„Mein Router hat NAT, also brauche ich keine Firewall“ oder „NAT schützt mich wie eine Firewall“: Diese Aussage ist im Heimnetz verbreitet, führt aber leicht zu falschen Schlussfolgerungen. NAT und Firewall sitzen oft im selben Router und wirken aus Nutzersicht manchmal ähnlich. Technisch lösen sie jedoch unterschiedliche Aufgaben.
NAT übersetzt Netzwerkadressen, typischerweise zwischen privaten IP-Adressen im Heimnetz und einer öffentlichen Adresse im Internet. Eine Firewall bewertet Netzwerkverkehr anhand von Regeln und entscheidet, ob bestimmte Verbindungen erlaubt oder blockiert werden. Diese Trennung ist wichtig, wenn eine Portfreigabe nicht funktioniert, IPv6 ins Spiel kommt, ein VPN-Gateway eingerichtet wird oder die Windows-Firewall einen Dienst trotz Routerfreigabe sperrt.
Der Kern ist: NAT kann ungefragte eingehende IPv4-Verbindungen erschweren, weil keine passende Zuordnung existiert. Das ist aber keine bewusste Sicherheitsprüfung. Eine Firewall prüft Verbindungen nach Kriterien wie Richtung, Adresse, Port, Protokoll und Zustand. Erst diese Regelentscheidung macht sie zur Sicherheitskomponente.
Was NAT wirklich macht: Adressen und Ports übersetzen
NAT steht für Network Address Translation. Im typischen IPv4-Heimnetz bedeutet das: Geräte im lokalen Netz verwenden private IP-Adressen, die im öffentlichen Internet nicht direkt geroutet werden. Der Router besitzt am Internetanschluss dagegen eine öffentliche IPv4-Adresse oder zumindest eine Adresse auf der nächsten Netzebene. NAT sorgt dafür, dass Verbindungen aus dem privaten Netz trotzdem nach außen funktionieren.
Ein Beispiel: Ein Laptop im Heimnetz ruft eine Webseite auf. Das Paket verlässt den Laptop mit einer privaten Quelladresse und einem Quellport. Am Router wird diese Kombination ersetzt: Nach außen erscheint die Verbindung mit der Adresse des Routers und einem vom Router zugeordneten Port. Diese Form wird häufig als Port Address Translation oder Masquerading bezeichnet.
Damit die Antwort zurückfindet, führt der Router eine Zuordnung. Er merkt sich sinngemäß: Diese externe Adresse-Port-Kombination gehört zu diesem internen Gerät und diesem internen Port. Kommt ein Antwortpaket zurück, kann der Router die Adresse und den Port wieder auf das interne Ziel zurückübersetzen und das Paket an den Laptop weiterleiten.
- Das interne Gerät startet eine Verbindung ins Internet.
- Der Router ersetzt private Quelladresse und Quellport durch seine nach außen sichtbare Adresse und einen zugeordneten Port.
- Der Router speichert diese Zuordnung in seiner NAT-Tabelle.
- Antwortpakete, die zur Zuordnung passen, werden an das richtige interne Gerät zurückgeleitet.
Ungefragte eingehende IPv4-Pakete passen dagegen oft zu keiner vorhandenen Zuordnung. Ohne zusätzliche Weiterleitungsregel weiß der Router bei klassischem Heimrouter-NAT nicht, welches interne Gerät gemeint ist. Das kann wie eine Schutzfunktion wirken. Genau hier entsteht aber die häufige Verwechslung: NAT trifft keine Sicherheitsbewertung im Sinne von „erlaubt“ oder „verboten“. Es übersetzt Adressen und Ports und benötigt dafür passende Zuordnungen.
NAT ist vor allem im IPv4-Heimnetz verbreitet, weil dort viele Geräte eine gemeinsame öffentliche Adresse nutzen können. Es ist aber nicht die einzige mögliche Netzarchitektur. Geroutete Netze, Unternehmensumgebungen, VPN-Szenarien oder IPv6-Anschlüsse können anders aufgebaut sein. Deshalb sollte NAT nicht als allgemeines Synonym für Netzwerksicherheit verstanden werden.
Was eine Firewall prüft: Regeln, Richtung und Verbindungszustand
Eine Firewall arbeitet auf einer anderen Ebene. Sie übersetzt nicht in erster Linie Adressen, sondern bewertet Netzwerkverkehr anhand eines Regelwerks. Eine Regel kann zum Beispiel festlegen, ob eingehender oder ausgehender Verkehr erlaubt ist, welche Quell- oder Zieladressen betroffen sind, welcher Port genutzt wird, welches Protokoll verwendet wird und ob der Verkehr zu einer bereits erlaubten Verbindung gehört.
