Portweiterleitung schlägt meist an vier Stellen fehl: falsche interne Ziel-IP, geblockter Datenverkehr durch Router- oder Host-Firewall, ein zweiter Router (Doppel-NAT) oder ein ISP mit CGNAT. Prüfen Sie diese Punkte in genau dieser Reihenfolge, korrigieren Sie die Regel im Router und testen Sie den Port anschließend von außen.
Symptome
- Externe Verbindungen zu Ihrem Dienst laufen in Timeout, lokal funktioniert alles.
- Online-Port-Checker meldet den Port als geschlossen oder gefiltert.
- Spielserver, Kamera oder RDP sind nur im LAN erreichbar, nicht über die öffentliche IP.
- Nach einem Router-Neustart oder DHCP-Lease ändert sich die interne IP und die Regel greift ins Leere.
- UPnP-fähige Anwendungen funktionieren, Ihre manuelle Regel jedoch nicht.
Häufige Ursachen
Falsche oder wechselnde interne Ziel-IP
Die Regel zeigt auf eine IP, die das Zielgerät nicht mehr hat. Ohne DHCP-Reservierung wechselt die Adresse und die Weiterleitung landet im Leeren.
Firewall auf Router oder Host blockiert
Die Regel öffnet den Port am NAT, aber die Windows- oder Linux-Firewall des Zielsystems verwirft eingehende Pakete. Manche Router besitzen zusätzlich eine separate WAN-Filterliste.
Doppel-NAT durch zweiten Router
Modem-Router des Providers und eigener Router hängen kaskadiert. Die Portweiterleitung greift nur am äußeren Gerät, das innere Netz bleibt unerreichbar.
CGNAT beim Internetanbieter
Ihr Anschluss hat keine öffentliche IPv4, sondern teilt sie im Carrier-Grade-NAT mit anderen Kunden. Portweiterleitung ist damit technisch unmöglich.
UPnP überschreibt oder blockiert Regel
UPnP legt dynamisch Regeln an, die mit statischen Einträgen kollidieren oder Vorrang haben. Auch falsches Protokoll (TCP statt UDP) fällt in diese Kategorie.
Schritt-für-Schritt-Lösung
- Interne IP des Zielgeräts feststellen und fixieren
Ermitteln Sie die aktuelle IPv4 des Zielgeräts mit ipconfig (Windows) oder ip a bzw. ifconfig getifaddr en0 (macOS/Linux). Legen Sie danach im Router unter DHCP eine feste Reservierung anhand der MAC-Adresse an. So bleibt die IP über Neustarts hinweg stabil. - Öffentliche IP prüfen und CGNAT ausschließen
Vergleichen Sie die WAN-IP im Router-Status mit der Anzeige auf einer externen Seite wie wieistmeineip.de. Weichen beide ab oder liegt die WAN-IP im Bereich 100.64.0.0/10, sitzen Sie hinter CGNAT. Fordern Sie beim Provider eine echte öffentliche IPv4 oder nutzen Sie IPv6 bzw. einen Reverse-Tunnel. - Portweiterleitungsregel sauber anlegen
Öffnen Sie im Router den Bereich Portweiterleitung oder NAT/PAT. Tragen Sie externen Port, internen Port, Protokoll (TCP, UDP oder beides) und die reservierte interne IP ein. Vermeiden Sie sich überschneidende Bereiche und deaktivieren Sie UPnP für diesen Dienst, falls es Konflikte gibt. - Router- und Host-Firewall abgleichen
Prüfen Sie im Router, ob eine zusätzliche Eingangsfilter- oder Access-Control-Liste den Port blockiert. Erlauben Sie danach im Betriebssystem des Zielgeräts eingehende Verbindungen für die Anwendung, etwa über die Windows Defender Firewall mit einer eingehenden Regel für den passenden Port und das richtige Netzwerkprofil. - Doppel-NAT erkennen und auflösen
