Subnetting erklärt: IP-Adressen, Subnetzmaske & CIDR für IT-Entscheider (2026)

Subnetting in 50 Wörtern

Subnetting unterteilt ein IP-Netzwerk in kleinere logische Subnetze. Eine IPv4-Adresse besteht aus 32 Bit (4 Oktette à 8 Bit). Die Subnetz-Maske (CIDR-Notation /24, /26, /28) bestimmt, wie viele Bits für Netzwerk vs Host verwendet werden. Beispiel: 192.168.1.0/24 = 256 IP-Adressen, /26 = 64 Adressen, /28 = 16 Adressen pro Subnetz.

Subnetting Grundlagen — CIDR-Tabelle und Praxis

Diese Übersicht zeigt nur die Grundlagen — wer tiefer in den Business-Nutzen, Segmentierungs-Strategien und konkrete Migrationspfade einsteigen will, findet das im Vertiefungs-Artikel Subnetting — warum es in modernen Netzwerken unverzichtbar ist. Für die Planung der gesamten Netzwerk-Infrastruktur in Hamburg siehe Netzwerk & WLAN Hamburg.

Inhalt in Kürze

• Subnetting zerlegt ein großes IP-Netz in mehrere kleinere Teilnetze — mehr Ordnung, bessere Performance, klare Sicherheitsgrenzen.
• Subnetzmaske + CIDR bestimmen, wie viele Geräte in ein Subnetz passen: /24 = 254 Hosts, /26 = 62, /29 = 6.
• Die drei RFC-1918-Bereiche (10.x / 172.16-31.x / 192.168.x) sind für interne Firmennetze reserviert — am flexibelsten ist 10.0.0.0/8.
• VLAN + Subnetting gehören zusammen: VLAN trennt Datenverkehr auf Switch-Ebene, Subnetting auf IP-Ebene. Nur die Kombination ergibt saubere Segmentierung.
• Wachstumsreserve einplanen: Puffer 2x — wer heute 30 Geräte hat, plant 60. Sonst stehen Sie in drei Jahren wieder am Reißbrett.

Was ist Subnetting?

Subnetting ist das Aufteilen eines großen IP-Adressraums in mehrere kleinere Teilnetze — sogenannte Subnetze. Jedes Subnetz bildet eine logische Einheit, in der Geräte direkt miteinander kommunizieren. Zwischen Subnetzen vermittelt ein Router, eine Firewall oder ein Layer-3-Switch.

Warum macht man das? Drei Gründe. Erstens Ordnung: Wenn Sie 200 Geräte in einem einzigen Netz haben, wird jede Fehlersuche zur Plackerei. Zweitens Performance: Broadcast-Traffic (ARP, DHCP-Discover, NetBIOS) bleibt im Subnetz und erreicht nicht das ganze Haus. Und drittens Sicherheit: Ein sauberer Subnetz-Schnitt ist die Voraussetzung dafür, dass Ihre Firewall-Regeln — etwa im Rahmen einer Managed Firewall — überhaupt etwas wert sind. Als IT-Systemhaus Hamburg begleiten wir diese Planung seit 18 Jahren.

Die Grundlagen: IP-Adresse + Subnetzmaske + CIDR

Eine IPv4-Adresse besteht aus 32 Bit, geschrieben als vier Oktette (z.B. 192.168.10.42). Davon gehört ein Teil zum Netzwerk-Präfix, der Rest identifiziert das einzelne Host-Gerät. Wo die Grenze liegt, legt die Subnetzmaske fest. Wer die Basics von IP, OSI-Modell und Paket-Flow auffrischen will: unser Cluster-Artikel TCP/IP, OSI & Subnetting einfach erklärt liefert die Grundlagen kompakt.

Klassisches Beispiel: 192.168.10.42 mit Subnetzmaske 255.255.255.0 → die ersten drei Oktette (192.168.10) sind Netz, das letzte (42) ist Host. In CIDR-Notation schreibt man das als 192.168.10.0/24 — die 24 steht für die Bits, die zum Netz-Präfix gehören (3 × 8 = 24).

Die wichtigsten CIDR-Größen im Überblick

Faustformel: Verfügbare Hosts = 2^(32 − Präfix) − 2. Warum minus 2? Die erste Adresse im Subnetz ist die Netzadresse, die letzte die Broadcast-Adresse. Beide sind für Geräte tabu.

