Standorte vernetzen ohne MPLS: Mesh-VPN für den Mittelstand

WZ-IT führt birdhost weiter. Aktuelles Hosting ab 349,90 € netto/Monat; Einrichtung und Service Level gemäß Angebot. Frühere Paketpreise, Standortlisten und Kostenvergleiche in diesem datierten Artikel beschreiben das damalige Angebot, nicht die aktuellen WZ-IT-Konditionen. Aktuellen Leistungsumfang ansehen.

MPLS war jahrelang der Goldstandard für die Standortvernetzung. Aber für den Mittelstand ist es 2026 oft die falsche Wahl: 300–4.000 € pro Standort pro Monat, lange Bereitstellungszeiten, Carrier-Abhängigkeit und null Flexibilität bei neuen Standorten oder Cloud-Anbindungen. NetBird bietet eine moderne Alternative: verschlüsselte WireGuard-Tunnel zwischen Büros, Filialen und Cloud-Umgebungen – als Mesh-VPN ohne zentralen Gateway, ohne Carrier-Verträge, ab 99,90 €/Monat für alle Standorte.

Auch interessant: Fortinet VPN Alternative 2026 · OpenVPN Alternative 2026 · Firmennetzwerk für Remote-Mitarbeiter

Kurzvergleich: MPLS vs. Mesh-VPN (NetBird)

Inhaltsverzeichnis

• Warum MPLS für den Mittelstand nicht mehr passt
  • Das Kostenproblem
  • Das Flexibilitätsproblem
  • Das Sicherheitsproblem
• Die Alternative: Standorte per Mesh-VPN verbinden
  • Wie es funktioniert
  • Was das konkret bedeutet
  • High Availability
• Warum Mesh-VPN statt klassischem Site-to-Site-VPN?
• MPLS vs. SD-WAN vs. Mesh-VPN: Wo liegt NetBird?
• Setup: Standortvernetzung mit NetBird in 30 Minuten
  • Schritt 1: birdhost-Instanz deployen
  • Schritt 2: Routing Peer pro Standort installieren
  • Schritt 3: Network Routes konfigurieren
  • Schritt 4: Zugriffsregeln definieren
• Kosten: MPLS vs. NetBird für 3 Standorte, 3 Jahre
• Wann MPLS weiterhin die richtige Wahl ist
• Fazit
• Quellen

Warum MPLS für den Mittelstand nicht mehr passt

Das Kostenproblem

MPLS-Verbindungen kosten 300–4.000 € pro Standort pro Monat – abhängig von Bandbreite, Standort und Carrier. In ländlichen Gebieten, wo Glasfaser-Erschließung fehlt, liegen die Preise am oberen Ende. Für ein Unternehmen mit 3 Standorten bedeutet das schnell 1.000–6.000 €/Monat – nur für die Standortvernetzung.

Dazu kommen:

• Einrichtungsgebühren: 500–5.000 € pro Standort
• Vertragslaufzeiten: 12–36 Monate, schwer kündbar
• Bandbreiten-Upgrades: Neue Vertragsverhandlung, neue Kosten
• Redundanz: Zweite MPLS-Leitung = doppelte Kosten

Das Flexibilitätsproblem

Ein neuer Standort braucht eine neue MPLS-Leitung. Die Bereitstellung dauert Wochen bis Monate – Carrier-Verfügbarkeitsprüfung, Leitungsverlegung, Konfiguration. Für Unternehmen, die schnell wachsen, Filialen eröffnen oder temporäre Standorte (Baustellen, Messen, Pop-up-Offices) brauchen, ist das zu langsam.

Cloud-Anbindungen sind mit MPLS besonders aufwändig: AWS Direct Connect oder Azure ExpressRoute kosten zusätzlich und erfordern eigene Carrier-Verträge.

Das Sicherheitsproblem

Was viele nicht wissen: MPLS ist nicht verschlüsselt. MPLS ist ein Label-Switching-Protokoll, das Traffic über das Carrier-Netzwerk routet – aber den Inhalt nicht verschlüsselt. Die Sicherheit basiert auf der Annahme, dass das Carrier-Netzwerk geschlossen und vertrauenswürdig ist. Wer End-to-End-Verschlüsselung will, muss zusätzlich IPsec oder ein VPN darüberlegen.

Die Alternative: Standorte per Mesh-VPN verbinden

Wie es funktioniert

NetBird baut ein Mesh-VPN zwischen Ihren Standorten auf. An jedem Standort wird ein Routing Peer installiert – ein kleiner Linux-Server, eine VM oder ein Docker-Container, der den NetBird-Client ausführt. Dieser Routing Peer macht das gesamte lokale Netzwerk (LAN) über NetBird erreichbar.

Büro Berlin (10.1.0.0/24)          Büro München (10.2.0.0/24)
       │                                    │
  Routing Peer ◄──── WireGuard Tunnel ────► Routing Peer
       │            (direkt, verschlüsselt)        │
  LAN-Geräte                              LAN-Geräte
  (Server, NAS,                            (Server, NAS,
   Drucker)                                 Drucker)
                         │
                    Cloud VPC (10.3.0.0/24)
                         │
                    Routing Peer
                         │
                    Cloud-Server

Die Geräte im LAN brauchen keinen NetBird-Client. Der Routing Peer leitet den Traffic weiter – mit NAT-Masquerading, sodass die Quell-IP hinter der IP des Routing Peers versteckt wird. Für die Endgeräte sieht es aus, als käme der Traffic aus dem lokalen Netzwerk.

Was das konkret bedeutet

• Büro Berlin kann auf Server in Büro München zugreifen – ohne VPN-Client auf jedem Gerät
• Cloud-VPCs (AWS, Azure, Hetzner) sind nahtlos angebunden – ein Routing Peer in der Cloud genügt
• Remote-Mitarbeiter greifen über den NetBird-Client auf alle Standorte zu – identity-basiert, nicht netzwerk-basiert
• Neue Standorte sind in Minuten angebunden – Routing Peer installieren, Network Route konfigurieren, fertig

High Availability

NetBird unterstützt mehrere Routing Peers pro Standort. Wenn Sie zwei Routing Peers am gleichen Standort konfigurieren, übernimmt der zweite automatisch, falls der erste ausfällt – ohne manuellen Eingriff, ohne Downtime. Bei MPLS kostet Redundanz eine zweite Leitung.

Warum Mesh-VPN statt klassischem Site-to-Site-VPN?

Klassische Site-to-Site-VPNs (IPsec, OpenVPN) verbinden Standorte über einen zentralen Gateway – typischerweise eine Firewall-Appliance in der Zentrale. Das erzeugt drei Probleme:

1. Hub-and-Spoke-Engpass: Aller Traffic zwischen Filialen fließt durch die Zentrale. Filiale A spricht mit Filiale B? Der Traffic geht erst zur Zentrale und dann zurück. Doppelte Latenz, doppelte Bandbreite.

2. Single Point of Failure: Fällt die Zentrale aus, sind alle Filialen voneinander abgeschnitten.

3. VPN auf der Firewall: Der VPN-Gateway ist gleichzeitig die Firewall. Jede VPN-Schwachstelle ist eine Firewall-Schwachstelle – wie die Fortinet-CVE-Serie eindrucksvoll gezeigt hat.

NetBird als Mesh-VPN löst alle drei Probleme:

• Direkte Peer-to-Peer-Verbindungen: Filiale A spricht direkt mit Filiale B – ohne Umweg über die Zentrale.
• Kein zentraler Gateway: Fällt ein Standort aus, kommunizieren die anderen weiter.
• VPN entkoppelt von der Firewall: Die Firewall bleibt für Perimeter-Security zuständig. Das VPN ist ein eigenständiger Service.

MPLS vs. SD-WAN vs. Mesh-VPN: Wo liegt NetBird?

SD-WAN wird oft als MPLS-Nachfolger positioniert. Für den Mittelstand ist es aber häufig überdimensioniert:

SD-WAN ist die richtige Wahl, wenn Sie komplexes Traffic-Engineering brauchen: Application-Aware Routing, QoS-Priorisierung, Hybrid-WAN mit MPLS-Backup. Typische Einsatzszenarien: VoIP-intensive Umgebungen, Echtzeit-Handelsplattformen, Standorte mit instabilen Internetleitungen.

SASE-Plattformen wie Cloudflare One bündeln Standortanbindung, Secure Web Gateway und Zugriffskontrolle in einem einzigen Anbieternetz. Das nimmt Arbeit ab, verlagert den Standort-Traffic aber in eine US-betriebene Inspektionsschicht. Welche dieser Kategorien Sie wirklich brauchen und welche sich souverän lösen lässt, trennt Cloudflare Zero Trust Alternative: souveränes ZTNA auf.

NetBird (Mesh-VPN) ist die richtige Wahl, wenn Sie Standorte sicher verbinden wollen – ohne Carrier-Verträge, ohne SD-WAN-Hardware, ohne Per-Site-Lizenzen. Für die meisten KMUs mit 2–20 Standorten, die Office-Anwendungen, Dateiserver, ERP-Systeme und Cloud-Dienste nutzen, ist ein Mesh-VPN über das öffentliche Internet performant genug.

Setup: Standortvernetzung mit NetBird in 30 Minuten

Schritt 1: birdhost-Instanz deployen

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement. 2. Instanz deployen – Plan wählen, Region auswählen 3. NetBird Dashboard öffnen

Schritt 2: Routing Peer pro Standort installieren

An jedem Standort einen Routing Peer einrichten – ein Linux-Server, eine VM oder ein Docker-Container:

# NetBird-Client installieren
curl -fsSL https://pkgs.netbird.io/install.sh | sh

# Mit Ihrer birdhost-Instanz verbinden
netbird up --management-url https://ihre-instanz.birdhost.de

Schritt 3: Network Routes konfigurieren

Im NetBird Dashboard unter Network Routes die lokalen Subnetze der Standorte als Routen hinzufügen:

• Büro Berlin: 10.1.0.0/24 → Routing Peer Berlin
• Büro München: 10.2.0.0/24 → Routing Peer München
• Cloud VPC: 10.3.0.0/24 → Routing Peer Cloud

Schritt 4: Zugriffsregeln definieren

Über die grafische Web-UI festlegen, wer auf welche Standorte zugreifen darf – identity-basiert, nicht IP-basiert.

Ergebnis: Alle Standorte sind über verschlüsselte WireGuard-Tunnel verbunden. Geräte im LAN kommunizieren standortübergreifend, ohne VPN-Client. Remote-Mitarbeiter greifen über den NetBird-Client auf alle Standorte zu.

Kosten: MPLS vs. NetBird für 3 Standorte, 3 Jahre

MPLS-Preise: Schätzung basierend auf deutschen Marktpreisen (300–4.000 €/Standort/Monat). Tatsächliche Preise je nach Carrier, Bandbreite und Standort.

Die Kostenersparnis ist kein Rundungsfehler. Ein einzelner Monat MPLS für drei Standorte (900–12.000 €) kostet oft mehr als ein ganzes Jahr birdhost-Flatrate für alle Standorte zusammen (rund 1.199 €).

Wann MPLS weiterhin die richtige Wahl ist

MPLS hat Stärken, die ein Internet-basiertes VPN nicht replizieren kann:

• Garantierte Bandbreite: MPLS liefert zugesicherte Bandbreite unabhängig von der Internet-Auslastung. Für latenzempfindliche Anwendungen (Echtzeit-VoIP, Videokonferenzen mit SLA, Handelsplattformen) ist das unverzichtbar.
• Quality of Service: MPLS priorisiert Traffic-Klassen auf Netzwerkebene – VoIP bekommt Vorrang vor E-Mail. Ein Internet-VPN kann das nicht garantieren.
• Regulatorische Anforderungen: In manchen Branchen (Finanzsektor, Behörden) schreiben Regularien dedizierte Leitungen vor.

Für die meisten KMUs mit Standard-Office-Workloads – ERP, Dateiserver, E-Mail, Cloud-Anwendungen – ist die Internet-Performance 2026 mehr als ausreichend. Die Frage ist nicht „Ist Internet schnell genug?" sondern „Brauche ich wirklich eine MPLS-Leitung für 1.000 €/Monat, um auf den Dateiserver in der Filiale zuzugreifen?"

Fazit

MPLS war die richtige Technologie für die richtige Zeit. Aber 2026, mit symmetrischen Gigabit-Internetleitungen für unter 100 €/Monat und WireGuard-Verschlüsselung, die jedes Paket in Echtzeit schützt, gibt es für die meisten Mittelständler keinen Grund mehr, 300–4.000 € pro Standort pro Monat an einen Carrier zu zahlen.

NetBird verbindet Standorte direkt über verschlüsselte WireGuard-Tunnel – als Mesh, nicht als Hub-and-Spoke. Neue Standorte sind in Minuten angebunden, Cloud-VPCs genauso einfach wie Büros, und die gesamte Zugriffskontrolle ist identity-basiert statt IP-basiert. Mit Managed NetBird Hosting wird der Betrieb zum Managed Service – ohne eigene VPN-Infrastruktur, ohne Carrier-Verträge, zum planbaren Festpreis.

Leistungsumfang und Bereitstellung mit WZ-IT abstimmen. Bereitstellung und Vertragsbedingungen werden mit WZ-IT im Angebot vereinbart. Es gibt kein Self-Service-Portal und kein automatisches Testabonnement.

Lesetipp: Fortinet VPN Alternative 2026 · OpenVPN Alternative 2026 · Firmennetzwerk für Remote-Mitarbeiter

Quellen

• Savecall: MPLS Kosten – Preis- & Verfügbarkeitscheck
• Zscaler: SD-WAN vs MPLS – Cost, Performance & Security
• Lightyear: MPLS vs Site-to-Site VPN – Network Solutions Comparison
• Cloudflare: SD-WAN vs. MPLS
• NordLayer: VPN vs MPLS – Which One to Choose?
• NetBird Dokumentation: Site-to-Site Connectivity
• NetBird Dokumentation: Network Routes
• NetBird Dokumentation: Site-to-Site Office Networks
• NetBird Knowledge Hub: Network Routes and Exit Nodes
• NetBird GitHub Repository
• WireGuard Protokoll-Spezifikation
• birdhost.de – Managed NetBird Hosting