So machen Sie Ihren Heimserver aus dem Internet erreichbar

Bei Ihnen zu Hause läuft ein Server – vielleicht Home Assistant, Nextcloud, ein Minecraft-Server, eine private Website oder ein Mailserver. Im lokalen Netzwerk funktioniert alles. Jetzt soll der Server auch von außen erreichbar sein, etwa damit Ihre Nextcloud von unterwegs erreichbar ist.

Dafür gibt es fünf realistische Wege. Sie unterscheiden sich bei Kosten, Protokollunterstützung und der Frage, ob sie hinter CGNAT funktionieren. Dieser Leitfaden stellt alle fünf vor, vom einfachsten bis zum leistungsfähigsten, damit Sie die passende Lösung für Ihre Situation finden. Wenn Sie noch keine öffentliche IP-Adresse haben (siehe So bekommen Sie eine öffentliche IP-Adresse), funktionieren einige dieser Methoden überhaupt nicht – und wer das vorher weiß, spart sich stundenlange Fehlersuche.

Bevor Sie loslegen: Prüfen Sie Ihren Internetanschluss

Bevor Sie sich für eine Methode entscheiden, sollten Sie wissen, welche Art von Internetanschluss Sie haben. Gehen Sie dazu zuerst die folgenden Punkte durch.

Haben Sie eine öffentliche IP-Adresse?

Führen Sie auf einem beliebigen Gerät in Ihrem Heimnetz folgenden Befehl aus:

Kopierencurl https://api.getpublicip.com/ip

Melden Sie sich anschließend an der Benutzeroberfläche Ihres Routers an und suchen Sie die WAN-IP-Adresse (meist unter „Status“ oder „Internet“). Stimmen beide Adressen überein, haben Sie eine echte öffentliche IP-Adresse. Stimmen sie nicht überein, schaltet Ihr Internetanbieter etwas dazwischen – höchstwahrscheinlich CGNAT.

Weitere Befehle und Alternativen finden Sie in unserem ausführlichen Leitfaden Öffentliche IP-Adresse unter Linux herausfinden.

Ist Ihre IP-Adresse fest oder dynamisch?

Die meisten Internetanbieter vergeben an Privatkunden dynamische IP-Adressen, die sich regelmäßig ändern (alle paar Stunden, Tage oder Wochen). Das können Sie prüfen, indem Sie curl https://api.getpublicip.com/ip über mehrere Tage hinweg ausführen und die Ergebnisse vergleichen. Ändert sich die Adresse, haben Sie eine dynamische IP. Möglicherweise bietet Ihr Anbieter eine feste IP-Adresse an, in der Regel gegen einen monatlichen Aufpreis.

Sitzen Sie hinter CGNAT?

Zeigt die WAN-Schnittstelle Ihres Routers eine Adresse im Bereich 100.64.0.0 - 100.127.255.255, sitzen Sie hinter Carrier-Grade NAT. Ihr Anbieter teilt sich dann eine öffentliche IP-Adresse zwischen vielen Kunden auf, und keine noch so ausgefeilte Portfreigabe auf Ihrem Router wird funktionieren. In Deutschland ist das häufig bei DS-Lite-Anschlüssen der Fall, bei denen IPv4 über das CGNAT des Anbieters läuft. Methode 1 und 2 scheiden damit aus. Sie brauchen Methode 3, 4 oder 5.

Methode 1: Portfreigabe (kostenlos, öffentliche IP-Adresse erforderlich)

Die Portfreigabe ist der älteste und direkteste Weg, einen Heimserver von außen erreichbar zu machen. Sie sagen Ihrem Router: „Leite allen Verkehr, der auf Port X ankommt, an die interne IP-Adresse Y auf Port Z weiter.“

So richten Sie sie ein

1. Geben Sie Ihrem Server eine feste lokale IP-Adresse (zum Beispiel 192.168.1.100), entweder manuell auf dem Server oder über eine DHCP-Reservierung im Router.
2. Melden Sie sich an der Benutzeroberfläche Ihres Routers an.
3. Suchen Sie den Bereich für Portfreigaben (manchmal auch „virtuelle Server“ oder „NAT-Regeln“ genannt).
4. Legen Sie eine Regel an: Den externen Port (zum Beispiel 443 für HTTPS) leiten Sie an die interne IP-Adresse Ihres Servers auf demselben Port weiter.
5. Speichern Sie und testen Sie den Zugriff aus einem fremden Netz (Smartphone über mobile Daten, oder bitten Sie einen Bekannten, es auszuprobieren).

