Portweiterleitung

Portweiterleitung leitet eingehenden Netzwerkverkehr von einem Router oder einer Firewall gezielt an ein bestimmtes Gerät im lokalen Netzwerk weiter. Router verwenden standardmäßig Network Address Translation (NAT), die alle internen Geräte hinter einer einzigen öffentlichen IP-Adresse verbirgt. Die Weiterleitung durchbricht diese Barriere, indem sie eine explizite Zuordnung zwischen einem externen Port und einem internen Gerät erstellt.

Funktionsweise der Portweiterleitung im Netzwerk

Ein Router empfängt Datenpakete aus dem Internet, die an seine öffentliche IP-Adresse und einen spezifischen Port adressiert sind. NAT ordnet normalerweise nur ausgehende Verbindungen zu, sodass der Router weiß, an welches interne Gerät Antwortpakete zurückgeschickt werden müssen. Unaufgeforderte eingehende Verbindungen haben keine solche Zuordnung und werden verworfen.

Portweiterleitung schafft eine permanente Zuordnungsregel im Router. Diese Regel spezifiziert einen externen Port (z.B. 8080), ein Protokoll (TCP oder UDP) und ein Zielgerät durch dessen interne IP-Adresse (z.B. 192.168.1.50). Wenn ein Datenpaket auf dem externen Port eintrifft, ändert der Router die Zieladresse im Paket-Header von der öffentlichen IP zur internen IP und leitet es weiter.

Unterschied zwischen internem und externem Port

Der externe Port ist die Nummer, die Clients aus dem Internet verwenden, um den Dienst zu erreichen. Der interne Port ist die tatsächliche Portnummer, auf der der Dienst auf dem Zielgerät lauscht. Diese Nummern können identisch sein (8080 → 8080) oder unterschiedlich (80 → 8080), was als Port-Mapping bezeichnet wird und mehrere Dienste hinter einem Router ermöglicht.

Praktische Anwendungsfälle für Portweiterleitung

Gaming-Server gehören zu den häufigsten Anwendungen, da Spieler von außerhalb des lokalen Netzwerks dem Server beitreten müssen. Minecraft-Server verwenden standardmäßig Port 25565, Terraria nutzt 7777, und Counter-Strike-Server laufen auf Port 27015. Ohne Weiterleitung dieser Ports können externe Spieler den Server nicht finden.

Remote-Desktop-Zugriff erfordert Portweiterleitung für Protokolle wie RDP (Port 3389) oder VNC (Port 5900). IT-Administratoren greifen auf Büro-Computer zu, während Heimanwender auf ihren Hauptrechner zugreifen, um Dateien abzurufen oder Programme fernzusteuern. Diese Konfiguration birgt erhebliche Sicherheitsrisiken, da Remote-Desktop-Dienste häufig attackiert werden.

Selbst gehostete Dienste im Heimnetzwerk

• Webserver auf Port 80 (HTTP) oder 443 (HTTPS) für persönliche Websites oder Blogs
• FTP-Server auf Port 21 für Dateifreigabe mit Partnern oder Kunden
• Mail-Server auf Port 25 (SMTP), 110 (POP3) oder 143 (IMAP) für eigene E-Mail-Infrastruktur
• Home-Automation-Systeme wie Home Assistant oder OpenHAB für externe Steuerung
• Netzwerkspeicher (NAS) mit eigenen Webinterfaces für Fernzugriff auf Dateien

IP-Kameras und Überwachungssysteme verwenden Portweiterleitung, um Video-Streams über das Internet bereitzustellen. Hersteller setzen oft proprietäre Ports ein (8000-8100 für Hikvision, 37777 für Dahua), die weitergeleitet werden müssen, damit Smartphone-Apps von unterwegs auf Live-Bilder zugreifen können.

Konfiguration von Portweiterleitung im Router

Router-Hersteller verwenden unterschiedliche Bezeichnungen für die Portweiterleitung in ihren Admin-Panels. Fritz!Box-Router bezeichnen die Funktion als „Portfreigabe“, während TP-Link „Virtual Server“ und Netgear „Port Forwarding/Port Triggering“ verwendet. Die Einstellungen befinden sich typischerweise unter „Netzwerk“, „Firewall“ oder „Erweiterte Einstellungen“.

Erforderliche Konfigurationsparameter

Die interne IP-Adresse des Zielgeräts sollte statisch sein oder über DHCP-Reservierung fixiert werden. Router vergeben dynamische IP-Adressen aus einem Pool, die sich bei jedem Neustart ändern können. Eine Portweiterleitung auf eine IP-Adresse, die einem anderen Gerät zugewiesen wurde, leitet den Verkehr an das falsche Ziel.

Sicherheitsrisiken und Schutzmaßnahmen bei Portweiterleitung

Jede Portweiterleitung erhöht die Angriffsfläche des Netzwerks, da ein interner Dienst direkt aus dem Internet erreichbar wird. Automatisierte Scanner durchsuchen kontinuierlich IP-Adressbereiche nach offenen Ports und versuchen bekannte Exploits gegen exponierte Dienste. Ungepatchte Software, Standardpasswörter oder unsichere Konfigurationen werden innerhalb von Stunden nach der Exposition kompromittiert.

Brute-Force-Angriffe zielen auf Authentifizierungsmechanismen wie SSH (Port 22), RDP (Port 3389) oder Admin-Panels von Webdiensten. Angreifer verwenden Wörterbücher mit Millionen von Passwort-Kombinationen und testen diese automatisch, bis ein Zugang gelingt. Fail2Ban oder ähnliche Intrusion-Prevention-Systeme blockieren IP-Adressen nach wiederholten Fehlversuchen.

Empfohlene Sicherheitsmaßnahmen

1. Nicht-standardmäßige Ports verwenden: SSH auf Port 22 wird massiv angegriffen, während Port 44322 deutlich weniger Aufmerksamkeit erhält.
2. Starke Authentifizierung implementieren: Zertifikatbasierte SSH-Anmeldung statt Passwörter, Zwei-Faktor-Authentifizierung für Webdienste.
3. Firewall-Regeln am Zielgerät: Host-basierte Firewalls beschränken Zugriff auf bekannte IP-Adressen oder Bereiche.
4. Regelmäßige Updates: Sicherheitspatches für exponierte Dienste müssen zeitnah installiert werden, da Zero-Day-Exploits öffentlich werden.
5. VPN als Alternative: Zugriff über VPN-Tunnel statt direkter Portweiterleitung kapselt Dienste hinter verschlüsselter Authentifizierung.

Universelles Plug and Play (UPnP) ermöglicht Geräten, automatisch Portweiterleitung anzufordern, ohne manuelle Router-Konfiguration. Diese Bequemlichkeit birgt Risiken, da kompromittierte Geräte oder Malware unbemerkt Ports öffnen können. UPnP sollte deaktiviert werden, wenn nicht explizit benötigt, und Portweiterleitung manuell konfiguriert werden.

Häufige Probleme und Fehlersuche

Doppeltes NAT tritt auf, wenn mehrere Router hintereinander geschaltet sind, wobei jeder seine eigene NAT-Schicht implementiert. Internet-Service-Provider-Modems fungieren oft als Router, während Nutzer einen zusätzlichen Router anschließen, der ein zweites privates Netzwerk erstellt. Portweiterleitung im inneren Router leitet nur bis zum ISP-Modem, nicht bis ins Internet.

Carrier-Grade NAT (CGNAT) wird von einigen Internetanbietern eingesetzt, um IPv4-Adressen zwischen mehreren Kunden zu teilen. Die dem Kunden zugewiesene IP-Adresse ist selbst eine private Adresse (oft aus dem Bereich 100.64.0.0/10), die erneut hinter NAT sitzt. Portweiterleitung funktioniert nicht, da der Router keine öffentlich erreichbare IP-Adresse besitzt, und Dienste müssen über IPv6 oder VPN-Tunnel exponiert werden.

Testen der Porterreichbarkeit

Online-Port-Checker-Tools senden eine Verbindungsanfrage an die angegebene öffentliche IP-Adresse und Portnummer. Das Zielgerät muss einen aktiven Dienst auf diesem Port betreiben, der auf eingehende Verbindungen antwortet. Ein geschlossener Port bedeutet, dass die Weiterleitung nicht funktioniert oder die Firewall des Zielgeräts die Verbindung blockiert.

Router-Logs zeigen eingehende Verbindungsversuche und können bestätigen, ob Pakete den Router erreichen. Wenn der Log eingehende Pakete auf dem konfigurierten Port verzeichnet, aber das Zielgerät nichts empfängt, liegt das Problem an der internen Weiterleitung – möglicherweise eine falsche IP-Adresse oder ein gestoppter Dienst. Fehlen Log-Einträge vollständig, erreichen Pakete den Router nicht, was auf ISP-Filterung oder CGNAT hindeutet.