URnetwork vs Tailscale

Tailscale verbindet Maschinen, die dir gehören, zu einem privaten verschlüsselten Mesh; URnetwork ist privater Ausgang ins öffentliche Internet. Es sind verschiedene Werkzeuge, und sie überlappen sich an genau einem Punkt: dem Mullvad-Exit-Node-Add-on.

Wähl Tailscale, um deine eigenen Geräte zu erreichen: Das Mesh ist seine ganze Aufgabe, es ist das beste Produkt seiner Kategorie, und nichts auf dieser Seite argumentiert dagegen. Wähl URnetwork für das öffentliche Internet: Privatanschluss-Exits, einen aufgeteilten Pfad und ein Konto, das nicht du sein muss. Die meisten, die diese Frage stellen, sollten für die erste Aufgabe weiter Tailscale nutzen. Diese Seite kartiert die Grenze und das, was an dem einen Punkt passiert, an dem sich die beiden Aufgaben berühren.

Tailscale ist ein WireGuard-Mesh ohne Konfiguration von Tailscale Inc. aus Toronto, venture-finanziert mit einer Series C über 160 Mio. $ im April 2025. Es verbindet Laptop, Telefon, Server und VMs zu einem privaten Netzwerk, durchstößt NATs für direkte Peer-to-Peer-Verbindungen und fällt auf seine DERP-Relays zurück, wenn kein direkter Pfad existiert. Private Schlüssel verlassen deine Geräte nie, und weitergeleitete Pakete sind für das Relay Chiffretext.

URnetwork nutzt von Mitgliedern betriebene Exits. Der Provider erhält deine Quell-IP auf dem Relay-Pfad nicht. Die nativen Apps versiegeln den Datenverkehr zum Provider standardmäßig. So funktioniert URnetwork erklärt das vollständige Design. Das Bedrohungsmodell führt die vollständige Akte dessen, was gespeichert und durchgesetzt wird.

Sechs Unterschiede, die die Wahl beeinflussen

Vorbehalte unterhalb der Tabelle:

• Post-Quanten-Verschlüsselung ist hier URnetwork-seitig: Die X25519MLKEM768-Sitzung vom Client zum Provider ist in den nativen Apps Standard und überspringt jeden Provider, zu dem nicht versiegelt werden kann, statt herabzustufen. Die Browser-Erweiterung hat keine versiegelte Sitzung; dort loggt der Datenpfad des Operators nichts, festgenagelt durch einen Test im offenen Code.
• Beide liefern auf Android, iOS, macOS, Windows und Linux. URnetwork ergänzt eine Browser-Erweiterung im Gespann mit seiner Web-App und einen expliziten Kill-Switch-Schalter auf jeder Plattform, in der Erweiterung standardmäßig an.
• Tailscale-Clients können sich mit --no-logs-no-support vom Verbindungs-Logging abmelden, zum erklärten Preis des technischen Supports.
• Die beiden laufen zusammen: Tailscale hält den System-Tunnel, und URnetworks Erweiterung deckt den Browser ab, denn die Erweiterung ist ein Proxy und beansprucht die OS-Route nicht. Auf Mobilgeräten wechselst du, weil das Betriebssystem immer nur ein VPN-Profil zugleich fährt.

Das Mesh und der Schlüsselserver

Innerhalb eines Tailnet ist die Zusage, nichts zu sehen, überwiegend Mechanismus. Jedes Gerät erzeugt sein eigenes WireGuard-Schlüsselpaar, und der private Schlüssel verlässt es nie. Der Koordinationsserver verteilt öffentliche Schlüssel und Zugriffsrichtlinien. DERP-Relays leiten verschlüsselte Pakete weiter, die sie nicht entschlüsseln können, und der Relay-Code ist Open Source. Tailscales Datenschutzrichtlinie grenzt ihr Versprechen auf den Inhalt des Datenverkehrs ein, was der verteidigbare Geltungsbereich ist.

Das verbleibende Vertrauen liegt in der Schlüsselverteilung, und Tailscale benennt es, bevor seine Kritiker es tun. Seine Seite zu Tailnet Lock hält fest, dass ein bösartiges Tailscale „Datenverkehr im Klartext an deine bestehenden Nodes senden oder von ihnen empfangen“ könnte, indem es Nodes in dein Netzwerk einfügt. Tailnet Lock ist die Behebung: Neue Nodes müssen von Schlüsseln auf Maschinen signiert werden, die du kontrollierst. Drei Tatsachen halten es davon ab, die Sache zu erledigen. Es ist standardmäßig aus. Es ist auf den Tarifen Personal und Enterprise verfügbar, aber nicht auf den bezahlten Stufen dazwischen. Und ein Bulletin vom November 2025, TS-2025-008, berichtet, dass es bei Nodes ohne Zustandsverzeichnis von der Einführung der Funktion bis Version 1.90.8 still die Signaturprüfungen übersprang. Für die meisten Tailnets ist das schlichte „kann deinen Datenverkehr nicht inspizieren“ der Sicherheitsseite daher ein starker Grund für Vertrauen und nicht eine in Kraft befindliche Eigenschaft.