Wann sie funktioniert

Ihr Internetanbieter teilt Ihnen eine echte öffentliche IP-Adresse zu (kein CGNAT) und sperrt die benötigten Ports nicht. Diese Methode ist kostenlos und unterstützt alle Protokolle – jeden TCP- oder UDP-Port.

Wann sie nicht funktioniert

• CGNAT: Ihr Anbieter teilt Ihre öffentliche IP-Adresse mit anderen Kunden. Eine Portfreigabe auf Ihrem Router bewirkt nichts, weil das vorgelagerte NAT des Anbieters den Verkehr nie an Sie weiterleitet. Wie Sie das überprüfen, erfahren Sie in unserem CGNAT-Leitfaden.
• Portsperren des Anbieters: Manche Internetanbieter sperren in Privatkundentarifen gängige Ports wie 25 (SMTP), 80 (HTTP) oder 443 (HTTPS).
• Dynamische IP-Adresse: Ihre öffentliche IP-Adresse ändert sich. Wer Ihren Server über die IP-Adresse erreichen will, verliert bei jedem Wechsel die Verbindung. Methode 2 löst dieses Problem.

Falls Ihre Portfreigabe nicht funktioniert, hilft Ihnen unser Leitfaden zur Fehlersuche bei der Portfreigabe weiter.

Methode 2: DynDNS + Portfreigabe (kostenlos, fängt IP-Wechsel ab)

Wenn Ihr Internetanbieter Ihnen zwar eine echte öffentliche IP-Adresse gibt, diese sich aber regelmäßig ändert, sorgt dynamisches DNS (DynDNS) dafür, dass ein Hostname immer auf Ihre aktuelle Adresse zeigt.

So funktioniert es

Ein kleines Programm auf Ihrem Server (oder auf dem Router, sofern er das unterstützt) meldet Ihre aktuelle öffentliche IP-Adresse regelmäßig an einen DNS-Anbieter. Ändert sich Ihre IP-Adresse, wird der DNS-Eintrag automatisch aktualisiert. Wer sich mit yourserver.duckdns.org verbindet, landet so immer bei der richtigen Adresse.

Beliebte DynDNS-Anbieter

• DuckDNS: Kostenlos, Open Source, einfache API
• No-IP: Kostenloser Tarif, der alle 30 Tage manuell verlängert werden muss
• Cloudflare DNS: Kostenlos, wenn Sie bereits eine eigene Domain besitzen und Cloudflare für DNS nutzen; den A-Eintrag aktualisieren Sie über die Cloudflare-API

Einrichtungsbeispiel mit DuckDNS

Kopieren# Add to crontab: updates your IP every 5 minutes
*/5 * * * * curl -s "https://www.duckdns.org/update?domains=YOURDOMAIN&token=YOURTOKEN&ip=" > /dev/null

Einschränkungen

DynDNS löst nur das Problem „meine IP-Adresse ändert sich ständig“. Die Portfreigabe muss trotzdem funktionieren, und dafür brauchen Sie weiterhin eine echte öffentliche IP-Adresse. DynDNS umgeht CGNAT nicht. Wenn Sie hinter CGNAT sitzen, springen Sie direkt zu Methode 3, 4 oder 5.

Hinzu kommt eine Verzögerung: Ändert sich Ihre IP-Adresse, kann es einige Minuten dauern, bis sich das DNS-Update verbreitet hat. In dieser Zeit ist Ihr Server nicht erreichbar.

Methode 3: Cloudflare Tunnel (kostenlos, nur HTTP/HTTPS)

Cloudflare Tunnel (früher Argo Tunnel) baut eine ausgehende Verbindung von Ihrem Server zum Edge-Netzwerk von Cloudflare auf. Da die Verbindung von innen nach außen aufgebaut wird, umgeht sie CGNAT vollständig.

So funktioniert es

1. Installieren Sie den Dienst cloudflared auf Ihrem Server.
2. Melden Sie sich mit Ihrem Cloudflare-Konto an und legen Sie einen Tunnel an.
3. Legen Sie fest, welcher lokale Dienst erreichbar sein soll (zum Beispiel localhost:8080).
4. Cloudflare vergibt eine URL unter Ihrer Domain, und der Verkehr fließt so: Besucher -> Cloudflare Edge -> Tunnel -> Ihr Server.

Vorteile

• Kostenlos im Free-Tarif von Zero Trust
• Umgeht CGNAT, da Ihr Server die Verbindung aufbaut
• Einfache Einrichtung mit der cloudflared-CLI
• Integrierter DDoS-Schutz über das Cloudflare-Netzwerk

Nachteile

• Nur HTTP und HTTPS im kostenlosen Tarif. Keine Unterstützung für reines TCP, UDP, E-Mail (SMTP), Gameserver, VoIP oder SSH auf eigenen Ports.
• SSL endet bei Cloudflare. Cloudflare entschlüsselt Ihren HTTPS-Verkehr an seinem Edge, prüft ihn und verschlüsselt ihn erneut, bevor er an Ihren Server weitergeht. Cloudflare kann also den Klartext jeder Anfrage und jeder Antwort einsehen. Für manche Anwendungsfälle ist das ein K.-o.-Kriterium.
• Keine eigene IP-Adresse. Ihre Domain zeigt auf den geteilten IP-Adressraum von Cloudflare, nicht auf eine dedizierte Adresse.
• Kein Reverse DNS. Sie können keine PTR-Einträge setzen, was das Hosten eines Mailservers ausschließt.

Cloudflare Tunnel ist eine hervorragende kostenlose Lösung, wenn Sie nur eine Webanwendung von außen erreichbar machen möchten und damit leben können, dass Cloudflare Ihre SSL-Verbindung terminiert. Einen ausführlicheren Vergleich finden Sie unter GetPublicIP vs. Cloudflare Tunnel vs. Tailscale.

Methode 4: Tailscale / WireGuard-Mesh (kostenloser Tarif, privater Zugriff)

Tailscale ist ein Mesh-VPN auf Basis von WireGuard. Es verbindet Ihre Geräte ohne jede Konfiguration zu einem privaten Netzwerk (einem sogenannten Tailnet).

So funktioniert es

1. Installieren Sie Tailscale auf Ihrem Server und auf jedem Gerät, von dem aus Sie zugreifen möchten (Smartphone, Laptop usw.).
2. Melden Sie sich auf jedem Gerät mit demselben Konto an.
3. Ihre Geräte erreichen sich nun gegenseitig über die von Tailscale vergebenen IP-Adressen – unabhängig von Netzwerk, CGNAT oder Firewalls.

Vorteile

• Keine Konfiguration: installieren, anmelden, fertig
• Umgeht CGNAT, da Verbindungen bei Bedarf über die Koordinationsserver von Tailscale weitergeleitet werden
• Kostenloser Tarif für bis zu 3 Nutzer und 100 Geräte
• Ende-zu-Ende-verschlüsselt innerhalb Ihres Tailnets

Nachteile

• Nicht öffentlich erreichbar. Nur Geräte in Ihrem Tailscale-Netzwerk können sich verbinden. Ein beliebiger Besucher aus dem Internet erreicht Ihren Server nicht.
• Tailscale Funnel kann HTTPS-Dienste öffentlich erreichbar machen, ist aber auf HTTPS beschränkt, läuft über die Relay-Infrastruktur von Tailscale und hat nicht offengelegte Bandbreitenlimits. Für öffentliches Hosting im Produktivbetrieb ist es nicht ausgelegt.
• Ungeeignet für öffentliche Dienste wie Websites, Mailserver oder Gameserver, die für jeden erreichbar sein müssen.

