Starlink und feste IP: Was Unternehmen für VPN und Fernzugriff wissen müssen

• Private Adresse: gilt nur in Ihrem lokalen Netz, etwa 192.168.x.x.
• CGNAT (Carrier-Grade NAT): Der Anbieter gibt Ihnen eine Adresse aus einem besonderen privaten Bereich – bei Starlink aus 100.64.0.0/10 – und übersetzt sie in eine öffentliche Adresse, die sich mehrere Kunden teilen. Von außen ist Ihr Standort darüber nicht erreichbar.
• Öffentliche IPv4: Ihre Firewall erhält eine eigene, aus dem Internet erreichbare Adresse.
• Feste (statische) IP: Die öffentliche Adresse bleibt dauerhaft gleich, meist vertraglich zugesichert.

Starlink beschreibt die öffentliche IPv4 als per DHCP vergeben. Ein Reservierungssystem hält Adresse und IPv6-Präfix auch bei Aus- und Einschalten; wird die Antenne versetzt oder die Software aktualisiert, kann sich die Adresse ändern. Echte statische IPs sind laut Starlink nicht verfügbar. Allgemeine Grundlagen erklärt CGNAT, DS-Lite und Dual Stack.

Laut Starlink lässt die Standard-Richtlinie mit CGNAT keinen eingehenden Datenverkehr zu. Eine Portweiterleitung am eigenen Router hilft dann nicht, weil die Verbindung schon vorher beim Anbieter endet.

Für Dienste, die von außen erreichbar sein sollen – etwa eine VPN-Einwahl, Kameras oder ein Server –, empfiehlt Starlink einen eigenen Router oder eine Firewall und einen Tarif mit öffentlicher IPv4-Option. Die Option aktivieren Sie im Starlink-Kundenkonto. Der Starlink-Router selbst unterstützt keine Portweiterleitung und keine Firewall-Regeln.

Zusätzlich sperrt Starlink für alle Kunden ausgehend die Ports TCP/25 (SMTP) und TCP/445 (SMB). Ein eigener Mailserver, der direkt Mails verschickt, funktioniert darüber also nicht.

Starlink unterstützt laut eigener Hilfe natives IPv6 auf allen Routern und Tarifen. Ihre Firewall erhält ein /64-Präfix für die WAN-Seite und kann ein /56-Präfix für Ihr internes Netz anfordern (DHCPv6 Prefix Delegation). Mit IPv6 sind Geräte grundsätzlich direkt adressierbar – die Freigabe regelt Ihre Firewall.

Der Haken: Die Gegenstelle muss ebenfalls IPv6 sprechen. Wer aus einem reinen IPv4-Netz zugreift, etwa aus manchem Hotel- oder Kundennetz, erreicht IPv6-Dienste nicht. Und auch das IPv6-Präfix kann sich nach Standortwechsel oder Software-Update ändern.

Eigene schematische Darstellung. Grafik in Originalgröße öffnen

Der einfachste Weg führt vom Standort nach außen: Ihre Firewall baut den VPN-Tunnel zur Zentrale, zum Rechenzentrum oder zum Cloud-Netz auf. Das funktioniert auch hinter CGNAT, wenn das VPN-Verfahren NAT-Traversal beherrscht – also den Tunnel in UDP- oder TCP-Pakete verpackt.

Starlink nennt genau das als Voraussetzung für Site-to-Site-VPN und SD-WAN. VPNs, die nur auf den Protokollen GRE, ESP, AH oder L2TP basieren, werden laut Starlink von CGNAT verworfen. Viele Firewalls aktivieren NAT-Traversal automatisch; prüfen Sie es dennoch in der Konfiguration.

Umgekehrt gilt: Eine VPN-Einwahl von außen zum Standort – etwa für Mitarbeitende im Homeoffice – braucht einen erreichbaren Endpunkt. Dafür kommen die öffentliche IPv4-Option oder ein Gateway infrage.

Viele Dienste lassen nur bekannte Absenderadressen zu – etwa Banken-Schnittstellen, Branchenportale oder die Fernwartung eines Herstellers. Mit Starlink ist die Absenderadresse nicht dauerhaft gleich: unter CGNAT teilen Sie sie mit anderen, mit öffentlicher IPv4 kann sie sich ändern.

Setzen Sie Starlink als Backup neben Glasfaser ein, kommt ein zweiter Effekt hinzu: Beim Umschalten wechselt die Absenderadresse auf die von Starlink. Dienste mit Freigabeliste lehnen die Verbindung dann ab. Laut Starlink kann eine Zelle außerdem gelegentlich zu einem anderen Netzknoten wechseln; dabei erhält die Antenne für etwa zehn Minuten Adressen beider Knoten.

Ein Gateway ist ein Server oder Clouddienst mit fester IP-Adresse. Ihr Standort baut einen Tunnel dorthin auf; nach außen erscheinen Sie mit der festen Adresse des Gateways, und eingehende Verbindungen kommen über den Tunnel zu Ihnen.

Das löst das IP-Problem – schafft aber neue Abhängigkeiten:

• Verfügbarkeit: Fällt das Gateway aus, ist der Standort nicht mehr erreichbar.
• Kosten: Der Dienst kostet zusätzlich, je nach Bandbreite und Anbieter.
• Leistung: Der Verkehr nimmt einen Umweg über das Gateway.
• Vertrauen und Datenschutz: Ihr Verkehr läuft über einen weiteren Anbieter. Klären Sie Standort der Server und Auftragsverarbeitung.

Alternativ kann ein Gateway in Ihrem eigenen Rechenzentrum oder an einem Glasfaserstandort mit fester IP stehen.

1. Im Starlink-Kundenkonto prüfen, welcher Tarif gebucht ist und ob die öffentliche IPv4-Option aktiv ist.
2. Die WAN-Adresse Ihrer Firewall mit der von außen sichtbaren Adresse vergleichen. Beginnt die WAN-Adresse mit 100.64 bis 100.127, liegt CGNAT vor.
3. Für jeden Dienst festhalten: Wer baut die Verbindung auf, welches Protokoll, welche Gegenstelle?
4. IPv6-Präfix, Firewall-Regeln und doppeltes NAT prüfen.
5. Den Zugriff aus einem fremden Netz testen und Adresswechsel dokumentieren.

Fachlich geprüft am 20.10.2026. Starlink kann Adressvergabe und Tarife ändern; prüfen Sie die Bedingungen vor der Bestellung erneut.

• Starlink-Hilfe: Welche IP-Adressen vergibt Starlink?
• Starlink-Hilfe: IP-Adresse auf öffentlich setzen
• Starlink-Hilfe: Portweiterleitung mit dem Starlink-Router
• Starlink-Hilfe: Site-to-Site-VPN und SD-WAN
• Starlink: Servicetarife für Unternehmen