Fernzugriff ohne offene Ports: WireGuard, Tailscale, Headscale, Pangolin

Die Anforderung klingt harmlos: „Ich muss von unterwegs an die Dateien“ oder „Der Kollege im Homeoffice braucht Zugriff auf das Warenwirtschaftssystem“. Die schnellste Lösung ist eine Portweiterleitung im Router — und genau die ist der Anfang der meisten Sicherheitsvorfälle in kleinen Netzen.

Ein weitergeleiteter Port ist eine Einladung. Automatisierte Scanner finden jede öffentliche IP-Adresse innerhalb von Minuten. Ein offener RDP-Port bekommt binnen Stunden die ersten Anmeldeversuche, ein offener SMB-Port ist der klassische Einstiegspunkt für Verschlüsselungstrojaner. Es braucht keinen gezielten Angriff auf Ihr Unternehmen — es reicht, gefunden zu werden.

Die gute Nachricht: Der bequeme Weg und der sichere Weg sind hier dieselben, sie sind heute nur andere als vor zehn Jahren.

Der Grundsatz

Nichts, was nicht geöffnet werden muss, wird geöffnet. Konkret heißt das in absteigender Reihenfolge der Güte:

1. Gar kein eingehender Port. Der interne Server baut selbst eine ausgehende Verbindung zu einem Vermittlungspunkt auf. Die Firewall bleibt von außen vollständig dicht.
2. Ein einziger eingehender UDP-Port für ein modernes VPN. Alles andere bleibt zu. Der Dienst antwortet nicht auf unautorisierte Pakete und ist für Scanner praktisch unsichtbar.
3. Ein einziger Dienst hinter Reverse Proxy und Authentifizierung. Vertretbar, wenn ein Zugang wirklich öffentlich sein muss.
4. Portweiterleitung auf einen internen Dienst. Kein Weg für Verwaltungszugänge, Dateifreigaben oder Remotedesktop.

Der zweite Grundsatz wird häufiger verletzt als der erste: Zugriff auf einen Dienst ist nicht Zugriff auf das Netz. Ein klassisches VPN legt den Nutzer ins interne Netz und gibt ihm damit alles — auch die Drucker, die Kameras und die Steuerungsanlage. Wer nur die Warenwirtschaft braucht, sollte auch nur diese erreichen können.

Die Werkzeuge

WireGuard

Der heutige Standard für VPN. Der Vorteil gegenüber allem Älteren liegt in der Schlichtheit: wenige tausend Zeilen Code statt hunderttausender, moderne Kryptografie ohne Konfigurationsspielraum, und ein Verhalten, das für die Angriffsfläche entscheidend ist — auf ein Paket ohne gültigen Schlüssel antwortet WireGuard gar nicht. Ein Portscan findet nichts. Der Port sieht aus wie geschlossen.

Dazu kommt die Praxis: Verbindungsaufbau in Millisekunden, kein Neuverbinden beim Wechsel von WLAN auf Mobilfunk, sehr guter Durchsatz auch auf schwacher Hardware. Auf OPNsense, pfSense, Fritzbox, Mikrotik und jedem Linux-Server ist es vorhanden.

Der Nachteil: WireGuard ist bewusst nur der Tunnel. Schlüsselverteilung, Benutzerverwaltung, Zugriffsregeln und die Frage, wie zwei Geräte hinter NAT zueinander finden, löst es nicht. Bei fünf Geräten pflegt man das von Hand. Bei fünfzig nicht mehr.

OpenVPN

Der Klassiker, weiterhin berechtigt — vor allem aus einem Grund: Es spricht TCP auf Port 443 und ist damit von Gastnetzen, Hotel-WLANs und restriktiven Firmennetzen aus erreichbar, die UDP blockieren. Wo WireGuard nicht durchkommt, kommt OpenVPN durch.

Der Preis: deutlich mehr Konfiguration, mehr Rechenaufwand, langsamerer Verbindungsaufbau, größere Codebasis. Für neue Installationen ist WireGuard die erste Wahl, OpenVPN der Rückfallweg für schwierige Netze.

Tailscale

Hier wird es interessant. Tailscale setzt auf WireGuard auf und ergänzt genau das, was fehlt: einen Koordinationsdienst, der Schlüssel verteilt, NAT-Durchstoßung organisiert, Anmeldung über den vorhandenen Identitätsanbieter (Entra ID, Google Workspace, Authentik) samt Zwei-Faktor abwickelt und Zugriffsregeln durchsetzt.

