Portfreigabe für den Minecraft-Server: öffnen, reparieren oder umgehen

Fang hier an: Welcher Fall bist du?

Vier Situationen, vier verschiedene Antworten. Such deine heraus und spring direkt hin — die Ursachen überschneiden sich kaum, deshalb kostet der falsche Zweig einen ganzen Abend.

Die Zwei-Minuten-Prüfung, die zuerst kommt

Eine einzige Sache entscheidet, ob Portfreigabe bei dir überhaupt funktionieren kann, und sie dauert zwei Minuten. Mach sie, bevor du eine einzige Router-Einstellung anfasst, denn wenn das Ergebnis falsch herum ausfällt, hilft dir im ersten Zweig dieser Seite nichts mehr.

1. Öffne die Administrationsseite deines Routers und such die WAN- oder Internetadresse, die er angibt. Sie steht im Status- oder Übersichtsbildschirm, meist beschriftet mit WAN IP, Internet IP oder IPv4 address.
2. Suche im Browser nach "what is my IP" — auf einem Gerät im selben Netz — und notiere die Adresse, die zurückkommt.
3. Vergleiche beide. Stimmen sie überein, hast du eine echte öffentliche Adresse, und die Portfreigabe funktioniert, sobald sie richtig eingerichtet ist. Stimmen sie nicht überein, übersetzt dein Anbieter deinen Datenverkehr, und ein freigegebener Port auf deinem eigenen Router erreicht das Internet nicht — unter warum es nicht funktioniert hat steht, was du dann tun kannst.

Den Port richtig freigeben

Jeder Router ist anders aufgebaut, und die Funktion trägt mehrere Namen — Port Forwarding, Virtual Server, NAT Forwarding, Applications and Gaming. Was passieren muss, ist überall dasselbe: dem Router sagen, dass Datenverkehr, der auf dem Minecraft-Port ankommt, an den Rechner mit dem Server weitergereicht wird.

1. Gib dem Server-Rechner zuerst eine feste lokale Adresse. Dieser Schritt wird gerne übersprungen, und genau deshalb hören Freigaben eine Woche später auf zu funktionieren. Dein Router vergibt lokale Adressen nur auf Zeit, der PC mit 192.168.1.42 kann nach einem Neustart also 192.168.1.57 sein — und die Freigabe zeigt weiter auf die alte. Löse das entweder im Router mit einer DHCP-Reservierung für diesen PC oder am PC selbst mit einer statischen Adresse außerhalb des DHCP-Bereichs des Routers. Die Reservierung ist der sicherere Weg, weil der Router die einzige verbindliche Quelle bleibt.
2. Leg die Weiterleitungsregel an. Interner und externer Port beide auf den Port des Servers. Protokoll TCP für Java (25565), UDP für Bedrock (19132). Ziel: die lokale Adresse, die du gerade festgenagelt hast. Besteht der Router auf einen Portbereich, nimm dieselbe Nummer für Anfang und Ende.
3. Lass es durch die Firewall des Rechners. Der Router schickt den Verkehr jetzt an den PC, und dessen eigene Firewall kann ihn trotzdem verwerfen. Unter Windows legst du in der Windows Defender Firewall eine eingehende Regel für den Port an — oder für die Java-Anwendung, die den Server ausführt. Das ist der zweithäufigste Grund, warum eine korrekte Freigabe scheinbar nichts bewirkt.
4. Teste von außerhalb deines Netzwerks. Nicht aus einem Browser im Wohnzimmer. Schalte am Handy das WLAN aus, damit es im Mobilfunknetz hängt, und versuch die Adresse zu erreichen, oder nutze einen Online-Port-Checker, während der Server läuft. Beides prüft dasselbe: ob die Außenwelt hereinkommt.

Sobald die Prüfung von außen klappt, verbinden sich deine Freunde über deine öffentliche Adresse und den Port — bei Java also your.public.ip:25565. Wenn dein Anbieter deine öffentliche Adresse ab und zu wechselt, was die meisten Privatanschlüsse tun, gibt dir ein kostenloser Dynamic-DNS-Name einen festen Hostnamen, der ihr folgt.

Du hast ihn freigegeben und es geht immer noch nicht

Arbeite diese Liste der Reihe nach ab. Sie ist danach sortiert, wie oft der jeweilige Punkt am Ende die Antwort ist, und die ersten beiden kosten nichts.

1. Du hast von innerhalb deines eigenen Netzes getestet

Oben schon beschrieben, und es ist wirklich der häufigste Fehlalarm: Hairpinning ist im Standard ein Muss, das viele Router ignorieren, deshalb kann der Test der eigenen öffentlichen Adresse aus dem eigenen Wohnzimmer bei einer völlig korrekten Einrichtung scheitern. Teste über Mobilfunk erneut, bevor du sonst irgendetwas änderst.

2. Die lokale Adresse des Server-Rechners hat sich geändert

Wenn es lief und dann aufhörte, ist fast immer das der Grund. Die Freigabe zeigt weiter auf eine Adresse, die der PC nicht mehr hat. Leg eine DHCP-Reservierung an, damit sie nicht wieder wandert.

3. Carrier-Grade NAT — der Fall ohne Ausweg

Wenn die WAN-Adresse in deinem Router nicht zu dem passt, was "what is my IP" meldet, wird dein Verkehr von deinem Anbieter übersetzt, bevor er das Internet erreicht, und ein Port, den du an deinem eigenen Router öffnest, existiert für die Außenwelt schlicht nicht. Du kannst es direkt am Router ablesen:

Carrier-Grade NAT gibt es, weil die IPv4-Adressen nicht reichen, um jedem Haushalt eine zu geben, also teilen Anbieter eine öffentliche Adresse unter vielen Kunden auf. Das ist kein Defekt, und niemand hat etwas falsch gemacht. Deine Möglichkeiten: deinen Anbieter nach einer öffentlichen IPv4-Adresse fragen — viele bieten eine an, mal kostenlos, mal als kostenpflichtige Option — oder gar keine mehr zu brauchen, entweder mit einem Tunnel oder mit einem gehosteten Server.

4. Doppel-NAT: zwei Router, eine Kette

Eine private Adresse auf der WAN-Seite deines Routers heißt, dass dein Router in einem anderen Router steckt — typischerweise die Box deines Anbieters, die im Routermodus läuft statt als reines Modem. Deine Freigabe ist richtig; sie endet nur am zweiten Gerät. Drei Auswege, der beste zuerst: die Box des Anbieters in den bridge mode oder modem mode versetzen, damit dein Router die öffentliche Adresse direkt bekommt; oder denselben Port ein zweites Mal auf dem vorgeschalteten Gerät freigeben, mit deinem Router als Ziel; oder den Server hinter das vorgeschaltete Gerät verlegen.

5. Die Firewall des Rechners selbst

Der Router leitet weiter, der PC verwirft. Leg eine eingehende Regel für den Port oder für die Server-Anwendung an und teste erneut von außen.

6. Falsches Protokoll oder falscher Port

Java ist TCP 25565, Bedrock ist UDP 19132. Die beiden sind nicht austauschbar, und ein Bedrock-Server hinter einer TCP-Freigabe ist unerreichbar und sieht von innen dabei völlig gesund aus. Wenn dein Server ein Bedrock-Server ist, unterscheidet sich die Einrichtung an mehr Stellen als nur am Port — die Anleitung für Bedrock-Server deckt das von Anfang bis Ende ab.

Ist eine Portfreigabe sicher?

Die kurze Antwort: Einen einzelnen Port zu einem Server zu öffnen, den du aktuell hältst, ist in Ordnung, und genau das macht jeder Minecraft-Server im Internet. Das Risiko ist nicht der offene Port selbst — es ist das, was dahinter lauscht, und die Tatsache, dass deine Heimadresse jetzt die Serveradresse ist. Beides ist beherrschbar, und keines davon ist ein Grund, sich abschrecken zu lassen.

Was ein offener Port tatsächlich tut

Ein freigegebener Port setzt genau ein Programm dem Internet aus: das, was auf diesem Port lauscht. Er öffnet nicht deinen PC, nicht deine Dateien und nicht die anderen Geräte im Haus. Er bedeutet aber, dass jeder, der die Adresse findet, diesem einen Programm schicken kann, was er will — die Software dahinter muss also Software sein, die du gepatcht hältst.

Der echte Präzedenzfall, korrekt wiedergegeben

Das Minecraft-Beispiel, nach dem alle greifen, ist Log4Shell — CVE-2021-44228, bewertet mit 10.0 Critical und veröffentlicht am 10. Dezember 2021 — und Mojang veröffentlichte am selben Tag einen Hinweis, dass die Java Edition betroffen war. Es lohnt sich, hier genau zu sein, denn die populäre Nacherzählung liegt auf eine Weise falsch, die hier zählt.

Microsofts eigene Analyse beschreibt den Angriff so, dass ein Angreifer sich mit einem verwundbaren Server verband und eine präparierte Chat-Nachricht schickte, die dann Code auf dem Server und auf verbundenen verwundbaren Clients ausführte. Beide Richtungen waren real. Aber in jedem dokumentierten Fall musste der Angreifer sich verbinden und interagieren — ein offener Port allein hat nichts ausgeführt. Die Lehre lautet nicht "öffne keine Ports", sondern "halte das aktuell, was hinter dem Port sitzt", was damals hieß: auf 1.18.1 wechseln oder den Startparameter setzen, den Mojang für ältere Versionen veröffentlichte.

Der Preis, für den es keinen Patch gibt

Der Teil, über den es sich am gründlichsten nachzudenken lohnt, ist gar keine Sicherheitslücke: Deine öffentliche Adresse wird zur Serveradresse, und jeder, den du einlädst, hat sie — samt allen, an die sie weitergereicht wird. Ein Denial-of-Service-Angriff auf einen gehosteten Server trifft diesen Server; auf einen Privatanschluss gerichtet nimmt er den ganzen Haushalt vom Netz, und du kannst ihn von deiner Seite aus nicht filtern, weil die Leitung schon dicht ist. Eine Adresse lässt sich nicht zurückholen, wenn sie einmal draußen ist. Die Uptime-Anleitung beschreibt, was das auf Dauer bedeutet; praktisch zusammengefasst: ein fairer Handel für fünf Freunde, ein schlechter für einen öffentlichen Server.

Was es tatsächlich sicher macht

Halte den Server auf einer aktuellen Version, schalte die Whitelist ein, damit nur eingeladene Leute beitreten, lass online-mode auf dem Standardwert, damit Konten verifiziert werden, und sichere die Welt, bevor du experimentierst. Diese vier sind die ganze Checkliste, und sie stehen mit den genauen Einstellungen im Abschnitt zu sicheren Einstellungen der Server-Anleitung. Mach das, und ein freigegebener Port ist eine völlig unspektakuläre Sache.

Freunde hereinlassen, ohne einen Port zu öffnen

Ein Tunnel gibt der Außenwelt eine Adresse, die dem Tunnel-Anbieter gehört, und trägt den Verkehr von dort zum Server auf deinem PC — über eine Verbindung, die dein PC nach außen aufgebaut hat. Am Router ändert sich nichts, und genau deshalb funktioniert das hinter Carrier-Grade NAT, wo Portfreigabe es nicht kann. Der Handel: Ein Dritter sitzt jetzt im Weg, und die kostenlosen Stufen haben echte Grenzen.

Die drei Namen, nach denen gesucht wird, mit dem, was ihre eigene Dokumentation heute sagt:

playit.gg

Der Anbieter, der beide Editionen abdeckt. Java und Bedrock sind in der kostenlosen Stufe beide als Presets eingebaut, ein Bedrock-Server über UDP läuft also ohne zu zahlen — was ungewöhnlich ist und der Hauptgrund, ihn zu nehmen. Deine Spieler bekommen eine von playit vergebene Adresse statt deiner, und nur du installierst etwas. Die ehrlichen Grenzen: Kostenlose Tunnel laufen über gemeinsames globales Routing, und playits eigene Dokumentation warnt, dass ein Spieler in ein weit entferntes Rechenzentrum geschickt werden kann; sie beschreibt den Weg als vier Sprünge, deren Latenz sich summiert. Eine Region zu wählen und eine eigene Domain zu nutzen kostet. Kostenlose Konten können vier Ports belegen.

ngrok

Für Java in Ordnung, für Bedrock nutzlos — ngrok unterstützt HTTP, HTTPS, TCP und TLS und sagt klar, dass es kein UDP macht. Zwei Details der kostenlosen Stufe fallen dir auf die Füße, wenn dich niemand warnt: Einen rohen TCP-Endpunkt zu öffnen setzt eine hinterlegte Zahlungsmethode voraus, auch wenn es kostenlos bleibt, und die Adresse wird bei jedem Start des Tunnels neu und zufällig vergeben, deine Freunde brauchen also jede Sitzung eine neue, solange du keine reservierte Adresse bezahlst. Ein Mythos, den du gleich mit beerdigen kannst: Die viel wiederholte Behauptung, kostenlose ngrok-Tunnel würden nach zwei Stunden sterben, ist veraltet — die aktuelle Dokumentation von ngrok sagt, dass kostenlose Endpunkte unbegrenzt online bleiben können.

