Smartphone, Notebook, Smart-TV und Drucker nutzen zu Hause oft denselben Internetanschluss. Trotzdem kann jedes Gerät gleichzeitig Webseiten laden, Streams abrufen, Updates herunterladen oder mit Spieleservern kommunizieren. In einer typischen IPv4-Heimnetz-Konfiguration steckt dahinter eine Kombination aus NAT und Portübersetzung.
NAT steht für Network Address Translation, also Netzwerkadressübersetzung. Im IPv4-Heimnetz übersetzt der Router private Adressen der lokalen Geräte in eine nach außen verwendete Adresse. Typischerweise bezieht er zusätzlich TCP- oder UDP-Ports ein. Dadurch können viele Geräte dieselbe öffentliche IPv4-Adresse gemeinsam nutzen, ohne dass Antworten durcheinandergeraten.
Für normales Surfen bemerken Sie davon meist nichts. Relevant wird NAT, wenn ein Spiel einen eingeschränkten NAT-Typ meldet, eine Portfreigabe nicht funktioniert, ein eigener VPN-Server nicht erreichbar ist oder Sie einen zweiten Router hinter dem Providergerät betreiben.
| Begriff | Einfach erklärt | Für Sie relevant, wenn |
|---|---|---|
| Private IPv4-Adresse | Adresse eines Geräts innerhalb des Heimnetzes | Sie Router-, DHCP- oder Portfreigaben prüfen |
| Öffentliche IPv4-Adresse | Adresse, unter der ein Anschluss im öffentlichen IPv4-Netz erscheinen kann | Sie Fernzugriff oder eingehende Verbindungen benötigen |
| NAT/NAPT | Übersetzt Adressen und im Heimnetz typischerweise auch Ports | mehrere Geräte denselben IPv4-Anschluss nutzen |
| Portfreigabe | weist neue eingehende Verbindungen gezielt einem internen Gerät zu | Sie einen Server, ein NAS oder einen anderen Dienst von außen erreichen möchten |
Private und öffentliche IPv4-Adressen richtig einordnen
Jedes Gerät benötigt im lokalen Netz eine eigene Adresse, damit Daten gezielt zugestellt werden können. Diese Adresse muss jedoch nicht weltweit eindeutig sein. Heimrouter verwenden deshalb normalerweise private IPv4-Bereiche, die in beliebig vielen voneinander getrennten Netzen parallel vorkommen dürfen.
| Privater Bereich | Einsteigerfreundliche Schreibweise | Typische Bedeutung |
|---|---|---|
10.0.0.0/8 | 10.x.x.x | großer privater IPv4-Adressraum |
172.16.0.0/12 | 172.16.x.x bis 172.31.x.x | mittlerer privater IPv4-Adressraum |
192.168.0.0/16 | 192.168.x.x | im Heimnetz besonders häufig anzutreffen |
Eine Adresse wie 192.168.178.20 kann Ihr Notebook innerhalb des eigenen Heimnetzes eindeutig bezeichnen. Im öffentlichen Internet wird dieser private Adressraum jedoch nicht direkt geroutet. Ein Server im Internet kann eine Antwort deshalb nicht einfach an 192.168.178.20 senden und erwarten, dass sie Ihren Haushalt erreicht.
Der Router verbindet beide Welten. Auf der LAN-Seite kommuniziert er mit privaten Adressen; auf der Internetseite verwendet er bei einem klassischen IPv4-Anschluss eine öffentliche IPv4-Adresse oder eine weitere, vorgeschaltete Provideradresse. Beim Übergang setzt er die relevanten Adress- und Portinformationen um.
Verwechseln Sie „öffentlich“ nicht mit „dynamisch“. Öffentlich bedeutet, dass eine Adresse grundsätzlich im öffentlichen IPv4-Netz geroutet werden kann. Dynamisch beschreibt nur, dass sich die Adresse ändern kann. Eine öffentliche IPv4-Adresse kann also dynamisch oder dauerhaft zugewiesen sein.
IPv6 arbeitet anders. Dort ist NAT für die normale Adressversorgung nicht in derselben Form nötig wie bei IPv4. Ein Gerät kann eine global nutzbare IPv6-Adresse besitzen. Daraus folgt jedoch nicht, dass es automatisch aus dem Internet erreichbar ist: Die Firewall entscheidet weiterhin, welche eingehenden Verbindungen zulässig sind.
