Eigentlich hatte ich schon eine funktionierende Lösung. Meine FRITZ!Box kann WireGuard, mein Heimserver läuft, und von unterwegs komme ich an meine Dienste. Fertig. Könnte man meinen.

Aber wer ein Homelab betreibt, weiß: Ein funktionierendes System ist manchmal nur der Ausgangspunkt für die nächste dumme Idee. 😅

Ich wollte nämlich nicht mehr nur selbst auf meine Rechner zugreifen. Ein Kumpel sollte ebenfalls einige ausgewählte Dienste nutzen können – etwa meine Musik, Dateien oder Medienbibliothek. Und zwar möglichst ohne, dass ich ihm dafür gleich mein ganzes Heimnetz öffne.

Ein VPN für mich allein ist das eine. Einem Kumpel nur ein paar Dienste freizugeben, ohne ihm gleich den Generalschlüssel zu geben, ist eine andere Nummer.

Also bin ich bei NetBird gelandet. Ein paar Klicks, ein bisschen Linux und fertig? Natürlich nicht. Am Ende hatten mein ThinkPad, mein Hauptrechner, mein kleiner HP-Server und mein Smartphone ein eigenes virtuelles Netzwerk, ich hatte Gruppen und Zugriffsregeln angelegt und nebenbei noch ein besonders albernes Moonlight-Experiment veranstaltet.

Zeit, das Ganze aufzuschreiben – und NetBird gleich mit Tailscale und klassischem WireGuard zu vergleichen.

Erst mal die Frage: Warum überhaupt noch ein VPN?

Mein Heimnetz ist längst mehr als eine FRITZ!Box und ein PC. Auf einem HP EliteDesk Mini laufen unter Kubuntu unter anderem Homarr, Nextcloud, Immich, Jellyfin und Navidrome. Mein Hauptrechner übernimmt die größeren Aufgaben. Das ThinkPad ist wieder das, was ein Laptop eigentlich sein soll: ein mobiler Rechner.

Für den Fernzugriff nutze ich schon länger WireGuard über meine FRITZ!Box. Das funktioniert für mich und bleibt auch bestehen.

Komplizierter wird es, wenn mehrere Geräte an verschiedenen Orten miteinander sprechen und verschiedene Personen unterschiedliche Dinge dürfen sollen. Mein Kumpel soll schließlich Musik hören können, ohne deswegen automatisch Zugriff auf alle meine Rechner und Verwaltungsoberflächen zu bekommen.

Genau hier werden Lösungen wie NetBird und Tailscale interessant. Sie ersetzen nicht die Verschlüsselung von WireGuard, sondern bauen eine Verwaltungsschicht darum herum.

WireGuard ist der Tunnel. NetBird und Tailscale organisieren den Verkehr.

Ein Punkt wird beim Vergleich gerne durcheinandergeworfen: WireGuard, Tailscale und NetBird sind keine drei völlig unterschiedlichen VPN-Technologien.

WireGuard ist das eigentliche VPN-Protokoll. Es verschlüsselt die Verbindung zwischen Geräten und ist bewusst schlank gehalten. Schlüssel, Gegenstellen, IP-Adressen und Routen müssen aber irgendwo konfiguriert werden. Eine FRITZ!Box nimmt einem einen guten Teil dieser Arbeit ab.

Tailscale und NetBird nutzen ebenfalls WireGuard für die verschlüsselten Verbindungen. Dazu liefern sie Benutzeranmeldung, Geräteverwaltung, automatische Verbindungsfindung und Regeln dafür, wer mit wem reden darf.

WireGuard baut den Tunnel. NetBird und Tailscale kümmern sich darum, dass ich nicht jeden Zugang und jede Verbindung von Hand verwalten muss.

Normalerweise versuchen beide, Geräte direkt miteinander zu verbinden. Klappt das wegen Routern oder Firewalls nicht, können verschlüsselte Daten über Relay-Server laufen. Das ist gerade bei schwierigen Internetanschlüssen ziemlich praktisch. Es bedeutet allerdings nicht, dass ein Relay automatisch genauso schnell ist wie eine direkte Verbindung.