Hamachi

Der älteste der drei und der, der anders funktioniert: Es ist gar kein Tunnel zu einer öffentlichen Adresse, sondern ein virtuelles LAN. Alle treten demselben privaten Netzwerk bei und verbinden sich dann, als säßen sie im selben Raum. Dieser Unterschied ist die ganze Geschichte, in beide Richtungen.

Es gibt es noch — GoTo Group betreibt es unter der Marke LogMeIn, und die Release Notes tragen Einträge aus 2026 — und die kostenlose Stufe existiert weiterhin, aber sie deckelt ein Netzwerk bei fünf Mitgliedern inklusive dir. Vier Freunde. Und anders als bei playit.gg oder ngrok installiert jeder Spieler den Client und tritt dem Netzwerk bei, was bei einer Gruppe Jugendlicher meistens der Punkt ist, an dem der Plan stirbt. Technisch ist es ein vollwertiger virtueller Netzwerkadapter und vermittelt Verbindungen standardmäßig über UDP, es ist also nicht auf TCP beschränkt — aber GoTos Dokumentation erwähnt Minecraft, Bedrock oder Port 19132 an keiner Stelle, behandle Bedrock über Hamachi also als ungetestet statt als unterstützt. GoTo warnt in den eigenen Hilfeseiten außerdem, dass Anwendungen, die für "high-speed, low-latency LAN environments" gebaut sind, darüber möglicherweise nicht gut laufen.

Was dich ein Tunnel kostet

Vor allem Latenz. Verkehr, der direkt zu dir nach Hause gegangen wäre, geht jetzt zuerst zum Anbieter, und in den kostenlosen Stufen darfst du selten wählen, wo das ist. Bei einer Survival-Welt mit fünf Freunden merkt das niemand; überall, wo Timing zählt, schon. Der andere Preis: Die Verfügbarkeit deines Servers hängt jetzt daran, dass die kostenlose Stufe eines Dritten zu denselben Bedingungen weiterexistiert — und das ist, wie die Tunnel oben zeigen, nichts, was man voraussetzen sollte.

Wann ein gehosteter Server die ehrliche Antwort ist

Nicht jeder braucht das, und etwas anderes zu behaupten wäre unehrlich — viele Leute fahren jahrelang einen guten Server auf einem übrigen PC. Aber es gibt vier Situationen, in denen der Kampf von oben nicht zu gewinnen oder es nicht wert ist, und dann ist es besser, das zu sagen, als dich an einem Router schrauben zu lassen, der nicht helfen kann:

• Du sitzt hinter Carrier-Grade NAT. Das ist der Fall ohne Ausweg am Router. Ein Tunnel oder ein gehosteter Server sind die einzigen zwei Wege, und nur einer davon gibt dir eine Adresse, die dir gehört.
• Du willst, dass die Welt erreichbar ist, wenn dein PC aus ist. Ein Server auf deinem Desktop existiert, solange der Desktop wach ist. Wenn Leute zu unterschiedlichen Zeiten spielen, ist genau das das Problem, und keine Port-Einstellung löst es.
• Du möchtest deine Heimadresse lieber nicht herausgeben. Besonders wenn der Server öffentlich sein soll oder wenn die Beitretenden die Freunde deines Kindes sind und nicht deine.
• Mehr als eine Handvoll Spieler. Eine private Upload-Leitung und ein PC, der nebenbei für anderes benutzt wird, machen sich beide bemerkbar — und zwar als Lag, das nach einem Spielproblem aussieht.

Was sich ändert: Die Adresse gehört einem Rechenzentrum statt deinem Haus, sie bleibt von allein oben, und ein Angriff auf sie nimmt nicht deine Familie vom Netz. Ein gemanagter Tarif nimmt außerdem die Teile dieser Seite weg, die schlicht Arbeit sind — keine Freigabe, kein Dynamic DNS, keine Firewall-Regel. HytHost-Server laufen auf NVMe-Speicher mit einem Uptime-SLA von 99,9%, mit Voxility-DDoS-Filterung davor und Live-Chat-Support von 8 bis 23 Uhr (Zeit in Chișinău). Wenn du schon eine Welt auf dem PC hast, ist der Umzug ein Ordner-Kopieren, und wir machen ihn für dich.

Falls du den Server überhaupt noch nicht gebaut hast, fang stattdessen mit wie man einen Minecraft-Server erstellt an — diese Seite setzt voraus, dass schon einer läuft und nur die Verbindung fehlt.