Tailscale einrichten: eigenes VPN in wenigen Minuten

Ein VPN ohne Portfreigaben, ohne Konfigurations-Chaos, über alle Plattformen? Genau das ist Tailscale. Das Mesh-VPN verbindet deine Geräte direkt und verschlüsselt miteinander. In dieser Anleitung zeigen wir dir, wie du Tailscale einrichtest – installieren, anmelden, Geräte verbinden und MagicDNS nutzen. Weil Tailscale das WireGuard-Protokoll mit einer automatischen Schlüsselverwaltung kombiniert, ist es in wenigen Minuten startklar – ohne Firewall-Frickelei. Zusätzlich zeigen wir dir, worin sich das Mesh-VPN von klassischen Lösungen unterscheidet, wie du Zugriffe über ACLs steuerst und was du tust, wenn sich Geräte einmal nicht finden.

Was ist Tailscale?

Tailscale baut auf dem modernen WireGuard-Protokoll auf, nimmt dir aber die gesamte Schlüssel- und Netzwerkverwaltung ab. Deine Geräte bilden ein privates „Tailnet“, in dem sie sich direkt erreichen – egal, in welchem Netz sie gerade stecken. Portfreigaben am Router sind dafür nicht nötig.

Schritt 1: Tailscale installieren

Unter Linux genügt das offizielle Installationsskript:

curl -fsSL https://tailscale.com/install.sh | sh

curl -fsSL https://tailscale.com/install.sh | sh

Für Windows, macOS, iOS und Android gibt es fertige Apps im jeweiligen Store.

Schritt 2: Anmelden und Gerät verbinden

Starte Tailscale und melde dich an – die Authentifizierung läuft über einen bestehenden Account (Google, Microsoft, GitHub u. a.):

sudo tailscale up

sudo tailscale up

Nach dem Login im Browser taucht das Gerät in deiner Admin-Konsole auf und erhält eine feste Tailnet-IP (100.x.y.z). Wiederhole das auf jedem Gerät, das du verbinden willst.

Schritt 3: Geräte erreichen mit MagicDNS

Aktiviere in der Admin-Konsole MagicDNS. Danach erreichst du deine Geräte bequem über ihren Namen statt über die IP:

ssh benutzer@mein-server

ssh benutzer@mein-server

Den Status deines Tailnets prüfst du jederzeit mit:

tailscale status

tailscale status

Typische Anwendungsfälle

• Fernzugriff auf den Heimserver von unterwegs – ohne offene Ports.
• Zugriff auf ein NAS, etwa auf eine Synology ohne Portfreigabe.
• Sichere Verbindung zwischen mehreren Standorten.

Tailscale vs. klassisches VPN

Ein herkömmliches VPN leitet den Verkehr über einen zentralen Server, der offene Ports und laufende Wartung braucht. Tailscale geht einen anderen Weg: Es baut ein Mesh-VPN, in dem sich die Geräte möglichst direkt (Peer-to-Peer) verbinden. Die folgende Übersicht zeigt die wichtigsten Unterschiede:

Für den reinen Fernzugriff auf einzelne Geräte ist Tailscale meist die deutlich einfachere Wahl. Wer sein gesamtes Internet über einen festen Standort leiten möchte, kombiniert es mit einem Exit Node. Und weil die Software auf jedem gängigen Betriebssystem läuft, musst du dich nicht auf eine Plattform festlegen: Laptop, Smartphone und Heimserver landen im selben privaten Tailnet und erreichen sich unabhängig davon, ob sie zu Hause, im Büro oder im Mobilfunknetz sind.

Zugriffe mit ACLs steuern

Standardmäßig darf in einem frischen Tailnet jedes Gerät jedes andere erreichen. Für mehr Sicherheit definierst du in der Admin-Konsole Access Control Lists (ACLs). Damit legst du präzise fest, wer mit wem sprechen darf – ideal, um etwa nur einen bestimmten Rechner an deinen Heimserver zu lassen. Diese Praktiken haben sich bewährt:

• Geräte per Tag gruppieren: Vergib Tags wie tag:server oder tag:laptop und schreibe Regeln auf Tag-Ebene statt pro Gerät.
• Least Privilege: Erlaube nur die Verbindungen, die wirklich gebraucht werden, und blockiere den Rest.
• Key Expiry aktiv lassen: Ablaufende Schlüssel zwingen Geräte zur erneuten Anmeldung und reduzieren das Risiko verlorener Geräte.
• MFA am Login-Anbieter: Da die Anmeldung über deinen Identity-Provider läuft, schützt eine dortige Zwei-Faktor-Authentifizierung auch dein Tailnet.

Troubleshooting: Wenn Geräte sich nicht finden

Meist verbindet sich Tailscale problemlos. Klappt es doch einmal nicht, hilft ein Blick auf die üblichen Ursachen:

• Gerät offline in der Konsole: Prüfe, ob der Dienst läuft, und melde dich nach abgelaufenem Schlüssel mit sudo tailscale up neu an.
• Name statt IP funktioniert nicht: Kontrolliere, ob MagicDNS aktiviert ist und keine lokale DNS-Einstellung dazwischenfunkt.
• Nur langsame Verbindung: Findet Tailscale keinen direkten Pfad, läuft der Verkehr über ein DERP-Relay. Mit tailscale netcheck siehst du den Status.
• Kein Zugriff trotz Verbindung: Sehr wahrscheinlich blockiert eine ACL-Regel den Zugriff – prüfe deine Access Control Lists.

Für den Fernzugriff auf ein NAS zeigt dir Tailscale mit Synology ein konkretes Beispiel. Bleibt ein Problem hartnäckig, hilft oft ein einfacher Neustart des Tailscale-Dienstes oder des Geräts – damit räumst du hängengebliebene Verbindungen aus dem Weg, bevor du tiefer in die Konfiguration einsteigst.

Häufige Fragen

Ist Tailscale kostenlos?

Für private Nutzung gibt es einen kostenlosen Tarif, der für den typischen Heimgebrauch mit mehreren Geräten und Nutzern ausreicht. Erst größere Teams oder erweiterte Funktionen erfordern einen kostenpflichtigen Plan. Für den Einstieg entstehen dir also keine Kosten, und du kannst in Ruhe ausprobieren, ob dir das Mesh-Konzept zusagt, bevor du über einen bezahlten Tarif nachdenkst.

Sieht Tailscale meinen Datenverkehr?

Nein. Der Verkehr ist Ende-zu-Ende mit WireGuard verschlüsselt und läuft direkt zwischen deinen Geräten. Die Koordinationsserver vermitteln nur Verbindungsinfos und Schlüssel, können die Inhalte deiner Verbindungen aber nicht mitlesen. Wer dem Anbieter grundsätzlich nichts anvertrauen möchte, kann mit dem Open-Source-Server Headscale sogar die komplette Steuerung selbst hosten und behält so die volle Kontrolle über sein Tailnet.

Brauche ich einen eigenen Server?

Nein. Anders als bei einem selbst gehosteten VPN übernimmt Tailscale die Koordination für dich, sodass du dich nicht um dynamisches DNS, Portweiterleitungen oder Zertifikate kümmern musst. Du installierst nur den Client auf deinen Geräten und meldest dich an – den Rest erledigt Tailscale im Hintergrund.

Fazit

Tailscale ist der schnellste Weg zu einem eigenen, sicheren VPN: installieren, anmelden, fertig – die Geräte finden sich von selbst. Mit MagicDNS wird der Zugriff so einfach wie im lokalen Netz. Wer sein gesamtes Internet über einen Standort leiten will, richtet als Nächstes einen Tailscale Exit Node ein.