Was ist DynDNS?

Passende Hardware im Überblick

Boards – der Heimserver hinter dem DynDNS-Namen:
Raspberry Pi 5 mit 8GB RAM – die Empfehlung (Link)*
Raspberry Pi 5 mit 16GB RAM für viele Dienste gleichzeitig (Link)*
Raspberry Pi 5 mit 4GB RAM – reicht für einen Update-Client locker (Link)*
Raspberry Pi 4 Starter-Set – wenn es günstig sein soll (Link)*
Raspberry Pi Zero 2 W – der Stromsparer nur für den DynDNS-Dienst (Link)*

Speicher – ein Server läuft nicht gut auf einer Karte:
Geekworm X1001 M.2-HAT für den Pi 5 (Link)*
Intenso M.2 NVMe SSD 500GB – der Preis-Leistungs-Tipp (Link)*
Crucial P310 NVMe SSD 500GB (Link)*
SanDisk Extreme Portable SSD 1TB per USB (Link)*
SanDisk Extreme A2 128GB – wenn es doch die Karte sein muss (Link)*

Dauerbetrieb – der Server muss erreichbar bleiben:
Offizielles 27-W-Netzteil für den Pi 5 (Link)*
Offizielles Netzteil für den Pi 4 (Link)*
Geekworm X1200 USV – überbrückt kurze Stromausfälle (Link)*
Waveshare PoE-HAT für den Pi 5 (Link)*

Mobil statt Festnetz – die Notlösung bei DS-Lite:
ZTE MF79N LTE-Stick (Link)*
Huawei E3372 LTE-Stick (Link)*

Kurz gesagt: Was ist DynDNS und wozu braucht man es?

Die Kurzfassung:

• Das Problem: Die öffentliche IP-Adresse eines Privatanschlusses ist nicht fest. Sie ändert sich bei jeder Neuverbindung – niemand kann sich eine Zahlenfolge merken, die morgen anders lautet.
• Die Lösung: DynDNS (Dynamic DNS) hängt einen festen Namen wie meinserver.duckdns.org an den Anschluss. Ein kleiner Update-Client meldet dem Dienst jede neue IP-Adresse, der Name bleibt gleich.
• Einrichtung: In der FRITZ!Box unter Internet > Freigaben > DynDNS in zwei Minuten erledigt. Andere Router haben denselben Punkt an anderer Stelle.
• Kosten: Für den Hausgebrauch reicht ein kostenloser Dienst. MyFRITZ!, DuckDNS und deSEC kosten nichts, No-IP verlangt eine monatliche Bestätigung.
• Der große Haken: An Kabel- und vielen Glasfaseranschlüssen läuft DS-Lite. Dort gibt es keine eigene IPv4-Adresse, und DynDNS allein bringt dich nicht nach Hause.
• Sicherheit: Ein DynDNS-Name macht deinen Anschluss auffindbar. Offene Ports gehören abgesichert oder besser durch WireGuard ersetzt.

Was DynDNS ist und warum die IP zu Hause wechselt

DynDNS steht für „dynamisches DNS" und löst ein Problem, das ausschließlich Privatanschlüsse betrifft: Der Internetanbieter vergibt die öffentliche IP-Adresse nicht dauerhaft, sondern aus einem Pool. Wer von außen auf den NAS oder die eigene Nextcloud zugreifen will, braucht aber eine Adresse, die morgen noch stimmt.

Zwei Mechanismen sorgen für den Wechsel. Der erste ist die Zwangstrennung: Viele Anbieter kappen die Verbindung nach spätestens 24 Stunden für wenige Sekunden, der Anschluss meldet sich neu an und bekommt dabei in aller Regel eine andere Adresse. Der zweite ist die dynamische Vergabe – nach jedem Stromausfall, jedem Router-Neustart und jedem Firmware-Update ist die alte Adresse weg.

Ein DynDNS-Dienst ist im Kern ein DNS-Server, dessen Einträge sich im Minutentakt ändern dürfen. Du bekommst dort einen Namen, etwa heimserver.duckdns.org. Ein Update-Client – meistens der Router selbst – ruft nach jeder Neuverbindung eine kleine Update-URL auf und teilt dem Dienst die frische Adresse mit. Ab diesem Moment führt der Name wieder ans richtige Ziel.

Wichtig ist die Abgrenzung zur statischen IP im Heimnetz: Die feste 192.168.x.x deines Servers ist eine reine Innenadresse. DynDNS kümmert sich um die Außenseite des Routers, die statische Adresse um die Innenseite. Für einen erreichbaren Server braucht man beides – plus eine Portfreigabe zum richtigen Gerät.

