- Für den Fernzugriff aufs Homelab haben sich vier Wege etabliert: ein selbst betriebenes VPN, ein Mesh-VPN mit Cloud-Vermittlung, Portfreigabe plus Reverse Proxy und Tunnel-/Relay-Dienste ohne offenen Port.
- Am sichersten sind die VPN-Wege: Deine Dienste bleiben komplett unsichtbar, angreifbar ist nur der VPN-Zugang.
- Hast du keine eigene öffentliche IPv4-Adresse (DS-Lite/CGNAT, verbreitet bei Glasfaser- und Kabelanschlüssen), fällt die klassische Portfreigabe weg – dann bleiben Mesh-VPN oder Tunnel-Dienst.
- Für die meisten Einsteiger ist ein Mesh-VPN wie Tailscale der schnellste Start; wer nichts aus der Hand geben will, richtet WireGuard selbst ein.
Das Homelab läuft zu Hause, du sitzt im Zug, im Büro oder am Hotel-WLAN – und willst trotzdem an deine Dateien, dein Dashboard oder die Fotosammlung. Für diesen Fernzugriff aufs Homelab gibt es vier Standardwege. Sie unterscheiden sich stark darin, wie viel du einrichten musst, wie schnell die Verbindung ist und wie groß die Angriffsfläche für Fremde wird. Dieser Vergleich ordnet sie ein.
Weg 1: Das selbst betriebene VPN
Ein VPN (Virtual Private Network, ein verschlüsselter Tunnel zwischen zwei Geräten) verbindet Handy oder Notebook so mit dem Heimnetz, als säßest du zu Hause auf dem Sofa. Die eigentlichen Dienste – NAS (Network Attached Storage, ein Speicher, der am Netzwerk hängt), Dashboard, Kameras – bleiben dabei komplett unsichtbar aus dem Internet. Erreichbar ist nur der VPN-Zugangspunkt selbst.
WireGuard ist hier der De-facto-Standard: schlank (rund 4.000 Zeilen Code), fester Bestandteil des Linux-Kernels seit Version 5.6 (März 2020), mit fest verdrahteter Verschlüsselung und nur einem einzigen UDP-Port (standardmäßig Nummer 51820) – ein Port ist so etwas wie eine nummerierte Tür am Netzanschluss, UDP die schnelle, verbindungslose Art, Daten zu verschicken. Der Haken: In stark abgeschotteten Netzen (manche Firmen- oder Hotel-WLANs) ist UDP blockiert, und WireGuard hat nativ keinen Ausweichweg über TCP. Den bekommt man nur mit Zusatzwerkzeugen wie udp2raw oder wstunnel.
OpenVPN ist der reifere Klassiker und läuft über UDP und TCP, inklusive TCP-Port 443 – dem Port, über den auch normale Webseiten laufen, weshalb ihn kaum eine Firewall sperrt. Lange galt OpenVPN als langsam; mit der „Data Channel Offload“ genannten Beschleunigung (ab Version 2.6, das passende Kernelmodul steckt seit Linux 6.16 im Juli 2025 im Mainline) liegt es laut Benchmarks aus 2025 wieder nahe an WireGuard oder darüber.
Wer eine FRITZ!Box hat, braucht für WireGuard keine Zusatzhardware: FRITZ!OS unterstützt es serienmäßig seit Version 7.50 (2023), die Einrichtung läuft über einen QR-Code. Voraussetzung ist eine MyFRITZ- oder DynDNS-Adresse und eine funktionierende öffentliche IP. FRITZ!OS 8 (ab September 2024) hat WireGuard um IPv6 ergänzt, aktuell ist Version 8.20 (August 2025).
Wenn die Portfreigabe nicht geht: DS-Lite und CGNAT
Viele Glasfaser- und Kabelanschlüsse (unter anderem Deutsche Glasfaser, teils O2 und Vodafone) liefern keine eigene öffentliche IPv4-Adresse mehr. Das nennt sich DS-Lite oder CGNAT: Der Provider teilt eine IPv4-Adresse unter vielen Kunden auf. Eine IPv4-Portfreigabe – also das gezielte Durchreichen von außen auf ein Gerät im Heimnetz – ist damit unmöglich. Ein selbst betriebenes VPN erreichst du dann nur über IPv6, sofern auch dein Gerät unterwegs IPv6 hat. Und genau das ist im Mobilfunk oder fremden WLAN oft nicht der Fall. Reines IPv6 als einzigen Weg einzuplanen, geht deshalb häufig schief.
Weg 2: Mesh-VPN mit Cloud-Vermittlung
Dienste wie Tailscale, ZeroTier und NetBird lösen genau dieses Problem. Sie bauen ein verschlüsseltes Netz zwischen deinen Geräten auf („Mesh“, also jedes Gerät spricht direkt mit jedem). Ein Vermittlungsserver in der Cloud bringt die Geräte zusammen (Fachbegriff NAT-Traversal); klappt keine Direktverbindung, läuft der Verkehr verschlüsselt über einen Relay-Server. Eine Portfreigabe brauchst du nicht, und es funktioniert auch hinter CGNAT.
