Portweiterleitung leitet eingehenden Netzwerkverkehr von einem Router oder einer Firewall gezielt an ein bestimmtes Ger\u00e4t im lokalen Netzwerk weiter. Router verwenden standardm\u00e4\u00dfig Network Address Translation (NAT), die alle internen Ger\u00e4te hinter einer einzigen \u00f6ffentlichen IP-Adresse verbirgt. Die Weiterleitung durchbricht diese Barriere, indem sie eine explizite Zuordnung zwischen einem externen Port und einem internen Ger\u00e4t erstellt.<\/p>\n
Ein Router empf\u00e4ngt Datenpakete aus dem Internet, die an seine \u00f6ffentliche IP-Adresse und einen spezifischen Port adressiert sind. NAT ordnet normalerweise nur ausgehende Verbindungen zu<\/strong>, sodass der Router wei\u00df, an welches interne Ger\u00e4t Antwortpakete zur\u00fcckgeschickt werden m\u00fcssen. Unaufgeforderte eingehende Verbindungen haben keine solche Zuordnung und werden verworfen.<\/p>\n Portweiterleitung schafft eine permanente Zuordnungsregel im Router. Diese Regel spezifiziert einen externen Port (z.B. 8080), ein Protokoll (TCP oder UDP) und ein Zielger\u00e4t durch dessen interne IP-Adresse (z.B. 192.168.1.50). Wenn ein Datenpaket auf dem externen Port eintrifft, \u00e4ndert der Router die Zieladresse im Paket-Header von der \u00f6ffentlichen IP zur internen IP und leitet es weiter.<\/p>\n Der externe Port ist die Nummer, die Clients aus dem Internet verwenden, um den Dienst zu erreichen. Der interne Port ist die tats\u00e4chliche Portnummer, auf der der Dienst auf dem Zielger\u00e4t lauscht. Diese Nummern k\u00f6nnen identisch sein (8080 \u2192 8080) oder unterschiedlich (80 \u2192 8080), was als Port-Mapping bezeichnet wird und mehrere Dienste hinter einem Router erm\u00f6glicht.<\/p>\n Gaming-Server geh\u00f6ren zu den h\u00e4ufigsten Anwendungen<\/strong>, da Spieler von au\u00dferhalb des lokalen Netzwerks dem Server beitreten m\u00fcssen. Minecraft-Server verwenden standardm\u00e4\u00dfig Port 25565, Terraria nutzt 7777, und Counter-Strike-Server laufen auf Port 27015. Ohne Weiterleitung dieser Ports k\u00f6nnen externe Spieler den Server nicht finden.<\/p>\n Remote-Desktop-Zugriff erfordert Portweiterleitung f\u00fcr Protokolle wie RDP (Port 3389) oder VNC (Port 5900). IT-Administratoren greifen auf B\u00fcro-Computer zu, w\u00e4hrend Heimanwender auf ihren Hauptrechner zugreifen, um Dateien abzurufen oder Programme fernzusteuern. Diese Konfiguration birgt erhebliche Sicherheitsrisiken, da Remote-Desktop-Dienste h\u00e4ufig attackiert werden.<\/p>\n IP-Kameras und \u00dcberwachungssysteme verwenden Portweiterleitung, um Video-Streams \u00fcber das Internet bereitzustellen. Hersteller setzen oft propriet\u00e4re Ports ein (8000-8100 f\u00fcr Hikvision, 37777 f\u00fcr Dahua), die weitergeleitet werden m\u00fcssen, damit Smartphone-Apps von unterwegs auf Live-Bilder zugreifen k\u00f6nnen.<\/p>\n Router-Hersteller verwenden unterschiedliche Bezeichnungen f\u00fcr die Portweiterleitung in ihren Admin-Panels. Fritz!Box-Router bezeichnen die Funktion als \u201ePortfreigabe“<\/strong>, w\u00e4hrend TP-Link \u201eVirtual Server“ und Netgear \u201ePort Forwarding\/Port Triggering“ verwendet. Die Einstellungen befinden sich typischerweise unter \u201eNetzwerk“, \u201eFirewall“ oder \u201eErweiterte Einstellungen“.