Dein Router behandelt jeden ungebetenen Besucher wie einen Fremden an der Tür. Die Portfreigabe ist der Zettel „Der hier geht zum Serverraum“.
Kurz gesagt
Eine Portfreigabe (englisch Port Forwarding) ist eine Regel im Router, die eingehenden Verkehr für einen externen Port an einen Port auf einem bestimmten Gerät im Heimnetz weiterleitet [1]. Ohne so eine Regel verwirft ein Router mit Adressübersetzung ungefragte eingehende Verbindungen, weil er nicht weiß, für welches Gerät sie gedacht sind. Unsere Einschätzung: Gib nur die Ports frei, die ein Dienst wirklich braucht, für ein Gerät mit fester Adresse, und nur wenn dein Anschluss überhaupt eine öffentliche Adresse hat.
So funktioniert’s
- Was der Router tut. Ein NAT-Router schreibt die privaten Adressen deines Heimnetzes [2] und die Ports auf dem Weg nach außen um und merkt sich die Zuordnung, damit Antworten zurückfinden [1]. Für eine Verbindung, die außen beginnt, gibt es keinen solchen Eintrag. Eine Freigabe legt ihn dauerhaft an: externer Port, Protokoll, interne Adresse, interner Port.
- Ports und Protokolle. Eine Portnummer sagt dem empfangenden Gerät, welches Programm die Daten bekommen soll. TCP und UDP haben jeweils eigene Ports [4]. Die Anleitung von AVM fragt nach dem Protokoll, dem Port am Gerät und dem extern angefragten Port [3]. Die richtigen Werte stehen im Handbuch des Dienstes.
- Eine feste Zieladresse. Die Regel zeigt auf eine interne IP-Adresse. Bekommt das Gerät morgen eine andere, trifft die Regel das falsche Gerät oder ins Leere. AVM beschreibt deshalb, dem Gerät beim Einrichten der Portfreigabe eine dauerhafte Adresse zu geben [5]. Der Lexikoneintrag zur DHCP-Reservierung behandelt diesen Schritt (siehe Passt dazu).
- Eine öffentliche Adresse ist nötig. AVM nennt als Voraussetzung für die statische Portfreigabe, dass der Router vom Provider entweder eine IPv6-Adresse oder eine öffentliche IPv4-Adresse erhält [3]. Hinter Carrier-Grade NAT erreicht eine Freigabe in deinem Router von außen nichts (siehe Passt dazu: CGNAT).
- Die Firewall des Geräts zählt auch. Läuft der Dienst auf einem Gerät mit eigener Firewall, musst du sie dort ebenfalls öffnen [3].
- UPnP ist die automatische Variante. UPnP lässt Programme den Router bitten, Ports ohne dein Zutun zu öffnen. Die CISA-Warnung zu UPnP-Schwachstellen rät, UPnP nach Möglichkeit abzuschalten und SSDP (1900/udp) sowie SOAP-Dienste von nicht vertrauenswürdigen Netzen wie dem Internet fernzuhalten [6]. Unsere Einschätzung: Braucht ein Dienst einen Port, lege die Regel von Hand an, damit du weißt, was offen ist.
- Weniger Löcher mit Reverse Proxy. Statt für jeden Webdienst einen Port zu öffnen, kannst du einen Port auf einen Reverse Proxy leiten, der Anfragen an das richtige Backend weitergibt [7].
Ein Homelab-Beispiel
Das Bytearium-Homelab betreibt Rackserver (HPE ProLiant DL360 Gen9 und DL380 Gen10) und ein QNAP-NAS, Stand 14. bis 18.10.2026. Welche Ports bei uns freigegeben sind, falls überhaupt welche, haben wir nicht erfasst und sagen deshalb nichts dazu. Als allgemeines Beispiel nehmen wir einen Minecraft-Java-Server auf deinem eigenen Rechner. Sein üblicher Port ist 25565 [8]. Bei einer FRITZ!Box gibst du dem Rechner eine dauerhafte Adresse, legst eine Portfreigabe für TCP 25565 auf dieses Gerät an und erlaubst den Port in der Firewall des Rechners [3][5]. Teste danach von außerhalb, etwa über mobile Daten, denn ein Test von innen beweist nur den lokalen Weg.
Prüfliste
- Prüfe zuerst, ob dein Anschluss eine öffentliche IPv4- oder eine IPv6-Adresse hat.
- Gib dem Zielgerät eine dauerhafte interne Adresse, bevor du die Regel anlegst.
- Notiere zu jeder Regel Dienst, Protokoll, Port und Datum.
- Gib nur die Ports frei, die der Dienst dokumentiert, keine ganzen Bereiche.
- Öffne denselben Port in der Firewall des Geräts.
- Teste aus einem Netz außerhalb deines Zuhauses, nicht von innen.
- Schalte UPnP im Router ab, wenn du nicht weißt, wofür du es brauchst [6].
- Entferne die Regel, sobald du den Dienst nicht mehr betreibst.