Eine kleine Korrektur zu einem verbreiteten Missverständnis: DS-Lite macht WireGuard über die FRITZ!Box nicht grundsätzlich unmöglich. Aktuelle FRITZ!Boxen können VPN-Verbindungen auch über IPv6 aufbauen. Die Erreichbarkeit hängt dann unter anderem davon ab, ob die Gegenstelle IPv6 nutzen kann. Bei NetBird und Tailscale muss ich mich um solche Details im Alltag meist weniger kümmern.

Mein NetBird-Aufbau: vom Laptop bis zum Mini-Server

Ich habe zunächst NetBird auf dem ThinkPad und dem HP-Server eingerichtet, später kam der Hauptrechner dazu. Das Smartphone durfte natürlich auch nicht fehlen.

Die Rechner haben intern Namen, weil „PC1“, „PC2“ und „Server“ irgendwie langweilig sind:

  • Warehouse17 ist mein HP-Server, der die meisten Dienste bereitstellt.
  • Warehouse13 ist mein Hauptrechner, unter anderem für Gaming und aufwendigere Aufgaben.
  • Hybruntalia ist mein ThinkPad.

Jedes Gerät bekommt in NetBird eine eigene virtuelle IP-Adresse. Das Praktische daran: Ich muss nicht wissen, welche öffentliche IP-Adresse das jeweilige WLAN gerade hat. Ich kann einfach die NetBird-Adresse des Zielgeräts verwenden.

Die Installation selbst war nicht das eigentliche Problem. Interessant wurde es bei den Berechtigungen.

Ich habe eine Gruppe für meine eigenen Geräte angelegt, eine für den Server und eine separate Gruppe für Freunde. Dann kamen die Access-Control-Policies: Meine Geräte dürfen an den Server, meine eigenen Geräte sollen auch untereinander kommunizieren können, und der Freundeskreis soll nur ausgewählte Dienste erreichen.

NetBird unterscheidet dabei zwischen Source und Destination. Source ist das Gerät, von dem eine Verbindung ausgeht. Destination ist das Ziel. Klingt selbstverständlich – bis man sich in der Oberfläche kurz fragt, ob „Quelle“ nicht vielleicht die Quelle der Daten meint. Ja, da habe ich auch erst mal gestutzt. 😂

Source ist, wo die Verbindung herkommt. Destination ist, wohin sie soll. Manchmal beginnt die Fehlersuche direkt bei der Beschriftung.

Immerhin lassen sich Regeln über Gruppen und Ports ziemlich gezielt vorbereiten. Neue Geräte können über die passende Gruppenzuordnung in ein bestehendes Regelwerk hineinpassen. Für meinen Kumpel habe ich einen eigenen Benutzer vorgesehen und die Freigaben vorbereitet, statt pauschal das komplette Netz für ihn freizuschalten. Ob jede einzelne Freigabe im späteren Alltag funktioniert, muss sich natürlich erst noch zeigen.

Die Standardregel „alle dürfen alles“ habe ich deaktiviert. Sonst kann man sich die Mühe mit den getrennten Gruppen auch gleich sparen.

Und dann kam der obligatorische Bastel-Unfug

Natürlich wollte ich irgendwann mehr als nur Homarr im Browser öffnen. Also habe ich Sunshine und Moonlight ins Spiel gebracht, um die Desktops der Rechner zu streamen.

Zunächst wollte Moonlight meinen Hauptrechner nicht sauber finden. Das lag am Ende nicht an NetBird, sondern daran, dass zwei Sunshine-Installationen nach einem Systemklon dieselbe Gerätekennung hatten. Zwei Rechner, zwei Namen, aber für den Streaming-Client praktisch derselbe Ausweis. Nachdem ich die Kennung auf dem Hauptrechner geändert hatte, war das Problem gelöst.

Ein anderer Verbindungsfehler war noch spektakulärer: Ich hatte eine IP-Adresse schlicht falsch eingetippt. Statt 192.168.178 stand da zwischendurch 192.168.168. Man kann sich die ausgefeiltesten Netzwerkdiagnosen zurechtlegen – gegen einen Zahlendreher hilft manchmal nur richtig hinschauen.

