Portfreigabe funktioniert nicht? Die Ursachen (und wie Sie sie beheben)

Sie haben in Ihrem Router eine Portfreigabe eingerichtet. Die Regel sieht korrekt aus. Der Dienst läuft. Trotzdem laufen Verbindungen von außerhalb Ihres Netzwerks ins Leere, und Sie haben keine Ahnung, warum.

Damit sind Sie nicht allein. Eine Portfreigabe scheitert ohne Fehlermeldung, und die eigentliche Ursache ist oft etwas, das Ihr Router Ihnen gar nicht anzeigen kann. Diese Anleitung geht die 6 häufigsten Gründe durch, warum eine Portfreigabe nicht funktioniert, zeigt, wie Sie jeden davon erkennen, und wie Sie ihn beheben. Wenn Sie schon stundenlang nach dem Fehler suchen, beginnen Sie mit der Schnell-Checkliste zur Diagnose am Ende, um Ursachen rasch auszuschließen.

Die 6 häufigsten Gründe, warum eine Portfreigabe scheitert

Bevor wir auf die einzelnen Ursachen eingehen, hier ein kurzer Überblick, damit Sie direkt zu der springen können, die zu Ihrer Situation passt:

1. Falsche lokale IP-Adresse: Ihr Router leitet den Verkehr an ein Gerät weiter, das umgezogen ist oder diese IP-Adresse nicht mehr hat
2. Firewall blockiert den Port: Die Firewall des Betriebssystems auf Ihrem Server verwirft eingehenden Verkehr stillschweigend
3. Internetanbieter sperrt den Port: Ihr Anbieter filtert auf Privatanschlüssen bestimmte Ports
4. Doppeltes NAT: Ein zweiter Router oder das Modem des Anbieters führt bereits vor Ihrem Router NAT durch
5. Ihr Internetanbieter nutzt CGNAT: die häufigste versteckte Ursache und am schwersten zu erkennen
6. Dynamische IP-Adresse hat sich geändert: Ihre öffentliche IP-Adresse hat sich seit der Einrichtung geändert

1. Falsche lokale IP-Adresse

Die einfachste Ursache: Die Portfreigabe in Ihrem Router zeigt auf eine IP-Adresse, die nicht mehr zu dem Gerät gehört, auf dem Ihr Dienst läuft.

Das passiert, wenn Ihr Server seine IP-Adresse per DHCP bezieht und der Router ihm nach einem Neustart oder nach Ablauf der Lease eine andere Adresse zuweist. Die Regel lautet weiterhin „Port 443 an 192.168.1.50 weiterleiten“, Ihr Server hat inzwischen aber 192.168.1.52.

So prüfen Sie es

Ermitteln Sie auf Ihrem Server dessen aktuelle lokale IP-Adresse:

Linux:

Kopierenip a

Suchen Sie nach Ihrer Hauptnetzwerkschnittstelle (meist eth0, enp0s3 oder eno1). Die Zeile inet zeigt Ihre IPv4-Adresse.

Windows:

Kopierenipconfig

Suchen Sie beim aktiven Adapter nach „IPv4-Adresse“.

macOS:

Kopierenipconfig getifaddr en0

Vergleichen Sie diese Adresse nun mit der IP-Adresse in der Portfreigabe Ihres Routers. Stimmen sie nicht überein, haben Sie das Problem gefunden.

So beheben Sie es

Geben Sie Ihrem Server eine feste lokale IP-Adresse, damit sie sich nie ändert. Dafür gibt es zwei Möglichkeiten:

• DHCP-Reservierung (empfohlen): Öffnen Sie in der Benutzeroberfläche Ihres Routers die DHCP-Einstellungen und reservieren Sie eine bestimmte IP-Adresse für die MAC-Adresse Ihres Servers. Der Server nutzt weiterhin DHCP, erhält aber immer dieselbe Adresse.
• Manuelle statische IP: Legen Sie die IP-Adresse direkt an der Netzwerkschnittstelle des Servers fest. Unter Linux geschieht das in der Regel in /etc/netplan/ (Ubuntu/Debian) oder über den NetworkManager.

In beiden Fällen sollte die reservierte IP-Adresse außerhalb des DHCP-Bereichs Ihres Routers liegen, um Konflikte zu vermeiden.

2. Firewall blockiert den Port

Ihre Portfreigabe ist korrekt und der Verkehr kommt auch auf Ihrem Server an, doch die Firewall des Betriebssystems verwirft ihn, bevor er Ihre Anwendung erreicht.

Besonders häufig ist das auf Linux-Servern, auf denen ufw oder iptables standardmäßig aktiv ist, und unter Windows, wo die Windows Defender Firewall eingehende Verbindungen blockiert, solange Sie keine ausdrückliche Regel anlegen.

So prüfen Sie es

Linux (ufw):

Kopierensudo ufw status verbose

Zeigt die Ausgabe Status: active und Ihr Port ist nicht aufgeführt, blockiert die Firewall ihn.

Linux (iptables / nftables):

Kopierensudo iptables -L -n | grep <your-port>

Gibt es keine ACCEPT-Regel für Ihren Port oder steht weiter oben in der Kette eine DROP- bzw. REJECT-Regel, wird der Verkehr blockiert.

Windows: Öffnen Sie die „Windows Defender Firewall mit erweiterter Sicherheit“ und prüfen Sie die eingehenden Regeln. Suchen Sie nach einer Regel, die Ihren Port zulässt. Gibt es keine, wird der Verkehr stillschweigend verworfen.

So beheben Sie es

Linux (ufw):

Kopierensudo ufw allow 443/tcp
sudo ufw allow 25565/tcp   # Minecraft, for example

Linux (iptables):

Kopierensudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Windows: Legen Sie in der Windows Defender Firewall eine neue eingehende Regel an: Wählen Sie „Port“, geben Sie die Portnummer ein, wählen Sie „Verbindung zulassen“ und wenden Sie die Regel auf alle Profile an.

Testen Sie nach den Änderungen zunächst von einem anderen Gerät in Ihrem LAN (z. B. curl http://192.168.1.50:8080), ob die Firewall den Port nicht mehr blockiert, bevor Sie von außen testen.

3. Internetanbieter sperrt den Port

Selbst wenn Router und Firewall richtig konfiguriert sind, kann Ihr Internetanbieter auf Privatanschlüssen bestimmte Ports filtern. Das ist verbreitet und wird selten dokumentiert.

Ports, die Anbieter auf Privatanschlüssen häufig sperren:

• Port 25 (SMTP): gesperrt, um Spam von kompromittierten Heimrechnern zu verhindern
• Port 80 (HTTP): gesperrt, um Webhosting in Privattarifen zu unterbinden
• Port 443 (HTTPS): bei manchen Anbietern gesperrt, seltener als Port 80
• Port 8080 (alternativer HTTP-Port): bei einigen Anbietern gesperrt

So prüfen Sie es

Am schnellsten testen Sie das mit einem hohen, beliebigen Port, den kein Anbieter sperren würde:

1. Starten Sie auf Ihrem Server vorübergehend einen Listener:

Kopierenpython3 -m http.server 9999

2. Richten Sie in Ihrem Router eine Portfreigabe für Port 9999 auf Ihren Server ein.
3. Versuchen Sie, sich von außerhalb Ihres Netzwerks zu verbinden (etwa mit einem Smartphone über mobile Daten oder über den Anschluss eines Bekannten):

Kopierencurl http://<your-public-ip>:9999

Funktioniert Port 9999, Ihr ursprünglicher Port aber nicht, sperrt Ihr Anbieter genau diesen Port.

So beheben Sie es

• Einen anderen Port verwenden: Betreiben Sie Ihren Dienst auf einem hohen Port (z. B. 8443 statt 443 oder 2525 statt 25). Das ist der einfachste Umweg, bedeutet aber, dass jeder, der sich verbindet, den abweichenden Port kennen muss.
• Beim Anbieter anrufen: Manche Anbieter entsperren Ports auf Anfrage, vor allem wenn Sie auf einen Geschäftstarif wechseln. Fragen lohnt sich.
• Einen Tunneldienst nutzen: Wenn Sie Standardports brauchen und Ihr Anbieter nicht einlenkt, erhalten Sie mit einem Dienst wie GetPublicIP eine eigene öffentliche IP-Adresse, auf der alle Ports verfügbar sind – Portsperren des Anbieters spielen dann keine Rolle mehr.

4. Doppeltes NAT

Doppeltes NAT liegt vor, wenn zwischen Ihrem Server und dem Internet zwei Geräte Network Address Translation (NAT) durchführen. Das häufigste Szenario: Ihr Anbieter hat Ihnen ein Modem mit integriertem Router gestellt, und Sie haben Ihren eigenen Router dahinter angeschlossen. Beide Geräte führen NAT durch, sodass eine Portfreigabe allein auf Ihrem Router nicht genügt – das NAT des Anbieter-Modems verwirft eingehenden Verkehr, bevor er Ihren Router überhaupt erreicht.

So prüfen Sie es

Führen Sie auf Ihrem Server ein Traceroute aus und sehen Sie sich die ersten Hops an:

Linux:

Kopierentraceroute -n 8.8.8.8

Windows:

Kopierentracert 8.8.8.8

Sehen Sie in den ersten Hops zwei private IP-Adressen (z. B. 192.168.1.1 und dann 192.168.0.1 oder 192.168.1.1 und dann 10.0.0.1), haben Sie doppeltes NAT. Der erste Hop ist Ihr Router, der zweite das Modem des Anbieters mit eigenem NAT.

Ein weiterer Hinweis: Melden Sie sich an Ihrem Router an und prüfen Sie die WAN-IP. Ist sie eine private Adresse (192.168.x.x, 10.x.x.x oder 172.16-31.x.x) statt einer öffentlichen, führt ein vorgeschaltetes Gerät NAT durch.

So beheben Sie es

• Bridge-Modus (beste Lösung): Melden Sie sich am Modem bzw. Router des Anbieters an und schalten Sie es in den Bridge-Modus. Damit werden seine NAT- und DHCP-Funktionen deaktiviert und es arbeitet nur noch als einfaches Modem. Ihr Router erhält die öffentliche IP-Adresse dann direkt an seiner WAN-Schnittstelle, und die Portfreigabe funktioniert wie erwartet.
• DMZ am Anbieter-Modem: Steht kein Bridge-Modus zur Verfügung, richten Sie am Modem des Anbieters eine DMZ ein, die sämtlichen Verkehr an die WAN-IP Ihres Routers weiterleitet. Das ist weniger sauber, aber wirksam.
• Anbieter-Modem ersetzen: Manche Anbieter erlauben ein eigenes Modem, womit das doppelte NAT vollständig entfällt.

5. Ihr Internetanbieter nutzt CGNAT

Das ist der wichtigste Punkt. Carrier-Grade NAT (CGNAT) ist die häufigste versteckte Ursache dafür, dass eine Portfreigabe nicht funktioniert, und für die meisten am schwersten zu erkennen, weil auf Ihrer Seite alles korrekt aussieht.

CGNAT bedeutet, dass Ihr Internetanbieter in seinem eigenen Netz eine zusätzliche NAT-Ebene betreibt und eine einzige öffentliche IPv4-Adresse auf Dutzende oder Hunderte Kunden aufteilt. Ihr Router hat keine echte öffentliche IP-Adresse, sondern eine anbieterinterne Adresse. Portfreigaben auf Ihrem Router steuern nur die NAT-Tabelle Ihres Routers. Auf das CGNAT des Anbieters haben sie keinerlei Einfluss – und dieses liegt über Ihrem Router und verwirft stillschweigend alle unaufgeforderten eingehenden Verbindungen.

In Deutschland ist das meist DS-Lite: Ihr Anschluss erhält eine eigene IPv6-Adresse, IPv4 läuft dagegen über das CGNAT des Anbieters. Bei einer FRITZ!Box zeigt der Online-Monitor an, ob Ihre Verbindung DS-Lite nutzt. Schritt für Schritt erklärt das unsere Anleitung FRITZ!Box Portfreigabe und DS-Lite.

Das Ergebnis: Sie können die Portfreigabe perfekt einrichten, Ihre Firewall-Regeln können stimmen, Ihr Server kann auf dem Port lauschen – und Verbindungen von außen laufen trotzdem ins Leere. Keine Fehlermeldung, keine Ablehnung, einfach Stille. Genau deshalb ist das so frustrierend.

Was CGNAT genau ist, wie es funktioniert und welche Anbieter es einsetzen, erklärt unser umfassender Leitfaden zum Selbsthosten hinter CGNAT.

So prüfen Sie, ob Sie hinter CGNAT sind

Schritt 1: Melden Sie sich an der Benutzeroberfläche Ihres Routers an und suchen Sie die WAN-IP-Adresse (manchmal auch „Internet-IP“ oder „externe IP“ genannt).

Schritt 2: Prüfen Sie auf einem beliebigen Gerät in Ihrem Netzwerk Ihre tatsächliche öffentliche IP-Adresse:

Kopierencurl https://api.getpublicip.com/ip

Stimmen diese beiden Adressen nicht überein, sind Sie hinter CGNAT. Ihr Router glaubt, eine öffentliche IP-Adresse zu haben, doch der Anbieter übersetzt sie ein weiteres Mal, bevor der Verkehr das Internet erreicht.

Schritt 3: Prüfen Sie, ob die WAN-IP im für CGNAT reservierten Bereich liegt. Zeigt Ihr Router eine Adresse zwischen 100.64.0.0 und 100.127.255.255, handelt es sich um den in RFC 6598 eigens für CGNAT reservierten Bereich. Das ist eine eindeutige Bestätigung.

Weitere Möglichkeiten, Ihre öffentliche IP-Adresse zu ermitteln, finden Sie in unserer Anleitung, wie Sie Ihre öffentliche IP-Adresse unter Linux herausfinden.

Warum keine Router-Einstellung CGNAT beheben kann

Die Portfreigaben Ihres Routers steuern nur die Übersetzung zwischen Ihrem LAN (192.168.x.x) und der WAN-Adresse Ihres Routers. Bei CGNAT ist diese WAN-Adresse aber nicht öffentlich, sondern eine anbieterinterne Adresse. Das NAT-Gerät des Anbieters übersetzt diese interne Adresse in die gemeinsam genutzte öffentliche IP-Adresse, und dort gibt es keine Portfreigaben für Ihren Verkehr. Sie können es nicht konfigurieren, Ihr Anbieter kontrolliert es, und in den meisten Fällen richtet er keine Freigaben für einzelne Kunden ein.

Einen anderen Router kaufen, UPnP aktivieren, den DMZ-Modus nutzen: Nichts davon hilft. Das Problem liegt oberhalb Ihres Netzwerks.

6. Dynamische IP-Adresse hat sich geändert

Hat die Portfreigabe zuvor funktioniert und plötzlich nicht mehr, hat Ihr Internetanbieter möglicherweise Ihre öffentliche IP-Adresse geändert. Die meisten Privattarife vergeben IP-Adressen dynamisch: Ihre öffentliche IP-Adresse kann sich ändern, wenn Ihr Modem neu startet, wenn der Anbieter Wartungsarbeiten durchführt oder einfach nach Ablauf einer DHCP-Lease.

Wer sich mit Ihrer alten IP-Adresse verbinden will, erreicht dann nichts (oder schlimmer: das Netzwerk eines anderen).