Tailscale ist die beste Wahl, wenn Sie unterwegs nur von Ihren eigenen Geräten auf Ihren Heimserver zugreifen möchten. Für das Hosten öffentlicher Dienste ist es nicht das richtige Werkzeug.

Methode 5: Dienst für eigene öffentliche IP-Adressen (alle Protokolle, öffentlich erreichbar)

GetPublicIP weist Ihnen eine echte, eigene öffentliche IPv4-Adresse zu und leitet sie über einen verschlüsselten WireGuard-Tunnel an Ihren Server. Ihr Server empfängt den Verkehr genau so, als wäre die öffentliche IP-Adresse direkt auf dem Gerät konfiguriert: alle Ports, alle Protokolle, ohne dass Ihre Pakete verändert oder untersucht werden.

So funktioniert es

1. Legen Sie ein Konto an und richten Sie eine öffentliche IP-Adresse ein.
2. Installieren Sie WireGuard auf Ihrem Server und importieren Sie die Konfigurationsdatei aus Ihrem Dashboard.
3. Der WireGuard-Tunnel verbindet Ihren Server mit der Edge-Infrastruktur von GetPublicIP.
4. Der gesamte eingehende Verkehr für Ihre öffentliche IP-Adresse läuft durch den Tunnel zu Ihrem Server. Ihr Server antwortet direkt.

Da der Tunnel eine ausgehende Verbindung von Ihrem Server ist, funktioniert er hinter CGNAT, bei restriktiven Internetanbietern und in jeder Netzwerkkonfiguration.

Was diese Methode unterscheidet

• Alle Protokolle: TCP, UDP, ICMP, jeder Port von 1 bis 65535. Hosten Sie Websites, Mailserver, Gameserver, VoIP, DNS, SSH oder was immer Sie brauchen.
• Ende-zu-Ende-Verschlüsselung: SSL/TLS endet auf Ihrem Server, nicht an einem Proxy. GetPublicIP entschlüsselt, untersucht oder verändert Ihren Verkehr nie.
• Eigene IP-Adresse: Die IPv4-Adresse gehört allein Ihnen und wird nicht mit anderen Kunden geteilt.
• Reverse DNS: Setzen Sie PTR-Einträge für Ihre IP-Adresse – unverzichtbar für die Zustellbarkeit von E-Mails.
• Portabel: Ziehen Sie mit Ihrem Server an einen anderen Ort, zu einem anderen Anbieter oder in ein anderes Land um. Ihre öffentliche IP-Adresse bleibt dieselbe.
• Failover: Fällt Ihre primäre Internetverbindung aus, kann Ihre IP-Adresse automatisch umschalten.
• Schützt Ihre Heim-IP: Der Internetverkehr trifft auf Ihre eigene IP-Adresse an unserem Edge, nicht auf die Adresse, die Ihnen Ihr Anbieter zu Hause zugeteilt hat.

Preise

8,99 USD pro Monat und IP-Adresse. Keine Vertragslaufzeit, jederzeit kündbar.

Bereit für den Start? Legen Sie ein Konto an oder folgen Sie der Einstiegsanleitung.

Vergleichstabelle

Portfreigabe und DynDNS sind kostenlos, setzen aber eine echte öffentliche IP-Adresse und offene Ports bei Ihrem Internetanbieter voraus. Cloudflare Tunnel ist kostenlos und umgeht CGNAT, verarbeitet aber nur Webverkehr. Tailscale eignet sich hervorragend für privaten Zugriff, kann aber keine Dienste für das öffentliche Internet bereitstellen. GetPublicIP ist die einzige Option, die das Umgehen von CGNAT, die Unterstützung aller Protokolle und eine echte, eigene öffentliche IP-Adresse vereint.

Welche Methode ist die richtige für Sie?

Die passende Methode hängt davon ab, was Sie hosten und wie Ihr Netzwerk aufgebaut ist.

Sie möchten nur selbst aus der Ferne zugreifen? Nutzen Sie Tailscale. Installieren Sie es auf Ihrem Server und Ihren Geräten, und Sie erreichen Ihren Heimserver von überall. Keine öffentliche Erreichbarkeit, keine Ports, um die Sie sich kümmern müssen.

