IPv4 vs. IPv6: Was Unternehmen wissen müssen

Adressierung, Erreichbarkeit und Sicherheit bei Internetanschlüssen richtig einordnen

IPv4 und IPv6 bilden die Grundlage dafür, dass Daten in IP-Netzen ihr Ziel erreichen. Für Unternehmen wird der Unterschied relevant, wenn Standorte vernetzt, Server veröffentlicht, Cloud-Dienste angebunden oder Firewall-Regeln geplant werden.

IPv6 ersetzt IPv4 nicht überall auf einmal. In vielen Umgebungen werden beide Protokolle parallel genutzt oder durch Übergangsverfahren miteinander verbunden. Unternehmen sollten deshalb nicht nur fragen, ob ein Anschluss „IPv6 kann“, sondern welche öffentlichen Adressen, Präfixe und Übergangsmechanismen konkret bereitgestellt werden.

Das Wichtigste in Kürze:

IPv4 verwendet 32-Bit-Adressen, IPv6 128-Bit-Adressen.
IPv6 ist nicht automatisch sicherer; Firewall-Regeln und Schutzmaßnahmen bleiben erforderlich.
IPsec schützt IPv6-Verbindungen nicht automatisch. Es muss passend eingerichtet und betrieben werden.
Eine feste private Adresse im Firmennetz ist nicht dasselbe wie eine feste öffentliche Adresse am Internetanschluss.
NAT übersetzt Adressen, ist aber keine Firewall.
CGNAT und DS-Lite können die direkte Erreichbarkeit über IPv4 einschränken.
Dual Stack stellt IPv4 und IPv6 parallel bereit.
Eine pauschale kurzfristige Abschaltung von IPv4 lässt sich nicht seriös ankündigen.

Was ist eine IP-Adresse?

Eine IP-Adresse kennzeichnet eine Schnittstelle oder ein Ziel in einem IP-Netz. Router verwenden die Adresse, um Datenpakete schrittweise zum vorgesehenen Netz und Endgerät weiterzuleiten.

Dabei sind mehrere Eigenschaften voneinander zu trennen:

Protokollversion: IPv4 oder IPv6
Geltungsbereich: öffentlich beziehungsweise global erreichbar oder nur intern nutzbar
Zuweisung: dynamisch oder dauerhaft beziehungsweise fest
Rolle: Adresse eines Endgeräts, Routers, Servers oder einer anderen Netzschnittstelle

Ein Gerät kann mehrere Adressen gleichzeitig besitzen. Ein Notebook kann beispielsweise eine private IPv4-Adresse, eine globale IPv6-Adresse und zusätzliche lokale IPv6-Adressen verwenden.

Eine IP-Adresse ist kein Benutzername und kein Sicherheitsnachweis. Sie sagt auch nichts über Bandbreite oder Verfügbarkeit des Anschlusses aus. Diese Eigenschaften müssen separat betrachtet werden.

IPv4 verständlich erklärt

IPv4 ist die vierte Version des Internet Protocol und verwendet Adressen mit 32 Bit. Üblicherweise werden sie als vier Dezimalzahlen dargestellt, zum Beispiel 192.0.2.10. Diese Beispieladresse stammt aus einem speziell für Dokumentation reservierten Bereich und gehört keinem hier beschriebenen Kundennetz.

Der 32-Bit-Adressraum umfasst rechnerisch rund 4,3 Milliarden Werte. Nicht alle davon stehen als weltweit routbare Endgeräteadressen zur Verfügung. Der knappe öffentliche IPv4-Adressraum ist ein Grund dafür, dass private Adressen, NAT und providerseitiges CGNAT weit verbreitet sind.

IPv4 wird weiterhin von vielen Anwendungen, Partnernetzen, Sicherheitsregeln und älteren Geräten verwendet. Unternehmen sollten daher keine pauschale Abschaltung annehmen. Stattdessen ist zu prüfen, welche Systeme heute ausschließlich IPv4 unterstützen und wie lange diese Abhängigkeit bestehen bleibt.

Eine öffentliche IPv4-Adresse kann dynamisch wechseln oder dem Anschluss fest zugeordnet sein. Ob sie direkt am Unternehmensrouter anliegt oder durch CGNAT ersetzt wird, hängt vom konkreten Produkt ab.

