Was ist eine Subnetzmaske und wie berechnet man sie?

Sie öffnen die Details Ihrer WLAN-Verbindung und finden drei Zahlen untereinander: eine IP-Adresse wie 192.168.1.37, eine Router-Adresse wie 192.168.1.1 und dazwischen die Subnetzmaske 255.255.255.0. Zwei davon sehen wie Adressen aus. Die dritte nicht ganz, und doch kann eine einzige falsche Ziffer darin einen Laptop vom Drucker oder vom Internet abschneiden.

Dieser Beitrag erklärt, was eine Subnetzmaske tut, wie Sie 255.255.255.0 und /24 lesen und wie Sie ein Subnetz an einem durchgerechneten Beispiel in Binärschreibweise berechnen. Danach zeigen wir, wo Sie Ihre Maske auf jedem Gerät finden, was eine falsche Maske kaputtmacht und warum Proxy-Nutzer von /24-Blöcken sprechen.

Was ist eine Subnetzmaske?#

Eine Subnetzmaske ist die Einstellung, die eine IPv4-Adresse in zwei Teile trennt: den Netzanteil, den alle Geräte im selben lokalen Netz gemeinsam haben, und den Hostanteil, der bei jedem Gerät anders ist. Ein Host ist alles, was eine Adresse hat: ein Laptop, ein Smartphone, ein Drucker. Microsofts Leitfaden zu TCP/IP-Adressierung und Subnetzen nennt auch den Zweck der Trennung: TCP/IP entscheidet mit der Maske, ob ein anderer Host im lokalen Subnetz oder in einem entfernten Netz liegt.

Eine IPv4-Adresse besteht aus 32 Bit, geschrieben als vier Zahlen von 0 bis 255; jede Zahl ist ein Oktett, also acht Bit. Die Maske wird genauso geschrieben, ist aber keine Adresse: An sie wird nie etwas gesendet. Wenn Ihnen schon die Adresse selbst neu ist, beginnen Sie mit Was ist eine IP-Adresse?

Ein Subnetz (Teilnetz) ist die Gruppe von Adressen mit demselben Netzanteil. Mit einer Postanschrift verglichen markiert die Maske, wo der Straßenname endet und die Hausnummer beginnt.

Wie lesen Sie 255.255.255.0?#

Binär. 255 sind acht Einsen (11111111) und 0 sind acht Nullen, also besteht 255.255.255.0 aus 24 Einsen, gefolgt von 8 Nullen. Einsen markieren den Netzanteil, Nullen den Hostanteil.

Der CIDR-Standard verlangt, dass die Einsen von links lückenlos aufeinanderfolgen. Deshalb kann jedes Oktett einer Maske nur 255, 254, 252, 248, 240, 224, 192, 128 oder 0 sein, mit 8 bis 0 Einsen. 255.255.255.192 ist gültig (8 + 8 + 8 + 2 = 26 Einsen), 255.255.255.100 nicht.

Was bedeutet /24?#

/24 ist die Kurzform derselben Maske: Sie zählt die Einsen. 192.168.1.37 mit 255.255.255.0 wird als 192.168.1.37/24 geschrieben. Die Schreibweise stammt aus CIDR (Classless Inter-Domain Routing), heute definiert in RFC 4632: eine Adresse, ein Schrägstrich und ein Wert von 0 bis 32, der die Zahl der signifikanten Bits angibt, die Präfixlänge.

Vor CIDR waren Adressen in Klassen mit festen Masken eingeteilt: Klasse A nutzte 255.0.0.0, Klasse B 255.255.0.0 und Klasse C 255.255.255.0. RFC 4632 hat die Klassen abgeschafft, seine Tabelle bezeichnet /24 aber noch als die Größe der früheren Klasse C. Deshalb ist bis heute von einem „Klasse-C-Netz“ die Rede.

Wie nutzt Ihr Gerät die Subnetzmaske?#

Es vergleicht vor jedem Senden Adressen, um zu sehen, ob das Ziel innerhalb des lokalen Netzes liegt oder dahinter:

1. Es kennt seine eigene Adresse und Maske, zum Beispiel 192.168.1.37 und 255.255.255.0, meist vom Router per DHCP erhalten, dem Dienst, der Netzwerkeinstellungen automatisch verteilt.
2. Es berechnet sein eigenes Netz mit einer Operation namens UND (AND): Ein Bit der Adresse bleibt nur dort erhalten, wo die Maske eine 1 hat. Das Ergebnis ist 192.168.1.0.
3. Dasselbe macht es mit dem Ziel. Ein Drucker unter 192.168.1.200 ergibt ebenfalls 192.168.1.0; eine Website unter 203.0.113.25 ergibt 203.0.113.0.
4. Gleiches Netz: direkt zustellen. Das Paket geht direkt an den Drucker.
5. Anderes Netz: an das Gateway senden. Das Paket für die Website geht an Ihren Router, der es in Richtung Internet weiterleitet.

Wie berechnen Sie ein Subnetz aus IP-Adresse und Maske?#

Verknüpfen Sie Adresse und Maske mit UND, dann erhalten Sie die Netzwerkadresse; setzen Sie alle Hostbits auf 1, dann erhalten Sie die Broadcast-Adresse; zählen Sie die Hostbits, dann kennen Sie die Größe. Hier ist 192.168.1.37/24, Zeile für Zeile mit einem kurzen Skript geprüft:

1. Schreiben Sie die Adresse binär. 192 ist 11000000, 168 ist 10101000, 1 ist 00000001 und 37 ist 00100101 (32 + 4 + 1).
2. Schreiben Sie die Maske darunter: 24 Einsen, dann 8 Nullen.
3. Verknüpfen Sie beide Zeilen mit UND. Wo die Maske eine 1 hat, übernehmen Sie das Bit der Adresse; wo sie eine 0 hat, schreiben Sie 0. Das ist die Netzwerkadresse.
4. Setzen Sie die 8 Hostbits auf 1. Das ist die Broadcast-Adresse, die alle Geräte im Subnetz gleichzeitig erreicht.
5. Zählen und abziehen. Acht Hostbits ergeben 2⁸ = 256 Adressen. Netzwerk- und Broadcast-Adresse können keinem Gerät zugewiesen werden, es bleiben also 254 nutzbare Adressen: 192.168.1.1 bis 192.168.1.254.

                dezimal          binär
IP-Adresse      192.168.1.37     11000000.10101000.00000001.00100101
Subnetzmaske    255.255.255.0    11111111.11111111.11111111.00000000
Netz (UND)      192.168.1.0      11000000.10101000.00000001.00000000
Broadcast       192.168.1.255    11000000.10101000.00000001.11111111

Für andere Masken gibt es eine Abkürzung. Bei /26 (255.255.255.192) ziehen Sie das letzte Oktett, das nicht 0 ist, von 256 ab: 256 − 192 = 64, die Subnetze beginnen also bei .0, .64, .128 und .192. Eine Adresse, die auf .100 endet, fällt in den .64-Block: Netz 192.168.1.64, Broadcast 192.168.1.127, nutzbar .65 bis .126. Online-Subnetzrechner tun genau das.

Welche Subnetzmasken sind am häufigsten?#

Diese Masken begegnen Ihnen am wahrscheinlichsten.

Jeder Schritt um eins im Präfix halbiert den Block. Ein /30 reicht für eine Verbindung zwischen zwei Routern, und ein /32 ist eine einzelne Adresse: In Firewall-Regeln, Allowlists und VPN-Einstellungen bedeutet es „diese Adresse und keine andere“.

Wie finden Sie Ihre Subnetzmaske?#

Sehen Sie in den Netzwerkdetails der Verbindung nach, die Sie gerade nutzen; unter Windows zeigt sie ein einziger Befehl.

Windows#

Geben Sie im Startmenü cmd ein, öffnen Sie die Eingabeaufforderung und führen Sie diesen Befehl aus:

ipconfig

Er listet IPv4-Adresse, Subnetzmaske und Standardgateway jedes Netzwerkadapters auf. Unten steht die gekürzte Ausgabe auf unserem Testrechner mit Windows 11; die Adressen haben wir durch Dokumentationswerte ersetzt (zu Hause sehen Sie meist 192.168.x.x):

Ethernet adapter Ethernet:

   IPv4 Address. . . . . . . . . . . : 192.0.2.37
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.0.2.1

Lesen Sie den Block des Adapters, den Sie nutzen; Adapter mit Media disconnected (nicht verbunden) können Sie übergehen.

Mac#

Apples Anleitung zu den TCP/IP-Einstellungen beschreibt diesen Weg:

1. Wählen Sie im Apple-Menü Systemeinstellungen und klicken Sie dann in der Seitenleiste auf Netzwerk.
2. Wählen Sie die Verbindung, die Sie nutzen, zum Beispiel WLAN, und klicken Sie auf Details.
3. Klicken Sie auf TCP/IP. Der Bereich zeigt die IPv4-Adresse, die Subnetzmaske (Apple nennt sie „Teilnetzmaske“) und den Router.

iPhone#

1. Öffnen Sie die App Einstellungen und tippen Sie auf WLAN.
2. Tippen Sie neben dem Netzwerk, mit dem Sie verbunden sind, auf die Info-Taste.
3. Scrollen Sie zum Abschnitt mit der IPv4-Adresse; dort stehen IP-Adresse, Subnetzmaske und Router.

Android#

Die Menünamen unterscheiden sich je nach Hersteller. Googles Android-Hilfe zu WLAN-Netzwerken nennt den Standardweg:

1. Öffnen Sie die App Einstellungen und tippen Sie auf Netzwerk & Internet > Internet.
2. Tippen Sie neben dem verbundenen Netzwerk auf WLAN-Einstellungen (das Zahnradsymbol).
3. Scrollen Sie nach unten zu den Netzwerkdetails. Viele Smartphones zeigen dort die Subnetzmaske, manche nur Adresse und Gateway.

Bei einer statischen Adresse fragt Android statt nach einer Maske nach der Network prefix length (Länge des Netzwerkpräfixes): 24 bedeutet 255.255.255.0. Auch die Verwaltungsseite Ihres Routers zeigt in den LAN-Einstellungen die Maske des gesamten Heimnetzes.

Subnetzmaske, IP-Adresse und Standardgateway: Was ist der Unterschied?#

Die IP-Adresse kennzeichnet Ihr Gerät, die Subnetzmaske sagt, wie weit das lokale Netz reicht, und das Standardgateway ist der Router, der alles jenseits dieser Grenze übernimmt.

Die drei müssen zusammenpassen: Das Gateway muss innerhalb des Bereichs liegen, den die Maske beschreibt. Die Maske ist auf allen Geräten eines Netzes gleich, die IP-Adresse dagegen bei jedem Gerät eine andere. Wie das Gateway funktioniert und wie Sie es finden, erklärt Was ist ein Standardgateway?

Was passiert, wenn die Subnetzmaske falsch ist?#

Das Gerät zieht die Grenze seines Netzes an der falschen Stelle, sodass einige Geräte oder das ganze Internet nicht mehr antworten, während das WLAN weiter eine Verbindung anzeigt. Falsche Masken entstehen durch manuelle Einstellungen; DHCP verteilt die richtige.

• Zu eng. Ein Laptop unter 192.168.1.37 mit 255.255.255.128 (/25) glaubt, sein Netz ende bei .127; Datenverkehr für den Drucker unter .200 geht deshalb an den Router, und ob er von dort beim Drucker ankommt, hängt vom Router ab. Ein Gerät unter .200 mit dieser Maske deckt .128 bis .255 ab; der Router unter .1 liegt außerhalb, und das Internet ist weg.
• Zu weit. Mit 255.255.0.0 (/16) behandelt der Laptop jede Adresse 192.168.x.x als lokal. Hängt Ihr Router an einem zweiten Gerät unter 192.168.0.1, etwa einem Modem des Anbieters, schickt der Laptop diesen Verkehr nie an das Gateway, und die Seite des Modems öffnet sich nicht. Microsofts Leitfaden beschreibt das Muster: Die Kommunikation mit nahe gelegenen Netzen schlägt fehl, mit entfernten nicht.
• Die Lösung. Stellen Sie die Verbindung wieder auf automatisch (DHCP) oder übernehmen Sie die Maske vom Router oder von einem Gerät, das funktioniert.

Wie geht IPv6 mit der Subnetzmaske um?#

IPv6 hat keine Maske in Punktschreibweise: Ein Netz wird nur als Adresse/Präfixlänge geschrieben, in der Form, die RFC 4291 festlegt, und die Zahl zählt die Bits von links, die das Netz bilden. Gewöhnliche IPv6-Adressen reservieren ihre letzten 64 Bit für die Interface-ID des Geräts, deshalb ist ein lokales Netz normalerweise ein /64: Die erste Hälfte benennt das Netz, die zweite das Gerät.

Warum achten Proxy-Nutzer auf /24-Subnetze?#

Weil Websites und Reputationssysteme eine Adresse auch nach ihren Nachbarn beurteilen, und Proxy-Nutzer messen diese Nachbarschaft meist als /24: die 256 Adressen, deren erste drei Zahlen gleich sind. Viele Proxy-Adressen aus einem /24 wirken weniger wie viele Nutzer und eher wie eine einzige Quelle.

Manche Dienste zur Betrugsbewertung geben an, dass sie das, was sie über eine Adresse erfahren, auf deren Subnetz und Netz übertragen; hat eine Adresse in einem /24 Spam verschickt, starten ihre Nachbarn also mit einem schlechteren Wert. Was ist IP-Reputation? erklärt die Listen hinter diesen Werten.

Residential-Adressen gehören zu den Heimanschlüssen vieler Internetanbieter, deshalb verteilt sich ein Residential-Pool auf viele Blöcke statt auf wenige benachbarte. Mit dem Residential-Proxy von Proxynet wählen Sie Land und Stadt und können zusätzlich ein Netz über seine ASN ansteuern.

Datacenter-Adressen werden meist in fortlaufenden Reihen vergeben. Beim Datacenter-Proxy können sich deshalb mehrere Adressen ein /24 teilen und damit auch eine Reputation: Ein Problem, das ein Projekt verursacht, kann die anderen Projekte in diesem Block mit treffen.

Blockvielfalt ist kein Weg an den Regeln einer Website vorbei. Anfragen über Blöcke zu verteilen, um ein Rate-Limit oder eine Sperre zu umgehen, ist genau das Verhalten, für dessen Erkennung Systeme gegen Missbrauch gebaut sind; halten Sie die Anfragerate maßvoll, ganz gleich, welche Adressen Sie nutzen.

Wo Ihnen Subnetzmasken begegnen#

• Router-Einstellungen zu Hause: Die LAN-Seite zeigt die Maske und den Bereich, den DHCP verteilt.
• Statische Adressen auf Geräten: Drucker, Kameras und NAS-Laufwerke verlangen eine Adresse, eine Maske und ein Gateway.
• Cloud-Netze und Firewall-Regeln: in CIDR-Schreibweise, etwa 10.0.0.0/16.

Häufige Fehler#

• Die Maske für eine Adresse halten. Sie beschreibt einen Bereich; da gibt es nichts anzupingen.
• /24 als „24 Geräte“ lesen. Es bedeutet 24 Netzbits, und damit bleiben 254 nutzbare Adressen.
• Einem Gerät die Netzwerk- oder Broadcast-Adresse geben. In einem /24 sind .0 und .255 reserviert.
• Eine Maske eintippen, die nicht zum Router passt. Alle Geräte in einem Netz verwenden dieselbe Maske.
• Erwarten, dass die Maske Ihre öffentliche IP, Ihr Tempo oder Ihre Privatsphäre ändert. Sie entscheidet nur, was lokal ist.

Entscheidungshilfe#

Häufige Fragen#

Welche Subnetzmaske sollte ich haben?#

Dieselbe wie der Rest Ihres Netzes, zu Hause meist 255.255.255.0. Bezieht Ihr Gerät seine Einstellungen automatisch, hat der Router sie bereits gesetzt. Für eine statische Adresse übernehmen Sie die Maske vom Router oder von einem Computer, der funktioniert.

Ist 255.255.255.0 dasselbe wie /24?#

Ja. 255.255.255.0 schreibt die 32 Bit in vier Oktetten aus, und /24 zählt die 24 Einsen am Anfang. Beide bedeuten 256 Adressen, davon 254 nutzbar.

Können zwei Geräte dieselbe Subnetzmaske haben?#

Ja, und im selben Netz sollten sie das auch. Die Maske beschreibt das Netz, deshalb teilen alle Geräte darin dieselbe Maske; unterscheiden muss sich die IP-Adresse.

Was ist der Unterschied zwischen 255.255.255.0 und 255.255.0.0?#

Die Größe des Netzes. 255.255.255.0 (/24) lässt 8 Bit für Geräte, also 254 nutzbare Adressen; 255.255.0.0 (/16) lässt 16 Bit, also 65.534 Adressen. Heimrouter verwenden normalerweise die erste.

Lässt sich die Subnetzmaske allein aus der IP-Adresse ermitteln?#

Nein. Eine Adresse trägt ihre Maske nicht in sich: 192.168.1.37 kann in einem /24, einem /25 oder einem /16 liegen. Sie brauchen die Einstellung selbst, vom Gerät, vom Router oder vom Administrator des Netzes.

Beeinflusst die Subnetzmaske die Internetgeschwindigkeit?#

Nein. Die Maske entscheidet nur, ob ein Ziel lokal ist oder über den Router geht. Eine falsche Maske unterbricht Verbindungen, statt sie zu verlangsamen.

Fazit#

Eine Subnetzmaske teilt eine IPv4-Adresse in Netzanteil und Hostanteil: Einsen markieren das Netz, Nullen die Geräte. 255.255.255.0 und /24 sind dieselbe Maske, 256 Adressen, davon 254 nutzbar, und ein Gerät entscheidet mit ihr, ob es direkt zustellt oder über das Standardgateway. Verknüpfen Sie die Adresse per UND mit der Maske und setzen Sie die Hostbits auf 1, dann haben Sie Netzwerk- und Broadcast-Adresse jedes Subnetzes. Die meisten Maskenprobleme enden, sobald Sie wieder auf DHCP umstellen. Wenn Sie Proxy-Adressen brauchen, die über viele Netze verteilt sind, vergleichen Sie die Optionen auf unserer Proxy-Produktseite.