Sie hosten nur eine öffentliche Website? Cloudflare Tunnel funktioniert gut und ist kostenlos. Wenn Sie Ende-zu-Ende-Verschlüsselung oder eine eigene IP-Adresse brauchen, nutzen Sie GetPublicIP.

Sie betreiben einen Mailserver? Hier ist GetPublicIP die einzige Option. E-Mail erfordert die Ports 25, 465, 587 und 993 sowie Reverse DNS (PTR-Einträge) für eine zuverlässige Zustellung. Keine andere Methode in dieser Liste bietet das.

Sie hosten einen Gameserver (Minecraft, Valheim, Palworld usw.)? GetPublicIP. Gameserver brauchen reines TCP und UDP auf bestimmten Ports. Cloudflare Tunnel unterstützt kein UDP. Tailscale funktioniert nur für Spieler in Ihrem privaten Netzwerk.

Sie brauchen Zuverlässigkeit und Failover? GetPublicIP. Ihre öffentliche IP-Adresse bleibt bestehen, auch wenn Ihr Internetanschluss zu Hause vorübergehend ausfällt, und sie ändert sich nicht, wenn Sie den Anbieter wechseln oder mit Ihrem Server umziehen.

Sie sitzen hinter CGNAT und brauchen alle Protokolle? GetPublicIP. Es ist die einzige Methode, die Ihnen eine echte, routbare öffentliche IPv4-Adresse mit voller Protokollunterstützung gibt und dabei CGNAT umgeht.

Häufige Fehler, wenn Sie einen Heimserver von außen erreichbar machen

Sobald Ihr Server aus dem Internet erreichbar ist, müssen Sie ihn wie ein öffentlich zugängliches System behandeln. Das sind die häufigsten Fehler.

1. Keine Firewall

Ohne Firewall ist jeder Dienst auf Ihrem Server für das gesamte Internet zugänglich. Erlauben Sie mit ufw, iptables oder nftables nur die Ports, die Ihre Dienste tatsächlich brauchen. Blockieren Sie alles andere.

Kopieren# Example: allow only HTTP, HTTPS, and SSH
sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

2. Standardpasswörter bei Diensten

Bots durchsuchen das Internet ununterbrochen und probieren Standardzugangsdaten schon wenige Minuten nach dem Auftauchen eines neuen Dienstes aus. Ändern Sie die Standardpasswörter überall: Datenbanken, Admin-Oberflächen, Web-Apps, SSH. Verwenden Sie starke, individuelle Passwörter oder SSH-Schlüssel.

3. Betrieb ohne HTTPS

Wenn Sie einen Webdienst über unverschlüsseltes HTTP erreichbar machen, werden Zugangsdaten und andere Daten im Klartext übertragen. Holen Sie sich mit Let's Encrypt (kostenlos) ein TLS-Zertifikat. Werkzeuge wie Caddy und Traefik kümmern sich von Haus aus automatisch um HTTPS.

4. Software nicht aktualisieren

Ungepatchte Software ist das häufigste Einfallstor für Angreifer. Aktivieren Sie automatische Sicherheitsupdates für Ihr Betriebssystem und halten Sie Ihre Anwendungen aktuell. Abonnieren Sie die Sicherheitshinweise für die Software, die Sie einsetzen.

Kopieren# Enable automatic security updates on Ubuntu/Debian
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

5. Ihre echte Heim-IP preisgeben

Wenn Sie eine Portfreigabe mit der IP-Adresse Ihres Internetanbieters nutzen, sehen Angreifer Ihre Heim-IP direkt. Damit ist Ihr physischer Standort mit Ihrem Server verknüpft. Ein Dienst für eigene IP-Adressen wie GetPublicIP verbirgt Ihre echte Heim-IP: Der Internetverkehr trifft auf Ihre eigene IP-Adresse an unserer Edge-Infrastruktur, und nur der WireGuard-Tunnel führt zurück in Ihr eigentliches Netzwerk.

Häufig gestellte Fragen