Tailscale oder TeamViewer: womit ihr auf eure Server geht, ohne die Tür offen zu lassen
Es gibt in fast jedem Unternehmen einen Fernzugriff, über den niemand mehr richtig nachdenkt. Er ist vor Jahren eingerichtet worden, weil jemand schnell auf einen Rechner musste, und seitdem läuft er einfach. Meistens ist es TeamViewer. Manchmal ist es ein offener SSH Port mit einer Firewallregel, die längst niemand mehr prüft.
Solange nichts passiert, ist das kein Thema. Es wird eines in dem Moment, in dem ein Zugang übernommen wird, denn ein Fernzugriff ist per Definition der kürzeste Weg in ein System. Deshalb haben wir für unseren eigenen Betrieb die Frage sauber beantwortet, statt sie weiter mitzuschleppen: Tailscale oder TeamViewer?
Die Antwort vorweg, weil sie kurz ist: Tailscale für den Dauerbetrieb, TeamViewer für den Notfall. Beides hat seine Berechtigung, aber nicht an derselben Stelle.
Die beiden lösen gar nicht dasselbe Problem
Das ist der Punkt, an dem die meisten Diskussionen schieflaufen. Die Werkzeuge werden verglichen, als wären sie austauschbar. Sind sie nicht.
TeamViewer ist Fernsteuerung. Ein Mensch sieht einen fremden Bildschirm und bewegt eine fremde Maus. Das ist genau dann richtig, wenn ein anderer Mensch am anderen Ende sitzt, etwas nicht funktioniert und man es ihm zeigen oder für ihn erledigen muss.
Tailscale ist ein privates Netzwerk. Es verbindet freigegebene Geräte miteinander, als stünden sie im selben Raum. Kein Bildschirm, keine Maus, sondern schlicht Erreichbarkeit: SSH, interne Dashboards, APIs, Datenbanken, Buildmaschinen. Der Dienst bleibt privat, er muss nie ins öffentliche Internet.
Wer diesen Unterschied einmal verstanden hat, sieht sofort, warum die Antwort keine Entscheidung, sondern eine Aufteilung ist.
Der Vergleich
| Punkt | Tailscale | TeamViewer |
|---|---|---|
| Grundprinzip | privates Netzwerk zwischen freigegebenen Geräten | Remote Desktop und Fernsteuerung |
| Zugriff läuft über | Nutzer, Geräte und Dienste im Tailnet, geregelt über ACLs | Konto, Geräte ID, Freigabe, Passwort und Richtlinien |
| Verschlüsselung | WireGuard, Ende zu Ende zwischen den Geräten | RSA 4096 und AES 256 für die Sitzung, laut Hersteller |
| Angriffsfläche | Dienste bleiben privat, keine öffentlichen Ports nötig | der Fernsteuerungsdienst ist ein zentraler Zugangspfad |
| Ideal für | Server, SSH, Nodes, interne APIs, Dauerbetrieb | spontaner Support, Zugriff auf fremde Rechner |
| Risiko bei Fehlkonfiguration | zu breite ACLs, vergessene Geräte | unbeaufsichtigter Zugriff, Kontoübernahme, feste Passwörter |
Der entscheidende Unterschied steht in der Zeile Angriffsfläche.
Bei Tailscale gibt es nichts, was von außen erreichbar wäre. Ein Dienst, der nur im Tailnet hängt, ist für das Internet schlicht nicht vorhanden. Es gibt keinen Port, den jemand scannen, und kein Anmeldeformular, das jemand durchprobieren könnte.
Bei TeamViewer ist das anders, und das liegt in der Natur der Sache: Der Dienst muss erreichbar sein, damit jemand sich verbinden kann. Damit ist er ein zentraler Zugangspfad, und die Sicherheit hängt daran, wie gut das Konto und die Richtlinien abgesichert sind.
Warum das gerade für Shops und Agenturen zählt
Wir arbeiten in einer Umgebung, in der ständig etwas läuft, das nicht öffentlich sein soll: Buildmaschinen, Staging Umgebungen, interne Werkzeuge, Datenbanken, Auswertungen, dazu die Agenten, die unsere Shops betreiben.
Für diese Dinge gibt es drei Möglichkeiten. Man stellt sie ins Netz und sichert sie mit einem Passwort ab, was die schlechteste ist. Man baut VPN und Firewallregeln, was funktioniert, aber Arbeit macht und mit der Zeit unübersichtlich wird. Oder man legt sie in ein privates Netz, in dem jedes Gerät eine Identität hat.
Der Nebeneffekt ist kein Sicherheitsargument, aber ein starkes Praxisargument: Man muss nichts mehr freigeben. Kein Portforwarding, keine feste IP, keine Ausnahme in der Firewall, keine Diskussion mit dem Rechenzentrum. Das Gerät ist im Netz oder es ist es nicht.
Tailscale richtig absichern
Ein privates Netz ist nicht automatisch ein sicheres Netz. Vier Dinge gehören eingerichtet, sonst verschiebt man das Problem nur:
Anmeldung über SSO plus MFA. Das Tailnet ist nur so sicher wie das Konto, an dem es hängt. Wer sich mit einem Passwort ohne zweiten Faktor anmelden kann, hat den Vorteil bereits verspielt.
ACLs eng schreiben. Die Standardhaltung „alle dürfen alles" ist bequem und macht aus dem Tailnet ein flaches Netz, in dem ein übernommenes Gerät alles erreicht. Zugriff gehört pro Rolle und pro Dienst geregelt.
Geräte regelmäßig prüfen. Alte Rechner, ausgeschiedene Mitarbeiter, Testinstallationen. Was nicht mehr gebraucht wird, fliegt raus.
SSH und interne Ports ausschließlich über das Tailnet. Sonst existiert der alte Weg weiter und die neue Lösung ist nur eine zusätzliche Tür.
TeamViewer richtig absichern
Wenn TeamViewer im Haus bleibt, und dafür gibt es gute Gründe, dann bitte so:
MFA zwingend, ohne Ausnahme. Das Konto ist der Generalschlüssel.
Keine festen, einfachen Passwörter. Ein dauerhaftes Zugangspasswort auf einem Rechner ist ein offenes Schloss mit einem Zettel daneben.
Unbeaufsichtigten Zugriff nur dort, wo er wirklich gebraucht wird. Jeder Rechner, der ohne Zutun eines Menschen erreichbar ist, ist ein Ziel.
Allowlist und Blocklist nutzen, damit nicht jedes beliebige Konto eine Verbindung anfragen kann.
Alte Geräte aus dem Konto entfernen. Dieselbe Hygiene wie oben, aus demselben Grund.
Unsere Aufteilung
So machen wir es bei ONE COMMERCE, und so würden wir es jedem Kunden empfehlen:
| Aufgabe | Womit |
|---|---|
| Server, SSH, Buildmaschinen | Tailscale |
| Interne Dashboards und Werkzeuge | Tailscale |
| Agenten und automatisierte Dienste | Tailscale |
| Datenbanken und interne APIs | Tailscale |
| Jemandem etwas am Bildschirm zeigen | TeamViewer |
| Anwendersupport auf fremden Rechnern | TeamViewer |
| Rettungszugang, wenn die Oberfläche klemmt | TeamViewer |
Die Regel dahinter lässt sich in einem Satz sagen: Was dauerhaft erreichbar sein muss, gehört ins private Netz. Was ein Mensch spontan bedienen muss, darf Fernsteuerung sein.
Ein Punkt, der über beide hinausgeht
Fernzugriff ist selten aus sich heraus das Problem. Das Problem ist, dass niemand mehr weiß, welche Zugänge existieren.
Deshalb gehört zu jeder dieser Lösungen eine gepflegte Übersicht: wer auf welche Maschine darf, seit wann, und wer das freigegeben hat. Ohne diese Liste sammeln sich über Jahre Einzelfreigaben an, die niemand mehr zuordnen kann, und im Ernstfall weiß keiner, welche Türen eigentlich zugezogen werden müssen.
Das ist keine Technikaufgabe, das ist eine Buchführungsaufgabe. Und sie ist der Teil, den fast alle auslassen.
Fazit
Tailscale ist die sicherere Basis für alles, was dauerhaft läuft. Es reduziert die Angriffsfläche, weil Dienste privat bleiben, es verschlüsselt Ende zu Ende zwischen den Geräten, und es regelt Zugriff über Identität statt über Netzwerkgrenzen.
TeamViewer bleibt der richtige manuelle Rettungszugang, wenn ein Mensch einen Bildschirm bedienen muss. Es sollte nur nicht der Standardweg in die eigene Infrastruktur sein.
Wer beides so einsetzt, hat einen sauberen Zugriff für den Alltag und eine Notfalltür, die man bewusst öffnet statt sie dauerhaft offenstehen zu lassen.
Verwandt und vielleicht interessant: Beim Betrieb unserer eigenen Agenten spielt genau dieses Thema mit hinein, wenn es darum geht, wie ein Handy sicher an ein Gateway kommt. Das steht im Vergleich der Kanäle für OpenClaw Agenten.
Quellen: Tailscale Zero Trust, Tailscale Security, TeamViewer Security Statement, TeamViewer Security Features. Stand: 22.08.2026.
Wenn ihr wissen wollt, wie eure Zugänge gerade wirklich aussehen, schreibt uns. Wir schauen es uns an und sagen euch ehrlich, was bleiben kann und was weg gehört.
