Was ist eine Subnetzmaske? Warum sie für Dein Netzwerk wichtig ist

Damit Informationen in einem Netzwerk richtig gesendet werden können, muss jedes Gerät wissen, wohin sie gesendet werden sollen. Ohne klare Regeln würden Daten wahllos hin- und herwandern, was zu Verwirrung und Verzögerungen führen würde. Subnetzmasken sind eines der Werkzeuge, die für einen reibungslosen Netzwerkbetrieb sorgen, indem sie Verbindungen organisieren und den Datenverkehr dorthin lenken, wo er hingehört.

In diesem Leitfaden erfährst Du, warum Subnetzmasken sowohl für die Leistung als auch für die Sicherheit wichtig sind, wie Du sie auf jedem Gerät findest und was verschiedene Maskenwerte in der Praxis bedeuten. Wir werden auch fortgeschrittene Konzepte wie die CIDR-Notation (Classless Inter-Domain Routing) und das IPv6-Subnetting untersuchen, um Dir den nötigen Kontext zu vermitteln und Dir zu zeigen, wie Netzwerke heute aufgebaut sind.

Was ist eine Subnetzmaske?

Eine Subnetzmaske ist ein numerisches Muster, das festlegt, welcher Teil einer IP-Adresse sich auf das Netzwerk und welcher sich auf das Gerät (den Host) bezieht.

Wenn sie Bit für Bit mit einer IP-Adresse abgeglichen wird, hilft die Subnetzmaske den Geräten zu entscheiden, welche Adressen „lokal” (im selben Subnetz) sind und welche über einen Router erreicht werden müssen.

Bei IPv4 ist die Subnetzmaske ein 32-Bit-Wert, der typischerweise in Dezimalform mit Punkten dargestellt wird. Obwohl die IPv6-Adressierung 128 Binärbits verwendet, ist IPv4 heute nach wie vor das am weitesten verbreitete Format. Da es im Allgemeinen leichter zu verstehen ist, konzentriert sich dieser Leitfaden in erster Linie auf IPv4-Beispiele.

Erfahre mehr in unserem Leitfaden zu IPv4 vs. IPv6.

Grundlegender Aufbau von Subnetzmasken

Eine Subnetzmaske in IPv4 ist eine 32-Bit-Zahl, die aus einer fortlaufenden Folge von Einsen (1) gefolgt von Nullen (0) besteht. Dabei kennzeichnen die Einsen die Netzwerkbits und die Nullen die Hostbits.

Die Maske 255.255.255.0 entspricht beispielsweise dem Binärmuster 11111111.11111111.11111111.00000000, das heißt, es gibt 24 Einsen, gefolgt von acht Nullen. Somit kennzeichnen die ersten 24 Bits das Netzwerk und die letzten acht Bits die Hosts.

Damit eine Subnetzmaske gültig ist, müssen alle ihre Einsen am Anfang zusammenstehen, gefolgt von Nullen am Ende, ohne dass sich diese vermischen. Dieses Muster sorgt für eine klare Trennung zwischen dem Netzwerk- und dem Host-Teil einer IP-Adresse.

Das einheitliche Format ermöglicht die Darstellung von Subnetzmasken sowohl in binärer als auch in dezimaler Schreibweise mit Punkten und stellt sicher, dass Geräte schnell zwischen Netzwerk- und Host-Adressen unterscheiden können.

Dezimalnotation mit Punkten vs. binäre Darstellung

Subnetzmasken können in zwei Formen geschrieben werden: binär oder in Dezimalnotation mit Punkten. Computer verarbeiten sie zwar binär, aber diese Darstellung ist lang und für Menschen schwer zu lesen. Um dies zu vereinfachen, werden die 32 Binärbits in vier Blöcke zu je acht Bit gruppiert und als Dezimalzahlen dargestellt, die durch Punkte getrennt sind.

