NetBird vs. ZeroTier: Layer 2 oder Layer 3? Der Vergleich für Unternehmen (2026)

ZeroTier und NetBird lösen auf den ersten Blick dasselbe Problem: Geräte über Standorte und Clouds hinweg zu einem privaten Netzwerk verbinden, ohne zentrale VPN-Konzentratoren. Unter der Haube könnten die beiden kaum unterschiedlicher sein. ZeroTier baut ein virtuelles Ethernet auf Layer 2 mit eigenem Protokoll, NetBird orchestriert Standard-WireGuard-Tunnel auf Layer 3. Dazu kommt seit 2025 ein Lizenzunterschied, den viele Vergleichsartikel noch nicht abbilden: ZeroTiers Agent ist inzwischen MPL-lizenziert, der Network Controller dagegen kommerziell source-available, während NetBird komplett unter Open-Source-Lizenzen steht und sich inklusive Dashboard selbst hosten lässt. Dieser Vergleich ordnet Architektur, Funktionen, Lizenzlage, Preise und DSGVO-Aspekte für IT-Entscheider ein und beantwortet die eigentliche Frage: In welchen Fällen ist ZeroTier die richtige Wahl, und wann passt NetBird besser zum Unternehmenseinsatz?

NetBird und ZeroTier in 60 Sekunden

ZeroTier stammt von ZeroTier Inc., einem US-Unternehmen aus Kalifornien [9]. Der Ansatz: Ein weltweites Peer-to-Peer-Overlay (intern VL1 genannt) transportiert verschlüsselte Pakete, darüber virtualisiert VL2 ein vollständiges Ethernet inklusive VLAN-Fähigkeiten und Multicast [1]. Geräte verhalten sich, als hingen sie am selben Switch, egal ob sie im Büro, im Rechenzentrum oder im Homeoffice stehen. Die Verwaltung läuft im Normalfall über ZeroTier Central, die gehostete Kontrollebene des Herstellers. Die aktuelle Version ZeroTier One 1.16.2 erschien im Mai 2026 [8].

NetBird kommt von der NetBird GmbH aus Berlin [16] und setzt konsequent auf WireGuard: Jede Verbindung zwischen zwei Peers ist ein regulärer WireGuard-Tunnel, den die NetBird-Dienste (Management, Signal, Relay) automatisch aushandeln [10]. Statt eines virtuellen Switches entsteht ein geroutetes Layer-3-Netz mit zentralen Zugriffsrichtlinien, Posture Checks und IdP-Anbindung. Der komplette Stack inklusive Web-Dashboard steht unter BSD-3- und AGPL-Lizenzen und lässt sich selbst hosten [10], oder als Managed-Variante betreiben. Die Release-Kadenz ist hoch: v0.76.0 und v0.76.1 erschienen Ende Juli 2026 [12]. Den Vergleich mit dem SaaS-Marktführer führen wir separat in NetBird vs. Tailscale 2026: Der große Vergleich für Unternehmen.

Der Architektur-Unterschied: virtuelles Ethernet vs. WireGuard-Overlay

Wie ZeroTier funktioniert

ZeroTier arbeitet in zwei Schichten. VL1 ist der Peer-to-Peer-Transport: verschlüsselt, mit NAT-Traversal und Relay über Root-Server als Fallback. Die Kryptografie ist ein Eigenbau aus etablierten Primitiven: Curve25519/Ed25519 für Schlüssel und Signaturen, Salsa20 mit Poly1305 im Encrypt-then-MAC-Verfahren [1]. Eine dokumentierte Design-Entscheidung: VL1 implementiert keine Forward Secrecy; die Protokoll-Dokumentation begründet das mit Einfachheit, Zuverlässigkeit und kleinem Code-Footprint und empfiehlt, sensible Protokolle wie SSL oder SSH zusätzlich durch das Overlay zu fahren [1].

Die Peer-Discovery läuft über Root-Server, den sogenannten "Planet": aktuell vier weltweit verteilte Server, die ZeroTier Inc. als kostenlosen Dienst betreibt [1]. Darüber virtualisiert VL2 das eigentliche Ethernet, während Netzwerk-Controller Konfiguration und Mitgliedschaften verwalten [1].

