CGNAT umgehen –
sechs Wege, einer passt
Ihre Portfreigabe greift nicht, DynDNS zeigt eine fremde Adresse und die Kamera bleibt von außen unerreichbar? Dann sitzen Sie hinter Carrier-Grade NAT. Hier steht, woran Sie das sicher erkennen und welche Lösung zu Ihrem Fall passt.
Was ist CGNAT – und warum blockiert es jeden Fernzugriff?
CGNAT (Carrier-Grade NAT) ist ein Verfahren, mit dem Internetanbieter mehreren hundert Kunden gleichzeitig eine einzige öffentliche IPv4-Adresse zuteilen. Der Grund ist Knappheit: IPv4-Adressen sind seit Jahren vergeben, neue gibt es praktisch nicht mehr.
Für ausgehende Verbindungen ist das unproblematisch – Webseiten, E-Mail und Cloud-Dienste funktionieren normal. Eingehende Verbindungen scheitern jedoch immer. Ihr Router besitzt keine eigene öffentliche Adresse, sondern nur eine Adresse aus dem internen Netz des Providers. Eine Portfreigabe im Router endet damit im Nichts, weil das Gerät den betreffenden Port gar nicht nach außen anbieten kann.
Auch DynDNS hilft nicht. DynDNS löst nur das Problem wechselnder Adressen, nicht das Problem geteilter Adressen. Der Name zeigt korrekt auf die IP des Providers – und dort ist Ihr Anschluss einer von vielen hinter derselben Adresse.
Betroffen sind praktisch alle Mobilfunkanschlüsse, Starlink, viele Kabelanschlüsse mit DS-Lite und zunehmend auch Glasfaseranschlüsse im Privatkundentarif.
Zuletzt aktualisiert: 31.08.2026 · Quelle: SkyBits, Betreiber eigener VPN-Gateway-Infrastruktur
In zwei Minuten prüfen: Sitze ich hinter CGNAT?
Sie brauchen dafür kein Werkzeug und keine Anmeldung – nur den Router und einen Browser.
-
1
WAN-IP im Router ablesen
Öffnen Sie die Oberfläche Ihres Routers und suchen Sie die Angabe „WAN-IP", „Internet-IP" oder „öffentliche IP-Adresse". Notieren Sie diese Adresse.
-
2
Tatsächliche öffentliche IP ermitteln
Rufen Sie im Browser eine Seite auf, die Ihre IP anzeigt (Suche nach „wie ist meine IP"). Notieren Sie auch diese Adresse.
-
3
Die beiden Adressen vergleichen
Stimmen sie überein, haben Sie eine echte öffentliche IP und Portfreigaben funktionieren. Sind sie verschieden, sitzen Sie hinter CGNAT.
-
4
Gegenprobe über den Adressbereich
Beginnt die WAN-IP Ihres Routers mit 100.64. bis 100.127., ist der Fall eindeutig: Dieser Bereich ist offiziell für Carrier-Grade NAT reserviert. Auch 10., 192.168. oder 172.16.–172.31. auf der WAN-Seite bedeuten: keine öffentliche Adresse.
Welche Anschlussarten nutzen CGNAT?
Grobe Orientierung für den deutschen Markt. Im Zweifel entscheidet der konkrete Tarif, nicht die Technik.
| Anschlussart | CGNAT üblich? | Öffentliche IPv4 buchbar? |
|---|---|---|
| Starlink | Ja, immer | Nein. Priority-Tarife liefern eine öffentliche, aber dynamische Adresse |
| Mobilfunk LTE / 5G | Ja, Standard | Teilweise, meist als kostenpflichtige Option oder Geschäftskundentarif |
| Kabel mit DS-Lite | Ja | Oft gegen Aufpreis als Dual-Stack umstellbar |
| DSL Privatkunden | Zunehmend | Meist ja, häufig kostenlos |
| Glasfaser Privatkunden | Anbieterabhängig | Anbieterabhängig |
| Geschäftskundenanschluss | Selten | Ja, in der Regel inklusive |
Stand August 2026. Tarifdetails ändern sich – prüfen Sie im Zweifel beim Anbieter nach.
Sechs Lösungswege im Vergleich
Es gibt nicht die eine richtige Lösung. Welcher Weg passt, hängt davon ab, ob Sie ein Gerät oder einen ganzen Standort erreichen wollen, ob Sie Fremdsysteme einbinden müssen und wer die Technik betreut.
| Lösungsweg | Aufwand | Grenzen | Sinnvoll wenn … |
|---|---|---|---|
| Öffentliche IPv4 beim Provider buchen | Gering | Nicht überall verfügbar; bei Starlink gar nicht, im Mobilfunk oft nur dynamisch | Ihr Anbieter die Option anbietet und Sie nur einen Standort haben |
| Auf IPv6 umsteigen | Mittel | Funktioniert nur, wenn beide Seiten IPv6 haben. Viele Firmennetze, Kameras und Fremd-Firewalls können es bis heute nicht | Sie alle beteiligten Systeme selbst kontrollieren |
| Hersteller-Cloud der Kamera nutzen | Sehr gering | Bildqualität und Funktionsumfang beschränkt, laufende Kosten je Gerät, Daten liegen beim Hersteller, kein Zugriff auf andere Geräte im Netz | Es um wenige Kameras geht und Datenschutz unkritisch ist |
| Reverse-Proxy- oder Tunnel-Dienst | Mittel | Meist nur HTTP/HTTPS, nicht RTSP oder beliebige Ports; Betrieb und Wartung liegen bei Ihnen | Sie eine einzelne Weboberfläche veröffentlichen wollen |
| Eigenen VPN-Server auf einem VPS betreiben | Hoch | Sie sind für Server, Updates, Schlüssel, Monitoring und Ausfälle selbst verantwortlich | IT-Kompetenz im Haus vorhanden ist und Sie es selbst betreiben wollen |
| Managed VPN mit fester IPv4 | Gering | Monatliche Kosten; Sie geben den Betrieb aus der Hand | Sie einen ganzen Standort mit beliebigen Geräten und Ports erreichen wollen, ohne selbst Technik zu betreiben |
Die letzte Zeile beschreibt das SkyBits-Modell. Wenn einer der oberen fünf Wege für Sie funktioniert, nehmen Sie ihn – er ist meist günstiger.
Warum DynDNS bei CGNAT grundsätzlich nicht funktioniert
Diese Verwechslung kostet die meiste Zeit, deshalb ausführlich: DynDNS und CGNAT lösen zwei völlig verschiedene Probleme.
DynDNS übersetzt einen Namen wie firma.dyndns.org in eine IP-Adresse und aktualisiert diese Zuordnung, wenn sich Ihre Adresse ändert. Das setzt voraus, dass Sie überhaupt eine eigene öffentliche Adresse besitzen – sie darf nur wechseln.
CGNAT bedeutet dagegen, dass Sie gar keine eigene öffentliche Adresse haben. Der DynDNS-Dienst trägt dann brav die geteilte Provider-Adresse ein. Wer diesen Namen aufruft, landet am Übergabepunkt des Providers – und der weiß nicht, welcher der vielen Kunden dahinter gemeint ist. Die Verbindung wird verworfen.
Kurz: DynDNS gegen CGNAT einzusetzen ist wie ein Namensschild an einem Haus ohne Tür. Der Name stimmt, hinein kommt trotzdem niemand.
Wie SkyBits das Problem löst
SkyBits dreht die Verbindungsrichtung um. Statt zu versuchen, von außen in Ihr Netz hineinzukommen – was hinter CGNAT unmöglich ist –, baut ein vorkonfigurierter Industrie-Router bei Ihnen eine ausgehende WireGuard-Verbindung zu unserem Gateway auf. Ausgehende Verbindungen lässt CGNAT immer durch.
Auf unserem Gateway liegt eine feste öffentliche IPv4-Adresse, die ausschließlich Ihnen gehört. Alles, was diese Adresse erreicht, wird durch den Tunnel an Ihren Standort weitergeleitet. Aus Sicht des Internets steht Ihr Standort damit unter einer festen, unveränderlichen Adresse – unabhängig davon, ob dahinter Starlink, LTE, Kabel oder DSL steckt.
Der Unterschied zur Eigenbau-Variante liegt nicht in der Technik, sondern in der Verantwortung: Router, Konfiguration, Schlüsselverwaltung, Gateway-Betrieb und Austausch bei Defekt liegen bei uns. Sie stecken das Gerät ein.
- Funktioniert an jedem Anschluss, auch hinter mehrfachem CGNAT
- Beliebige Ports und Protokolle – auch RTSP, SIP, Modbus oder Remote Desktop
- Der ganze Standort ist erreichbar, nicht nur ein einzelnes Gerät
- Die Adresse bleibt gleich, auch wenn Sie den Anschluss oder den Standort wechseln
Ihr Standort im Blick – nicht nur eine IP auf einem Zettel
Die meisten Anbieter verkaufen Ihnen eine IP-Adresse und eine Konfigurationsdatei. Danach hören Sie nichts mehr. Bei SkyBits gehört ein Kundenportal dazu, in dem Sie jederzeit selbst nachsehen können, was Ihre Standorte tun.
- Live-Status jedes Standorts: online, letzter Handshake, Datenvolumen
- Verlauf über 24 Stunden, 7 und 30 Tage als Diagramm
- Rechnungen und VPN-Konfigurationen zum Download
- Monatlicher Verfügbarkeitsnachweis je Standort
Demo-Zugang: Benutzer demo · Passwort demo
Häufige Fragen zu CGNAT
Sie wissen jetzt, woran es liegt
Wenn keiner der einfachen Wege bei Ihnen funktioniert:
Wir liefern die feste IPv4 als fertiges Paket.