Die drei privaten IP-Bereiche (RFC 1918)

Für interne Firmennetze sind laut RFC 1918 der IETF drei Bereiche reserviert, die nie ins öffentliche Internet geroutet werden:

• 10.0.0.0/8 — ca. 16,7 Millionen Adressen, beliebt in KMU und Enterprise
• 172.16.0.0/12 — 172.16.x.x bis 172.31.x.x, häufig in Docker/Cloud-Setups
• 192.168.0.0/16 — der Klassiker für Heim- und Kleinbüronetze

Praxistipp: Wenn Sie in Zukunft Site-to-Site-VPN zu Partnern, Kunden oder einem zweiten Standort planen, vermeiden Sie 192.168.1.0/24 und 192.168.0.0/24 — diese Bereiche sind so verbreitet, dass Adresskollisionen fast garantiert sind. Besser ist ein sauberer 10.x.y.0/24-Plan pro Standort.

Subnetting-Rechenbeispiele

Theorie ist schön. Jetzt die praxisnahen Fälle, die uns bei Hamburger Mittelstandskunden zwischen 20 und 150 Mitarbeitern täglich begegnen.

Beispiel 1: Werbeagentur, 8 Mitarbeiter, ein Standort

Ausgangslage: Alles hängt am Router-WLAN, ein großes 192.168.0.0/24. Noch funktional, aber keine Trennung zwischen Gäste-WLAN, Produktivnetz und dem einen NAS im Keller.

Saubere Aufteilung:

• 10.10.10.0/24 — Büro (254 Hosts, Puffer für Wachstum)
• 10.10.20.0/27 — Server/NAS (30 Hosts, reicht lange)
• 10.10.30.0/24 — Gäste-WLAN (isoliert, kein Zugriff auf LAN)
• 10.10.99.0/29 — Management (Switches, AP-Controller, Firewall-Backup-Port)

Beispiel 2: Steuerkanzlei, 35 Mitarbeiter

Typisches Setup mit DATEV-Server, VoIP-Anlage und eigenem Drucker-Netz. Hier zahlt sich saubere Segmentierung sofort aus — jedes Subnetz bekommt sein eigenes VLAN, die Firewall kontrolliert den Verkehr. Details zu den Compliance-Anforderungen in dieser Branche: IT für Steuerkanzleien.

• 10.20.10.0/24 — Arbeitsplätze (254 Hosts)
• 10.20.20.0/27 — DATEV-Server + File-Server
• 10.20.30.0/26 — VoIP-Telefone (62 Geräte, eigenes VLAN mit QoS)
• 10.20.40.0/28 — Drucker (14 Hosts — mehr braucht keine Kanzlei)
• 10.20.50.0/24 — Gäste-WLAN

Beispiel 3: Bauunternehmen, 150 Mitarbeiter, 3 Standorte

Hier kommt VLSM (Variable Length Subnet Masking) voll zur Geltung. Jeder Standort bekommt einen eigenen /22-Block, innerhalb dessen feiner segmentiert wird. Das ermöglicht sauberes Routing über Site-to-Site-VPN ohne Überschneidungen.

• Hamburg: 10.30.0.0/22 (1.022 Hosts, intern in /24-Segmente geteilt)
• Bremen: 10.31.0.0/22
• Kiel: 10.32.0.0/22

Der Clou: Beim Firewall-Regelwerk können Sie ganze Standorte mit einer einzigen Regel adressieren (10.30.0.0/22 → 10.31.0.0/22 allow SMB), statt hundert Einzelregeln zu pflegen.

Die meisten Netzwerkprobleme, die wir bei Neukunden finden, sind keine Technikfehler — es sind Planungsfehler aus den Anfangstagen. Irgendwann hat jemand schnell ein /24 eingerichtet, und jetzt hängen 15 Jahre später 180 Geräte drin, inklusive Gäste-Handys und der Kaffeemaschine. Wir räumen das dann auf, und plötzlich läuft das Netz wieder. Nicht selten spart das am Ende einen kompletten Hardware-Tausch.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

VLSM und CIDR im Business-Netzwerk

VLSM (Variable Length Subnet Masking) heißt: Sie dürfen innerhalb eines größeren Blocks verschieden große Subnetze bilden. Das war nicht immer so — bis Anfang der 90er galten die starren Klassen A/B/C (mit festen Subnetzmasken), und wer mehr als 254 Hosts brauchte, bekam gleich ein ganzes Class-B-Netz mit 65.000 Adressen zugeteilt. Diese Verschwendung hat das IPv4-Adressproblem überhaupt erst ausgelöst.

CIDR wurde 1993 in RFC 1519 eingeführt und hat die Klassen abgeschafft. Heute ist jede Präfixlänge zwischen /8 und /30 frei wählbar. Das macht saubere Planung möglich — Sie vergeben genau so viele Adressen wie gebraucht, plus Puffer.

Planungslogik für Ihr Unternehmen

1. Standorte zählen. Jeder Standort bekommt einen eigenen großen Block (z.B. /22 oder /21), damit Routing zwischen den Standorten sauber funktioniert.
2. Funktionen definieren. Büro, Server, VoIP, Drucker, Gäste, Management, IoT/Produktion, VPN-Clients — jede Funktion wird ein eigenes Subnetz.
3. Größe schätzen + Puffer 2x. Wie viele Geräte heute? Mal zwei für die nächsten 3-5 Jahre. Dann die passende CIDR-Größe wählen.
4. Nummerierung systematisch. Sprechende Muster wie 10.{Standort}.{Funktion}.0/24 — das erleichtert Troubleshooting enorm.
5. Dokumentieren. Tabelle mit Subnetz, Zweck, VLAN-ID, Gateway, DHCP-Range. Ohne Doku ist jede Segmentierung wertlos.

VLAN + Subnetting = echte Segmentierung

Ein sauberer IP-Plan auf Papier bringt Ihnen gar nichts, wenn alle Geräte physisch am selben Switch-Port-Pool hängen. Deshalb gehört VLAN (Virtual LAN, IEEE 802.1Q) immer mit dazu. VLANs trennen den Datenverkehr auf der Ethernet-Ebene — zwei Geräte im gleichen VLAN sehen sich, zwei Geräte in unterschiedlichen VLANs nicht, selbst wenn sie am gleichen Switch hängen.

Die eiserne Regel: 1 VLAN = 1 IP-Subnetz. Punkt. Alles andere wird zum Albtraum, sobald jemand das Netz auseinanderbauen muss.

Typisches Segmentierungsmodell für KMU

Der spannende Teil ist die rechte Spalte — das sind die Firewall-Regeln zwischen den Segmenten. Ohne saubere Subnetz-Grenzen können Sie diese Regeln gar nicht erst schreiben.

Subnetting-Planung für ein wachsendes Unternehmen

Wenn Sie heute 30 Mitarbeiter sind und in drei Jahren vielleicht 60 — dann planen Sie das Netz von Anfang an für 60. Oder noch besser: für 100. Hier ist die Denkweise, die sich bei unseren Kunden bewährt.

Die 2x-Puffer-Regel

Zählen Sie alle Endgeräte heute: Arbeitsplätze, Laptops, Telefone, Drucker, WLAN-Geräte, IoT-Sensoren, Kassenterminals, Zutrittskontrolle. Verdoppeln Sie die Zahl. Das ist Ihre Mindest-Kapazität. Runden Sie dann auf die nächstgrößere CIDR-Grenze auf.

Die 5-Jahres-Frage

Bevor Sie die erste IP-Adresse vergeben, klären Sie mit der Geschäftsführung:

• Planen wir weitere Standorte? → Reservieren Sie jetzt schon Bereiche wie 10.20.0.0/16, 10.30.0.0/16.
• Kommt VoIP dazu? → Eigenes VLAN mit eigenem Subnetz einplanen.
• Produktions-/IoT-Netz? → Pflicht-Trennung vom Büronetz (auch DSGVO-relevant).
• Home-Office via VPN? → Eigener Subnetz-Bereich für VPN-Clients, damit Firewall-Regeln greifen.

Viele dieser Antworten haben direkte Auswirkungen auf die Netzwerk-Planung. Siehe auch unseren Artikel Netzwerk einrichten im Unternehmen mit konkreter Kostenschätzung.

Die 7 häufigsten Fehler beim Subnetting

• Alles in ein /24 gepackt. Der Klassiker. Ein flaches Netz für alles — kein VLAN, keine Firewall dazwischen. Skaliert bis ~50 Geräte, dann wird es zäh.
• 192.168.1.0/24 verwendet. Kollidiert garantiert mit einem Partner-/Home-Office-VPN. Nehmen Sie 10.x.y.0/24 mit sprechender Nummerierung.
• VLAN ohne Subnetz-Trennung. VLAN 10 und 20 auf demselben IP-Bereich — funktioniert scheinbar, wird aber zur Fehlerquelle, sobald Routing dazu kommt.
• Kein Management-Netz. Switches, Access Points und Server-IPMI-Ports liegen im normalen Büronetz — ein erfolgreicher Phishing-Angriff gibt dem Angreifer direkten Admin-Zugriff.
• DHCP-Range = gesamtes Subnetz. Keine Reserve für statische Server-IPs. Beim ersten Server-Ausfall fällt auf, dass die IP schon vom DHCP an einen Drucker vergeben wurde.
• Keine Doku. Der IT-Mitarbeiter, der das Netz aufgesetzt hat, ist nicht mehr da. Niemand weiß, welches VLAN für was ist. Jeder Umbau dauert doppelt so lang.
• Gäste-WLAN nicht isoliert. Nur ein eigenes SSID, aber das gleiche Subnetz wie das Büro. Ein Besucher sieht den Datei-Server.

