Subnetting und CIDR-Notation erklärt (mit Beispielen)

IPAddress-Lookup.com · June 26, 2025

Wenn Sie schon einmal eine Adresse wie 192.168.1.0/24 und dich gefragt hast, was dieser Schrägstrich und diese Zahl eigentlich bedeuten, bist du hier genau richtig. Subnetting und die CIDR-Notation bilden das Herzstück der Art und Weise, wie moderne Netzwerke entworfen, gesichert und geroutet werden, doch das Thema gilt als einschüchternd. Das muss aber nicht so sein. Sobald du verstanden hast, dass eine IP-Adresse im Grunde nur eine Folge von Bits ist und dass eine Subnetzmaske dir lediglich sagt, wo der „Netzwerk“-Teil endet und der „Host“-Teil beginnt, fügt sich alles andere wie von selbst zusammen. In diesem Leitfaden bauen wir das Konzept von Grund auf auf, arbeiten mehrere reale Beispiele vollständig durch und stellen dir einen Spickzettel zur Verfügung, den du neben deiner Tastatur aufbewahren kannst. Dabei kannst du jede Berechnung selbst mit unserem Subnetz-Rechner überprüfen.

Was ist ein Subnetz und warum wird überhaupt eine Subnetzunterteilung vorgenommen?

Ein Subnetz, kurz für „Subnetwork“, ist eine logische Unterteilung eines größeren IP-Netzwerks. Anstatt jedes Gerät in ein einziges riesiges, flaches Netzwerk einzubinden, unterteilen Netzwerktechniker diesen Adressraum in kleinere, in sich geschlossene Blöcke. Jeder Block ist ein Subnetz mit einem eigenen Adressbereich, einer eigenen Netzwerkadresse und einer eigenen Broadcast-Adresse. Router leiten den Datenverkehr zwischen den Subnetzen weiter, während Geräte innerhalb eines einzelnen Subnetzes direkt miteinander kommunizieren können, ohne dass ein Router dazwischengeschaltet werden muss.

Subnetting ist keine unnötige Arbeit. Es gibt mehrere konkrete Gründe, warum Netzwerke auf diese Weise unterteilt werden:

• Effizienz und Adressersparnis. Einem Unternehmen einen einzigen riesigen Adressblock zuzuweisen, bedeutet eine Verschwendung von Adressen. Durch die Subnetzbildung können genau so viele Adressen zugewiesen werden, wie eine Abteilung, eine Etage oder eine Zweigstelle tatsächlich benötigt, anstatt auf die nächstgrößte Klasse aufzurunden.
• Kleinere Broadcast-Domänen. Bestimmter Datenverkehr, wie beispielsweise ARP-Anfragen, wird an jeden Host in einem Subnetz gesendet. In einem flachen Netzwerk mit Tausenden von Geräten wird dieser Datenverkehr lähmend. Die Aufteilung in Subnetze hält jede Broadcast-Domäne klein und das Netzwerk schnell.
• Sicherheitssegmentierung. Indem Sie Server, das Gast-WLAN und interne Arbeitsplätze in separate Subnetze einbinden, können Sie zwischen diesen Firewall-Regeln und Zugriffskontrolllisten anwenden. Ein kompromittiertes Gastgerät kann keinen Datenbankserver erreichen, wenn sich beide in isolierten Subnetzen befinden.
• Einfacheres, schnelleres Routing. Router treffen Entscheidungen auf der Grundlage von Netzwerkpräfixen. Gut konzipierte Subnetze lassen sich zu einer einzigen Route zusammenfassen, wodurch Routing-Tabellen verkleinert und Weiterleitungsentscheidungen im Internet beschleunigt werden.

Eine kurze Auffrischung zum Thema Binärzahlen: Bits, Oktette und Masken

Eine IPv4-Adresse ist 32 Bit lang. Wir schreiben sie als vier durch Punkte getrennte Dezimalzahlen, zum Beispiel 192.168.1.10, aber jede dieser Zahlen ist eigentlich eine 8-Bit-Binärgruppe, die als Oktett bezeichnet wird. Acht Bits pro Oktett, vier Oktette, ergeben insgesamt 32 Bits. Jedes Oktett kann einen Wert zwischen 0 und 255 annehmen, da acht Bits 2^8 = 256 verschiedene Werte darstellen können.

