Was ist CGNAT? Gemeinsame IP und Portfreigaben

Gemeinsame Adressen beim Anbieter

IPv4 bietet etwa 4,3 Milliarden Adressen, deutlich weniger als es vernetzte Geräte gibt. Viele Mobilfunk- und Breitbandanbieter nutzen deshalb Carrier-Grade NAT (CGNAT). Der Router erhält eine Adresse aus dem gemeinsamen Bereich des Anbieters. Dieser setzt viele Kundenadressen auf einen kleineren Pool öffentlicher Adressen um.

Die angezeigte öffentliche IPv4 kann von vielen Anschlüssen geteilt werden. Mobilnetze nutzen häufig geteiltes IPv4 oder Übersetzung; die Umsetzung hängt von Betreiber, Tarif und Adressfamilie ab. Ein Lookup bestimmt nicht die Zahl der Mitnutzer.

Die Unterscheidung erfolgt über Portnummern. Der Anbieter weist den Verbindungen eines Kunden Ports der gemeinsamen Adresse zu und protokolliert, wer wann welche Adresse und welchen Port genutzt hat.

CGNAT erkennen

Die aktive WAN- oder Internetadresse auf der Router-Statusseite mit der von IPNixa angezeigten öffentlichen IPv4 vergleichen. Beide möglichst gleichzeitig und gegebenenfalls ohne VPN erneut prüfen. Unterschiede können durch vorgeschaltetes NAT, eine andere WAN-Schnittstelle, ein VPN oder einen Adresswechsel entstehen. Die Ursache lässt sich daraus allein nicht bestimmen.

Beobachtete Organisation und Standort beschreiben das öffentliche Ausgangsnetz, das ein großes Gebiet versorgen oder hinter einem anderen Betreiber liegen kann. Stadt, Land oder Name allein bestimmen CGNAT nicht. Nutze WAN-Vergleich und Anbieterbestätigung gemeinsam.

Schritt für Schritt: CGNAT prüfen

Die Prüfung dauert etwa fünf Minuten und benötigt Zugriff auf die Routerverwaltung.

1. Die Gaming-Seite von IPNixa öffnen. Sie zeigt die öffentliche IPv4 und bietet eine CGNAT-Prüfung.
2. Am Router anmelden, häufig unter http://192.168.0.1 oder http://192.168.1.1, und die Status-, Internet- oder WAN-Seite öffnen.
3. Die WAN-IPv4 in die CGNAT-Prüfung kopieren und „Vergleichen“ wählen. IPNixa erklärt das Ergebnis. Die eingegebene Adresse bleibt auf der Seite. Auch ein manueller Vergleich ist möglich:
4. Liegt sie zwischen 100.64.0.0 und 100.127.255.255, gehört sie zum gemeinsamen Adressbereich, der häufig für CGNAT genutzt wird. Beim Anbieter bestätigen lassen, ob der Anschluss CGNAT nutzt.
5. Bei einer privaten Adresse (10.x, 172.16–31.x oder 192.168.x) kommen ein vorgeschalteter Heimrouter, ein Gebäudenetz oder Anbieter-NAT infrage. Sofern möglich, ein vorgeschaltetes Gerät prüfen und den Aufbau klären, bevor Bridge-Modus oder Portfreigaben geändert werden.
6. Bei einer Adresse in 169.254.0.0/16 prüfen, ob die aktive WAN-Schnittstelle eine nutzbare Adresse erhalten hat. Eine Link-Local-Adresse belegt weder CGNAT noch doppeltes NAT.
7. Stimmt sie genau mit der öffentlichen IPv4 überein, passt das zu einem Anschluss mit öffentlicher IPv4. Die Port-Erreichbarkeit wird dadurch nicht getestet, Anbieterfilter werden nicht ausgeschlossen.
8. Optional unter Windows tracert 1.1.1.1 oder unter macOS/Linux traceroute 1.1.1.1 ausführen. Adressen der ersten Stationen liefern Kontext, belegen allein aber weder NAT noch dessen Position.

Auswirkungen im Alltag

Eingehende Verbindungen erreichen das Heimnetz nicht direkt. Portfreigaben für Spielserver, Kameras oder Remotedesktop funktionieren daher nicht. Peer-to-Peer-Anwendungen können auf Relays ausweichen und langsamer werden.

Weil eine Adresse geteilt wird, können Aktivitäten anderer Kunden Auswirkungen haben. Websites zeigen nach Missbrauch durch andere möglicherweise mehr Sicherheitsabfragen oder sperren die Adresse. IP-basierte Anfragelimits, auch bei IPNixa, sind deshalb großzügig ausgelegt.

Surfen, Streaming, Videoanrufe und die meisten Onlinespiele funktionieren hinter CGNAT normal, weil sie Verbindungen von innen aufbauen.

Eigener Spielserver hinter CGNAT

Für einen Spielserver mit eingehendem IPv4-Verkehr brauchen Freunde eine erreichbare öffentliche Adresse und den richtigen Port. Eine Portfreigabe im Heimrouter konfiguriert das CGNAT-Gateway des Anbieters nicht. Beim Anbieter nach einer öffentlichen IPv4-Adresse oder unterstützten Portzuordnung fragen. Alternativen sind ein geeigneter ausgehender Tunnel, ein gehosteter Server oder IPv6, sofern Spiel und beide Netze es unterstützen.

Die Gaming-Seite von IPNixa erstellt eine Serveradresse wie 203.0.113.25:25565 für Minecraft: Java Edition. Die separate TCP-Portprüfung testet die eigene öffentliche IP von einem Cloudflare-Server aus. Der WAN-Vergleich liefert Hinweise auf CGNAT. Keine der beiden Prüfungen bestätigt die UDP-Erreichbarkeit oder lokalisiert eine vorgeschaltete NAT-Ebene.

Mögliche Lösungen

IPv6 kann IPv4-CGNAT vermeiden, wenn beide Seiten IPv6 unterstützen, umgeht aber weder Firewall noch Anbieterfilter. Öffentliches IPv4 kann dynamisch oder statisch sein; frage vor einem Kauf gezielt nach eingehendem Verkehr und dem benötigten Port.

Für Fernzugriff funktionieren VPN- oder Tunneldienste, die eine ausgehende Verbindung aus dem Heimnetz aufbauen, auch hinter CGNAT. Vor einem Geräteaustausch die unterstützten Möglichkeiten beim Anbieter erfragen.

• Beim Anbieter eine öffentliche IPv4-Adresse anfragen, teils auch „echte“ oder dedizierte IPv4 genannt.
• IPv6 im Router aktivieren und für Fernzugriff nutzen, sofern die Gegenseite IPv6 unterstützt.
• Ein Mesh-VPN oder einen Tunneldienst mit ausgehender Verbindung aus dem Heimnetz verwenden.
• Bei Spielkonsolen UPnP nur dann aktivieren, wenn der Anbieter eine öffentliche Adresse bereitstellt. UPnP kann keine Ports durch CGNAT öffnen.

Nachgestelltes Beispiel: gemeinsame WAN-Adresse

Am 27. Oktober 2026 führten wir die IPNixa-WAN-Vergleichslogik lokal mit Beispielwerten aus: Router-WAN 100.72.14.22 und öffentliche IPv4 198.51.100.24. Die zweite Adresse ist für Dokumentation reserviert. Die Werte sind simuliert; kein Router oder Anbieter wurde untersucht.

Das Ergebnis lautete „Gemeinsam genutzter Adressbereich festgestellt“: 100.72.14.22 liegt im für CGNAT häufig genutzten Bereich 100.64.0.0/10. Als Kontrollwert führte 192.168.1.2 zu einer privaten WAN-Adresse, die auch auf einen vorgeschalteten Heimrouter oder ein Gebäudenetz hinweisen kann.

Prüfe bei einer echten Verbindung die aktive Internet-WAN-Schnittstelle und vergleiche sie mit einer aktuellen öffentlichen IPv4, gegebenenfalls ohne VPN. Frage den Anbieter nach CGNAT oder anderem vorgeschaltetem NAT und eingehendem Zugriff. Die Beispielwerte beweisen weder die Netzstruktur des Anbieters noch einen offenen Port.