Jedes Bit innerhalb eines Oktetts hat ein Gewicht: 128, 64, 32, 16, 8, 4, 2 oder 1. Um von Binär in Dezimal mit Punkten umzurechnen, addiert man die Werte der Positionen, die mit einer 1 markiert sind. Die Binärzeichenfolge 11111111.11111111.11111111.00000000 entspricht beispielsweise der Dezimalzahl 255.255.255.0. Beide Formate bedeuten dasselbe: Die Dezimalnotation mit Punkten ist lediglich eine menschenfreundlichere Art der Darstellung der binären Darstellung.

Subnetze vs. Subnetzmasken

Eine Subnetzmaske und ein Subnetz hängen zwar zusammen, sind aber nicht dasselbe. Die Subnetzmaske ist ein numerische Wert, der einem Gerät mitteilt, wo eine IP-Adresse in Netzwerk- und Host-Teile aufgeteilt werden soll. Sie gibt also die Aufteilung vor.

Ein Subnetz ist ein kleinerer, logischer Abschnitt eines größeren Netzwerks, der durch das Anwenden einer Subnetzmaske auf eine IP-Adresse definiert wird. Bei der IP-Adresse 192.168.123.132 und der Subnetzmaske 255.255.255.0 definieren beispielsweise die ersten 24 Bits (192.168.123) den Netzwerkteil und die letzten 8 Bits (.132) den Host innerhalb dieses Subnetzes. Das bedeutet, dass die Adresse dem Subnetz 192.168.123.0 gehört und .132 der eindeutige Host ist.

Einfach ausgedrückt definiert die Subnetzmaske die Grenze, innerhalb der sich das Subnetz befindet.

Wozu dient eine Subnetzmaske?

Ihre Aufgabe besteht darin, Geräten mitzuteilen, welcher Teil einer IP-Adresse zum Netzwerk gehört und welcher ein bestimmtes Gerät (Host) identifiziert. Auf diese Weise hilft sie den Geräten zu entscheiden, ob die Kommunikation lokal (innerhalb desselben Subnetzes) bleiben kann oder über ein Gateway geroutet werden muss.

Mithilfe von Subnetzmasken lassen sich zudem Netzwerke in kleinere Segmente, sogenannte Subnetze, unterteilen. Das macht das Routing effizienter, reduziert den Datenverkehr und vereinfacht die Netzwerkverwaltung. Subnetzmasken reduzieren unnötigen Broadcast-Verkehr, helfen bei der Isolierung von Segmenten aus Sicherheitsgründen und verdeutlichen den Weg, den Daten nehmen müssen, um ihr Ziel zu erreichen.

So verbessert Subnetting die Netzwerkleistung

Subnetting beschleunigt Netzwerke und erleichtert deren Verwaltung, indem es unnötigen Datenverkehr reduziert. Wenn ein großes Netzwerk in kleinere Subnetze aufgeteilt wird, kommunizieren Geräte innerhalb jedes Subnetzes direkt miteinander, wodurch der lokale Datenverkehr innerhalb des Subnetzes bleibt, anstatt über das gesamte Netzwerk gesendet zu werden.

Subnetting unterstützt außerdem die Routenzusammenfassung, was bedeutet, dass Router eine zusammengefasste Route anstelle mehrerer einzelner Routen ankündigen können. Dies reduziert die Anzahl der Einträge, die jeder Router speichern und überprüfen muss, wodurch Routing-Tabellen kleiner und schneller zu verarbeiten sind. Infolgedessen dauern Lookups weniger lang, und das gesamte Netzwerk wird skalierbarer. Die Kombination aus kleineren Broadcast-Domänen und vereinfachtem Routing führt zu einer flüssigeren Leistung im gesamten Netzwerk.

Vorteile der Netzwerksegmentierung

Die Aufteilung eines Netzwerks in kleinere Segmente sorgt nicht nur für Ordnung, sondern wirkt sich auch direkt auf Geschwindigkeit, Verwaltung und Compliance aus. Subnetting hält den lokalen Datenverkehr dort, wo er hingehört, reduziert unnötige Überlastungen und gibt Administratoren eine feinere Kontrolle über den Informationsfluss.