Adresse und Port: So findet die Antwort zurück zum richtigen Gerät
Bei einer Internetverbindung reicht die IP-Adresse allein nicht aus. Der Router muss zusätzlich unterscheiden, zu welcher Anwendung und Verbindung ein Datenpaket gehört. Dafür spielen TCP- und UDP-Ports eine zentrale Rolle.
Ein Port ist keine physische Buchse, sondern eine Nummer innerhalb eines Transportprotokolls. Die Kombination aus IP-Adresse, Port und Protokoll beschreibt einen Kommunikationsendpunkt wesentlich genauer. TCP-Port 443 und UDP-Port 443 sind deshalb zwei unterschiedliche Fälle.
Praxisbeispiel: eine HTTPS-Verbindung durch den Router
Das Notebook im Beispiel verwendet intern 192.168.178.20:53000. Der Router erscheint nach außen unter 203.0.113.10:62001. Der angesprochene Webdienst läuft unter 198.51.100.25:443. Die öffentlichen Adressen stammen aus eigens für Dokumentationsbeispiele reservierten Netzen.
| Station | Quelle | Ziel | Was passiert? |
|---|---|---|---|
| Notebook | 192.168.178.20:53000 | 198.51.100.25:443 | Die Verbindung startet im Heimnetz. |
| Router nach Übersetzung | 203.0.113.10:62001 | 198.51.100.25:443 | Private Quelle und gegebenenfalls Quellport werden umgesetzt. |
| Webserver | sieht 203.0.113.10:62001 | – | Die private Notebook-Adresse ist für den Server nicht sichtbar. |
| Rückweg | 198.51.100.25:443 | 203.0.113.10:62001 | Der Router erkennt die passende Zuordnung. |
| Notebook | 198.51.100.25:443 | 192.168.178.20:53000 | Die Antwort erreicht wieder die ursprüngliche Verbindung. |
Der Quellport 53000 wurde vom Notebook für diese Verbindung temporär gewählt. Eine zweite Verbindung desselben Geräts kann einen anderen Quellport verwenden, obwohl Zielserver und Zielport identisch sind.
Der Router legt parallel einen Zustand beziehungsweise eine Zuordnung an. Vereinfacht merkt er sich, welcher interne Endpunkt unter welcher externen Adresse-Port-Kombination geführt wird. Abhängig vom konkreten NAT- und Firewall-Verhalten können zusätzlich Gegenstelle, Protokoll und weitere Verbindungsmerkmale einfließen.
Diese Zustände bleiben nicht unbegrenzt bestehen. TCP-Verbindungen lassen sich anhand ihres Verbindungszustands verfolgen; bei UDP arbeitet der Router typischerweise mit zeitlich begrenzten Zuordnungen. Nach Ablauf oder Verbindungsende kann der Eintrag entfernt werden.
Ausgehend oder eingehend: Der entscheidende Unterschied
Eine Antwort auf eine von Ihnen gestartete Verbindung kann der Router einer vorhandenen Zuordnung zuordnen. Bei einer völlig neuen Anfrage aus dem Internet fehlt diese Information. Aus einem Paket an die öffentliche IPv4-Adresse allein kann der Router nicht ableiten, ob Notebook, NAS, Spielkonsole oder Kamera gemeint ist.
| Situation | Zuordnung vorhanden? | Typisches Ergebnis |
|---|---|---|
| Antwort auf eine von Ihnen gestartete Verbindung | Ja | Der Router leitet sie zum passenden internen Gerät. |
| Neue Verbindung aus dem Internet | Nein | Es fehlt ein eindeutiges internes Ziel. |
| Neue Verbindung mit Portfreigabe | Feste Regel vorhanden | Der Router leitet sie an das konfigurierte Gerät weiter. |
| Neue Verbindung hinter CGNAT | Lokale Regel allein reicht meist nicht | Die providerseitige Übersetzung bleibt eine zusätzliche Hürde. |
NAT, NAPT und Portweiterleitung sauber unterscheiden
Im Alltag wird fast jede Adress- und Portübersetzung im Router verkürzt als NAT bezeichnet. Technisch lohnt sich eine genauere Unterscheidung, weil nicht jede Übersetzung dieselbe Aufgabe erfüllt.