<\/p>\n Die interne IP-Adresse des Zielger\u00e4ts sollte statisch sein oder \u00fcber DHCP-Reservierung fixiert werden. Router vergeben dynamische IP-Adressen aus einem Pool, die sich bei jedem Neustart \u00e4ndern k\u00f6nnen. Eine Portweiterleitung auf eine IP-Adresse, die einem anderen Ger\u00e4t zugewiesen wurde, leitet den Verkehr an das falsche Ziel.<\/p>\n Jede Portweiterleitung erh\u00f6ht die Angriffsfl\u00e4che des Netzwerks<\/strong>, da ein interner Dienst direkt aus dem Internet erreichbar wird. Automatisierte Scanner durchsuchen kontinuierlich IP-Adressbereiche nach offenen Ports und versuchen bekannte Exploits gegen exponierte Dienste. Ungepatchte Software, Standardpassw\u00f6rter oder unsichere Konfigurationen werden innerhalb von Stunden nach der Exposition kompromittiert.<\/p>\n Brute-Force-Angriffe zielen auf Authentifizierungsmechanismen wie SSH (Port 22), RDP (Port 3389) oder Admin-Panels von Webdiensten. Angreifer verwenden W\u00f6rterb\u00fccher mit Millionen von Passwort-Kombinationen und testen diese automatisch, bis ein Zugang gelingt. Fail2Ban oder \u00e4hnliche Intrusion-Prevention-Systeme blockieren IP-Adressen nach wiederholten Fehlversuchen.<\/p>\n Universelles Plug and Play (UPnP) erm\u00f6glicht Ger\u00e4ten, automatisch Portweiterleitung anzufordern, ohne manuelle Router-Konfiguration. Diese Bequemlichkeit birgt Risiken, da kompromittierte Ger\u00e4te oder Malware unbemerkt Ports \u00f6ffnen k\u00f6nnen. UPnP sollte deaktiviert werden, wenn nicht explizit ben\u00f6tigt, und Portweiterleitung manuell konfiguriert werden.<\/p>\n Doppeltes NAT tritt auf, wenn mehrere Router hintereinander geschaltet sind, wobei jeder seine eigene NAT-Schicht implementiert. Internet-Service-Provider-Modems fungieren oft als Router<\/strong>, w\u00e4hrend Nutzer einen zus\u00e4tzlichen Router anschlie\u00dfen, der ein zweites privates Netzwerk erstellt. Portweiterleitung im inneren Router leitet nur bis zum ISP-Modem, nicht bis ins Internet.<\/p>\n Carrier-Grade NAT (CGNAT) wird von einigen Internetanbietern eingesetzt, um IPv4-Adressen zwischen mehreren Kunden zu teilen. Die dem Kunden zugewiesene IP-Adresse ist selbst eine private Adresse (oft aus dem Bereich 100.64.0.0\/10), die erneut hinter NAT sitzt. Portweiterleitung funktioniert nicht, da der Router keine \u00f6ffentlich erreichbare IP-Adresse besitzt, und Dienste m\u00fcssen \u00fcber IPv6 oder VPN-Tunnel exponiert werden.<\/p>\n Online-Port-Checker-Tools senden eine Verbindungsanfrage an die angegebene \u00f6ffentliche IP-Adresse und Portnummer. Das Zielger\u00e4t muss einen aktiven Dienst auf diesem Port betreiben, der auf eingehende Verbindungen antwortet. Ein geschlossener Port bedeutet, dass die Weiterleitung nicht funktioniert oder die Firewall des Zielger\u00e4ts die Verbindung blockiert.<\/p>\n Router-Logs zeigen eingehende Verbindungsversuche und k\u00f6nnen best\u00e4tigen, ob Pakete den Router erreichen. Wenn der Log eingehende Pakete auf dem konfigurierten Port verzeichnet, aber das Zielger\u00e4t nichts empf\u00e4ngt, liegt das Problem an der internen Weiterleitung \u2013 m\u00f6glicherweise eine falsche IP-Adresse oder ein gestoppter Dienst. Fehlen Log-Eintr\u00e4ge vollst\u00e4ndig, erreichen Pakete den Router nicht, was auf ISP-Filterung oder CGNAT hindeutet.