Tailscale
Tailscale US Inc. (Delaware) for contracts from 2024-09-03, before that Tailscale Inc. (Toronto) ·tailscale.com· As of: 2026-07-30
Work through this tool with an AI
Our verdict
Identity-bound access does not sell a single product. No customer buys because a clean network runs in the background. Without this layer, however, a pile of debt grows out of VPN accounts, jump hosts and shared keys that nobody fully knows any more. That debt comes due the moment a larger customer sends a security questionnaire or a buyer asks to see who can reach what. The tool keeps you from falling behind, it does not create an edge.
Evidence:Plans, per-user prices, tagged resources, access groups and the minute poolOpen sourceSOC 2 Type II, no access to traffic content, role of the coordination serverOpen sourceChange of contracting entity on 3 September 2024 per Schedule A, New York as governing lawOpen sourceData processing addendum, standard contractual clauses, 72-hour breach notice, deletion within 30 daysOpen sourceEight named subprocessors with purpose and region, as of 2 September 2025Open sourceProcessing in Canada, Germany, the United States and the United Kingdom, with no EEA-only commitmentOpen sourceClient open source, coordination server proprietary, Headscale an independent community projectOpen sourceSeries C of 160 million US dollars led by Accel, 10,000 customers per the vendorOpen source
Who it fits
Solo
suitable
The free tier covers up to 6 users, unlimited user devices and 50 tagged resources. For one person with a handful of servers that means no cost at all.
Mid-market
suitable
Eight US dollars per user per month is predictable, and user devices are not counted. The real ceiling is not the price but the limit of 10 access groups on the Standard plan.
Enterprise
suitable with caveats
The vendor holds SOC 2 Type II but no ISO 27001 of its own and offers no choice of an EU storage location. Anyone who needs processing confined to the EEA, or an ISO certificate held by the vendor itself, will not find that promised publicly.
Buy, switch or build
Off-the-shelf
Classic VPN with a concentrator and jump hosts
One central appliance or instance that all traffic passes through, with jump hosts behind it for the sensitive systems. That is proven, auditable and in many companies already paid for. The price is the topology: everything runs through a single point that is both bottleneck and failure point, and rights attach to a network segment rather than to a person. Removing someone means cleaning up in several places.
AI-native
No AI-native replacement, but a serious neighbour
There is nothing AI-native in this category, and none is to be expected, because the job is cryptography and rule sets, not language understanding. Anyone looking for alternatives will find them not among AI vendors but among the identity-aware access services of the large network providers and the access servers from the developer world. Those neighbours put a broker in the data path instead of connecting devices directly, which buys more control and more logging at the cost of latency and one more place that can see the traffic.
Build it yourself
WireGuard by hand or running Headscale yourself
The foundation is open source, so this can be rebuilt. Hand-managed WireGuard keys work across ten devices and turn into bookkeeping nobody volunteers for across a hundred. The serious build-it-yourself route is Headscale, an open-source reimplementation of the coordination server that keeps the official clients working. That leaves the control plane in your own house, which can be the only viable path under hard sovereignty requirements. The project explicitly describes its own scope as aimed at self-hosters and small organisations, though, and directory integration, account provisioning and being on call then land on you.
Our advice
- Solo: Take the free tier and retire the jump hosts.
- Mid-market: Buy. Count your servers and containers first, not your staff.
- Enterprise: Buy, but settle storage location, log retention and certificates in writing before signing.
Who is behind it
Staying power: Funded
Backed by a large venture round and a meaningful customer count, but with no public figures on revenue or profitability. That is a funded position, not demonstrated self-sufficiency.
- Funding: USD 160 million Series C led by Accel, announced on 08.04.2025Series C of 160 million US dollars led by Accel, 10,000 customers per the vendorOpen source · As of 2026-07-30
- Customer count per vendor: 10,000 customers, a figure given in the vendor's own funding announcementSeries C of 160 million US dollars led by Accel, 10,000 customers per the vendorOpen source · As of 2026-07-30
- Certification: SOC 2 Type II; no ISO 27001 and no business associate agreement under US health law, because by the vendor's own account only metadata are storedSOC 2 Type II, no access to traffic content, role of the coordination serverOpen source · As of 2026-07-30
- Change of contracting entity: Accounts opened from 03.09.2024 contract with Tailscale US Inc., Delaware; older accounts continue with Tailscale Inc., TorontoChange of contracting entity on 3 September 2024 per Schedule A, New York as governing lawOpen source · As of 2026-07-30
- Maintenance of the subprocessor list: Public list of eight named subprocessors, last changed on 02.09.2025Eight named subprocessors with purpose and region, as of 2 September 2025Open source · As of 2026-07-30
Cost of leaving: Moderate
There is no content to export, because the vendor cannot see the traffic and holds only configuration and connection metadata. The client is open source, the protocol is WireGuard, and Headscale exists as an open-source reimplementation of the coordination server, which the vendor itself names as an independent community project. The expense is not moving data but two other things: the access rules have to be rewritten, and Headscale describes itself as aimed at self-hosters and small organisations, so it is not an equivalent substitute for a managed service.
Regulation and data
| Data processing agreementdocumented, no condition attached: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.documented, tied to a condition: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.documented, but unfavourable: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.open on a point that decides usability: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | documented, no condition attachedin place, becomes part of the contract by referenceData processing addendum, standard contractual clauses, 72-hour breach notice, deletion within 30 daysOpen sourceNo separately signed document is foreseen for self-serve customers. The addendum takes effect at the next payment period, at renewal, or with a new order form.As of 2026-07-30 |
|---|---|
| Storage locationdocumented, no condition attached: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.documented, but unfavourable: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.open on a point that decides usability: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | documented, but unfavourableCanada, Germany, USA and United Kingdom, further countries reserved; no choice for the customerProcessing in Canada, Germany, the United States and the United Kingdom, with no EEA-only commitmentOpen sourceThe privacy policy names these countries explicitly and reserves further jurisdictions. Confinement to the EEA is nowhere promised.As of 2026-07-30 |
| Subprocessorsdocumented, no condition attached: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.documented, but unfavourable: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.open on a point that decides usability: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | documented, no condition attachedeight named: AWS, DigitalOcean, Hetzner, Linode, Vultr, NetActuate, Snowflake, Jira Service ManagementEight named subprocessors with purpose and region, as of 2 September 2025Open sourceThe list names purpose, data processed and region for each vendor. Changes are announced, with a ten-day objection window.As of 2026-07-30 |
| Third-country transferdocumented, no condition attached: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.documented, tied to a condition: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.documented, but unfavourable: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.open on a point that decides usability: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | documented, no condition attachedtransfers to the USA and other third countries, based on standard contractual clausesData processing addendum, standard contractual clauses, 72-hour breach notice, deletion within 30 daysOpen sourceThe addendum makes the EU clauses part of the contract and applies module two or three as appropriate. A separate version covers the United Kingdom.As of 2026-07-30 |
| Training on customer datadocumented, no condition attached: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.documented, tied to a condition: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.documented, but unfavourable: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.open on a point that decides usability: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | documented, tied to a conditionunclearNeither the privacy policy nor the security page states whether connection and configuration data are used to train models. The question is defused by the fact that the vendor cannot read traffic content, by its own account and plausibly so by design. It remains open for the metadata.no source given · As of 2026-07-30 |
| Retention and deletiondocumented, no condition attached: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.documented, but unfavourable: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.open on a point that decides usability: Keine Aussage zu Aufbewahrung und Löschung. | documented, tied to a conditionreturn or deletion on request within 30 days of contract end; retention during operation unclearData processing addendum, standard contractual clauses, 72-hour breach notice, deletion within 30 daysOpen sourceThe privacy policy names no concrete period, only the principle of necessity. How long connection logs are kept during normal operation is not publicly documented.As of 2026-07-30 |
