IPv6 im Heimnetz: Grundlagen ohne Panik

Kurz gesagt: Bevor du dich in IPv6 einliest, prüfe in einer Minute, ob du überhaupt welches hast — bei sehr vielen Heimnetzen lautet die Antwort nein, und dann ist das Thema erledigt. Hast du IPv6, ändern sich genau vier Dinge: Es gibt kein NAT mehr, du bekommst ein ganzes Präfix statt einer Adresse, Adressen sind nicht mehr stabil, und alles existiert doppelt — auch deine Firewall-Regeln und dein DNS-Filter.

IPv6 hat einen Ruf als Thema, um das man am besten einen Bogen macht: Doppelpunkte, Hexadezimalzahlen, Adressen so lang wie eine Zeile Code. Der gute Teil der Nachricht ist: Fürs Heimnetz brauchst du davon fast nichts. Der wichtige Teil ist: Die paar Dinge, die du brauchst, entscheiden darüber, ob dein Werbefilter noch filtert und ob deine IoT-Steckdose plötzlich aus dem Internet erreichbar ist.

Schritt 1: Hast du überhaupt IPv6? #

Das ist die einzige Frage, mit der du anfangen solltest — und sie ist in einer Minute beantwortet. Sieh dir die Adressen deines Rechners an:

# Linux
ip -6 addr show
 
# macOS
ifconfig | grep inet6
 
# Windows (PowerShell oder cmd)
ipconfig

Du suchst nach genau einem Merkmal: einer Adresse, die mit 2 oder 3 beginnt — in Deutschland typischerweise 2003:… (Telekom) oder 2a02:… (Vodafone, o2 und andere). Das ist eine Global Unicast Address, also eine weltweit gültige Adresse. Findest du so eine, hast du IPv6.

Findest du dagegen nur Adressen, die mit fe80: beginnen, hast du kein nutzbares IPv6. fe80: ist eine Link-Local-Adresse: Die vergibt sich jedes Gerät selbst, sie funktioniert nur innerhalb desselben Netzabschnitts und wird von keinem Router weitergeleitet. Sie ist ein Lebenszeichen des IPv6-Stacks, kein Internetzugang.

Ein zweiter Blick lohnt sich auf die Routen — nur wenn es einen IPv6-Standardrouter gibt, kann überhaupt etwas hinausgehen:

# Linux
ip -6 route show default
 
# macOS
route -n get -inet6 default
 
# Windows
netsh interface ipv6 show route

Bei mir sah das so aus: Auf dem Rechner in meinem Heimnetz standen ausschließlich fe80:-Adressen, route -n get -inet6 default meldete not in table, und die Systemeinstellungen zeigten bei „IPv6" zwar Automatisch, aber IPv6 IP address: none und IPv6 Router: none. Der Rechner wartet also auf ein IPv6-Netz, das ihm niemand anbietet. Zwischen „IPv6 ist eingeschaltet" und „IPv6 ist da" liegt genau dieser Unterschied.

Wenn dein Rechner IPv6 sauber konfiguriert hat, aber nichts bekommt, liegt es nicht an ihm. Dann liefert entweder dein Router kein IPv6 ins Heimnetz, oder dein Anschluss bekommt keines. Nachsehen kannst du das an der Quelle: In der FritzBox unter Internet → Zugangsdaten → IPv6, ob IPv6 überhaupt aktiv ist, und unter Heimnetz → Netzwerk → Netzwerkeinstellungen → IPv6-Konfiguration, ob sie ein Präfix ins Heimnetz weitergibt.

Schritt 2: Welche Sorte Anschluss hast du? #

In Deutschland gibt es praktisch drei Fälle. Sie unterscheiden sich nicht in der Theorie, sondern in dem, was du zuhause tun kannst.

DS-Lite erkennst du am zuverlässigsten daran, dass deine öffentliche IPv4-Adresse nicht dir gehört: Was die FritzBox im Online-Monitor anzeigt, weicht dann von dem ab, was ein Dienst wie „Wie ist meine IP" meldet — oder es steht dort gar keine öffentliche IPv4. Betroffen sind vor allem Kabel- und Mobilfunkanschlüsse; bei manchen Anbietern lässt sich eine echte IPv4 auf Anfrage nachrüsten, teils kostenpflichtig.

Wenn du bei DS-Lite gelandet bist und von unterwegs ins eigene Netz willst, ist das der eigentliche Punkt, an dem die Entscheidung fällt — nachzulesen im Vergleich Tailscale vs. WireGuard: Ein klassischer WireGuard-Server braucht eine erreichbare Adresse, ein Mesh-VPN wie Tailscale kommt ohne aus.

Schritt 3: Was sich mit IPv6 wirklich ändert #

Wenn IPv6 aktiv ist, sind es vier Punkte — und keiner davon hat mit der Schreibweise von Adressen zu tun.

1. Es gibt kein NAT mehr #

Bei IPv4 teilt sich dein ganzes Heimnetz eine einzige öffentliche Adresse. Der Router übersetzt zwischen innen und außen (NAT, Network Address Translation), und weil er das tut, kann von außen niemand ein Gerät direkt ansprechen — es hat schlicht keine eigene Adresse im Internet. Dieser Schutz war nie geplant; er ist ein Nebeneffekt der Adressknappheit.

Bei IPv6 ist die Knappheit weg, also entfällt NAT. Jedes Gerät bekommt eine weltweit gültige Adresse — dein Laptop, dein NAS und auch die Billig-Kamera. Was zwischen dieser Kamera und dem Internet steht, ist von nun an ausschließlich die Firewall deines Routers. Bei FritzBox und OPNsense ist sie im Auslieferungszustand dicht, und daran ändert sich nichts von allein. Aber jede Freigabe, die du setzt, wirkt jetzt direkt auf ein Gerät statt auf eine Portnummer.

Praktisch heißt das nicht „IPv6 ist gefährlich", sondern: Der zufällige Schutz fällt weg, und die bewusste Absicherung zählt. Wer sein Netz ohnehin in VLANs segmentiert, hat das Werkzeug dafür schon.

2. Du bekommst ein Präfix, keine Adresse #

Das ist der Denkfehler, an dem die meisten hängenbleiben: Bei IPv4 bekommt dein Anschluss eine Adresse. Bei IPv6 bekommt er einen ganzen Block — ein delegiertes Präfix. In Deutschland ist ein /56 der Normalfall, das sind 256 Netze der Größe /64.

Warum /64? Weil die automatische Adressvergabe (SLAAC) genau 64 Bit für den Geräteteil der Adresse braucht. Ein Netz kleiner zu schneiden spart nichts und macht nur die Autokonfiguration kaputt. Die Regel lautet deshalb schlicht: ein /64 pro Netzsegment, immer.

Damit wird IPv6-Adressplanung im Heimnetz überraschend simpel. Du rechnest keine Hosts mehr aus, sondern verteilst Netze — ein bewährtes Schema ist, die VLAN-ID als Netznummer zu nehmen: VLAN 10 bekommt das zehnte /64, VLAN 40 das vierzigste. Welche Präfixe dabei herauskommen, rechnet dir der Subnetz-Rechner im IPv6-Modus aus; dort siehst du auch sofort, wenn deine Delegation zu klein ist — bei einem /60 mit nur 16 Netzen läuft VLAN 40 ins Leere.

3. Adressen sind nicht stabil #

Zwei Dinge sorgen dafür, dass eine IPv6-Adresse ein flüchtiges Gut ist:

• Der Präfixwechsel. Viele Provider tauschen das delegierte Präfix regelmäßig aus — spätestens bei einer Zwangstrennung. Sämtliche Adressen im Heimnetz ändern sich dann auf einen Schlag.
• Privacy Extensions. Damit man Geräte nicht anhand ihrer Adresse quer durchs Internet verfolgen kann, erzeugen sie sich zusätzlich temporäre Adressen und wechseln sie regelmäßig (RFC 4941). Ein Gerät hat also typischerweise mehrere IPv6-Adressen gleichzeitig.

Die Konsequenz für dich: Feste Adressen sind keine Grundlage. Firewall- Regeln formulierst du auf Netze und Präfixe, nicht auf einzelne Hosts. Und für Server im eigenen Netz vergibst du entweder eine feste Interface-ID oder arbeitest mit lokalen DNS-Namen — die Kombination aus Pi-hole und Unbound übernimmt im Heimnetz genau diese Rolle.

4. Alles existiert doppelt #

Solange beide Protokolle laufen, hat jedes Gerät zwei Wege ins Netz — und jede Regel, die du kennst, braucht ein Gegenstück. Das ist der praktische Kern des ganzen Themas und die Quelle für fast alle IPv6-Überraschungen im Heimnetz.

Die drei Fehler, die tatsächlich weh tun #

Der Werbefilter filtert nicht mehr. Wenn dein Pi-hole nur als IPv4-DNS-Server im Netz bekannt gegeben wird, die Geräte aber zusätzlich einen IPv6-DNS-Server vom Router lernen, nehmen sie diesen — und der Filter ist umgangen. Das Tückische daran: Es funktioniert alles, es wird nur nicht mehr gefiltert. Abhilfe ist, den DNS-Server auch für IPv6 auf das Pi-hole zu zeigen (in der FritzBox unter Heimnetz → Netzwerk → Netzwerkeinstellungen → IPv6-Einstellungen). Details stehen im Pi-hole-Guide.

Firewall-Regeln greifen nur halb. Eine Regel, die IoT-Geräte vom Rest des Netzes fernhält, gilt genau für das Protokoll, für das du sie geschrieben hast. Auf OPNsense heißt das: Jede Regel braucht ihr IPv6-Gegenstück, oder du formulierst sie von vornherein protokollübergreifend. Eine Segmentierung, die nur IPv4 abdeckt, ist keine Segmentierung.

Eine Portfreigabe wirkt anders, als du denkst. Bei IPv4 gibst du einen Port am Router frei, der auf ein Gerät weiterleitet. Bei IPv6 gibt es nichts weiterzuleiten — du erlaubst der Firewall, ein bestimmtes Gerät direkt erreichbar zu machen. Das ist mächtiger und in der FritzBox auch an anderer Stelle konfiguriert. Wer beides verwechselt, öffnet schnell mehr, als er wollte.

Wann du IPv6 bewusst weglassen darfst #

Ehrlich gesagt: öfter, als man denkt.

Hast du kein IPv6 am Anschluss, ist die Sache erledigt — nichts zu tun. Hast du Dual-Stack und keine besonderen Anforderungen, läuft IPv6 nebenher, und du musst dich nur um die drei Fehler oben kümmern. Und wenn du gerade eine OPNsense hinter die FritzBox setzt, ist es sogar der pragmatischere Weg, IPv6 dahinter zunächst wegzulassen: Präfix-Delegation über zwei Router hinweg ist der fummeligste Teil dieses Aufbaus, und mit IPv4 funktioniert erst einmal alles.

Wirklich nötig wird IPv6 in genau einem Fall: bei DS-Lite, wenn du von außen an dein Heimnetz willst. Dann ist es kein Nebenthema mehr, sondern dein einziger direkter Weg nach Hause.

Der nächste Schritt #

Wenn dein Check ergeben hat, dass IPv6 läuft: Schau dir an, wie groß dein delegiertes Präfix ist, und teile es einmal sauber auf, bevor du irgendwo Regeln schreibst. Das dauert fünf Minuten und erspart dir später das Umnummerieren — der Subnetz-Rechner macht daraus im IPv6-Modus einen fertigen Adressplan für deine VLANs.

Wenn er ergeben hat, dass du keines hast: Leg das Thema beiseite. Es kommt von allein wieder — spätestens beim nächsten Anbieterwechsel.