So prüfen Sie es

Kopierencurl https://api.getpublicip.com/ip

Vergleichen Sie das Ergebnis mit der IP-Adresse, die Sie weitergegeben haben oder in DNS-Einträgen verwenden. Hat sie sich geändert, haben Sie die Antwort.

So beheben Sie es

• Dynamisches DNS (DDNS): Dienste wie DuckDNS, No-IP oder Cloudflare DNS mit einem Update-Skript aktualisieren einen Hostnamen automatisch auf Ihre aktuelle IP-Adresse. Das verhindert zwar nicht, dass sich die IP-Adresse ändert, sorgt aber dafür, dass der Hostname immer auf Ihre neueste Adresse auflöst. Die meisten Router unterstützen DDNS von Haus aus.
• Feste IP-Adresse vom Anbieter: Fragen Sie Ihren Internetanbieter nach einer festen öffentlichen IP-Adresse. Damit ändert sich die IP-Adresse nie. Was Sie dabei erwartet, lesen Sie in unserer Anleitung, wie Sie eine feste IP-Adresse bekommen.
• Eigene öffentliche IP-Adresse über GetPublicIP: Eine Adresse von GetPublicIP ist standardmäßig fest, ändert sich nicht und ist nicht an Ihren Anschluss gebunden. Wenn Sie den Anbieter wechseln oder umziehen, bleibt die IP-Adresse dieselbe.

So beheben Sie die Portfreigabe, wenn CGNAT das Problem ist

Wenn Sie festgestellt haben, dass CGNAT Ihre Portfreigabe blockiert, helfen Lösungen auf Router-Ebene nicht weiter. Der Verkehr muss Ihren Server auf einem anderen Weg erreichen. Hier sind drei realistische Möglichkeiten, von der einfachsten bis zur leistungsfähigsten. Einen umfassenderen Vergleich, einschließlich VPNs mit dedizierter IP-Adresse, finden Sie unter So bekommen Sie eine öffentliche IP-Adresse.

Möglichkeit 1: Den Anbieter nach einer festen öffentlichen IP-Adresse fragen

Manche Anbieter bieten eine eigene öffentliche IP-Adresse als kostenpflichtige Zusatzoption an, typischerweise für 5–30 USD pro Monat. Damit sind Sie aus dem CGNAT-Pool heraus und erhalten eine echte öffentliche Adresse, mit der Portfreigaben ganz normal funktionieren.

Nachteile: Nicht alle Anbieter bieten das an (vor allem nicht in Privattarifen). Die IP-Adresse ist an Ihren physischen Anschluss gebunden; bei einem Umzug verlieren Sie sie. Private IP-Adressen haben für E-Mail oft eine schlechte Absenderreputation. Fällt Ihre Verbindung aus, gibt es keine Ausfallsicherung.

Eine ausführliche Übersicht: So bekommen Sie eine feste IP-Adresse.

Möglichkeit 2: Cloudflare Tunnel (kostenlos, nur HTTP/HTTPS)

Cloudflare Tunnel baut von Ihrem Server aus eine ausgehende Verbindung zum Edge-Netzwerk von Cloudflare auf, und Cloudflare leitet HTTP/HTTPS-Verkehr als Reverse Proxy an Sie zurück. Das ist kostenlos und umgeht CGNAT, weil der Tunnel ausgehend ist (was CGNAT zulässt).

Nachteile: Funktioniert nur mit HTTP und HTTPS. SSL/TLS wird bei Cloudflare terminiert, Cloudflare kann Ihren Verkehr also im Klartext sehen. Keine Unterstützung für E-Mail (SMTP), Gameserver, VoIP oder andere UDP-basierte Protokolle. Sie erhalten keine echte öffentliche IP-Adresse.

Ein ausführlicher Vergleich: GetPublicIP vs. Cloudflare Tunnel vs. Tailscale.