IPv6 verständlich erklärt

IPv6 verwendet 128-Bit-Adressen und bietet damit einen wesentlich größeren Adressraum. Die Darstellung erfolgt hexadezimal und durch Doppelpunkte getrennt. Ein dokumentationsgeeignetes Beispiel ist 2001:db8::10; das Präfix 2001:db8::/32 ist ausdrücklich für Beispiele reserviert.

IPv6 ermöglicht es, Netzen umfangreiche Präfixe zuzuweisen und Geräte ohne die bei IPv4 übliche Adressknappheit zu adressieren. Ein Unternehmen erhält je nach Anschluss möglicherweise ein IPv6-Präfix, aus dem interne Netze gebildet werden. Ob dieses Präfix dauerhaft bleibt, muss im Vertrag oder der technischen Leistungsbeschreibung geprüft werden.

IPv6 verwendet unter anderem Neighbor Discovery und ICMPv6 für wichtige Netzwerkfunktionen. Diese Protokolle dürfen nicht pauschal blockiert werden, sondern benötigen passende Sicherheitsregeln.

IPv6 bedeutet nicht automatisch, dass jedes Gerät ungeschützt aus dem Internet erreichbar ist. Entscheidend sind Routing und Firewall-Konfiguration. Ebenso ist IPv6 nicht automatisch sicherer: Fehlkonfigurationen, ungeschützte Dienste und veraltete Systeme bleiben Risiken.

IPv4 und IPv6 im Vergleich

Kriterium	IPv4	IPv6
Adresslänge	32 Bit	128 Bit
Beispieldarstellung	192.0.2.10	2001:db8::10
Öffentlicher Adressraum	Begrenzt; private Adressen und Übersetzungsverfahren sind weit verbreitet	Sehr großer Adressraum; globale Präfixe können umfangreich zugewiesen werden
Interne Adressierung	Private Bereiche nach RFC 1918, häufig zusammen mit NAT	Globale Adressen, Link-Local-Adressen und optional Unique Local Addresses
Direkte Erreichbarkeit	Hängt von öffentlicher Adresse, NAT, CGNAT, Routing und Firewall ab	Hängt von globaler Adresse, Routing und Firewall ab
Übergang und Kompatibilität	Von vielen bestehenden Systemen weiterhin benötigt	Wird parallel zu IPv4 oder über Übergangsmechanismen eingeführt
Sicherheit	Benötigt Firewall, sichere Dienste und gegebenenfalls Verschlüsselung	Benötigt ebenso Firewall und sichere Dienste; IPsec ist nicht automatisch aktiv

Die Tabelle beschreibt Protokolleigenschaften. Sie sagt nicht aus, dass ein Anschluss mit einer bestimmten Version schneller, stabiler oder automatisch besser geschützt ist.

Öffentliche und private Adressen

Eine öffentliche IPv4-Adresse ist grundsätzlich im öffentlichen Internet routbar. Ob ein Dienst tatsächlich erreichbar ist, bestimmen zusätzlich Router, NAT, Firewall und Serverkonfiguration.

Private IPv4-Adressen werden innerhalb von Unternehmensnetzen genutzt. Die dafür reservierten Bereiche umfassen 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Sie können in unterschiedlichen privaten Netzen wiederverwendet werden und werden nicht direkt durch das öffentliche Internet geroutet.

Bei IPv6 werden häufig globale Unicast-Adressen für über Netzgrenzen routbare Kommunikation verwendet. Daneben gibt es Link-Local-Adressen, die nur auf dem jeweiligen Netzsegment gelten, sowie Unique Local Addresses aus fc00::/7 für lokale Zwecke. Unique Local Addresses sind nicht als globale Internetadressen vorgesehen.

Wichtig ist die Verantwortungsgrenze: Eine feste private Adresse ordnet beispielsweise einem Server intern dauerhaft dieselbe Adresse zu. Sie ändert nichts an der öffentlichen Adresse oder dem Präfix des Internetanschlusses.

Dynamische und feste Adressen

Eine dynamische Adresse kann durch den Internetanbieter oder durch interne Adressvergabe wechseln. Wie häufig dies geschieht, ist produkt- und konfigurationsabhängig.

Eine feste öffentliche IP-Adresse beziehungsweise ein festes IPv6-Präfix bleibt entsprechend der vereinbarten Bedingungen dem Anschluss zugeordnet. Das kann für VPN-Gegenstellen, DNS, Firewall-Allowlists oder eigene Dienste hilfreich sein.

Eine feste private IP-Adresse gilt dagegen nur im Firmennetz. Sie kann manuell gesetzt oder über eine DHCP-Reservierung wiederholt demselben Gerät zugewiesen werden. Eine solche Reservierung erzeugt keine feste öffentliche IP-Adresse.

Auch bei IPv6 sollte geklärt werden, ob das bereitgestellte Präfix stabil ist. Ein wechselndes Präfix kann DNS, Firewall-Regeln und interne Adressplanung beeinflussen.

Wann eine dauerhaft bekannte öffentliche Adresse sinnvoll ist, erläutert Feste IP-Adresse für Unternehmen.

NAT und CGNAT verständlich erklärt

NAT steht für Network Address Translation. Im typischen IPv4-Firmennetz übersetzt ein Router private interne Adressen in eine öffentliche Adresse. Über Portnummern können viele interne Verbindungen dieselbe öffentliche IPv4-Adresse verwenden.

NAT ist nicht dasselbe wie eine Firewall. Die Übersetzung kann unbeabsichtigt bestimmte eingehende Verbindungen erschweren, ersetzt aber keine bewusst definierte Sicherheitsrichtlinie. Zugriffe müssen durch Firewall-Regeln, sichere Dienste und Authentisierung kontrolliert werden.

CGNAT bedeutet Carrier-Grade NAT. Die Adressübersetzung erfolgt zusätzlich im Netz des Anbieters. Mehrere Kunden teilen sich dabei eine oder mehrere öffentliche IPv4-Adressen. Der Bereich 100.64.0.0/10 ist für diesen Zweck als gemeinsamer Adressraum vorgesehen.

Bei CGNAT liegt am Unternehmensrouter häufig keine eigene öffentliche IPv4-Adresse an. Klassische eingehende Portweiterleitungen, bestimmte VPN-Szenarien oder IPv4-basierte Allowlists können dadurch erschwert oder unmöglich werden. CGNAT ist nicht pauschal schlecht, passt aber nicht zu jeder Anforderung. Vor Vertragsabschluss sollte die benötigte Erreichbarkeit geklärt werden.

Dual Stack, DS-Lite und weitere Übergangslösungen

Da IPv4 und IPv6 über längere Zeit parallel bestehen, werden verschiedene Übergangsmodelle verwendet.

Dual Stack bedeutet, dass Geräte oder Router IPv4 und IPv6 parallel unterstützen. Anwendungen können je nach Ziel, DNS-Einträgen und Netzverfügbarkeit eines der beiden Protokolle nutzen. Unternehmen müssen dann beide Protokollwelten konfigurieren, überwachen und absichern.

DS-Lite steht für Dual-Stack Lite. Der Kundenanschluss erhält eine native IPv6-Verbindung. IPv4-Daten werden über IPv6 zu einer providerseitigen Übersetzungsfunktion transportiert. Dadurch teilen sich mehrere Kunden öffentliche IPv4-Ressourcen. Eine eigene, direkt am Kundenrouter anliegende öffentliche IPv4-Adresse ist in einer typischen DS-Lite-Bereitstellung nicht vorgesehen.

Weitere Ansätze können Übersetzung zwischen IPv6 und IPv4, anwendungsbezogene Proxys oder Tunnel umfassen. Welche Lösung eingesetzt wird, bestimmt der Anbieter beziehungsweise die Unternehmensarchitektur.

Übergangsmechanismen sind weder automatisch gut noch schlecht. Entscheidend ist, ob Anwendungen, VPNs, Monitoring und Sicherheitsregeln damit zuverlässig funktionieren. Lassen Sie sich die konkrete Anschlussart technisch bestätigen.

Wann Unternehmen weiterhin eine öffentliche IPv4-Adresse benötigen

Eine eigene öffentliche IPv4-Adresse kann weiterhin erforderlich oder betrieblich sinnvoll sein, wenn:

externe Systeme einen Dienst ausschließlich über IPv4 erreichen müssen,
klassische Site-to-Site-VPN-Gegenstellen eine bekannte IPv4-Adresse erwarten,
Partner oder Cloud-Dienste nur IPv4-Adressen in Allowlists akzeptieren,
ältere Geräte oder Anwendungen kein IPv6 unterstützen,
ein eigener IPv4-Dienst direkt am Standort betrieben wird,
Monitoring oder Fernwartung auf einer eindeutig zuordenbaren IPv4-Adresse basiert.

Nicht jedes dieser Szenarien verlangt zwingend eine am Anschluss terminierende IPv4-Adresse. Vermittelte VPN-Dienste, Reverse-Verbindungen, Proxys oder externes Hosting können Alternativen sein. Diese verändern jedoch Architektur, Verantwortlichkeiten und Abhängigkeiten.

Prüfen Sie deshalb die Anwendung und nicht nur den Wunsch nach „einer IPv4“. Benötigt wird möglicherweise eine feste Einzeladresse, ein gerouteter Adressblock, nur ausgehende IPv4-Konnektivität oder überhaupt keine öffentliche IPv4-Erreichbarkeit.

Bedeutung für VPN, Server, Fernzugriff, Cloud und Standortvernetzung

VPN: Beide Protokollversionen können für VPN-Verbindungen verwendet werden. Gegenstellen, Zertifikate, DNS und Firewall-Regeln müssen jedoch zur gewählten Architektur passen. IPsec ist bei IPv6 nicht automatisch aktiv und schützt eine Verbindung nur, wenn Richtlinien, Schlüssel und Endpunkte korrekt eingerichtet sind.

Server und Fernzugriff: Für eingehende Verbindungen sind öffentliche Erreichbarkeit, Routing und Firewall entscheidend. Bei IPv4 können NAT oder CGNAT den Weg beeinflussen. Bei IPv6 kann ein Server eine globale Adresse besitzen, bleibt aber durch passende Firewall-Regeln zu schützen.

Cloud: Cloud-Dienste unterstützen IPv4 und IPv6 nicht immer im selben Umfang. Prüfen Sie Netzschnittstellen, DNS, Load Balancer, Sicherheitsgruppen, Protokollierung und ausgehende Verbindungen für beide Protokolle.

Standortvernetzung: Adressbereiche dürfen sich nicht unkontrolliert überschneiden. Das betrifft besonders private IPv4-Netze mehrerer Standorte. IPv6-Präfixplanung kann die Struktur vereinfachen, benötigt aber ebenfalls dokumentiertes Routing und Sicherheitsregeln. Weitere Grundlagen bietet Standortvernetzung für Unternehmen.

Bandbreite und Upload sind von der Adressversion getrennte Kriterien. Orientierung liefern Welche Bandbreite braucht mein Unternehmen? und Symmetrisch vs. asymmetrisch.

Sicherheit und Firewall-Konfiguration

IPv6 muss als eigener Betriebs- und Sicherheitsbereich behandelt werden. Eine nur für IPv4 gepflegte Firewall-Regel schützt nicht automatisch IPv6-Verkehr.

Wichtige Maßnahmen sind:

Firewall-Richtlinien für IPv4 und IPv6 konsistent planen,
standardmäßig nur notwendige eingehende Verbindungen erlauben,
ICMPv6 nicht pauschal blockieren, sondern funktionsgerecht filtern,
Router Advertisements und Neighbor Discovery kontrollieren,
DNS-A- und AAAA-Einträge gemeinsam verwalten,
Protokollierung und Monitoring für beide Protokolle aktivieren,
Betriebssysteme, Router, Firewalls und Anwendungen aktuell halten,
ungenutzte Übergangsmechanismen deaktivieren,
VPN- und IPsec-Konfigurationen bewusst prüfen,
öffentliche Dienste härten und regelmäßig testen.

IPv6 ist nicht automatisch sicherer als IPv4. Der größere Adressraum erschwert bestimmte einfache Scans, verhindert aber keine gezielten Angriffe, Fehlkonfigurationen oder kompromittierte Endgeräte.

NAT darf nicht als Sicherheitskonzept missverstanden werden. Der eigentliche Schutz entsteht durch zustandsbehaftete Firewalls, Zugriffskontrollen, sichere Anwendungen und Überwachung. Welche Service- und Entstörungsbedingungen für die eingesetzte Infrastruktur gelten, erläutert Entstörungszeit und SLA bei Business-Internet.

Checkliste für Unternehmen

Unterstützt der Anschluss natives IPv4, natives IPv6 oder beide Protokolle?
Wird Dual Stack, DS-Lite, CGNAT oder ein anderer Übergangsmechanismus eingesetzt?
Erhält das Unternehmen eine eigene öffentliche IPv4-Adresse?
Ist die öffentliche IPv4-Adresse dynamisch oder fest?
Welches IPv6-Präfix wird bereitgestellt?
Bleibt das IPv6-Präfix vertraglich beziehungsweise technisch stabil?
Welche Anwendungen und Geräte unterstützen ausschließlich IPv4?
Welche Dienste müssen von außen erreichbar sein?
Benötigen Partner IPv4-Adressen für Allowlists?
Funktionieren bestehende VPNs mit der vorgesehenen Anschlussart?
Sind DNS, Monitoring und Protokollierung für A- und AAAA-Einträge vorbereitet?
Existieren vollständige Firewall-Regeln für IPv4 und IPv6?
Werden ICMPv6 und Neighbor Discovery korrekt behandelt?
Sind interne IPv4-Bereiche zwischen Standorten überschneidungsfrei?
Ist ein IPv6-Adress- und Präfixplan dokumentiert?
Unterstützen Cloud-Dienste, Sicherheitsprodukte und Fernwartung beide Protokolle?
Sind Tests für Erreichbarkeit, Ausfall und Rückfallverfahren vorgesehen?
Sind Verantwortlichkeiten für Adressverwaltung und Firewall-Pflege geklärt?

Häufige Fragen

Ist IPv6 automatisch sicherer als IPv4?

Nein. IPv6 verfügt über andere Adressierungs- und Protokolleigenschaften, benötigt aber ebenso korrekt konfigurierte Firewalls, sichere Anwendungen, Updates und Monitoring.

Schützt IPsec automatisch jede IPv6-Verbindung?

Nein. IPsec-Unterstützung bedeutet nicht, dass jede Verbindung automatisch verschlüsselt oder authentisiert wird. Schutz entsteht erst durch eine bewusst eingerichtete IPsec-Verbindung mit passenden Richtlinien und Schlüsseln.

Ist NAT eine Firewall?

Nein. NAT übersetzt Adressen. Eine Firewall entscheidet anhand definierter Regeln, welcher Verkehr erlaubt oder blockiert wird. Beide Funktionen können im selben Gerät umgesetzt sein, bleiben aber technisch verschieden.

Was ist der Unterschied zwischen CGNAT und DS-Lite?

CGNAT bezeichnet providerseitige IPv4-Adressübersetzung für mehrere Kunden. DS-Lite ist ein Übergangsmodell, bei dem IPv6 nativ bereitgestellt und IPv4 über IPv6 zu einer providerseitigen Übersetzung transportiert wird.

Ist eine feste private Adresse dasselbe wie eine feste öffentliche IP?

Nein. Eine feste private Adresse gilt nur im Unternehmensnetz. Die feste öffentliche Adresse beziehungsweise das feste Präfix betrifft den Internetanschluss. Eine DHCP-Reservierung ändert nur die interne Zuweisung.

Muss IPv4 bald vollständig abgeschaltet werden?

Eine pauschale Frist lässt sich nicht nennen. IPv4 und IPv6 werden vielerorts parallel betrieben. Unternehmen sollten eigene Abhängigkeiten schrittweise reduzieren, statt von einem allgemeinen kurzfristigen Abschalttermin auszugehen.

Braucht jedes Unternehmen eine öffentliche IPv4-Adresse?

Nein. Sie kann für ältere VPNs, IPv4-Dienste oder Allowlists erforderlich sein. Unternehmen mit ausschließlich ausgehenden Verbindungen oder geeigneten vermittelten Lösungen benötigen sie möglicherweise nicht.

IPv4 und IPv6 gemeinsam planbar machen

Die Umstellung ist kein einmaliger Schalter. Unternehmen sollten Anwendungen, Geräte, Adresspläne, DNS und Sicherheitsregeln erfassen und beide Protokolle kontrolliert betreiben. Entscheidend ist, welche Adressen und Übergangsmechanismen der konkrete Anschluss tatsächlich bereitstellt.

Wenn Sie Anforderungen an IPv4, IPv6 und öffentliche Erreichbarkeit mit GFU besprechen möchten, können Sie über die Kontaktseite eine Anfrage stellen. Welche Adressierungsoptionen verfügbar sind und wie sie zum jeweiligen Einsatzfall passen, muss anschließend standort- und produktbezogen geprüft werden.

Kontakt aufnehmen