<\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_set":[],"glossary_intl_cluster":[392],"glossary_intl_theme":[],"class_list":["post-28977","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_cluster-cybersecurity"],"acf":{"card_description":"Portweiterleitung leitet eingehenden Netzwerkverkehr von einem Router oder einer Firewall an ein bestimmtes Ger\u00e4t im lokalen Netzwerk weiter. Die Technik erm\u00f6glicht externen Zugriff auf interne Dienste.","nav_theme":"","nav_subtheme":"","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Port Forwarding"},{"value":"Port Mapping"},{"value":"NAT-Weiterleitung"}],"lead_definition":"Portweiterleitung ist eine Netzwerktechnik, bei der ein Router oder eine Firewall eingehende Verbindungsanfragen von einem externen Netzwerk an ein spezifisches Ger\u00e4t und einen bestimmten Port im lokalen Netzwerk weiterleitet. Die Methode \u00fcberwindet die Barriere der Network Address Translation (NAT), die normalerweise verhindert, dass externe Systeme direkt mit Ger\u00e4ten hinter einem Router kommunizieren.","at_a_glance":[{"bullet":"Eine Portweiterleitung ordnet einen externen Port auf dem Router einem internen Port auf einem spezifischen Ger\u00e4t zu, sodass eingehender Datenverkehr gezielt weitergeleitet wird."},{"bullet":"Heimanwender nutzen Portweiterleitung haupts\u00e4chlich f\u00fcr Gaming-Server, Remote-Desktop-Zugriff, IP-Kameras und selbst gehostete Webdienste."},{"bullet":"Jede ge\u00f6ffnete Portweiterleitung erweitert die Angriffsfl\u00e4che des Netzwerks und erfordert zus\u00e4tzliche Sicherheitsma\u00dfnahmen am Zielger\u00e4t."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Minecraft-Server l\u00e4uft auf einem Computer im Heimnetzwerk auf Port 25565. Die Portweiterleitung leitet eingehende Anfragen von au\u00dfen auf den Router-Port 25565 an die interne IP-Adresse des Computers weiter, sodass Freunde dem Server beitreten k\u00f6nnen."},{"example":"Eine IP-\u00dcberwachungskamera sendet Video-Streams \u00fcber Port 8080. Durch Weiterleitung dieses Ports kann der Nutzer von unterwegs auf sein Smartphone zugreifen und Live-Bilder abrufen, ohne sich in einem VPN anzumelden."},{"example":"Ein selbst gehosteter Webserver auf Port 80 ben\u00f6tigt Portweiterleitung, damit Besucher die Website \u00fcber eine Domain erreichen. Der Router empf\u00e4ngt HTTP-Anfragen und leitet sie an den internen Server weiter."}],"misconception":null,"faq":[{"q":"Warum ben\u00f6tigt man \u00fcberhaupt eine Portweiterleitung im Heimnetzwerk?","a":"Router verwenden Network Address Translation (NAT), die alle Ger\u00e4te hinter einer einzigen \u00f6ffentlichen IP-Adresse verbirgt. Ohne Portweiterleitung wei\u00df der Router nicht, an welches interne Ger\u00e4t eingehende Verbindungen geleitet werden sollen. Die Weiterleitung schafft eine explizite Zuordnung zwischen externem Port und internem Ziel."},{"q":"Kann ich mehrere Ger\u00e4te auf denselben externen Port weiterleiten?","a":"Ein externer Port kann nur an ein einziges internes Ziel weitergeleitet werden. Wenn mehrere Ger\u00e4te denselben Dienst hosten, muss jedes einen unterschiedlichen externen Port verwenden, der dann auf den jeweiligen internen Port des Ger\u00e4ts weitergeleitet wird."},{"q":"Was ist der Unterschied zwischen TCP- und UDP-Portweiterleitung?","a":"TCP ist verbindungsorientiert und garantiert die Zustellung von Datenpaketen in der richtigen Reihenfolge, w\u00e4hrend UDP verbindungslos arbeitet und schneller ist. Gaming verwendet oft UDP f\u00fcr Echtzeit-Updates, w\u00e4hrend Webserver und SSH-Verbindungen TCP ben\u00f6tigen."},{"q":"Funktioniert Portweiterleitung bei dynamischen IP-Adressen?","a":"Die Weiterleitung funktioniert unabh\u00e4ngig vom IP-Typ, aber bei dynamischen \u00f6ffentlichen IP-Adressen \u00e4ndert sich die Adresse regelm\u00e4\u00dfig. Dynamic DNS (DDNS) l\u00f6st dieses Problem, indem es einen Domainnamen automatisch auf die aktuelle IP-Adresse aktualisiert."}],"compare_answer":"","compare":null,"variants":[{"title":"Trigger Port Forwarding","inline_description":"Tempor\u00e4re Portweiterleitung, die nur bei ausgehender Aktivit\u00e4t aktiviert wird","description":"Trigger Port Forwarding ist eine dynamische Form der Portweiterleitung, bei der ein Router automatisch eingehende Ports \u00f6ffnet, nachdem ein Ger\u00e4t eine ausgehende Verbindung auf einem bestimmten Trigger-Port initiiert hat. Die Weiterleitung bleibt nur f\u00fcr die Dauer der Sitzung aktiv und schlie\u00dft sich automatisch nach Ablauf eines Zeitlimits, was die Sicherheit im Vergleich zu dauerhaft offenen Ports erh\u00f6ht.","source":"","key":""},{"title":"DMZ (Demilitarisierte Zone)","inline_description":"Weiterleitung aller Ports an ein einzelnes exponiertes Ger\u00e4t","description":"DMZ ist eine Router-Funktion, die s\u00e4mtliche eingehenden Ports an ein einziges Ger\u00e4t im Netzwerk weiterleitet, anstatt selektive Port-Zuordnungen zu konfigurieren. Das DMZ-Ger\u00e4t ist vollst\u00e4ndig dem Internet ausgesetzt und sollte zus\u00e4tzliche Sicherheitsma\u00dfnahmen wie Host-Firewalls implementieren, da es keine Filterung durch den Router erh\u00e4lt.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":null,"pillar_link":null,"sources":[{"publisher":"","name":"RFC 3022 - Traditional IP Network Address Translator","url":"https:\/\/www.rfc-editor.org\/rfc\/rfc3022","doc_type":"","group":"used"},{"publisher":"","name":"RFC 4787 - Network Address Translation Behavioral Requirements for UDP","url":"https:\/\/www.rfc-editor.org\/rfc\/rfc4787","doc_type":"","group":"used"}],"reviewer":{"name":"M. Kubascikova","qualification":"SEO director","date":"2026-07-01"},"disclaimer":""},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tUnterschied zwischen internem und externem Port<\/h3>\n
Praktische Anwendungsf\u00e4lle f\u00fcr Portweiterleitung<\/h2>\n
Selbst gehostete Dienste im Heimnetzwerk<\/h3>\n
\n
Konfiguration von Portweiterleitung im Router<\/h2>\n
Erforderliche Konfigurationsparameter<\/h3>\n
\n
\n Parameter<\/th>\n Beschreibung<\/th>\n Beispiel<\/th>\n<\/tr>\n \n Dienstname<\/td>\n Beschreibende Bezeichnung f\u00fcr die Regel<\/td>\n \u201eMinecraft Server“ oder \u201eIP Kamera“<\/td>\n<\/tr>\n \n Externer Port<\/td>\n Port, auf dem der Router lauscht<\/td>\n 25565 oder Bereich wie 8000-8100<\/td>\n<\/tr>\n \n Interner Port<\/td>\n Port auf dem Zielger\u00e4t<\/td>\n 25565 (oft identisch mit extern)<\/td>\n<\/tr>\n \n Interne IP-Adresse<\/td>\n Zielger\u00e4t im lokalen Netzwerk<\/td>\n 192.168.1.50<\/td>\n<\/tr>\n \n Protokoll<\/td>\n TCP, UDP oder beides<\/td>\n TCP+UDP f\u00fcr Gaming, TCP f\u00fcr Web<\/td>\n<\/tr>\n<\/table>\n Sicherheitsrisiken und Schutzma\u00dfnahmen bei Portweiterleitung<\/h2>\n
Empfohlene Sicherheitsma\u00dfnahmen<\/h3>\n
\n
H\u00e4ufige Probleme und Fehlersuche<\/h2>\n
Testen der Porterreichbarkeit<\/h3>\n