- Eine Portweiterleitung im Router stellt einen Dienst direkt ins Internet – und damit vor Scanner, Passwort-Raten und Ransomware. Bei vielen Anschlüssen (DS-Lite, Kabel) funktioniert sie ohnehin nicht mehr.
- Ein eigenes VPN mit WireGuard ist der solide Standard: Der Port bleibt für Scanner praktisch unsichtbar, und du landest im ganzen Heimnetz statt an einer einzelnen App.
- Overlay-Dienste wie Tailscale, NetBird oder ZeroTier funktionieren sogar hinter CGNAT und brauchen keine einzige Portfreigabe – der einfachste Einstieg.
- Für einzelne Web-Dienste mit eigener Domain: Cloudflare Tunnel mit Access oder das selbstgehostete Pangolin.
„Im Router einfach den Port aufmachen“ war jahrelang die Standardantwort auf die Frage, wie man von unterwegs an NAS, Kamera oder die eigene Nextcloud kommt. Diese Zeit ist vorbei – aus zwei Gründen: Bei vielen Anschlüssen geht es technisch nicht mehr, und wo es geht, ist es unnötig gefährlich. Hier sind die sicheren Alternativen, sortiert nach Aufwand.
Warum Portweiterleitung aus der Mode kommt
Viele Anschlüsse haben gar keine eigene öffentliche Adresse mehr
Eine Portweiterleitung (auch Portfreigabe) sagt dem Router: „Pakete, die von außen auf Port X ankommen, schick an dieses Gerät im Heimnetz.“ Das setzt voraus, dass dein Anschluss von außen überhaupt erreichbar ist – also eine eigene öffentliche IPv4-Adresse hat. Genau das ist bei vielen Verträgen nicht mehr so. Bei DS-Lite und CGNAT (Carrier-Grade-NAT, sinngemäß „der Provider teilt eine Adresse auf viele Kunden auf“) teilen sich zahlreiche Haushalte eine IPv4; der Anbieter leitet den Verkehr über einen zentralen Übergabepunkt. Eine eingehende IPv4-Freigabe ist damit schlicht nicht adressierbar.
Betroffen sind in Deutschland (Stand 2024/2025) vor allem Kabelanschlüsse von Vodafone, Teile von o2/Telefónica sowie mehrere Glasfaser-Anbieter, darunter Deutsche Glasfaser. Die Telekom liefert überwiegend noch „Dual Stack“ mit erreichbarer IPv4. Ob ein Anbieter auf Wunsch kostenlos auf Dual Stack umschaltet, ist von Fall zu Fall verschieden und lässt sich pauschal nicht sagen.
Ein offener Port ist eine offene Tür
Sobald ein Port auf eine Anwendung zeigt, schützt das NAT des Routers diese Anwendung nicht mehr – die Software steht direkt im Netz, mitsamt allen noch nicht geschlossenen Lücken. Internet-erreichbare NAS (Network Attached Storage, also ein Speicher, der am Netzwerk hängt) sind ein Hauptziel für Ransomware und automatisiertes Passwort-Raten. QNAP und Synology haben 2024 und 2025 mehrfach vor laufenden Angriffswellen gewarnt; eine Auswertung von Cortex Xpanse zählte rund 250.000 offen erreichbare QNAP- und Synology-Geräte, und beim Wettbewerb Pwn2Own Ireland 2025 wurden Geräte beider Hersteller für zusammen über 335.000 US-Dollar Preisgeld geknackt.
Zwei verbreitete Abkürzungen machen es schlimmer: UPnP (ein Automatismus, mit dem Programme im Heimnetz sich selbst Ports im Router öffnen) gilt weiterhin als Risiko, weil jede Software das unbemerkt tun kann – die gängige Empfehlung lautet, es abzuschalten, wenn du es nicht zwingend brauchst. Und der „Exposed Host“- bzw. DMZ-Modus, der das komplette Gerät nach außen durchreicht, ist der schlechteste Weg überhaupt.
Weg 1: Ein eigenes VPN mit WireGuard
Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel zwischen deinem Gerät unterwegs und dem Heimnetz auf. Du bekommst dann eine Adresse „von innen“ und erreichst deine Dienste, als säßest du auf dem Sofa – ohne dass irgendein Dienst offen im Internet steht.
WireGuard ist dafür seit einigen Jahren der Standard: seit 2020 fester Bestandteil des Linux-Kernels, mit einer sehr kleinen, überprüfbaren Codebasis (grob 4.000 Zeilen gegenüber über 100.000 bei OpenVPN) und meist zwei- bis viermal höherem Durchsatz. OpenVPN lohnt nur noch, wenn du die Kapselung in TCP oder eine spezielle Kompatibilität brauchst. Ein oft übersehener Vorteil: Ein WireGuard-Port antwortet nicht auf unangemeldete Pakete und ist für Portscanner praktisch unsichtbar. Einen WireGuard-Port freizugeben ist deshalb nicht dasselbe wie einen Web-Dienst offen ins Netz zu stellen – patchen musst du ihn trotzdem.
Am einfachsten geht das mit der FRITZ!Box: FRITZ!OS 7.50 (2023) und neuer bringen WireGuard direkt in die Oberfläche, mit Assistent und QR-Code fürs Handy; AVM hat das auch auf ältere Modelle wie 7490 und 7590 ausgerollt. Das ersetzt den alten, umständlichen Weg über „VPN (IPSec) mit MyFRITZ!“. Alternativ läuft WireGuard auf OPNsense/pfSense, OpenWrt, einem Raspberry Pi oder direkt auf dem NAS. Der Haken: Für den Verbindungsaufbau braucht die Gegenstelle zu Hause weiterhin einen erreichbaren Zugang – per DynDNS (ein Dienst, der deiner wechselnden Heim-IP einen festen Namen gibt) oder MyFRITZ!. Hinter DS-Lite ohne IPv6-Gegenstelle bleibt das schwierig.
Weg 2: Overlay-Netze – der einfachste Weg, auch hinter CGNAT
Overlay- oder Mesh-VPNs legen ein privates Netz „über“ das vorhandene Internet: Jedes Gerät – Laptop, Handy, NAS, Server – bekommt eine feste Adresse in diesem privaten Netz und redet direkt mit den anderen. Der Clou: Alle Geräte bauen nur ausgehende Verbindungen zu einem Koordinationsserver auf, der die Partner zusammenführt. Deshalb funktioniert das unabhängig von CGNAT und ganz ohne Portfreigabe.
Tailscale ist der bequemste Einstieg: WireGuard unter der Haube, Einrichtung in Minuten, dazu Namensauflösung (MagicDNS), Zugriffsregeln und ein optionaler SSH-Zugang. Seit dem Preisumbau „Pricing v4″ (datiert auf den 8. April 2026) deckt der kostenlose Plan „Personal“ bis zu sechs Nutzer mit unbegrenzt vielen eigenen Geräten ab; die frühere 100-Geräte-Grenze ist entfallen. Je nach Lesedatum und Rollout kann aber noch der alte Stand (drei Nutzer, 100 Geräte) gelten – den aktuellen Stand bitte auf tailscale.com/pricing prüfen.
Alternativen:
- NetBird – funktional ähnlich, aber vollständig quelloffen und komplett selbst hostbar (inzwischen als einzelnes Server-Programm). Die Wahl, wenn du keinen fremden Koordinationsserver willst. Einen Cloud-Gratis-Tarif gibt es; die genauen Grenzen bitte beim Anbieter nachsehen.
- ZeroTier – emuliert ein gemeinsames Ethernet und ist nützlich für Spezialfälle wie Broadcast oder ältere Protokolle. Seit der Umstellung 2025 ist der Gratis-Tarif für Neukunden kleiner: 10 statt 25 Geräte und nur noch ein Netzwerk. Bestehende Gratis-Nutzer behalten ihre alten Kontingente.
