Portfreigabe in der FRITZ!Box einrichten
Wer von unterwegs auf ein Gerät im eigenen Netz zugreifen will — Netzwerkspeicher, Überwachungskamera, Spieleserver, Alarmanlage —, braucht eine Portfreigabe oder Portweiterleitung. Diese Anleitung geht sie Schritt für Schritt durch und beginnt mit der Prüfung, die den meisten die übrige Arbeit erspart.
Die Angaben beziehen sich auf AVM FRITZ!OS 7.5x und 8.x. Zwischen den Versionen sind die Menüpunkte teils leicht verschoben; die Bezeichnungen sind dieselbe geblieben.
Schritt 0: Erlaubt der Anschluss das überhaupt?
Diesen Schritt nicht überspringen. Ein erheblicher Teil der Anschlüsse in Deutschland hat keine eigene öffentliche IPv4-Adresse mehr. Dort bleibt jede Portfreigabe wirkungslos, egal wie richtig sie eingerichtet ist — der Weg endet schon beim Provider.
Gehen Sie auf Internet › Online-Monitor und sehen Sie nach, welche öffentliche Adresse dort steht.
Drei Fälle:
Eine gewöhnliche IPv4-Adresse steht da. Alles gut, weiter mit Schritt 1.
Es steht keine IPv4-Adresse da, nur IPv6. Der Anschluss läuft über DS-Lite. Eine Portfreigabe über IPv4 ist nicht möglich. Der Zugang funktioniert nur über IPv6 — siehe Schritt 3 — und auch nur, wenn die Gegenstelle IPv6 hat. Mobilfunknetze in Deutschland haben es meist, viele Firmennetze und öffentliche WLANs nicht.
Es steht eine Adresse zwischen 100.64.x.x und 100.127.x.x da. Der Anschluss läuft über Carrier-grade NAT, der Übergang liegt beim Provider. Auch hier wirkt keine Freigabe.
In beiden Problemfällen hilft nur ein Anruf beim Provider. Viele bieten eine echte IPv4-Adresse als kostenpflichtige Option oder auf Nachfrage kostenlos an — bei der Telekom heißt das Dual Stack, bei Vodafone und Deutsche Glasfaser ist die Bezeichnung uneinheitlich. Die Umstellung dauert meist einen Werktag und erfordert einen Neustart des Routers.
Betroffen sind typischerweise Glasfaseranschlüsse von Deutsche Glasfaser, viele Kabelanschlüsse, sämtliche Anschlüsse über Mobilfunk wie der Vodafone GigaCube und der Telekom Speedbox sowie die meisten günstigen Tarife von Drittanbietern.
Schritt 1: Dem Gerät eine feste Adresse geben
Eine Freigabe zeigt auf eine bestimmte interne Adresse. Bekommt das Gerät beim nächsten Start eine andere, greift sie ins Leere.
Gehen Sie auf Heimnetz › Netzwerk › Netzwerkverbindungen, öffnen Sie das Gerät über den Stift rechts und setzen Sie den Haken bei „Diesem Netzwerkgerät immer die gleiche IPv4-Adresse zuweisen".
Das ist der bessere Weg, als am Gerät selbst eine feste Adresse einzutragen: Die FRITZ!Box weiß dann, dass die Adresse vergeben ist, und teilt sie nicht ein zweites Mal zu.
Schritt 2: Die Freigabe anlegen
Internet › Freigaben › Portfreigaben, dann „Gerät für Freigaben hinzufügen".
Wählen Sie oben das Gerät aus und legen Sie darunter über „Neue Freigabe" die eigentliche Regel an.
Auszufüllen sind:
| Feld | Was hinein gehört |
|---|---|
| Anwendung | „Andere Anwendung", dazu ein selbst gewählter Name |
| Protokoll | TCP oder UDP — im Zweifel zwei Freigaben anlegen, eine je Protokoll |
| Port an Gerät | der Port, auf dem der Dienst im Gerät läuft |
| Port extern gewünscht | der Port, auf dem die FRITZ!Box von außen lauscht |
Äußerer und innerer Port dürfen sich unterscheiden. Das ist sogar zu empfehlen: Ein Dienst auf dem üblichen Port ist leichter zu finden. Wer einen Netzwerkspeicher intern auf 5001 betreibt, kann ihn nach außen auf einem unauffälligen Port anbieten. Das ersetzt aber keine ordentliche Absicherung der Freigabe, es reduziert lediglich etwas das Rauschen in den Logs.
Zwei Ports, die Ärger machen: Port 25 ist bei praktisch allen Privatanschlüssen providerseitig gesperrt. Die Ports 80 und 443 belegt die FRITZ!Box selbst, wenn der Internetzugriff auf die Benutzeroberfläche aktiv ist — dann lässt sich dort keine Freigabe anlegen.
Schritt 3: IPv6 nicht vergessen
Im selben Dialog steht die Option, die Freigabe auch über IPv6 einzurichten.
Das wird regelmäßig übersehen, und es erklärt den häufigsten „geht trotzdem nicht"-Fall bei modernen Anschlüssen. Bei IPv6 ist es streng genommen keine Weiterleitung, sondern eine Ausnahme in der Firewall: Das Gerät hat bereits eine eigene öffentliche Adresse, die FRITZ!Box hört lediglich auf, den Zugriff darauf zu blockieren.
Wichtig für DS-Lite-Anschlüsse: Das ist dort der einzige Weg, der funktioniert.
Schritt 4: Richtig testen
Nicht aus dem eigenen WLAN heraus testen. Das ist der mit Abstand häufigste Grund für die Fehlannahme, die Freigabe funktioniere nicht.
Wer zu Hause die eigene öffentliche Adresse aufruft, verlangt von der FRITZ!Box, ein Paket wieder dorthin zurückzuschicken, wo es hergekommen ist. Das beherrscht sie nicht zuverlässig. Der Zugang kann von außen einwandfrei laufen und zu Hause scheitern.
So testen Sie richtig: Am Telefon das WLAN abschalten, über Mobilfunkdaten die öffentliche Adresse mit dem freigegebenen Port aufrufen.
Bei einem Anschluss, dessen Adresse sich regelmäßig ändert, richten Sie vorher MyFRITZ! oder einen DynDNS-Dienst ein — sonst suchen Sie beim nächsten Versuch die Adresse von gestern.
Automatische Freigaben
In den Geräteeinstellungen steht die Option „Selbstständige Portfreigaben für dieses Gerät erlauben". Damit darf sich Software auf diesem Gerät über UPnP selbst nach außen öffnen — Spielkonsolen und manche Anwendungen brauchen das.
Die Kehrseite: Jedes Programm auf diesem Gerät kann das, auch ein unerwünschtes. Die Option gehört deshalb einzeln je Gerät gesetzt und nicht pauschal aktiviert.
Die bessere Lösung für den Fernzugriff
Wer auf mehrere Geräte zu Hause zugreifen will, fährt mit einem verschlüsselten Zugang besser als mit einer Reihe von Freigaben. Die FRITZ!Box bringt seit FRITZ!OS 7.50 WireGuard mit: Internet › Freigaben › VPN (WireGuard), Einrichtung über einen QR-Code am Telefon.
Der Unterschied ist grundsätzlich. Bei Freigaben steht jedes einzelne Gerät offen im Netz und muss selbst sicher sein. Bei einem VPN steht genau ein gehärteter Dienst offen, und dahinter sind Sie im Heimnetz, als säßen Sie auf dem Sofa.
Für Netzwerkspeicher, Kameras und Verwaltungsoberflächen ist das der Weg, der zu empfehlen ist. Eine Freigabe bleibt sinnvoll, wenn ein Dienst tatsächlich für Fremde erreichbar sein soll oder wenn die Gegenstelle kein VPN aufbauen kann.
Wenn es trotzdem nicht geht
Die Ursachen und ihre Reihenfolge stehen ausführlich im Artikel zur Portfreigabe. Die Kurzfassung:
- Anschluss ohne eigene IPv4 — Schritt 0
- Aus dem eigenen Netz getestet — Schritt 4
- Zweiter Router vor der FRITZ!Box, erkennbar an einer privaten Adresse im Online-Monitor
- Interne Adresse des Geräts hat gewechselt — Schritt 1
- Firewall auf dem Zielgerät blockiert
- Port providerseitig gesperrt
- Falsches Protokoll gewählt
Zum Schluss: Sicherheit
Ein offener Port wird gefunden. Scanner durchsuchen den Adressraum fortlaufend, oft innerhalb von Stunden (oder Minuten) nach dem Einrichten.
Geben Sie keine Fernwartungszugänge und keine Dateifreigaben direkt frei. Geben Sie kein Gerät frei, das keine Softwareaktualisierungen mehr bekommt — bei Kameras und Netzwerkspeichern ist das nach wenigen Jahren der Normalfall. Ändern Sie vorher die Zugangsdaten am freigegebenen Gerät.
Und löschen Sie Freigaben wieder, die Sie nicht mehr brauchen. Sie bleiben sonst jahrelang offen stehen.