DynDNS in der FRITZ!Box einrichten – Schritt für Schritt

Die FRITZ!Box bringt zwei Wege mit: den eingebauten Dienst MyFRITZ! und ein freies Feld für jeden beliebigen Anbieter. Der zweite ist flexibler, weil der Name auch nach einem Routerwechsel weiterlebt.

1. Konto anlegen: Bei DuckDNS, deSEC oder No-IP registrieren, einen Namen reservieren und den Token notieren.
2. Oberfläche öffnen: Im Browser http://fritz.box aufrufen. Oben rechts muss die Erweiterte Ansicht aktiv sein, sonst fehlt der Menüpunkt.
3. Zum Menüpunkt navigieren: Internet > Freigaben > DynDNS und den Haken bei DynDNS benutzen setzen.
4. Anbieter wählen: Steht der Dienst in der Liste, genügen Domainname, Benutzername und Kennwort. Fehlt er, auf Benutzerdefiniert umschalten und die Update-URL des Anbieters eintragen – dort dürfen die Platzhalter <ipaddr>, <ip6addr>, <username> und <pass> stehen, die die FRITZ!Box beim Aufruf ersetzt.
5. Übernehmen und prüfen: Nach dem Speichern zeigt dieselbe Seite den Status. Ein Fehler dort deutet fast immer auf einen Tippfehler im Token hin.
6. Portfreigabe einrichten: Unter Internet > Freigaben > Portfreigaben das Zielgerät auswählen und nur die benötigten Ports öffnen – Details in der Anleitung zur Portfreigabe.
7. Von außen testen: Der Test muss aus einem fremden Netz kommen, Mobilfunk mit deaktiviertem WLAN genügt. Aus dem Heimnetz heraus scheitert der Aufruf oft am fehlenden NAT-Loopback, obwohl alles korrekt eingerichtet ist.

Bei anderen Routern heißt der Punkt ähnlich: Speedport führt ihn unter Internet > Dynamisches DNS, Kabelrouter meist unter Erweitert > DDNS, OpenWrt unter Services > Dynamic DNS. Fehlt die Funktion, übernimmt sie ein Update-Client auf dem Raspberry Pi.

Kostenlose und kostenpflichtige DynDNS-Anbieter im Vergleich

Die Auswahl ist groß, die Unterschiede liegen im Detail. Diese fünf Wege decken praktisch jeden Bedarf ab:

Für den reinen Fernzugriff reicht ein kostenloser DynDNS-Dienst vollkommen aus. Sobald mehrere Dienste über eigene Subdomains erreichbar sein sollen oder ein Zertifikat von Let's Encrypt ins Spiel kommt, lohnt die eigene Domain – sie lässt sich außerdem jederzeit zu einem anderen Anbieter mitnehmen.

Update-Client auf dem Raspberry Pi einrichten

Manche Router können kein DynDNS, andere kennen nur einen einzigen Anbieter. Dann übernimmt der Pi die Aufgabe – sie besteht im Kern aus einem HTTP-Aufruf im Minutentakt. Bei DuckDNS genügt ein Skript unter ~/duckdns/duck.sh:

#!/bin/bash
curl -k -o ~/duckdns/duck.log -K -
  "url=https://www.duckdns.org/update?domains=DEINNAME&token=DEINTOKEN&ip="

1. Ausführbar machen: chmod 700 ~/duckdns/duck.sh
2. Einmal testen: ~/duckdns/duck.sh aufrufen und danach cat ~/duckdns/duck.log prüfen – dort muss OK stehen.
3. Automatisch wiederholen: Mit crontab -e die Zeile */5 * * * * ~/duckdns/duck.sh >/dev/null 2>&1 ergänzen. Details dazu stehen in der Anleitung zum Cronjob.
4. Alternative für alle Dienste: sudo apt install ddclient installiert einen Client, der Dutzende Anbieter kennt und als Systemdienst dauerhaft im Hintergrund läuft.
5. Erreichbarkeit sichern: Der Pi muss den Dienst auch nach einem Neustart wieder starten – bei ddclient erledigt das systemctl enable ddclient.

Der Vorteil: Meldet der Pi die Adresse, funktioniert das auch nach einem Routerwechsel weiter. Der Nachteil: Steht der Pi still, veraltet der Eintrag – ein Router meldet sich dagegen unmittelbar nach der Neuverbindung.

Das DS-Lite-Problem: Wenn DynDNS allein nicht reicht

Hier scheitern die meisten Versuche, und zwar unabhängig davon, wie sorgfältig DynDNS eingerichtet wurde. Der Grund heißt DS-Lite und betrifft nahezu alle Kabelanschlüsse sowie einen wachsenden Teil der Glasfaseranschlüsse.

Weil IPv4-Adressen weltweit knapp sind, bekommen solche Anschlüsse gar keine eigene öffentliche IPv4-Adresse mehr. Der Anbieter teilt eine einzige Adresse auf hunderte Kunden auf und übersetzt den Verkehr zentral – Carrier-Grade NAT nennt sich das. Beim Surfen und Streamen merkt niemand einen Unterschied. Für eingehende Verbindungen ist es das Aus: Es gibt keinen IPv4-Port, den man freigeben könnte.

Erkennen lässt sich das in Sekunden. In der FRITZ!Box zeigt Internet > Online-Monitor den Hinweis „DS-Lite" oder eine IPv4-Adresse aus dem Bereich 100.64.x.x bis 100.127.x.x – dieser Bereich ist für Carrier-Grade NAT reserviert. Wer ihn dort sieht, kann sich das Suchen nach Fehlern in der Portfreigabe sparen.

Es gibt vier praktikable Auswege, und einer davon ist fast immer der richtige:

• IPv6-only nutzen: Die IPv6-Adresse ist öffentlich und eindeutig. Ein DynDNS-Dienst mit AAAA-Eintrag – deSEC und DuckDNS können das – macht den Server erreichbar. Der Haken: Nur wer selbst IPv6 hat, kommt an. In vielen Firmen- und Hotelnetzen sowie in manchen Mobilfunknetzen ist das nicht der Fall.
• Portmapper-Dienst: Anbieter wie feste-ip.net oder ipv64.net stellen eine öffentliche IPv4-Adresse bereit und leiten den Verkehr über einen Tunnel an den IPv6-Anschluss weiter. Das kostet wenige Euro im Jahr und löst das Problem vollständig, fügt aber einen Zwischenschritt und etwas Verzögerung hinzu.
• Cloudflare Tunnel: Ein Dienst auf dem Pi baut eine ausgehende Verbindung zu Cloudflare auf, über die der Zugriff hereinkommt. Keine Portfreigabe, kein DynDNS, funktioniert hinter jedem NAT. Der Cloudflare Tunnel ist für Webdienste die eleganteste Lösung, setzt aber eine eigene Domain voraus.
• Tailscale oder WireGuard-Mesh: Tailscale verbindet alle deine Geräte zu einem privaten Netz und kommt dank Relay-Servern auch durch Carrier-Grade NAT. Für den persönlichen Fernzugriff ist das die sicherste Variante, weil nichts öffentlich erreichbar wird.

Ein fünfter Weg führt über den Anbieter selbst: Die Bitte um einen Dual-Stack-Anschluss ist erstaunlich oft erfolgreich – manche schalten das kostenlos frei, andere nur im Geschäftstarif. Bleibt als Notlösung der Umweg über LTE, wobei auch Mobilfunknetze meist mit Carrier-Grade NAT arbeiten.

Ports öffnen: Was vorher abgesichert sein muss

Ein DynDNS-Name ist öffentlich. Berichte aus der Community zeigen: An frisch geöffneten Ports klopfen automatische Scanner oft schon nach wenigen Minuten an, lange bevor irgendjemand den Namen kennt. Wer Ports öffnet, sollte deshalb diese Punkte abgearbeitet haben:

• Kein SSH nach draußen: Port 22 gehört nicht ins Internet. Wenn doch, dann nur mit Schlüsselanmeldung, deaktiviertem Passwort-Login und fail2ban – siehe Raspberry Pi absichern.
• Nur einzelne Ports: Eine Exposed-Host-Freigabe stellt das ganze Gerät ins Netz – praktisch zum Testen, fahrlässig im Dauerbetrieb.
• Verschlüsselung erzwingen: Was von außen erreichbar ist, gehört hinter HTTPS. Ein Reverse Proxy mit Let's-Encrypt-Zertifikat erledigt das mit wenigen Zeilen.
• Updates automatisieren: Ein öffentlicher Dienst mit veralteter Software ist nur eine Frage der Zeit. Unattended Upgrades sind hier Pflicht.
• VPN statt Freigabe: Meist braucht nur eine Handvoll eigener Geräte Zugriff. Dann genügt ein einziger offener Port, und dahinter steht nichts als eine Schlüsselprüfung.