- Headscale – ein quelloffener Nachbau des Tailscale-Steuerservers, der mit den offiziellen Tailscale-Apps zusammenarbeitet. 2025 bei Version 0.26 angekommen, in der Praxis stabil, aber weiterhin vor 1.0. Für Bastler, die den Komfort ohne fremden Dienst wollen.
Zum häufigsten Datenschutz-Einwand: Der Verkehr ist Ende-zu-Ende mit WireGuard verschlüsselt und läuft überwiegend direkt zwischen deinen Geräten. Die Relay-Server (bei Tailscale „DERP“) übertragen nur dann verschlüsselte Pakete, wenn kein direkter Weg zustande kommt – lesen können sie den Inhalt nicht. Der Steuerserver koordiniert Schlüssel und Zugriffsregeln und sieht Verbindungsdaten, nicht die Inhalte.
Weg 3: Getunnelte Reverse Proxys für einzelne Web-Dienste
Wenn du keinen Netzzugang brauchst, sondern nur eine Handvoll Web-Dienste erreichbar machen willst – etwa eine Nextcloud-Seite für Bekannte –, ist ein getunnelter Reverse Proxy praktisch. Ein Reverse Proxy ist ein Vermittler, der Anfragen von außen annimmt und an den richtigen internen Dienst weiterreicht.
Cloudflare Tunnel (das Programm heißt cloudflared) baut vom Heimserver eine ausgehende Verbindung zu Cloudflare auf; Anfragen aus dem Internet kommen über Cloudflare zurück, ohne einen offenen Port bei dir. Kostenlos, dazu Zugriffsschutz vor der Anwendung über Cloudflare Access (Gratis-Plan bis 50 Nutzer). Drei Einschränkungen solltest du kennen: Cloudflare beendet die TLS-Verschlüsselung auf seinem Netz und sieht den Klartext; im Gratis-Plan gilt ein Limit von 100 MB pro Upload-Anfrage (höhere Pläne erlauben mehr – genaue Werte bitte prüfen); und die Nutzungsbedingungen beschränken das Ausliefern von selbstgehostetem Video und großen Dateien über das CDN. Dauerhaftes Streaming von eigenem Jellyfin, Plex oder Emby über einen Cloudflare-Tunnel ist damit eine Grauzone; 2025 gibt es vereinzelte Community-Berichte über Kontowarnungen nach viel Video-Verkehr.
Pangolin (vom Projekt Fossorial) ist die selbstgehostete Antwort darauf: ein getunnelter Reverse Proxy auf WireGuard-Basis mit Traefik, eingebauter Anmeldung (Authentik, Keycloak, Google/OIDC) und automatischem Let’s-Encrypt-Zertifikat. Du brauchst einen kleinen Server mit öffentlicher IP (einen „VPS“) und eine eigene Domain – dafür sieht kein Dritter deinen Klartext. Wer es noch schlichter mag, baut die DIY-Variante: Der Heimserver hält einen ausgehenden WireGuard-Tunnel zu einem günstigen VPS, auf dem VPS läuft ein Reverse Proxy oder eine Portweiterleitung. Das ist die Standardlösung gegen CGNAT – der VPS muss dann aber selbst gepflegt und gehärtet werden.
Der IPv6-Sonderweg: das Pinhole
Wo IPv6 nativ anliegt, hat jedes Gerät eine eigene, weltweit eindeutige Adresse. „Kein NAT“ heißt aber nicht „offen“: FRITZ!Box und die meisten Router haben eine zustandsbehaltete IPv6-Firewall, die eingehend alles blockiert, bis du gezielt eine Freigabe („Pinhole“) für ein einzelnes Gerät und einen einzelnen Port einrichtest. Das ist ein gangbarer Weg für genau ein Gerät – funktioniert aber nur, wenn auch die zugreifende Gegenseite IPv6 hat, und daran hakt es in Mobilfunk- und Firmennetzen oft.
GL.iNet GL-MT3000 Beryl AX WLAN 6 Reiserouter, 2.5G WAN, VPN, OpenWrt
86,69 € (Stand 30.08.2026)
Ein Reiserouter mit eingebautem VPN und OpenWrt baut den verschlüsselten WireGuard-Tunnel nach Hause selbst auf – so kommst du von unterwegs ins Heimnetz, auch mit Geräten ohne eigenen VPN-Client, ganz ohne Portfreigabe im heimischen Router.
Verbreitete Irrtümer
- „Hinter DS-Lite geht nichts von außen.“ Overlay-VPNs funktionieren unabhängig von CGNAT, und mit nativem IPv6 ist ein Pinhole für ein einzelnes Gerät möglich.
- „Ein VPN-Port ist so riskant wie der NAS-Port.“ Nein: WireGuard gibt sich bei unangemeldeten Paketen nicht zu erkennen, hat eine kleine Codebasis und keine angreifbare Web-Oberfläche.
- „QuickConnect oder MyFRITZ! ist ein VPN.“ QuickConnect ist nur ein Relay auf die Weboberfläche des NAS – die Anmeldung bleibt exponiert. MyFRITZ! ist im Kern DynDNS plus Portal. Die eigentliche Absicherung liefert erst das VPN.
- „Port ändern, Port-Knocking und fail2ban reichen.“ Das ist Sicherheit durch Verschleierung und ändert nichts an den Lücken der exponierten Anwendung selbst.
- „IPv6 hat kein NAT, also sind meine Geräte automatisch offen.“ Die IPv6-Firewall des Routers blockiert eingehend alles, bis du gezielt eine Freigabe setzt.
- „Ein VPN braucht eine feste IP.“ DynDNS oder ein Overlay-Dienst genügen; eine statische IP ist nicht nötig. „DynDNS ist ein Sicherheitsrisiko“ stimmt ebenfalls nicht – es ist nur Namensauflösung.
Welcher Weg für wen?
| Methode | Hinter DS-Lite/CGNAT | Offener Port zu Hause | Eigene Domain nötig | Gut für |
|---|---|---|---|---|
| WireGuard „pur“ (FRITZ!Box, Router, Pi) | nur mit nativem IPv6 | ja (bzw. IPv6-Freigabe) | nein | voller Zugriff aufs Heimnetz, volle Kontrolle |
| Overlay (Tailscale, NetBird, ZeroTier, Headscale) | ja | nein | nein | einfachster Einstieg, Familie & Freundeskreis |
| Cloudflare Tunnel + Access | ja | nein | ja | einzelne Web-Dienste mit Zugriffsschutz |
| Pangolin / VPS-WireGuard-Relay | ja | nein | ja | mehrere Web-Dienste ohne Dritten im Datenpfad |
| IPv6-Pinhole | braucht IPv6 auf beiden Seiten | ja, gezielt für ein Gerät | nein | ein einzelnes Gerät |
Ein Randaspekt, der die Wahl beeinflusst: Seit dem 29. April 2025 ist das entfernte Abspielen der eigenen Medien bei Plex nicht mehr kostenlos – der Server-Betreiber braucht einen Plex Pass (6,99 US-$/Monat, 69,99 US-$/Jahr, Lifetime 249,99 US-$) oder der zugreifende Nutzer einen „Remote Watch Pass“ (Einführungspreis 1,99 US-$/Monat bzw. 19,99 US-$/Jahr). Für viele war Plex‘ eingebauter Fernzugriff der bequeme Grund, keinen Port weiterzuleiten. Fällt der weg, wird der lokale Zugriff über ein VPN oder Overlay noch attraktiver.
Kurz gesagt: Für die meisten Heimanwender ist ein Overlay-Dienst wie Tailscale oder NetBird der beste Start – kein offener Port, funktioniert auch hinter DS-Lite, in Minuten eingerichtet. Wer eine FRITZ!Box und einen erreichbaren Anschluss hat, nimmt WireGuard direkt aus der FRITZ!Box. Und wer einzelne Web-Dienste öffentlich machen will, greift zu Cloudflare Tunnel oder – ohne Dritten im Datenpfad – zu Pangolin oder einem eigenen VPS-Relay. Die Portweiterleitung braucht in keinem dieser Fälle noch jemand.