Cloudflare Tunnel ist die einfachste Option: keine eigene Infrastruktur, kostenloser Plan und ein globales Edge-Netzwerk. Dein Traffic läuft jedoch über die Server von Cloudflare, die dort TLS terminieren. Tailscale eignet sich am besten für Mesh-Zugriffe zwischen Geräten ohne öffentliche IP-Adresse. Pangolin ist die selbst gehostete Option für Teams, die Reverse Proxy und VPN in einem Stack vollständig kontrollieren und einen VPS-Hub betreiben möchten. Entscheide nach deinen Anforderungen an die Datenhoheit und dem vertretbaren Verwaltungsaufwand.
Schneller Vergleich
| Kriterium | Pangolin | Cloudflare Tunnels | Tailscale |
|---|---|---|---|
| Hosting-Modell | Selbst gehosteter VPS-Hub | Vollständig verwaltet (Cloudflare Edge) | Verwaltete Control Plane; optionales Self-Hosting mit Headscale |
| Datenschutz | Traffic bleibt auf deiner Infrastruktur | Cloudflare terminiert TLS und sieht den Traffic im Klartext | Verschlüsselte Peer-to-Peer-Verbindungen; DERP-Relays für NAT-Traversal |
| Upload-Limits | Keine (VPS-Bandbreite) | 100 MB pro Anfrage im kostenlosen Plan | Keine |
| Kosten | VPS-Kosten (ab ca. 8,75 € pro Monat) | Kostenloser Plan; erweiterte Funktionen kostenpflichtig | Kostenloser Plan; 6 $ pro Nutzer und Monat für Teams |
| VPS erforderlich | Ja, ein Hub mit öffentlicher IP-Adresse ist erforderlich | Nein | Nein (mit verwalteter Control Plane) |
| Open Source | Ja, Community Edition unter AGPL-3.0 | Nur der cloudflared-Client | Client ist Open Source; Control Plane geschlossen (Headscale als OSS-Alternative) |
| Am besten geeignet für | Volle Datenhoheit, HTTPS-Webanwendungen, selbst gehostetes ZTNA | Einfachste Einrichtung, kein VPS, öffentliche Webanwendungen | Mesh-Zugriff zwischen Geräten, keine öffentliche URL erforderlich |
Pangolin: volle Kontrolle durch Self-Hosting
Pangolin ist eine identitätsbasierte Open-Source-Plattform für Remote-Zugriffe, die auf WireGuard basiert und von Fossorial entwickelt wird, einem YC-Unternehmen des Jahrgangs 2025. Sie besteht aus vier Containern auf einem öffentlichen VPS: Pangolin als Control Plane, Gerbil als WireGuard-Manager, Traefik als Reverse Proxy und Newt als schlanker Client in jedem privaten Netzwerk. Der offizielle Installer konfiguriert alle vier Komponenten in einem interaktiven Durchlauf.
Pangolin unterscheidet sich durch die Kombination zweier Funktionen: Ein getunnelter Reverse Proxy stellt Webanwendungen per HTTPS bereit, ohne Ports zu öffnen. Zero-Trust Network Access ermöglicht den Zugriff auf Datenbanken, SSH-Server und RDP-Hosts über authentifizierte WireGuard-Tunnel. Ein gemeinsames Dashboard bündelt Identitäten, RBAC und Audit-Protokolle.
Die Stärken: Die Community Edition unter AGPL-3.0 ist kostenlos, sämtlicher Traffic bleibt auf deiner Infrastruktur und kein Drittanbieter terminiert TLS. Es gibt keine Upload-Limits und die vollständige Traefik-Konfiguration steht für erweitertes Routing zur Verfügung. Dafür verwaltest du den VPS-Hub selbst. Fällt er aus, sind auch die Tunnel nicht erreichbar. Hochverfügbarkeit erfordert eine zusätzliche Architektur.
Cloudflare Tunnels: einfache Einrichtung mit Einschränkungen
Mit Cloudflare Tunnel (cloudflared) stellst du einen lokal laufenden Dienst innerhalb weniger Minuten im Internet bereit: Installiere den cloudflared-Client, authentifiziere dich mit deinem Cloudflare-Konto und verknüpfe ihn mit einem lokalen Port. Du brauchst weder einen VPS noch eine eigene DNS- oder Zertifikatskonfiguration, da Cloudflare Edge diese Aufgaben übernimmt.
