Portweiterleitung scheitert meistens an drei Dingen: falsche interne IP im Regelwerk, doppeltes NAT durch ein Modem davor, oder ein ISP, der den Port sperrt. Prüfen Sie zuerst die IPv4 des Zielgeräts, testen Sie den Port immer von außerhalb Ihres Netzes, und schließen Sie Host-Firewall sowie CGNAT nacheinander aus.
Symptome
- Externer Portscan meldet 'filtered' oder 'closed', obwohl die Regel im Router aktiv ist
- Der Dienst reagiert im LAN sofort, über die öffentliche IP läuft jede Verbindung in den Timeout
- Freunde sehen den Spielserver nicht in der Liste, direkte Verbindung per IP scheitert ebenfalls
- Sicherheitskamera streamt intern flüssig, die Hersteller-App bleibt außerhalb des Heimnetzes schwarz
- RDP verbindet nur aus dem eigenen WLAN, mobil per LTE erreicht der Client den Host nie
Häufige Ursachen
Falsche oder veraltete interne Ziel-IP
Die Regel zeigt auf 192.168.1.50, das Gerät bezieht per DHCP inzwischen 192.168.1.87. Der Router leitet die Pakete an einen Host, der schlicht nicht existiert.
Doppeltes NAT durch Modem-Router-Kombination
Ein Kabel- oder Glasfaser-Modem im Routing-Modus vor Ihrem eigenen Router erzeugt zwei NAT-Ebenen. Ihre Regel auf dem inneren Gerät wirkt nicht, weil der vorgeschaltete Router die Verbindung schon verwirft.
Portsperre oder CGNAT beim Provider
Consumer-Tarife blockieren häufig 25, 80, 443, 135–139 und 445. Bei DS-Lite oder CGNAT teilen Sie sich die öffentliche IPv4 mit fremden Kunden, klassische Weiterleitung ist dort technisch ausgeschlossen.
Firewall auf Host oder Router
Windows Defender verwirft im Profil 'Öffentlich' eingehende Pakete lautlos. Auch die Router-Firewall besitzt eine eigene Regelebene neben NAT und muss den Port zusätzlich zulassen.
UPnP-Konflikt mit statischer Regel
UPnP mappt Ports auf Zuruf einer beliebigen LAN-App und kann Ihre manuelle Zuweisung überschreiben. Verwaiste Einträge aus alten Sessions blockieren dann den gewünschten Port dauerhaft.
Schritt-für-Schritt-Lösung
- Interne IPv4 des Zielgeräts sauber feststellen
Auf Windows Win+R, cmd, dann ipconfig. Unter macOS im Terminal ipconfig getifaddr en0 ausführen, unter Linux ip -4 addr. Notieren Sie die IPv4 im Subnetz Ihres Routers, in der Regel 192.168.x.x oder 10.0.x.x. Diese Adresse ist später das Ziel der Weiterleitungsregel. - DHCP-Reservierung oder statische IP setzen
Ändert sich die IP nach einem Reboot, läuft Ihre Regel ins Leere. Legen Sie im Router unter DHCP eine Reservierung auf die MAC-Adresse des Hosts an. Alternativ konfigurieren Sie eine statische IP direkt am Gerät, außerhalb des DHCP-Bereichs, um Kollisionen zu vermeiden. - Weiterleitungsregel im Router-Admin anlegen
Login im Admin-Panel, meist 192.168.1.1, bei FRITZ!Box 192.168.178.1. Der Menüpunkt heißt je nach Hersteller Portweiterleitung, Virtual Server oder NAT-Freigaben. Externer Port, interner Port, Protokoll (TCP, UDP oder beide) und Ziel-IP eintragen, Regel aktivieren, speichern und Router-Konfiguration übernehmen. - Host-Firewall und Sicherheitssoftware prüfen
Öffnen Sie 'Windows Defender Firewall mit erweiterter Sicherheit' und legen Sie eine eingehende Regel für den konkreten Port und das passende Netzwerkprofil an. Drittanbieter-Suiten wie ESET, Kaspersky oder Sophos besitzen eigene Regelwerke, die die Windows-Vorgabe überstimmen. Prüfen Sie beide Ebenen, sonst scheitert der Test trotz korrekter Router-Regel. - Doppeltes NAT und CGNAT ausschließen
Vergleichen Sie die WAN-IP im Router-Status mit dem Ergebnis auf whatismyip.com. Weichen die Werte ab oder liegt die WAN-Adresse im Bereich 100.64.0.0/10, sitzen Sie hinter CGNAT. Lösungswege: echte IPv4 beim Provider beantragen, IPv6-Portfreigabe nutzen oder einen Reverse-Tunnel über WireGuard, Tailscale oder Cloudflare Tunnel aufsetzen. - Port konsequent von außen testen
Nutzen Sie einen externen Portchecker über das Mobilfunknetz Ihres Handys, niemals aus dem eigenen LAN. Hairpin-NAT funktioniert bei vielen Consumer-Routern nicht und liefert falsch-negative Ergebnisse. Alternativ von einem Fremdanschluss aus per Powershell 'Test-NetConnection öffentliche-ip -Port 3389' oder unter Linux 'nc -vz ip port' testen. - UPnP kontrolliert deaktivieren oder aufräumen
Konkurriert UPnP mit Ihrer manuellen Regel, belegt eine App den Port dynamisch und blockiert die Weiterleitung. Öffnen Sie die UPnP-Portliste im Router, entfernen Sie verwaiste Einträge, deaktivieren Sie UPnP in sicherheitskritischen Umgebungen. Für Konsolen bleibt es meist an, sonst kippt der NAT-Typ von 'Offen' auf 'Streng'.
Häufig weitergeleitete Ports und typische Fallstricke im Alltag
| Port | Dienst | Typisches Problem | Aktion |
|---|---|---|---|
| 3389/TCP | RDP | Häufig durch ISP oder Endpoint-Schutz gefiltert | Zugang über VPN legen oder externen Port ändern |
| 25/TCP | SMTP | Bei fast allen Consumer-Tarifen dauerhaft gesperrt | Submission 587 mit Auth oder Business-Tarif nutzen |
| 80/443 TCP | HTTP/HTTPS | Bei Privatanschlüssen oft blockiert | Business-Anschluss, Reverse-Proxy oder Cloudflare Tunnel |
| 5060/UDP | SIP | SIP-ALG des Routers verstümmelt Header | SIP-ALG deaktivieren, Port sauber weiterleiten |
| 27015 TCP+UDP | Source-Games | Nur TCP angelegt, UDP vergessen | Zweite Regel für UDP mit identischer Ziel-IP |
| 32400/TCP | Plex | Manuelle Regel fehlt, Relay drosselt Stream | Portregel setzen, in Plex 'Manuelle Portzuordnung' aktivieren |
So beugen Sie vor
- Für jeden freigegebenen Host eine DHCP-Reservierung anlegen, damit die IP nach Reboot stabil bleibt
- Regelnamen sprechend wählen, etwa 'RDP-Server-Buchhaltung', nicht 'Port1' oder 'Test'
- WAN-Anschlusstyp regelmäßig prüfen, besonders bei DS-Lite- oder CGNAT-Tarifen
- Nicht benötigte Ports schließen und sensible Dienste ausschließlich über VPN erreichbar machen
Häufige Fragen
Woran erkenne ich, dass ich hinter CGNAT stecke?
Vergleichen Sie die WAN-IP im Router-Status mit dem Ergebnis von whatismyip.com. Sind die Adressen verschieden oder liegt die WAN-Adresse im Bereich 100.64.0.0/10, teilt Ihr Provider die IPv4 mit anderen Kunden. Klassische Portweiterleitung greift dann nicht, die Freigabe muss über IPv6, VPN oder einen Reverse-Tunnel erfolgen.
Muss ich TCP und UDP getrennt weiterleiten?
Ja, sofern der Dienst beide Protokolle nutzt. Einige Router bieten eine Sammeloption 'Beide', andere verlangen zwei getrennte Einträge. Ein Spielserver, der TCP für Steuerkanäle und UDP für Voice oder Gameplay verwendet, funktioniert nur, wenn beide Regeln aktiv sind und identisch auf dieselbe interne IP zeigen.
Ersetzt UPnP die manuelle Portweiterleitung sicher?
UPnP spart Konfigurationsarbeit, öffnet aber Ports auf Zuruf jeder LAN-Anwendung. Für Konsolen oder ein Heimnetz mit vertrauenswürdigen Geräten ist das akzeptabel. In Firmennetzen oder wenn Sie die Angriffsfläche minimieren wollen, gehört UPnP deaktiviert und jede Freigabe wird manuell dokumentiert.