Ratgeber · Netzwerk-Grundlagen

Was ist CGNAT, und warum funktioniert meine Portweiterleitung nicht?

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 4 Min. Lesezeit

Du hast die Portweiterleitung für einen Gameserver, eine Kamera oder einen Heimserver eingerichtet, genau wie in der Anleitung. Von außen verbindet sich nichts. Der Router ist nicht kaputt. Vielleicht hat dein Anschluss einfach keine eigene öffentliche Adresse.

Was CGNAT ist

Es gibt nicht genug IPv4-Adressen für jedes Zuhause und jedes Handy. In deiner Wohnung löst dein Router das schon: Alle deine Geräte teilen sich eine öffentliche Adresse, und der Router (per NAT, Network Address Translation) merkt sich, zu welchem Gerät jede Verbindung gehört.

CGNAT macht dasselbe eine Ebene höher. Die Technik des Providers teilt eine öffentliche Adresse unter vielen Kunden, und dein Router bekommt stattdessen eine private Adresse vom Provider. Ausgehende Verbindungen funktionieren normal: Surfen, Streaming und Anrufe laufen. Das Problem sind eingehende Verbindungen. Verbindet sich jemand von außen mit der geteilten öffentlichen Adresse, weiß das NAT des Providers nicht, welchen seiner Kunden er erreichen will, also verwirft es die Verbindung. Eine Portweiterleitung an deinem Router ändert daran nichts, denn die Verbindung kommt nie bei deinem Router an.

Mobilfunknetze nutzen CGNAT fast überall. Auch viele Glasfaser- und Kabelanbieter tun es, besonders neuere und solche, die ihren Kunden natives IPv6 geben und IPv4 über ein gemeinsames Gateway tunneln (ein Verfahren namens DS-Lite, das auch in Deutschland verbreitet ist).

Ein Praxisbeispiel: der Adressbereich, der es verrät

Provider nummerieren die Kundenseite von CGNAT meist aus einem Block, der genau dafür reserviert ist: 100.64.0.0/10. Wir haben ihn in den Subnetzrechner von iplover eingegeben:

Die Faustregel lautet also: Beginnt die Internetadresse deines Routers mit 100. und liegt die zweite Zahl zwischen 64 und 127, sitzt du fast sicher hinter CGNAT. Adressen von 100.0 bis 100.63 und ab 100.128 sind gewöhnliche öffentliche; nur der Block in der Mitte ist geteilter Adressraum.

Prüf deinen Anschluss in zwei Minuten

1. Finde die Internetadresse deines Routers. Öffne die Oberfläche des Routers (bei der Fritz!Box fritz.box, beim Telekom Speedport meist speedport.ip, sonst oft 192.168.0.1 oder 192.168.1.1; unser Router-Ratgeber zeigt, wie du sie findest) und such nach „WAN“, „Internet“ oder „Online-Monitor“.
2. Finde deine öffentliche Adresse. Öffne die Startseite von iplover; die große Adresse oben ist das, was das Internet sieht.
3. Vergleiche beide.

Ein zweiter Hinweis ist der Weg nach draußen. Unter Windows tracert -d 8.8.8.8, unter macOS oder Linux traceroute -n 8.8.8.8. Hat der Hop direkt nach deinem Router eine Adresse zwischen 100.64 und 100.127, ist das typischerweise das NAT des Providers. (Manche Provider nutzen diesen Bereich in ihrem Netz auch aus anderen Gründen, nimm es also als Hinweis, nicht als Beweis.)

So kommst du drumherum

UPnP und ähnliche Funktionen, die Ports automatisch öffnen, sprechen nur mit deinem eigenen Router, kommen also ebenfalls nicht durch das NAT deines Providers.

Was CGNAT für deine Adresse bedeutet

Hinter CGNAT teilst du die öffentliche Adresse, die Websites sehen, im selben Moment mit anderen Kunden. Das hat Nebenwirkungen: Das Fehlverhalten eines Kunden kann die geteilte Adresse sperren oder markieren lassen, Seiten zeigen dir womöglich mehr Captchas, und die Adresse auf der Startseite von iplover ist nicht dauerhaft „deine“. Es heißt auch, dass eine Adresse im Log von jemandem ohne die Aufzeichnungen des Providers, welcher Kunde in welcher Sekunde welchen Port nutzte, keinem einzelnen Haushalt zugeordnet werden kann.