| Certificationsdocumented, no condition attached: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.documented, tied to a condition: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.documented, but unfavourable: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.open on a point that decides usability: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | documented, tied to a conditionSOC 2 Type II held by the vendor; no ISO 27001 and no business associate agreement under US health lawSOC 2 Type II, no access to traffic content, role of the coordination serverOpen sourceThe vendor justifies the absence of a healthcare agreement by storing only metadata rather than customer content. Certificates held by the data centres it uses are not the same as a certificate of its own.As of 2026-07-30 |
| EU AI Act, Article 50documented, no condition attached: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.documented, tied to a condition: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.documented, but unfavourable: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.open on a point that decides usability: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | documented, no condition attachednot applicable on our review, with no statement from the vendorThe tool is network infrastructure and contains no AI system in the sense of the regulation that would trigger the transparency duties under Article 50. We found no explicit vendor statement on this on the security, privacy or contract pages.no source given · As of 2026-07-30 |
| Audit loggingdocumented, no condition attached: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.documented, but unfavourable: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.open on a point that decides usability: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | documented, tied to a conditionconfiguration audit log available; network flow logs and streaming to your own systems only on the Premium plan; retention period unclearPlans, per-user prices, tagged resources, access groups and the minute poolOpen sourceThe pricing page assigns network flow logs and log streaming to the Premium plan. How long logs are retained, and whether that differs by plan, was not findable in the knowledge base.As of 2026-07-30 |
What it really costs
Entry price
Free for up to 6 users with unlimited user devices, 50 tagged resources and 3 access groups. The Standard plan costs 8 US dollars per user per month, Premium 18 US dollars.Plans, per-user prices, tagged resources, access groups and the minute poolOpen source
As of 2026-07-30
What gets expensive
Not on users, since laptops and phones are free and unlimited. The infrastructure is what costs: servers, subnet routers and app connectors count as tagged resources, 50 are included on every plan, and each further one costs 1 US dollar a month. Anyone running containers passes that line quickly. On top comes the minute pool for ephemeral resources such as build runners and Kubernetes pods: 1,000 minutes a month on Standard, 10,000 on Premium, and beyond that only by talking to sales. The second cost trap is the jump to Premium, which you make not for access itself but for 300 access groups instead of 10 and for the logs.
What it displaces
- VPN concentrator as a central gateway
- Jump hosts in front of sensitive systems
- Shared SSH keys and credentials
- Allowlists built on fixed IP addresses
Interfaces
- Connection to an identity directory with automatic account provisioning
- Access rules as a policy file you can keep under version control
- Admin API and command line interface
- Streaming the logs into your own analytics systems (Premium)
- Rollout through device management
Matching methods
- Regulatory Density TestThe test asks whether an obligation creates an advantage or is merely a duty, and identity-bound access answers the security questionnaires larger customers now send to every vendor alike.
- DORA Delivery DiagnosticTime to restore depends on how fast the right people reach the right systems, and access bound to a person shortens exactly that path without leaving shared keys behind.
Sources
- 1.Plans, per-user prices, tagged resources, access groups and the minute pool (opens in a new tab)tailscale.com/pricing · As of 2026-07-30
- 2.SOC 2 Type II, no access to traffic content, role of the coordination server (opens in a new tab)tailscale.com/security · As of 2026-07-30
- 3.Change of contracting entity on 3 September 2024 per Schedule A, New York as governing law (opens in a new tab)tailscale.com/terms · As of 2026-07-30
- 4.Data processing addendum, standard contractual clauses, 72-hour breach notice, deletion within 30 days (opens in a new tab)tailscale.com/dpa · As of 2026-07-30
- 5.Eight named subprocessors with purpose and region, as of 2 September 2025 (opens in a new tab)tailscale.com/dpa-subprocessors · As of 2026-07-30
- 6.Processing in Canada, Germany, the United States and the United Kingdom, with no EEA-only commitment (opens in a new tab)tailscale.com/privacy · As of 2026-07-30
- 7.Client open source, coordination server proprietary, Headscale an independent community project (opens in a new tab)tailscale.com/opensource · As of 2026-07-30
- 8.Series C of 160 million US dollars led by Accel, 10,000 customers per the vendor (opens in a new tab)tailscale.com/blog/series-c · As of 2026-07-30
Last reviewed: 2026-07-30 by Dr. Oliver Gausmann, Convios GmbH
Details out of date? Let us know.