Je nach System können weitere Kriterien hinzukommen, etwa Netzprofil, Anwendung, Benutzerkontext oder Sicherheitszone. Bei Heimroutern steht häufig die Begrenzung neuer eingehender Verbindungen im Vordergrund. Auf Servern, Arbeitsstationen oder Unternehmensfirewalls können ausgehende Regeln, Segmentierung und anwendungsbezogene Vorgaben deutlich wichtiger sein.
- Richtung: eingehend, ausgehend oder zwischen Netzsegmenten.
- Adressen: Quelle und Ziel einer Verbindung.
- Ports und Protokolle: etwa TCP oder UDP und die jeweilige Portnummer.
- Zustand: neue Verbindung, Antwortverkehr oder zugehörige Pakete.
- Kontext: je nach System auch Anwendung, Profil oder Zone.
Besonders wichtig ist die Stateful Firewall. Sie merkt sich erlaubte Verbindungen und lässt passende Antwortpakete zurück. Wenn ein Browser eine Verbindung zu einer Webseite öffnet, kann die Firewall diesen ausgehenden Verbindungsaufbau erlauben. Die Antwortpakete der Webseite gelten anschließend als zugehöriger Verkehr und dürfen zurückkommen, ohne dass dadurch beliebige neue Verbindungen aus dem Internet erlaubt wären.
Der Unterschied zwischen Antwortverkehr und neuer eingehender Verbindung ist entscheidend. Antwortverkehr gehört zu einer Kommunikation, die intern begonnen und erlaubt wurde. Eine neue eingehende Verbindung beginnt dagegen von außen und benötigt eine eigene Erlaubnis. Eine Firewall kann diese neue Verbindung blockieren, auch wenn das Ziel technisch adressierbar wäre.
Das erklärt auch IPv6 besser als die NAT-Brille. Bei IPv6 ist klassisches NAT nicht zwingend nötig, weil Geräte eigene global routbare Adressen haben können. Trotzdem bleibt eine Firewall sinnvoll und üblich: Sie kann neue eingehende IPv6-Verbindungen blockieren, gezielt erlauben und Antwortverkehr zustandsabhängig behandeln.
Zusätzlich zur Router-Firewall kann eine Host-Firewall aktiv sein. Betriebssysteme und Server können eigene Regeln anwenden, etwa nach Programm, Port, Netzprofil oder Quellnetz. Deshalb kann ein Dienst trotz Routerfreigabe unerreichbar bleiben, wenn die lokale Firewall auf dem Zielsystem den Zugriff nicht erlaubt.
NAT und Firewall im direkten Vergleich: gleiche Beobachtung, andere Ursache
In der Praxis wirken NAT und Firewall oft wie ein gemeinsamer Schutzwall, weil beide im Heimrouter an derselben Stelle sitzen: zwischen internem Netz und Internet. Wenn ein Zugriff von außen nicht funktioniert, sieht das Ergebnis zunächst gleich aus. Die Verbindung kommt nicht an. Technisch kann dahinter aber etwas sehr Unterschiedliches stehen: fehlende Adressübersetzung, eine blockierende Regel, ein nicht passender Verbindungszustand, eine Host-Firewall oder eine Netzgrenze beim Provider.
Der entscheidende Unterschied bleibt: NAT verändert Adressen und Ports, damit Pakete zwischen internen und externen Netzen zugestellt werden können. Eine Firewall bewertet Verkehr anhand von Regeln und entscheidet, ob er erlaubt oder blockiert wird. Die folgende Gegenüberstellung ordnet typische Beobachtungen danach ein, welche Ebene jeweils wirkt und welche praktische Konsequenz daraus entsteht.
