Portweiterleitung: Wie eingehende Verbindungen einen Router oder ein VPN passieren

Portweiterleitung ist eine Regel auf einem Gateway, einem Heimrouter, einer Firewall oder einem VPN-Server, die Datenverkehr, der an ihrer öffentlichen Adresse auf einem Port ankommt, an ein bestimmtes Gerät und eine App dahinter weiterleitet. Ohne eine solche Regel lässt das Gateway nur Antworten auf eigene Anfragen durch und verwirft Verbindungen, die Fremde starten. Die Funktion wird auch Port-Mapping genannt, technisch gesehen ist sie eine Anwendung von Network Address Translation (NAT).

Was ein Port eigentlich ist

Ein Port ist eine Zahl von 0 bis 65535, die einer Maschine sagt, welches Programm ein Paket empfangen soll. Ein paar Zahlen, die jeder kennt: 443 für HTTPS, 22 für SSH, 25565 für einen Minecraft-Server. Das Gateway liest die Zahl, prüft seine Regeln und leitet das Paket nach innen weiter oder verwirft es.

Wofür man Ports öffnet

Seeding ist der klassische Grund. Ein Torrent-Client ohne erreichbaren Port kann trotzdem herunterladen, aber nur von Peers, die selbst erreichbar sind, und zwei nicht erreichbare Peers können keine Verbindung zueinander aufbauen, sodass dünn besetzte oder alte Swarms nur langsam vorankommen. Hosting ist der zweite Grund: Wenn Sie die Minecraft-Welt betreiben, verbinden sich Freunde mit Ihrer Maschine. Der dritte ist Fernzugriff auf ein NAS, einen Raspberry Pi, eine Kamera oder einen SSH-Rechner. Gewöhnliche Online-Matches laufen über die Server des Herausgebers und profitieren nicht davon, und eine Weiterleitung senkt den Ping nie.

Am eigenen Router versus über ein VPN

Manche Anbieter erlauben die Weiterleitung nur auf ihren P2P-Servern. Eine praktische Falle: Der zugewiesene Port ändert sich oft nach dem erneuten Verbinden, sodass die Konfiguration des Torrent-Clients oder Servers aktualisiert werden muss. Deaktivieren Sie außerdem UPnP und NAT-PMP in der Torrent-Software; andernfalls fordert sie beim Heimrouter ständig eine Portfreigabe an, und das kollidiert mit dem vom VPN zugewiesenen Port. Ein Port-Checker meldet „offen“ nur, solange tatsächlich eine App auf dem Port lauscht.

Warum so viele VPN-Dienste sie entfernt haben

Ein offener Port auf einer gemeinsamen Serveradresse erlaubt jedem Kunden, beliebige Inhalte unter der IP des Anbieters zu hosten. Mullvad teilte in seiner Ankündigung zur Abschaffung 2023 mit, dass Menschen weitergeleitete Ports nutzten, um unerwünschte Inhalte und bösartige Dienste zu betreiben, was zu Kontakten mit Strafverfolgungsbehörden, auf Sperrlisten stehenden Server-IPs und Hosting-Anbietern führte, die Verträge kündigten. Jeder Kunde hinter dieser Adresse erbt die Sperrlisten-Einträge, die ein einziger Missbraucher verursacht hat. Es gab auch ein Datenschutzloch, Port Fail, das 2015 offengelegt wurde: Ein Kunde mit weitergeleitetem Port auf demselben Server konnte Ihr Gerät dazu bringen, Ihre tatsächliche IP-Adresse preiszugeben. Manche Anbieter, die weiterhin Ports weiterleiten, sagen, ihre Einrichtung sei dagegen geschützt.

Das Risiko eines offenen Ports

Ein offener Port ist für jeden Scanner im Internet sichtbar, und Bots prüfen ihn auf schwache Passwörter und veraltete Software. Die Gefahr sitzt in der App hinter der Zahl: ein nicht gepatchter Server, ein Standard-Login, ein Remote-Desktop-Tool mit schwachen Zugangsdaten. Aktualisieren Sie die App, vergeben Sie ein starkes Login, leiten Sie nur die Ports weiter, die Sie nutzen, und schließen Sie sie, wenn Sie fertig sind. Das VPN verbirgt Ihre Heim-IP und schluckt unnützen Datenverkehr, der an einen gehosteten Server gerichtet ist, aber an einer nicht gepatchten App ändert es nichts.

Portweiterleitung und eine dedizierte IP-Adresse

Manche Anbieter öffnen Ports nur auf einer dedizierten IP-Adresse oder einem dedizierten Server. Da die Adresse einem einzigen Kunden gehört und sich nie ändert, bleibt der Endpunkt, mit dem sich Ihre Freunde verbinden, stabil, und Missbrauch lässt sich auf ein einzelnes Konto zurückverfolgen. Der Nachteil: Sie verlieren die Tarnung, in einer gemeinsamen Masse unterzutauchen, was für anonymes Surfen wichtig ist, beim Hosting aber selten zählt.

Wenn kein Anbieter Ihnen einen Port gibt

Ein Mesh-VPN verbindet Ihre eigenen Geräte direkt. Ein Tunnel-Dienst oder ein Reverse-SSH-Tunnel zu einem gemieteten Server stellt eine lokale App über eine Verbindung bereit, die Sie selbst starten, sodass überhaupt keine eingehende Regel nötig ist.

Wie viele VPNs das anbieten

Von den 371 Diensten im Hauptranking geben 31 an, Portweiterleitung anzubieten, 91 sagen, dass sie das nicht tun, und 255 erwähnen es nicht. Details finden Sie im Ranking zur VPN-Portweiterleitung.

FAQ

Ist Portweiterleitung sicher?

Nur so sicher wie das Programm, das hinter dem Port lauscht.

Macht Portweiterleitung Spiele schneller?

Nein. Sie spielt nur eine Rolle, wenn Sie den Server selbst betreiben; Matchmaking und Ping gewinnen nichts.

Wie prüfe ich, ob ein Port offen ist?

Starten Sie die App, damit etwas auf dem Port lauscht, und testen Sie dann aus einem externen Netzwerk oder mit einem Online-Checker.

Kurzantwort

Portweiterleitung ist eine NAT-Regel, die Datenverkehr, der auf einem öffentlichen Port ankommt, an ein ausgewähltes Gerät und eine App weiterleitet. Am Router wählen Sie die Zahl selbst und geben Ihre eigene IP preis, und hinter CGNAT scheitert es. Über ein VPN gibt Ihnen der Anbieter einen Port auf einer gemeinsamen Adresse, was Ihre Heim-IP verbirgt. Viele Anbieter haben die Funktion gestrichen oder nie angeboten, und manche, die sie beibehalten haben, verlangen dafür eine dedizierte IP-Adresse.