Eigene Dienste unter eigener Adresse erreichbar machen — Schritt für Schritt

Auf deinem Heimserver oder NAS (Network Attached Storage, also ein Speicher, der am Netzwerk hängt) läuft etwas Nützliches: eine Foto-Sammlung, ein Kalender, eine Dateicloud. Jetzt willst du auch von unterwegs ran — unter einer Adresse, die dir gehört und die man sich merken kann, mit dem Schloss-Symbol im Browser. Diese Anleitung zeigt Schritt für Schritt, wie du eigene Dienste unter eigener Adresse erreichbar machst, welche Stolperstellen es gibt und was zu tun ist, wenn dein Anschluss von außen gar nicht direkt erreichbar ist.

Die Grundkette: was zwischen Domain und Dienst passiert

Fünf Glieder, dann ist ein Dienst von außen erreichbar:

1. Domain: eine eigene Internet-Adresse wie meinserver.de.
2. DNS-Eintrag: DNS ist das Adressbuch des Internets, das Namen in IP-Adressen übersetzt. Ein A-Eintrag zeigt auf deine öffentliche IPv4-Adresse, ein AAAA-Eintrag auf deine IPv6-Adresse.
3. Portfreigabe am Router: ein Port ist eine Art Türnummer am Router. Für Web-Dienste brauchst du 443 (verschlüsselt), zusätzlich 80 für die Zertifikatsprüfung.
4. Reverse Proxy im Heimnetz: ein Vermittler, der alle Anfragen entgegennimmt und je nach Adresse an den richtigen internen Dienst weiterleitet. Er kümmert sich auch zentral um die Verschlüsselung.
5. Interne Dienste: erreichbar über Unter-Adressen wie cloud.meinserver.de oder foto.meinserver.de.

Schritt 1: Eine eigene Domain besorgen

Eine .de-Domain kostet ungefähr 5 bis 10 Euro im Jahr; die zentrale Vergabestelle dahinter ist die DENIC. Günstige Anbieter sind zum Beispiel Netcup (ab rund 5 Euro) oder INWX (etwa 6 Euro). Die genauen Neu- und Verlängerungspreise unterscheiden sich je Anbieter — vor dem Kauf kurz vergleichen. Falls du eine bestehende Domain umziehen willst: Google Domains wurde an Squarespace verkauft (Migration im Juli 2024 abgeschlossen), seither gelten höhere Standardpreise. Auch bei Gandi sind die Preise 2023 gestiegen. Viele wechseln deshalb zu Anbietern wie INWX oder Netcup.

Schritt 2: Den DNS-Eintrag auf deinen Anschluss zeigen lassen

Zeigt dein Anschluss immer dieselbe öffentliche IP, trägst du sie einmalig als A-Eintrag (und, falls vorhanden, als AAAA-Eintrag) ein — fertig. Meistens wechselt die Adresse aber. Früher trennte der Provider die Leitung täglich zwangsweise, heute ändert sich die IP oft nur noch bei einem Router-Neustart oder einer Leitungsstörung. Dagegen hilft DDNS (Dynamic DNS): ein kleines Programm auf Router oder Server, das den DNS-Eintrag automatisch aktualisiert, sobald sich die IP ändert. Eine feste, teuer gebuchte IP-Adresse brauchst du dafür nicht.

Gängige DDNS-Dienste: No-IP (kostenlos 3 Hostnamen, die man alle 30 Tage per Mail-Link bestätigen muss), Dynu (großzügigerer Gratis-Tarif), der deutsche Dienst IPv64.net sowie die Variante „eigene Domain bei einem DNS-Anbieter mit Programmierschnittstelle plus Update-Skript“ (etwa ddclient oder ddns-updater). DuckDNS, lange der Standard fürs Homelab, ist seit etwa August 2025 offline; ob das dauerhaft ist, hat der Betreiber nicht erklärt — für neue Setups also besser nicht mehr einplanen. Und der alte Reflex „DynDNS ist gratis“: Den kostenlosen Dienst von Dyn gibt es seit 2014 nicht mehr.

Schritt 3: Am Router Port 443 freigeben

Im Router richtest du eine Portfreigabe ein, die eingehende Anfragen auf Port 443 an die interne Adresse deines Reverse Proxy weiterleitet. Für die Zertifikatsprüfung (siehe Schritt 5) kommt Port 80 dazu. Mehr nicht. Drei häufige Fehler:

• UPnP/NAT-PMP anlassen: Diese Komfortfunktion lässt Geräte im Heimnetz selbst Ports öffnen — praktisch, aber unkontrolliert. Für einen Server, der dauerhaft online ist, abschalten und alles von Hand freigeben.
• DMZ oder „alle Ports auf den Server“: öffnet die Maschine komplett und ist grob unsicher. Nur 443 (plus 80 für die Zertifikate).
• Die AAAA-Falle: Sind ein A- und ein AAAA-Eintrag gesetzt, nehmen Geräte bevorzugt IPv6. Ist die IPv6-Freigabe im Router falsch gesetzt, landen Besucher dann auf der Router-Oberfläche statt auf deinem Server. IPv4- und IPv6-Freigaben werden getrennt konfiguriert — beide prüfen.

Bei einer FritzBox legt die Funktion „MyFRITZ!“-Freigabe Portfreigabe und eine Subdomain unter myfritz.net automatisch an. Achtung: Die FritzBox stellt Let’s-Encrypt-Zertifikate nur für ihren eigenen myfritz.net-Namen aus, nicht für deine eigene Domain — eigene Zertifikate lassen sich aber importieren.

Schritt 4: Einen Reverse Proxy aufsetzen

Der Reverse Proxy bündelt mehrere Dienste hinter einer einzigen IP und einem Port, verteilt Anfragen nach dem angefragten Hostnamen und übernimmt zentral die TLS-Verschlüsselung (das, was HTTPS und das Schloss-Symbol ausmacht). Verbreitete Bausteine:

• Nginx Proxy Manager — Oberfläche zum Klicken, Zertifikate per Knopfdruck, guter Einstieg.
• Caddy — eine einzelne Programmdatei, HTTPS vollautomatisch, sehr knappe Konfiguration, wenig Speicherbedarf.
• Traefik — erkennt Docker-Container automatisch, passt gut zu Setups, die ohnehin auf Docker Compose aufbauen.
• HAProxy — sehr performant, in den Firewall-Systemen pfSense und OPNsense als Paket mit Zertifikats-Integration enthalten.

Unsere Empfehlung

UGREEN NASync DH2300 2 Bay NAS für Einsteiger und Privatanwender
Bevor eine eigene Adresse Sinn ergibt, muss ein Gerät die Dienste dauerhaft bereitstellen — das NASync DH2300 ist ein 2-Bay-NAS für Einsteiger und Privatanwender und damit ein naheliegender Startpunkt für die ersten selbst gehosteten Dienste.

Preis prüfen * — 209,99 € (Stand 04.09.2026)

Schritt 5: Das HTTPS-Zertifikat automatisch holen

Let’s Encrypt stellt Zertifikate kostenlos aus. Die Ausstellung läuft über das ACME-Protokoll, das Beantragen und Erneuern automatisiert. Bei der Prüfung, ob dir die Domain gehört, gibt es drei Wege:

• HTTP-01: braucht den erreichbaren Port 80.
• TLS-ALPN-01: läuft über Port 443.
• DNS-01: braucht keinen offenen Port, sondern einen Eintrag in deiner DNS-Zone — und ist Pflicht für ein Wildcard-Zertifikat, also eines, das für alle Unter-Adressen einer Domain gilt (*.meinserver.de).

In Nginx Proxy Manager, Caddy und Traefik ist ein ACME-Client fest eingebaut; separat gibt es Certbot oder acme.sh. Bei einem Synology-NAS ist Let’s Encrypt in der Zertifikatsverwaltung enthalten, Wildcard-Zertifikate gehen dort ab Werk aber nur mit der Synology-eigenen Adresse (synology.me).

Kein öffentliches IPv4? Diese Wege funktionieren trotzdem

Viele Kabel- und Glasfaseranschlüsse laufen über DS-Lite oder CGNAT: Du teilst dir eine öffentliche IPv4-Adresse mit anderen Kunden und hast selbst keine eigene. Eingehende IPv4-Verbindungen sind damit grundsätzlich unmöglich. Dann hast du drei Möglichkeiten:

• Über IPv6: Eingehend geht dann nur noch IPv6, mit passender Firewall-Freigabe. Funktioniert nur, wenn auch die Gegenseite IPv6 hat.
• Tunnel oder Relay: Cloudflare Tunnel (das Programm cloudflared) baut nur eine ausgehende Verbindung auf — keine Portfreigabe, keine öffentliche IP nötig, kostenlos, organisatorisch Teil von Cloudflare Zero Trust (dessen Gratis-Stufe dauerhaft bis 50 Nutzer reicht). IPv64.net bietet ein ähnliches Relay speziell zur DS-Lite-Umgehung; kostenpflichtige Dienste wie feste-ip.net mappen öffentliche Ports auf deinen Anschluss.
• Eigener VPS als Relay: ein günstiger Server mit öffentlicher IPv4, per WireGuard-Tunnel mit deinem Heimserver verbunden, der die Anfragen durchreicht.

Wenn nur deine eigenen Geräte reinkommen sollen, ist ein VPN der einfachste und sicherste Weg — eine verschlüsselte Direktverbindung ins Heimnetz. WireGuard ist in vielen Routern (FritzBox ab FritzOS 7.50), Firewalls und im Linux-Kernel vorhanden; Tailscale und Netbird machen die Einrichtung besonders einfach und kommen ebenfalls durch DS-Lite. Ein öffentliches Zertifikat brauchst du dann gar nicht. Tailscale Funnel ist der Mittelweg: Es macht einzelne Dienste doch öffentlich erreichbar, mit automatischem HTTPS auf einer *.ts.net-Adresse, allerdings nur über die Ports 443, 8443 und 10000. Der Personal-Tarif von Tailscale ist kostenlos; die Nutzerzahl liegt derzeit niedrig und soll laut Ankündigung ab April 2026 auf sechs steigen (die genaue vorherige Grenze wird in den Quellen unterschiedlich angegeben).

Die Wege im Überblick

Eine Anmerkung zu Cloudflare Tunnel: Große Mengen Video über das Cloudflare-Netz zu leiten — etwa von einem Medienserver oder Nextcloud — bewegt sich in einer Grauzone der Nutzungsbedingungen. 2025 gab es Berichte über Verwarnungen bei viel Videoverkehr; eine klare Linie ist nicht erkennbar. Für so etwas ist ein direkter Weg (Portfreigabe oder VPN) die sauberere Wahl. Die alte Behauptung, Cloudflare Free verbiete generell Nicht-HTML-Inhalte („Section 2.8″), stimmt übrigens nicht mehr — diese Klausel ist seit 2023 weg.

Zertifikate: einmal einrichten, dann automatisch

Ein Let’s-Encrypt-Zertifikat ist aktuell 90 Tage gültig (Stand 2025) und wird typischerweise nach 60 Tagen automatisch erneuert. Zwei Dinge solltest du wissen:

• Es gibt keine Erinnerungsmail mehr. Let’s Encrypt hat die Ablauf-Benachrichtigungen zum 4. Juni 2025 eingestellt und die gespeicherten Adressen gelöscht. Wer eine Warnung vor ablaufenden Zertifikaten will, muss sie selbst einrichten — genannt wird als Alternative etwa Red Sift Certificates Lite (bis 250 Zertifikate kostenlos).
• Die Laufzeiten sinken. Let’s Encrypt hat einen Fahrplan von 90 in Richtung 45 Tage veröffentlicht (ab Mai 2026 zunächst ein optionales 45-Tage-Profil für Early Adopter, 2027 das Standardprofil auf 64 Tage, 2028 auf 45). Parallel senkt die Branche über das CA/Browser-Forum die maximale Laufzeit aller öffentlich vertrauten Zertifikate: von 398 Tagen auf 200 (ab 15. März 2026), 100 (2027) und 47 Tage (2029). Die genauen Profilnamen und Termine können sich noch verschieben.

Die praktische Folge: Zertifikate von Hand zu verlängern wird unmöglich, die ACME-Automatisierung inklusive automatischem Neuladen des Reverse Proxy ist Pflicht. Seit Januar 2026 gibt es bei Let’s Encrypt zusätzlich sehr kurzlebige Zertifikate (rund sechs Tage) und Zertifikate für reine IP-Adressen; ob und wann gängige Reverse Proxys das praktisch nutzen, ist noch offen.

Absichern, bevor du online gehst

Sobald ein Dienst öffentlich erreichbar ist, wird er auch gescannt und angegriffen. Grundausstattung:

• Nur Port 443 nach außen (plus 80 für die Zertifikatsprüfung), alles andere zu.
• HTTPS erzwingen, HTTP automatisch darauf umleiten, HSTS aktivieren (sagt dem Browser: diese Seite nur noch verschlüsselt aufrufen).
• Eine vorgeschaltete Anmeldung vor den Reverse Proxy setzen — Authelia (schlank, mit Zwei-Faktor) oder Authentik (vollwertige Anmeldelösung für mehrere Dienste).
• Angriffsabwehr wie CrowdSec oder fail2ban am Reverse Proxy gegen Brute-Force-Versuche.
• Dienste aktuell halten. Alles, was nicht wirklich öffentlich sein muss, nur über VPN erreichbar machen.

Und die Hersteller-Abkürzungen — QuickConnect, „nur über MyFRITZ“, Plex-Relay? Die funktionieren ohne Konfiguration, sind aber langsamer, gedrosselt und vom Anbieter abhängig. Für gelegentlichen Zugriff okay, als Dauerlösung kein Ersatz für eine eigene Adresse. Bei Plex kommt hinzu, dass der entfernte Zugriff seit April 2025 Geld kostet, wenn der Serverbetreiber keinen Plex Pass hat — was das Interesse an selbst gehosteten Alternativen wie Jellyfin unter eigener Adresse erhöht hat.

Damit steht die Kette: Domain, DNS, Zugang (Portfreigabe oder Tunnel), Reverse Proxy, Zertifikat, Absicherung. Fang mit einem einzigen Dienst an, prüfe jeden Schritt einzeln, und erweitere dann.