- Source NAT (SNAT): Der Router verändert bei ausgehenden Paketen die Quelladresse.
- NAPT beziehungsweise PAT: Zusätzlich zur Adresse werden Ports in die Zuordnung einbezogen. Genau das ermöglicht es typischen Heimroutern, viele parallele IPv4-Verbindungen über dieselbe öffentliche Adresse auseinanderzuhalten.
- Destination NAT (DNAT): Der Router verändert bei eingehendem Verkehr Zieladresse oder Zielport. Eine klassische Portweiterleitung ist ein typischer Anwendungsfall.
Für Ihr Heimnetz ist vor allem die praktische Aussage wichtig: Wenn mehrere Geräte gleichzeitig dieselbe öffentliche IPv4-Adresse nutzen, arbeitet der Router typischerweise nicht nur mit einer Adress-, sondern auch mit einer Portzuordnung.
Portfreigaben: Wann Sie sie brauchen – und wann nicht
Soll eine Verbindung bewusst von außen beginnen, benötigt der Router eine Regel, die das interne Ziel festlegt. Eine Portfreigabe kann beispielsweise bestimmen, dass eine Anfrage an einen bestimmten TCP- oder UDP-Port zu einem Spieleserver, NAS, VPN-Endpunkt oder anderen Dienst im Heimnetz weitergeleitet wird.
Die Regel muss zu Protokoll, externem Port, interner Zieladresse und gegebenenfalls internem Zielport passen. TCP und UDP sind getrennt zu behandeln. Sorgen Sie außerdem dafür, dass das Zielgerät seine lokale Adresse behält, etwa über eine DHCP-Reservierung. Sonst kann die Weiterleitung später ins Leere oder zum falschen Gerät zeigen.
| Prüffrage | Wenn ja | Wenn nein |
|---|---|---|
| Muss der Dienst wirklich direkt aus dem Internet erreichbar sein? | Gezielte Freigabe oder sicheren Fernzugriff prüfen. | Keine Portfreigabe einrichten. |
| Besitzen Sie eine von außen erreichbare IPv4-Adresse? | Portweiterleitung kann grundsätzlich funktionieren. | Double NAT oder CGNAT prüfen. |
| Bleibt die interne IP des Zielgeräts gleich? | Die Regel bleibt eindeutig. | DHCP-Reservierung einrichten. |
| Wird der freigegebene Dienst regelmäßig aktualisiert? | Das reduziert bekannte Schwachstellen. | Keine dauerhafte öffentliche Freigabe empfehlen. |
| Gibt es eine VPN- oder andere vermittelte Zugriffslösung? | Diese kann die bessere Alternative sein. | Direkte Freigabe besonders sorgfältig absichern. |
Portfreigaben bewusst absichern
Mit einer Portfreigabe machen Sie einen Dienst aus dem Internet ansprechbar. Dadurch entsteht zusätzliche Angriffsfläche. Ein ungewöhnlicher externer Port kann automatisierte Treffer reduzieren, ersetzt aber keine belastbare Absicherung.
- Begrenzen Sie die Freigabe auf den tatsächlich benötigten Dienst. Öffnen Sie keine großen Portbereiche ohne konkreten Grund.
- Halten Sie Betriebssystem und Serveranwendung aktuell. Öffentlich erreichbare Dienste benötigen eine verlässliche Updateversorgung.
- Nutzen Sie starke Authentisierung. Ändern Sie voreingestellte Kennwörter und aktivieren Sie Mehrfaktor-Authentisierung, wenn der Dienst sie unterstützt.
- Veröffentlichen Sie keine ungeeigneten Verwaltungsdienste. Unverschlüsselte oder schlecht abgesicherte Fernzugriffsprotokolle gehören nicht ohne weitere Schutzmaßnahmen ins öffentliche Internet.
- Entfernen Sie nicht mehr benötigte Regeln. Ein zeitweise eingerichteter Spieleserver oder Testdienst braucht keine dauerhafte Freigabe.