Als alles lief, hatte ich natürlich sofort eine neue Idee: Moonlight auf dem ThinkPad öffnen, darüber Warehouse17 steuern und von dort wiederum per Moonlight auf Warehouse13 zugreifen.

Das Ergebnis war ein Desktop im Desktop, der sich in einem weiteren Desktop spiegelte. Eine Fernsteuerungs-Matrjoschka. Praktisch? Nicht wirklich. Lustig? Absolut.

Es hatte keinen wirklichen praktischen Nutzen. Aber es hat funktioniert. Im Homelab ist das manchmal schon Grund genug, es auszuprobieren.

Immerhin hat der Versuch gezeigt, dass die Streaming-Verbindungen grundsätzlich funktionieren. Mit NetBird allein hat diese Verschachtelung allerdings wenig zu tun – Sunshine und Moonlight laufen auch im normalen Heimnetz.

NetBird gegen Tailscale gegen WireGuard: Wer kann was?

Funktion WireGuard / FRITZ!Box Tailscale NetBird
Einrichtung Schlüssel und Routen; FRITZ!Box hilft App installieren und anmelden App, Anmeldung oder Setup-Key
Verbindungsaufbau Gegenstellen selbst festlegen Direktverbindung, sonst Relay Direktverbindung, sonst Relay
Zugriffsrechte Routen und Firewall-Regeln Grants, ACLs und Tags Gruppen, Policies und Ports
Ganzes Heimnetz Passende VPN-Routen Subnet-Router Routing-Peer
Verwaltung Manuell oder per FRITZ!Box Webkonsole und Policy-Datei Dashboard mit Richtlinien
Self-Hosting Eigene WireGuard-Gegenstelle Headscale als unabhängige Lösung Offiziell unterstützt

Beim Self-Hosting gibt es einen echten Unterschied: NetBird stellt seinen vollständigen Server-Stack offiziell zur Selbstverwaltung bereit. Bei Tailscale ist der reguläre Koordinationsserver ein gehosteter Dienst; mit Headscale existiert allerdings ein unabhängiges Open-Source-Projekt als Alternative. Tailscale erkennt dieses Projekt an, betreibt es aber nicht selbst.

Auch bei den kostenlosen Angeboten lohnt sich ein genauer Blick. Stand November 2026 erlaubt NetBird Cloud im Gratis-Tarif bis zu fünf Benutzer und 100 Maschinen. Tailscales Personal-Tarif erlaubt bis zu sechs Benutzer und unbegrenzt viele normale Benutzergeräte, hat aber gesonderte Grenzen etwa für getaggte Ressourcen. Das kann sich ändern – vor einer Entscheidung sollte man die aktuellen Tarifseiten prüfen.

Was mir an NetBird besonders gefällt, ist die Art, wie ich meine Gruppen und Regeln im Dashboard zusammenstellen und nachvollziehen kann. Das heißt aber nicht, dass Tailscale keine feinen Zugriffsregeln hätte. Im Gegenteil: Dessen Grants und ACLs sind ziemlich mächtig. Wer lieber deklarative Regeln in einer Datei pflegt, wird sich dort möglicherweise sogar wohler fühlen.

Einen seriösen Geschwindigkeitsvergleich kann ich hier nicht liefern. Ich habe diesen Aufbau mit NetBird eingerichtet, aber nicht daneben denselben Parcours mit Tailscale gefahren. Alles andere wäre Kaffeesatzleserei.

Ein Funktionsvergleich ist kein Benchmark. Nur weil ich NetBird benutze, wird Tailscale dadurch nicht automatisch schlechter.

Und was ist mit Datenschutz?

Beide Dienste verwenden Ende-zu-Ende-Verschlüsselung auf Basis von WireGuard. Wenn eine Verbindung über einen Relay-Server läuft, soll dieser die übertragenen Inhalte nicht entschlüsseln können.

Trotzdem bedeutet das nicht, dass ein gehosteter Verwaltungsdienst gar nichts über mein Netzwerk weiß. Benutzerkonten, registrierte Geräte und für die Koordination nötige Metadaten sind eine andere Sache als die Inhalte meiner Datenpakete.