Der Preis dafür: Du hängst von einem fremden Koordinationsdienst ab. Bei Tailscale ist der Client quelloffen, der Koordinationsserver aber proprietär. Wer das nicht will, hostet Headscale selbst – eine quelloffene Nachbildung genau dieses Servers für ein einzelnes Netz – oder nimmt gleich NetBird, das komplett selbst hostbar ist (BSD-3-Lizenz, mit zentraler Anmeldung, Mehr-Faktor-Login und Zugriffsregeln).
Bei den Gratis-Tarifen ist zuletzt viel in Bewegung geraten:
- Tailscale Personal ist seit der Tarifreform vom 8. April 2026 kostenlos für bis zu sechs Nutzer pro Netz, mit unbegrenzt vielen eigenen Geräten. Der Zusatztarif „Personal Plus“ ist weggefallen, der Business-Tarif rechnet jetzt pro Sitzplatz statt nach Nutzung – das kann bestehende Firmen-Setups verteuern, weil auch inaktive Sitzplätze zählen. Für Bestandskunden gilt eine Migrationsfrist von mindestens zwölf Monaten.
- ZeroTier stellt auf ein nutzungsbasiertes Modell („Essential“) um. Für Konten, die nach dem 5. November 2025 angelegt wurden, sank das kostenlose Gerätelimit von 25 auf 10. Bestandskonten behalten ihr altes Kontingent – ob dauerhaft, ist offen.
- Twingate hat einen unbefristeten Gratis-Tarif bis fünf Nutzer.
GL.iNet GL-MT3000 Beryl AX WLAN 6 Reiserouter, 2.5G WAN, VPN, OpenWrt
Ein kleiner Reiserouter, der WireGuard oder OpenVPN als Client mitbringt: Einmal den Tunnel zum Heimnetz hinterlegt, verbindet er unterwegs jedes angeschlossene Gerät automatisch mit – ohne auf jedem Handy und Notebook einzeln eine VPN-App einzurichten. 101,99 € (Stand 03.09.2026).
Weg 3: Portfreigabe, eigene Domain und Reverse Proxy
Der klassische Selfhoster-Weg: Du registrierst eine Domain (oder nutzt kostenloses DynDNS – ein Dienst, der deine sich ändernde Heim-IP-Adresse immer unter demselben Namen erreichbar hält, etwa DuckDNS oder das in der EU gehostete deSEC mit DNSSEC und API), gibst am Router einen Port frei und stellst einen Reverse Proxy davor. Ein Reverse Proxy ist ein Vermittler, der eingehende Anfragen entgegennimmt, die Verschlüsselung übernimmt (TLS, das Schloss-Symbol im Browser) und dann an den richtigen internen Dienst weiterleitet. Verbreitete Optionen: Nginx Proxy Manager (mit grafischer Oberfläche, guter Einstieg), Traefik und Caddy (HTTPS automatisch ab Werk).
Die Zertifikate liefert meist Let’s Encrypt kostenlos. Zwei Änderungen solltest du kennen: Die Erinnerungs-Mails vor Ablauf eines Zertifikats gibt es seit dem 4. Juni 2025 nicht mehr – die automatische Erneuerung muss also zuverlässig laufen. Und seit 2025 gibt es zusätzlich sehr kurzlebige Zertifikate (sechs Tage) sowie Zertifikate direkt auf IP-Adressen (allgemein verfügbar seit 15. Januar 2026); die klassischen 90-Tage-Zertifikate bleiben.
Wichtig: Ein Reverse Proxy ist keine Sicherheitsmaßnahme. Er verschlüsselt und routet, mehr nicht. Der dahinterliegende Dienst ist voll aus dem Internet erreichbar und muss selbst laufend gepatcht werden. Davor gehört ein Auth-Layer wie Authelia oder Authentik, der eine zusätzliche Anmeldung erzwingt, bevor der Dienst überhaupt sichtbar wird. Öffentlich erreichbare NAS sind ein beliebtes Ziel für Erpressungstrojaner – das BSI warnte am 13. Februar 2024 vor einer Lücke in QNAP-Systemen (QTS/QuTS hero), über die Angreifer ohne Anmeldung Schadcode ausführen konnten, und 2025 kamen weitere QNAP-Schwachstellen dazu.