| Praxisfrage oder Beobachtung | Was NAT dabei tut | Was die Firewall dabei prüft | Was das praktisch bedeutet |
|---|---|---|---|
| Ein PC im Heimnetz öffnet eine Webseite. | NAT ersetzt bei IPv4 typischerweise die private Quelladresse und den Quellport durch die öffentliche Adresse des Routers und einen zugeordneten Port. Die Zuordnung wird für die Rückrichtung gemerkt. | Die Firewall kann prüfen, ob ausgehender Webverkehr erlaubt ist und ob die Antwortpakete zu einer erlaubten Verbindung gehören. | Der Webseitenaufruf funktioniert, wenn Übersetzung und Regeln zusammenpassen. NAT ermöglicht die Zustellung über eine gemeinsame öffentliche IPv4-Adresse; die Firewall entscheidet, ob dieser Verkehr erlaubt ist. |
| Antwortpakete einer zuvor geöffneten Verbindung kommen zurück. | NAT findet die passende Zuordnung und leitet die Pakete an das interne Gerät zurück, das die Verbindung gestartet hat. | Eine Stateful Firewall erkennt den Verkehr als Antwort auf eine erlaubte Verbindung und lässt ihn in der Regel passieren, sofern keine andere Regel dagegensteht. | Antwortverkehr ist nicht dasselbe wie eine neue Verbindung von außen. Genau deshalb können Webseiten funktionieren, obwohl ungefragte externe Zugriffe blockiert werden. |
| Ein externer Rechner versucht ohne vorherige Verbindung, ein internes Gerät zu erreichen. | Ohne bestehende Zuordnung weiß NAT bei typischen IPv4-Heimanschlüssen nicht, an welches interne Gerät der Zugriff gehen soll. | Die Firewall kann zusätzlich prüfen, ob eine eingehende neue Verbindung auf diesen Port und zu diesem Ziel erlaubt ist. | Der Zugriff bleibt häufig erfolglos. Bei NAT liegt das zunächst an der fehlenden Zuordnung; bei der Firewall an einer bewussten Regelentscheidung. Beides kann gleichzeitig wirken. |
| Mehrere Geräte nutzen zu Hause dieselbe öffentliche IPv4-Adresse. | NAT unterscheidet die internen Verbindungen über Ports und Zuordnungen. Nach außen erscheinen viele Verbindungen unter derselben öffentlichen Adresse des Routers. | Die Firewall kann je nach Regelwerk für Geräte, Zieladressen, Protokolle oder Ports unterschiedliche Freigaben oder Sperren anwenden. | NAT löst hier vor allem ein Adressierungsproblem. Es ist nicht automatisch ein Sicherheitskonzept, sondern ermöglicht die gemeinsame Nutzung einer knappen öffentlichen IPv4-Adresse. |
| Ausgehende Verbindungen sind fast überall erlaubt. | NAT übersetzt auch diese Verbindungen, sofern sie über die NAT-Grenze laufen. Es bewertet jedoch nicht, ob das Ziel fachlich erwünscht oder riskant ist. | Eine Firewall kann ausgehenden Verkehr ebenfalls filtern, etwa nach Ziel, Port, Protokoll, Anwendung oder Netzprofil. In Heimnetzen sind ausgehende Regeln oft weniger streng konfiguriert als eingehende. | „Ausgehend funktioniert“ bedeutet nicht automatisch „ausgehend ist kontrolliert“. Schadsoftware, unerwünschte Programme oder falsch konfigurierte Dienste können von offenen Ausgangsregeln profitieren. |
| IPv6 ist aktiv und Geräte haben eigene global routbare Adressen. | IPv6 benötigt nicht zwingend NAT. Geräte können grundsätzlich direkt adressierbare IPv6-Adressen erhalten, ohne dass private IPv4-Adressen auf eine öffentliche IPv4-Adresse umgesetzt werden. | Die Firewall bleibt entscheidend: Sie kann eingehende und ausgehende IPv6-Verbindungen nach Regeln, Richtung, Port, Protokoll und Zustand erlauben oder blockieren. | Sicherheit bei IPv6 sollte nicht über NAT gedacht werden. Auch ohne NAT lassen sich unerwünschte eingehende Verbindungen sauber über Firewall-Regeln begrenzen. |
| Der Router „merkt sich“ Verbindungen, aber auch die Firewall spricht von Zustand. | NAT merkt sich Übersetzungszuordnungen: Welche interne Adresse und welcher interne Port gehören zu welcher extern sichtbaren Kombination? | Eine Stateful Firewall merkt sich erlaubte Verbindungszustände: Gehört ein Paket zu einer bereits erlaubten Verbindung oder ist es ein neuer Versuch? | Beide arbeiten mit Tabellen, aber mit unterschiedlichem Zweck. NAT braucht die Zuordnung für die Zustellung; die Firewall nutzt den Zustand für die Regelentscheidung. |
