DynDNS kostenlos – die feste Adresse für den wechselnden Anschluss

Passende Hardware im Überblick

Boards – der Pi als DynDNS-Melder und Heim-Server:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für den Dauerbetrieb (Link)*
Raspberry Pi 5 mit 16GB RAM – wenn noch viele Dienste dazukommen (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für Netzwerkdienste locker (Link)*
Raspberry Pi 4 Starter-Set – der günstige Einstieg (Link)*
Raspberry Pi Zero 2 W – winziger Dauerläufer für den Update-Client (Link)*

Für den 24/7-Betrieb:
Offizielles 27-W-Netzteil für den Pi 5 – die Basis für Stabilität (Link)*
Geekworm X1200 USV – überbrückt kurze Stromausfälle (Link)*
PoE-HAT für den Netzwerkschrank – ein Kabel für Strom und LAN (Link)*

Speicher – damit der Dienst Jahre durchhält:
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Intenso M.2 NVMe SSD 500GB – günstig und ausreichend (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Variante (Link)*
SanDisk Extreme A2 128GB microSD – wenn es die Karte sein soll (Link)*

Wenn der Anschluss kein öffentliches IPv4 liefert:
ZTE MF79N LTE-Stick – Zweitweg ins Netz (Link)*
Huawei E3372 LTE-Stick – der Klassiker (Link)*

Kurz gesagt: Welcher DynDNS-Dienst ist kostenlos und taugt trotzdem etwas?

Die Kurzfassung:

• Das Prinzip: DynDNS koppelt einen festen Namen an eine wechselnde IP-Adresse. Ein winziger Client meldet jede Änderung an den Anbieter, der den DNS-Eintrag sofort anpasst.
• Wirklich kostenlos und solide: DuckDNS (Hostname unter duckdns.org), deSEC mit dedyn.io und dynv6 – alle drei ohne Bezahlschranke, ohne Werbung und ohne Zwangs-Upgrade.
• Mit eigener Domain: Cloudflare als DNS-Verwalter plus ein kleines Update-Skript. Dann kostet nur noch die Domain selbst – der DynDNS-Teil bleibt gratis.
• Der Router reicht oft schon: Eine FRITZ!Box hat ein Feld für benutzerdefinierte Anbieter – Update-URL eintragen, fertig. Ein Raspberry Pi ist dafür nicht zwingend nötig.
• Der eigentliche Stolperstein 2026: Viele Anschlüsse haben kein öffentliches IPv4 mehr (DS-Lite, CGNAT). Dann hilft auch der beste DynDNS-Name nicht – es braucht IPv6 oder einen Tunnel.
• Wichtig zu wissen: DynDNS öffnet von sich aus gar nichts. Erst eine Portfreigabe oder ein VPN macht einen Dienst von außen erreichbar.

DynDNS kostenlos – was der Dienst wirklich leistet

Ein privater Internetanschluss bekommt in aller Regel keine feste Adresse. Der Provider vergibt eine IP aus seinem Pool, und spätestens nach einem Neustart des Routers oder einer nächtlichen Zwangstrennung ist es eine andere. Wer von unterwegs auf die eigene Nextcloud, auf Home Assistant oder auf einen kleinen Webserver zugreifen will, steht damit vor einem simplen Problem: Die Adresse, die gestern noch stimmte, führt heute ins Leere.

Genau das löst DynDNS kostenlos. Der Dienst pflegt für einen Namen wie meinhaus.duckdns.org einen DNS-Eintrag mit sehr kurzer Gültigkeitsdauer. Ein Client im Heimnetz – im Router oder auf dem Raspberry Pi – prüft regelmäßig die aktuelle öffentliche IP und schickt sie per HTTPS-Aufruf an den Anbieter. Der schreibt den A-Record (IPv4) beziehungsweise den AAAA-Record (IPv6) neu. Wenige Sekunden später zeigt der Name wieder auf das richtige Zuhause. Eine ausführliche Einordnung der Technik steht im Grundlagenartikel Was ist DynDNS.

Dass es dafür Geld kosten müsste, ist ein Relikt aus der Zeit, als der frühere Marktführer sein Gratisangebot einstellte. Heute tragen mehrere Anbieter den Dienst dauerhaft kostenlos – teils als Hobbyprojekt, teils als gemeinnütziger Verein.

Ein Missverständnis lohnt sich auszuräumen: DynDNS ist ausschließlich ein Namensdienst. Er macht keinen einzigen Port auf und umgeht keine Firewall. Ob ein Dienst tatsächlich von außen erreichbar ist, entscheidet der Router – über eine Portfreigabe oder darüber, dass stattdessen ein VPN oder ein Tunnel den Weg herstellt. DynDNS liefert nur die Adresse, unter der dieser Weg zu finden ist.

Kostenlose DynDNS-Anbieter im Vergleich

Die Unterschiede sind größer, als die Startseiten vermuten lassen. Entscheidend sind drei Fragen: Läuft der Dienst mit IPv6? Verfällt der Gratis-Hostname? Und kennt der eigene Router den Anbieter?

Faustregel: Wer nur schnell einen Namen braucht, nimmt DuckDNS. Wer den Dienst jahrelang laufen lassen und dabei sauber mit IPv6 arbeiten will, ist bei deSEC oder dynv6 besser aufgehoben. Wer ohnehin eine eigene Domain besitzt, sollte Cloudflare nehmen – das ist die eleganteste Lösung.

DynDNS kostenlos einrichten – Schritt für Schritt

1. Anschluss prüfen: Zuerst klären, ob überhaupt eine öffentliche IPv4-Adresse anliegt. Dazu die WAN-Adresse in der Router-Oberfläche mit der Adresse vergleichen, die eine beliebige „Wie ist meine IP"-Seite anzeigt. Stimmen beide nicht überein oder beginnt die Router-Adresse mit 100.64. bis 100.127., steckt der Anschluss hinter einem Provider-NAT.
2. Dienst auswählen und Konto anlegen: Bei DuckDNS genügt eine Anmeldung über ein bestehendes Konto, danach steht der Token sofort bereit. Bei deSEC oder dynv6 wird ein eigenes Konto mit Passwort und Token erzeugt. Den Token wie ein Passwort behandeln – wer ihn hat, kann den Eintrag beliebig umbiegen.
3. Hostnamen registrieren: Einen kurzen, unauffälligen Namen wählen. Er taucht später in Zertifikaten und Logdateien auf und sollte nicht verraten, wer dahintersteckt.
4. Update über den Router einrichten: In der FRITZ!Box unter Internet > Freigaben > DynDNS den Anbieter „Benutzerdefiniert" wählen und Update-URL, Domainname, Benutzername und Kennwort eintragen. In der URL setzt die Box Platzhalter wie <ipaddr>, <ip6addr>, <username>, <pass> und <domain> automatisch ein.
5. Alternativ auf dem Raspberry Pi: Für deSEC und die meisten anderen Dienste eignet sich ddclient. Nach sudo apt install ddclient wird in /etc/ddclient.conf das Protokoll dyndns2, als Server update.dedyn.io sowie Domain und Token hinterlegt. Für reines IPv6 nutzt deSEC den getrennten Server update6.dedyn.io; wer beides gleichzeitig pflegen will, ruft eine URL mit den Parametern myipv4 und myipv6 auf.
6. DuckDNS per Cronjob: Hier reicht ein einziger Aufruf im Muster https://www.duckdns.org/update?domains=NAME&token=TOKEN&ip= – als Cronjob alle fünf Minuten gestartet. Bleibt das Feld ip leer, verwendet der Dienst die Adresse, von der die Anfrage kommt.
7. Ergebnis testen: Mit dig meinhaus.duckdns.org oder nslookup prüfen, ob der Name auf die richtige Adresse zeigt. Der ehrlichste Test läuft über das Mobilfunknetz – aus dem eigenen WLAN heraus täuscht mancher Router mit einer Rückschleife eine Erreichbarkeit vor, die es von außen gar nicht gibt.
8. Absichern: Erst jetzt Ports freigeben, und zwar nur die wirklich nötigen. Wie das sauber gelingt, steht in der Anleitung zum Absichern des Raspberry Pi.

DS-Lite, CGNAT und IPv6 – warum DynDNS manchmal ins Leere läuft

Der häufigste Grund dafür, dass ein frisch eingerichteter DynDNS-Name nicht funktioniert, liegt nicht am Dienst. Er liegt am Anschluss. Weil IPv4-Adressen knapp sind, teilen viele Provider – Kabelanbieter besonders oft – eine öffentliche Adresse unter vielen Kunden auf. Das Verfahren heißt DS-Lite oder allgemeiner CGNAT. Der Router bekommt dabei nur eine Adresse aus einem internen Bereich, und eine Portfreigabe darauf bleibt wirkungslos: Von außen führt schlicht kein Weg zu diesem Anschluss.

Der erste Ausweg heißt IPv6: Solche Anschlüsse haben fast immer eine vollwertige, öffentlich erreichbare IPv6-Adresse. Ein Dienst, der AAAA-Einträge pflegt, löst das Problem für alle Gegenstellen mit IPv6 – im Mobilfunknetz der Normalfall, im Firmennetz oft nicht. Wichtig: Bei IPv6 gibt es kein NAT, die Freigabe gilt deshalb gezielt einem einzelnen Gerät.

Der zweite Ausweg ist der bequemere und in den meisten Fällen auch der bessere: ein Overlay-Netz, das die Verbindung von innen nach außen aufbaut. Tailscale braucht dafür weder Portfreigabe noch DynDNS und funktioniert auch hinter CGNAT. Ein Cloudflare Tunnel stellt einzelne Webdienste öffentlich bereit, ohne dass der Router etwas davon merkt. Wer lieber selbst die Kontrolle behält, baut ein WireGuard-VPN – das allerdings braucht wieder eine erreichbare Adresse und damit DynDNS.

Daraus folgt eine klare Reihenfolge: erst den Anschlusstyp prüfen, dann entscheiden. Bei DSL oder Glasfaser mit öffentlicher IPv4 ist DynDNS plus VPN die schlankeste Lösung; bei DS-Lite greift man besser gleich zum Overlay-Netz.

Fehler und Stolpersteine bei kostenlosen DynDNS-Diensten

• Zwei Clients gleichzeitig: Router und Raspberry Pi melden beide denselben Hostnamen – und überschreiben sich gegenseitig. Manche Anbieter drosseln oder sperren bei zu vielen Anfragen. Immer nur eine Stelle darf aktualisieren.
• Der Gratis-Hostname verfällt: Bei No-IP muss der kostenlose Eintrag in festen Abständen über einen Mail-Link bestätigt werden. Wer die Mail übersieht, steht plötzlich ohne Namen da – der dann auch noch neu vergeben werden kann.
• Doppeltes NAT im eigenen Haus: Hängt hinter dem Provider-Router noch ein zweiter Router, meldet der falsche Client die falsche Adresse. In solchen Aufbauten gehört der DynDNS-Client immer in das Gerät mit der öffentlichen Adresse.
• Der Token liegt offen herum: In Skripten und Konfigurationsdateien steht er im Klartext. Mindestens die Rechte einschränken (chmod 600) und ihn nie in ein öffentliches Repository schieben.
• Zertifikate scheitern am geschlossenen Port: Let's Encrypt prüft standardmäßig über Port 80. Ist der zu, hilft die DNS-Validierung – die aber setzt einen Anbieter voraus, der TXT-Einträge per API zulässt.
• Der Test aus dem eigenen WLAN täuscht: Manche Router leiten interne Anfragen an den eigenen Namen einfach intern weiter. Was zu Hause klappt, kann von außen tot sein – deshalb immer über Mobilfunk gegenprüfen.
• Fester Name, feste Angriffsfläche: Ein dauerhaft erreichbarer Name wird von Scannern gefunden, meist innerhalb weniger Stunden. Ohne starke Passwörter und aktuelle Software ist das ein offenes Scheunentor.

Häufige Fragen zu kostenlosem DynDNS

Ist DynDNS wirklich dauerhaft kostenlos?
Bei DuckDNS, deSEC und dynv6 ja – dort gibt es keine Testphase und keine Zahlungsdaten. Bei No-IP ist der Gratis-Tarif dagegen bewusst so beschnitten, dass er zum Wechsel auf ein Bezahlmodell drängt.

Welcher kostenlose DynDNS-Dienst ist der beste?
Für den schnellen Einstieg DuckDNS, weil die Einrichtung in fünf Minuten erledigt ist. Für den langfristigen Betrieb deSEC, weil der Dienst gemeinnützig getragen wird, DNSSEC mitbringt und IPv4 wie IPv6 sauber trennt.

Brauche ich einen Raspberry Pi für DynDNS?
Nein. Fast jeder aktuelle Router bringt einen DynDNS-Client mit. Der Pi lohnt sich, wenn ohnehin Dienste darauf laufen oder wenn der Router den gewünschten Anbieter nicht kennt.

Wie oft sollte der Client die Adresse melden?
Alle fünf Minuten ist ein guter Wert und bei allen genannten Diensten unproblematisch. Häufiger bringt nichts und läuft schnell in die Rate-Limits der Anbieter.

Funktioniert DynDNS auch bei DS-Lite?
Für IPv6 ja, für IPv4 nein. Der Name zeigt dann korrekt auf die IPv6-Adresse, ist aber für Gegenstellen ohne IPv6 nicht erreichbar. In diesem Fall ist ein Tunnel oder ein Overlay-Netz die praktikablere Lösung.

Kann ich meine eigene Domain mit DynDNS verwenden?
Ja. Entweder wird die Domain per CNAME auf den DynDNS-Namen gezeigt, oder man verwaltet sie gleich bei einem Anbieter mit API – Cloudflare und deSEC unterstützen beides.

Ist DynDNS ein Sicherheitsrisiko?
Der Namensdienst selbst nicht. Riskant wird erst, was danach freigegeben wird. Wer statt offener Ports ein VPN oder einen Tunnel nutzt und Dienste wie Docker-Container aktuell hält, hat die Angriffsfläche bereits deutlich verkleinert.

Fazit

DynDNS kostenlos ist 2026 keine Notlösung mehr, sondern der Normalfall: Drei ernstzunehmende Dienste stehen ohne Bezahlschranke bereit, und jeder gängige Router bringt den passenden Client schon mit. Unsere klare Empfehlung: Für den schnellen Start DuckDNS, für alles, was länger laufen soll, deSEC – der Verein hinter dedyn.io hat kein Interesse daran, den Gratis-Tarif irgendwann zuzudrehen, und DNSSEC gibt es ohne Aufpreis dazu. Genauso wichtig ist der zweite Teil der Empfehlung: Prüfe zuerst den Anschlusstyp. Wer hinter DS-Lite sitzt, spart sich stundenlanges Suchen, wenn er das früh erkennt und gleich auf IPv6 oder ein Overlay-Netz setzt. Und ganz gleich, welcher Weg es wird – der DynDNS-Name gehört nie ohne VPN oder gut abgesicherten Reverse Proxy ins offene Netz.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)