Fehler und Stolpersteine bei DynDNS

• Aus dem Heimnetz getestet: Der eigene Name funktioniert von innen häufig nicht, weil der Router den Umweg über die eigene Außenadresse nicht mitmacht. Der Test gehört ins Mobilfunknetz.
• Zwei Update-Clients gleichzeitig: Melden Router und Pi denselben Namen, überschreiben sie sich gegenseitig – vor allem bei Diensten, die IPv4 und IPv6 getrennt verwalten.
• Keine feste Innenadresse: Wechselt die interne IP-Adresse des Pi, zeigt die Portfreigabe ins Leere. Adresse im Router fest zuweisen.
• No-IP-Namen laufen ab: Die Gratis-Variante verlangt alle 30 Tage eine Bestätigung per Mail. Wer sie übersieht, verliert den Namen kommentarlos.
• DNS-Caching unterschätzt: Nach einem Wechsel dauert es Minuten, bis der neue Eintrag überall ankommt. Eine niedrige TTL verkürzt das Fenster.
• Die Freigabe gilt nur für IPv4: In der FRITZ!Box brauchen IPv6-Freigaben einen eigenen Haken. Ohne ihn bleibt der Server trotz AAAA-Eintrag stumm.
• Router-Oberfläche im Netz: Sie gehört niemals ins offene Internet. Wer sie von unterwegs braucht, nutzt ein VPN oder Raspberry Pi Connect auf dem Pi.

Häufige Fragen zu DynDNS

Was kostet DynDNS?
Für den Hausgebrauch nichts. DuckDNS, deSEC und MyFRITZ! sind dauerhaft kostenlos. Erst mit eigener Domain fallen ein bis zwei Euro im Monat an.

Wie oft wechselt meine IP-Adresse wirklich?
Bei DSL meist einmal täglich durch die Zwangstrennung, zusätzlich nach jedem Router-Neustart. Am Kabelanschluss bleibt sie oft wochenlang gleich – verlassen sollte man sich darauf nicht.

Woran erkenne ich, dass ich DS-Lite habe?
Im Online-Monitor der FRITZ!Box steht der Begriff direkt, oder die IPv4-Adresse beginnt mit 100.64 bis 100.127. Beides bedeutet: Portfreigaben bleiben wirkungslos.

Brauche ich DynDNS, wenn ich Tailscale nutze?
Nein. Mesh-VPNs bauen die Verbindung selbst auf und brauchen weder festen Namen noch Portfreigabe. Für den privaten Fernzugriff ist das der einfachere Weg.

Ist DynDNS unsicher?
Der Dienst selbst nicht – er übersetzt nur einen Namen in eine Adresse. Unsicher wird das, was dahinter geöffnet wird. Ein Name ohne offene Ports ist harmlos.

Funktioniert DynDNS auch mit IPv6?
Ja, über einen AAAA-Eintrag. Der Update-Client muss die IPv6-Adresse melden können, und der Router braucht eine eigene IPv6-Freigabe für das Zielgerät.

Kann ich mehrere Dienste über einen Namen erreichen?
Ja, über verschiedene Ports oder eleganter über einen Reverse Proxy, der nach Subdomain verteilt. Letzteres setzt eine eigene Domain voraus.

Fazit

DynDNS ist keine Technik, über die man lange nachdenken muss: Ein kostenloser Dienst, fünf Minuten in der Router-Oberfläche, fertig. Unsere klare Empfehlung lautet trotzdem, vor der Einrichtung zwei Minuten in die Diagnose zu stecken – prüfe zuerst, ob dein Anschluss überhaupt eine eigene IPv4-Adresse hat. An einem DS-Lite-Anschluss ist jede Stunde Fehlersuche in der Portfreigabe verschwendet, dort führen nur IPv6, ein Portmapper, ein Cloudflare Tunnel oder ein Mesh-VPN zum Ziel. Und die zweite Empfehlung ist ebenso eindeutig: Wenn nur deine eigenen Geräte Zugriff brauchen, nimm ein VPN statt einer Portfreigabe. DynDNS bleibt dann für den einen Fall reserviert, in dem ein Dienst wirklich für alle erreichbar sein muss – und genau dafür ist es gemacht.

* = Affiliate Link (raspi-config.de ist Teilnehmer des Partnerprogramms von Amazon EU, das zur Bereitstellung eines Mediums für Websites konzipiert wurde, mittels dessen durch die Platzierung von Werbeanzeigen und Links zu Amazon.de Werbekostenerstattung verdient werden kann.)