Eine Portfreigabe lässt einen bestimmten Besucher durch die Haustür. Ein Exposed Host lässt die Tür offen und schickt alle ins selbe Zimmer.
Kurz gesagt
Ein Exposed Host ist eine Router-Einstellung, die eingehende Internetverbindungen an ein gewähltes Gerät weiterreicht, ohne dass du dessen Ports einzeln öffnest. Bei der FRITZ!Box leitet der Router alles weiter, was keine andere Portfreigabe beansprucht [1][2]. Solange die Einstellung aktiv ist, schützt die Firewall des Routers dieses Gerät nicht mehr [1][2]. Unsere Einschätzung: Nutze einen Exposed Host für einen kurzen Test oder für einen Router mit eigener Firewall hinter deinem Router, und nie für einen PC, ein NAS oder einen Spieleserver ohne eigene Firewall.
So funktioniert’s
- Standardmäßig ist alles zu. Die FRITZ!Box-Firewall weist unaufgeforderte Daten aus dem Internet ab, und alle TCP- und UDP-Ports des Routers sind geschlossen. Damit ein Gerät von außen erreichbar wird, richtest du eine Portfreigabe ein [3]. Das folgt dem Gedanken des klassischen NAT, bei dem Sitzungen innen beginnen und Zugriffe von außen eine statische Zuordnung brauchen [6].
- Was die Einstellung tut. Sie leitet alle Anfragen aus dem Internet an das angegebene Gerät weiter, sofern keine andere Regel gilt [2]. Eingehende Verbindungen zu Zielports mit eigener IPv4-Portfreigabe gehen an das Gerät dieser Regel, nicht an den Exposed Host [1].
- Ein Host je Adressfamilie. Für IPv4 kannst du einen Exposed Host nur für ein Gerät einrichten. Für IPv6 geht das für alle Geräte. Du kannst IPv4, IPv6 oder beides wählen [1].
- Der Router muss erreichbar sein. Die FRITZ!Box muss vom Anbieter eine IPv6-Adresse oder eine öffentliche IPv4-Adresse bekommen [1]. Portfreigaben brauchen generell eine öffentliche IP-Adresse, und Geräte hinter dem Router sind nur erreichbar, wenn der Router selbst aus dem Internet erreichbar ist [3]. Unsere Lesart: Hinter Doppel-NAT oder Carrier-Grade NAT ändert die Einstellung an deinem Router daran nichts.
- Keine DMZ. AVM weist darauf hin, dass ein Exposed Host oft mit einer DMZ verwechselt wird, einer eigenen Netzzone, die Internet und Heimnetz erreichen können, während eine Firewall den Zugriff von der DMZ ins LAN blockiert. Die FRITZ!Box unterstützt keine DMZ [1].
- Wofür er gedacht ist. AVM sagt, er kann sinnvoll sein, wenn hinter der FRITZ!Box ein weiterer Router mit integrierter Firewall läuft, der Serverdienste anbietet [1]. Als Test schlägt AVM vor, ein Gerät mit nicht funktionierender statischer Portfreigabe kurz als Exposed Host einzustellen: Klappt der Zugriff dann, war die Portfreigabe falsch eingerichtet [3].
- Was die Fachstellen sagen. AVM rät, ihn nur zum Testen zu verwenden und nur die Ports freizugeben, die eine Anwendung braucht [1][2][3]. Das BSI empfiehlt generell, mit Portfreigaben äußerst sparsam umzugehen und bei NAS-Webservern riskante Freigaben ganz zu vermeiden, zugunsten eines VPN [4]. Die Technische Richtlinie des BSI für sichere Breitband-Router verlangt, dass die Firewall im Ausgangszustand keine Portweiterleitungen enthält [5].
Ein Praxisbeispiel
Du betreibst hinter der FRITZ!Box einen eigenen Firewall-Router unter 192.168.178.2. In der FRITZ!Box öffnest du die Portfreigabe für dieses Gerät und aktivierst die Exposed-Host-Option für IPv4, wie in der AVM-Wissensdatenbank beschrieben (Menünamen können je nach FRITZ!OS-Version abweichen) [1]. Ab dann endet unaufgeforderter IPv4-Verkehr an deinem Firewall-Router, der entscheidet, was durchkommt. Eine Routerkette haben wir in unserem Inventar (14. bis 16. Okt. 2026) nicht dokumentiert, deshalb ist das ein allgemeiner Ablauf.
Prüfliste
- Probiere zuerst eine normale Portfreigabe und halte den Exposed Host als Rückfall bereit [3][4].
- Wähle einen Exposed Host nur für ein Gerät, das eine eigene Firewall betreibt [1][2].
- Gib dem Gerät eine feste Adresse, damit der Eintrag später nicht auf das falsche Gerät zeigt.
- Entferne die Einstellung nach einem Test [1][3].
- Wähle IPv4, IPv6 oder beides bewusst [1].
- Teste von außen, etwa über mobile Daten, und sieh nach, welche Ports antworten.
- Nimm für den Fernzugriff auf Heimgeräte lieber ein VPN [4].