Netz & Schutz · Fernzugriff

Sicher aufs NAS von unterwegs: Tailscale ohne offene Ports

Fernzugriff klingt nach offenen Ports, DDNS und Angriffsfläche – muss es aber nicht. Tailscale verbindet deine Geräte über ein verschlüsseltes WireGuard-Mesh, ohne dass im Router ein einziger Port geöffnet wird. Hier ist die ehrliche Einrichtung in 15 Minuten, für Synology wie für Selbstbau.

Stand: September 2026 · geprüft am 01.09.2026 · Free-Tier-Details laut Anbieter (3 Nutzer / 100 Geräte, Stand prüfen)

Warum Tailscale?

Ein privates Netzwerk, das Ports im Router überflüssig macht

Tailscale baut auf WireGuard (geprüfter, schlanker Verschlüsselungs-Standard) ein Netz zwischen deinen Geräten auf: NAS, Handy, Laptop erhalten alle eine feste Adresse (100.x.x.x) und finden sich – egal in welchem WLAN sie stecken. Der Router bleibt komplett zu. Kein Port-Forwarding, kein DDNS, kein exponierter Login-Screen, den Bots attackieren können. Der Free-Tier (privat) reicht für typische Familien-Setups.

Anleitung

Einrichtung in vier Schritten

Schritt	Synology	Selbstbau (TrueNAS/OMV/Unraid)
1. Konto	Konto bei Tailscale anlegen (Google/GitHub-Login reicht) – Verwaltung läuft über die Admin-Console.
2. NAS verbinden	Tailscale-Paket aus dem Paketzentrum installieren (oder Docker-Container) und einloggen	Docker-Container „tailscale" mit TUN-Device starten, Auth-URL im Log öffnen
3. Geräte hinzufügen	Tailscale-App auf Handy/Laptop installieren, mit demselben Konto anmelden – fertig ist das Mesh.
4. Zugreifen	Über die NAS-Adresse (100.x.x.x oder MagicDNS-Name wie „nas") – DSM/OMV/Unraid-Weboberfläche, SMB-Freigaben und Apps wie Immich funktionieren wie zu Hause.

Tipp: In den Admin-Einstellungen „Key expiry disable" für das NAS aktivieren – sonst meldet es sich nach 180 Tagen ab und der Fernzugriff verstummt still.

Familie einbinden

Fotos-Backup von unterwegs für alle

Kombiniert mit Immich wird das Mesh richtig praktisch: Die Handys der Familie sind Tailscale-Geräte, das automatische Foto-Backup läuft damit auch vom Urlaubs-WLAN aus – ohne offenen Port für die Fotos-Cloud. Für geteilte Zugänge mit Nicht-Technikern reicht die App-Installation; ein geteiltes Familien-Konto vermeiden, besser echte Nutzer einladen (Free-Tier: 3 Nutzer).

Ehrliche Grenzen

Wo Tailscale (noch) nicht die Antwort ist

Anbieter-Abhängigkeit: Der Koordinierungsdienst läuft bei Tailscale Inc. (Verbindungen selbst sind Ende-zu-Ende-verschlüsselt). Wer das nicht will: eigenes WireGuard oder Headscale (Self-Host-Variante, mehr Arbeit).
Gäste ohne App: Oma am Smart-TV braucht Tailscale nicht – für geteilte Links nutze stattdessen die Freigabe-Funktionen deiner Software über kurzlebige Weblinks.
Durchsatz: Läuft der Traffic über Relais („DERP"), statt direkt, sinkt die Geschwindigkeit – für Fotos/Dokumente egal, für große Video-Dateien direkt-p2p prüfen.

Sicherheit-Check

Drei Häkchen, die der Fernzugriff noch verdient

UPnP und Port-Forwardings im Router deaktivieren – alter Kram, den niemand mehr braucht, wenn Tailscale läuft.
2FA auf dem NAS-Login behalten – das Mesh ersetzt keine guten Passwörter, es versteckt die Tür nur.
Shutdown-Automatik prüfen: Fernwartung und USV-Shutdown kombinieren – auch von unterwegs willst du das NAS sauber herunterfahren können, wenn der Strom lange weg bleibt.

Die passenden Entscheidungen dazu

Fotos von unterwegs

Immich als Google-Fotos-Ersatz – funktioniert mit Tailscale wie zu Hause.

Backup auch offsite

3-2-1 konkret – Kopie 3 läuft per Tailscale zum NAS der Familie.

Hardware-Wahl

Der Konfigurator vergleicht Kaufen, Selbstbau und Basteln – alle Wege sind Tailscale-tauglich.