Von unterwegs auf das Heimnetz zugreifen: sicher per VPN

Was du eigentlich brauchst

Bevor du etwas einrichtest, kläre den Zweck. Oft genügt eine einfachere Lösung als der Zugriff aufs ganze Heimnetz.

• Nur Dateien: Ein Cloud-Speicher oder die Synchronisierung eines Ordners ist einfacher und braucht keinen offenen Zugang, siehe Cloud-Speicher vergleichen.
• Vollzugriff aufs Heimnetz: NAS, Drucker, Kameras, interne Seiten. Dafür ist ein VPN der richtige Weg.
• Fernsteuerung eines PCs: Remotedesktop über das VPN, nicht direkt über das Internet, siehe Remotedesktop einrichten.
• Nur Internet aus dem Heimnetz: Wer unterwegs über den Heimanschluss ins Netz will, nutzt das VPN als Ausgang.

Voraussetzung: Was dein Anschluss erlaubt

Damit dein Router von außen erreichbar ist, braucht er eine öffentlich erreichbare Adresse. Bei vielen Kabel- und Glasfaseranschlüssen sowie neueren DSL-Tarifen bekommst du nur eine gemeinsam genutzte IPv4-Adresse (CGNAT oder DS-Lite). Dann fehlt dir für eingehende Verbindungen die eigene IPv4-Adresse, oft ist aber eine eigene IPv6-Adresse nutzbar. Wie du das prüfst, erklärt IPv6, DS-Lite und CGNAT. Vergleiche die WAN-Adresse deines Routers mit der Adresse, die eine Webseite zur öffentlichen IP anzeigt. Sind sie verschieden, hängst du vermutlich hinter CGNAT. Dann bleibt entweder IPv6, eine Option beim Anbieter für eine öffentliche IPv4 (teils kostenpflichtig) oder der Mesh-VPN-Weg.

Die Wege im Überblick

Weg 1: VPN zum eigenen Router

Ein VPN baut einen verschlüsselten Tunnel von deinem Gerät zum Router auf. Danach bekommst du eine Adresse im Heimnetz und erreichst alle Geräte wie vor Ort. Moderne Router unterstützen WireGuard, ein schlankes und schnelles Verfahren, oder das ältere IPsec. WireGuard-Apps gibt es für Windows, Android und iOS. Für den Betrieb brauchst du am Router in der Regel nur einen freigegebenen UDP-Port, den das VPN selbst absichert. Mehr zur Einrichtung eines VPN-Clients unter Windows findest du in VPN einrichten unter Windows 11.

Einrichtung auf einer FRITZ!Box

Bei der FRITZ!Box mit aktueller Firmware gehst du in der Regel so vor. Die Menünamen können sich je nach Version unterscheiden.

1. Aktualisiere die Firmware, wie in FRITZ!Box-Firmware aktualisieren beschrieben.
2. Richte unter „Internet“ das MyFRITZ!-Konto ein oder notiere den dynamischen DNS-Namen.
3. Öffne den Bereich „Internet“, „Freigaben“ und suche „VPN (WireGuard)“ (ab FRITZ!OS 7.50).
4. Lege eine neue Verbindung für dein Gerät an. Die Box erzeugt eine Konfiguration und einen QR-Code.
5. Importiere die Konfiguration in der WireGuard-App (Handy: QR-Code scannen, PC: Datei importieren).
6. Teste die Verbindung aus einem fremden Netz, etwa im mobilen Netz des Handys.

Ältere Boxen nutzen statt WireGuard den IPsec-Zugang über die Software „FRITZ!Box Fernzugang“. Er ist ebenfalls sicher, aber unpraktischer. Jedes Gerät bekommt eine eigene Verbindung, damit du verlorene Geräte einzeln sperren kannst.

Weg 2: Mesh-VPN ohne Portfreigabe

Wenn dein Anschluss keine öffentliche Adresse liefert, helfen Mesh-VPN-Dienste. Du installierst eine kleine Software auf den Geräten im Heimnetz, zum Beispiel auf einem dauerhaft laufenden PC, NAS oder Raspberry Pi, und auf deinem Handy oder Laptop. Die Geräte finden sich über einen Koordinierungsserver und bauen untereinander verschlüsselte Verbindungen auf, notfalls über Relais. Ein offener Port am Router ist nicht nötig. Viele Anbieter haben eine kostenlose Stufe für private Nutzung, die Bedingungen ändern sich, lies sie vor dem Einsatz. Das Prinzip: Du erreichst nur Geräte, auf denen die Software läuft, oder ein Gerät, das als Zugang zum ganzen Heimnetz freigegeben ist. Ein Heimserver dafür kann ein Raspberry Pi sein, siehe Raspberry Pi als Heimserver.