Wie NetBird funktioniert

NetBird verzichtet auf ein eigenes Protokoll: Die Datenebene ist Standard-WireGuard, inklusive Unterstützung für Kernel-WireGuard [10]. Management-, Signal- und Relay-Dienste handeln die Tunnel automatisch aus: direkte Peer-to-Peer-Verbindungen wo möglich, Relay-Fallback wo nötig [10]. Zugriffsrichtlinien, Posture Checks, IdP-Anbindung und Audit-Logging liegen zentral im Management. Wie viel Handarbeit ein WireGuard-Netz ohne diese Orchestrierung bedeutet, zeigt unser Leitfaden WireGuard im Unternehmen einrichten: genau diese Schlüsselverteilung und Konfiguration automatisiert NetBird.

Was Layer 2 praktisch bedeutet

Der wichtigste Unterschied steht in keiner Feature-Tabelle: die Netzwerkebene. Weil ZeroTier Ethernet emuliert, funktionieren Broadcast und Multicast im Overlay, Geräte finden sich per Discovery-Protokollen wie mDNS, und mit einer Linux-Bridge lassen sich sogar physische LANs koppeln, in denen Geräte gar keinen ZeroTier-Agenten ausführen [5]. Eine Einschränkung dokumentiert ZeroTier selbst: Auf iOS und Android lassen die VPN-APIs der Systeme kein Broadcast/Multicast zu [5].

NetBird arbeitet eine Ebene höher: IP-Pakete durch WireGuard-Tunnel, gesteuert über Routen, DNS und Policies. Multi-Site-Layer-2, Broadcast-abhängige Anwendungen oder Nicht-IP-Protokolle bildet NetBird nicht ab. Für den typischen Unternehmens-Remote-Access und die Standortvernetzung auf IP-Ebene ist Layer 3 dagegen genau richtig und hält das Overlay übersichtlich: kein Broadcast-Verkehr über Standorte hinweg, klare Routen, klare Richtlinien.

Lizenz und Self-Hosting: der Punkt, an dem sich 2025 alles geändert hat

ZeroTier seit 1.16.0: MPL-Agent, kommerzieller Controller

Mit Version 1.16.0 (2025) hat ZeroTier sein Lizenzmodell umgebaut: Core und Service des Agenten stehen seitdem unter der Mozilla Public License 2.0 [8]. Der Network Controller, also die Komponente, die Netzwerke, Mitgliedschaften und Regeln verwaltet, liegt dagegen im Verzeichnis nonfree/ unter der "ZeroTier Source-Available License v1.0" [9].

Diese Lizenz ist strenger, als viele erwarten. "Commercial Use" umfasst wörtlich jede Nutzung "by or for the benefit of a for-profit company", ausdrücklich inklusive Produktions-, Staging- und Entwicklungsumgebungen für Geschäftszwecke, und auch Behörden und Non-Profits fallen darunter [9]. Nicht-kommerziell sind nur private Nutzung, studentische Projekte und eine Evaluation von maximal 30 Tagen [9]. Der Lizenztext selbst stellt klar, die Software sei "source-available, but it is not 'open source' as defined by the Open Source Initiative" [9]. Wer als Unternehmen den ZeroTier-Controller selbst betreiben will, braucht also einen kommerziellen Vertrag mit ZeroTier.

Die Release Notes dokumentieren die Lizenz-Historie [8]:

Viele ältere Vergleichsartikel geben noch die BSL-Lage wieder. Prüfen Sie im Zweifel direkt die Release Notes und die Lizenzdateien im Repository [8].

Zum Self-Hosting: Der Controller ist in ZeroTier One eingebettet und lässt sich technisch selbst betreiben, verwaltet wird er über eine lokale HTTP-API. Die Dokumentation beschreibt das als Low-Tech-Weg und merkt an: "You'd likely build yourself something fancier around this API" [4]. Ein offizielles Web-UI für den Self-Hosted-Betrieb gibt es nicht [4], und die Root-Server-Struktur bleibt im Standard beim Hersteller [1].

NetBird: BSD-3/AGPL, kompletter Stack self-hostbar

NetBird geht den umgekehrten Weg. Der Code steht unter BSD-3-Clause, nur die Verzeichnisse management/, signal/ und relay/ stehen unter der AGPL-3.0 [10]. Beides sind OSI-Lizenzen; kommerzielle Eigennutzung inklusive Self-Hosting ist ohne Lizenzvertrag möglich. Das komplette Self-Hosting ist offiziell dokumentiert: Management, Signal, Relay, STUN und das Web-Dashboard laufen per Quickstart-Script auf eigener Infrastruktur [14].

Eigenbetrieb heißt allerdings auch Patch-Verantwortung. Ende Juli 2026 hat NetBird mit v0.76.0 einen Security-Fix ausgeliefert: Das Advisory GHSA-qcpp-8vwj-hhwr beschreibt eine lokale Privilege Escalation über einen unauthentifizierten IPC-Socket im Client-Daemon, Schweregrad high, betroffen sind die Versionen 0.5.0 bis 0.75.1, behoben in 0.76.0 [11]. v0.76.0 erschien am 29.07.2026, v0.76.1 folgte am 31.07.2026 [12]. Solche Releases zeitnah in Server und Client-Rollout zu bringen, gehört zum Betrieb dazu, egal ob selbst gehostet oder gemanagt.

Zugriffskontrolle und Zero-Trust-Funktionen

ZeroTier bringt eine eigene Rules Engine mit: Sie ist stateless, verzichtet also auf Connection-Tracking, und Regeln werden verteilt bei Sender und Empfänger durchgesetzt [2]. Die Bausteine sind Flow Rules, Capabilities (signierte Regelbündel mit maximal 64 Einträgen) und 32-Bit-Tags zur Segmentierung; eigene Custom Flow Rules gibt es erst ab Scale/Enterprise [2]. Das ist mächtig, aber eine eigene Regel-DSL mit Lernkurve. Device-SSO ist ein Bezahl-Feature "available to Essential and Commercial subscribers", läuft nur auf Desktop-Betriebssystemen, der IdP muss PKCE unterstützen, und direktes Google-OIDC wird nicht unterstützt [3].

NetBird steuert den Zugriff über gruppenbasierte Policies in der Web-UI und ergänzt Posture Checks mit fünf Prüftypen: NetBird-Client-Version, Land/Region, Peer-Netzbereich, Betriebssystem-Version und laufender Prozess; ausgewertet wird beim Verbinden bzw. Login, wirksam werden die Checks über verknüpfte Policies [13]. In der Cloud-Variante enthält der Team-Plan Enterprise-IdP-Anbindung, SCIM und Audit-Logs, der Business-Plan zusätzlich Device Approval, MDM/EDR-Checks und Traffic Events [15]. Wie sich dieser Policy-Ansatz gegen klassische ZTNA-Anbieter schlägt, zeigt unser Vergleich Twingate Alternative 2026: NetBird vs. Twingate.

Preise im Vergleich: pro Gerät, pro Nutzer, Flatrate

Die beiden Hersteller rechnen grundverschieden ab, und genau hier entscheidet sich oft die Wirtschaftlichkeit.

ZeroTier rechnet pro Gerät [6]:

Mit Quantum positioniert ZeroTier zusätzlich einen Custom-Tier für "sovereign deployments" und Mission-Critical-Infrastruktur [6]; die Produktseite nennt Post-Quantum-Kryptografie mit hybrider klassisch/quantenresistenter Verschlüsselung und richtet sich unter anderem an Defense, Government und Finance [7]. Für den Mittelstand ist das eine Randnotiz, für die Einordnung der Produktstrategie aber relevant.

NetBird Cloud rechnet pro Nutzer [15]:

In Team und Business sind 100 Maschinen plus 10 je Nutzer inklusive, jede weitere kostet 0,50 €/Maschine/Monat [15]. Self-Hosting ist die dritte Option: keine Lizenzkosten, dafür voller Betriebsaufwand im eigenen Team [14].

