UPnP ist ein hilfsbereiter Hausgast: Er rückt die Möbel, damit dein Spiel hereinkommt, und fragt nie vorher. Praktisch, bis ein weniger freundlicher Gast denselben Trick lernt.
Kurz gesagt
UPnP (Universal Plug and Play) lässt Geräte in einem Heimnetz einander finden und sich automatisch einrichten. Das Profil Internet Gateway Device (IGD) erlaubt einem Programm in deinem Netz, den Router um einen offenen Port zu bitten, damit Verbindungen aus dem Internet dieses Programm erreichen [3][5]. Das erspart dir manuelle Portweiterleitung. Das Protokoll ist für ein vertrauenswürdiges LAN gebaut und kennt keine Authentifizierung [5]. Unsere Einschätzung: Nutze UPnP, wo Bequemlichkeit zählt und die Geräte dir gehören. Für einen Server, der dauerhaft läuft, lässt sich eine feste Portweiterleitung leichter prüfen.
So funktioniert’s
- Das Profil. Im IGD-Profil bietet der Router einen WANIPConnection-Dienst an. Darüber legt ein Client eine Zuordnung zwischen einem externen Port und einer internen Adresse samt Port an, für TCP oder UDP, wahlweise auf einen Remote-Host beschränkt [3].
- Die Aktionen. AddPortMapping legt eine Zuordnung an. Seit Version 2.0 empfiehlt die Spezifikation AddAnyPortMapping, bei dem der Router einen Ersatz wählen kann, wenn der Port belegt ist. DeletePortMapping entfernt eine Zuordnung [3]. Zuordnungen können auch aus anderen Mechanismen stammen, Konflikte sind also möglich, und der Fehlercode 729 lässt den Router ablehnen [3].
- Versionen. Die OCF hat die IGD-V1.0-Gerätetypen am 30. März 2015 für veraltet erklärt. IGD V2.0 ist für die UPnP+-Zertifizierung verpflichtend und bringt Sicherheitsfunktionen wie einen DeviceProtection-Dienst und IPv6-Unterstützung [1]. IGD:2 ist auch als ISO/IEC 29341-24-1 veröffentlicht [2]. CERT/CC merkt an, dass der Device-Protection-Dienst kaum verbreitet war [5].
- PCP als Geschwister. Das Port Control Protocol erledigt Ähnliches. RFC 6970 beschreibt eine Übersetzungsfunktion für Heimrouter, die auf der LAN-Seite UPnP IGD und zum Anbieter hin PCP sprechen [4].
- Der Haken bei der Sicherheit. CERT/CC schreibt, UPnP sei für ein vertrauenswürdiges LAN entworfen und implementiere keinerlei Authentifizierung oder Prüfung [5]. AVM warnt, dass Schadsoftware auf einem Gerät ebenfalls Ports öffnen und so die Firewall des Routers umgehen könnte, und empfiehlt eine Firewall auf dem Gerät [8].
- Frühere Schwachstellen. 2020 meldeten CERT/CC und CISA CVE-2020-12695 („CallStranger“): Die UPnP-Funktion SUBSCRIBE ließ sich missbrauchen, um Datenverkehr an beliebige Ziele zu senden. Betroffen sind Versionen vor dem 17. Apr. 2020, und die OCF hat die Spezifikation angepasst [5][6]. 2013 riet US-CERT nach Schwachstellen im libupnp-Entwicklungspaket, UPnP wenn möglich abzuschalten und den Zugriff auf SSDP (1900/udp) und SOAP aus nicht vertrauenswürdigen Netzen einzuschränken [7]. CERT/CC bezeichnet UPnP auf der Internetseite allgemein als Fehlkonfiguration [5].
- Ein Opt-in je Gerät. In AVMs FRITZ!Box blockiert die Firewall standardmäßig alle eingehenden Verbindungen. Du erlaubst die automatische Portfreigabe pro Gerät, die Anwendung braucht UPnP IGD oder PCP, und die Ports bleiben nur offen, solange die Anwendung sie braucht [8].
Ein Praxisbeispiel
Du betreibst einen kleinen Spieleserver auf einem PC zu Hause. Variante A: Du setzt in der Router-Oberfläche die automatische Portfreigabe für diesen PC und lässt die Serversoftware UPnP nutzen. Variante B: Du leitest den Port des Servers von Hand an die feste Adresse des PCs weiter. Variante B ergibt eine sichtbare Regel, die du lesen und löschen kannst. Variante A heißt, dass jedes Programm auf diesem PC Ports öffnen kann. Unterstützt deine Anwendung weder UPnP noch PCP, schlägt AVM die statische Portfreigabe vor [8]. Unser Inventar (Stand 14. bis 16. Okt. 2026) führt einen UniFi-Router mit Firewall; seine UPnP-Einstellung ist nicht erfasst, deshalb sagen wir hier nichts dazu.
Prüfliste
- Prüfe, ob UPnP in deinem Router an ist, und schreibe es auf.
- Schalte es ab, wenn kein Gerät von dir es braucht [5][7].
- Behalte es nur geräteweise bei, wo der Router das erlaubt [8].
- Sieh dir ab und zu die Liste der offenen Ports im Router an [8].
- Bevorzuge eine feste Portweiterleitung für Server, die den ganzen Tag laufen.
- Spiele Router-Updates ein; Hersteller wurden aufgefordert, die korrigierte Spezifikation umzusetzen [5][6].
- Biete UPnP nie auf der Internetseite an [5].