Was das praktisch bedeutet:

• Keine Portfreigabe, nirgends. Alle Geräte verbinden sich ausgehend. Danach sprechen sie direkt miteinander, verschlüsselt. Klappt der direkte Weg nicht, läuft der Verkehr über einen Relay — verschlüsselt bleibt er trotzdem.
• Funktioniert hinter CGNAT. Viele Kabel- und Mobilfunkanschlüsse haben längst keine eigene öffentliche IPv4-Adresse mehr. Klassisches VPN scheitert daran; Mesh-VPN nicht.
• Regeln statt Netzzugang. In einer Zugriffsliste steht, wer auf welchen Host und welchen Port darf. Der Vertriebsmitarbeiter erreicht das CRM, nicht die Backup-Konsole.
• Subnetz-Router und Exit-Nodes binden bestehende Netze ein, ohne auf jedem Altgerät Software installieren zu müssen.
• Schlüssel laufen ab. Geräte müssen sich regelmäßig neu ausweisen — ein verlorener Laptop verliert den Zugang von selbst.

Der Vorbehalt ist die Abhängigkeit: Der Koordinationsdienst ist ein US-amerikanischer SaaS. Der Datenverkehr ist Ende-zu-Ende verschlüsselt und für den Betreiber nicht lesbar, aber die Steuerungsebene — welche Geräte existieren, wer sich wann verbindet, wer welche Regeln hat — liegt außerhalb. Für viele Häuser ist das vertretbar. Für Kanzleien, Praxen, öffentliche Stellen und alle mit hohem Schutzbedarf ist es die falsche Ebene zum Sparen.

Headscale

Genau dafür gibt es Headscale: eine quelloffene Nachimplementierung des Tailscale-Koordinationsdienstes, die im eigenen Haus läuft. Die offiziellen Tailscale-Clients funktionieren damit — man ersetzt nur die Steuerungsebene.

Damit bleibt der Komfort des Mesh-Ansatzes, und die Metadaten bleiben im eigenen Netz. Kein Konto bei einem Dritten, keine Steuerungsebene außerhalb der EU. Der Preis ist Betriebsverantwortung: Headscale muss installiert, gesichert, aktualisiert und vor allem hochverfügbar genug gehalten werden — fällt die Steuerungsebene aus, bleiben bestehende Verbindungen zwar bestehen, neue kommen aber nicht zustande. Ein kleiner VPS außerhalb des eigenen Standorts ist der übliche Ort dafür.

Wer den Mesh-Ansatz mit einer stärker europäischen Ausrichtung sucht, sollte sich außerdem NetBird ansehen: ebenfalls WireGuard-basiert, vollständig selbst hostbar, mit einer Firma hinter dem Projekt, die ihren Sitz in Deutschland hat. Aus dem gleichen Feld stammen ZeroTier und Nebula, letzteres besonders für viele Knoten mit strengen Regeln.

Pangolin

Ein anderer Ansatz für ein anderes Problem. VPN ist richtig, wenn Mitarbeiter mit verwalteten Geräten arbeiten. Es hilft nicht, wenn eine Weboberfläche für Kunden, Partner oder das eigene Handy erreichbar sein soll, ohne dass jeder erst eine VPN-App einrichtet.

Pangolin ist ein selbst gehosteter Zugangs-Proxy: Auf einem kleinen VPS mit öffentlicher IP läuft die Pangolin-Instanz, die internen Standorte bauen einen ausgehenden WireGuard-Tunnel dorthin auf. Von außen erreichbar ist ausschließlich der VPS. Davor sitzen Reverse Proxy, TLS-Zertifikate und eine Zugangsschicht mit Benutzern, Zwei-Faktor, Einmal-Links oder PIN — je Anwendung konfigurierbar.

Damit ist Pangolin die selbst gehostete Antwort auf Cloudflare Tunnel: gleiche Idee, gleiches „keine offenen Ports am Standort“, aber die Steuerungsebene und die TLS-Terminierung bleiben unter eigener Kontrolle. Cloudflare Tunnel ist technisch ausgezeichnet und kostenlos verfügbar, aber der Verkehr wird bei einem US-Anbieter entschlüsselt — bei personenbezogenen Daten ist das die entscheidende Zeile im Verarbeitungsverzeichnis.

Verwandte Wege, wenn nur Webanwendungen zu schützen sind: Pomerium oder ein Reverse Proxy mit vorgeschalteter Authentifizierung über Authentik oder Authelia. Damit hängt eine ansonsten ungeschützte Weboberfläche hinter Anmeldung und Zwei-Faktor, ohne die Anwendung selbst zu verändern.

Was wozu passt

Homelab, eine Person, ein paar Dienste: WireGuard direkt auf der Firewall oder auf einem Raspberry Pi. Ein UDP-Port, fertig. Bei CGNAT-Anschluss stattdessen Tailscale oder Headscale.

