Warum Ihren Editor verlassen? Microsoft Dev Tunnels vs. ngrok im Jahr 2026

Entwickler, die einen lokalen Server ins Internet freigeben, dachten früher nur an eins: eine CLI herunterladen, ein Konto erstellen, ein Authtoken einfügen und zwischen Ihrem Editor und einem separaten Terminalfenster wechseln. Microsoft hat in den letzten Jahren diese Lücke verkleinert, indem es Port-Weiterleitung direkt in den Ports-Ansicht von VS Code integriert hat, unterstützt durch seinen Dev Tunnels-Dienst. Keine Erweiterung nötig, kein separates Binary — einfach mit einem Rechtsklick in einem bereits geöffneten Panel.

Das macht ngrok nicht obsolet. Es macht die Wahl interessanter, weil beide Tools in ihrer kostenlosen Version ähnliche Formen angenommen haben, aber unterschiedliche Zwecke erfüllen. Dieser Beitrag zeigt, wo Dev Tunnels wirklich gewinnt, warum die populäre Erzählung über ngroks Free Tier veraltet ist und wo ngrok die einzige echte Option bleibt.

Die Kosten des Kontextwechsels

Lokale Entwicklung in den frühen 2020er Jahren war fragmentiert: Code in VS Code schreiben, die App im integrierten Terminal starten, dann ein zweites Terminal öffnen, um ein Tunneling-Tool für eine öffentliche HTTPS-URL zu verwenden. Jedes Mal, wenn Sie einen Stripe-WebHook testen oder einen Vorschau-Link teilen wollten, verließen Sie Ihren Editor, prüften, ob Ihr Auth-Token abgelaufen war, und kopierten URLs in das Dashboard eines anderen.

Die Ports-Ansicht in VS Code fasst das an einem Ort zusammen. Wenn Ihre App bereits im integrierten Terminal läuft, reicht ein Rechtsklick auf einen Port, um ihn weiterzuleiten — kein neues Tool nötig.

Wie ngroks Free Tier 2026 tatsächlich aussieht

Jahrelang war “einfach ngrok verwenden” die Standardantwort auf StackOverflow, und vieles, was man über das kostenlose Tier sagt, ist heute falsch. Zwei Behauptungen werden ständig wiederholt und halten einer Überprüfung nicht stand:

“Kostenlose Tunnels laufen nach ein paar Stunden ab.” Das stimmt nicht mehr. Die Dokumentation von ngrok besagt klar, dass kostenlose Endpunkte kein Timeout haben und unbegrenzt laufen können — man kann sie sogar als Hintergrunddienst betreiben. Früher (bei älteren kostenlosen Plänen) waren Sessions nach 8 Stunden abgelaufen, aber ngrok hat das Timeout komplett entfernt.

“Jedes Mal, wenn Sie neu starten, erhalten Sie eine neue zufällige URL.” Auch veraltet. Seit 2023 erhält jedes ngrok-Konto — inklusive kostenloser Version — eine statische “dev domain” (wie your-name.ngrok-free.app), die an das Konto gebunden ist und bei Neustarts bestehen bleibt. Zufällige Sitzungs-URLs sind nur noch bei bezahlten Plänen eine Option, nicht bei der kostenlosen Version.

Was beim kostenlosen Tier noch immer gilt, direkt aus ngroks aktuellen Limits:

Ressource	Limit im Free Tier
Datenübertragung aus	1 GB / Monat
HTTP-Anfragen	20.000 / Monat
TCP-Verbindungen	5.000 / Monat
Online-Endpunkte	Bis zu 3 gleichzeitig
Gleichzeitige Agents	3
Interstitial-Warnseite	Ja, bei HTML-Browserverkehr
Custom/Vanity Domains	Nicht verfügbar (bei allen Tiers unter Pay-as-you-go)
TLS-Endpunkte (selbstterminiert)	Nicht verfügbar

Die Interstitial-Seite ist real und zeigt beim ersten Zugriff im Browser eine Warnung “this site is served by ngrok”. Sie beeinflusst jedoch keine API-Clients oder Webhook-Sender — programmatische Anfragen überspringen sie, und im Browser kann man sie umgehen, indem man einen ngrok-skip-browser-warning-Header oder einen nicht-standardmäßigen User-Agent sendet.