Besondere Vorsicht gilt bei Verwaltungsoberflächen von NAS-Systemen, Kameras und Routern. Eine erreichbare Anmeldeseite ist noch kein sicherer Fernzugang. Prüfen Sie Updateversorgung, Verschlüsselung, Authentisierung und den tatsächlichen Bedarf, bevor Sie einen solchen Dienst öffentlich freigeben.
NAT ist keine Firewall: Übersetzung und Schutz getrennt betrachten
NAT und Firewall arbeiten in vielen Heimroutern eng zusammen, erfüllen aber unterschiedliche Aufgaben. NAT verändert Adressen und gegebenenfalls Ports. Eine Firewall entscheidet anhand von Regeln und Zuständen, welchen Datenverkehr sie zulässt oder verwirft.
| Funktion | Aufgabe | Praktische Bedeutung |
|---|---|---|
| NAT/NAPT | Adressen und Ports übersetzen | ermöglicht die gemeinsame Nutzung einer öffentlichen IPv4-Adresse |
| Stateful Firewall | Verkehr anhand von Regeln und Zuständen filtern | entscheidet, ob eingehender und ausgehender Verkehr zulässig ist |
| Portfreigabe | definiert ein internes Ziel für eingehende Verbindungen | macht einen bestimmten Dienst von außen erreichbar |
| Automatische Portzuordnung | Anwendungen können je nach Router und Verfahren selbst Zuordnungen anfordern | kann die Einrichtung vereinfachen, sollte aber bewusst kontrolliert werden |
Betrachten Sie NAT deshalb nicht als Ersatz für Firewallregeln, Updates oder sichere Dienste. Dass unerwartete eingehende Verbindungen häufig nicht ohne Weiteres zum internen Gerät gelangen, ist eine praktische Folge des Zusammenspiels aus Übersetzung, Zustandsverwaltung und Firewall – keine vollständige Sicherheitsstrategie.
Double NAT, CGNAT, Gaming und VPN richtig einordnen
Ein funktionierender Internetzugang zeigt zunächst nur, dass ausgehende Kommunikation und die zugehörigen Antworten funktionieren. Daraus folgt nicht automatisch, dass Ihr Anschluss neue Verbindungen aus dem Internet annehmen kann. Zusätzliche Übersetzungsebenen sind dafür eine häufige Ursache.
Double NAT: Zwei Router übersetzen hintereinander
Double NAT entsteht, wenn zwei hintereinanderliegende Geräte jeweils NAT ausführen. Typisch ist ein Providerrouter vor einem eigenen Router. Auch ein Glasfaser-Gateway mit aktiver Routerfunktion oder ein Mobilfunkrouter vor einem weiteren Heimrouter kann diese Konstellation erzeugen.
Für normale ausgehende Verbindungen ist das nicht zwangsläufig problematisch. Soll jedoch ein Dienst von außen erreichbar sein, müssen Weiterleitungen und Firewallregeln gegebenenfalls auf beiden Ebenen zusammenpassen. Eine Freigabe nur im inneren Router endet sonst am äußeren Gerät.
CGNAT: Die zusätzliche Übersetzung liegt beim Provider
Carrier Grade NAT, kurz CGNAT, verlagert eine weitere IPv4-Übersetzung in die Infrastruktur des Internetanbieters. Mehrere Kunden können dadurch öffentliche IPv4-Adressen gemeinsam nutzen. Diese Ebene liegt außerhalb Ihrer eigenen Routerkonfiguration.
Eine Portfreigabe in Ihrem eigenen Router kann CGNAT nicht aufheben. Der eingehende Verbindungsversuch muss zunächst die Providerinfrastruktur passieren. Benötigen Sie einen direkt erreichbaren IPv4-Dienst, prüfen Sie deshalb, ob Ihr Anbieter eine öffentliche IPv4-Adresse oder eine entsprechende Tarifoption bereitstellt.
Double NAT oder CGNAT: Wo die zusätzliche Übersetzung sitzt
| Merkmal | Double NAT | CGNAT |
|---|---|---|
| Wo liegt die zusätzliche Übersetzung? | auf zwei hintereinanderliegenden Routern oder Gateways | in der Infrastruktur des Providers |
| Können Sie beide Ebenen konfigurieren? | häufig, wenn beide Geräte unter Ihrer Kontrolle stehen | normalerweise nicht |
| Funktioniert normales Surfen? | meist ja | meist ja |
| Reicht eine Portfreigabe im eigenen Router? | häufig nicht | in der Regel nicht |
| Typische Lösung | Routermodus, Bridge-Modus oder Weiterleitungen sauber abstimmen | öffentliche IPv4, IPv6 oder alternativen Fernzugriff prüfen |
Ein praktisches Indiz erhalten Sie, wenn Sie die im Router angezeigte WAN-IPv4-Adresse mit der Adresse vergleichen, unter der Ihr Anschluss nach außen erscheint. Weichen beide voneinander ab, kann eine weitere Übersetzung vorgeschaltet sein. Das ist jedoch noch kein vollständiger Beweis, weil weitere Router, VPN-Verbindungen oder die konkrete Anschlussarchitektur das Ergebnis beeinflussen können.
Gaming, VPN und Fernzugriff: Welche NAT-Probleme tatsächlich relevant sind
Bezeichnungen wie „Open“, „Moderate“, „Strict“ oder „NAT-Typ 1, 2 oder 3“ sind keine einheitlichen technischen NAT-Klassen. Hersteller und Plattformen verwenden unterschiedliche Tests und Kategorien. Ein eingeschränkter NAT-Typ kann auf Router-NAT, Double NAT, CGNAT oder Firewallregeln hindeuten, beweist aber keine einzelne Ursache.
Auch bei VPNs zählt die Richtung. Ein VPN-Client in Ihrem Heimnetz baut die Verbindung nach außen auf und funktioniert deshalb häufig problemlos hinter NAT. Betreiben Sie dagegen zu Hause selbst einen VPN-Server, muss der Anschluss von außen erreichbar sein oder einen anderen geeigneten Vermittlungsmechanismus verwenden.
Für Sprach-, Video- und Peer-to-Peer-Anwendungen gelten ähnliche Abhängigkeiten. NAT kann direkte Verbindungen erschweren, ist aber nicht automatisch die Ursache jedes Verbindungsproblems. Prüfen Sie ebenso Firewallregeln, Anschlussqualität, Anwendungsstatus und mögliche Vermittlungsdienste.
NAT-Probleme systematisch prüfen
| Problem | Mögliche Ursache | Das sollten Sie prüfen |
|---|---|---|
| Surfen funktioniert, Portfreigabe nicht | CGNAT, Double NAT oder Firewallregel | WAN-Adresse, Routerkette und Anschlussart prüfen |
| Spiel meldet eingeschränkten NAT-Typ | NAT-/Firewall-Verhalten oder weitere Übersetzungsebene | Netzaufbau und Anforderungen der Plattform prüfen |
| NAS ist intern erreichbar, extern nicht | keine funktionierende eingehende Route | öffentliche Adresse, Firewall und Freigabe kontrollieren |
| VPN-Client funktioniert, eigener VPN-Server nicht | ausgehend möglich, eingehend nicht | externe Erreichbarkeit des Anschlusses prüfen |
| Portfreigabe funktioniert nach einiger Zeit nicht mehr | interne Adresse des Zielgeräts geändert | DHCP-Reservierung und Zieladresse kontrollieren |
IPv4 und IPv6: NAT und Erreichbarkeit nicht verwechseln
IPv6 beseitigt den ursprünglichen IPv4-Adressmangel nicht durch noch mehr Übersetzung, sondern durch einen wesentlich größeren Adressraum. Deshalb benötigen Endgeräte für den normalen Internetzugang nicht dieselbe Form von NAT wie im klassischen IPv4-Heimnetz.
| IPv4-Heimnetz | IPv6-Heimnetz |
|---|---|
| häufig private Adressen plus NAT/NAPT | Geräte können eigene globale IPv6-Adressen besitzen |
| mehrere Geräte teilen häufig eine öffentliche IPv4-Adresse | Adressübersetzung ist für die normale Adressknappheitslösung nicht erforderlich |
| Portweiterleitung schafft eine feste Zuordnung durch die NAT-Grenze | eingehende Erreichbarkeit ist vor allem eine Firewall- und Routingfrage |
| CGNAT kann direkte Erreichbarkeit zusätzlich verhindern | IPv6 kann einen alternativen direkten Pfad ermöglichen, sofern Anschluss und Firewall passend konfiguriert sind |
Eine globale IPv6-Adresse bedeutet daher nicht, dass jedes Gerät ungeschützt offen im Internet steht. Heimrouter setzen üblicherweise Firewallregeln ein, die unerwartete eingehende Verbindungen blockieren. Möchten Sie einen Dienst per IPv6 erreichbar machen, prüfen Sie deshalb die Firewallfreigabe statt nach einer klassischen IPv4-Portübersetzung zu suchen.
Häufige Fragen zu NAT
Was bedeutet NAT?
NAT steht für Network Address Translation. Im typischen IPv4-Heimnetz übersetzt der Router private Adressen in eine nach außen verwendete Adresse. Meist werden zusätzlich Ports in die Zuordnung einbezogen.
Warum nutzen mehrere Geräte dieselbe öffentliche IPv4-Adresse?
Der Router hält parallele Verbindungen anhand ihrer Zustände, Protokolle und Portzuordnungen auseinander. Deshalb können Smartphone, Notebook und Fernseher dieselbe öffentliche IPv4-Adresse verwenden, ohne dass Antworten vermischt werden.
Wie erkennen Sie, ob CGNAT im Spiel ist?
Vergleichen Sie die WAN-IPv4-Adresse Ihres Routers mit der Adresse, unter der Ihr Anschluss im Internet erscheint. Eine WAN-Adresse aus 100.64.0.0/10 ist ein deutlicher Hinweis auf Provider-NAT. Bei abweichenden Adressen kann ebenfalls eine vorgeschaltete Übersetzung bestehen. Verbindliche Auskunft liefert letztlich Ihr Anbieter.
Warum funktioniert eine Portfreigabe trotz korrekter Einstellung nicht?
Prüfen Sie zuerst, ob das Zielgerät intern noch dieselbe IP-Adresse besitzt und der Dienst tatsächlich auf dem vorgesehenen Port lauscht. Kontrollieren Sie anschließend Firewallregeln, einen möglichen zweiten Router und CGNAT. Eine korrekte Regel im eigenen Router reicht nicht, wenn der Paketweg vorher an einer weiteren Übersetzungsebene endet.
Ist Double NAT immer ein Problem?
Nein. Surfen, Streaming und viele ausgehende Verbindungen funktionieren auch hinter zwei NAT-Ebenen. Schwierigkeiten treten eher bei eingehenden Diensten, bestimmten Spielen, direkter Peer-to-Peer-Kommunikation oder selbst betriebenen VPN-Servern auf.
Brauchen Sie bei IPv6 noch NAT?
Für die normale Adressknappheitslösung von IPv4 nicht. IPv6-Geräte können globale Adressen besitzen. Ob ein Dienst von außen erreichbar ist, hängt trotzdem von Routing und Firewallregeln ab.
Ist NAT eine Firewall?
Nein. NAT übersetzt Adressen und gegebenenfalls Ports. Eine Firewall entscheidet anhand von Regeln und Zuständen, welcher Datenverkehr passieren darf. Heimrouter kombinieren beide Funktionen häufig, technisch bleiben sie jedoch getrennt.
Für Ihr Heimnetz genügt als Grundmodell: Private IPv4-Adressen bleiben im lokalen Netz, während der Router Verbindungen nach außen unter einer anderen Adresse und typischerweise mit passenden Portzuordnungen führt. Antworten finden zurück, weil der Router die zuvor angelegte Verbindung kennt.
Sobald ein Dienst von außen erreichbar sein soll, müssen Sie genauer hinsehen. Prüfen Sie öffentliche IPv4-Adresse, Portfreigabe, Firewall, mögliche weitere Router und CGNAT getrennt. Eine funktionierende Internetverbindung allein sagt über die eingehende Erreichbarkeit wenig aus.
Trennen Sie deshalb die Ebenen sauber: private Adresse, öffentliche IPv4-Adresse, NAT/NAPT, Firewall, Portfreigabe, Double NAT, CGNAT und IPv6 lösen unterschiedliche Aufgaben. Wenn Sie diese Bausteine auseinanderhalten, lassen sich Routeranzeigen, Gaming-Meldungen und Fernzugriffsprobleme wesentlich gezielter einordnen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten