Du willst einen Dienst von unterwegs erreichen und denkst über eine Portweiterleitung nach? Mit UniFi ist das schnell gemacht – birgt aber Sicherheitsrisiken. In dieser Anleitung zeigen wir dir, wie du Port Forwarding in UniFi einrichtest, den Zugriff absicherst und wann ein VPN die klügere Wahl ist.
Eine Portfreigabe macht interne Dienste von außen erreichbar – vom Gameserver bis zur eigenen Cloud. Wir zeigen dir, wie du die Weiterleitung in UniFi anlegst, den Zugriff mit Quell-IP-Filtern absicherst und in welchen Fällen ein VPN die klar sicherere Alternative ist.
- Was macht Port Forwarding?
- Schritt 1: Die Weiterleitung anlegen
- Schritt 2: Den Zugriff einschränken
- Die sicherere Alternative: ein VPN
- Sichere Ports und typische Fehler
- Dynamisches DNS für wechselnde IPs
- Portweiterleitung testen und überwachen
- Finger weg von UPnP
- Häufige Fragen
- Woher weiß ich, ob mein Port offen ist?
- Ist Port Forwarding ein Sicherheitsrisiko?
- Warum funktioniert meine Portweiterleitung nicht?
- Fazit
Was macht Port Forwarding?
Eine Portweiterleitung öffnet einen Port deines Routers zum Internet und leitet ihn an ein Gerät im Heimnetz weiter. So wird ein interner Dienst von außen erreichbar. Das ist praktisch – bedeutet aber auch, dass der Dienst öffentlich angreifbar wird.
Schritt 1: Die Weiterleitung anlegen
Öffne Settings → Firewall & Security → Port Forwarding und lege eine neue Regel an:
- Name: eine Bezeichnung zur Wiedererkennung.
- Port: der von außen erreichbare Port.
- Forward IP: die interne IP des Zielgeräts.
- Forward Port: der Port des internen Dienstes.
Schritt 2: Den Zugriff einschränken
Öffne einen Port niemals unnötig weit. UniFi erlaubt, die Weiterleitung auf bestimmte Quell-IPs zu begrenzen. Trage dort die Adressen ein, von denen der Zugriff erlaubt sein soll – so bleibt der Dienst für den Rest des Internets unsichtbar.
Die sicherere Alternative: ein VPN
In den meisten Fällen brauchst du gar keine offene Portweiterleitung. Ein VPN gibt dir vollen Zugriff auf dein Heimnetz, ohne einen einzigen Port öffentlich zu exponieren. Besonders unkompliziert geht das mit Tailscale – ganz ohne Portfreigabe. Musst du einen Webdienst dennoch öffentlich bereitstellen, ist ein Reverse Proxy wie Caddy die bessere Lösung als ein nackter offener Port.
Sichere Ports und typische Fehler
Nicht jeder Port ist gleich riskant. Manche Dienste gehören schlicht nie ungeschützt ins Internet, weil sie ständig von automatisierten Scans attackiert werden. Diese Übersicht zeigt, worauf du achten solltest:
| Dienst / Port | Risiko | Empfehlung |
|---|---|---|
| SSH (22) | Dauerhaft attackiert | Nur per VPN oder Quell-IP-Filter |
| RDP (3389) | Sehr hoch | Niemals offen ins Internet |
| HTTP/HTTPS (80/443) | Mittel | Über Reverse Proxy absichern |
| Datenbank (3306/5432) | Kritisch | Nie öffentlich freigeben |
Als Faustregel gilt: Verwaltungs- und Datenbankdienste haben im offenen Internet nichts verloren. Web-Dienste stellst du besser hinter einem Reverse Proxy wie Caddy bereit, der zusätzlich HTTPS erzwingt.
Dynamisches DNS für wechselnde IPs
Die meisten Heimanschlüsse bekommen regelmäßig eine neue öffentliche IP-Adresse. Eine Portweiterleitung ist dann zwar erreichbar, aber nur über eine Adresse, die sich ständig ändert. Die Lösung heißt Dynamic DNS (DDNS): ein fester Hostname, der automatisch auf deine aktuelle IP zeigt.
- DDNS im UniFi-Controller: UniFi unterstützt viele Anbieter direkt in den Interneteinstellungen.
- Fester Hostname: statt der IP nutzt du eine Adresse wie
meinserver.example.com. - Automatische Aktualisierung: der Router meldet jede IP-Änderung selbstständig an den DDNS-Dienst.
Portweiterleitung testen und überwachen
Nach dem Anlegen einer Regel willst du wissen, ob sie greift – und im Blick behalten, was von außen erreichbar ist. Diese Schritte helfen dir dabei:
- Von außen testen: prüfe den Port über das Mobilfunknetz oder einen Online-Port-Checker, nicht aus dem eigenen WLAN.
- Logs prüfen: die UniFi-Firewall-Logs zeigen dir Zugriffsversuche auf den offenen Port.
- Regeln aufräumen: lösche Weiterleitungen, die du nicht mehr brauchst – jeder offene Port ist ein Risiko.
- Alternative prüfen: in vielen Fällen ersetzt Tailscale die Portfreigabe komplett.
Finger weg von UPnP
Viele Router öffnen Ports automatisch per UPnP (Universal Plug and Play), sobald eine Anwendung darum bittet. Das ist bequem, aber gefährlich: Schadsoftware oder unsichere Geräte können sich so ohne dein Wissen selbst nach außen freischalten. Deshalb solltest du diese Grundregeln beherzigen:
- UPnP deaktivieren: lege Portweiterleitungen lieber bewusst und manuell an.
- Nur öffnen, was nötig ist: jeder Port bleibt nur so lange offen, wie du ihn wirklich brauchst.
- Standardports meiden: ein Dienst auf einem ungewöhnlichen Port fällt automatisierten Scans seltener auf – ersetzt aber keine echte Absicherung.
- Regelmäßig prüfen: kontrolliere in den UniFi-Einstellungen, welche Weiterleitungen aktiv sind.
Eine bewusst gepflegte Liste offener Ports ist deutlich sicherer als ein Router, der eigenmächtig Türen ins Internet aufstößt.
Häufige Fragen
Woher weiß ich, ob mein Port offen ist?
Teste ihn immer von außerhalb deines Heimnetzes – etwa über das Mobilfunknetz deines Handys oder einen Online-Port-Checker. Ein Test aus dem eigenen WLAN heraus ist nicht aussagekräftig, weil dabei oft interne Routen greifen. Erreichst du den Dienst von außen, ist die Weiterleitung korrekt eingerichtet.
Ist Port Forwarding ein Sicherheitsrisiko?
Jede offene Portweiterleitung vergrößert deine Angriffsfläche, denn der dahinterliegende Dienst wird öffentlich erreichbar und damit für automatisierte Scans sichtbar. Das Risiko lässt sich mit Quell-IP-Filtern, aktueller Software und starken Passwörtern senken – ganz ausräumen kannst du es nur, indem du auf eine offene Freigabe verzichtest.
Warum funktioniert meine Portweiterleitung nicht?
Häufige Ursachen sind eine falsche interne Ziel-IP, ein Dienst der gar nicht lauscht, oder ein CGNAT-Anschluss deines Providers, bei dem du keine eigene öffentliche IP bekommst. Prüfe zuerst die Regel, dann ob der Dienst intern erreichbar ist, und frage im Zweifel deinen Provider, ob echtes öffentliches IPv4 anliegt.
Fazit
Port Forwarding ist in UniFi schnell eingerichtet – aber jede offene Weiterleitung vergrößert deine Angriffsfläche. Beschränke den Zugriff auf bekannte Quell-IPs und prüfe, ob ein VPN nicht die bessere Wahl ist. Im Zweifel gilt: so wenige offene Ports wie möglich.
