Network Address Translation (NAT) ver\u00e4ndert IP-Adressen in Datenpaketen, w\u00e4hrend diese durch einen Router oder eine Firewall flie\u00dfen. Router verwenden NAT, um mehreren Ger\u00e4ten in einem privaten Netzwerk die gemeinsame Nutzung einer einzigen \u00f6ffentlichen IP-Adresse zu erm\u00f6glichen. Diese Technik entstand als Reaktion auf die Ersch\u00f6pfung des IPv4-Adressraums und hat sich zum Standard in nahezu allen Heim- und Unternehmensnetzwerken entwickelt.<\/p>\n
NAT arbeitet auf der Netzwerkschicht und modifiziert Quell- oder Ziel-IP-Adressen in Paket-Headern<\/strong>, w\u00e4hrend Datenpakete einen Router passieren. Router f\u00fchren eine \u00dcbersetzungstabelle, die jede ausgehende Verbindung mit einem eindeutigen Eintrag verkn\u00fcpft \u2013 typischerweise eine Kombination aus interner IP-Adresse, internem Port, \u00f6ffentlicher IP-Adresse und \u00f6ffentlichem Port. Wenn ein Ger\u00e4t mit der privaten Adresse 192.168.1.10 eine Webseite aufruft, ersetzt der Router die Absenderadresse durch seine \u00f6ffentliche IP und ordnet der Verbindung eine Port-Nummer zu (beispielsweise Port 45321). Der Webserver sieht nur die \u00f6ffentliche Adresse des Routers und antwortet an diese.<\/p>\n Eingehende Antwortpakete erreichen den Router mit der Port-Nummer 45321 im Ziel-Feld. Der Router durchsucht seine NAT-Tabelle nach diesem Port-Eintrag, findet die zugeh\u00f6rige interne Adresse 192.168.1.10 und ersetzt die Ziel-IP durch diese private Adresse, bevor er das Paket an das urspr\u00fcngliche Ger\u00e4t weiterleitet. Dieser bidirektionale \u00dcbersetzungsprozess geschieht f\u00fcr jedes einzelne Datenpaket<\/strong> und erfordert, dass der Router den Zustand aktiver Verbindungen im Arbeitsspeicher vorh\u00e4lt. Sobald eine Verbindung geschlossen wird oder eine Zeit\u00fcberschreitung eintritt, l\u00f6scht der Router den entsprechenden Tabelleneintrag, um Speicher freizugeben.<\/p>\n NAT nutzt spezielle IP-Adressbereiche, die f\u00fcr private Netzwerke reserviert sind und im \u00f6ffentlichen Internet nicht geroutet werden. Der Bereich 192.168.0.0 bis 192.168.255.255 ist in Heimnetzwerken am weitesten verbreitet, w\u00e4hrend Unternehmen oft 10.0.0.0 bis 10.255.255.255 oder 172.16.0.0 bis 172.31.255.255 einsetzen. Diese Bereiche k\u00f6nnen weltweit mehrfach verwendet werden, da sie niemals direkt im Internet erscheinen \u2013 nur die \u00f6ffentliche IP-Adresse des Routers ist global sichtbar.<\/p>\n Port Address Translation (PAT) \u2013 h\u00e4ufig als NAT Overload bezeichnet \u2013 bildet die am weitesten verbreitete NAT-Variante<\/strong> und erm\u00f6glicht Tausenden von Ger\u00e4ten die gemeinsame Nutzung einer einzigen \u00f6ffentlichen IP-Adresse. PAT unterscheidet Verbindungen anhand der Port-Nummern, wodurch theoretisch bis zu 65.535 gleichzeitige Verbindungen \u00fcber eine \u00f6ffentliche Adresse m\u00f6glich werden (praktisch weniger aufgrund von Protokoll-Overhead und reservierten Ports). Ein Heimrouter mit f\u00fcnfzehn verbundenen Ger\u00e4ten nutzt PAT, sodass jedes Smartphone, jeder Laptop und jedes IoT-Ger\u00e4t gleichzeitig unterschiedliche Webseiten aufrufen kann, w\u00e4hrend alle Anfragen von derselben \u00f6ffentlichen IP stammen.<\/p>\n Dynamisches NAT weist aus einem Pool \u00f6ffentlicher IP-Adressen tempor\u00e4re Zuordnungen zu, die sich nach jeder Sitzung \u00e4ndern k\u00f6nnen. Unternehmen setzen dynamisches NAT ein, wenn sie mehrere \u00f6ffentliche Adressen besitzen, aber nicht f\u00fcr jedes interne Ger\u00e4t eine permanente Zuordnung ben\u00f6tigen. Angenommen, ein Unternehmen verf\u00fcgt \u00fcber 50 \u00f6ffentliche IP-Adressen und 200 Arbeitspl\u00e4tze \u2013 dynamisches NAT teilt die \u00f6ffentlichen Adressen rotierend zu, basierend darauf, welche Mitarbeiter gerade Internet-Ressourcen abrufen.