Vergleich kostenloser Tarife

5 beste kostenlose Wege, Ihren Heimserver 2026 zu exponieren (Tunnel, Limits, ToS-Fallstricke)

Von außen auf Ihr Homelab zuzugreifen bedeutet nicht mehr, einen Port weiterzuleiten und zu hoffen. Fünf kostenlose Optionen im Vergleich dessen, was sie tatsächlich erlauben — Bandbreite, Domains und die Fragen zu den Nutzungsbedingungen, die die meisten Guides mit veralteter Sicherheit beantworten.

Kostenlose Tarife schrumpfen ohne Vorwarnung.

Abonnieren Sie Infrastruktur-Notizen und Anleitungen von Mr.PlanB — auch für den Fall, dass sich die Zahlen auf Seiten wie dieser ändern.

Illustration eines Hauses, das durch einen breiten blauen Tunnel mit einer Cloud verbunden ist; der Tunnel wird in der Mitte von einem schmalen violetten Ring stark eingeschnürt. — Jede kostenlose Option hat eine Engstelle in der Mitte — ein Bandbreitenlimit, eine Zwischenseite oder eine Nutzungsbedingung. Gut zu wählen bedeutet zu wissen, mit welcher Einschränkung Sie leben können.

Kurzvergleich: kostenlose Wege aus Ihrem Heimnetzwerk

Kostenlose Tarife und Nutzungsbedingungen ändern sich. Jede Angabe hier wurde am 8. August 2026 anhand der Dokumentation des jeweiligen Anbieters überprüft — prüfen Sie es selbst, bevor Sie sich darauf verlassen.

Kostenlose Tunnel-, Mesh-VPN- und selbst gehostete Optionen im Vergleich nach Typ, Domain-Anforderungen, Limits und dem jeweiligen Haken.
Option	Typ	Domain	Kostenlose Limits	Der Haken
Cloudflare Tunnel	Reverse-Tunnel	Ihre eigene, bei Cloudflare	Kein veröffentlichtes Bandbreitenlimit im kostenlosen Tarif	Regeln für Media-Streaming sind wirklich noch ungeklärt
Tailscale	Mesh-VPN (+ Funnel)	Von Tailscale bereitgestellt (für Funnel)	6 Nutzer, unbegrenzte Geräte	Standardmäßig privat; öffentliches Teilen erfordert Funnel
ngrok	Reverse-Tunnel	1 kostenlose statische Domain	Kostenloser Tarif, ein Online-Agent	Zwischenseite mit Warnhinweis bei kostenlosen statischen Domains
ZeroTier	Mesh-VPN	Keine — private Adressierung	25 Nodes im kostenlosen Tarif	Nur privates Netzwerk; nichts wird öffentlich veröffentlicht
WireGuard auf einem kostenlosen VPS	Selbst gehosteter Tunnel	Ihre eigene	Begrenzt durch die kostenlose Instanz	Sie bauen, sichern und warten alles selbst

1. Cloudflare Tunnel

Reverse-Tunnel · Kein veröffentlichtes Bandbreitenlimit im kostenlosen Tarif

Die Standardantwort, um einen Heimserver-Dienst richtig zu veröffentlichen. Ein Daemon auf Ihrem Rechner wählt sich bei Cloudflare ein und hält die Verbindung offen, sodass nichts per Port-Forwarding freigegeben werden muss und Ihre Heim-IP nie im DNS auftaucht. Sie erhalten TLS, DDoS-Schutz und bei Bedarf Cloudflare Access für die Authentifizierung davor.

Sie benötigen eine Domain, die Cloudflares Nameserver verwendet. Das sind die gesamten Kosten.

Jetzt zu dem Teil, den alle falsch wiederholen. Jahrelang hieß es, das Streamen von Plex oder Jellyfin über einen Tunnel verstoße gegen Abschnitt 2.8 der Cloudflare-Nutzungsbedingungen. Dieser Abschnitt wurde inzwischen entfernt, und Cloudflare hat keine klare Ersatzregel veröffentlicht, die festlegt, was für große Media-Dateien über den kostenlosen Proxy erlaubt ist und was nicht. Die ehrliche Einschätzung lautet also: Es ist durch die von allen zitierte Klausel nicht mehr verboten, aber auch nicht ausdrücklich erlaubt. Wenn Ihre Mediathek Ihnen wichtig ist, lesen Sie die aktuellen Nutzungsbedingungen selbst, statt irgendeiner Listicle zu vertrauen – auch dieser hier nicht – und erwägen Sie, Media-Inhalte über einen Weg laufen zu lassen, der nicht durch den Proxy geht.

Am besten für: Einen Webdienst sicher auf Ihrer eigenen Domain veröffentlichen, ohne Ihren Router anzufassen.

Cloudflare-Tunnel-Dokumentation

2. Tailscale

Mesh-VPN (+ Funnel) · 6 Nutzer, unbegrenzte Geräte

Der kostenlose Tarif wurde im April 2026 deutlich verbessert: von 3 Nutzern und 100 Geräten auf 6 Nutzer und unbegrenzte Geräte. Die meisten Vergleiche sind noch nicht aktualisiert – wenn Sie also anderswo lesen, Sie seien auf 100 Geräte begrenzt, ist das veraltet.

Tailscale baut ein privates WireGuard-Mesh zwischen Ihren Geräten auf. Nichts wird im Internet exponiert – Sie erreichen Ihren Proxmox-Host von Ihrem Laptop aus einfach so, als wären Sie zu Hause. Für die meisten Homelab-Probleme ist das die richtige und sicherste Antwort, weil es keine öffentliche Angriffsfläche gibt.

Wenn Sie wirklich etwas Öffentliches brauchen, leitet Tailscale Funnel einen Dienst auf einen von Tailscale bereitgestellten Hostnamen ins offene Internet weiter. Das funktioniert gut für Demos und leichtes Teilen, ist aber nicht als allgemeines CDN gedacht, und Sie bekommen dabei keine eigene Domain.

Am besten für: Ihr eigenes Homelab von überall aus erreichen — die Standardwahl für den Admin-Zugriff.

Tailscale-Preise

3. ngrok

Reverse-Tunnel · Kostenloser Tarif, ein Online-Agent

ngrok ist der schnellste Weg, localhost ins Internet zu bringen, und wurde spürbar besser, seit jeder kostenlose Nutzer eine dauerhafte statische Domain erhält statt zufälliger URLs, die nach acht Stunden ablaufen.

Der Blocker für alles Öffentliche ist die Zwischenseite: Besucher eines kostenlosen ngrok-Endpunkts sehen zuerst eine ngrok-Warnseite, bevor sie zu Ihrem Inhalt gelangen. Kein Problem, wenn Sie einen Webhook testen oder es einem Kollegen zeigen. Fatal, wenn Sie den Link an echte Nutzer schicken wollten.

Behandeln Sie es als Entwicklungstool, das zufällig von außen erreichbar ist, nicht als Hosting.

Am besten für: Webhook-Entwicklung und temporäres Teilen, wo die Zwischenseite keine Rolle spielt.

ngrok-Preise

4. ZeroTier

Mesh-VPN · 25 Nodes im kostenlosen Tarif

Die andere Mesh-Option, mit einem wirklich anderen Design: ZeroTier emuliert einen Ethernet-Switch, sodass beigetretene Geräte sich verhalten, als teilten sie ein LAN. Das macht es attraktiv für Dinge, die Layer-2-Nachbarschaft erwarten, sowie für umständliche broadcast-basierte Protokolle.

25 Nodes im kostenlosen Tarif, mehr als die meisten Homelabs brauchen. Wie bei Tailscale wird dabei nichts öffentlich exponiert – es ist für Sie und Personen, die Sie ausdrücklich einladen.

Wählen Sie es statt Tailscale, wenn Sie gezielt das Flat-LAN-Verhalten wollen; ansonsten sind Tailscales Identitätsmodell und Tooling angenehmer im Alltag.

Am besten für: Homelabs, in denen sich Geräte verhalten sollen, als teilten sie ein LAN.

ZeroTier-Preise

5. WireGuard auf einem kostenlosen VPS

Selbst gehosteter Tunnel · Begrenzt durch die kostenlose Instanz

Der Weg ganz ohne Anbieter. Nehmen Sie eine der dauerhaft kostenlosen Cloud-Instanzen, betreiben Sie WireGuard darauf und leiten Sie den Traffic von dieser öffentlichen IP zu Ihrem Heimserver weiter. Der VPS wird zu Ihrer Eingangstür, und Ihre Heim-IP bleibt verborgen.

Hier kann Ihnen nichts entzogen werden außer der kostenlosen Instanz selbst, und Sie behalten die volle Kontrolle über TLS, Routing und das, was exponiert wird. Das ist ein echter Vorteil gegenüber allen verwalteten Optionen oben.

Die Kosten sind ebenso real: Sie sind jetzt selbst dafür verantwortlich, den VPS zu patchen, die Firewall korrekt zu konfigurieren und Ihren eigenen Traffic nicht falsch zu routen. Kostenlose Tarife begrenzen zudem den Egress-Traffic – Googles kostenlose Instanz umfasst nur 1 GB ausgehenden Transfer pro Monat –, weshalb dieser Weg für alles Media-Lastige ungeeignet ist.

Am besten für: Für alle, die keine Abhängigkeit von einem Tunnel-Anbieter wollen und gerne eine weitere Kiste betreiben.

WireGuard-Schnelleinstieg

Drei Topologien nebeneinander: ein grünes privates Mesh aus verbundenen Geräten, ein blauer Tunnelbogen vom Haus zur Cloud und ein rotes Haus mit offener Tür, in das ein Pfeil direkt von außen eindringt. — Drei Formen, drei Risikoprofile. Ein Mesh exponiert nichts, ein Tunnel exponiert einen Dienst, und ein weitergeleiteter Port exponiert Ihre Haustür für alle.

Wie Sie die richtige Option wählen

Fragen Sie sich zuerst, wer überhaupt Zugriff braucht. Lautet die Antwort „ich und meine Familie", nutzen Sie ein Mesh-VPN und sind fertig — Sie haben die öffentliche Angriffsfläche vollständig entfernt. Greifen Sie nur dann zu einem Tunnel, wenn wirklich Fremde darauf zugreifen müssen.

Veröffentlichen Sie niemals den Hypervisor. Exponieren Sie den einzelnen Dienst, nicht die Proxmox-Verwaltungsoberfläche. Root-äquivalente Kontrolle über jede VM, die Sie besitzen, gehört nicht hinter eine öffentliche URL, ganz gleich, wie gut das TLS ist.

Lesen Sie die Nutzungsbedingungen für Ihre tatsächliche Workload. Die meisten davon sind für ein Dashboard unproblematisch und für einen Medienserver fragwürdig. Insbesondere die Cloudflare-Media-Frage ist eher ungeklärt als entschieden, und jeder Guide, der sie mit voller Überzeugung in die eine oder andere Richtung beantwortet, rät nur.

Überwachen Sie den Tunnel, nicht nur den Dienst. Ein Tunnel-Daemon, der abstürzt, nimmt alles dahinter offline, während der Server selbst völlig gesund aussieht — prüfen Sie ihn deshalb von außen, mit einem der kostenlosen Uptime-Monitore. Wenn Sie den WireGuard-Weg wählen, kann der Endpunkt auf einer kostenlosen VPS-Instanz liegen.

Häufig gestellte Fragen

Ist das Streamen von Plex oder Jellyfin über Cloudflare Tunnel erlaubt?

Es ist durch die von allen zitierte Klausel nicht mehr verboten — Abschnitt 2.8 der Cloudflare-Nutzungsbedingungen, der Nicht-HTML-Inhalte über den Proxy einschränkte, wurde entfernt. Cloudflare hat ihn aber nicht durch eine klare Regel ersetzt, die festlegt, welches Videovolumen im kostenlosen Tarif akzeptabel ist – die Lage ist also wirklich unklar und in keine Richtung entschieden. Wenn Ihre Mediathek Ihnen wichtig ist, lesen Sie Cloudflares aktuelle Nutzungsbedingungen selbst und erwägen Sie einen Weg, der nicht durch den Proxy läuft, etwa eine Tailscale-Verbindung zwischen Ihren eigenen Geräten.

Tunnel, VPN oder Port-Forwarding — was brauche ich wirklich?

Wenn nur Sie und Ihr Haushalt Zugriff brauchen, nutzen Sie ein Mesh-VPN wie Tailscale oder ZeroTier: Nichts wird öffentlich exponiert, wodurch die gesamte Angriffsfläche entfällt. Wenn Fremde darauf zugreifen müssen — eine öffentliche Website, ein geteilter Link —, nutzen Sie einen Reverse-Tunnel wie Cloudflare Tunnel. Port-Forwarding ist die Option, die Sie vermeiden sollten: Es veröffentlicht Ihre Heim-IP, verlangt von Ihnen, TLS und Firewalling selbst zu verwalten, und ist der übliche Weg, wie Homelabs kompromittiert werden.

Brauche ich eine eigene Domain?

Für Cloudflare Tunnel ja — die Domain muss Cloudflares Nameserver verwenden, und das ist praktisch der Eintrittspreis. ngrok gibt Ihnen eine kostenlose statische Domain auf der eigenen. Tailscale Funnel stellt einen von Tailscale gehosteten Hostnamen bereit. Die Mesh-Optionen nutzen überhaupt kein öffentliches DNS. Eine Domain ist also nur zwingend nötig, wenn Sie etwas unter Ihrem eigenen Namen veröffentlichen wollen.

Was ist der sicherste Weg, um remote auf die Proxmox-Weboberfläche zuzugreifen?

Setzen Sie sie überhaupt nicht dem Internet aus. Die Proxmox-VE-Web-UI läuft mit root-äquivalentem Zugriff auf Ihren gesamten Virtualisierungs-Stack, und das hinter irgendeine öffentliche URL zu legen — selbst mit TLS — ist ein schlechter Tausch. Legen Sie sie stattdessen auf ein Mesh-VPN, sodass sie nur von Ihren eigenen Geräten erreichbar ist. Wenn Sie etwas veröffentlichen müssen, veröffentlichen Sie den einzelnen Dienst, niemals die Management-Oberfläche des Hypervisors.

Hält ein kostenloser Tunnel echtem Traffic stand?

Für eine private Website, ein Dashboard oder eine API problemlos. Für dauerhaften Traffic mit hoher Bandbreite nein — und die Einschränkung ist meist nicht der Tunnel, sondern der kostenlose Tarif dahinter. Egress-Kontingente bei kostenlosen Cloud-Instanzen sind klein (Googles umfasst 1 GB pro Monat), verwaltete Tunnel werden nicht als CDN verkauft, und die Upload-Geschwindigkeit von Endkunden-Anschlüssen bremst Sie lange bevor irgendetwas anderes es tut.