- Eine Portweiterleitung stellt einen Dienst samt seiner ungeschützten Anmeldeseite für das gesamte Internet offen – automatische Scanner finden ihn innerhalb von Minuten.
- Tricks wie ein ungewöhnlicher Port, eine wechselnde IP-Adresse oder ein vorgeschalteter Reverse Proxy mit HTTPS verstecken oder schützen den Dienst nicht.
- Bei vielen deutschen Anschlüssen (Kabel, Glasfaser, Mobilfunk) funktioniert eingehende Portweiterleitung wegen CGNAT ohnehin nicht mehr zuverlässig.
- Besser: ein Overlay-VPN bzw. einen Auswärts-Tunnel nutzen – die brauchen null offene Ports und laufen auch hinter CGNAT – oder ein VPN im Router terminieren.
In fast jeder Anleitung für den Zugriff aufs eigene NAS (Network Attached Storage, also ein Speicher, der direkt am Netzwerk hängt) taucht früher oder später der Satz auf: „Richte eine Portweiterleitung im Router ein.“ Für den Fernzugriff ist das die schnellste, aber auch die riskanteste Variante – und bei modernen Anschlüssen oft nicht einmal mehr möglich.
Was eine Portweiterleitung eigentlich macht
Eine Portweiterleitung ist eine Regel im Router: „Alles, was von außen auf Port X ankommt, schick an Gerät Y im Heimnetz weiter.“ Ein Port ist dabei eine nummerierte Tür an einem Gerät, hinter der ein bestimmter Dienst lauscht – Port 443 zum Beispiel für verschlüsselte Webseiten.
Damit ist der Dienst – die Weboberfläche des NAS, ein SSH-Zugang (eine verschlüsselte Verbindung zur Kommandozeile), eine Foto-App – vom gesamten Internet erreichbar. Und zwar komplett: Jeder kann die Anmeldeseite aufrufen, und jede Zeile Code, die vor der Passwortabfrage läuft, ist angreifbar. Fachleute nennen das die Pre-Auth-Angriffsfläche: alles, was ein Angreifer erreicht, ohne sich vorher einloggen zu müssen.
„Mich findet doch keiner“ – leider doch
Dienste wie Shodan, Censys und GreyNoise scannen rund um die Uhr den kompletten Adressraum des Internets und alle 65.535 Ports. Ein neu ins Netz gestellter Host wird also nicht „übersehen“. Honeypot-Studien – Fallen, die absichtlich verwundbare Dienste simulieren – berichten vor allem für Fernwartungs-Protokolle wie RDP und SMB von ersten Zugriffsversuchen binnen weniger Minuten.
Die gängigen Verschleierungs-Ideen helfen nicht:
- Anderer Port. Massenscanner klappern alle Ports ab, nicht nur die Standardports. Ein Dienst auf Port 8443 statt 443 ist genauso schnell gefunden.
- Wechselnde IP mit DynDNS. DynDNS (dynamisches DNS) sorgt dafür, dass dein Anschluss trotz wechselnder Adresse immer unter demselben Namen erreichbar bleibt – hält dich also dauerhaft adressierbar. Scanner erfassen die neue Adresse innerhalb von Minuten neu.
- „NAT ist doch eine Firewall.“ NAT (Network Address Translation) verteilt nur eine öffentliche Adresse auf viele Geräte, es ist eine Sparmaßnahme, keine Sicherheitsfunktion. Bei IPv6, dem neuen Adressformat mit praktisch unbegrenzt vielen Adressen, gibt es gar kein NAT mehr: Jedes Gerät ist prinzipiell direkt aus dem Internet erreichbar, geschützt allein durch die Firewall des Routers. Eine falsch gesetzte Freigabe stellt den Host sofort offen.
Was dabei schon schiefgegangen ist
Das ist keine Theorie. Die Ransomware (Erpressungs-Software, die Daten verschlüsselt) DeadBolt befällt seit Januar 2022 aus dem Internet erreichbare QNAP-NAS und einige Geräte von Asustor – Voraussetzung war jeweils, dass das NAS direkt aus dem Netz erreichbar war. Je nach Angriffswelle wurde von einigen Tausend bis über 20.000 betroffenen Geräten berichtet; eine belastbare Gesamtzahl gibt es nicht. Synology bestätigt laufende Botnet-Kampagnen (ein Botnet ist ein Verbund gekaperter Rechner), die exponierte DSM-Installationen – das Betriebssystem der Synology-NAS – mit Passwortlisten durchprobieren.
Besonders bitter: Beim Sicherheitswettbewerb Pwn2Own Ireland 2024 wurden Forscher für funktionierende Angriffe ohne Anmeldung auf Synology Photos, Synology BeePhotos und QNAPs Backup-Dienst HBS 3 bezahlt – insgesamt über eine Million US-Dollar, davon 350.000 für QNAP- und 260.000 für Synology-Lücken. Zwei der QNAP-Schwachstellen (CVE-2024-50387 und CVE-2024-50388) wurden Ende Oktober 2024 gepatcht; sie erlaubten die vollständige Übernahme erreichbarer Geräte. Bei Synology traf es zur selben Zeit „RISK:STATION“ (CVE-2024-10443). Bei Pwn2Own Ireland 2025 musste QNAP erneut sieben dort vorgeführte Zero-Days schließen (ein Zero-Day ist eine Lücke, für die es beim Bekanntwerden noch keinen Patch gibt). Ausgerechnet die bequemen Foto- und Cloud-Funktionen, die man für den Fernzugriff freigeben würde, sind also selbst das Einfallstor.
Auch die üblichen „Absicherungen“ reichen nicht
- Reverse Proxy mit HTTPS. Ein Reverse Proxy ist ein vorgeschalteter Vermittler, der Verbindungen verschlüsselt annimmt und weiterreicht – bekannt sind Caddy, Traefik oder der NGINX Proxy Manager. TLS – die Verschlüsselung hinter dem Schloss-Symbol – schützt aber nur den Transportweg. Die Anmeldeseite der App und ihre Pre-Auth-Lücken bleiben offen. Es braucht zusätzlich ein eigenes Anmeldeportal wie Authelia oder Authentik davor, plus ein Sperrwerkzeug wie CrowdSec oder Fail2ban.
- Fail2ban allein. Sperrt IP-Adressen nach Fehlversuchen und senkt so das Grundrauschen. Gegen Pre-Auth-Exploits oder Botnets mit riesigen Adress-Pools, die jede IP nur einmal benutzen, hilft es nicht.
- „Ich nehm halt ein VPN-Portal.“ Genau die professionellen SSL-VPN-Zugänge von Ivanti, Fortinet, Citrix und SonicWall wurden zwischen 2023 und 2025 massenhaft ohne Anmeldung übernommen. Die Ivanti-Lücken CVE-2023-46805 und CVE-2024-21887 trafen ab Dezember 2023 über 1.700 Geräte. Merke: Irgendeinen Dienst exponieren heißt immer, dessen Pre-Auth-Angriffsfläche zu exponieren – egal ob NAS oder VPN-Box.
- UPnP. Mit UPnP (Universal Plug and Play) darf sich jedes Gerät im Heimnetz – auch Schadsoftware – selbst eine Portfreigabe am Router einrichten, ohne dass du zustimmst. Der Protokollfehler CallStranger (CVE-2020-12695) wurde 2020 bekannt und betraf Geräte vieler Hersteller. Empfehlung: aus.
Bei vielen Anschlüssen geht es sowieso nicht mehr
Immer mehr Provider vergeben keine echte öffentliche IPv4-Adresse mehr, sondern teilen eine Adresse per CGNAT (Carrier-Grade NAT) auf viele Kunden auf. Dann funktionieren eingehende Verbindungen, Portweiterleitung und UPnP prinzipiell nicht. In Deutschland ist das der Normalfall bei Kabelanschlüssen (Vodafone, o2/Telefónica), bei Deutsche Glasfaser und bei jedem Mobilfunk- bzw. 5G-Anschluss.
Bei der Technik DS-Lite ist eingehender Zugriff nur noch über IPv6 möglich – und wenn dein Gerät unterwegs nur eine IPv4-Adresse hat, erreichst du deinen IPv4-only-Dienst zu Hause gar nicht. Eine echte öffentliche IPv4 gibt es bei Vodafone-Kabel meist nur als kostenpflichtige Option (auf vielen Tarifen rund 5 € im Monat), bei Deutsche Glasfaser für Privatkunden zu keinem Preis. Die Telekom vergibt im Festnetz nach wie vor überwiegend echte Adressen; bei o2-Kabel gibt es laut Nutzerberichten keinen Ausweg aus DS-Lite. Diese Angaben können je nach Tarif und Region abweichen und sich ändern.
Die besseren Wege
Der gemeinsame Trick: Nicht das Internet baut eine Verbindung zu dir auf, sondern dein Gerät baut eine ausgehende Verbindung nach draußen auf – der Fernzugriff läuft dann den Rückweg. Das braucht null offene Ports und funktioniert auch hinter CGNAT.
| Ansatz | Offener Port nötig? | Hinter CGNAT? | Anmerkung |
|---|---|---|---|
| Portweiterleitung auf NAS | ja | nein | volle Angriffsfläche im Internet |
| VPN im Router (z. B. FRITZ!Box-WireGuard) | ja (ein UDP-Port bzw. Router-Funktion) | nur über IPv6 | NAS bleibt unerreichbar, kleine Angriffsfläche |
| Overlay-VPN (Tailscale, NetBird, ZeroTier) | nein | ja | Steuerung beim Anbieter oder selbst gehostet |
| Auswärts-Tunnel (Cloudflare Tunnel, Nabu Casa) | nein | ja | Verkehr läuft über einen Dritt-Dienst |
| Hersteller-Relay (Synology QuickConnect) | nein | ja | kostenlos, entschlüsselbarer Hersteller-Hop |
VPN in den Router
Das klassische Muster: Das VPN wird im Router terminiert, nicht auf dem NAS. AVM hat mit FRITZ!OS 7.50 (erste Modelle Dezember 2022, breiter Rollout 2023) WireGuard fest eingebaut; nötig sind ein MyFRITZ!- oder DynDNS-Name und Erreichbarkeit über IPv6 oder eine öffentliche IPv4. WireGuard ist ein modernes, schlankes VPN-Protokoll – es braucht allerdings weiterhin einen erreichbaren UDP-Port und löst CGNAT allein nicht. Wer keinen FRITZ!Box-Router hat, kann einen eigenen VPN-Router einsetzen, der ein schlankes System wie OpenWrt nutzt und WireGuard oder ein Overlay-VPN selbst betreibt.
GL.iNet GL-MT3000 Beryl AX
Ein kompakter Router mit OpenWrt und VPN-Funktion – passend, um WireGuard oder ein Overlay-VPN direkt im Router laufen zu lassen, statt einen Port auf dein NAS zu öffnen. Richtpreis 101,99 € (Stand 03.09.2026).
Overlay-VPN und Auswärts-Tunnel
Tailscale ist ein verwaltetes WireGuard-Netz, das sich per NAT-Traversal und Relay-Servern selbst durch CGNAT gräbt – kein eingehender Port. Der kostenlose Personal-Tarif deckt nach der Preisänderung von 2025 bis zu sechs Nutzer und unbegrenzt viele Geräte ab; die Bezahlstufen liegen laut Sekundärquellen bei rund 8 bzw. 18 US-Dollar pro Nutzer und Monat, was man vor einer Entscheidung aktuell nachprüfen sollte. Dass Tailscale im April 2025 eine Finanzierungsrunde über 160 Mio. US-Dollar abschloss, spricht dafür, dass der Gratis-Tarif nicht aus Geldmangel verschwindet. Die Steuerungsebene ist proprietär; wer das nicht will, hostet mit Headscale einen eigenen Steuerserver oder nimmt gleich NetBird (Open Source, komplett selbst hostbar, mit EU/DSGVO-Option). ZeroTier nutzt ein eigenes Protokoll und ist bis 25 Geräte kostenlos.
Cloudflare Tunnel baut einen reinen Auswärts-Tunnel auf, ohne offene Ports und kostenlos; die Domain muss dafür bei Cloudflare liegen. Für Home Assistant gibt es mit Nabu Casa Home Assistant Cloud einen fertigen Tunnel für rund 75 € im Jahr (Stand Januar 2026, je nach Region und Steuer). Und Synologys QuickConnect hält einfach eine ausgehende Verbindung zum Synology-Relay offen – kein Router-Port, kostenlos, dafür vertraust du einem Zwischen-Hop beim Hersteller, der den Verkehr theoretisch entschlüsseln kann. Gegenüber einer Portweiterleitung ist das trotzdem der kleinere Angriffspunkt: Das NAS wählt aus, niemand klopft von außen an.
Und das Zertifikat?
Ein häufiger Grund für eine Portweiterleitung war früher, ein kostenloses Let’s-Encrypt-Zertifikat über Port 80 zu bekommen. Das geht heute per DNS-01-Validierung ganz ohne offenen Port – der Nachweis läuft über einen DNS-Eintrag. Let’s Encrypt hat 2025 zusätzlich sehr kurzlebige Zertifikate und Zertifikate für IP-Adressen eingeführt. Ein Grund weniger, überhaupt eine Tür aufzumachen.
Fazit
Portweiterleitung setzt den gesamten Dienst einem Internet aus, das ihn in Minuten findet und automatisiert angreift – und bei modernen Anschlüssen funktioniert sie oft nicht einmal mehr. Ein im Router terminiertes VPN oder ein Overlay-VPN bzw. Auswärts-Tunnel erledigt denselben Job ohne offene Ports, auch hinter CGNAT. Das Risiko ist ein völlig anderes.