Zu den wichtigsten Vorteilen gehören:

• Geringere Überlastung und bessere Leistung: Der lokale Datenverkehr bleibt innerhalb seines eigenen Subnetzes, wodurch verhindert wird, dass unnötige Broadcasts das gesamte Netzwerk verlangsamen.
• Höhere Sicherheit und Isolation: Jedes Subnetz schränkt den internen Zugriff ein und hilft, potenzielle Bedrohungen innerhalb seiner Grenzen einzudämmen. Dies entspricht den Zero-Trust-Prinzipien, bei denen jede Verbindung überprüft wird, anstatt Vertrauen innerhalb eines Netzwerks vorauszusetzen.
• Bessere Transparenz und Zugriffskontrolle: Administratoren können spezifische Regeln auf jedes Subnetz anwenden und Aktivitäten präziser überwachen als in einem großen Netzwerk.
• Vorteile bei Regulierung und Compliance: Sensible Systeme können in dedizierten Segmenten untergebracht werden, sodass weniger Geräte strenge Audit-Anforderungen erfüllen müssen.

Risikominderung durch Subnetting

Durch Subnetting wird eine zusätzliche Verteidigungsebene hinzugefügt, indem ein großes Netzwerk in kleinere, abgeschottete Bereiche aufgeteilt wird. Wird ein Teil kompromittiert, bleibt der Schaden auf dieses Subnetz beschränkt und breitet sich nicht über das gesamte System aus. Diese Abschottung erleichtert es, Angriffe zu stoppen, und begrenzt ihre Gesamtauswirkungen.

Außerdem verringert sich die Angriffsfläche. Da der Datenverkehr klare Grenzen passieren muss, erschwert das Subnetting es Bedrohungen, sich lateral im Netzwerk auszubreiten. Das Ergebnis sind mehr Barrieren für Angreifer und mehr Kontrolle für Sicherheitsteams darüber, wie Daten zwischen den Segmenten fließen.

Häufige Fehler, die Du vermeiden solltest

Subnetting kann Netzwerke schneller und sicherer machen, aber nur, wenn es richtig eingerichtet ist. Kleine Konfigurationsfehler können zu ernsthaften Verbindungs- oder Leistungsproblemen führen. Hier sind einige häufige Fehler, die Du vermeiden solltest:

• Verwendung der falschen Subnetzmaske: Wenn Geräte mit einer Maske konfiguriert sind, die nicht zum Netzwerk passt, können sie möglicherweise nicht richtig kommunizieren.
• Verwendung nicht passender oder Standard-Subnetzmasken: Die Verwendung einer Subnetzmaske, die nicht zur tatsächlichen Netzwerkkonfiguration passt, kann zu Kommunikationsfehlern oder Routing-Problemen führen.
• Zu große Subnetze: Mehr Hosts pro Subnetz bedeuten mehr Broadcast-Verkehr, was die Leistung verlangsamt.
• Sich überschneidende Subnetze: Wenn zwei Subnetze sich überschneidende Adressbereiche verwenden, können Geräte möglicherweise nicht wie erwartet eine Verbindung herstellen, da viele Plattformen die Verbindung blockieren, wenn Überschneidungen erkannt werden.
• Reservierte Adressen vergessen: Die erste Adresse (Netzwerk-ID) und die letzte Adresse (Broadcast-Adresse) in jedem Subnetz dürfen nicht an Hosts vergeben werden. Eine falsche Verwendung kann die Verbindung unterbrechen.
• Mangelhafte Planung und Dokumentation: Ohne einen klaren Subnetzplan sind Skalierung und Fehlerbehebung deutlich schwieriger, wodurch das Risiko von Fehlkonfigurationen steigt.

Subnetting vs. VPN: Was ist der Unterschied?

Sowohl Subnetting als auch virtuelle private Netzwerke (VPNs) beeinflussen die Bewegung des Netzwerkverkehrs, lösen jedoch unterschiedliche Probleme. Beim Subnetting wird ein großes Netzwerk in kleinere aufgeteilt, wodurch der lokale Datenverkehr eingegrenzt und die Verwaltung von Leistung und Sicherheit erleichtert wird.