| Ein Port wurde im Router freigegeben. | Bei NAT entsteht eine Weiterleitungsregel: Verkehr von außen auf einen bestimmten externen Port wird an ein bestimmtes internes Gerät und häufig an einen bestimmten internen Port weitergeleitet. | Häufig wird zugleich eine Firewall-Ausnahme benötigt oder automatisch mit angelegt. Die Firewall muss die eingehende Verbindung auf dieses Ziel erlauben. | Eine Portfreigabe macht einen Dienst von außen erreichbar, wenn auch die übrigen Ebenen passen. Damit steigt die Angriffsfläche des erreichbaren Dienstes. |
| Der Port ist im Router freigegeben, der Dienst bleibt aber unerreichbar. | NAT kann korrekt weiterleiten, wenn Zieladresse, Port und Protokoll passen. Es kann aber keine Blockade auf dem Zielsystem aufheben. | Eine Host-Firewall, etwa auf einem Server oder Windows-Rechner, kann denselben Zugriff weiterhin blockieren. Auch eine zusätzliche Netzwerk-Firewall kann dazwischenliegen. | Der Irrtum lautet: „Routerfreigabe genügt immer.“ Tatsächlich müssen Weiterleitung, Router-Firewall, Host-Firewall und der tatsächlich laufende Dienst zusammenpassen. |
| Ein Dienst läuft auf einem Server im internen Netz. | NAT ist nur relevant, wenn der Server über eine NAT-Grenze hinweg aus einem anderen Netz erreichbar sein soll. Intern kann Kommunikation auch ohne NAT stattfinden. | Die Server- oder Host-Firewall kann festlegen, welche Clients, Ports und Protokolle den Dienst erreichen dürfen. | Ein Server kann trotz korrekter Netzadresse nicht erreichbar sein, wenn seine eigene Firewall blockiert. Umgekehrt sollte ein laufender Dienst nicht automatisch für jedes Netz offen sein. |
| Ein VPN-Gateway verbindet externe Nutzer mit dem internen Netz. | NAT kann an der Internetkante oder zwischen Teilnetzen beteiligt sein, muss aber nicht die zentrale Steuerungsinstanz sein. | Die Firewall entscheidet, welche VPN-Verbindungen erlaubt sind und welche Ziele im internen Netz nach dem Verbindungsaufbau erreichbar werden. | Beim VPN reicht die Frage „NAT oder nicht?“ nicht aus. Entscheidend ist, welche Regeln für den Tunnel und für den Verkehr durch den Tunnel gelten. |
| Der Anschluss nutzt CGNAT, obwohl lokal eine Portfreigabe gesetzt wurde. | Lokales NAT im Heimrouter kann weiterleiten, aber eine vorgelagerte Provider-NAT-Ebene kann verhindern, dass die öffentliche IPv4-Verbindung überhaupt am eigenen Router ankommt. | Die lokale Firewall kann nur Verkehr prüfen, der sie erreicht. Providerseitige Netzgrenzen liegen außerhalb ihrer Kontrolle. | Eine deaktivierte lokale Firewall oder eine korrekte Portfreigabe garantiert keine Erreichbarkeit von außen. Bei CGNAT kann eine lokale Freigabe allein wirkungslos bleiben. |
| Ein Unternehmensnetz nutzt für bestimmte Bereiche kein klassisches NAT. | NAT ist dort möglicherweise gar nicht nötig, etwa wenn Netze sauber geroutet werden oder öffentliche beziehungsweise intern geroutete Adressbereiche verwendet werden. | Die Firewall kann trotzdem sehr genau zwischen Netzbereichen, Diensten, Benutzern, Anwendungen oder Verbindungsrichtungen filtern. | Das zeigt die Trennung besonders klar: Eine Firewall braucht kein NAT, um Sicherheitsregeln durchzusetzen. NAT ist keine Voraussetzung für Filterung. |
| Ein offener Dienst ist aus dem Internet erreichbar. | NAT leitet den Verkehr bei passender Freigabe an das interne Ziel weiter oder ist bei direkt adressierbaren Netzen gar nicht beteiligt. | Die Firewall erlaubt den Zugriff nach Regelwerk. Je nach Konfiguration kann sie ihn auf bestimmte Quellen, Protokolle oder Zustände beschränken. | Das Risiko hängt vom erreichbaren Dienst, seiner Konfiguration, Authentifizierung und Aktualität ab. Offen bedeutet nicht automatisch kompromittiert, aber die Angriffsfläche ist größer. |
Die Tabelle zeigt den Kern der Verwechslung: NAT kann bestimmte ungefragte IPv4-Zugriffe scheitern lassen, weil keine Übersetzungszuordnung existiert. Das sieht aus Nutzersicht wie eine Blockade aus, ist aber keine bewusste Sicherheitsprüfung. NAT fragt nicht, ob ein Dienst vertrauenswürdig ist, ob ein Quellnetz erlaubt sein soll oder ob ein bestimmtes Protokoll in dieser Richtung zulässig ist. Es übersetzt und ordnet zu.