Homelab mit Familie oder geteilten Diensten: Tailscale oder Headscale. Der Aufwand der Schlüsselpflege von Hand steht in keinem Verhältnis, sobald mehrere Menschen mehrere Geräte haben.

KMU mit mobilen Mitarbeitern: Mesh-VPN mit Anbindung an den vorhandenen Identitätsanbieter, Zugriffsregeln je Rolle, Subnetz-Router für Altsysteme. Selbst gehostetes Headscale oder NetBird, wenn Souveränität ein Thema ist; Tailscale, wenn nicht.

Einzelne Weboberflächen für Externe: Pangolin oder ein Reverse Proxy mit Authentik davor. Kein VPN-Zwang für Menschen außerhalb des Unternehmens.

Standortkopplung: WireGuard direkt zwischen den Firewalls. Feste Gegenstellen, kein Koordinationsdienst nötig.

Best Practices

Getrennter Zugriff statt Netzzugang. Der wichtigste Punkt. Rechte je Person und Dienst vergeben, nicht „im VPN, also drin“. Wer sich damit schwertut, fängt bei einer Regel an: Verwaltungsoberflächen — Firewall, Hypervisor, Backup, Kameras — sind nie über den allgemeinen Zugang erreichbar.

Netz segmentieren. VPN-Nutzer landen in einem eigenen Segment mit definierten Übergängen. IoT-Geräte, Kameras und Gastnetz gehören ohnehin getrennt.

Zwei-Faktor überall am Eingang. Ein Schlüssel auf einem gestohlenen Laptop ist ohne zweiten Faktor ein vollständiger Zugang.

Verwaltungsdienste nie direkt veröffentlichen. RDP, SSH, SMB, Datenbank-Ports haben im Internet nichts zu suchen — auch nicht „nur kurz“ und auch nicht auf einem ungewöhnlichen Port. Wenn SSH aus dem Internet erreichbar sein muss: Schlüssel statt Passwort, kein Root-Login, und besser über ein Sprungsystem.

Den Zugangspunkt aktuell halten. Ein ernüchternder Punkt: In den letzten Jahren waren Schwachstellen in VPN-Appliances einer der häufigsten Einstiegswege in Unternehmensnetze — Fortinet, Citrix, Ivanti standen reihum in den Meldungen. Ein VPN ist ein exponierter Dienst wie jeder andere. Was von außen erreichbar ist, braucht ein Patch-Fenster und jemanden, der die Herstellermeldungen liest. Der Vorteil von WireGuard und Mesh-Lösungen ist hier auch ein Größenvorteil: weniger Code, weniger Angriffsfläche.

Zugänge protokollieren und auffällige Anmeldungen melden. Wer sich wann von wo verbunden hat, gehört in ein Protokoll — und eine Meldung in den Chat, wenn sich um drei Uhr nachts jemand aus einem unerwarteten Land anmeldet, kostet wenig und fällt im Ernstfall auf.

Zugänge haben ein Ablaufdatum. Externe Dienstleister, Praktikanten, Projektzugänge: befristet vergeben. Was von selbst abläuft, muss niemand daran denken zu entziehen.

Einen zweiten Weg hinein behalten. Der praktisch häufigste Zwischenfall ist keine Kompromittierung, sondern die Aussperrung: Firewallregel falsch, VPN kaputt, niemand vor Ort. Ein unabhängiger Notzugang — ein zweiter Tunnel über einen anderen Weg, ein Out-of-Band-Zugang, im Zweifel ein Kollege mit Schlüssel zum Serverraum — gehört zur Planung.

Und den Zugang selbst überwachen. Wenn der Fernzugriff ausfällt, merkt man es typischerweise dann, wenn man ihn braucht. Ein Monitoring, das den Tunnel regelmäßig prüft, meldet es vorher — Uptime Kuma genügt dafür.

Fazit

Die Portweiterleitung ist der einzige Weg auf dieser Liste, der wirklich gefährlich ist — und ausgerechnet der, der am schnellsten eingerichtet ist. Alle Alternativen sind heute so weit gereift, dass der Sicherheitsgewinn nichts an Bequemlichkeit kostet: WireGuard für einfache Fälle, ein Mesh mit Tailscale oder selbst gehostetem Headscale für alles mit mehreren Menschen und Geräten, Pangolin für Weboberflächen, die ohne VPN-Client erreichbar sein sollen.

Wer dabei die Steuerungsebene im eigenen Haus behalten will, hat mit Headscale, NetBird und Pangolin drei ausgereifte Wege — ohne auf den Komfort verzichten zu müssen, der diese Werkzeuge überhaupt erst attraktiv macht.

Wir planen und betreiben solche Zugänge für Unternehmen in der Region — von der Segmentierung über den Identitätsanbieter bis zum überwachten Tunnel. Sprechen Sie uns an.