Die Einschränkungen ergeben sich aus dem verwalteten Modell. Cloudflare terminiert TLS am eigenen Edge-Netzwerk und kann deinen Anwendungs-Traffic deshalb im Klartext sehen, bevor er den Ursprungsserver erreicht. Für Teams, die der DSGVO, HIPAA oder anderen Vorschriften zur Speicherung auf bestimmter Infrastruktur unterliegen, ist das ein Ausschlusskriterium. Im kostenlosen Plan gilt außerdem ein Upload-Limit von 100 MB pro Anfrage. Große Dateiübertragungen und Video-Streaming scheiden damit aus. Die Nutzungsbedingungen von Cloudflare beschränken zudem die Bereitstellung von Videoinhalten über Tunnel im kostenlosen Plan.
Cloudflare Tunnel passt, wenn für dich keine Vorgaben zum Speicherort der Daten gelten, du keine Infrastruktur verwalten möchtest und innerhalb von fünf Minuten einen Tunnel brauchst. Bei Anforderungen an die Vertraulichkeit des Traffics, größeren Uploads oder der Vermeidung einer Anbieterbindung solltest du eine andere Option wählen.
Tailscale: Mesh-VPN für einen anderen Einsatzbereich
Tailscale baut über eine eigene verwaltete Control Plane ein privates WireGuard-Mesh zwischen deinen Geräten auf. Jedes registrierte Gerät erhält eine feste IP-Adresse aus dem Bereich 100.x.x.x, über die es andere registrierte Geräte direkt erreicht. Das funktioniert durch NAT und Firewalls hindurch, ohne öffentliche IP-Adresse an einem der Endpunkte. Wenn keine direkte Verbindung möglich ist, übernimmt Tailscale die NAT-Traversal über seine DERP-Relay-Server.
Tailscale eignet sich vor allem für die Zugriffskontrolle zwischen Geräten, die deinem Team bereits gehören: vom Laptop zum Heimserver, vom Entwicklerrechner zur Staging-Datenbank oder vom Büronetzwerk zur Cloud-VPC. Der kostenlose Plan deckt die meisten Anwendungsfälle kleiner Teams ab. Neben der Installation des Clients auf jedem Gerät musst du keine Infrastruktur verwalten. Die ACLs bieten viele Optionen und sind gut dokumentiert.
Für die Bereitstellung einer Webanwendung unter einer öffentlichen HTTPS-URL für den Browser ist Tailscale weniger geeignet. Tailscale Funnel unterstützt diesen Einsatzbereich, ist aber eingeschränkt: Es funktioniert nur mit HTTPS und erlaubt im kostenlosen Plan keine eigenen Domains. Braucht dein Team einen öffentlichen HTTPS-Endpunkt mit eigener Domain, SSO und Zugriffsregeln pro Ressource, schließt Pangolin diese Lücke.
Headscale ist die selbst gehostete Open-Source-Control-Plane für Tailscale. Sie ist mit den regulären Tailscale-Clients kompatibel und ermöglicht ein vollständiges Mesh ohne Abhängigkeit von Tailscale Inc. Für Teams mit strengen Vorgaben gegen Anbieterbindung ist Headscale der Self-Hosting-Weg zum Mesh-VPN-Modell.
Welche Option wann passt
| Deine Situation | Beste Wahl |
|---|---|
| Webanwendung bereitstellen, DSGVO oder Datenresidenz erforderlich | Pangolin |
| Volle Kontrolle über TLS-Terminierung und Routing erforderlich | Pangolin |
| Schneller Tunnel für ein persönliches Projekt, ohne VPS und eigene Infrastruktur | Cloudflare Tunnel (kostenloser Plan) |
| Entwicklungsvorschau ohne Einrichtungsaufwand öffentlich teilen | Cloudflare Tunnel |
| Teamgeräte miteinander verbinden, keine öffentliche HTTPS-URL erforderlich | Tailscale oder Headscale |
| Control Plane von Tailscale selbst hosten, ohne Anbieterabhängigkeit | Headscale |
| Webanwendungen bereitstellen UND VPN-Zugriff für Geräte in einem Stack ermöglichen | Pangolin (+ native Clients) |
| Keine DevOps-Kapazitäten, verwalteter Dienst bevorzugt | Cloudflare Tunnel oder Tailscale |
Pangolin bei Contabo betreiben: der Self-Hosting-Weg
Der Pangolin-Hub braucht eine öffentliche IP-Adresse, Docker und genügend Reserven, um neben weiteren gehosteten Diensten vier Container auszuführen. Der Contabo Cloud VPS Plus 4 mit 4 vCPU-Kernen, 8 GB RAM und 150 GB NVMe für 13,50 € pro Monat ist ein sinnvoller Ausgangspunkt. NVMe spielt dabei eine Rolle: Traefik schreibt den Zertifikatsstatus auf den Datenträger und die SQLite-Datenbank von Pangolin reagiert bei gleichzeitiger Tunnellast empfindlich auf I/O-Latenzen. Rotierende Festplatten würden die Latenz erhöhen, während sie mit NVMe kaum ins Gewicht fällt.