Eine Firewall arbeitet auf einer anderen Ebene. Sie kann eine neue eingehende Verbindung ablehnen, obwohl eine Adresse technisch erreichbar wäre. Sie kann ausgehende Verbindungen beschränken, obwohl NAT sie problemlos übersetzen könnte. Und sie kann bei IPv6 denselben Schutzgedanken umsetzen, obwohl keine klassische IPv4-Adressübersetzung erforderlich ist. Deshalb ist die Aussage „NAT ist meine Firewall“ technisch ungenau und in der Fehlersuche oft irreführend.
Besonders deutlich wird das bei Portfreigaben. Dort berühren sich beide Funktionen: Die NAT-Seite braucht eine Weiterleitung, damit ein Paket von außen ein internes Ziel findet. Die Firewall-Seite braucht eine passende Erlaubnis, damit diese neue eingehende Verbindung nicht verworfen wird. Zusätzlich kann das Zielsystem selbst noch eigene Regeln anwenden. Eine Freigabe im Router ist daher nur ein Teil der Kette, nicht der Beweis, dass der Dienst aus dem Internet erreichbar sein muss.
Portfreigaben: Weiterleitung, Ausnahme und Angriffsfläche
Eine Portfreigabe ist bei NAT eine Weiterleitungsregel. Verkehr, der von außen an einer bestimmten Adresse-Port-Kombination ankommt, wird an ein internes Gerät und meist an einen bestimmten internen Port weitergereicht. In vielen Routern wird damit zugleich eine passende Firewall-Ausnahme verbunden oder erwartet. Das ist praktisch, verdeckt aber die technische Trennung.
Eine Freigabe macht nicht einen Port abstrakt gefährlich, sondern einen konkreten Dienst erreichbar. Entscheidend ist, welcher Dienst antwortet, wie er authentifiziert, ob er aktuell gehalten wird, welche Quellnetze zugreifen dürfen und ob zusätzliche Firewalls greifen. Ein bewusst veröffentlichter und gepflegter Dienst ist anders zu bewerten als eine versehentlich freigegebene Verwaltungsoberfläche oder ein veralteter Serverprozess.
Wenn eine Portfreigabe nicht funktioniert, muss die Ursache nicht an der Freigabe selbst liegen. Der Dienst kann auf dem Zielsystem nicht laufen, nur lokal lauschen, durch die Host-Firewall blockiert werden oder auf eine andere interne Adresse zeigen als erwartet. Ebenso kann der Anschluss hinter CGNAT liegen. Dann erreicht eine eingehende IPv4-Verbindung den eigenen Router unter Umständen gar nicht direkt, auch wenn die lokale Weiterleitung korrekt eingerichtet ist.
Typische Szenarien sauber einordnen
- Heimrouter mit NAT und Firewall: Häufig arbeiten Übersetzung und Filterung im selben Gerät. NAT sorgt für Adress- und Portübersetzung, die Firewall für Regelentscheidungen.
- Unternehmensfirewall ohne klassisches NAT: Netze können geroutet werden, während die Firewall trotzdem sehr genau zwischen Segmenten, Diensten und Richtungen filtert.
- IPv6 mit Firewall: IPv6 kann ohne klassisches NAT funktionieren. Ob Geräte von außen erreichbar sind, hängt wesentlich von den Firewall-Regeln ab.
- VPN-Gateway: Ein erfolgreicher Tunnel bedeutet nicht automatisch Zugriff auf alle internen Systeme. Routing, Adressen und Firewall-Regeln bestimmen die tatsächliche Erreichbarkeit.
- Server mit Host-Firewall: Ein Server kann Verbindungen lokal erlauben oder blockieren, unabhängig davon, was am Router eingestellt ist.
- Windows-Firewall zusätzlich zur Router-Firewall: Ein Dienst kann trotz Portfreigabe am Router blockiert bleiben, wenn die lokale Regel auf dem Windows-System den Zugriff nicht zulässt.
Häufige Denkfehler bei NAT, Firewall und offenen Ports
- Port weitergeleitet, aber Host-Firewall blockiert: Die Routerregel ist nur eine Ebene. Das Zielsystem kann den Zugriff weiterhin ablehnen.
- Firewall ausgeschaltet, aber Zugriff bleibt unmöglich: Wenn CGNAT oder eine andere vorgelagerte Netzgrenze wirkt, erreicht die Verbindung den eigenen Router möglicherweise nicht direkt.
- NAT als Sicherheitskonzept überschätzt: NAT erschwert bestimmte ungefragte IPv4-Zugriffe als Nebeneffekt, ersetzt aber keine bewusste Regelprüfung.
- IPv6-Firewall vergessen: Bei IPv6 sollte nicht auf NAT als Schutzlogik vertraut werden. Maßgeblich sind passende Firewall-Regeln.
- Ausgehende Verbindungen unkontrolliert erlaubt: NAT bewertet nicht, ob ein ausgehendes Ziel sinnvoll ist. Dafür sind Firewall-Regeln oder andere Sicherheitskomponenten zuständig.
- UPnP öffnet Ports automatisch: Wenn unterstützt und aktiviert, können Geräte oder Anwendungen Portfreigaben anfordern. Das ist bequem, kann aber ungewollt Dienste von außen erreichbar machen.
FAQ: kurze Antworten auf typische Fragen
Was macht NAT?
NAT übersetzt Netzwerkadressen und häufig auch Ports. Im typischen IPv4-Heimnetz ersetzt der Router die private Quelladresse eines internen Geräts durch seine nach außen sichtbare Adresse und merkt sich die Zuordnung für die Rückrichtung.
Was macht eine Firewall?
Eine Firewall bewertet Netzwerkverkehr anhand von Regeln. Sie kann unter anderem Richtung, Adresse, Port, Protokoll, Anwendung und Verbindungszustand berücksichtigen und Verkehr erlauben oder blockieren.
Ist NAT eine Firewall?
Nein. NAT kann ungefragte eingehende IPv4-Verbindungen erschweren, weil keine passende Zuordnung existiert. Das ist aber keine bewusste Sicherheitsentscheidung. Eine Firewall prüft Verkehr regelbasiert.
Warum blockiert die Firewall trotz Portfreigabe?
Eine Portfreigabe richtet vor allem den Weiterleitungspfad ein. Zusätzlich müssen Router-Firewall, Host-Firewall und der Dienst selbst den Zugriff zulassen. Eine lokale Firewall auf dem Zielsystem kann den weitergeleiteten Verkehr weiterhin blockieren.
Braucht IPv6 NAT?
IPv6 braucht klassisches NAT nicht zwingend. Geräte können eigene global routbare IPv6-Adressen erhalten. Sicherheit sollte dabei über saubere Firewall-Regeln und nicht über die Erwartung einer Adressübersetzung gedacht werden.
Was ist eine Stateful Firewall?
Eine Stateful Firewall merkt sich erlaubte Verbindungen. Sie kann passende Antwortpakete zulassen, ohne dadurch beliebige neue eingehende Verbindungen zu erlauben.
Was bedeutet UPnP?
UPnP kann es Geräten oder Anwendungen ermöglichen, automatisch Portfreigaben am Router anzufordern, sofern Router und Konfiguration das unterstützen. Das erleichtert manche Anwendungen, kann aber ungewollt Dienste erreichbar machen.
Warum sind offene Ports riskant?
Ein offener Port bedeutet, dass ein Dienst von außen erreichbar sein kann. Das Risiko hängt vom Dienst, seiner Konfiguration, Authentifizierung, Aktualität und Begrenzung auf erlaubte Quellen ab. Offene Ports sind nicht automatisch kompromittiert, erhöhen aber die Angriffsfläche.
NAT und Firewall erklären oft dieselbe Beobachtung aus verschiedenen Blickwinkeln. Wenn eine eingehende Verbindung nicht ankommt, kann eine fehlende NAT-Zuordnung, eine Firewall-Regel, CGNAT, eine Host-Firewall oder ein nicht erreichbarer Dienst dahinterstehen. Wer diese Ebenen trennt, sucht gezielter und vermeidet falsche Sicherheitsannahmen.
Als Merksatz reicht: NAT übersetzt Adressen und Ports, eine Firewall entscheidet über Verkehr. Portfreigaben verbinden beide Welten und sollten deshalb bewusst gesetzt werden. Besonders bei IPv6, Serverdiensten, VPN-Zugängen und automatischen Freigaben über UPnP lohnt sich ein genauer Blick darauf, welche Verbindungen wirklich erlaubt sein sollen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten