FritzBox-Portfreigabe – wann sie nötig ist und wann nicht mehr

Passende Hardware im Überblick

Boards – der Dienst hinter der Freigabe:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung für den Heim-Server (Link)*
Raspberry Pi 5 mit 16GB RAM für viele Dienste parallel (Link)*
Raspberry Pi 5 mit 4GB RAM – wenn es günstig sein soll (Link)*
Raspberry Pi 4 Starter-Set – reicht für VPN und kleine Server (Link)*
Beelink S12 Pro N100 – wenn der Pi zu klein wird (Link)*

Speicher – wer Dienste veröffentlicht, schreibt viel:
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Offizielles PCIe M.2 HAT – die saubere Lösung (Link)*
Intenso M.2 NVMe SSD 500GB (Link)*
Crucial P310 NVMe SSD 500GB – die schnellere Variante (Link)*
SanDisk Extreme Portable SSD 1TB für Cloud-Daten (Link)*
SanDisk Extreme A2 128GB – die haltbare Speicherkarte (Link)*

Damit der Dienst rund um die Uhr antwortet:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Geekworm X1200 USV – überbrückt kurze Stromausfälle (Link)*
Waveshare PoE-HAT für den Pi 5 – Strom aus dem Netzwerkkabel (Link)*

Kurz gesagt: Wann braucht man eine FritzBox-Portfreigabe noch?

Die FritzBox-Portfreigabe in sechs Punkten:

• Was sie tut: Sie öffnet einen einzelnen Kanal von außen ins Heimnetz und leitet alles, was an einem bestimmten Port ankommt, an ein bestimmtes Gerät weiter – zum Beispiel an den Raspberry Pi.
• Wo sie sitzt: In der Benutzeroberfläche unter Internet → Freigaben → Portfreigaben. Vorher braucht das Zielgerät eine feste Adresse im Heimnetz.
• Die häufigste Hürde: Anschlüsse mit DS-Lite haben keine eigene öffentliche IPv4-Adresse. Dort kommt eine IPv4-Portfreigabe niemals an, egal wie korrekt sie eingetragen ist.
• Wann sie noch sinnvoll ist: Wenn wirklich fremde Geräte den Dienst erreichen sollen – öffentliche Webseite, Spiele-Server, Gäste-Zugang.
• Wann nicht mehr: Für den eigenen Fernzugriff. Tailscale, ein Cloudflare Tunnel oder Raspberry Pi Connect kommen ganz ohne offene Ports aus.
• Die Sicherheitsregel: Immer nur einen einzelnen Port freigeben, niemals den Exposed Host aktivieren – und den Dienst dahinter aktuell halten.

Was eine Portfreigabe in der FritzBox wirklich macht

Eine FritzBox-Portfreigabe ist im Kern eine Wegbeschreibung. Alle Geräte im Heimnetz teilen sich nach außen eine einzige öffentliche Adresse; der Router merkt sich, welche Antwort zu welcher Anfrage gehört, und sortiert den Verkehr entsprechend zu. Das funktioniert einwandfrei, solange die Verbindung von innen aufgebaut wird. Klopft dagegen jemand von außen an, fehlt dem Router die Zuordnung – und er verwirft das Paket.

Genau diese Lücke schließt die Freigabe: Sie sagt der FritzBox, dass alles, was an Port 51820 ankommt, ohne Rückfrage an den Raspberry Pi im Heimnetz gehen soll. Aus Sicht des Routers ist das eine dauerhafte Ausnahme von der Grundregel „von außen kommt nichts herein". Deshalb ist jede Freigabe eine bewusste Entscheidung und keine Formalität.

Damit die Ausnahme greift, müssen drei Dinge gleichzeitig stimmen. Erstens braucht der Anschluss eine öffentliche IPv4-Adresse – bei DS-Lite ist das nicht der Fall. Zweitens muss das Zielgerät immer dieselbe Adresse im Heimnetz haben, sonst zeigt die Wegbeschreibung nach dem nächsten Neustart ins Leere. Drittens muss auf dem Pi tatsächlich ein Dienst auf diesem Port lauschen; ss -tlnp zeigt in einer Zeile, ob das der Fall ist.

Wichtig ist die Einordnung: Eine Freigabe macht einen Dienst nicht sicherer und nicht unsicherer, sie macht ihn sichtbar. Ein aktueller WireGuard-Server hinter einer Freigabe ist unproblematisch, weil er auf falsche Pakete überhaupt nicht antwortet. Eine alte Weboberfläche mit Standardpasswort ist dagegen binnen Stunden gefunden – automatisierte Scanner klappern öffentliche Adressen rund um die Uhr ab.

FritzBox-Portfreigabe einrichten – Schritt für Schritt

1. Anschlusstyp prüfen – der entscheidende erste Schritt: In der FritzBox-Oberfläche unter Internet → Online-Monitor nachsehen, welche Adressen der Anschluss bekommt. Taucht dort ein Hinweis auf DS-Lite auf oder gibt es ausschließlich eine IPv6-Adresse, sind IPv4-Freigaben ohne Wirkung. Das betrifft viele Kabel- und Glasfaseranschlüsse.
2. Feste Adresse für den Pi: Unter Heimnetz → Netzwerk das Gerät öffnen und die Option setzen, dass ihm immer die gleiche IPv4-Adresse zugewiesen wird. Wer lieber auf dem Pi selbst arbeitet, vergibt dort eine statische IP außerhalb des DHCP-Bereichs.
3. Dienst prüfen: Auf dem Pi mit ss -tlnp kontrollieren, dass der Dienst läuft und auf allen Schnittstellen lauscht. Ein Dienst, der nur an 127.0.0.1 gebunden ist, bleibt trotz Freigabe unerreichbar.
4. Freigabe anlegen: Internet → Freigaben → Portfreigaben → Gerät für Freigaben hinzufügen → den Pi auswählen → neue Freigabe erstellen. Protokoll und Port eintragen, etwa UDP 51820 für WireGuard, und eine sprechende Bezeichnung vergeben.
5. Nur öffnen, was nötig ist: Einen einzelnen Port, ein Protokoll, ein Gerät. Die Option, ein Gerät komplett dem Internet auszusetzen (Exposed Host), bleibt aus – sie leitet sämtliche Ports weiter und macht jeden Konfigurationsfehler zum Einfallstor.
6. Erreichbare Adresse einrichten: Da sich die öffentliche IP-Adresse regelmäßig ändert, braucht es einen Namen, der mitwandert. Entweder MyFRITZ! von AVM oder ein kostenloser DynDNS-Dienst – die Hintergründe erklärt der Beitrag Was ist DynDNS.
7. Von außen testen: Mit dem Smartphone im Mobilfunknetz prüfen, mit ausgeschaltetem WLAN. Ein Test aus dem eigenen Heimnetz heraus sieht fast immer erfolgreich aus und beweist gar nichts.
8. Absichern: Danach den Pi härten: automatische Sicherheitsupdates, Anmeldung per Schlüssel statt Passwort, unnötige Dienste abschalten und regelmäßig ins Protokoll schauen.

Portfreigabe, VPN oder Tunnel – der Vergleich

Für den privaten Fernzugriff gibt es seit einigen Jahren Wege, die ohne jede Freigabe auskommen. Sie bauen die Verbindung von innen nach außen auf – und genau das lässt jeder Router und jede Firewall ohnehin zu.

Die FritzBox selbst bringt inzwischen einen WireGuard-Server mit, der sich in wenigen Minuten einrichten lässt und per QR-Code auf dem Handy landet. Wer nur ab und zu ins eigene Netz möchte, ist damit oft schon fertig. Wer dagegen einzelne Dienste gezielt teilen will – etwa die eigene Cloud für die Familie – fährt mit einem Tunnel besser, weil dabei kein einziger Port am Anschluss offensteht.

DS-Lite, CGNAT und die IPv6-Frage

Der mit Abstand häufigste Grund für eine Freigabe, die einfach nicht funktioniert, hat nichts mit der Konfiguration zu tun. Viele Anschlüsse bekommen heute keine eigene öffentliche IPv4-Adresse mehr, sondern teilen sich eine mit vielen anderen Haushalten. IPv6 wird dabei ganz normal durchgereicht, IPv4 dagegen nur getunnelt – dieses Verfahren heißt DS-Lite. Eingehende IPv4-Verbindungen enden dann schon beim Anbieter und erreichen die FritzBox nie.

Erkennbar ist das an zwei Stellen: In der Übersicht der FritzBox steht ein entsprechender Hinweis zum Anschlusstyp, und die öffentliche Adresse, die verschiedene Dienste im Netz anzeigen, stimmt nicht mit der überein, die der Router meldet. Wer sicher gehen will, ruft den Online-Monitor auf und vergleicht beide Werte.

Es gibt drei Auswege. Der erste: beim Anbieter einen echten Dual-Stack-Anschluss anfragen – manche schalten ihn auf Wunsch frei, teils gegen Aufpreis. Der zweite: den Dienst über IPv6 erreichbar machen. Das klappt zuverlässig, hat aber einen Haken, denn der Gegenüber braucht ebenfalls IPv6, und im Mobilfunk oder im Firmennetz ist das nicht garantiert. Der dritte und in den meisten Fällen beste Weg: eine Lösung, die von innen heraus verbindet und die Frage nach der öffentlichen Adresse gar nicht erst stellt.

Nebenbei löst dieser dritte Weg noch ein zweites Problem. Ein Dienst, der nicht öffentlich sichtbar ist, taucht in keinem Scan auf und wird nicht Ziel automatisierter Angriffe. Für alles, was ohnehin nur die eigene Familie nutzt – Dateizugriff, Fotos, Smart-Home-Oberfläche – ist das schlicht die vernünftigere Voreinstellung.

Fehler und Stolpersteine bei Freigaben

• Im eigenen WLAN getestet: Viele Router leiten Anfragen an die eigene öffentliche Adresse aus dem Heimnetz heraus nicht zurück. Der Test gehört zwingend ins Mobilfunknetz.
• Adresse des Pi hat sich geändert: Ohne feste Zuweisung zeigt die Freigabe nach einem Neustart auf ein anderes Gerät oder ins Nichts.
• Dienst lauscht nur lokal: Ist ein Server an 127.0.0.1 gebunden, hilft keine Freigabe. Die Bindeadresse steht in der Konfiguration des jeweiligen Dienstes.
• Exposed Host als Abkürzung: Er beendet zwar jede Fehlersuche, öffnet aber sämtliche Ports des Geräts. Das ist fast nie die richtige Antwort.
• UPnP dauerhaft aktiv: Selbstständige Freigaben durch Programme sind für Konsolen praktisch, im Serverbetrieb aber unübersichtlich – niemand weiß mehr, was gerade offen ist.
• Standardports ohne Absicherung: Wer den Fernzugriff auf den bekannten Standardports betreibt, sollte mindestens Schlüsselanmeldung und Anmeldeversuchs-Sperren einrichten. Ein anderer Port allein ist keine Sicherheitsmaßnahme, sondern nur weniger Lärm im Protokoll.
• Freigaben vergessen: Alte Einträge für Dienste, die es längst nicht mehr gibt, bleiben jahrelang bestehen. Einmal im Jahr die Liste durchsehen und aufräumen.

Häufige Fragen zur FritzBox-Portfreigabe

Meine Portfreigabe funktioniert nicht – was prüfe ich zuerst?
In dieser Reihenfolge: Liegt DS-Lite vor? Hat der Pi noch dieselbe Adresse? Lauscht der Dienst überhaupt auf dem Port? Und wurde wirklich von außen getestet? Damit erledigen sich fast alle Fälle.

Ist eine Portfreigabe gefährlich?
Sie ist genau so sicher wie der Dienst dahinter. Ein gepflegter VPN-Server ist unkritisch, eine veraltete Weboberfläche mit Standardpasswort ist eine offene Einladung. Deshalb: so wenig wie möglich freigeben und das Freigegebene aktuell halten.

Was ist der Unterschied zwischen MyFRITZ! und einer Portfreigabe?
MyFRITZ! ist AVMs Namensdienst und sorgt dafür, dass der Anschluss unter einer festen Adresse erreichbar bleibt. Die Freigabe entscheidet davon unabhängig, welcher Port zu welchem Gerät geleitet wird. Beides ergänzt sich.

Brauche ich eine Freigabe für den WireGuard-Server der FritzBox?
Nein, die FritzBox richtet den nötigen Zugang selbst ein. Erst wenn der VPN-Server auf dem Raspberry Pi statt im Router läuft, wird eine Freigabe für dessen Port fällig.

Sollte ich UPnP eingeschaltet lassen?
Für Spielekonsolen ist es bequem, für einen Server-Haushalt eher hinderlich. Wer die Kontrolle behalten will, trägt Freigaben von Hand ein und schaltet die selbstständige Freigabe für die betroffenen Geräte ab.

Funktionieren Freigaben auch über IPv6?
Ja, dafür gibt es einen eigenen Bereich in der Oberfläche. Der Haken bleibt: Der Zugreifende braucht ebenfalls IPv6. Als alleiniger Weg für einen öffentlichen Dienst ist das derzeit noch riskant.

Kann ich einen anderen externen Port als internen verwenden?
Ja, die FritzBox erlaubt es, den von außen angesprochenen Port frei zu wählen und intern auf einen anderen zu leiten. Praktisch, wenn mehrere Webserver im Heimnetz laufen, die intern denselben Port benutzen.

Fazit

Die FritzBox-Portfreigabe ist in zwei Minuten angelegt – die Arbeit steckt im Drumherum: Anschlusstyp klären, feste Adresse vergeben, genau einen Port öffnen, von außen testen, Dienst härten. Unsere klare Empfehlung fällt trotzdem eindeutig aus: Für den eigenen Fernzugriff sollte 2026 keine Portfreigabe mehr die erste Wahl sein. Ein Mesh-VPN wie Tailscale, der WireGuard-Server der FritzBox oder ein Tunnel erledigen dieselbe Aufgabe, ohne den Anschluss sichtbar zu machen – und sie funktionieren auch dort, wo DS-Lite jede klassische Freigabe von vornherein ins Leere laufen lässt. Die Portfreigabe hebt man sich für den einen Fall auf, für den sie gedacht ist: einen Dienst, den wirklich fremde Menschen erreichen sollen.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)