Meldet der Router eine WAN-IP aus 192.168.x.x, 10.x.x.x oder 172.16.0.0/12, hängt ein weiterer Router davor. Schalten Sie das Provider-Gerät in den Bridge- oder Modem-Modus oder legen Sie auf beiden Geräten passende Weiterleitungen an. Alternativ verweist eine DMZ-Regel im äußeren Router auf den inneren. - Dienst starten und Port lokal testen
Stellen Sie sicher, dass der Dienst tatsächlich läuft und auf 0.0.0.0 bzw. der internen IP lauscht, nicht nur auf 127.0.0.1. Prüfen Sie das mit netstat -an | findstr :PORT unter Windows oder ss -tulpen unter Linux. Ohne lauschenden Socket kann keine Regel Verbindungen durchreichen. - Port von außen verifizieren
Testen Sie den Port aus einem fremden Netz, etwa vom Mobilfunk mit deaktiviertem WLAN, mittels canyouseeme.org oder nmap -Pn -p PORT IHRE-WAN-IP. Ein Test aus dem eigenen LAN ist nicht aussagekräftig, weil viele Router NAT-Hairpinning nicht unterstützen. - Bei Bedarf UPnP-Regeln bereinigen
Wenn UPnP aktiv bleiben soll, löschen Sie im Router die dynamisch angelegten Einträge, die mit Ihrem Port kollidieren. Konfigurieren Sie Ihre Anwendung so, dass sie entweder ausschließlich UPnP nutzt oder ausschließlich die statische Regel, nicht beides gleichzeitig.
Typische Fehlerbilder bei Portweiterleitung und passende Maßnahme
| Beobachtung | Wahrscheinliche Ursache | Nächste Maßnahme |
|---|---|---|
| Port-Checker meldet Timeout | Router-Firewall oder falsche Ziel-IP | Regel prüfen, feste IP reservieren |
| Port-Checker meldet closed | Kein Dienst lauscht am Ziel | Dienststatus und Bindung prüfen |
| WAN-IP im Bereich 100.64.x.x | CGNAT beim Provider | Öffentliche IPv4 anfragen oder IPv6 nutzen |
| Funktioniert nur im LAN | Fehlendes NAT-Hairpinning | Extern testen, Split-DNS einrichten |
| Regel verschwindet nach Neustart | UPnP-Konflikt oder Session-Regel | UPnP prüfen, statische Regel anlegen |
| Zwei Router, WAN-IP privat | Doppel-NAT | Bridge-Modus oder Kaskadierung anpassen |
So beugen Sie vor
- DHCP-Reservierungen für alle Geräte anlegen, die Ports empfangen sollen.
- Regelmäßig prüfen, ob Firmware-Updates UPnP- oder NAT-Regeln zurücksetzen.
- Nur die tatsächlich benötigten Ports und Protokolle öffnen, keine kompletten Bereiche.
- Portlisten dokumentieren, inklusive Zweck, Zielgerät und Ablaufdatum.
Häufige Fragen
Wie erkenne ich, ob mein Anschluss CGNAT nutzt?
Vergleichen Sie die WAN-IP im Router mit der öffentlich sichtbaren IP. Stimmen sie nicht überein oder liegt die WAN-IP im Bereich 100.64.0.0 bis 100.127.255.255, sitzen Sie hinter Carrier-Grade-NAT. Portweiterleitung ist dann nicht möglich, solange der Provider keine echte öffentliche IPv4 bereitstellt.
Warum funktioniert die Portweiterleitung, wenn ich sie aus dem eigenen WLAN teste, aber nicht?
Viele Consumer-Router unterstützen kein NAT-Reflection, auch Hairpinning genannt. Anfragen an die eigene öffentliche IP werden im LAN nicht korrekt zurückgeleitet. Testen Sie den Zugriff deshalb immer aus einem fremden Netz, etwa über Mobilfunk mit deaktiviertem WLAN.
Sollte ich lieber UPnP oder statische Regeln verwenden?
Für dauerhaft betriebene Dienste wie Server, Kameras oder RDP eignen sich statische Regeln mit fester interner IP. UPnP passt eher zu kurzlebigen Verbindungen von Spielen oder VoIP-Clients. Mischen Sie beide Verfahren nicht für denselben Port, sonst entstehen widersprüchliche Einträge.
Lassen Sie unser Team Ihre Router-, NAT- und Firewall-Konfiguration überprüfen und Portweiterleitungen sauber einrichten.