Die Bitpositionen in einem Oktett haben die Stellenwerte 128, 64, 32, 16, 8, 4, 2 und 1. Zur Umrechnung addiert man die Stellenwerte der Positionen, die eine 1 enthalten. Zum Beispiel beträgt der Wert des Oktetts 11000000 ergibt 128 + 64 = 192, und 10101000 beträgt 128 + 32 + 8 = 168. Somit 192.168.1.10 im Binärsystem:

• 192 = 11000000
• 168 = 10101000
• 1 = 00000001
• 10 = 00001010

Die Subnetzmaske ist ebenfalls ein 32-Bit-Wert, hat jedoch eine Besonderheit: Sie besteht immer aus einer Folge von Einsen, gefolgt von einer Folge von Nullen. Die Einsen kennzeichnen den Netzwerkteil der Adresse, die Nullen den Hostteil. Eine Maske von 255.255.255.0 lautet 11111111.11111111.11111111.00000000 binär ausgedrückt, was 24 Einsen gefolgt von 8 Nullen entspricht. Um das Netzwerk zu ermitteln, zu dem eine Adresse gehört, führt man eine bitweise UND-Verknüpfung zwischen der Adresse und der Maske durch: Überall dort, wo die Maske eine 1 enthält, bleibt das entsprechende Bit der Adresse erhalten; überall dort, wo die Maske eine 0 enthält, wird das Bit auf 0 gesetzt. Diese UND-Verknüpfung ist die wichtigste Berechnung im gesamten Bereich der Subnetzbildung.

Classful-Adressierung: ein kurzer historischer Rückblick

In den Anfängen des Internets wurden Adressen in festen „Klassen“ vergeben, basierend auf dem Wert des ersten Oktetts. Dies wird als klassenbasierte Adressierung bezeichnet, und obwohl sie mittlerweile veraltet ist, erklärt ihr Verständnis, warum CIDR eine so große Verbesserung darstellte.

• Klasse A umfasste die ersten Oktette 1 bis 126 und verwendete einen 8-Bit-Netzwerkteil (Maske 255.0.0.0, a /8) und stellte jedem Netzwerk etwa 16,7 Millionen Hosts zur Verfügung.
• Klasse B umfasste die Werte 128 bis 191, verwendete einen 16-Bit-Netzwerkteil (Maske 255.255.0.0, a /16) und bot etwa 65.000 Hosts pro Netzwerk.
• Klasse C umfasste die Adressen 192 bis 223, verwendete einen 24-Bit-Netzwerkteil (Maske 255.255.255.0, a /24) und stellte lediglich 254 nutzbare Hosts bereit.

Das Problem war die mangelnde Flexibilität. Eine Organisation, die 2.000 Adressen benötigte, war zu groß für eine Klasse C (254 Hosts), musste jedoch eine Klasse B (65.000 Hosts) erhalten, wodurch über 60.000 Adressen verschwendet wurden. Angesichts des exponentiellen Wachstums des Internets drohte diese Verschwendung, den gesamten IPv4-Adressraum vollständig zu erschöpfen. Es wurde eine flexiblere Lösung benötigt.

CIDR: Die Notation Bit für Bit erklärt

CIDR (Classless Inter-Domain Routing) wurde 1993 eingeführt, um das starre Klassensystem zu ersetzen. Anstatt die Netzwerkgröße an das erste Oktett zu binden, lässt CIDR die Grenze zwischen Netzwerk und Host an einer beliebigen Stelle innerhalb der 32 Bits liegen. Wir drücken dies mit der mittlerweile bekannten Schrägstrich-Notation aus, die als CIDR-Präfix bezeichnet wird.

Die Zahl nach dem Schrägstrich gibt einfach die Anzahl der 1-Bits in der Subnetzmaske an, mit anderen Worten, wie viele Bits zum Netzwerk gehören. Also:

• /8 bedeutet 8 Netzwerkbits, Maske 255.0.0.0 (die alte Klasse-A-Größe).
• /16 bedeutet 16 Netzwerkbits, Maske 255.255.0.0 (die alte Klasse-B-Größe).
• /24 bedeutet 24 Netzwerkbits, Maske 255.255.255.0 (die alte Größe der Klasse C).
• /26 bedeutet 26 Netzwerkbits, Maske 255.255.255.192, sodass nur noch 6 Host-Bits übrig bleiben.

Die „magische Formel“ für die Anzahl der Adressen, die ein Präfix enthält, lautet 2^(32 − n), wobei n die Präfixlänge ist. Da der gesamte IPv4-Adressraum 32 Bit umfasst, verbleiben nach Abzug der Netzwerkbits die Host-Bits, und 2 hoch dieser Potenz ergibt die Gesamtzahl der Adressen im Block. Für ein /24 sind das 2^(32−24) = 2^8 = 256 Adressen insgesamt. Für ein /26 sind es 2^(32−26) = 2^6 = 64 Adressen. Je größer die Präfixnummer, desto kleiner das Subnetz.

Berechnung der Schlüsselwerte eines Subnetzes

Jedes Subnetz verfügt über eine Handvoll spezieller Adressen, die Sie identifizieren müssen. Hier erfahren Sie, was die einzelnen Adressen bedeuten und wie Sie sie ermitteln können.

1. Netzwerkadresse. Die allererste Adresse im Block. Alle Host-Bits sind 0. Diese identifiziert das Subnetz selbst und kann keinem Gerät zugewiesen werden.
2. Broadcast-Adresse. Die allerletzte Adresse im Block. Alle Host-Bits sind 1. Hierhin gesendeter Datenverkehr erreicht jeden Host im Subnetz, daher ist sie auch nicht als Host-Adresse verwendbar.
3. Erster nutzbarer Host. Eine Adresse oberhalb der Netzwerkadresse (Netzwerk + 1).
4. Letzter nutzbarer Host. Eine Adresse unterhalb der Broadcast-Adresse (Broadcast − 1).
5. Gesamtzahl der Adressen. 2^(32 − n).
6. Verwendbare Hosts. Gesamtzahl minus 2, da die Netzwerk- und Broadcast-Adressen reserviert sind. Die Formel lautet 2^(32 − n) − 2.

Es gibt noch einen weiteren Wert, den man kennen sollte: die Wildcard-Maske. Sie ist das Inverse der Subnetzmaske und wird durch Umkehren jedes Bits erhalten (jedes Oktett von 255 subtrahieren). Während eine Subnetzmaske von 255.255.255.0 das Netzwerk auswählt, wählt ihre Wildcard-Maske 0.0.0.255 den Host-Bereich aus. Wildcard-Masken tauchen ständig in Cisco-Zugriffskontrolllisten und der OSPF-Konfiguration auf, daher lohnt es sich, sie zu kennen.

Beispiel 1: 192.168.1.0/24

Beginnen wir mit dem einfachsten Fall. Eine /24 endet sauber an einer Oktettgrenze, sodass keine binären Kunstgriffe erforderlich sind. Bei 24 Netzwerkbits entspricht der Host-Teil dem gesamten letzten Oktett.

Dies ist das klassische Netzwerk für Privathaushalte und kleine Büros. Alles von .1 bis .254 steht für Geräte zur Verfügung, .0 bezeichnet das Netzwerk, und .255 ist die Broadcast-Adresse.

Beispiel 2: 10.0.0.0/26

Nun zu einem Präfix, das nicht auf einer Oktettgrenze endet. Ein /26 bedeutet 26 Netzwerkbits, daher wird das letzte Oktett aufgeteilt: Die ersten beiden Bits gehören zum Netzwerk, die restlichen sechs Bits sind Host-Bits. Sechs Host-Bits ergeben 2^6 = 64 Adressen pro Subnetz. Das bedeutet, /26 die Subnetze im letzten Oktett in Schritten von 64: 0, 64, 128, 192.

Betrachtet man den ersten Block 10.0.0.0/26beträgt die Netzwerkmaske 255.255.255.192 da 11000000 im letzten Oktett gleich 192 ist.

Das nächste Subnetz in der Reihenfolge wäre 10.0.0.64/26 (Hosts .65 bis .126, Broadcast .127), dann 10.0.0.128/26und schließlich 10.0.0.192/26. Beachten Sie, dass die Blockgröße 64 genau die „magische Zahl“ ist, die bestimmt, wo jedes Subnetz beginnt.

Beispiel 3: 172.16.5.0/28

In unserem letzten Beispiel wird das Subnetz noch weiter verkleinert. Ein /28 verfügt über 28 Netzwerkbits und nur 4 Hostbits, was insgesamt 2^4 = 16 Adressen und nur 14 nutzbare Hosts ergibt. Das letzte Oktett wird 11110000 für den Netzwerkteil verwendet, was 240 entspricht, sodass die Maske 255.255.255.240. Subnetze werden in Schritten von 16 gebildet.

A /28 ist eine beliebte Größe für kleine Punkt-zu-Punkt-Netzwerke und für streng kontrollierte Serversegmente, in denen man nur eine Handvoll Adressen benötigt. Wenn man nur zwei Hosts bräuchte, beispielsweise für eine Verbindung zwischen zwei Routern, würde man bis hinunter zu einem /30, das genau 2 nutzbare Adressen bietet.

Das Spickzettel zum Thema Subnetting

Anstatt die Zweierpotenzen jedes Mal neu zu berechnen, sollten Sie sich die folgende Tabelle einprägen oder als Lesezeichen speichern. Sie umfasst die gängigsten Präfixe von /24 bis /30und zeigt die Maske, den Platzhalter, die Blockgröße (Gesamtzahl der Adressen) sowie die Anzahl der nutzbaren Hosts an.

Beachten Sie das elegante Muster: Jeder Schritt um ein Bit im Präfix halbiert die Anzahl der Hosts, und jeder Maskenwert im letzten Oktett ist einer der Werte 128, 192, 224, 240, 248 oder 252. Das sind die einzigen gültigen Werte, die ein abschließendes Maskenoktett annehmen kann.

VLSM: Subnetze unterschiedlicher Größe

Bei der herkömmlichen Subnetzbildung wird ein Netzwerk in gleich große Teile aufgeteilt, was verschwenderisch ist, wenn Ihre Abteilungen sehr unterschiedliche Anforderungen haben. Variable Length Subnet Masking (VLSM) löst dieses Problem, indem es Ihnen ermöglicht, innerhalb desselben Gesamtnetzwerks unterschiedliche Präfixlängen zu verwenden. Im Grunde genommen unterteilen Sie ein Subnetz weiter in Subnetze.

Angenommen, Sie besitzen 192.168.10.0/24 und eine Abteilung mit 100 Hosts, eine mit 50 Hosts sowie zwei Router-Verbindungen mit jeweils 2 Hosts versorgen müssen. Mit VLSM würden Sie folgende Zuweisungen vornehmen:

• Ein /25 (126 Hosts) für die große Abteilung: 192.168.10.0/25.
• A /26 (62 Hosts) für die mittlere Abteilung: 192.168.10.128/26.
• Zwei /30 Blöcke (jeweils 2 Hosts) für die Router-Verbindungen, die aus dem verbleibenden Platz entnommen werden.

Die goldene Regel von VLSM lautet, zuerst die größten Subnetze zuzuweisen und sich dann nach unten vorzuarbeiten, damit sich die Blöcke sauber ineinander fügen, ohne sich zu überschneiden. Auf diese Weise vermeiden Adresspläne in der Praxis Verschwendung und lassen dennoch Raum für Wachstum.

Ein Hinweis zu IPv6-Präfixen

Alles oben Genannte betrifft IPv4, aber die CIDR-Notation lässt sich direkt auf IPv6 übertragen, nur mit viel größeren Zahlen. Eine IPv6-Adresse ist 128 Bit statt 32 Bit lang, daher reichen die Präfixe bis /128. Das Wichtigste, was man wissen muss, ist das /64: Nach langjähriger Konvention ist ein einzelnes IPv6-Subnetz ein /64, das die ersten 64 Bit für das Netzwerkpräfix und die letzten 64 Bit für den Host oder die „Schnittstellenkennung“ reserviert. Damit stehen 2^64 Adressen pro Subnetz zur Verfügung – eine fast unvorstellbare Zahl. Aus diesem Grund macht sich IPv6 selten die Mühe mit den Adresssparmaßnahmen, die das IPv4-Subnetting dominieren. Wenn Sie einen tiefergehenden Vergleich der beiden Protokolle wünschen, lesen Sie unseren Leitfaden zu IPv4 vs. IPv6.

Zusammenfassung

Die Subnetzbildung lässt sich auf drei Grundgedanken reduzieren: Eine IP-Adresse besteht aus 32 Bit, die Maske legt fest, wo das Netzwerk endet, und die Formel 2^(32 − n) gibt an, wie groß jeder Block ist. Beherrscht man diese Grundlagen, ist der Rest reine Arithmetik. Beginnen Sie damit, das Präfix zu ermitteln, wandeln Sie es in eine Blockgröße um, ermitteln Sie die Netzwerk- und Broadcast-Adressen – und der nutzbare Bereich liegt dazwischen. Üben Sie anhand einiger Beispiele, und der Vorgang wird zur Selbstverständlichkeit. Wenn Sie Ihre Ergebnisse sofort überprüfen möchten, geben Sie eine beliebige Adresse und ein Präfix in unseren Subnetz-Rechner ein und vergleichen Sie die Ergebnisse mit Ihren eigenen.

Häufig gestellte Fragen

Warum ziehen wir 2 von der Gesamtzahl der Adressen ab, um die nutzbaren Hosts zu erhalten?

In jedem IPv4-Subnetz sind zwei Adressen reserviert und können keinen Geräten zugewiesen werden: die Netzwerkadresse (alle Host-Bits auf 0 gesetzt), die das Subnetz benennt, und die Broadcast-Adresse (alle Host-Bits auf 1 gesetzt), die verwendet wird, um alle Hosts gleichzeitig zu erreichen. Zieht man diese beiden ab, erhält man die Anzahl der Adressen, die tatsächlich an Hosts vergeben werden können, also 2^(32 − n) − 2.

Was ist der Unterschied zwischen einer Subnetzmaske und einem CIDR-Präfix?

Sie drücken genau dieselbe Information in zwei Formaten aus. Eine Subnetzmaske wie 255.255.255.0 ist ein 32-Bit-Wert in Dezimal-Punkt-Notation, während das CIDR-Präfix /24 einfach die Anzahl der 1-Bits in dieser Maske ist. Jede Maske kann als Präfix geschrieben werden und umgekehrt; die CIDR-Notation ist lediglich kürzer und weniger fehleranfällig.

Was bedeutet das „/24“ in einer IP-Adresse eigentlich?

Die Zahl nach dem Schrägstrich ist die Präfixlänge, d. h., wie viele der 32 Bits der Adresse das Netzwerk definieren. Ein /24 reserviert die ersten 24 Bits für das Netzwerk und lässt 8 Bits für Hosts übrig, was insgesamt 256 Adressen (2^8) und 254 nutzbare Adressen ergibt. Dies entspricht der Subnetzmaske 255.255.255.0.

Warum hat CIDR die klassenbasierte Adressierung abgelöst?

Die klassenbasierte Adressierung zwang zu großen Sprüngen bei der Netzwerkgröße: 254 Hosts, dann 65.000, dann 16 Millionen, ohne Zwischenstufen. Unternehmen erhielten regelmäßig weit mehr Adressen, als sie benötigten, wodurch der begrenzte IPv4-Adressraum verschwendet wurde. Bei CIDR kann die Netzwerkgrenze auf jedes beliebige Bit fallen, sodass Blöcke bedarfsgerecht dimensioniert werden können; außerdem ermöglicht es die Zusammenfassung von Routen, wodurch Routing-Tabellen verkleinert werden.

Wozu dient eine Wildcard-Maske?

Eine Wildcard-Maske ist die bitweise Umkehrung einer Subnetzmaske, die sich durch Subtraktion jedes Oktetts von 255 ergibt. Während eine Subnetzmaske den Netzwerkteil angibt, legt eine Wildcard-Maske fest, welche Bits variieren dürfen. Sie kommt vor allem in Cisco-Zugriffskontrolllisten und Routing-Protokollen wie OSPF vor, um Adressbereiche prägnant zu beschreiben.

Gelten für IPv6 dieselben Subnetz-Regeln?

Das CIDR-Konzept ist identisch: Eine Präfixlänge nach einem Schrägstrich markiert die Netzwerkgrenze. Der Unterschied liegt in der Größenordnung. IPv6-Adressen sind 128 Bit statt 32 Bit lang, und die Standard-Subnetzgröße beträgt /64, was 2^64 Host-Adressen pro Subnetz ergibt. Da der Adressraum so riesig ist, konzentriert sich das IPv6-Subnetting eher auf Struktur und Hierarchie als darauf, jede einzelne Adresse auszuschöpfen.