WireGuard hinter CGNAT: Warum Portweiterleitung scheitert und wie du es löst (2026)

Du hast WireGuard auf deinem Heimserver installiert, UDP 51820 geöffnet, den Port am Router weitergeleitet - und von aussen verbindet es sich immer noch nicht. Bevor du die Konfiguration zum zehnten Mal prüfst, verdächtige das Netz: Der häufigste Grund, warum ein selbst gehostetes VPN aus dem Internet nicht erreichbar ist, ist CGNAT, und keine Router-Konfiguration behebt das. Hier ist, was es ist, wie du es bestätigst und die Lösungen, die wirklich funktionieren.

Was CGNAT ist und warum es Selbsthosting bricht

CGNAT (Carrier-Grade-NAT) ist, wie viele ISPs mit der Knappheit an IPv4-Adressen umgehen: Statt jedem Kunden eine eigene öffentliche IP zu geben, setzen sie viele Kunden hinter eine einzige geteilte öffentliche Adresse. Die WAN-Seite deines Routers erhält eine Adresse aus einem privaten Bereich (oft in 100.64.0.0/10), und das NAT des ISP entscheidet, was hereinkommt.

Die Folge ist einfach und frustrierend: keine öffentliche IP zeigt auf deinen Anschluss, also haben eingehende Verbindungen nirgends zu landen. Portweiterleitung an deinem Router steuert nur den Verkehr, der den Router schon erreicht hat - und mit CGNAT tut er das nie, weil die Sperre eine Ebene höher, im ISP, liegt.

So prüfst du, ob du hinter CGNAT bist

Du kannst es in einer Minute bestätigen. Öffne die Admin-Seite deines Routers und finde seine WAN-IP. Schau dann deine öffentliche IP bei einem Dienst wie whatismyip nach. Wenn beide nicht übereinstimmen, bist du hinter CGNAT. Eine Router-WAN-IP in 100.64.0.0/10 oder einem privaten Bereich wie 10.x.x.x oder 192.168.x.x ist ein sicheres Zeichen.

Die Lösungen, von der saubersten zur gebasteltsten

• Ein VPS mit öffentlicher IP (am zuverlässigsten). Hoste WireGuard auf einem günstigen VPS. Er hat eine echte öffentliche IPv4, also kein NAT zu bekämpfen - deine Geräte verbinden sich direkt. Wenn du auch dein Heim-LAN erreichen musst, fahre einen kleinen Tunnel von zu Hause hinaus zum VPS; diese Verbindung ist ausgehend, was CGNAT erlaubt.
• Ein NAT-Traversal-Mesh (am einfachsten). Tailscale, das selbst gehostete Headscale oder Netbird nutzen ausgehende Verbindungen und Relay-Server, um zwei Geräte hinter NAT zu verbinden, ganz ohne Portweiterleitung. Siehe was Tailscale ist und wie es funktioniert.
• Bitte deinen ISP um eine öffentliche IP. Manche holen dich aus dem CGNAT oder verkaufen eine statische IP, manchmal gegen eine kleine Gebühr.
• IPv6. Wenn dein ISP echtes routbares IPv6 vergibt, umgeht WireGuard über IPv6 das Problem der geteilten IPv4 - sofern beide Enden funktionierendes IPv6 haben.
• Reverse-Tunnel. Cloudflare Tunnel, wstunnel oder ein SSH-Reverse-Tunnel starten ausgehend von zu Hause zu einem öffentlichen Endpunkt, also kommen auch sie durch CGNAT.

Welchen Weg du auch wählst, du willst einen stabilen Namen, um ihn zu erreichen; unser Leitfaden zu dynamischem DNS zeigt, wie du einen Hostnamen auf eine wechselnde Adresse zeigen lässt.

Warum der VPS-Weg meist der beste ist

Für ein VPN, auf das du dich verlässt, beseitigt ein VPS mit eigener öffentlicher IP die ganze Problemklasse. Du bekommst eine planbare Adresse, volle Kontrolle über Firewall und Port, keine Abhängigkeit vom Wohlwollen des ISP, und er dient nebenbei als Exit-Node, wenn du einen willst. Der ehrliche Kompromiss sind ein paar Euro im Monat und die kleine Verantwortung, den Server aktuell zu halten.

Das Fazit

Wenn WireGuard im lokalen Netz gut verbindet, aber nie von aussen, verdächtige CGNAT vor deiner Konfiguration. Bestätige es mit dem Vergleich WAN-IP gegen öffentliche IP und wähle dann eine Lösung: ein VPS mit öffentlicher IP ist am zuverlässigsten und das, worauf sich die meisten Selbsthoster festlegen, ein NAT-Traversal-Mesh ist die einfachste Option ohne Weiterleitung, und IPv6 oder eine öffentliche IP vom ISP funktionieren gut, wo sie verfügbar sind. Das Problem ist die Adressteilung deines ISP, nicht deine WireGuard-Datei.