Was Tailscale sehr wohl hält, sind Metadaten, und mehr davon, als eine schnelle Lektüre vermuten lässt: Konto-Identität, Geräte-Inventar, öffentliche Schlüssel, Richtlinien, öffentliche IP-Adressen und ein benanntes Log-Produkt, Inter-Node Traffic Logs, das für jede Verbindung zwischen Maschinen Öffnungs- und Schließ-Ereignisse mit Byte-Statistiken aufzeichnet, ohne veröffentlichte Aufbewahrungsfrist.

Die Offenlegungspraxis rund um all das ist ungewöhnlich gut. Mehr als 40 öffentliche Sicherheitsbulletins seit 2022, die meisten freiwillig, mit Zeitlinien und Nennung der Forschenden. Das kritische, CVE-2022-41924 vom November 2022, erlaubte Remote Code Execution auf Windows-Clients per DNS-Rebinding und wurde in 1.32.3 behoben. Der eine bestätigte Privacy-Vorfall, TS-2025-004 vom Mai 2025, steckte unbeteiligte Fremde, die sich eine E-Mail-Domain teilten, in dasselbe Tailnet: 664 Domains betroffen, keine bestätigte Ausnutzung, behoben, indem die Nutzerfreigabe standardmäßig aktiviert wurde. Im April 2024 sammelten Netzwerk-Flow-Logs bei fünfzehn Tailnets nach einem Beta-Übergang weiter, ohne dass im Dashboard etwas darauf hinwies; binnen Tagen behoben, diese Tailnets benachrichtigt. SOC 2 Type II deckt Sicherheit, Verfügbarkeit und Vertraulichkeit ab. Die Audit-Berichte von Latacora sind auf Anfrage verfügbar statt veröffentlicht.

Das Mullvad-Add-on: wo sich die Aufgaben berühren

Tailscale ist standardmäßig kein Produkt für Ausgangs-Privacy. Dein Surfen verlässt dein Gerät auf dem gewöhnlichen Weg: Dein Internetanbieter sieht es, und Websites sehen deine echte Adresse. Das ist eine Design-Entscheidung und keine Lücke. Wenn ein Tailscale-Nutzer auch das Surfen verborgen haben will, gibt es zwei Optionen, und sie unterscheiden sich scharf.

Dein eigener Exit Node verlagert das Zusehen, statt es zu entfernen. Dein Heim-Internetanbieter sieht jedes Ziel, und jede Website sieht deine Heimadresse. Ein VPS als Exit zu mieten ist derselbe Zug mit schlechterem Profil: Eine Single-Tenant-Adresse identifiziert dich, denn alles, was sie verlässt, ist deins.

Das Mullvad-Add-on, rund 5 $ pro Monat je fünf Geräte, liefert eine echte Menge, und sein Datenpfad ist besser, als ein Leser vermuten könnte: Dein Gerät wählt den Mullvad-Server direkt an und verwendet dabei seinen bestehenden WireGuard-Schlüssel wieder, der Datenverkehr kreuzt Tailscales Infrastruktur also nie. Mullvads Server terminiert den Tunnel, er kann also die verbindende Adresse und die Ziele zusammen sehen, mit einer No-Logs-Richtlinie, gestützt auf die stärkste Bilanz der Branche, einschließlich der Durchsuchung vom April 2023, die nichts hervorbrachte (siehe URnetwork vs Mullvad).

Was das Add-on nicht tut, ist, die Aufgabe abzugeben. Tailscales eigene Dokumentation nennt die drei Tatsachen, auf die es ankommt: Es erzeugt und verwaltet die Mullvad-Konten, und du kannst keine eigenen mitbringen; „Tailscale weiß, welche Mullvad-Konten zu welchen Tailscale-Nutzern gehören“; und seine Client-Logs können zeigen, welcher Nutzer sich mit welchem Mullvad-Exit-Server verbunden hat, sofern sich das Gerät nicht vom Logging abgemeldet hat. Mullvad erhält von Tailscale keine Identitätsinformationen. Die Anordnung ergänzt also einen zweiten Beobachter, der eine verifizierte Identität und einen Abrechnungsdatensatz hält; sie importiert nicht Mullvads Modell des anonymen Kontos. Tailscale sagt das im Ankündigungsbeitrag selbst: „Es ist keine echte Anonymität, denn das ist ein Problem, das Tailscale nicht zu lösen versucht.“ Wenige Anbieter schreiben diesen Satz über die eigene Funktion.

URnetworks Antwort auf dieselbe Frage ist strukturell. Der Provider, der deinen Datenverkehr ins Internet setzt, erhält nie deine Quell-IP, der Operator kann die versiegelte Sitzung, die er weiterleitet, nicht lesen, und so hält keine einzelne Partei deine Identität und deine Ziele zusammen. Ein Konto kann niemand sein: ein Tipp, keine E-Mail, kein Identitätsanbieter, mit einer Wiederherstellungs-Seedphrase, die URnetworks eigener Zugangsnachweis ist und nie der einer Krypto-Wallet. Was der Operator speichert, ist im Bedrohungsmodell verzeichnet.