Der Modell-Unterschied wird bei wachsenden Flotten konkret. Eine gerätelastige Umgebung mit 250 Geräten (Server, IoT, Kioske) kostet bei ZeroTier Scale 179 $ plus 150 mal 1,80 $, also 449 $/Monat. Ein nutzerlastiges Team mit 50 Nutzern zahlt bei NetBird Cloud Business 600 €/Monat. Die dritte Variante ist eine Flatrate pro Instanz: birdhost berechnet für Managed NetBird ab 99,90 €/Monat (DE-Region), unabhängig von Nutzer- und Gerätezahl. Details dazu weiter unten.

DSGVO und Compliance: wo läuft die Kontrollebene?

Für europäische Unternehmen ist weniger die Datenebene die Kernfrage als die Kontrollebene: Wer betreibt sie, wo läuft sie, unter welchem Recht steht der Betreiber?

Bei ZeroTier läuft die Kontrollebene im Standardbetrieb als gehosteter Dienst (ZeroTier Central) beim Hersteller, einem US-Unternehmen aus Kalifornien [9]; auch die vier Root-Server des Standard-"Planet" betreibt ZeroTier Inc. [1]. Damit liegen Verbindungs-Metadaten (wer verbindet sich wann mit wem) bei einem US-Anbieter, was eine Drittlandtransfer-Bewertung nach Art. 44 ff. DSGVO erfordert. Fairerweise gehört dazu: Die Nutzdaten sind Ende-zu-Ende verschlüsselt und laufen bevorzugt direkt zwischen den Peers [1]. Warum die Kontrollebene bei US-Cloud-Diensten trotzdem zum Compliance-Risiko werden kann, Stichwort CLOUD Act, haben wir in DSGVO-konformes VPN 2026: Warum US-Cloud-VPNs ein Compliance-Risiko sind ausführlich hergeleitet.

NetBird lässt sich vollständig in eigener oder europäischer Infrastruktur betreiben, inklusive der Kontrollebene [14]; der Hersteller ist mit der NetBird GmbH in Berlin ein deutsches Unternehmen [16]. Für NIS2-relevante Organisationen zählen darüber hinaus Zugriffskontrolle, MFA und Nachweisbarkeit: Policies, Posture Checks und Audit-Funktionen liefern dafür die technische Grundlage, unabhängig vom Hersteller.

Wichtig: Dieser Abschnitt ist kein Rechtsrat. Binden Sie für konkrete Bewertungen Ihre Datenschutz- oder Rechtsberatung ein.

Entscheidungsmatrix: wann ZeroTier, wann NetBird

ZeroTier ist die passende Wahl, wenn Sie:

• Echtes Layer 2 über Standorte hinweg brauchen: Broadcast, Multicast, Geräte-Discovery per mDNS oder Protokolle jenseits von IP
• Physische LANs bridgen wollen, inklusive Legacy-Geräten, auf denen kein Agent läuft
• Ein Homelab oder gemischte Alt-Protokolle vernetzen: der Free-Tier mit 10 Geräten reicht dafür weit
• Die gehostete Kontrollebene akzeptieren oder eine Enterprise-/Quantum-Vereinbarung verhandeln
• Feingranulare Paketfilterung über die Rules-DSL gezielt nutzen möchten

NetBird ist die passende Wahl, wenn Sie:

• Unternehmens-Remote-Access und Standortvernetzung auf IP-Ebene aufbauen, den Normalfall
• WireGuard als breit auditierten Standard setzen, etwa auf Anforderung von Security-Team oder Auditoren
• IdP-Anbindung, Posture Checks und Audit-Nachweise für Compliance-Anforderungen wie NIS2 brauchen
• Vollständiges Self-Hosting ohne Lizenzvertrag oder einen Managed-Betrieb in der EU wollen
• Planbare Kosten statt Per-Device-Staffeln bei wachsender Geräteflotte bevorzugen

Managed NetBird: wenn es NetBird werden soll, ohne Eigenbetrieb

Fällt die Wahl auf NetBird, bleibt die Betriebsfrage: selbst hosten oder betreiben lassen. birdhost betreibt die NetBird-Control-Plane als dedizierte Instanz. In Deutschland kostet Essential 99,90 € im Monat, Business 199,90 €, Priority 249,90 € und Enterprise 449,90 €, jeweils netto. Nutzer und Geräte werden nicht nach Stückzahl begrenzt. Die Support-Reaktion reicht von 24 Stunden bei Essential über 4 Stunden bei Business und 1 Stunde bei Priority bis zu 60 Minuten rund um die Uhr bei Enterprise. Zugriffsrichtlinien, Posture Checks und Audit Events gehören zum Kernumfang, Reverse Proxy und eigene Domain sind ab Business enthalten.

Gehostet wird wahlweise in 8 Regionen (Deutschland, Niederlande, USA, Kanada, Singapur, Japan, Australien, Indien), DSGVO-konform bei Wahl eines EU-Standorts (Deutschland, Niederlande); der DE-Standort läuft in ISO-27001- und BSI-C5-zertifizierten Rechenzentren. Betrieb, Monitoring, Backups und Updates übernimmt das birdhost-Team, auch das Einspielen von Security-Releases wie v0.76.0 auf der Instanz. Sie können 7 Tage kostenlos testen, Kreditkarte erforderlich.

Fazit

NetBird und ZeroTier sind keine austauschbaren Produkte, sondern zwei Antworten auf verschiedene Fragen. ZeroTier beantwortet die Frage "Wie bekomme ich ein Ethernet über Standorte hinweg?", mit allem, was dazugehört: Broadcast, Multicast, Bridging, Alt-Protokolle. NetBird beantwortet die Frage "Wie baue ich ein WireGuard-basiertes Unternehmensnetz mit Identity, Policies und Nachweisbarkeit?". Der Auslöser für den Wechsel ist dabei oft eine auslaufende Legacy-Appliance, wie sie das Support-Ende von Cisco ASA und AnyConnect gerade vielen Unternehmen beschert.

Zwei Entwicklungen aus 2025/2026 gehören in jede aktuelle Bewertung: ZeroTiers Lizenzumbau mit 1.16.0, der den Controller für kommerzielles Self-Hosting lizenzpflichtig macht [8][9], und NetBirds hohe Release-Kadenz inklusive Security-Fixes wie in v0.76.0 [11], die zeigt, dass ein Overlay-Netz gepflegt werden will.

Wer echtes Layer 2 braucht, wählt ZeroTier. Wer ein WireGuard-basiertes Unternehmensnetz mit klarer Lizenzlage, IdP-Anbindung und EU-Betriebsoption sucht, ist bei NetBird richtig, wahlweise selbst gehostet oder als Managed Service mit planbarer Flatrate.

Quellen

• [[1]] ZeroTier Protocol Design Whitepaper (VL1/VL2, Kryptografie, Forward Secrecy, Root-Server)
• [[2]] ZeroTier Rules Engine Dokumentation (Flow Rules, Capabilities, Tags)
• [[3]] ZeroTier SSO Dokumentation (Bezahl-Feature, PKCE, Desktop-only)
• [[4]] ZeroTier Controller Dokumentation (Self-Hosting per lokaler API)
• [[5]] ZeroTier Bridging Dokumentation (Layer-2-Bridging, Broadcast/Multicast-Grenzen auf Mobile)
• [[6]] ZeroTier Pricing (Personal, Essential, Scale, Enterprise, Quantum)
• [[7]] ZeroTier Quantum Produktseite (Post-Quantum-Kryptografie, Zielbranchen)
• [[8]] ZeroTier Release Notes (1.16.0-Lizenzumbau, 1.16.2, Lizenzhistorie ab 1.4.4)
• [[9]] ZeroTier Source-Available License v1.0 (nonfree/LICENSE.md)
• [[10]] NetBird GitHub Repository (README: WireGuard-Datenebene, BSD-3/AGPL-Lizenz)
• [[11]] NetBird Security Advisory GHSA-qcpp-8vwj-hhwr (Local Privilege Escalation via Unauthenticated IPC Socket)
• [[12]] NetBird Releases (v0.76.0 vom 29.07.2026, v0.76.1 vom 31.07.2026)
• [[13]] NetBird Posture Checks Dokumentation (5 Prüftypen)
• [[14]] NetBird Self-Hosted Quickstart (kompletter Stack inkl. Dashboard)
• [[15]] NetBird Cloud Pricing (Free, Team, Business)
• [[16]] NetBird Imprint (NetBird GmbH, Berlin)