Möglichkeit 3: GetPublicIP (eigene IPv4-Adresse, jedes Protokoll)

GetPublicIP gibt Ihnen eine eigene öffentliche IPv4-Adresse, die über einen verschlüsselten WireGuard-Tunnel zu Ihrem Server geleitet wird. Ihr Server baut eine ausgehende Verbindung zu unserem Edge auf (was CGNAT zulässt), und der gesamte eingehende Verkehr für Ihre öffentliche IP-Adresse fließt durch diesen Tunnel zu Ihrem Server.

Warum das für Portfreigaben funktioniert: Sie erhalten eine echte, feste öffentliche IP-Adresse, auf der alle 65.535 Ports verfügbar sind. Geben Sie in der Verwaltungskonsole genau die Ports frei, die Sie brauchen. Jedes Protokoll funktioniert: TCP, UDP, ICMP. SSL/TLS bleibt Ende-zu-Ende verschlüsselt; wir terminieren oder untersuchen Ihren Verkehr nie.

Die Einrichtung dauert etwa fünf Minuten: Konto erstellen, IP-Adresse einrichten, WireGuard-Konfiguration herunterladen und den Tunnel starten. Die vollständige Anleitung finden Sie im Leitfaden für den Einstieg. Die Kosten betragen 8,99 USD pro Monat und IP-Adresse, ohne Vertragslaufzeit.

Schnell-Checkliste zur Diagnose

Gehen Sie diese Schritte der Reihe nach durch. Jeder schließt eine bestimmte Ursache aus, und am Ende wissen Sie genau, wo das Problem liegt.

1. Lauscht Ihr Server tatsächlich auf dem Port?

Kopieren# Linux
ss -tlnp | grep <port>

# Windows
netstat -an | findstr <port>

Gibt es keinen Listener, läuft der Dienst nicht oder ist an die falsche Schnittstelle gebunden (z. B. 127.0.0.1 statt 0.0.0.0).

2. Können Sie sich von einem anderen Gerät in Ihrem LAN verbinden?

Von einem zweiten Computer oder Smartphone im selben Netzwerk:

Kopierencurl http://192.168.1.50:<port>

Schlägt das fehl, liegt das Problem am Server selbst (Firewall oder Konfiguration), nicht an Ihrem Router oder Anbieter.

3. Leitet Ihr Router an die richtige lokale IP-Adresse weiter?

Prüfen Sie die Portfreigabe in der Benutzeroberfläche Ihres Routers. Vergewissern Sie sich, dass die Ziel-IP mit der aktuellen IP-Adresse Ihres Servers übereinstimmt (führen Sie dazu auf dem Server ip a oder ipconfig aus).

4. Lässt die Firewall Ihres Betriebssystems den Port zu?

Kopieren# Linux (ufw)
sudo ufw status

# Linux (iptables)
sudo iptables -L -n

Prüfen Sie unter Windows die eingehenden Regeln in der „Windows Defender Firewall mit erweiterter Sicherheit“.

5. Vergleichen Sie die WAN-IP Ihres Routers mit Ihrer tatsächlichen öffentlichen IP-Adresse

Kopierencurl https://api.getpublicip.com/ip

Stimmt das Ergebnis nicht mit der WAN-IP Ihres Routers überein, sind Sie hinter CGNAT. Eine Portfreigabe auf Router-Ebene kann dann nicht funktionieren.

6. Liegt die WAN-IP im Bereich 100.64.x.x?

Zeigt die WAN-Schnittstelle Ihres Routers eine Adresse zwischen 100.64.0.0 und 100.127.255.255, ist CGNAT bestätigt. Eine Lösung auf Router-Ebene gibt es nicht.

7. Testen Sie einen hohen, beliebigen Port von außerhalb Ihres Netzwerks

Geben Sie einen Port im Bereich 49152–65535 frei und testen Sie ihn mit einem Smartphone über mobile Daten oder aus dem Netzwerk eines Bekannten. Scheitert selbst dieser hohe Port von außen, liegt das Problem oberhalb Ihres Routers: entweder CGNAT oder eine Firewall auf Anbieterseite.

Häufig gestellte Fragen