Weg 3: Cloud statt Heimnetz

Für Fotos und Dokumente ist oft eine synchronisierte Cloud die bessere Lösung. Du brauchst keinen Zugang von außen, dein PC muss nicht laufen, und der Zugriff klappt von jedem Gerät. Der Nachteil: Daten liegen bei einem Anbieter. Wer das nicht will, kann eine eigene Cloud mit Nextcloud betreiben, was aber Pflege braucht. Wer sich für einen eigenen Server interessiert, findet Grundlagen in NAS und Heimserver.

Was du nicht tun solltest

• Remotedesktop-Port 3389 direkt freigeben: Das Ziel unzähliger automatisierter Angriffe.
• NAS-Weboberfläche ohne Schutz ins Internet stellen: Angreifer suchen gezielt nach solchen Systemen.
• Kameras oder smarte Geräte freigeben: Ihre Firmware ist oft veraltet.
• Standard-Passwörter belassen: Ändere sie überall.
• UPnP unbedacht lassen: Programme können Ports ohne dein Wissen öffnen. Prüfe die Liste der Freigaben im Router, siehe NAT-Typ und UPnP.

Absicherung

• Halte Router-Firmware und die Software der Geräte aktuell.
• Nutze lange, einmalige Passwörter und Zwei-Faktor-Anmeldung, wo es sie gibt.
• Erlaube im VPN nur die Netze, die du brauchst.
• Gib jedem Gerät einen eigenen VPN-Zugang und lösche Zugänge verlorener Geräte.
• Aktiviere Benachrichtigungen des Routers bei Anmeldungen von außen.
• Trenne Geräte mit schwachem Schutz in ein Gastnetz, siehe Gast-WLAN einrichten.

Verbindung testen

Teste immer aus einem fremden Netz: Schalte am Handy das WLAN aus und verwende das mobile Netz. Starte das VPN und rufe eine Adresse im Heimnetz auf, etwa die Oberfläche des Routers oder einen Netzwerkordner. Wenn es nicht klappt, prüfe nacheinander: Gibt es eine erreichbare Adresse? Stimmt der dynamische DNS-Name? Ist der UDP-Port freigegeben? Blockiert die Firewall des Netzwerks, in dem du dich befindest, den Port? Ein Netzwerkordner lässt sich unterwegs per Adresse einbinden, die Freigabe selbst richtest du wie in Ordner im Heimnetz freigeben ein.

Typische Probleme

• Verbindung kommt nicht zustande: Öffentliche Adresse und Portfreigabe prüfen, CGNAT ausschließen.
• Heimnetz-Geräte nicht erreichbar: Erlaubte Netze in der VPN-Konfiguration prüfen, Firewall des Zielgeräts beachten.
• Namen werden nicht aufgelöst: Verwende die IP-Adresse oder trage den Router als DNS-Server ein.
• Langsame Verbindung: Der Upload deines Heimanschlusses begrenzt die Geschwindigkeit. Bei DSL ist er oft klein.
• Adresse wechselt: Dynamischen DNS-Namen verwenden statt der IP-Adresse.
• Hotel- oder Firmennetz blockiert: Auf einen anderen Port oder ein Mesh-VPN wechseln.

Häufige Fragen

Ist ein VPN zum eigenen Router wirklich sicher?

Ja, wenn die Firmware aktuell ist und starke Schlüssel verwendet werden. Es ist deutlich sicherer als freigegebene Einzeldienste.

Brauche ich dafür eine feste IP?

Nein. Ein dynamischer DNS-Name reicht, solange der Anschluss eine erreichbare Adresse hat.

Was kostet das?

Router-VPN und WireGuard kosten nichts. Mesh-VPN-Dienste haben meist eine kostenlose private Stufe, eine öffentliche IPv4 beim Anbieter kann einen Aufpreis haben.

Kann ich so auch Streaming-Inhalte meines Heimnetzes sehen?

Ja, etwa vom Medienserver. Beachte die Upload-Geschwindigkeit deines Anschlusses.