Smartphone, Notebook, Smart-TV, Spielekonsole und Drucker hängen im selben Heimnetz und nutzen denselben Internetanschluss. Von außen ist dabei oft nur eine einzige öffentliche IP-Adresse sichtbar. Genau an dieser Stelle taucht NAT auf: Der Router sorgt dafür, dass mehrere Geräte im privaten Netzwerk über eine gemeinsame Adresse mit dem Internet kommunizieren können.
NAT steht für Network Address Translation und bezeichnet die Übersetzung von Netzwerkadressen, meist zwischen privaten IP-Adressen im Heimnetz und einer öffentlichen Adresse im Internet. Der Begriff wirkt abstrakt, wird aber sehr praktisch, sobald ein Spiel einen NAT-Typ meldet, eine Portfreigabe nicht funktioniert, ein VPN Probleme macht oder ein eigener Router hinter einem Providergerät betrieben wird.
Wichtig ist dabei die saubere Einordnung: NAT ist ein grundlegender Mechanismus vieler Heimrouter, aber keine vollständige Firewall und kein Allheilmittel für Verbindungsprobleme. Wer versteht, was der Router übersetzt, was er temporär zuordnet und wann eingehende Verbindungen scheitern, kann typische Supportfälle deutlich besser einordnen.
Inhaltsverzeichnis
- Warum mehrere Geräte eine öffentliche IP-Adresse teilen
- Wie der Router Verbindungen übersetzt und Antworten richtig zurückleitet
- Portfreigaben, Double NAT und CGNAT: Wo NAT in der Praxis Probleme macht
Warum mehrere Geräte eine öffentliche IP-Adresse teilen
Im Heimnetz hat jedes Gerät eine eigene Adresse. Das Notebook spricht den Drucker an, das Smartphone findet den Smart-TV, und die Spielekonsole verbindet sich mit dem Router. Diese Adressen gelten zunächst nur im lokalen Netzwerk. Der Router bildet den Übergang zwischen diesem privaten Bereich und dem Internetanschluss.
Typische private IPv4-Adressen beginnen zum Beispiel mit 192.168., mit 10. oder liegen im Bereich von 172.16. bis 172.31.. Solche Adressen sind für lokale Netze vorgesehen. Sie können in vielen Haushalten gleichzeitig vorkommen, ohne dass es im Internet zu Konflikten kommt, weil sie dort nicht direkt geroutet werden.
| Privater IPv4-Bereich | Typische Bedeutung im Heimnetz |
|---|---|
192.168.x.x | Sehr häufig in Heimroutern und kleinen lokalen Netzen |
10.x.x.x | Privater Bereich, der auch in größeren lokalen Netzen vorkommt |
172.16.x.x bis 172.31.x.x | Weiterer privater Bereich für lokale Netzwerke |
Die praktische Folge ist wichtig: Ein Gerät mit einer privaten Adresse lässt sich aus dem öffentlichen Internet nicht einfach direkt ansprechen. Wenn ein NAS im Heimnetz etwa die Adresse 192.168.1.20 hat, sagt diese Adresse einem Gerät außerhalb des Heimnetzes nichts Eindeutiges. In vielen anderen Netzen kann dieselbe private Adresse ebenfalls existieren.
Die öffentliche IP-Adresse gehört dagegen zur erreichbaren Seite des Internetanschlusses. Bei vielen Anschlüssen erscheint nach außen vor allem diese eine Adresse. NAT sorgt dafür, dass die vielen privaten Geräte im Heimnetz über diese gemeinsame äußere Adresse Verbindungen ins Internet aufbauen können. Das ist praktisch für den Betrieb mehrerer Geräte an einem Anschluss und historisch auch deshalb verbreitet, weil öffentliche IPv4-Adressen knapp sind.
Der Router steht damit zwischen zwei Adresswelten: innen private Adressen, außen die Adresse des Anschlusses. NAT ist der Mechanismus, der diese Welten für laufende Verbindungen miteinander verbindet.
Wie der Router Verbindungen übersetzt und Antworten richtig zurückleitet
Das Grundprinzip lässt sich an einer normalen Webanfrage erklären. Ein Notebook im Heimnetz ruft eine Website auf. Aus Sicht des Notebooks startet die Verbindung von seiner privaten IP-Adresse zu einem Ziel im Internet. Bevor die Anfrage das Heimnetz verlässt, verändert der Router die Absenderinformationen so, dass die Verbindung nach außen über die Adresse des Internetanschlusses erscheint.
Bei typischem Heimnetz-NAT werden nicht nur IP-Adressen betrachtet, sondern auch Ports. Ein Port ist eine Nummer, mit der Verbindungen und Dienste genauer unterschieden werden. Das ist nötig, weil mehrere Geräte gleichzeitig ähnliche Verbindungen aufbauen können: Das Notebook lädt eine Website, das Smartphone synchronisiert Daten, und die Konsole spricht mit einem Spieledienst. Nach außen kann trotzdem dieselbe öffentliche Adresse sichtbar sein.
Der Router führt dafür temporäre Zuordnungen. Vereinfacht gesagt merkt er sich: Diese interne Adresse mit diesem internen Port gehört gerade zu dieser außen sichtbaren Kombination. Kommt die Antwort aus dem Internet zurück, kann der Router anhand dieser Zuordnung erkennen, an welches Gerät im Heimnetz sie weitergeleitet werden muss.
Ein vereinfachtes Beispiel: Ein Notebook mit 192.168.1.20 baut eine Verbindung ins Internet auf. Der Router ersetzt die private Absenderadresse durch die öffentliche Anschlussadresse und verwendet nach außen eine unterscheidbare Portkombination. Wenn die Antwort zurückkommt, ordnet der Router sie der laufenden Verbindung zu und leitet sie wieder an 192.168.1.20 weiter.
Dieses Verfahren funktioniert besonders gut bei Verbindungen, die von innen nach außen gestartet werden. Dann existiert bereits eine passende Zuordnung im Router. Schwieriger sind ungefragte eingehende Verbindungen: Wenn von außen eine neue Anfrage am Router ankommt, ohne dass es eine bestehende Zuordnung gibt, weiß der Router nicht automatisch, welches interne Gerät gemeint ist.
Genau an dieser Stelle entsteht häufig die Verwechslung zwischen NAT und Firewall. NAT kann direkte eingehende Verbindungen ohne bestehende Zuordnung erschweren, weil kein eindeutiges internes Ziel vorhanden ist. Das macht NAT aber nicht zu einer vollständigen Firewall. Firewall-Regeln, Filterung, Protokollprüfung und weitere Schutzfunktionen sind eigene Sicherheitsmechanismen. Viele Heimrouter kombinieren NAT mit Firewall-Funktionen, beides sollte aber nicht gleichgesetzt werden.
Portfreigaben, Double NAT und CGNAT: Wo NAT in der Praxis Probleme macht
Solange Geräte im Heimnetz Verbindungen nach außen aufbauen, bleibt NAT meist unauffällig. Ein Notebook ruft eine Website auf, eine Konsole verbindet sich mit einem Spieledienst, ein Smart-TV streamt Inhalte. Schwieriger wird es, wenn die Richtung umgekehrt ist: Ein Dienst im Heimnetz soll aus dem Internet erreichbar sein. Dann reicht die normale NAT-Zuordnung für ausgehende Verbindungen nicht aus.
Eine Portfreigabe legt fest, dass eingehehende Anfragen an einem bestimmten Port des Routers an ein bestimmtes internes Gerät weitergeleitet werden. Typische Beispiele sind ein eigener Spieleserver, ein NAS-Dienst, eine Kamera, ein kleiner Webserver, ein VPN-Zugang ins Heimnetz oder eine Fernwartungslösung. Der Router braucht dafür ein eindeutiges Ziel: Welche interne IP-Adresse soll die Anfrage bekommen, und welcher Dienst läuft dort tatsächlich?
Eine Portfreigabe ist keine harmlose Komfortfunktion. Sie macht einen Dienst von außen erreichbar und öffnet damit eine Angriffsfläche. Das ist nur vertretbar, wenn der Dienst wirklich benötigt wird, aktuell gehalten wird, sichere Zugangsdaten oder starke Authentifizierung verwendet und die Freigabe so eng wie möglich eingerichtet ist. Besonders kritisch sind Geräte oder Dienste, die selten aktualisiert werden, etwa ältere Kameras, veraltete NAS-Erweiterungen oder Testserver, die unbeabsichtigt dauerhaft online bleiben.
Wenn der Dienst von außen nicht erreichbar ist
Viele NAT-Probleme sehen im Alltag ähnlich aus: Ein Spiel meldet einen strikten oder problematischen NAT-Typ, eine Portfreigabe greift nicht, der VPN-Zugang funktioniert nur im Heimnetz, oder NAS, Kamera und Spieleserver sind von außen nicht erreichbar. Die Ursache liegt aber nicht immer in derselben Einstellung. Sinnvoll ist deshalb eine ruhige Eingrenzung: erst klären, ob überhaupt ein eingehender Dienst benötigt wird, dann die öffentliche Erreichbarkeit prüfen, anschließend die Routerkette betrachten und erst danach einzelne Freigaben bewerten.
| Was Sie beobachten | Worauf das hindeutet | Was als Nächstes sinnvoll ist |
|---|---|---|
| Ein Online-Spiel meldet „striktes NAT“, „moderates NAT“ oder Verbindungsprobleme beim Hosten von Sitzungen. | Das Spiel benötigt möglicherweise eingehende Verbindungen oder bestimmte Vermittlungsmechanismen. Nicht jedes Gaming-Problem ist automatisch ein Portfreigabeproblem. | Prüfen Sie zuerst, ob Hosting, Peer-to-Peer-Verbindungen oder Sprachchat betroffen sind. Portfreigaben sollten nur eingerichtet werden, wenn der Bedarf nachvollziehbar ist. |
| Ein NAS, eine Kamera, ein VPN-Zugang oder ein Spieleserver funktioniert im Heimnetz, ist von außerhalb aber nicht erreichbar. | Der Dienst läuft wahrscheinlich intern, aber eingehende Anfragen erreichen ihn nicht. NAT blockiert solche Anfragen nicht „bewusst“; der Router weiß ohne passende Regel nur nicht automatisch, an welches Gerät er sie schicken soll. | Klären Sie, ob der Dienst wirklich direkt aus dem Internet erreichbar sein muss. Für NAS-Zugriff oder Fernwartung kann ein ausgehender VPN- oder Relay-Dienst je nach Sicherheitsbedarf sinnvoller sein als eine offene Portfreigabe. |
| Die Portfreigabe ist eingerichtet, dennoch kommt von außen keine Verbindung an. | Die Freigabe kann auf das falsche interne Gerät zeigen, der Dienst kann auf einem anderen Port laufen, oder die Anfrage erreicht den Router gar nicht. Auch lokale Firewalls auf dem Zielgerät können eine Rolle spielen. | Beziehen Sie die Freigabe immer auf ein konkretes Zielgerät und einen konkreten Dienst. Die interne Adresse des Geräts sollte stabil bleiben, und der Dienst muss dort tatsächlich aktiv sein. Vermeiden Sie großzügige Freigaben auf Verdacht. |
| Im Heimnetz stehen zwei Geräte hintereinander, etwa Providerrouter und eigener Router, Kabelrouter und separates WLAN-System oder Glasfaser-Gateway und Heimrouter. | Das spricht für eine Routerkette. Wenn beide Geräte NAT durchführen, entsteht Double NAT. Eingehende Verbindungen müssen dann unter Umständen durch zwei Übersetzungsschritte. | Prüfen Sie den Netzaufbau: Arbeitet der eigene Router wirklich als Router, oder nur als Access Point? Je nach Gerät und Anschluss kann ein Bridge- oder Modemmodus des Providergeräts, ein Access-Point-Modus des eigenen Routers oder eine bewusst saubere Routerkette sinnvoll sein. |
| Eine Freigabe am eigenen Router wirkt korrekt, aber davor steht noch ein Providergerät, das ebenfalls routet. | Bei Double NAT kann die Verbindung an zwei Stellen scheitern: zuerst am vorderen Router oder Gateway, das nicht zum zweiten Router weiterleitet, und anschließend am eigenen Router, der wiederum zum Zielgerät weiterleiten müsste. | Vereinfachen Sie nach Möglichkeit die Zuständigkeiten. Entweder übernimmt ein Gerät die Routerrolle, oder beide NAT-Stellen müssen bewusst und konsistent behandelt werden. Eine Freigabe nur am inneren Router reicht bei echtem Double NAT häufig nicht aus. |
| Die WAN-Adresse im eigenen Router passt nicht zu einer öffentlich erreichbaren Adresse oder liegt in privaten beziehungsweise providerinternen Bereichen. | Das kann auf vorgeschaltetes NAT hindeuten. Je nach Anschluss kann es ein weiteres Gerät im eigenen Aufbau sein oder Carrier Grade NAT beim Provider. | Vergleichen Sie vorsichtig die im Router angezeigte WAN-Adresse mit der Adresse, die ein externer IP-Test für Ihren Anschluss zeigt. Stimmen sie nicht zusammen oder ist die Router-WAN-Adresse nicht öffentlich geroutet, sollte die Ursache weiter eingegrenzt werden. |
| Es gibt keinen zweiten Router im eigenen Haushalt, Portfreigaben bleiben aber wirkungslos und der Anschluss zeigt Hinweise auf providerseitiges NAT. | Das kann auf CGNAT hindeuten. Beim Carrier Grade NAT teilt der Provider öffentliche IPv4-Adressen zwischen mehreren Kunden; der eigene Router erhält dann keine direkt erreichbare öffentliche IPv4-Adresse. | Fragen Sie beim Anbieter nach, ob eine öffentliche IPv4-Adresse, ein anderer Anschlussmodus oder eine geeignete Option verfügbar ist. Eigene Portfreigaben hinter CGNAT reichen oft nicht aus, weil eingehende Verbindungen bereits im Providernetz nicht eindeutig Ihrem Anschluss zugeordnet werden. |
| Ein VPN-Zugang ins Heimnetz, eine Kamera oder ein Webserver soll dauerhaft erreichbar sein. | Der Wunsch ist technisch nachvollziehbar, erhöht aber die Anforderungen an Wartung und Absicherung. Ein erreichbarer Dienst kann auch von fremden Systemen im Internet gefunden und geprüft werden. | Treffen Sie die Sicherheitsentscheidung vor der Freigabe: Ist der Dienst aktuell, authentifiziert, möglichst eingeschränkt und wirklich notwendig? Wenn nicht, ist eine Lösung mit ausgehender Verbindung, ein verwalteter VPN-Dienst oder der Verzicht auf direkte Erreichbarkeit oft die bessere Wahl. |
Woran Sie einen zweiten NAT-Schritt erkennen
Double NAT entsteht, wenn zwei Router oder Gateway-Geräte hintereinander jeweils NAT durchführen. Häufige Konstellationen sind ein Providerrouter vor einem eigenen Router, ein Glasfaser-Gateway mit Routerfunktion vor dem Heimrouter, ein Kabelrouter vor einer separaten Netzwerklösung oder ein Mobilfunkrouter, hinter dem noch ein weiterer Router betrieben wird. Für normales Surfen fällt das oft kaum auf, weil ausgehende Verbindungen trotzdem funktionieren.
Bei eingehenden Verbindungen wird Double NAT dagegen schnell sichtbar. Eine Anfrage aus dem Internet erreicht zunächst das vordere Gerät. Wenn dieses nicht weiß, dass die Anfrage zum nachgelagerten Router weitergeleitet werden soll, endet der Weg bereits dort. Selbst wenn der erste Schritt gelingt, muss der zweite Router die Anfrage anschließend an das richtige interne Gerät weitergeben. Deshalb können Portfreigaben hinter Double NAT an zwei Stellen scheitern: an der Weiterleitung zum inneren Router und an der Weiterleitung vom inneren Router zum eigentlichen Zielgerät.
Praktische Folgen sind nicht auf klassische Serverdienste beschränkt. VPN-Verbindungen ins Heimnetz können abbrechen oder gar nicht zustande kommen, ein NAS ist nur lokal erreichbar, ein Spieleserver taucht von außen nicht auf, und manche Online-Spiele melden einen strengen NAT-Typ oder haben Probleme mit Peer-to-Peer-Sitzungen. Auch Echtzeitanwendungen können empfindlich reagieren, wenn zusätzliche Übersetzungsschritte und uneindeutige Erreichbarkeit ins Spiel kommen.
Wann eher CGNAT als Ihr Router das Problem ist
Carrier Grade NAT, kurz CGNAT, liegt nicht im eigenen Heimnetz, sondern beim Provider. Der Anbieter betreibt dabei selbst eine NAT-Schicht und teilt öffentliche IPv4-Adressen zwischen mehreren Anschlüssen. Der eigene Router bekommt dann aus Sicht des Internets keine exklusiv erreichbare öffentliche IPv4-Adresse. Für ausgehende Verbindungen ist das meist unproblematisch, für eigene eingehende Dienste jedoch ein deutlicher Einschnitt.
Der entscheidende Unterschied zu Double NAT liegt in der Zuständigkeit. Double NAT entsteht typischerweise durch den eigenen Geräteaufbau: zwei Router, zwei Heimnetzschichten, zwei NAT-Punkte. CGNAT entsteht dagegen im Providernetz. Eine Portfreigabe am eigenen Router kann die providerseitige NAT-Schicht nicht umgehen. Wenn die eingehende Verbindung schon beim Provider nicht eindeutig dem eigenen Anschluss zugeordnet wird, erreicht sie den Heimrouter gar nicht.
Je nach Anschluss, Tarif, Routermodus und Anbieter unterscheiden sich die Optionen. Manche Provider stellen auf Anfrage eine öffentliche IPv4-Adresse bereit, teils kostenpflichtig oder nur in bestimmten Tarifen. In anderen Fällen sind IPv6-Erreichbarkeit, ein ausgehender VPN-Dienst, ein Relay-Dienst oder eine gehostete Lösung praktikabler. Wichtig ist die saubere Einordnung: Wenn am eigenen Router keine direkt erreichbare öffentliche Adresse anliegt, ist eine immer neue Portfreigabe im Heimrouter meist nicht der richtige Hebel.
| NAT-Situation | Wo die Übersetzung stattfindet | Typische Auswirkung bei eingehenden Diensten | Realistische nächste Klärung |
|---|---|---|---|
| Normales Heimnetz-NAT | Ein Heimrouter übersetzt zwischen privaten Geräten und dem Internetanschluss. | Ausgehende Verbindungen funktionieren meist automatisch; eingehende Dienste brauchen eine gezielte und sichere Portfreigabe. | Prüfen, ob der Dienst notwendig ist, auf welches Gerät er zeigen soll und ob er sicher betrieben werden kann. |
| Double NAT | Zwei Geräte im eigenen Aufbau führen NAT aus, etwa Providerrouter plus eigener Router. | Portfreigaben können am vorderen oder am inneren Router scheitern; VPN, Gaming und Fernzugriff werden schwerer nachvollziehbar. | Routerrolle klären, Netzaufbau vereinfachen, Bridge-/Modemmodus oder Access-Point-Betrieb prüfen, soweit Anschluss und Geräte das unterstützen. |
| CGNAT | Der Provider betreibt eine zusätzliche NAT-Schicht vor dem Kundenanschluss. | Eigene eingehende IPv4-Dienste sind oft nicht direkt erreichbar, selbst wenn der Heimrouter korrekt konfiguriert wirkt. | Beim Provider nach öffentlicher IPv4-Adresse, passenden Tarifoptionen oder alternativen Zugangswegen fragen; gegebenenfalls ausgehende VPN-/Relay-Lösungen nutzen. |
FAQ zu NAT, Portfreigaben und Erreichbarkeit
Was bedeutet NAT?
NAT steht für Network Address Translation. Gemeint ist die Übersetzung von Netzwerkadressen, meist zwischen privaten IP-Adressen im Heimnetz und einer öffentlichen Adresse im Internet.
Warum haben alle Geräte dieselbe öffentliche IP-Adresse?
Im Heimnetz haben Smartphone, Notebook, Smart-TV oder Konsole eigene private Adressen. Nach außen führt der Router ihre Verbindungen jedoch häufig über dieselbe öffentliche Adresse. Damit können mehrere Geräte denselben Internetanschluss nutzen.
Was ist eine private IP-Adresse?
Eine private IP-Adresse ist für lokale Netzwerke vorgesehen und wird im öffentlichen Internet nicht direkt geroutet. Typische Bereiche sind 192.168.x.x, 10.x.x.x und 172.16.x.x bis 172.31.x.x. Geräte mit solchen Adressen sind von außen nicht einfach direkt erreichbar, sondern benötigen für Internetkommunikation typischerweise einen Router mit NAT.
Was ist eine Portfreigabe?
Eine Portfreigabe weist den Router an, eingehende Anfragen an einem bestimmten Port an ein festgelegtes internes Gerät weiterzuleiten. Sie wird benötigt, wenn ein Dienst im Heimnetz von außen erreichbar sein soll, etwa ein Spieleserver, NAS-Dienst, Webserver, VPN-Zugang oder eine Kamera.
Was bedeutet Double NAT?
Double NAT bedeutet, dass zwei Router oder Gateway-Geräte hintereinander NAT durchführen. Das passiert zum Beispiel bei Providerrouter plus eigenem Router oder bei einem Glasfaser- beziehungsweise Mobilfunkgerät vor einem weiteren Heimrouter. Portfreigaben und Fernzugriffe können dadurch an mehreren Stellen scheitern.
Was ist CGNAT?
CGNAT steht für Carrier Grade NAT. Dabei teilt der Provider öffentliche IPv4-Adressen zwischen mehreren Kundenanschlüssen. Der eigene Router hat dann oft keine direkt erreichbare öffentliche IPv4-Adresse, wodurch eigene eingehende Dienste über IPv4 häufig nicht ohne Weiteres funktionieren.
Ist NAT eine Firewall?
NAT ist keine vollständige Firewall. Es erschwert zwar direkte eingehende Verbindungen ohne bestehende Zuordnung, weil der Router nicht automatisch weiß, welches interne Gerät gemeint ist. Sicherheitsregeln, Filterung, Protokollprüfung und Schutzmechanismen sind aber eigene Firewall-Funktionen und sollten nicht mit NAT gleichgesetzt werden.
Warum funktionieren manche Online-Spiele wegen NAT nicht?
Manche Spiele verwenden Peer-to-Peer-Verbindungen, Hosting-Funktionen, Sprachchat oder Echtzeitkommunikation, die eingehende Verbindungen oder gut vermittelbare Verbindungswege benötigen. Striktes NAT, Double NAT oder CGNAT können diese Wege erschweren. Die genaue Ursache hängt jedoch vom Spiel, der Plattform, dem Router, dem Anschluss und den Providerbedingungen ab.
NAT ist im Heimnetz vor allem ein Übersetzungsmechanismus: Private Geräteadressen werden über den Router mit einer öffentlichen Verbindung ins Internet verbunden. Für normale ausgehende Verbindungen funktioniert das meist unauffällig, weil der Router die Zuordnungen temporär verwaltet und Antworten zurückleitet.
Schwierig wird es vor allem bei eingehenden Verbindungen. Dann müssen Portfreigaben, Sicherheitsrisiken, zweite Router im eigenen Aufbau und mögliche Provider-NATs sauber auseinandergehalten werden. Wer diese Unterschiede kennt, kann NAT-Meldungen bei Spielen, VPN-Probleme oder fehlgeschlagenen Fernzugriff deutlich gezielter beurteilen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten