Eine Portweiterleitung einzurichten ist immer dann notwendig, wenn ein Gerät oder Dienst im eigenen Heimnetz gezielt aus dem Internet erreichbar sein soll. Typische Beispiele sind ein eigener Server, ein NAS, bestimmte Spiele, eine Überwachungslösung oder andere Anwendungen, die eingehende Verbindungen benötigen. Normalerweise blockiert beziehungsweise verwirft ein Router unerwartete eingehende Verbindungen aus dem Internet. Erst eine gezielte Portfreigabe sorgt dafür, dass Anfragen an einem bestimmten Port an das richtige Gerät im lokalen Netzwerk weitergeleitet werden. Wie eine solche Zuordnung technisch funktioniert, lässt sich gut anhand des von Microsoft beschriebenen Prinzips der Network Address Translation verstehen: Eine externe IP-Adresse und ein Port werden einem Endpunkt beziehungsweise einer internen IP-Adresse zugeordnet.
Bei einer FRITZ!Box lässt sich eine solche Weiterleitung direkt über die Benutzeroberfläche konfigurieren. Wichtig ist allerdings, nicht einfach wahllos Ports zu öffnen. Jede Freigabe macht einen bestimmten Dienst aus dem Internet erreichbar und vergrößert damit potenziell die Angriffsfläche. Die grundlegende Regel lautet daher: Nur die Ports freigeben, die tatsächlich benötigt werden, und den dahinterliegenden Dienst aktuell und sicher konfigurieren. Auch die US-amerikanische Cybersicherheitsbehörde CISA empfiehlt, bei aus dem Internet erreichbaren Systemen die Notwendigkeit der Exposition zu prüfen, Systeme aktuell zu halten und zusätzliche Schutzmaßnahmen einzusetzen.
In dieser Anleitung erfahren Sie, was Portweiterleitung bedeutet, welche Angaben Sie benötigen, wie Sie eine Portweiterleitung im Router einrichten, wie die Einrichtung bei einer FRITZ!Box funktioniert und welche typischen Fehler dafür sorgen, dass eine Portfreigabe trotz scheinbar korrekter Einstellungen nicht funktioniert.
Inhalt
Was ist eine Portweiterleitung?
Eine Portweiterleitung – häufig auch Portfreigabe oder auf Englisch Port Forwarding genannt – ist eine Regel im Router. Sie legt fest, wohin bestimmte eingehende Netzwerkverbindungen weitergeleitet werden.
Das lässt sich an einem einfachen Beispiel erklären.
In Ihrem Heimnetz befindet sich ein Server mit der lokalen IP-Adresse:
192.168.178.50
Auf diesem Rechner läuft eine Anwendung, die über TCP-Port 8080 erreichbar ist.
Der Router besitzt gleichzeitig eine Verbindung zum Internet. Kommt dort eine Anfrage für einen von Ihnen festgelegten externen Port an, kann eine Portweiterleitungsregel dafür sorgen, dass die Anfrage an:
192.168.178.50:8080
weitergeleitet wird.
Damit weiß der Router genau, welches Gerät im lokalen Netzwerk die eingehende Verbindung erhalten soll.
Ohne eine entsprechende Regel kann eine unerwartete eingehende Verbindung normalerweise keinem internen Gerät zugeordnet werden.
Genau hier liegt der Zweck der Portweiterleitung.
Warum werden Ports überhaupt benötigt?
Eine IP-Adresse identifiziert vereinfacht gesagt ein Gerät beziehungsweise eine Netzwerkschnittstelle. Auf einem Computer können aber gleichzeitig sehr viele Netzwerkdienste aktiv sein.
Damit das Betriebssystem unterscheiden kann, für welchen Dienst eine Verbindung bestimmt ist, werden Ports verwendet.
Man kann sich die IP-Adresse vereinfacht wie die Anschrift eines Gebäudes vorstellen und den Port wie die Nummer einer bestimmten Tür. Die Adresse bringt die Daten zum richtigen System, der Port hilft dabei, die Verbindung der richtigen Anwendung beziehungsweise dem richtigen Dienst zuzuordnen.
Ports können Nummern zwischen 0 und 65535 verwenden. Für viele bekannte Protokolle existieren etablierte Standardports.
Das bedeutet allerdings nicht, dass Sie diese Ports automatisch freigeben sollten. Entscheidend ist ausschließlich, welchen Port die Anwendung tatsächlich benötigt.
Was ist der Unterschied zwischen Portfreigabe und Portweiterleitung?
Im Alltag werden die Begriffe Portfreigabe und Portweiterleitung häufig synonym verwendet.
Technisch beschreibt „Portweiterleitung“ besonders anschaulich, was passiert: Der Router nimmt eine an seiner externen Schnittstelle eingehende Verbindung entgegen und leitet sie anhand einer Regel an eine interne IP-Adresse und einen bestimmten Port weiter.
„Portfreigabe“ wird dagegen häufig als Oberbegriff in Router-Oberflächen verwendet.
AVM bezeichnet entsprechende Regeln in der FRITZ!Box beispielsweise als Portfreigaben.
Wenn Sie also nach „Port Forwarding“, „Portfreigabe einrichten“, „Ports im Router öffnen“ oder „Portweiterleitung einrichten“ suchen, geht es in vielen Fällen um dasselbe grundlegende Ziel.
Wann ist eine Portweiterleitung sinnvoll?
Eine Portweiterleitung wird benötigt, wenn ein bestimmter Dienst innerhalb Ihres lokalen Netzwerks direkt von außen erreichbar sein soll und keine andere Verbindungsmethode verwendet wird.
Denkbare Einsatzbereiche sind beispielsweise:
- selbst betriebene Webanwendungen,
- Game-Server,
- bestimmte Multiplayer-Spiele,
- NAS-Systeme,
- selbst gehostete Cloud-Anwendungen,
- Entwicklungs- und Testserver,
- bestimmte Smart-Home-Anwendungen,
- Medienserver,
- spezielle Fernzugriffslösungen.
Ob eine manuelle Portweiterleitung wirklich notwendig ist, hängt allerdings von der jeweiligen Anwendung ab.
Viele moderne Anwendungen nutzen Cloud-Dienste, ausgehende Verbindungen, VPN-Techniken oder automatische Mechanismen und benötigen deshalb keine manuell konfigurierte Portfreigabe.
Bevor Sie einen Port öffnen, sollten Sie daher in der Dokumentation der jeweiligen Anwendung prüfen, ob eine Portweiterleitung tatsächlich erforderlich ist.
Was Sie vor dem Einrichten der Portweiterleitung benötigen
Bevor Sie die Router-Einstellungen verändern, sollten einige Informationen feststehen.
Besonders wichtig sind:
Das Zielgerät: Auf welchem Computer, NAS oder anderen Netzwerkgerät läuft der Dienst?
Die lokale IP-Adresse: Unter welcher Adresse ist dieses Gerät innerhalb des Heimnetzes erreichbar?
Der interne Port: Auf welchem Port wartet die Anwendung auf Verbindungen?
Das Protokoll: Benötigt die Anwendung TCP, UDP oder beide Protokolle?
Der externe Port: Über welchen Port soll der Dienst aus dem Internet angesprochen werden?
Diese Angaben sollten Sie nicht erraten.
Insbesondere bei Spielen oder Serveranwendungen empfiehlt es sich, die offizielle Dokumentation des Herstellers zu prüfen. Werden dort mehrere TCP- und UDP-Ports genannt, müssen die erforderlichen Regeln entsprechend angelegt werden.
Warum das Zielgerät eine feste interne IP-Adresse benötigt
Eine Portweiterleitung zeigt auf ein bestimmtes Gerät im lokalen Netzwerk. Deshalb ist es wichtig, dass sich dessen interne IP-Adresse nicht unerwartet ändert.
Angenommen, die Portfreigabe zeigt auf:
192.168.178.50
Nach einem Neustart erhält der Server durch DHCP aber plötzlich:
192.168.178.63
Die Portweiterleitung zeigt weiterhin auf die alte Adresse. Der Dienst ist von außen nicht mehr erreichbar.
Deshalb sollte das Zielgerät möglichst dauerhaft dieselbe lokale IP-Adresse erhalten.
Bei einer FRITZ!Box kann dafür beim jeweiligen Netzwerkgerät die Option verwendet werden, diesem Gerät immer dieselbe IPv4-Adresse zuzuweisen.
Eine solche DHCP-Reservierung ist in einem normalen Heimnetz häufig komfortabler, als die Netzwerkkonfiguration direkt am Computer manuell auf eine statische Adresse umzustellen.
TCP oder UDP – welches Protokoll muss ausgewählt werden?
Beim Einrichten einer Portweiterleitung muss häufig zwischen TCP und UDP gewählt werden.
TCP ist verbindungsorientiert und stellt Mechanismen bereit, mit denen eine zuverlässige Übertragung und die richtige Reihenfolge der Daten gewährleistet werden kann.
UDP arbeitet anders und verzichtet auf verschiedene Kontrollmechanismen von TCP. Dadurch eignet es sich beispielsweise für Anwendungen, bei denen eine möglichst geringe Verzögerung wichtiger sein kann als die garantierte Zustellung jedes einzelnen Pakets.
Welche Variante Sie auswählen müssen, bestimmt die Anwendung.
Ein häufiger Fehler besteht darin, vorsichtshalber einfach TCP und UDP für einen großen Portbereich freizugeben. Davon ist abzuraten.
Wenn eine Anwendung ausschließlich TCP benötigt, sollte auch nur die erforderliche TCP-Freigabe eingerichtet werden. Benötigt sie UDP, wird eine entsprechende UDP-Regel angelegt.
Je präziser die Portfreigaben definiert sind, desto übersichtlicher und sicherer bleibt die Konfiguration.
Portweiterleitung bei einer FRITZ!Box einrichten
Die FRITZ!Box gehört zu den am weitesten verbreiteten Routern in deutschen Heimnetzwerken und bietet eine eigene Oberfläche für Portfreigaben.
Je nach FRITZ!OS-Version können Bezeichnungen und Positionen einzelner Menüpunkte leicht variieren. Das grundsätzliche Vorgehen bleibt jedoch ähnlich.
Rufen Sie zunächst die Benutzeroberfläche der FRITZ!Box auf und melden Sie sich mit einem berechtigten Benutzerkonto an.
Wechseln Sie anschließend in den Bereich:
Internet → Freigaben → Portfreigaben
Dort werden bereits vorhandene Freigaben angezeigt.
Wählen Sie die Möglichkeit, eine neue Portfreigabe beziehungsweise ein Gerät für Freigaben hinzuzufügen.
Anschließend wählen Sie das Netzwerkgerät aus, auf dem der Dienst läuft.
Nun wird eine neue Freigabe angelegt. Je nach FRITZ!OS-Version können bereits vordefinierte Anwendungen vorhanden sein. Für einen individuellen Server oder eine nicht aufgeführte Anwendung wählen Sie eine entsprechende benutzerdefinierte beziehungsweise andere Anwendung.
Vergeben Sie eine eindeutige Bezeichnung wie:
Game-Server
Webserver
NAS-Dienst
oder
Testserver
Danach legen Sie das benötigte Protokoll sowie externen und internen Port fest.
AVM beschreibt in der offiziellen Anleitung zum Portfreigabe einrichten in der FRITZ!Box, dass bei einer benutzerdefinierten Anwendung unter anderem Protokoll, externer Port, Zielgerät beziehungsweise IP-Adresse und interner Zielport angegeben werden.
Nach dem Speichern ist die Regel eingerichtet.
Beispiel für eine Portweiterleitung
Nehmen wir an, auf einem Computer mit der internen IP-Adresse:
192.168.178.50
läuft ein eigener Dienst auf TCP-Port:
8080
Sie möchten diesen Dienst über denselben Port aus dem Internet erreichbar machen.
Die Regel würde vereinfacht folgendermaßen aussehen:
Protokoll: TCP
Externer Port: 8080
Ziel-IP: 192.168.178.50
Interner Port: 8080
Eine Anfrage, die von außen den entsprechenden Port des Routers erreicht, wird dadurch an 192.168.178.50:8080 weitergeleitet.
Der externe und interne Port müssen dabei nicht zwangsläufig identisch sein.
Sie könnten beispielsweise einen externen Port auf einen anderen internen Port abbilden.
Das kann in bestimmten Konfigurationen praktisch sein. Es sollte jedoch nicht als wesentliche Sicherheitsmaßnahme verstanden werden. Ein ungewöhnlicher externer Port ersetzt weder eine sichere Authentifizierung noch aktuelle Software oder eine Firewall.
Portweiterleitung bei anderen Routern einrichten
Auch bei Routern anderer Hersteller funktioniert das Grundprinzip ähnlich.
Die Funktion kann allerdings unterschiedlich bezeichnet sein. Häufig verwendete Namen sind:
Port Forwarding
Portfreigabe
NAT
NAT-Regel
Virtual Server
Port Mapping
Nach der Anmeldung am Router muss die entsprechende Netzwerk- oder NAT-Konfiguration geöffnet werden.
Danach werden üblicherweise Protokoll, externer Port, interne IP-Adresse und interner Port eingetragen.
Bei manchen Routern kann zusätzlich eingestellt werden, von welchen externen IP-Adressen Verbindungen akzeptiert werden sollen. Wenn Sie genau wissen, von welchem Netzwerk auf den Dienst zugegriffen wird und dieses über eine stabile öffentliche Adresse verfügt, kann eine solche Beschränkung die Exposition reduzieren.
Die exakte Vorgehensweise unterscheidet sich je nach Hersteller und Firmware-Version. Deshalb sollte bei einem unbekannten Router zusätzlich die Dokumentation des Herstellers konsultiert werden.
Externer und interner Port müssen nicht gleich sein
Ein Punkt, der bei der Einrichtung häufig für Verwirrung sorgt, ist der Unterschied zwischen externem und internem Port.
Der externe Port ist der Port, an dem der Router die Verbindung aus dem Internet erwartet.
Der interne Port ist der Port, auf dem die Anwendung auf dem Zielgerät tatsächlich lauscht.
Beispielsweise könnte eine Regel theoretisch so aussehen:
Extern: TCP 50000
Intern: 192.168.178.50:8080
Eine externe Anfrage an Port 50000 wird dann intern an Port 8080 weitergeleitet.
Für eine einfache Konfiguration ist es jedoch häufig übersichtlicher, denselben Port intern und extern zu verwenden, sofern kein Grund für eine abweichende Zuordnung besteht.
Warum die Portweiterleitung trotz richtiger Einstellung nicht funktioniert
Eine korrekt aussehende Router-Regel garantiert noch nicht, dass der Dienst tatsächlich aus dem Internet erreichbar ist.
Zwischen dem externen Client und der Anwendung liegen mehrere Komponenten. Ein Fehler an nur einer Stelle kann ausreichen, damit die Verbindung scheitert.
Deshalb sollte systematisch geprüft werden.
Zuerst muss sichergestellt sein, dass die Anwendung überhaupt läuft.
Danach sollte getestet werden, ob der Dienst innerhalb des lokalen Netzwerks über die interne IP-Adresse und den vorgesehenen Port erreichbar ist.
Funktioniert bereits der lokale Zugriff nicht, liegt das Problem wahrscheinlich nicht an der Portweiterleitung.
Erst wenn der Dienst intern erreichbar ist, sollte die Router-Konfiguration untersucht werden.
Die Firewall des Zielgeräts nicht vergessen
Einer der häufigsten Fehler ist eine blockierende Firewall auf dem Zielgerät.
Die Portweiterleitung im Router sorgt lediglich dafür, dass die eingehenden Pakete das richtige Gerät erreichen. Ob das Betriebssystem beziehungsweise die lokale Firewall diese Verbindung akzeptiert, ist eine separate Frage.
Unter Windows kann beispielsweise die Windows Defender Firewall eingehende Verbindungen blockieren.
Eine Anwendung kann bei der Installation bereits eine passende Firewallregel erstellen. Das muss aber nicht der Fall sein.
Prüfen Sie deshalb, ob für den gewünschten Dienst eine passende eingehende Firewallregel vorhanden ist.
Auch hier gilt: Nicht pauschal die komplette Firewall deaktivieren.
Stattdessen sollte nur die für den Dienst tatsächlich benötigte Regel erstellt werden.
Prüfen, ob der Dienst auf dem richtigen Port lauscht
Eine Portfreigabe funktioniert nur, wenn auf dem Zielgerät tatsächlich eine Anwendung auf dem angegebenen Port erreichbar ist.
Wenn Sie Port 8080 an einen Server weiterleiten, die Anwendung aber tatsächlich auf Port 8081 lauscht, läuft die Verbindung ins Leere.
Unter Windows lässt sich beispielsweise mit Werkzeugen wie netstat überprüfen, welche Ports verwendet werden.
Ein möglicher Befehl ist:
netstat -ano
Die Ausgabe kann umfangreich sein, liefert aber Informationen zu aktiven Verbindungen und lauschenden Ports.
Zusätzlich sollte die Konfiguration der jeweiligen Serveranwendung kontrolliert werden.
Öffentliche IP-Adresse und Carrier-Grade NAT
Ein besonders wichtiger Punkt bei modernen Internetanschlüssen ist die Frage, ob der Router überhaupt über eine direkt erreichbare öffentliche IPv4-Adresse verfügt.
Nicht jeder Anschluss erhält eine eigene öffentliche IPv4-Adresse.
Internetanbieter können Carrier-Grade NAT, kurz CGNAT, einsetzen. Dabei teilen sich mehrere Kunden öffentliche IPv4-Ressourcen. Der eigene Router befindet sich dann selbst hinter einer weiteren NAT-Ebene beim Provider.
Eine klassische IPv4-Portweiterleitung auf dem eigenen Router reicht in einer solchen Konstellation möglicherweise nicht aus, weil eingehende Verbindungen bereits vorher am Netz des Providers enden.
Wenn eine Portfreigabe korrekt eingerichtet wurde, der Dienst intern funktioniert und trotzdem keine externe Verbindung möglich ist, sollte deshalb geprüft werden, welche IPv4-Adresse der Router auf seiner Internetseite anzeigt und ob diese tatsächlich öffentlich erreichbar ist.
Je nach Internetanbieter kann alternativ IPv6 genutzt oder eine öffentliche IPv4-Adresse beziehungsweise eine andere Anschlussoption benötigt werden.
IPv4 und IPv6 sind nicht dasselbe
Beim Thema Portweiterleitung ist es wichtig, IPv4 und IPv6 auseinanderzuhalten.
Bei einem typischen IPv4-Heimnetz teilen sich mehrere interne Geräte über NAT eine öffentliche IPv4-Adresse. Die Portweiterleitung weist eingehende Verbindungen einem bestimmten internen Gerät zu.
IPv6 funktioniert grundsätzlich anders. Geräte können globale IPv6-Adressen besitzen, sodass die klassische NAT-Zuordnung nicht zwingend auf dieselbe Weise erforderlich ist.
Das bedeutet aber keinesfalls, dass jedes Gerät automatisch ungeschützt aus dem Internet erreichbar sein sollte.
Die Firewall des Routers spielt weiterhin eine entscheidende Rolle. Für eingehende IPv6-Verbindungen können deshalb ebenfalls entsprechende Freigaberegeln erforderlich sein.
Wer einen Dienst über IPv6 erreichbar machen möchte, sollte ausdrücklich die IPv6-Freigaben seines Routers prüfen und nicht davon ausgehen, dass eine IPv4-Portweiterleitung automatisch auch IPv6 abdeckt.
Portweiterleitung mit Dual Stack und DS-Lite
Bei vielen Internetanschlüssen kommen Dual Stack oder DS-Lite zum Einsatz.
Bei echtem Dual Stack stehen grundsätzlich IPv4 und IPv6 zur Verfügung.
Bei DS-Lite erhält der Kunde dagegen typischerweise keine eigene, direkt erreichbare öffentliche IPv4-Adresse im klassischen Sinn. IPv4-Verkehr wird über die Infrastruktur des Providers umgesetzt.
Das kann dazu führen, dass eine herkömmliche IPv4-Portfreigabe nicht wie erwartet von außen erreichbar ist.
Wer seine FRITZ!Box korrekt konfiguriert hat und trotzdem keinen Zugriff erhält, sollte daher im Bereich der Internetverbindung prüfen, welche Art von Anschluss tatsächlich vorliegt.
Dieser Punkt ist besonders wichtig, weil weitere Änderungen an der Portweiterleitung nichts bringen, wenn die eingehende IPv4-Verbindung den eigenen Router gar nicht direkt erreichen kann.
Portweiterleitung von außen testen
Eine Portfreigabe sollte immer aus einem tatsächlich externen Netzwerk getestet werden.
Ein typischer Fehler besteht darin, den Test von einem Gerät im selben WLAN aus durchzuführen und dabei die öffentliche Adresse zu verwenden.
Je nach Router und Konfiguration kann dieses Szenario anders behandelt werden als eine echte Verbindung aus dem Internet.
Für einen aussagekräftigen Test kann beispielsweise ein Smartphone verwendet werden, bei dem WLAN deaktiviert und stattdessen die Mobilfunkverbindung genutzt wird.
Dann erfolgt der Zugriff tatsächlich von außerhalb des Heimnetzes.
Wichtig ist außerdem, dass der Server während des Tests läuft und der entsprechende Dienst aktiv ist. Ein Port kann nur sinnvoll als erreichbar erkannt werden, wenn auf der Gegenseite tatsächlich ein Dienst Verbindungen annimmt und keine Firewall die Anfrage verwirft.
Dynamische öffentliche IP-Adressen und DynDNS
Viele Internetanschlüsse verwenden keine dauerhaft gleichbleibende öffentliche IP-Adresse.
Ändert sich die öffentliche Adresse, funktioniert eine Verbindung über die zuvor gespeicherte IP nicht mehr.
Hier kommt Dynamic DNS, kurz DynDNS oder DDNS, ins Spiel.
Dabei wird ein Domainname mit der jeweils aktuellen öffentlichen IP-Adresse verknüpft. Ändert der Provider die Adresse, wird der DNS-Eintrag aktualisiert.
Statt sich beispielsweise eine wechselnde IP-Adresse merken zu müssen, greift man über einen festen Hostnamen auf den Anschluss zu.
Microsoft weist im Zusammenhang mit externem Remotezugriff ebenfalls darauf hin, dass sich die vom Internetanbieter zugewiesene Router-IP ändern kann und Dynamic DNS verwendet werden kann, um dieses Problem zu umgehen.
Bei einer FRITZ!Box stehen dafür unter anderem entsprechende DynDNS-Funktionen beziehungsweise AVM-Dienste zur Verfügung.
UPnP und automatische Portfreigaben
Manche Anwendungen können selbstständig Portfreigaben beim Router anfordern.
Dafür kommen beispielsweise UPnP beziehungsweise verwandte Mechanismen zum Einsatz.
Das ist bequem, weil der Nutzer die Ports nicht manuell konfigurieren muss.
Aus Sicherheits- und Transparenzsicht hat die automatische Freigabe allerdings einen Nachteil: Anwendungen können unter entsprechenden Voraussetzungen selbst dafür sorgen, dass Dienste von außen erreichbar werden.
Deshalb lohnt es sich, im Router regelmäßig zu kontrollieren, welche Freigaben tatsächlich aktiv sind.
Bei einer FRITZ!Box können entsprechende automatisch eingerichtete Freigaben beziehungsweise Berechtigungen kontrolliert werden.
Wer keine automatische Portöffnung benötigt, sollte einer Anwendung diese Möglichkeit nicht unnötig gewähren.
Exposed Host beziehungsweise DMZ mit Vorsicht verwenden
Viele Router bieten eine Funktion, die als „Exposed Host“ oder teilweise vereinfacht als DMZ bezeichnet wird.
Dabei werden sehr viele beziehungsweise nahezu alle nicht anderweitig zugeordneten eingehenden Verbindungen an ein einzelnes Gerät weitergeleitet.
Das kann kurzfristig beim Testen hilfreich erscheinen, ist aber keine gute Standardlösung für eine normale Portfreigabe.
AVM weist in seiner FRITZ!Box-Hilfe ausdrücklich darauf hin, dass es sicherer ist, nur die Ports freizugeben, die eine Anwendung tatsächlich benötigt.
Wenn ein Server nur einen bestimmten TCP-Port benötigt, gibt es keinen guten Grund, das gesamte Gerät unnötig umfassend aus dem Internet erreichbar zu machen.
Eine gezielte Portfreigabe ist die bessere Lösung.
Wie sicher ist eine Portweiterleitung?
Eine Portweiterleitung ist nicht automatisch unsicher.
Sie verändert allerdings die Erreichbarkeit eines Dienstes.
Ohne entsprechende Freigabe ist ein interner Server über diesen Weg normalerweise nicht direkt aus dem Internet erreichbar. Mit der Freigabe nimmt er dagegen Verbindungen von außen entgegen.
Damit hängt die Sicherheit wesentlich davon ab, was hinter dem geöffneten Port läuft.
Ein vollständig aktualisierter und gut abgesicherter Dienst mit starker Authentifizierung ist etwas völlig anderes als eine Jahre alte Serveranwendung mit bekannten Sicherheitslücken und Standardpasswort.
Deshalb sollten öffentlich erreichbare Dienste regelmäßig aktualisiert werden.
Nicht mehr benötigte Portfreigaben gehören gelöscht.
Standardpasswörter sollten niemals verwendet werden.
Wo verfügbar, sollte eine starke Authentifizierung und gegebenenfalls Mehrfaktor-Authentifizierung eingesetzt werden.
Außerdem sollte geprüft werden, ob der Dienst überhaupt direkt öffentlich erreichbar sein muss.
VPN statt Portweiterleitung
Für viele Fernzugriffsszenarien ist ein VPN die bessere Alternative.
Anstatt einen internen Dienst direkt für das gesamte Internet freizugeben, wird zunächst eine verschlüsselte VPN-Verbindung zum Heimnetz aufgebaut.
Das externe Gerät verhält sich anschließend aus Sicht vieler Anwendungen so, als befände es sich im lokalen Netzwerk.
Das ist beispielsweise interessant, wenn Sie auf ein NAS, einen internen Administrationsdienst oder einen Computer zugreifen möchten, ohne den eigentlichen Dienst direkt öffentlich bereitzustellen.
Auch Microsoft nennt beim externen Zugriff auf einen PC neben Portweiterleitung ausdrücklich ein VPN als Alternative.
Ob VPN oder Portweiterleitung sinnvoller ist, hängt vom Einsatzzweck ab.
Soll beispielsweise ein öffentlicher Game-Server für viele Nutzer erreichbar sein, kann eine Portweiterleitung erforderlich sein.
Geht es dagegen nur darum, selbst von unterwegs auf das eigene Heimnetz zuzugreifen, ist ein VPN häufig die attraktivere Lösung.
Häufige Fehler beim Einrichten einer Portweiterleitung
Wenn eine Portfreigabe nicht funktioniert, liegt die Ursache häufig in einem der folgenden Bereiche:
Die interne IP-Adresse des Servers hat sich geändert.
Der falsche Port wurde eingetragen.
TCP und UDP wurden verwechselt.
Die Anwendung läuft nicht.
Der Dienst lauscht auf einem anderen Port.
Die Firewall des Zielgeräts blockiert die Verbindung.
Der Internetanschluss verwendet CGNAT oder DS-Lite.
Die öffentliche IP-Adresse hat sich geändert.
Es existiert eine zweite Router- beziehungsweise NAT-Ebene.
Die Portfreigabe wurde zwar erstellt, aber nicht aktiviert.
Der Dienst ist nur an localhost beziehungsweise 127.0.0.1 gebunden und akzeptiert keine Verbindungen über die LAN-Adresse.
Diese Fehler lassen sich am besten schrittweise ausschließen.
Portweiterleitung funktioniert nicht – so gehen Sie bei der Fehlersuche vor
Beginnen Sie immer beim Zielsystem.
Läuft die Anwendung?
Ist sie im lokalen Netzwerk erreichbar?
Verwendet sie wirklich den angenommenen Port?
Ist die lokale Firewall korrekt konfiguriert?
Hat das Gerät noch dieselbe interne IP-Adresse?
Erst wenn diese Punkte stimmen, wird die Router-Regel kontrolliert.
Prüfen Sie anschließend:
Stimmt das Protokoll?
Stimmt der externe Port?
Stimmt die Ziel-IP?
Stimmt der interne Port?
Ist die Freigabe aktiviert?
Danach wird die Internetseite des Routers betrachtet.
Verfügt der Anschluss über eine öffentliche IPv4-Adresse?
Wird DS-Lite oder CGNAT verwendet?
Soll die Verbindung stattdessen über IPv6 erfolgen?
Erst anschließend erfolgt ein Test aus einem wirklich externen Netzwerk.
Mit dieser Reihenfolge lässt sich das Problem deutlich schneller eingrenzen, als wenn wahllos Router-, Firewall- und Servereinstellungen verändert werden.
Portfreigaben regelmäßig überprüfen
Eine Portweiterleitung wird häufig für einen bestimmten Zweck eingerichtet und anschließend vergessen.
Vielleicht wurde der Game-Server längst gelöscht oder die NAS-Anwendung durch eine andere Lösung ersetzt. Die Portfreigabe bleibt jedoch im Router bestehen.
Deshalb empfiehlt es sich, die aktiven Regeln regelmäßig zu überprüfen.
Bei jeder Freigabe sollte die Frage gestellt werden:
Benötige ich diesen Port noch?
Welches Gerät steht dahinter?
Welche Anwendung verwendet ihn?
Ist diese Anwendung aktuell?
Ist der externe Zugriff weiterhin notwendig?
Kann stattdessen ein VPN verwendet werden?
Nicht mehr benötigte Regeln sollten entfernt werden.
Das verbessert nicht nur die Sicherheit, sondern hält die Router-Konfiguration übersichtlich.
Häufige Fragen zur Portweiterleitung
Was bedeutet Portweiterleitung?
Eine Portweiterleitung sorgt dafür, dass eingehende Verbindungen an einem bestimmten Port des Routers an eine definierte interne IP-Adresse und einen bestimmten Port weitergeleitet werden. Dadurch können Dienste im lokalen Netzwerk gezielt aus dem Internet erreichbar gemacht werden.
Wo finde ich die Portweiterleitung in der FRITZ!Box?
Bei aktuellen FRITZ!OS-Versionen befinden sich entsprechende Einstellungen typischerweise unter Internet → Freigaben → Portfreigaben. Je nach Modell und FRITZ!OS-Version können einzelne Bezeichnungen leicht abweichen.
Welche Ports muss ich freigeben?
Das hängt vollständig von der verwendeten Anwendung ab. Die benötigten TCP- oder UDP-Ports sollten in der offiziellen Dokumentation des Programms, Spiels oder Servers angegeben sein. Öffnen Sie nicht vorsorglich große Portbereiche.
Muss ich TCP und UDP gleichzeitig freigeben?
Nur wenn die Anwendung beide Protokolle benötigt. Verlangt der Dienst ausschließlich TCP, sollte nur TCP freigegeben werden. Das Gleiche gilt für UDP.
Warum funktioniert meine Portweiterleitung nicht?
Häufige Ursachen sind eine falsche interne IP-Adresse, eine blockierende Firewall, ein falsches Protokoll, ein nicht laufender Dienst oder ein Internetanschluss ohne direkt erreichbare öffentliche IPv4-Adresse. Auch CGNAT und DS-Lite können klassische IPv4-Portweiterleitungen verhindern.
Ist Portweiterleitung gefährlich?
Nicht grundsätzlich. Durch eine Portweiterleitung wird jedoch ein Dienst aus dem Internet erreichbar. Sicherheitslücken oder schwache Zugangsdaten dieses Dienstes können dadurch von außen angegriffen werden. Deshalb sollten nur notwendige Ports geöffnet und die dahinterliegenden Anwendungen aktuell gehalten werden.
Brauche ich eine feste IP-Adresse?
Das Zielgerät im lokalen Netzwerk sollte möglichst dauerhaft dieselbe interne IP-Adresse erhalten. Dafür eignet sich beispielsweise eine DHCP-Reservierung im Router. Eine dauerhaft feste öffentliche IP-Adresse ist dagegen nicht zwingend notwendig. Bei wechselnden öffentlichen Adressen kann Dynamic DNS eingesetzt werden.
Ist ein VPN besser als Portweiterleitung?
Für den privaten Fernzugriff auf das eigene Heimnetz ist ein VPN häufig die bessere Lösung, weil interne Dienste nicht einzeln öffentlich freigegeben werden müssen. Soll ein Dienst dagegen bewusst für viele externe Nutzer erreichbar sein, kann eine Portweiterleitung weiterhin sinnvoll oder erforderlich sein.
Fazit: Portweiterleitung gezielt und sicher einrichten
Eine Portweiterleitung einzurichten ist grundsätzlich nicht kompliziert. Entscheidend ist, vorher genau zu wissen, welches Gerät erreichbar sein soll, welchen Port die Anwendung verwendet und ob TCP oder UDP benötigt wird.
Bei einer FRITZ!Box lässt sich die Portfreigabe über die Benutzeroberfläche im Bereich Internet → Freigaben → Portfreigaben konfigurieren. Bei Routern anderer Hersteller funktioniert das Prinzip ähnlich, auch wenn die Funktion dort beispielsweise Port Forwarding, NAT-Regel, Port Mapping oder Virtual Server heißen kann.
Die eigentliche Einrichtung ist jedoch nur ein Teil der Aufgabe. Ebenso wichtig ist, dass das Zielgerät eine stabile interne IP-Adresse besitzt, die lokale Firewall die Verbindung zulässt und der Internetanschluss überhaupt von außen erreichbar ist. Gerade CGNAT, DS-Lite und IPv6 sorgen immer wieder dafür, dass eine scheinbar korrekt eingerichtete IPv4-Portweiterleitung nicht funktioniert.
Vor allem sollte eine Portfreigabe niemals nach dem Prinzip „mehr ist besser“ eingerichtet werden. Öffnen Sie ausschließlich die Ports, die eine Anwendung tatsächlich benötigt. Halten Sie öffentlich erreichbare Dienste aktuell, verwenden Sie sichere Zugangsdaten und löschen Sie nicht mehr benötigte Freigaben.
Wenn lediglich Sie selbst von unterwegs auf Geräte im Heimnetz zugreifen möchten, lohnt sich außerdem die Prüfung einer VPN-Lösung. Muss dagegen ein bestimmter Server bewusst aus dem Internet erreichbar sein, ist eine sauber konfigurierte Portweiterleitung weiterhin ein bewährter Weg.
Wer diese Grundlagen berücksichtigt, kann Ports im Router oder in der FRITZ!Box gezielt freigeben, typische Fehler schneller erkennen und gleichzeitig vermeiden, das eigene Heimnetz unnötig für Zugriffe aus dem Internet zu öffnen.