ngroks bezahlte Tiers, so wie sie tatsächlich bepreist sind

Plan	Preis	Was freischaltet
Free	$0	$5 einmaliger Guthaben, 3 Endpunkte, 1GB/20k Requests, nur dev domain
Hobbyist	$8/Monat bei Jahresrechnung ($10/Monat bei Monatsrechnung)	5GB Daten, 100k Requests, keine Interstitial, ngrok-branded Domain-Pool (nicht vollständig anpassbar)
Pay-as-you-go	$20/Monat Grundpreis + Nutzung	Unbegrenzte Endpunkte, eigene Domains, Wildcard-Endpunkte, SSO/RBAC-Add-ons

Eine wichtige Korrektur: eine wirklich eigene Domain wie api.yourdomain.com ist nur im Pay-as-you-go-Plan ($20/Monat+) möglich. Hobbyist bietet nur einen Pool an ngrok-eigenen Domains. Eigene Domains bringen Sie nur bei Pay-as-you-go mit, was bei $20/Monat plus nutzungsabhängiger Abrechnung beginnt.

Microsoft Dev Tunnels: Was es wirklich ist

Dev Tunnels sind in der Ports-Ansicht von VS Code integriert — für grundlegende Weiterleitung ist keine Erweiterung nötig. Starten Sie einen lokalen Server, öffnen Sie die Ports-Ansicht, leiten Sie den Port weiter und authentifizieren Sie sich mit dem gleichen GitHub- oder Microsoft-Konto, mit dem Sie wahrscheinlich schon angemeldet sind. Der Agent stellt eine ausgehende SSH-basierte Verbindung zu einem von Microsoft in Azure gehosteten Relay her; es gibt keine eingehende Firewall-Regel zu konfigurieren und keinen lokalen Listener, der exponiert wird.

Ein paar Dinge, die die “einfach auf Dev Tunnels umsteigen”-Argumentation oft verschweigt:

Es ist noch eine öffentliche Vorschau ohne SLA. Microsofts eigene Dokumentation ist eindeutig: “Diese Vorschauversion wird ohne Service-Level-Agreement bereitgestellt, und es wird nicht für Produktions-Workloads empfohlen.” Das ist ein deutlich anderes Risikoprofil als ein Dienst mit einer veröffentlichten Uptime-Garantie, was relevant ist, wenn Sie einen Webhook eines Zahlungsanbieters darauf zeigen.

Es hat eigene Nutzungslimits, keine “keine Bandbreiten-Drosselung”. Laut Microsofts veröffentlichten Limits, die monatlich zurückgesetzt werden:

Ressource	Limit
Bandbreite	5 GB pro Nutzer
Tunnels	10 pro Nutzer
Ports pro Tunnel	10
Aktive Verbindungen	1.000 pro Port
HTTP-Anfrage-Rate	1.500/min pro Port
Datenübertragungsrate	Bis zu 20 MB/s pro Tunnel
Maximaler Request-Body	16 MB

Das sind großzügigere Limits als bei ngrok im Free Tier, aber vergleichbar mit dem $8/Monat Hobbyist-Plan — nicht die unbegrenzte, drosselungsfreie Obergrenze, die das “kostenlos für immer”-Framing suggeriert.

Es gibt eine feste 60-Sekunden-HTTP-Timeout pro Anfrage, das nicht konfigurierbar ist. Jede Anfrage, die länger als 60 Sekunden dauert, schlägt fehl, laut Microsofts Support-Richtlinien. Für die meisten Webhook-Payloads ist das in Ordnung, aber es ist eine echte Einschränkung, wenn Ihr Handler synchrone Arbeit macht, die lange dauert.

“Persistente” URLs laufen nach Inaktivität ab. Standardmäßig nach 30 Tagen ohne Traffic; Sie können eine benutzerdefinierte Ablaufzeit einstellen, aber das maximale Fenster ist ebenfalls 30 Tage. Das Wochenende mit Laptop zu schließen und am Montag wieder zu öffnen, fällt noch in diesen Zeitraum. Ein Tunnel, der komplett inaktiv ist, hält das nicht.

Das Anti-Phishing-Interstitial existiert auch hier. Dev Tunnels zeigt die gleiche Art Browser-Warnung beim ersten Besuch wie ngrok — Microsofts eigene Dokumentation beschreibt eine Interstitial-Seite gegen Phishing für HTML-Anfragen, die mit einem Header (X-Tunnel-Skip-AntiPhishing-Page: True) oder durch einen Nicht-HTML-Accept-Header übersprungen werden kann, genau wie bei ngrok mit ngrok-skip-browser-warning. Das ist kein Vorteil von Dev Tunnels gegenüber ngrok — beide Tools handhaben es gleich, und beide überspringen es bei API- oder Programmverkehr.

Nichts davon macht Dev Tunnels zu einer schlechten Wahl für den vorgesehenen Zweck: ad-hoc-Sharing, Webhook-Tests während der aktiven Entwicklung, mobile Vorschau-Links. Es übertreibt nur die Aussage “Null-Reibung, keine Limits, einfach ngrok ersetzen”.

Gegenüberstellung

Kosten. Dev Tunnels ist kostenlos, ohne bezahltes Tier — aber die Nutzungslimits sind näher an ngroks Hobbyist-Plan als an “unbegrenzt”. ngrok im Free Tier ist enger (1GB/20k Requests vs. 5GB bei Dev Tunnels), aber 8 USD/Monat entfernen diese Limits komplett, wenn Sie die Free-Version übersteigen. Es gibt keinen klaren Gewinner; es hängt davon ab, ob Sie lieber innerhalb der monatlichen Limits von Dev Tunnels bleiben oder für höhere, veröffentlichte ngrok-Limits bezahlen.

Setup. Dev Tunnels gewinnt eindeutig, wenn Sie bereits VS Code nutzen — es ist wirklich nichts zu installieren. ngrok benötigt eine Binary und ein Authtoken, aber die Einrichtung dauert weniger als eine Minute.

Sicherheit und Zugriffskontrolle. Hier gewinnt ngrok klar. Sein Traffic Policy-Engine unterstützt OAuth/OIDC/SAML an der Edge, IP-Allowlisting, mutual TLS und request-level Regeln — auch in bezahlten Tiers, deutlich günstiger als Enterprise. Dev Tunnels bietet drei Zugriffsebenen (Private, Org via Entra-Tenant, Public) plus Group Policy-Steuerung für Windows-verwaltete Flotten, was deutlich einfacher und weniger konfigurierbar ist.

Eigene Domains. ngrok gewinnt, aber nur ab Pay-as-you-go ($20/Monat+). Hobbyist bietet nur einen Pool an ngrok-eigenen Domains. Dev Tunnels hat keine Option für eigene Domains, immer nur *.devtunnels.ms.

Persistenz. Beide bieten jetzt stabile URLs standardmäßig — ngroks statische dev domain und Dev Tunnels’ persistent tunnel ID sind funktional vergleichbar, mit der Einschränkung, dass Dev Tunnels nach 30 Tagen Inaktivität die URL verliert.

Produktionsreife. ngrok gewinnt hier: Es bietet einen SLA-gestützten bezahlten Plan und wird explizit für Produktionszugang beworben. Dev Tunnels befindet sich in der öffentlichen Vorschau ohne SLA und ist für Entwicklung und Tests gedacht.

Sicherheitslage als Ziel. Beide Tools’ Domains sind als Missbrauchsvektoren dokumentiert. ngrok ist im MITRE ATT&CK-Framework (Software ID S0508) für Phishing und Command-and-Control-Kampagnen gelistet, und einige Sicherheits-Teams blockieren ngrok-Domains. Microsofts Dev Tunnels wurden von Red-Team-Forschern ebenfalls als nutzbar für C2-Redirection dokumentiert, da Traffic zu einer Microsoft-eigenen Domain weniger wahrscheinlich von Sicherheits-Tools erkannt wird. Beide Tools sind nicht grundsätzlich unsicher, aber in sicherheitsbewussten Organisationen ist mit beiden zu rechnen.

Tunneling AI Agents und MCP-Server

Dies ist ein neuer Anwendungsfall für beide Tools, der separat erwähnt werden sollte, da er bei “einfach ngrok für Webhooks” noch nicht existierte. MCP-Server (Local Model Context Protocol), die für Coding Agents gebaut sind, laufen typischerweise über stdio oder localhost, und das Freigeben an einen Cloud-Agent erfordert den gleichen Tunnel wie bei anderen lokalen Diensten.

ngrok veröffentlicht jetzt eine spezielle Anleitung dafür: den ngrok-Agent vor einem lokalen MCP-Server laufen lassen und dessen Identität, Traffic Policy und Beobachtbarkeit so layern, dass jede MCP-Anfrage authentifiziert und auditierbar ist, bevor sie den Server erreicht. Mehrere Open-Source-Wrapper (ngrok-mcp-host als Beispiel) automatisieren das Hochfahren eines MCP-Servers hinter einem ngrok-Tunnel und drucken die Konfigurationsblöcke, die ein Client wie Claude Desktop oder Cursor benötigt.

Microsofts Dokumentation behandelt eine engere, aber verwandte Situation: die Verwendung des devtunnel-CLI, um einen lokalen MCP- oder REST-API-Server freizugeben, sodass Microsoft 365 Copilot’s deklarative Agents während der Plugin-Entwicklung darauf zugreifen können, mit der Option des persistenten Tunnels, damit man die URL nicht ständig aktualisieren muss.

Beide Tools haben keine spezielle MCP-Infrastruktur von Grund auf gebaut — sie verwenden ihre bestehenden Tunnel-Primitive für eine neue Arbeitslast. Wenn Sie Richtlinien durchsetzen oder Audit-Logging für Agentenverkehr brauchen, ist die Traffic Policy von ngrok heute die ausgereiftere Lösung. Wenn Sie bereits im VS Code/Copilot-Ökosystem sind, um schnell lokal zu testen, vermeidet Dev Tunnels zusätzliche Installationen.

Einrichtung von VS Code Port Forwarding

1. Starten Sie Ihren lokalen Server im VS Code integrierten Terminal (npm run dev oder ähnlich).
2. Öffnen Sie die Ports-Ansicht — sie befindet sich im selben Panel wie Terminal und Debug Console, oder über Ports: Focus on Ports View im Command Palette.
3. Leiten Sie den Port weiter durch Klick auf “Forward a Port” oder Eingabe der Portnummer. Beim ersten Mal werden Sie zur Anmeldung bei GitHub oder Microsoft aufgefordert.
4. Sichtbarkeit einstellen. Neue Weiterleitungen sind standardmäßig auf Private (nur Ihr Konto kann zugreifen) gesetzt. Für Webhook-Tests rechtsklicken Sie auf den Port, wählen Port Visibility und wechseln auf Public.
5. Kopieren Sie die URL — sie sieht aus wie https://random-string-3000.usw2.devtunnels.ms — und verwenden Sie sie anstelle einer ngrok-URL.

Der gesamte Ablauf ist auch per Tastatur erreichbar: Cmd/Ctrl+Shift+P → Ports: Forward a Port.

Welche Lösung sollten Sie wirklich verwenden

Bleiben Sie bei ngrok, wenn Sie Edge-Authentifizierung (OAuth/OIDC/SAML) vor einem lokalen Dienst benötigen, eine wirklich eigene Domain, Traffic-Policies auf Anfrage oder etwas, das produktionsnah ist. Seine bezahlten Tiers gibt es, weil diese Funktionen echten Mehrwert bieten, nicht nur, weil das kostenlose Tier knapp ist.

Greifen Sie zu Dev Tunnels, wenn Sie bereits VS Code nutzen, eine schnelle öffentliche URL für eine Design-Review oder einen Webhook-Test während der aktiven Entwicklung brauchen und es nicht auf eine Inaktivitätsdauer von einem Monat ankommt. Der “Null-Installation”-Pfad ist echt und der größte praktische Vorteil von Dev Tunnels.

Ersetzen Sie nicht einfach eins durch das andere. Dev Tunnels ist in der öffentlichen Vorschau ohne SLA — das ist eine echte Einschränkung, wenn Sie auf etwas angewiesen sind. ngrok im Free Tier ist weniger großzügig, als es auf den ersten Blick scheint, aber immer noch ausreichend für kleinere Sprints. Wählen Sie je nach Aufgabe: Persistenz, Sicherheitsrichtlinien oder nur eine URL für einen Kollegen für fünf Minuten — statt sich auf das neuere Tool zu verlassen.