Wo Tailscale gewinnt

• Alles rund ums Mesh: die eigenen Geräte und Dienste von überall erreichen, mit direkten verschlüsselten Verbindungen, ohne Portweiterleitung, ohne statische IPs.
• Ende-zu-Ende-Verschlüsselung zwischen deinen Endpunkten, ohne dass etwas zu konfigurieren wäre, plus MagicDNS, Zugriffsrichtlinien, Tailscale SSH und Gerätefreigabe.
• Betriebliche Reife: SOC 2 Type II, mehr als 40 öffentliche Bulletins, Jahre polierter Clients. URnetwork hat weder vergleichbare Belege noch einen vergleichbaren Funktionsumfang.
• Eine kostenlose Personal-Stufe, die nützlich bleibt, statt eine Testphase zu sein.
• Offenlegungsgewohnheiten: Der geschlossene Koordinationsserver wird auf der eigenen Open-Source-Seite als geschlossen benannt, und der Code der DERP-Relays ist offen.

Wo URnetwork gewinnt

• Der Ausgang ins öffentliche Internet ist das Produkt, kein Add-on: Privatanschluss-Exits in über 90 Ländern, durchsuchbar bis auf eine Stadt.
• Die Aufteilung. Der Exit erfährt nie, wer du bist, und der Operator kann die versiegelte Sitzung nicht lesen. Keine einzelne Partei hält Identität und Ziele zusammen.
• Exits, die dort unauffällig bleiben, wo Rechenzentrums-Bereiche, Mullvads eingeschlossen, blockiert oder mit Hürden belegt sind.
• Konten, die nicht du sein müssen: ein Tipp, keine E-Mail, Anmeldung per Wallet oder Seedphrase, USDC. Ein Tailnet ist per Design an eine Identität gebunden.
• Quellcode über den ganzen Stack, den Koordinationsserver eingeschlossen. Tailscales Steuerungsebene ist geschlossen; Headscale, die Alternative aus der Community, ist unabhängig, auf ein einzelnes Tailnet ausgelegt und von seinen Maintainern auf Hobbynutzer eingegrenzt.
• Die Angebotsseite: Mitglieder können ihre Verbindung im UR Protocol teilen und das Bereitstellen auf ihre eigenen Geräte beschränken. Ein Tailnet hat keine vergleichbare Rolle.

Grenzen und Belege

URnetworks wichtigste Grenzen:

• Kein unabhängiges Audit deckt das Protokoll, die Connect-Engine oder den Server-Code des Operators ab. Zwei externe Prüfungen aus 2025 decken andere Flächen ab: ein Penetrationstest der Web-Anwendung und API (April–Mai 2025) und die Leviathan-MASA-AL2-Prüfung der Android-App, die bestanden wurde. Leviathan schreibt, seine Prüfung „sollte nicht als ganzheitliche Sicherheitsbewertung oder umfassender Penetrationstest gelesen werden“. Keine der beiden untersuchte Logging, Aufbewahrung oder den Datenpfad.
• Die Aufteilung setzt voraus, dass der Operator und die Provider in deinem Fenster unabhängig sind. Nichts im System attestiert diese Unabhängigkeit, der Operator könnte selbst Provider betreiben, und keine außenstehende Partei hat die Flotte vermessen. Siehe das Bedrohungsmodell, §6.1.
• Der WireGuard-kompatible Fallback-Endpunkt vergibt eine stabile Tunnel-Adresse — mehrere Provider könnten denselben Client also über Sitzungen hinweg wiedererkennen. Der native Tunnel ist der empfohlene Pfad.
• Exits sind Verbrauchergeräte: Die Geschwindigkeit bewegt sich mit dem Provider-Fenster, und ein langlebiger Transfer kann mitten in der Sitzung neu gepinnt werden, wenn ein Provider offline geht.

Tailscales Grenze ist der Geltungsbereich, und er ist bewusst gewählt: Es versucht nicht, dich vor dem Internet zu verbergen. Sein Operator hält ein identitätsgebundenes Konto, ein Geräte-Inventar, öffentliche IPs und einen Verbindungsgraphen; seine Steuerungsebene verteilt die Schlüssel und ist Closed Source, wobei Tailnet Lock die Schlüssel-Lücke nur dort schließt, wo es verfügbar und aktiviert ist. Das Mullvad-Add-on übergibt den Ausgang an ein gut getestetes Unternehmen, während Tailscale die Aufzeichnung darüber behält, wer du bist und welchen Exit du genutzt hast.

Behalte Tailscale für das Mesh. Ergänze URnetwork, wenn die Frage das öffentliche Internet ist. Es auszuprobieren kostet nichts: Das Sofort-Konto braucht einen Tipp und keine E-Mail. Weitere Fragen beantwortet die FAQ.