# Private Apps mit Tailscale oder WireGuard auf blitz.cloud > Eine App auf blitz.cloud privat schalten, damit nur deine eigenen Geräte sie öffnen, über dein Tailscale-Tailnet oder dein WireGuard-Netz. Wie du verbindest und was sich ändert. Web page: https://blitz.cloud/de/docs/private-networks/ Updated: 2026-10-15 Eine private App auf blitz.cloud ist raus aus dem offenen Internet. Sie behält ihre Adresse, etwa `https://immich.lena.prod.page`, aber nur Geräte in deinem eigenen Netz können sie öffnen: in deinem Tailscale-Tailnet, in einem WireGuard-Netz, das du schon betreibst, zum Beispiel auf deinem Router, oder mit einem Gerät, das du direkt im Dashboard hinzufügst, ganz ohne eigenen Router. Du verbindest ein Netz auf der Seite Private network im Dashboard und schaltest eine App dann im Tab Settings auf privat. Der kostenlose Tarif verbindet ein Netz mit beliebig vielen privaten Apps, Pro bis zu fünf. ## Wann eine private App sinnvoll ist Manche Apps gehören nicht ins offene Internet: ein Passwort-Manager, den nur deine Familie nutzt, eine Fotosammlung, ein Admin-Panel, ein Datenbank-Werkzeug. Privat geschaltet sind sie aus dem Internet nicht mehr erreichbar. Niemand sonst kommt an sie heran, um ein Passwort zu raten oder eine Sicherheitslücke auszuprobieren. ## Tailscale verbinden 1. Öffne im Dashboard Private network und klick auf Connect Tailscale. Die Anmeldeseite von Tailscale öffnet sich in einem neuen Tab. 2. Melde dich mit deinem Tailscale-Konto an. Kurz danach steht auf der Karte Connected (verbunden). 3. Installier Tailscale auf Handy oder Laptop und melde dich mit demselben Konto an, falls noch nicht geschehen. In Tailscales Konsole musst du nichts anlegen und nichts einfügen. Deine privaten Apps teilen sich ein Gerät in deinem Tailnet, `blitz-`, und `http://blitz-` listet sie alle auf. Das Gerät kannst du auf der Seite Private network umbenennen. Die Karte sagt dir auch, wann Tailscale dich erneut um eine Anmeldung bittet und wie du das für dieses Gerät abschaltest. ## WireGuard verbinden Wenn du schon einen WireGuard-Server betreibst oder einen Router mit WireGuard hast, etwa eine FRITZ!Box: 1. Leg auf deinem Router oder VPN-Server ein neues Gerät (einen "Peer") an und lade seine Konfiguration herunter. Nutz sie nur für blitz.cloud, denn zwei Geräte können sich keine Konfiguration teilen. 2. Klick auf Private network auf Upload config und wähl die Datei aus. blitz.cloud tritt deinem Netz als dieses Gerät bei. Die Konfiguration enthält einen privaten Schlüssel. Wir speichern ihn verschlüsselt und nutzen ihn nur, um deinem Netz beizutreten. Eine Konfiguration, deren Router aus dem Internet nicht erreichbar ist, wird schon beim Hochladen mit Begründung abgelehnt. Das passiert hinter Carrier-Grade-NAT, wie es viele Anschlüsse zu Hause haben, und bei reinen IPv6-Anschlüssen. Nach dem Verbinden öffnest du die Adresse, die auf der Karte steht, von einem Gerät in deinem Netz. Dort stehen alle deine privaten Apps. ## Ohne eigenen Router Kein eigenes VPN oder Router mit WireGuard? blitz.cloud kann den WireGuard-Server für dich betreiben. 1. Verbinde auf Private network die WireGuard-App-Karte und klick dann auf Gerät hinzufügen. 2. Scanne den QR-Code mit der WireGuard-App auf deinem Handy, oder lade die Konfigurationsdatei für einen Laptop herunter. Der Schlüssel wird nur einmal angezeigt, wir speichern ihn nicht, also sichere ihn jetzt. 3. Öffne den Tunnel in der WireGuard-App. Deine privaten Apps sind von diesem Gerät aus sofort erreichbar. Nur die Adressen deiner privaten Apps laufen über den Tunnel, die eigene Internetverbindung deines Handys also nicht. Ein Gerät zu entfernen trennt seinen Tunnel innerhalb einer Minute; entfernst du das letzte, nennt das Dashboard vorher, welche privaten Apps dadurch nicht mehr erreichbar wären, damit nichts überraschend wegfällt. ## Eine App privat schalten Öffne die App, geh zu Settings und schalte sie auf privat. Was sich ändert: - Die App behält ihre Adresse, mit HTTPS und ohne Port, öffnet sich aber nur auf Geräten in deinem Netz. Lesezeichen und Links, die du schon hast, funktionieren dort weiter. Von überall sonst aus öffnet sie sich nicht. - Die App schläft nicht mehr ein und antwortet sofort, wenn du sie aus deinem Netz öffnest. - Mit WireGuard funktioniert die Adresse genauso, wo dein Router das zulässt. Zusätzlich bekommt die App einen festen Port auf der Adresse, die blitz.cloud in deinem Netz hat, und dieser Weg funktioniert immer. Schaltest du sie zurück auf öffentlich, öffnet sich die Adresse wieder für alle. ## Ein Netz trennen Beim Trennen fragt das Dashboard, was mit den Apps passieren soll, die an diesem Netz hängen: wieder öffentlich machen oder pausieren. Gelöscht wird nichts. ## Geräte im Netz aus deinen Apps erreichen Eine private App geht in eine Richtung: Deine Geräte öffnen deine Apps. Der [Infrastruktur-Designer](https://blitz.cloud/de/infrastructure-designer/) ergänzt die andere. Eine App wie Home Assistant erreicht ein Gerät in deinem Netz, etwa eine Hue Bridge, unter einem Namen, den du wählst, und ein Gerät zu Hause wie ein NAS kann eine eigene Adresse bekommen, standardmäßig privat. Geräte im Netz erscheinen auf der Seite Designer von selbst, und "Scan my network" findet die in deinem Heimnetz, wenn du darauf klickst. Für Home Assistant führt [Home Assistant mit Geräten zu Hause verbinden](https://blitz.cloud/de/docs/home-assistant-home-devices/) Schritt für Schritt hindurch. ## Grenzen | | Kostenlos | Pro | |---|---|---| | Netze, die du verbinden kannst | 1 | Bis zu 5 | | Private Apps pro Netz | Beliebig viele | Beliebig viele | Bevor du ein Netz verbindest, musst du deine E-Mail-Adresse bestätigen. Ein KI-Assistent, der über MCP verbunden ist, kann deine Netze auflisten und eine App privat oder öffentlich schalten. Das Verbinden eines Netzes bleibt im Dashboard, weil es ein Secret oder eine Konfigurationsdatei braucht. Siehe [KI-Assistenten anbinden](https://blitz.cloud/de/docs/ai-assistants/).