Doppel-NAT beheben: Router hinter Router richtig einrichten

Wenn Portfreigaben ins Leere laufen, Online-Spiele einen „strengen“ oder „Type 3″-NAT-Status melden und deine Kamera oder das NAS von unterwegs nicht erreichbar ist, steckt oft dieselbe Ursache dahinter: Doppel-NAT. Zwei Geräte in Reihe – meist der Router des Providers plus dein eigener Router – übersetzen beide die Netzwerkadressen (NAT, Network Address Translation). Erkennen kannst du das daran, dass die WAN- bzw. Internet-Adresse deines eigenen Routers bereits in einem privaten Bereich wie 192.168.x.x, 10.x.x.x oder 172.16–31.x.x liegt. Beheben lässt es sich, indem nur noch ein Gerät routet – über Bridge-Modus am Provider-Gerät oder IP-Client-Modus an deinem Router.

Woran du Doppel-NAT sicher erkennst

Bevor du irgendetwas umstellst, lohnt sich eine saubere Diagnose. Der zuverlässigste Test dauert zwei Minuten:

1. WAN-/Internet-Adresse deines Routers auslesen. In der Router-Oberfläche findest du unter den Verbindungs- oder Internet-Informationen die Adresse, die dein Router „nach außen“ bekommen hat. Bei einer FRITZ!Box steht sie unter Internet › Online-Monitor bzw. in den Verbindungsdetails.
2. Prüfen, ob diese Adresse privat ist. Fällt sie in 192.168.x.x, 10.x.x.x oder 172.16–31.x.x, hängt vor deinem Router noch ein weiteres NAT-Gerät. Bei einer öffentlichen Adresse (alles außerhalb dieser Bereiche) liegt in der Regel kein klassisches Doppel-NAT vor.
3. Mit der echten öffentlichen IP vergleichen. Rufe einen „Wie ist meine IP“-Dienst im Browser auf. Weicht die dort angezeigte Adresse von der WAN-Adresse deines Routers ab, sitzt dazwischen ein weiteres Gerät, das übersetzt.

Typische Symptome, die zu diesem Befund passen: Portfreigaben zeigen trotz korrekter Konfiguration keine Wirkung, UPnP funktioniert nicht, VPN-Einwahl von außen scheitert, und Dienste wie IP-Kamera, NAS oder Smart-Home-Zentrale sind aus dem Internet nicht erreichbar. Innerhalb des Heimnetzes läuft dagegen meist alles normal – deshalb fällt das Problem oft erst spät auf.

Doppel-NAT beheben – Schritt für Schritt

Die Grundidee ist immer dieselbe: Von den zwei hintereinander geschalteten Geräten soll nur noch eines routen und NAT machen, das andere reicht durch. Es gibt zwei saubere Wege.

Vorher sichern: Notiere dir bestehende Portfreigaben, WLAN-Namen und – falls vorhanden – die VoIP-/Telefonie-Einstellungen. Ein Wechsel des Betriebsmodus setzt diese oft zurück oder legt die Telefonie am Provider-Gerät still.

1. Kläre, welches Gerät am Anschluss hängt. Direkt an Kabel-, DSL- oder Glasfaser-Anschluss sitzt üblicherweise das Provider-Gerät. Dein eigener Router hängt per LAN-Kabel dahinter.
2. Entscheide, welches Gerät routen soll. Willst du die Funktionen deines eigenen Routers nutzen (Gäste-WLAN, VPN-Server, Kindersicherung, Portfreigaben), soll dein Router routen – dann muss das Provider-Gerät durchreichen. Andernfalls umgekehrt.
3. Variante A – Bridge-Modus am Provider-Gerät. Versetze das Modem bzw. den Provider-Router in den Bridge- oder Modem-Modus. Damit deaktiviert es seine eigene NAT- und Router-Funktion und gibt die öffentliche Adresse direkt an dein Gerät weiter. Bei vielen Kabel- und Glasfaser-Anschlüssen ist diese Einstellung versteckt oder nur nach einem Anruf beim Provider freischaltbar – frage gezielt nach „Bridge-Modus“ oder „Modem-Modus“.
4. Variante B – eigenen Router als IP-Client / Access Point. Alternativ nimmst du deinem eigenen Router die Router-Rolle. Bei einer FRITZ!Box heißt das der IP-Client-Modus: unter Heimnetz › Netzwerk › Netzwerkeinstellungen gibt es die Betriebsart, in der die Box kein eigenes NAT mehr macht, sondern sich wie ein normales Gerät ins vorhandene Netz einklinkt. Die genaue Bezeichnung hängt von der FRITZ!OS-Version ab. Andere Hersteller nennen das „Access-Point-Modus“ oder „AP-Modus“.
5. Verkabelung anpassen. Im Access-Point-/IP-Client-Modus steckst du das Kabel in einen LAN-Port des zweiten Routers – nicht in den WAN-Port. So bleibt das Gerät im selben Netz und routet nichts mehr.
6. Ergebnis prüfen. Lies die WAN-Adresse erneut aus. Zeigt der routende Router jetzt eine öffentliche Adresse an, die mit dem „Wie ist meine IP“-Dienst übereinstimmt, ist das Doppel-NAT weg.

Wenn sich Doppel-NAT nicht beheben lässt: CGNAT und DS-Lite

Manchmal liegt am WAN deines Routers eine private oder ungewöhnliche Adresse an, aber es gibt kein zweites Gerät, das du umstellen könntest – weil das zweite NAT beim Provider steht. Das ist kein klassisches Doppel-NAT im Heimnetz, sondern Carrier-Grade-NAT (CGNAT).

Ein deutliches Indiz: Deine WAN-Adresse liegt im Bereich 100.64.x.x bis 100.127.x.x. Dieser Adressblock ist genau für CGNAT reserviert. Häufig tritt das an DS-Lite-Anschlüssen auf – verbreitet bei Kabel- und manchen Glasfaser-Tarifen. Bei DS-Lite teilst du dir eine öffentliche IPv4-Adresse mit vielen anderen Kunden, und Portfreigaben über IPv4 laufen prinzipbedingt ins Leere. Kein Bridge-Modus deiner eigenen Hardware ändert daran etwas, weil die Übersetzung im Netz des Providers passiert.

Realistische Auswege in diesem Fall:

• Auf IPv6 setzen. An DS-Lite bekommst du in der Regel eine erreichbare IPv6-Adresse. Dienste, die IPv6 sprechen (viele NAS- und Kamera-Systeme), sind darüber von außen erreichbar – ohne Portfreigabe-Bastelei.
• Ausgehende VPN- oder Tunnel-Verbindung. Ein WireGuard-Tunnel, der von deinem Heimnetz nach außen aufgebaut wird, oder ein Reverse-Tunnel über einen kleinen Server im Internet umgeht das Erreichbarkeitsproblem, weil die Verbindung von innen startet.
• Öffentliche IPv4 beim Provider anfragen. Viele Anbieter schalten auf Wunsch – teils kostenpflichtig – einen echten Dual-Stack-Anschluss mit eigener öffentlicher IPv4 frei. Das ist die unkomplizierteste, aber nicht immer verfügbare Lösung.

Warum Doppel-NAT überhaupt Probleme macht

NAT übersetzt zwischen deinen vielen internen Geräten und der einen öffentlichen Adresse nach außen. Damit eine Verbindung von außen hereinkommt – etwa zur Kamera – muss an genau einer Stelle eine Portfreigabe sagen: „Anfragen auf diesem Port gehen an dieses interne Gerät.“ Bei Doppel-NAT gibt es zwei solcher Grenzen hintereinander. Eine Freigabe am inneren Router bringt nichts, solange der äußere die Anfrage gar nicht weiterreicht – und selbst eine doppelt gepflegte Kaskade ist fehleranfällig und schwer zu durchschauen.

Dazu kommt: Vergeben beide Router zufällig dasselbe Subnetz (klassisch 192.168.0.x oder 192.168.1.x), entstehen Routing-Konflikte, weil Geräte nicht mehr eindeutig zuzuordnen sind. Genau deshalb ist die saubere Lösung nicht das mühsame Durchreichen über zwei Ebenen, sondern das Reduzieren auf eine einzige NAT-Grenze. Wer für die Fachinformatiker-Prüfung lernt, findet hier ein gutes Beispiel dafür, warum in einer Kaskade nur ein Gerät routen sollte und was private Adressbereiche nach RFC 1918 in der Praxis bedeuten.

Häufige Fragen

Wie erkenne ich Doppel-NAT am schnellsten?

Lies die WAN-/Internet-Adresse deines Routers aus. Liegt sie in einem privaten Bereich wie 192.168.x.x, 10.x.x.x oder 172.16–31.x.x, hängt vor deinem Router ein weiteres NAT-Gerät – das ist Doppel-NAT.

Ist Doppel-NAT immer ein Problem?

Nein. Fürs normale Surfen und Streamen stört es meist nicht. Probleme entstehen erst bei Portfreigaben, Online-Gaming, VPN-Einwahl von außen oder wenn Kamera, NAS und Smart-Home aus dem Internet erreichbar sein sollen.

Anzeige

Was ist der Unterschied zwischen Doppel-NAT und CGNAT?

Klassisches Doppel-NAT entsteht durch zwei eigene Geräte im Heimnetz und lässt sich per Bridge- oder IP-Client-Modus auflösen. CGNAT (oft an DS-Lite-Anschlüssen, WAN-IP im Bereich 100.64.x.x) findet beim Provider statt und lässt sich mit eigener Hardware nicht beheben.

Bridge-Modus oder Access-Point-Modus – was ist besser?

Beide lösen das Problem, indem nur ein Gerät routet. Bridge-Modus am Provider-Gerät lässt deinen eigenen Router mit allen Funktionen routen. Der Access-Point-/IP-Client-Modus deines Routers ist einfacher, wenn das Provider-Gerät routen soll und du deinen Router nur fürs WLAN nutzt.

Warum funktioniert meine Portfreigabe trotz korrekter Einstellung nicht?

Bei Doppel-NAT gibt es zwei NAT-Grenzen hintereinander. Eine Freigabe nur am inneren Router bringt nichts, solange das äußere Gerät die Anfrage nicht weiterreicht. Löse das Doppel-NAT auf, dann greift die Freigabe an einer einzigen Stelle.