oder NetBird. Headscale ist die quelloffene Community-Reimplementierung des Tailscale-Control-Servers und nutzt die offiziellen Tailscale-Clients weiter. NetBird ist eine vollständige Open-Source-Plattform mit eigenen Clients, Management-Server, Relay und Dashboard. Beide basieren auf WireGuard, beide werden aktiv entwickelt, beide halten Ihre Koordinations-Metadaten aus fremden Clouds heraus. Und doch könnten die Konstruktionsprinzipien kaum unterschiedlicher sein. Dieser Vergleich ordnet beide Wege für IT-Entscheider ein: Architektur, Governance, Feature-Stand (Headscale v0.29.3, NetBird v0.76.1, Stand Ende Juli 2026), Betrieb und Compliance. Ehrlich inklusive der Antwort, wann das kostenlose Headscale schlicht die richtige Wahl ist. Wie sich NetBird gegen die Tailscale-Cloud schlägt, lesen Sie in NetBird vs. Tailscale; die Protokoll-Grundlagen erklärt WireGuard im Unternehmen einrichten.

Das Wichtigste in Kürze

• Headscale ist eine Community-Reimplementierung des proprietären Tailscale-Control-Servers unter BSD-3-Clause-Lizenz, aktuell v0.29.3 vom 29.07.2026. Die Endgeräte nutzen weiterhin die offiziellen Tailscale-Clients.[1][2]
• NetBird ist eine komplette Open-Source-Plattform der Berliner NetBird GmbH: eigene Clients, Management, Signal, Relay und Dashboard, vollständig selbst hostbar, aktuell v0.76.1 vom 31.07.2026.[13][14][21]
• Die Zielgruppen unterscheiden sich offiziell: Headscale beschreibt sich selbst als „not enterprise software" mit Fokus auf Homelabber und Self-Hoster.[4]
• Feature-Lücken bei Headscale betreffen vor allem das Web-UI (nur Community-Projekte), OIDC-Gruppen in ACLs und Funnel (als „not planned" geschlossen).[3][6][12]
• Der Betrieb entscheidet: Headscale bedeutet volle Eigenverantwortung, NetBird gibt es mit Hersteller-Ökosystem und als Managed-Instanz, etwa bei birdhost ab 99,90 €/Monat.

Zwei Philosophien: Reimplementierung vs. Komplettplattform

Headscale: die Community-Control-Plane für Tailscale-Clients

Headscale ist keine NetBird-Konkurrenz im klassischen Sinn, sondern ein anderes Konstruktionsprinzip. Das Community-Projekt implementiert die Server-Seite von Tailscale nach: ein quelloffener, selbst gehosteter Ersatz für den proprietären Koordinationsserver, veröffentlicht unter BSD-3-Clause-Lizenz.[1] Die aktuelle Version v0.29.3 erschien am 29.07.2026.[2] Die Endgeräte bleiben die offiziellen Tailscale-Apps für Linux, Windows, macOS, iOS, Android, tvOS, FreeBSD und OpenBSD; das Projekt zielt darauf, jeweils die letzten 10 Tailscale-Client-Releases zu unterstützen.[5] Für die 0.29.x-Serie nennt das Changelog Tailscale v1.80.0 als Mindestversion.[8]

Sein Zielbild formuliert das Projekt bemerkenswert klar: ein einzelnes Tailnet mit engem Scope, „suitable for a personal use, or a small open-source organisation", entwickelt für Self-Hoster und Hobbyisten.[1] Die FAQ wird noch deutlicher: „Headscale is not enterprise software and our focus is homelabbers and self-hosters."[4] Ebenso eindeutig ist der Disclaimer im README: „This project is not associated with Tailscale Inc."[1]

Das Konstruktionsprinzip hat eine strukturelle Konsequenz: Headscale kontrolliert nur die Server-Seite. Protokollverhalten, Client-Funktionen und Release-Zyklen bestimmt Tailscale Inc. Kompatibilität entsteht Release für Release neu, getragen von Community-Arbeit.

NetBird: Server und Clients aus einer Hand

NetBird beantwortet dieselbe Frage mit einer Komplettplattform. Management-Server, Signal-Server, Relay/STUN, Web-Dashboard und eigene Clients stammen aus einer Hand und sind vollständig selbst hostbar. Der Self-Hosting-Quickstart erzeugt per Script ein lauffähiges Setup inklusive Traefik mit automatischen TLS-Zertifikaten und einem eingebetteten Dex-Server für die lokale Nutzerverwaltung; als Einstieg genügen 1 CPU und 2 GB RAM, benötigt werden die TCP-Ports 80 und 443 sowie UDP-Port 3478.[16]

Die Entwicklung ist herstellergetrieben: Version v0.76.1 erschien am 31.07.2026, wenige Tage nach v0.75.0 mit einem komplett neu entwickelten Desktop-Client auf Basis von Wails v3 und React/TypeScript.[14] Lizenzrechtlich fährt NetBird einen transparenten Split: BSD-3-Clause für das Repository, ausgenommen die Verzeichnisse management/, signal/, relay/ und combined/, die unter AGPLv3 stehen.[13] Das Dashboard-Repository ist AGPL-3.0-lizenziert.[20] Hinter dem Projekt steht die NetBird GmbH, Brunnenstraße 196, 10119 Berlin.[21]

Ein ehrlicher Datenpunkt zur Verbreitung: Gemessen an GitHub-Sternen liegt Headscale mit rund 42.400 vor NetBird mit rund 28.000 (Stand 01.08.2026), ein Hinweis darauf, wie groß der Wunsch nach einer selbst gehosteten Tailscale-Control-Plane ist.[1][13]

Was Tailscale selbst dazu sagt

Tailscales offizielle Open-Source-Seite behandelt Headscale ausführlich und wohlwollend, zieht aber klare Linien. Wörtlich: „Headscale is a community-maintained project, not Tailscale-managed or part of the supported Tailscale product." Und weiter: „Tailscale does not set Headscale's product direction or manage its community".[9] Bemerkenswert ist die Personalie: „Kristoffer Dalby works at Tailscale, such that Tailscale can support his efforts to develop Headscale."[9] Dalby ist bis heute aktiver Maintainer; von ihm stammt Ende Juli 2026 unter anderem der Changelog-Commit zur v0.29.3.[1]

Die Haltung fasst Tailscale in einem Satz zusammen: „We want Headscale to succeed, but we also want the distinction to be clear."[9] Fairerweise gehört beides ins Bild: Aktuell unterstützt Tailscale das Projekt sogar mit bezahlter Maintainer-Zeit. Eine vertragliche Zusage, eine Produktgarantie oder offiziellen Support gibt es aber nicht. Gleichzeitig bleiben Tailscales eigener Koordinationsserver und die GUI-Anwendungen für Windows und macOS closed source.[9] Wer Headscale betreibt, verlässt sich also dauerhaft darauf, dass ein teilproprietäres Client-Ökosystem mit einem Community-Server zusammenspielt.

Warum das Thema gerade 2026 so viele Teams beschäftigt, hat auch mit dem Preismodell zu tun: Seit dem 08.04.2026 rechnet Tailscale seine Geschäftstarife Seat-based ab, Standard kostet $8, Premium $18 pro Sitz und Monat.[10][11] Die Hintergründe haben wir in der Analyse zur Tailscale-Preiserhöhung 2026 aufgearbeitet; eine ausführliche Kostenrechnung zum Self-Hosting liefert der WZ-IT-Beitrag Tailscale Preise 2026: Wann Headscale oder NetBird selbst hosten günstiger ist. Dieser Vergleich konzentriert sich bewusst auf Architektur und Betrieb, nicht auf TCO.

Feature-Vergleich für den Unternehmenseinsatz

SSO, Nutzerverwaltung und Web-UI

Headscale unterstützt OIDC-SSO, allerdings mit einer für Unternehmen relevanten Einschränkung: „OIDC groups cannot be used in ACLs".[3] Gruppenbasierte Zugriffsmodelle aus dem IdP lassen sich damit nicht direkt in Policies abbilden. Ein eingebautes Web-UI existiert nicht: Die Dokumentation listet elf Community-Oberflächen wie headscale-ui, Headplane und headscale-admin, versehen mit dem klaren Hinweis, diese Projekte seien „not maintained by the headscale authors".[6] Wer eine grafische Verwaltung will, kombiniert also einen Community-Server mit einem Community-UI und verantwortet beide Update-Pfade selbst.

NetBird liefert das Dashboard als offiziellen Bestandteil der Plattform.[20] Nutzer, Gruppen und Policies werden im Web-UI verwaltet; im Self-Hosting-Quickstart übernimmt der eingebettete Dex-Server die lokale Nutzerverwaltung, alternativ ist eine OIDC-IdP-Anbindung vorgesehen.[16]

Policies, Posture Checks und Audit

Bei den Zugriffsregeln hat Headscale mit der 0.29er-Serie sichtbar aufgeholt: ACLs, Tags und neuerdings Grants sind vorhanden, ebenso Taildrop und Taildrive; Autogroups sind laut Features-Seite nur teilweise umgesetzt („Some Autogroups").[3][2] NetBird verwaltet Policies im Dashboard und ergänzt sie um Posture Checks in fünf Typen: NetBird-Client-Version, Country and Region (Geolocation), Peer-Netzbereich, Betriebssystem und laufende Prozesse. Die Checks werden direkt an Access-Control-Policies gebunden.[17]

Beim Audit-Thema ist der Unterschied sauber dokumentiert: NetBird bringt Audit Events inklusive Event Streaming und Traffic Events Logging mit.[19] Bei Headscale stehen Network Flow Logs auf der offiziellen Lückenliste.[3] Für Umgebungen mit Nachweispflichten ist das ein handfester Unterschied.

Services veröffentlichen: Funnel-Lücke vs. Reverse Proxy

Ein Praxisfall macht die Scope-Grenzen greifbar: interne Services kontrolliert im Internet veröffentlichen. Tailscale-Nutzer kennen dafür Funnel und Serve. Bei Headscale ist das Funnel-Issue #1040 als „not planned" geschlossen worden,[12] und auch Tailscale Serve führt die Features-Seite als fehlend.[3] NetBird beantwortet denselben Bedarf mit einem in die Plattform integrierten Reverse Proxy: Custom Domains, automatische TLS-Zertifikate, Authentifizierung und Access Logs sind dokumentierter Teil des Produkts.[18] Was der L4-Support für TCP- und UDP-Dienste in der Praxis bringt, zeigt unser Beitrag zum NetBird Reverse Proxy mit L4-Support.

Betrieb und Wartung: der unterschätzte Unterschied

Deployment und Upgrades

Headscales Minimalismus ist im Betrieb ein echter Vorteil: Offiziell empfohlen sind DEB-Pakete für Debian und Ubuntu, alternativ das Standalone-Binary für Fortgeschrittene.[7] SQLite ist die empfohlene Datenbank; PostgreSQL wird weiterhin unterstützt, gilt laut FAQ aber als „maintenance mode".[4] Docker-Deployments unterstützt das Projekt ausdrücklich nicht offiziell, und Reverse-Proxy-Setups sind Community-Terrain.[4] Wichtig für die Update-Planung: Upgrades müssen strikt von einer stabilen Version zur nächsten erfolgen, Minor-Versionen dürfen nicht übersprungen werden.[4]

NetBird bringt mehr bewegliche Teile mit: Management, Signal, Relay und Dashboard bilden einen Container-Stack, dessen Grundeinrichtung das Quickstart-Script übernimmt.[16] Das ist mehr Infrastruktur als ein einzelnes Binary, dafür sind Server und Clients gemeinsam versioniert und stammen vom selben Hersteller.

Support, SLAs und Security-Response

Headscale wird von Freiwilligen getragen und positioniert sich ausdrücklich nicht als Enterprise-Software.[4] Support bedeutet hier: Dokumentation, GitHub-Issues und Community-Hilfe, keine vertraglichen Reaktionszeiten. Das ist für ein Homelab angemessen; für ein Unternehmensnetz ist es eine bewusste Risikoentscheidung.

Wie ein koordinierter Herstellerprozess aussieht, zeigte Ende Juli 2026 der Umgang von NetBird mit einer Schwachstelle: Das Advisory GHSA-qcpp-8vwj-hhwr beschreibt eine lokale Privilege Escalation über einen nicht authentifizierten IPC-Socket im Client-Daemon, Schweregrad high mit CVSS 8.8, betroffen waren die Versionen 0.5.0 bis 0.75.1; eine CVE-Nummer wurde nicht vergeben.[15] Der Fix erschien mit v0.76.0 am 29.07.2026.[14] Der Punkt ist nicht, dass NetBird fehlerfrei wäre, sondern dass Advisory, Patch und Release koordiniert aus einer Hand kommen. Bei Headscale liegt genau diese Verantwortung vollständig beim Betreiber, und zwar getrennt für den Headscale-Server und die Tailscale-Clients.

Skalierung: was die Projekte selbst sagen

Die Headscale-FAQ ist erfrischend ehrlich: „Headscale can likely handle 100s of devices (maybe more), if there is little to no change happening in the network." Umgebungen mit häufigen Node-Wechseln erzeugen dagegen anhaltende Last.[4] Für ein Homelab oder ein stabiles Team-Netz reicht das gut aus. Dynamische Umgebungen mit hoher Gerätefluktuation sind dagegen das Szenario, für das ein herstellergetriebenes Produkt mit dediziertem Betrieb gebaut wird.

Datensouveränität und Compliance (DSGVO, NIS2)

Beide Self-Hosting-Wege lösen das zentrale Souveränitätsproblem von VPN-SaaS: Koordinations-Metadaten wie Geräte, Nutzer und Schlüssel verbleiben auf eigener Infrastruktur statt in einer fremden Cloud. Warum das für europäische Unternehmen relevant ist, haben wir in DSGVO und VPN: das US-Cloud-Risiko hergeleitet. Unterschiede entstehen im Betrieb: Patch-Geschwindigkeit und definierte Verantwortlichkeiten sind spätestens mit NIS2 auch eine Organisationsfrage (mehr dazu in NIS2 und VPN-Netzwerksicherheit). Bei der Auditierbarkeit stehen integrierte Audit Events auf der einen Seite[19] und offene Flow-Log-Issues auf der anderen.[3] Ein Standortaspekt für den DACH-Raum: NetBird wird von der NetBird GmbH in Berlin entwickelt.[21] Wichtig: Dieser Abschnitt ist eine technische Einordnung und kein Rechtsrat. DSGVO- und NIS2-Bewertungen gehören in die Hände Ihrer Datenschutz- und Rechtsberatung.

Wann Headscale reicht und wann NetBird lohnt

Headscale ist eine gute Wahl, wenn:

• Sie ein Homelab, ein privates Setup oder ein kleines technisches Team mit einem einzelnen Tailnet betreiben: genau dafür ist das Projekt laut eigener Beschreibung gebaut[1][4]
• die Tailscale-Clients bereits installiert und vertraut sind und nur die Cloud-Control-Plane ersetzt werden soll
• ein minimaler Footprint für Sie ein Feature ist: ein Binary, SQLite, Konfiguration als Datei[4][7]
• Sie weder offiziellen Support noch SLA, Web-UI oder Compliance-Nachweise benötigen
• das Budget null ist und Zeit für Betrieb und Updates eingeplant ist

Ehrlich ergänzt: Für bis zu sechs Personen ist auch Tailscales kostenloser Personal-Tarif eine legitime Option, laut Preisseite wörtlich mit „Up to 6 users", „Unlimited user devices" und „Up to 50 tagged resources to start".[10]

NetBird (oder Managed NetBird) lohnt sich, wenn:

• mehrere Teams oder Abteilungen mit IdP-Anbindung und Verwaltung im Web-UI arbeiten sollen statt über Konfigurationsdateien
• Posture Checks, Audit Events oder das Veröffentlichen interner Services per Reverse Proxy gefordert sind[17][18][19]
• Sie einen Hersteller als Ansprechpartner für Server und Clients wollen, mit gemeinsam versionierten Releases
• niemand im Team die Betriebsverantwortung tragen kann oder will: Updates, Monitoring, Incident Response (Managed-Option)
• ein Compliance-Kontext AVV, definierte Rechenzentrumsstandorte und Audit-Trails verlangt

Der dritte Weg: NetBird als Managed-Instanz

Zwischen „alles selbst betreiben" und „SaaS akzeptieren" gibt es einen dritten Weg: NetBird als dedizierte Managed-Instanz. Bei birdhost kostet Essential in Deutschland 99,90 € im Monat, Business 199,90 €, Priority 249,90 € und Enterprise 449,90 €, jeweils netto. Nutzer und Geräte werden nicht nach Stückzahl begrenzt. Die Support-Reaktion reicht von 24 Stunden bei Essential über 4 Stunden bei Business und 1 Stunde bei Priority bis zu 60 Minuten rund um die Uhr bei Enterprise. Die Instanz wird rund um die Uhr überwacht, ein AV-Vertrag ist enthalten und acht Regionen stehen zur Wahl. Der Test läuft sieben Tage, erfordert eine Kreditkarte und geht anschließend automatisch in das gewählte kostenpflichtige Abo über.

Genauso ehrlich: Für Homelabs und private Setups ist der Selbstbetrieb von Headscale oder NetBird-OSS die rationale Wahl. Und wer zwingend beim Tailscale-Client bleiben muss, dem hilft birdhost nicht weiter; dann ist Headscale der passende Weg.

Fazit

NetBird vs. Headscale ist kein Duell „gut gegen schlecht", sondern die Wahl zwischen zwei Konstruktionsprinzipien. Headscale ist die elegante Antwort für alle, die den Tailscale-Client-Komfort behalten und nur die Cloud-Control-Plane ersetzen wollen: kostenlos, schlank, ehrlich dokumentiert, mit bewusst engem Scope. NetBird ist die Antwort für Organisationen, die eine vollständige Plattform mit Web-UI, Posture Checks, Audit Events, Reverse Proxy und einem Hersteller dahinter brauchen. Die strukturelle Frage sollten Sie dabei nicht unterschätzen: Bei Headscale hängt die Zukunft am Zusammenspiel mit einem Client-Ökosystem, das ein anderes Unternehmen steuert. Aktuell funktioniert das gut und wird von Tailscale sogar wohlwollend begleitet, garantiert ist es nicht. Bei NetBird liegt der komplette Stack offen, dafür betreiben Sie beim Self-Hosting mehr Komponenten, oder Sie geben den Betrieb an eine Managed-Instanz ab. Wie sich NetBird gegen die Tailscale-Cloud schlägt, lesen Sie im großen Vergleich NetBird vs. Tailscale.

Transparenzhinweis: birdhost ist ein Managed-Hosting-Angebot und kein offizielles Produkt der NetBird GmbH. Tailscale, Headscale, NetBird und WireGuard sind Projekte bzw. Marken ihrer jeweiligen Inhaber. Dieser Beitrag ist keine Rechtsberatung.

Quellen

• [[1]] Headscale GitHub Repository (README, Disclaimer, BSD-3-Clause)
• [[2]] Headscale Releases (v0.29.3 vom 29.07.2026)
• [[3]] Headscale Dokumentation: Features und Lücken
• [[4]] Headscale FAQ (Scope, Skalierung, Datenbank, Upgrades)
• [[5]] Headscale Dokumentation: unterstützte Tailscale-Clients
• [[6]] Headscale Dokumentation: Web-UIs aus der Community
• [[7]] Headscale Dokumentation: offizielle Installation (DEB, Standalone-Binary)
• [[8]] Headscale CHANGELOG (Mindest-Client v1.80.0 für 0.29.x)
• [[9]] Tailscale: Open Source (Haltung zu Headscale, proprietäre Komponenten)
• [[10]] Tailscale Pricing (Personal, Standard, Premium)
• [[11]] Tailscale Blog: Pricing v4 (08.04.2026)
• [[12]] Headscale Issue #1040: Funnel (closed, not planned)
• [[13]] NetBird GitHub Repository (Lizenz-Split BSD-3-Clause / AGPLv3)
• [[14]] NetBird Releases (v0.76.1, v0.76.0, v0.75.0)
• [[15]] NetBird Security Advisory GHSA-qcpp-8vwj-hhwr
• [[16]] NetBird Dokumentation: Self-Hosted Quickstart (Dex, Traefik, Anforderungen)
• [[17]] NetBird Dokumentation: Posture Checks (5 Typen)
• [[18]] NetBird Dokumentation: Reverse Proxy (Custom Domains, Auth, Access Logs)
• [[19]] NetBird Dokumentation: Activity und Audit Events
• [[20]] NetBird Dashboard Repository (AGPL-3.0)
• [[21]] NetBird Impressum (NetBird GmbH, Berlin)