Weg 4: Tunnel- und Relay-Dienste ohne Portfreigabe
Cloudflare Tunnel (Programm „cloudflared“) baut eine Verbindung von deinem Server nach außen zu Cloudflare auf. Kein offener Port, keine Kreditkarte, unbemessene Bandbreite, beliebig viele Tunnel – kostenlos. Für eine feste Adresse muss deine Domain bei Cloudflare liegen; sonst gibt es nur eine Zufalls-URL. Grenzen: kein öffentliches UDP, Datei-Uploads standardmäßig auf 100 MB gedeckelt. Davor lässt sich Cloudflare Access als Identitäts-Gate schalten (kostenlos bis 50 Nutzer, danach hartes Limit).
Zwei Dinge zum Abwägen. Erstens die Nutzungsbedingungen: Selbst gehostetes Video und große Dateien über den Cloudflare-Cache (Plex, Jellyfin) sind laut den CDN-spezifischen Terms nicht zulässig; in der Praxis ist das eine Grauzone, von Account-Sperren wurde berichtet. Die oft zitierte „Section 2.8“ wurde übrigens schon im Mai 2023 aus den allgemeinen Bedingungen entfernt. Zweitens die Abhängigkeit von einem einzelnen Anbieter: Am 18. November 2025 fiel Cloudflare global rund fünfeinhalb Stunden aus (fehlerhafte Konfigurationsdatei, kein Angriff) – und mit ihm jedes Setup, das an Tunnel oder Access hing.
Alternativen: ngrok (Gratis-Tarif: eine feste Subdomain, 1 GB Datenmenge und 20.000 Anfragen pro Monat, drei gleichzeitig aktive Endpunkte) eignet sich eher zum Testen. Pangolin mit dem Client „Newt“ ist ein neuerer, selbst gehosteter Tunnel-Reverse-Proxy auf WireGuard-Basis: Er braucht einen kleinen gemieteten Server als Eingangspunkt, bringt Auth, Dashboard, Let’s-Encrypt und TCP/UDP mit und gilt als quelloffene Cloudflare-Tunnel-Alternative.
Von den Herstellern gibt es außerdem fertige Relay-Dienste: Synology QuickConnect (null Konfiguration, im Relay-Modus aber stark gedrosselt – Nutzer berichten von 0,5 bis 3 MB/s trotz Gigabit-Anschluss; der direkte Weg über Synology-DDNS und Portfreigabe ist deutlich schneller), MyFRITZ! für den Zugriff auf FRITZ!Box-Oberfläche und angeschlossenen Speicher, und Home Assistant Cloud von Nabu Casa (rund 6,50 USD/Monat, finanziert das Home-Assistant-Projekt). Für Plex-Nutzer noch wichtig: Die Remote-Wiedergabe eigener Videos setzt seit dem 29. April 2025 einen aktiven Plex Pass oder den kostenpflichtigen „Remote Watch Pass“ voraus; der früher kostenlose Fernzugriff entfällt.
Die vier Wege im Vergleich
| Weg | Einrichtung | Portfreigabe nötig | Hinter CGNAT nutzbar | Fremd-Abhängigkeit | Angriffsfläche |
|---|---|---|---|---|---|
| Eigenes VPN (WireGuard/OpenVPN) | mittel | ja (oder IPv6) | nur über IPv6 | keine | nur der VPN-Endpunkt |
| Mesh-VPN (Tailscale/NetBird/ZeroTier) | gering | nein | ja | Koordinationsdienst (bei NetBird/Headscale selbst hostbar) | nur der VPN-Zugang, Dienste unsichtbar |
| Portfreigabe + Reverse Proxy | hoch | ja | nein (nur IPv6) | DNS/Zertifikate | der Dienst selbst ist exponiert |
| Tunnel/Relay (Cloudflare, QuickConnect …) | gering bis mittel | nein | ja | der Tunnel-Anbieter | je nach vorgeschaltetem Auth-Layer |
Welcher Weg für wen?
Für die meisten Einsteiger ist ein Mesh-VPN der schnellste und sicherste Start: wenig Konfiguration, funktioniert auch hinter DS-Lite, die Dienste bleiben unsichtbar. Wer keine Abhängigkeit von einem Cloud-Dienst will und eine öffentliche IP oder funktionierendes IPv6 hat, richtet WireGuard selbst ein – auf dem Server oder direkt in der FRITZ!Box. Der Weg über Portfreigabe und Reverse Proxy lohnt sich, wenn du einen Dienst wirklich öffentlich – auch für andere – bereitstellen willst; dann aber mit Auth-Layer davor und der Disziplin, alles aktuell zu halten. Tunnel-Dienste sind die pragmatische Wahl, wenn keine Portfreigabe möglich ist und du kein eigenes VPN aufsetzen möchtest – die Grauzone bei Video und das Klumpenrisiko eines einzelnen Anbieters solltest du einkalkulieren.
In der Praxis kombinieren viele beides: ein Mesh-VPN für den privaten Vollzugriff, plus einen einzelnen abgesicherten Dienst über Tunnel oder Reverse Proxy für alles, was auch ohne VPN-Client erreichbar sein soll.