---

Changelog

Korrekturen und Ergänzungen während der Faktenprüfung, mit Quellen:

1. Entfernt die falsche Behauptung, ngroks Free Tier hätte Session-Timeouts. Die offizielle ngrok-Dokumentation zu Limits besagt, dass kostenlose Endpunkte kein Timeout haben und unbegrenzt laufen können. (Früher gab es eine 8-Stunden-Sitzungsbegrenzung vor 2023, diese gilt nicht mehr.) Quelle: ngrok Free Plan Limits

2. Entfernt die falsche Behauptung, ngrok-URLs würden bei jedem Neustart zufällig generiert. Seit August 2023 erhält jedes ngrok-Konto, auch kostenlos, eine statische “dev domain”, die bei Neustarts erhalten bleibt. Quellen: ngrok Free Plan Limits, ngrok Blog: Static dev domains for all ngrok users

3. Bestätigt die aktuellen Limits (1GB/20k Requests im Monat) und ergänzt die vollständige Tabelle der Limits (TCP, concurrency, Rate) von ngrok. Quelle: ngrok Pricing

4. Korrigiert die Aussage zu eigenen Domains bei ngrok. Eigene Domains sind nur im Pay-as-you-go-Plan ($20/Monat+) möglich. Hobbyist bietet nur einen Pool an ngrok-eigenen Domains. Quelle: ngrok Pricing

5. Bestätigt die aktuellen Preise ($8/Monat Hobbyist, $10/Monat bei Monatsrechnung, $20/Monat Pay-as-you-go) laut ngrok-Website, nicht nur Drittanbieter. Quelle: ngrok Pricing

6. Hinweis auf die öffentliche Vorschau von Dev Tunnels ohne SLA, laut Microsoft-Dokumentation, und dass es nicht für Produktion empfohlen wird. Quelle: What are dev tunnels? — Microsoft Learn

7. Fügt die tatsächlichen Limits von Dev Tunnels hinzu (5GB/Monat Bandbreite, 10 Tunnels, 10 Ports/Tunnel, 1.500 req/min, etc.), die im Widerspruch zur ursprünglichen Annahme stehen, dass keine Bandbreiten-Drosselung besteht. Quelle: Dev tunnels service limits — MicrosoftDocs/azure-docs

8. Erwähnt den festen 60-Sekunden-HTTP-Timeout bei Dev Tunnels, der vorher nicht erwähnt wurde, aber relevant für Webhook-Tests ist. Quelle: Microsoft Q&A: Do Dev Tunnels Have an HTTP Timeout Issue?

9. Korrigiert die Aussage, dass “persistente” URLs nach Inaktivität ablaufen. Standard sind 30 Tage ohne Traffic, mit Möglichkeit, eine Ablaufzeit zu setzen. Bei längerer Inaktivität läuft der Tunnel ab. Quelle: Dev tunnels FAQ — Microsoft Learn

10. Bestätigt, dass Dev Tunnels eine ähnliche erste-Visit-Warnung wie ngrok zeigt, aber diese ist für API- oder Programmverkehr umgehbar, kein Vorteil für Dev Tunnels. Quelle: Dev tunnels security — Microsoft Learn, Dev tunnels in Visual Studio 2022 — Microsoft Learn

11. Bestätigt, dass Port Forwarding in VS Code für grundlegende Nutzung keine Erweiterung benötigt. Quelle: Port Forwarding — VS Code docs

12. Ergänzt mit aktuellen Infos zu MCP-Servern und AI-Agenten, inklusive Links zu Anleitungen und Dokumentation. Quellen: Using ngrok as your MCP gateway, Debug MCP and API plugins locally — Microsoft Learn

13. Hinweis auf die Sicherheitslage beider Tools, inklusive der Dokumentation von Missbrauchsvektoren (ngrok im MITRE ATT&CK, Microsoft Dev Tunnels von Red-Team-Forschern). Quellen: Huntress: Abusing Ngrok, ngrok: How ngrok Actively Combats Phishing Attacks

14. Abschluss umformuliert, um keine absoluten Sieger zu nennen, sondern eine task-basierte, ehrlich abwägende Empfehlung zu geben.

15. Alle Front-Matter entfernt und in sauberes Markdown umformatiert.