<\/p>\n Statisches NAT erstellt eine permanente Eins-zu-eins-Beziehung zwischen einer privaten und einer \u00f6ffentlichen IP-Adresse. Webserver, Mail-Server oder andere Dienste, die aus dem Internet erreichbar sein m\u00fcssen, erfordern statisches NAT, damit externe Clients immer dieselbe \u00f6ffentliche Adresse verwenden k\u00f6nnen. Ein Unternehmen ordnet seinem Mailserver mit der internen Adresse 10.0.5.20 die \u00f6ffentliche Adresse 203.0.113.10 fest zu, sodass eingehende E-Mails stets zum richtigen Server gelangen.<\/p>\n Internet-Provider implementieren Carrier-Grade NAT (CGNAT), um Tausende von Kundenanschl\u00fcssen hinter einem gemeinsamen Pool \u00f6ffentlicher IP-Adressen zu betreiben. CGNAT bedeutet, dass die „\u00f6ffentliche“ IP-Adresse, die ein Heimrouter vom Provider erh\u00e4lt, selbst eine private Adresse aus dem CGNAT-Bereich ist (typischerweise 100.64.0.0\/10). Der Provider f\u00fchrt eine zus\u00e4tzliche NAT-Ebene durch, bevor Datenverkehr das Internet erreicht \u2013 eine Konfiguration namens Double NAT, die bei Port-Forwarding, VPN-Verbindungen und bestimmten Online-Spielen Probleme verursachen kann.<\/p>\n Heimnetzwerke nutzen NAT standardm\u00e4\u00dfig, da Internet-Provider \u00fcblicherweise nur eine einzige \u00f6ffentliche IP-Adresse pro Anschluss zuweisen. Ein typischer Haushalt verbindet zehn bis zwanzig Ger\u00e4te<\/strong> mit dem WLAN-Router \u2013 Smartphones, Tablets, Laptops, Smart-TVs, Spielkonsolen, Drucker und Smart-Home-Ger\u00e4te \u2013, und NAT erm\u00f6glicht allen gleichzeitigen Internet-Zugriff. Ohne NAT m\u00fcsste jedes Ger\u00e4t eine eigene \u00f6ffentliche IP-Adresse vom Provider erhalten, was bei aktuellen IPv4-Knappheitspreisen wirtschaftlich nicht tragbar w\u00e4re.<\/p>\n Cloud-Umgebungen setzen NAT-Gateways ein, um virtuelle Maschinen in privaten Subnetzen mit dem Internet zu verbinden, ohne jedem Server eine \u00f6ffentliche IP-Adresse zuzuweisen. Eine Web-Anwendung mit hundert Backend-Servern ben\u00f6tigt m\u00f6glicherweise nur f\u00fcr die Load-Balancer \u00f6ffentliche Adressen, w\u00e4hrend Datenbankserver und Verarbeitungsknoten \u00fcber NAT-Gateways ausgehende Updates und API-Aufrufe durchf\u00fchren. Diese Architektur reduziert Kosten und verringert die Angriffsfl\u00e4che, da Backend-Systeme von au\u00dfen nicht direkt erreichbar sind.<\/p>\n Unternehmensnetzwerke kombinieren NAT mit Firewall-Regeln, um ausgehende Verbindungen zu kontrollieren und Sicherheitsrichtlinien durchzusetzen. Eine Firma mit mehreren Standorten verwendet zentrale NAT-Gateways, die allen ausgehenden Datenverkehr protokollieren und filtern. Administratoren k\u00f6nnen in den NAT-Logs nachvollziehen, welche internen Systeme bestimmte externe Dienste kontaktiert haben \u2013 n\u00fctzlich f\u00fcr Sicherheitsuntersuchungen nach Vorf\u00e4llen.<\/p>\n NAT blockiert eingehende Verbindungen standardm\u00e4\u00dfig, da keine \u00dcbersetzungsregel f\u00fcr unaufgeforderte externe Anfragen existiert. Peer-to-Peer-Anwendungen wie Videokonferenz-Software, Online-Spiele oder File-Sharing-Programme ben\u00f6tigen oft bidirektionale Kommunikation<\/strong>, die NAT behindert. Entwickler setzen Workarounds wie STUN (Session Traversal Utilities for NAT), TURN (Traversal Using Relays around NAT) oder ICE (Interactive Connectivity Establishment) ein, um diese Einschr\u00e4nkung zu umgehen \u2013 Protokolle, die zus\u00e4tzliche Komplexit\u00e4t und manchmal Relay-Server erfordern.