Wer die Verwaltungsinfrastruktur selbst betreiben möchte, findet bei NetBird einen offiziellen Weg dafür. Das kostet dann aber eigene Infrastruktur und Pflege. Ich nutze momentan den gehosteten NetBird-Dienst; einen eigenen NetBird-Server habe ich für dieses Experiment nicht aufgesetzt.

Außerdem wichtig: So ein privates Mesh-VPN ist nicht automatisch ein Anonymisierungsdienst. Es verbindet meine Geräte und Dienste sicher miteinander. Es macht mich nicht magisch unsichtbar im Internet.

Privat vernetzt heißt nicht anonym unterwegs. Das sind zwei völlig unterschiedliche Baustellen.

Der erste Test außerhalb meines WLANs

Auch beim Besuch eines Kumpels durfte NetBird zeigen, was es kann. Mein ThinkPad hing in seinem WLAN, und über die virtuelle NetBird-Adresse konnte ich Homarr und andere Dienste auf Warehouse17 aufrufen. Das hat funktioniert.

Der Zugriff über die gewöhnliche Heimnetz-IP dagegen nicht. Unser Verdacht: Sein Router ist ebenfalls eine FRITZ!Box und beide Heimnetze könnten denselben Standardadressbereich 192.168.178.0/24 verwenden. In so einem Fall können sich lokale und entfernte Routen in die Quere kommen.

Bewiesen ist die Ursache noch nicht. Dafür müsste ich beim nächsten Besuch prüfen, welchen Weg das ThinkPad zu der Adresse tatsächlich wählt. Bis dahin nutze ich für Geräte mit NetBird-Client einfach deren eindeutige NetBird-Adressen. Die funktionieren bereits.

Der Fernzugriff funktioniert. Die Sache mit den zwei FRITZ!Box-Netzen schauen wir uns an, wenn ich wieder Lust auf das nächste Kaninchenloch habe.

Mein Fazit: Ich brauche nicht den einen Sieger

WireGuard über die FRITZ!Box ist für einen überschaubaren Fernzugriff eine gute Lösung. Ich hatte es bereits eingerichtet, es funktioniert und ich werde es nicht nur deshalb abschalten, weil es jetzt etwas Neues zum Spielen gibt.

Tailscale dürfte für viele Menschen der unkomplizierteste Weg zum eigenen privaten Gerätenetz sein. Es bietet ebenfalls Zugriffsregeln, Subnet-Routing und verschlüsselte Direkt- oder Relay-Verbindungen. Und der kostenlose Personal-Tarif ist für ein kleines Homelab durchaus interessant.

NetBird passt momentan gut zu dem, was ich vorhabe. Ich mag die sichtbare Trennung zwischen Geräten, Gruppen und Berechtigungen. Vor allem, wenn später andere Personen nur einen Teil meiner Dienste nutzen sollen, macht das für mich Sinn. Die Möglichkeit, den Dienst irgendwann selbst zu hosten, ist ein netter Bonus – auch wenn ich sie derzeit gar nicht nutze.

Perfekt ist NetBird deshalb nicht. Die Bedienoberfläche hatte ihre Eigenheiten, und ein paar Dinge hätten für meinen Geschmack verständlicher gelöst sein können. Aber technisch funktioniert mein Aufbau inzwischen erstaunlich gut.

Und wenn ein Netzwerkexperiment damit endet, dass ich auf einem Laptop einen Server öffne, auf dem ich einen weiteren PC öffne, um mir am Ende denselben Desktop in immer kleineren Fenstern anzusehen … dann habe ich vermutlich wieder genau das gemacht, was ich am Homelab mag.

Etwas gelernt. Ein paar Probleme selbst verursacht. Und trotzdem Spaß gehabt. 😅

Quellen und weiterführende Informationen

Stand der verglichenen Funktionen und Tarife: 1. November 2026.

Tags: #Gedankenbrei #Homelab #NetBird #Tailscale #Tech & Basteln #WireGuard