Ein VPN hingegen schützt den Datenverkehr, während er sich über verschiedene Netzwerke bewegt. Es verschlüsselt Daten und leitet sie durch einen sicheren Tunnel. Dadurch sind sie auf dem Weg zu ihrem Ziel vor Abfangen oder Manipulation geschützt.

Zusammen bieten sie einen mehrschichtigen Schutz: Subnetting für die interne Organisation und ein VPN für sichere externe Verbindungen. In Kombination mit guten Netzwerksicherheitspraktiken hilft dieser Ansatz dabei, den internen sowie den externen Datenverkehr über die gesamte Infrastruktur eines Unternehmens hinweg zu schützen.

Wie finde ich meine Subnetzmaske?

Zwar werden Subnetzmasken oft automatisch verwaltet, aber wenn Du weißt, wo Du Deine Maske findest, kann Dir das bei der grundlegenden Fehlersuche im Netzwerk helfen. Du kannst damit beispielsweise langsame Verbindungen diagnostizieren, IP-Konflikte beheben oder ein Heimnetzwerk manuell einrichten.

Um Deine Subnetzmaske zu überprüfen, kannst Du entweder die Netzwerkeinstellungen Deines Geräts öffnen oder einen einfachen Systembefehl verwenden.

Anweisungen für Windows

1. Öffne die Command Prompt (Eingabeaufforderung) (drücke die Windows-Taste, gib Command Prompt (Eingabeaufforderung) ein und klicke sie an).
   
2. Gib ipconfig /all ein und drücke Enter (Eingabetaste).
   
3. Suche nach der Subnet Mask (Subnetzmaske) unter Deinem aktiven Netzwerkadapter, um den Wert zu sehen.
   

Wenn Du Deine Subnetzmaske manuell ändern möchtest, kannst Du das über das Netzwerk- und Freigabecenter tun. Wähle Change adapter settings (Adaptereinstellungen) ändern, klicke mit der rechten Maustaste auf Deine Verbindung und wähle Properties (Eigenschaften). Wähle dann Internet Protocol Version 4 (TCP/IPv4)  aus und gib die richtige Subnetzmaske manuell ein.

Anleitung für macOS

1. Öffne die System Settings (Systemeinstellungen) im Apple-Menü.
   
2. Wähle in der Seitenleiste Network (Netzwerk) und dann Wi-Fi (WLAN).
   
3. Klicke auf Details.
   
4. Öffne die Registerkarte TCP/IP. Dort findest Du Deine Subnetzmaske unter Deiner IP-Adresse.

Um sie zu ändern, öffne im gleichen Menü das Dropdown-Menü Configure IPv4 (IPv4 konfigurieren), wähle Manually (Manuell) aus und gib die richtige Subnetzmaske ein.

Anleitung für iOS

1. Öffne die Settings (Einstellungen) auf Deinem iPhone oder iPad und tippe auf Wi-Fi (WLAN).
   
2. Wähle Dein aktuelles Netzwerk aus.
   
3. Scrolle nach unten, um Deine Subnetzmaske zu sehen, die unter der IP-Adresse steht.
   

Um sie zu ändern, tippe auf Configure IP > Manual (IP konfigurieren > Manuell) und gib dann die Subnetzmaske manuell ein.

Anleitung für Android

1. Gehe in den Settings (Einstellungen) zu Network & Internet (Netzwerk & Internet) und tippe auf Internet.
   
2. Wähle das Netzwerk aus, mit dem Du verbunden bist, und tippe auf das Zahnradsymbol (oder auf Advanced (Erweitert) bei einigen älteren Android-Versionen), um die Verbindungsdetails anzuzeigen.
   
3. Deine Subnetzmaske wird zusammen mit der IP-Adresse angezeigt.
   

Um die Einstellungen zu ändern, tippst Du auf das Bleistift-Symbol, öffnest die IP settings (IP-Einstellungen), wechselst von DHCP zu Static (Statisch) und gibst die richtige Subnetzmaske oder Präfixlänge manuell ein.

Gängige Subnetzmasken und ihre Bedeutung

Nicht alle Subnetzmasken dienen dem gleichen Zweck. Einige sind für kleine lokale Netzwerke gedacht, während andere für größere Netzwerke mit Tausenden von Geräten entwickelt wurden.

Heute werden Subnetzmasken oft in der CIDR-Notation (Classless Inter-Domain Routing) angegeben, die auf einfache Weise zeigt, wie viele Bits der IP-Adresse für das Netzwerk verwendet werden. So bedeutet beispielsweise /24, dass die ersten 24 Bits für das Netzwerk verwendet werden. Das entspricht der Subnetzmaske 255.255.255.0.

CIDR und herkömmliche Subnetzmasken beschreiben dasselbe, CIDR ist lediglich eine modernere und kompaktere Darstellungsform.

/24 Subnetzmaske erklärt (255.255.255.0)

Die /24-Subnetzmaske (255.255.255.0) erzeugt insgesamt 256 Adressen. Nach der Reservierung der Netzwerk- und Broadcast-Adressen können 254 Adressen an Geräte vergeben werden. Sie ist eine der am häufigsten verwendeten Masken für lokale Netzwerke, da sie genügend Platz für Dutzende oder sogar Hunderte von Geräten bietet.

Andere gängige Subnetzmasken

Subnetzmasken sind nicht auf /24 beschränkt. Eine /16-Maske (255.255.0.0) umfasst mehr als 65.000 Adressen in einem Subnetz und eignet sich daher gut, wenn Tausende von Geräten dasselbe Netzwerk nutzen müssen.

Eine kleinere Maske, beispielsweise /30 (255.255.255.252), umfasst dagegen nur vier Adressen, von denen zwei für Geräte genutzt werden können. Sie wurde häufig für Punkt-zu-Punkt-Verbindungen verwendet, bei denen nur zwei Geräte (wie Router) miteinander kommunizieren müssen. Später wurde das Subnetz /31 (255.255.255.254) eingeführt, um die Adressverwendung für Punkt-zu-Punkt-Verbindungen zu optimieren. In diesem speziellen Fall können beide IPs verwendet werden, sodass keine separaten Netzwerk- und Broadcast-Adressen benötigt werden.

Andere kleinere Subnetzgrößen wie /25 oder /26 unterteilen ein /24-Netz weiter in kleinere Segmente. Dadurch verringert sich die Anzahl der verfügbaren Hostadressen, während gleichzeitig die Kontrolle verbessert und der lokale Datenverkehr reduziert wird.

In der Vergangenheit war die Maske /8 (255.0.0.0) der Standard für Klasse-A-Netze. Damit ergaben sich mehr als 16 Millionen Adressen in einem einzigen Block. Solche großen Zuweisungen waren in den Anfängen des Internets üblich, jedoch ineffizient. Moderne Netzwerke verwenden CIDR, um IP-Bereiche effizienter zuzuweisen. Dies ermöglicht eine flexible Unterteilung, reduziert die Verschwendung von Adressraum und vereinfacht das Routing. CIDR ist der Standard, um Subnetzmasken sowohl in IPv4 als auch in IPv6 auszudrücken.

Im Folgenden findest Du eine Übersicht der gängigen Subnetzmasken:

Fortgeschrittene Subnetting-Konzepte

Obwohl das Verständnis grundlegender Subnetzmasken wie /24 oder /16 oft ausreicht, um zu verstehen, wie Netzwerke aufgeteilt werden, gibt es auch fortgeschrittenere Konzepte, die helfen, Netzwerke zu skalieren und effizient zu halten.

IP-Klassen (A–E) und Subnetzmasken

Bevor CIDR zum Standard wurde, wurden IP-Adressen in feste Klassen eingeteilt. Jede Klasse wurde durch die ersten paar Bits der IP-Adresse definiert und hatte eine Standard-Subnetzmaske sowie einen bestimmten Bereich möglicher Adressen.

Diese Klassen waren in den frühen Netzwerkgeräten fest programmiert, sodass die Größe eines Netzwerks automatisch anhand der IP-Adresse selbst bestimmt wurde. Das führte oft zu einer Verschwendung von IP-Speicherplatz. So konnte es beispielsweise passieren, dass einem Unternehmen ein ganzes Klasse-B-Netz mit mehr als 65.000 Adressen zugewiesen wurde, obwohl es nur einige hundert benötigte. Zudem fehlte dem System die Flexibilität, da Administratoren die Netzwerkgröße nicht an ihre Bedürfnisse anpassen konnten.

CIDR löste dieses Problem, indem es erlaubte, jede Subnetzgröße mit einer Präfixlänge (z. B. /16) zu definieren, unabhängig von der Anfangsnummer der IP-Adresse. Zwar stimmen die traditionellen Klassenmasken mit den üblichen CIDR-Blöcken überein (z. B. Klasse A = /8, B = /16, C = /24), doch ist CIDR nicht an Klassenregeln gebunden.

Die Klassenadressierung ist heutzutage zwar weitgehend veraltet, die alten Klassen sind aber immer noch nützlich, wenn man mit alten Systemen oder historischen Unterlagen zu tun hat.

IPv6-Subnetzmasken

IPv6 ist eine neuere Version des Internetprotokolls, die IPv4 ablösen und den verfügbaren Adressraum erweitern soll. Es verwendet 128-Bit-Adressen, die weit mehr als die rund vier Milliarden möglichen Adressen von IPv4 ermöglichen und dafür sorgen, dass das Internet weiter wachsen kann, wenn mehr Geräte online gehen.

IPv6 verwendet statt Subnetzmasken eine Präfixlänge, die angibt, wie viele Bits der Adresse das Netzwerk definieren. So bedeutet beispielsweise 2001:db8::/32, dass die ersten 32 Bits das Netzwerk darstellen, während die restlichen Bits für die Erstellung von Subnetzen und die Zuweisung an Geräte zur Verfügung stehen.

Dieses System erleichtert das Aufteilen oder Kombinieren von Netzwerken erheblich. Anstatt Subnetzmasken, Broadcast-Adressen oder nutzbare Hostbereiche zu berechnen, passt Du einfach die Präfixlänge an, um Netzwerke nach Bedarf zu teilen oder zusammenzulegen. IPv6 verwendet auch keine separaten Broadcast-Adressen mehr, da Multicast diese Funktion ersetzt, was die Netzwerkverwaltung weiter vereinfacht.

In der Praxis ist /64 die Standardgröße für ein IPv6-Subnetz und das Minimum, das erforderlich ist, um die zustandslose Adressautokonfiguration (SLAAC) zu unterstützen, mit der Geräte ihre eigenen IP-Adressen automatisch generieren können. Die meisten Internetprovider weisen mindestens ein /64 zu, oft auch einen größeren Block wie /48, der in bis zu 65.536 einzelne /64-Subnetze unterteilt werden kann. Das reicht für separate lokale Netzwerke (LANs), Gastnetzwerke, VPNs oder Segmente des Internets der Dinge (IoT).

Subnetting in Heimnetzwerken mit VPN-Routern

Zu Hause kann das Subnetting dabei helfen, Geräte in kleinere Gruppen einzuteilen, anstatt alles in einem großen Netzwerk zu belassen. So ist es beispielsweise einfacher, Arbeitsgeräte, Smart-TVs oder IoT-Geräte in eigene Segmente aufzuteilen und sie dennoch über denselben Router zu verbinden.

Beim Subnetting ist zu beachten, dass nicht jede Adresse in einem Subnetz nutzbar ist. Die erste und die letzte Adresse jedes Subnetzes sind reserviert und können daher nicht an Geräte vergeben werden. Diese einfache Regel gilt in Heimnetzwerken genauso wie in größeren Unternehmensnetzwerken.

Einige fortschrittliche Heimrouter, wie der ExpressVPN Aircove Router, unterstützen VPN-Verbindungen auf Routerebene. So können auch Geräte geschützt werden, die VPN-Apps nicht direkt unterstützen, wie Spielkonsolen oder Smart-TVs. Mit einer solchen Einrichtung kannst Du Dein Netzwerk in Zonen für Arbeit, Gäste oder das Internet der Dinge (IoT) einteilen und gleichzeitig den gesamten Datenverkehr durch einen verschlüsselten VPN-Tunnel leiten.