<\/p>\n Port-Forwarding \u00f6ffnet spezifische Ports im Router und leitet eingehenden Datenverkehr an bestimmte interne Ger\u00e4te weiter, schafft aber Sicherheitsrisiken, wenn unsachgem\u00e4\u00df konfiguriert. Ein Heimanwender, der Port 22 f\u00fcr SSH-Zugriff auf einen Heimserver weiterleitet, exponiert diesen Server direkt dem Internet \u2013 automatisierte Angriffe scannen kontinuierlich alle \u00f6ffentlichen IP-Adressen nach offenen Ports. Viele Sicherheitsvorf\u00e4lle entstehen aus vergessenen oder unsicher konfigurierten Port-Forwarding-Regeln, die Angreifern unbeabsichtigt Zugang gew\u00e4hren.<\/p>\n End-to-End-Konnektivit\u00e4t wird durch NAT unterbrochen, da Anwendungen auf beiden Seiten nicht direkt mit den tats\u00e4chlichen IP-Adressen kommunizieren. Protokolle, die IP-Adressen in Payload-Daten einbetten (nicht nur in Headern), funktionieren ohne spezielle NAT-Unterst\u00fctzung nicht korrekt. FTP im aktiven Modus, bestimmte VPN-Protokolle und SIP (Session Initiation Protocol f\u00fcr VoIP) erfordern Application Layer Gateways (ALG) im Router, die die Protokoll-Nuancen verstehen und auch Payload-Daten entsprechend modifizieren.<\/p>\n NAT-\u00dcbersetzungstabellen verbrauchen Arbeitsspeicher und CPU-Ressourcen, was bei hochfrequentierten Gateways zu Engp\u00e4ssen f\u00fchren kann. Router m\u00fcssen f\u00fcr jede aktive Verbindung einen Tabelleneintrag vorhalten und diesen bei jedem Paket abfragen \u2013 bei Millionen gleichzeitiger Verbindungen (typisch f\u00fcr Carrier-Grade NAT) eine erhebliche Anforderung. Spezialisierte Hardware-NAT-Beschleuniger in Enterprise-Routern und Provider-Equipment handhaben diese Last durch dedizierte ASICs oder FPGAs.<\/p>\n NAT verschleiert interne Netzwerkstrukturen, da externe Systeme nur die \u00f6ffentliche IP-Adresse des Routers sehen. Angreifer k\u00f6nnen nicht direkt ermitteln, wie viele Ger\u00e4te sich hinter einem NAT-Gateway befinden oder welche Betriebssysteme und Dienste auf internen Hosts laufen \u2013 eine Form von Security through Obscurity<\/strong>, die keine robuste Verteidigung darstellt, aber die Aufkl\u00e4rungsphase erschwert. Penetrationstester und Angreifer m\u00fcssen zus\u00e4tzliche Techniken einsetzen, um hinter NAT verborgene Systeme zu erforschen.<\/p>\n NAT ist keine Firewall und bietet keinen Schutz vor ausgehenden Angriffen oder gegen kompromittierte Ger\u00e4te im internen Netzwerk. Malware auf einem Laptop hinter NAT kann problemlos Daten exfiltrieren, Spam versenden oder an Botnetzen teilnehmen, da NAT ausgehende Verbindungen standardm\u00e4\u00dfig erlaubt. Organisationen ben\u00f6tigen erg\u00e4nzende Sicherheitsma\u00dfnahmen wie stateful Firewalls, Intrusion Detection Systems und egress Filtering, um ausgehenden Datenverkehr zu \u00fcberwachen und verd\u00e4chtige Aktivit\u00e4ten zu blockieren.<\/p>\n Session Hijacking und NAT Traversal-Angriffe nutzen Schw\u00e4chen in NAT-Implementierungen aus, um unautorisierten Zugriff zu erlangen. Angreifer k\u00f6nnen vorhandene NAT-Mappings durch pr\u00e4zise getimte Pakete \u00fcbernehmen oder vorhersagbare Port-Zuweisungen ausnutzen, um eingehende Verbindungen zu erm\u00f6glichen. Moderne Router setzen randomisierte Port-Zuweisungen und strikte Zustandspr\u00fcfungen ein, um diese Angriffe zu erschweren, aber \u00e4ltere oder schlecht konfigurierte Ger\u00e4te bleiben anf\u00e4llig.<\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_set":[],"glossary_intl_cluster":[392],"glossary_intl_theme":[],"class_list":["post-28971","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_cluster-cybersecurity"],"acf":{"card_description":"Network Address Translation (NAT) ist ein Verfahren, das private IP-Adressen in \u00f6ffentliche umwandelt und umgekehrt, wodurch mehrere Ger\u00e4te eine einzige \u00f6ffentliche IP-Adresse gemeinsam nutzen k\u00f6nnen.","nav_theme":"","nav_subtheme":"","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"NAT"},{"value":"Netzwerkadress\u00fcbersetzung"},{"value":"IP-Maskierung"}],"lead_definition":"Network Address Translation (NAT) ist eine Netzwerktechnologie, die IP-Adressen in Datenpaketen ver\u00e4ndert, w\u00e4hrend diese durch einen Router oder eine Firewall geleitet werden. NAT erm\u00f6glicht es mehreren Ger\u00e4ten in einem privaten Netzwerk, \u00fcber eine einzige \u00f6ffentliche IP-Adresse auf das Internet zuzugreifen, wodurch der begrenzte Vorrat an IPv4-Adressen effizienter genutzt wird und gleichzeitig eine zus\u00e4tzliche Sicherheitsebene entsteht.","at_a_glance":[{"bullet":"NAT wandelt private IP-Adressen aus lokalen Netzwerken in \u00f6ffentliche IP-Adressen um, sodass Hunderte von Ger\u00e4ten \u00fcber eine einzige Internet-Adresse kommunizieren k\u00f6nnen."},{"bullet":"Router in Privathaushalten und Unternehmen verwenden NAT standardm\u00e4\u00dfig, um die Ersch\u00f6pfung des IPv4-Adressraums zu verlangsamen und interne Netzwerkstrukturen vor direktem Zugriff aus dem Internet zu sch\u00fctzen."},{"bullet":"NAT kann bei bestimmten Anwendungen wie VoIP, Videokonferenzen oder Online-Gaming Verbindungsprobleme verursachen, da direkte Peer-to-Peer-Kommunikation blockiert wird."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Heimnetzwerk mit zehn verbundenen Ger\u00e4ten (Smartphones, Laptops, Smart-TVs) nutzt NAT, damit alle \u00fcber die einzige \u00f6ffentliche IP-Adresse des Internet-Providers auf Webseiten zugreifen k\u00f6nnen. Der Router ordnet jede interne Anfrage einer Port-Nummer zu und leitet eingehende Antworten an das richtige Ger\u00e4t zur\u00fcck."},{"example":"Ein mittelst\u00e4ndisches Unternehmen mit 200 Arbeitspl\u00e4tzen setzt NAT ein, um allen Mitarbeitern Internetzugriff zu gew\u00e4hren, ohne f\u00fcr jeden Schreibtisch eine eigene \u00f6ffentliche IP-Adresse kaufen zu m\u00fcssen. Die Firewall verwaltet die \u00dcbersetzungstabelle und protokolliert ausgehende Verbindungen f\u00fcr Sicherheitsaudits."},{"example":"Ein Cloud-Anbieter verwendet NAT-Gateways, um virtuelle Maschinen in privaten Subnetzen mit dem Internet zu verbinden, w\u00e4hrend die tats\u00e4chlichen IP-Adressen der VMs vor externen Angreifern verborgen bleiben."}],"misconception":null,"faq":[{"q":"Wie unterscheidet ein Router, welches Ger\u00e4t eine Antwort aus dem Internet erhalten soll?","a":"Der Router f\u00fchrt eine NAT-\u00dcbersetzungstabelle, die jede ausgehende Verbindung mit einer eindeutigen Port-Nummer verkn\u00fcpft. Wenn Datenpakete vom Internet zur\u00fcckkommen, pr\u00fcft der Router die Port-Nummer in der Tabelle und leitet die Antwort an die interne IP-Adresse des urspr\u00fcnglichen Absenders weiter."},{"q":"Warum funktionieren manche Online-Spiele oder Video-Anrufe nicht richtig hinter NAT?","a":"Viele Echtzeit-Anwendungen ben\u00f6tigen eingehende Verbindungen, die NAT standardm\u00e4\u00dfig blockiert, da keine \u00dcbersetzungsregel f\u00fcr unaufgeforderte externe Anfragen existiert. Port-Forwarding oder UPnP k\u00f6nnen das Problem l\u00f6sen, indem sie spezifische Ports f\u00fcr eingehenden Datenverkehr \u00f6ffnen."},{"q":"Was ist der Unterschied zwischen statischem und dynamischem NAT?","a":"Statisches NAT ordnet jeder internen IP-Adresse dauerhaft eine spezifische \u00f6ffentliche IP-Adresse zu, sodass Server von au\u00dfen erreichbar bleiben. Dynamisches NAT weist aus einem Pool \u00f6ffentlicher Adressen tempor\u00e4r Zuordnungen zu, die sich nach jeder Sitzung \u00e4ndern k\u00f6nnen."},{"q":"K\u00f6nnen mehrere Router in einer Kette jeweils NAT durchf\u00fchren?","a":"Ja, diese Konfiguration nennt sich Double NAT oder Carrier-Grade NAT und tritt auf, wenn ein Internet-Provider NAT verwendet und auch der Heimrouter NAT einsetzt. Dies kann bei bestimmten Diensten Verbindungsprobleme verursachen, da Datenpakete zweimal \u00fcbersetzt werden und Port-Forwarding komplizierter wird."}],"compare_answer":"","compare":null,"variants":[{"title":"Port Address Translation (PAT)","inline_description":"Auch NAT Overload genannt \u2013 die h\u00e4ufigste NAT-Form in Heimroutern","description":"Port Address Translation ist eine Form von Network Address Translation, bei der viele private IP-Adressen auf eine einzige \u00f6ffentliche IP-Adresse abgebildet werden, wobei unterschiedliche Port-Nummern zur Unterscheidung der Verbindungen dienen. PAT maximiert die Effizienz, da theoretisch \u00fcber 65.000 gleichzeitige Verbindungen \u00fcber eine \u00f6ffentliche Adresse m\u00f6glich sind.","source":"","key":""},{"title":"Carrier-Grade NAT (CGNAT)","inline_description":"NAT auf Provider-Ebene, das mehrere Kundennetze hinter gemeinsamen \u00f6ffentlichen IPs verbirgt","description":"Carrier-Grade NAT ist eine Form von Network Address Translation, die Internet-Provider einsetzen, um Tausende von Kundenanschl\u00fcssen hinter einem Pool \u00f6ffentlicher IP-Adressen zu betreiben. CGNAT adressiert den IPv4-Mangel auf Netzwerkbetreiber-Ebene, kann jedoch Probleme bei eingehenden Verbindungen, Port-Forwarding und bestimmten Online-Diensten verursachen.","source":"","key":""},{"title":"Statisches NAT","inline_description":"Eins-zu-eins-Zuordnung zwischen privaten und \u00f6ffentlichen IP-Adressen","description":"Statisches NAT ist eine Form von Network Address Translation, bei der jede private IP-Adresse permanent einer spezifischen \u00f6ffentlichen IP-Adresse zugeordnet wird. Diese Konfiguration wird f\u00fcr Server eingesetzt, die aus dem Internet dauerhaft erreichbar sein m\u00fcssen, ohne dass Port-Forwarding-Regeln erforderlich sind.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":null,"pillar_link":null,"sources":[{"publisher":"","name":"RFC 1631 \u2013 The IP Network Address Translator (NAT)","url":"https:\/\/www.rfc-editor.org\/","doc_type":"","group":"used"},{"publisher":"","name":"RFC 3022 \u2013 Traditional IP Network Address Translator (Traditional NAT)","url":"https:\/\/www.rfc-editor.org\/","doc_type":"","group":"used"}],"reviewer":{"name":"M. Kubascikova","qualification":"SEO director","date":"2026-07-01"},"disclaimer":""},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tAdressbereiche und private Netzwerke<\/h3>\n
Typen und Implementierungen von Network Address Translation<\/h2>\n
Carrier-Grade NAT und Provider-Ebene<\/h3>\n
Praktische Anwendungen von Network Address Translation<\/h2>\n
Einschr\u00e4nkungen und Herausforderungen bei Network Address Translation<\/h2>\n
Leistungs- und Skalierungsaspekte<\/h3>\n
Sicherheitsimplikationen von Network Address Translation<\/h2>\n