Bestes VPN für Fernzugriff aufs Heimnetz: WireGuard, Headscale, ZeroTier & Co. im Vergleich

Warum eine kommerzielle VPN-App nicht reicht

Wer von unterwegs auf sein Heimnetz zugreifen will — auf die NAS, den self-hosted Nextcloud-Server oder das Smart-Home-System — braucht keine kommerzielle VPN-App, die nur den Internetverkehr verschleiert. Was man braucht, ist ein Tunnel in das eigene Netzwerk. Drei Architekturen dominieren dieses Feld: klassisches Point-to-Site mit WireGuard, Mesh-VPNs ohne offene Ports (Headscale, ZeroTier) und Zero-Trust Network Access (Twingate). Wir vergleichen die besten Optionen für Heimanwender und Homelab-Betreiber.

Hinweis: Wir verlinken zu den Projekten mit Affiliate-Tracking, wo verfügbar. Die Empfehlungen basieren ausschließlich auf technischen Merkmalen und den zitierten Quellen.

Die Architekturen im Überblick

Point-to-Site mit WireGuard

Die klassische Variante: Ein WireGuard-VPN-Server läuft im Heimnetz, alle Clients tunneln dorthin. Es muss nur ein einziger UDP-Port (standardmäßig 51820) vom Router weitergeleitet werden1. Der Zugriff auf das gesamte Intranet wird an einer zentralen Stelle kontrolliert — dem VPN-Server. Neue Clients erfordern lediglich ein Update auf der Server-Seite3. WireGuard gilt als deutlich schneller und sicherer als ältere Protokolle wie OpenVPN oder IPSec2.

Nachteil: Man braucht eine statische IP oder Dynamic DNS, und ein offener UDP-Port ist erforderlich1.

Mesh-VPNs ohne offene Ports

Lösungen wie Headscale (selbstgehostete Tailscale-Kontrollebene) und ZeroTier umgehen das Port-Forwarding-Problem durch automatische NAT-Traversierung. Bei Headscale erhält man Tailscales Zero-Config-NAT-Traversal (DERP) und P2P-Routing, während die Device-Discovery-Metadaten auf der eigenen Hardware bleiben2. Ein Nutzer berichtet, er habe nach dem Wechsel zu Headscale keine offenen Inbound-Ports mehr im Heimnetz und könne trotzdem alle Server aus seinem eigenen Tailnet erreichen6.

ZeroTier geht einen Schritt weiter und operiert auf Layer 2 — ARP, Broadcast und Multicast funktionieren so, als säßen alle Geräte am selben Switch4. Das ist relevant, wenn man L2-Features wie Bonjour oder Wake-on-LAN benötigt.

Zero-Trust Network Access

Twingate schließlich verfolgt den Zero-Trust-Ansatz: Keine offenen Ports, granulare Zugriffsregeln pro Ressource, eine kostenlose Stufe für kleine Setups. Die verwaltete Option für alle, die maximale Einfachheit ohne Infrastruktur-Wartung wollen.

Die Empfehlungen

1. WireGuard — das Fundament

WireGuard ist das schnellste VPN-Protokoll mit einer minimalen Codebasis von rund 4.000 Zeilen, direkt in den Linux-Kernel integriert1. Wer volle Kontrolle über Topologie und Routing will, kommt an WireGuard nicht vorbei. Es ist die Basis, auf der alle anderen Picks aufsetzen oder gegen die sie verglichen werden.

Wann WireGuard? Wenn Sie ein Point-to-Site-Setup mit einem VPN-Server im Heimnetz planen und bereit sind, einen UDP-Port zu öffnen. WireGuard eignet sich auch als erste Verteidigungslinie, um den Zugriff auf interne Dienste zu beschränken3.

2. PiVPN — der einfachste Einstieg

PiVPN ist ein Installationsskript für Raspberry Pi oder Debian-Server, das WireGuard (oder OpenVPN) mit QR-Code-Clients in Minuten einrichtet5. Die QR-Code-Funktionalität macht es besonders einfach, mobile Clients schnell hinzuzufügen — man scannt den Code mit dem offiziellen WireGuard-Client und ist verbunden5. PiVPN ist sehr leichtgewichtig: nur eine Reihe von Skripten, vollständig Open Source, man kann genau sehen, was es tut5.

Wann PiVPN? Wenn Sie WireGuard nutzen wollen, aber keine Lust auf manuelle Konfiguration haben. Perfekt für Einsteiger ohne Docker-Kenntnisse.

3. Headscale — selbstgehostete Mesh-Alternative zu Tailscale

Headscale ist die Open-Source-Implementierung der Tailscale-Kontrollebene zum Selbsthosten2. Man erhält Tailscales NAT-Traversierung (DERP) und P2P-Routing, behält aber die Kontrolle über die Metadaten auf der eigenen Hardware2. Ein Nutzer, der von WireGuard zu Headscale gewechselt ist, berichtet, er habe den Setup-Prozess bei Headscale besser nachvollziehen können als bei seinem ersten WireGuard-Setup6.

Wann Headscale? Wenn Sie Mesh-VPNs ohne offene Ports wollen, aber keine Metadaten an einen Drittanbieter abgeben möchten. Die mittlere Einstiegshürde liegt zwischen WireGuard (hoch) und Twingate (niedrig).

4. ZeroTier — Layer-2-Mesh-Overlay

ZeroTier ist die Alternative für alle, die L2-Features brauchen. Als Layer-2-Overlay unterstützt es ARP, Broadcast und Multicast — als wären alle Geräte am selben Switch4. Das ist relevant für Bonjour, Wake-on-LAN und andere Broadcast-basierte Protokolle. Der ZeroTier-Controller ist offiziell Open Source und selbst hostbar4.

Wann ZeroTier? Wenn Sie Layer-2-Features benötigen oder eine breite Plattform- und IoT-Unterstützung suchen. Für reinen persönlichen Fernzugriff aufs Homelab wird Tailscale (bzw. Headscale) meist vorgezogen4.

5. Twingate — Zero-Trust Network Access

Twingate bietet Zero-Trust-Zugang ohne offene Ports mit granularen Zugriffsregeln pro Ressource. Die kostenlose Stufe reicht für kleine Setups. Wer verwaltete Einfachheit ohne Infrastruktur-Wartung will, findet hier die niedrigste Einstiegshürde im Vergleich.

Wann Twingate? Wenn Sie die Verantwortung für die Kontrollebene abgeben wollen und maximale Einfachheit bevorzugen. Der Kompromiss: weniger Kontrolle als bei den selbstgehosteten Alternativen.

Vergleich: Welche Architektur passt zu Ihnen?

WireGuard bietet maximale Kontrolle, erfordert aber einen offenen UDP-Port. Headscale und ZeroTier eliminieren das Port-Forwarding, benötigen aber einen Koordinationsserver. Twingate ist die verwaltete Option mit der geringsten Einstiegshürde, aber auch der geringsten Kontrolle. PiVPN ist der einfachste Weg, WireGuard zu nutzen — ein Wrapper für den einfachen Start.

Alle fünf Lösungen sind kostenlos oder verfügen über großzügige Free-Tiers. Die Wahl hängt davon ab, wie viel Kontrolle Sie wollen und wie viel Infrastruktur Sie selbst betreiben möchten.

Willst du eine Anschlussfrage, die der Artikel nicht beantwortet hat? Frag die Engine — sie kennt den Kontext des Artikels.