Wenn dein Team mehr als einige wenige gleichzeitige Tunnel-Sitzungen betreibt oder weitere Dienste wie Gitea, Nextcloud oder einen Monitoring-Stack auf demselben VPS hostet, bietet der Cloud VPS Plus 6 mit 12 GB RAM für 19,00 € pro Monat zusätzliche Reserven. Beide Pläne bieten viel RAM pro Euro. Zusammen mit NVMe zu Preisen, die deutlich unter vergleichbaren Spezifikationen bei Hetzner oder DigitalOcean liegen, macht das die Plus-Reihe zur praktischen Standardwahl für Pangolin-Hubs, bei denen die Kosten zählen.
EU-Rechenzentrumsstandorte erfüllen die DSGVO-Anforderungen an den Speicherort der Daten für Teams, die ihren Traffic über Pangolin statt über Cloudflare leiten.
FAQ: Pangolin vs. Cloudflare Tunnels vs. Tailscale
Kann Pangolin Tailscale ersetzen?
Für browserbasierten HTTPS-Zugriff auf Webanwendungen ist Pangolin die stärkere Option. Für reine Mesh-Zugriffe zwischen Geräten ohne öffentliche IP-Adresse passt Tailscale architektonisch weiterhin besser. Für eine selbst gehostete Control Plane kannst du Headscale verwenden. Wenn die nativen Pangolin-Clients für Android, Windows und die CLI im Laufe des Jahres 2026 ausgereifter werden, verringert sich der Abstand beim Zugriff auf private Ressourcen. Bei latenzempfindlichen Peer-to-Peer-Verbindungen zwischen Geräten behält das Mesh-Modell von Tailscale jedoch einen Vorteil.
Funktioniert Pangolin ohne VPS?
Nein. Die Architektur von Pangolin erfordert einen VPS mit öffentlicher IP-Adresse, der als Hub dient. Auf dem Hub laufen die Control Plane (Pangolin), der WireGuard-Schnittstellenmanager (Gerbil) und der Reverse Proxy (Traefik). Ohne öffentliche IP-Adresse gibt es keinen Einstiegspunkt für Browser-Traffic oder WireGuard-Tunnelverbindungen. Darin liegt der grundlegende architektonische Unterschied zu Cloudflare Tunnel und Tailscale, die auf Nutzerseite ohne Infrastruktur mit öffentlicher IP-Adresse funktionieren.
Was ist Headscale und wie unterscheidet es sich von Pangolin?
Headscale ist eine selbst gehostete Open-Source-Implementierung der Tailscale-Control-Plane. Sie ist mit den regulären Tailscale-Client-Apps kompatibel und erstellt dasselbe WireGuard-Mesh-Netzwerk zwischen registrierten Geräten. Den Control Server betreibst du jedoch auf deiner eigenen Infrastruktur statt bei Tailscale Inc. Headscale passt zu Teams, die das Mesh-VPN-Modell von Tailscale mit Zugriffen zwischen Geräten und ohne erforderliche öffentliche IP-Adresse vollständig selbst hosten möchten. Pangolin passt, wenn du per Browser erreichbare HTTPS-Ressourcen mit Reverse Proxy und Identitätsebene brauchst. Die beiden Tools ergänzen sich.
Hinweis: Die in diesem Artikel genannten Produktspezifikationen, Funktionen und Preise können sich ändern und je nach Region, Abrechnungszeitraum und laufenden Aktionen abweichen. Aktuelle Angaben, Preise und lokale Wechselkurse findest du auf der offiziellen Website des jeweiligen Anbieters oder der jeweiligen Marke.