Checkliste: Ihr Subnetting-Plan in 10 Schritten

1. Bestandsaufnahme: Alle aktuellen IP-Bereiche, VLANs und DHCP-Ranges auflisten.
2. Endgeräte zählen: Heute × 2 = Mindest-Kapazität.
3. Funktionen definieren: Büro, Server, VoIP, Drucker, Gäste, IoT, Management, VPN-Clients.
4. Privaten Bereich wählen: 10.0.0.0/8 für Unternehmen mit Wachstumsabsicht; 172.16/12 okay; 192.168/16 nur für ganz kleine Setups.
5. Standort-Blöcke reservieren: Pro Standort einen /22 oder /21 vorhalten — auch wenn es heute nur einen Standort gibt.
6. CIDR pro Funktion ableiten: Passende Subnetzgröße aus der Tabelle oben wählen.
7. VLAN-IDs vergeben: Konsistentes Schema — z.B. VLAN-ID spiegelt das dritte Oktett.
8. Firewall-Regelwerk skizzieren: Wer darf wohin? Default: Deny. Explizit freigeben, was erlaubt ist.
9. Dokumentieren: Tabelle mit Subnetz, VLAN, Zweck, Gateway, DHCP-Range, DNS.
10. Review durch erfahrenen Netzwerker. Vier Augen finden drei Fehler, die Sie selbst nie gesehen hätten.

Was Sie heute tun können — ohne IT-Studium

Auch als Geschäftsführer ohne Technik-Hintergrund können Sie den Status Ihres Netzwerks in wenigen Minuten einschätzen. Fragen Sie Ihren IT-Dienstleister — oder Ihren internen Admin — diese fünf Dinge:

1. Gibt es einen aktuellen Netzplan? (Tabelle reicht, kein schickes Visio.) Wenn nein: Problem.
2. Wie viele VLANs haben wir? Weniger als 3 bei mehr als 20 Mitarbeitern → zu wenig.
3. Ist das Gäste-WLAN vom Produktivnetz getrennt? Direkte Frage, direkte Antwort.
4. Wo liegen unsere Server im Subnetz-Plan? Gleiche Range wie Arbeitsplätze = Risiko.
5. Haben wir IPs reserviert für künftige Standorte / Home-Office-VPN? Wenn „schauen wir dann” → Planungslücke.

Wer bei einer dieser Fragen ins Stocken gerät, sollte sich in den nächsten 12 Monaten einen Netzwerk-Audit leisten. Details dazu finden Sie in unserer Übersicht Netzwerk & WLAN Hamburg und ergänzend in der IP-Adresse, DNS & Gateway Basics. Wer einen ganzheitlichen Betrieb plant, findet die Leistungsbeschreibung unter Managed IT Services.

Fazit

Subnetting ist mehr als eine Rechenaufgabe aus dem zweiten Semester Informatik — es ist die stille Grundlage jedes funktionierenden Unternehmensnetzwerks. Ein flaches /24 mit 200 Geräten ist wie ein Großraumbüro ohne Trennwände: Es funktioniert, bis der erste Kollege beginnt, laut zu telefonieren. Und die erste wirklich böse Überraschung gibt es, wenn ein Angreifer im Netz ist und sich ungehindert ausbreiten kann.

Die gute Nachricht: Subnetting richtig zu planen ist einmalig Aufwand — und dann für 10+ Jahre Fundament. Wer einmal sauber getrennte Subnetze mit konsistenten VLANs hat, profitiert bei jeder Firewall-Regel, jedem Umzug, jeder Zertifizierung, jedem Sicherheitsvorfall. Unsere Kunden in Hamburg und Norddeutschland merken das spätestens dann, wenn das erste Mal ein Mitarbeiter auf einen Phishing-Link klickt — und der Schaden auf genau ein Subnetz begrenzt bleibt.

Wenn Ihr Netzwerk heute mehr gewachsen als geplant wirkt: Das ist normal. Fast jedes KMU war mal an diesem Punkt. Ein strukturierter Refresh — idealerweise bei einem anstehenden Umzug, Firewall-Wechsel oder VoIP-Rollout — ist die Gelegenheit, den Kram einmal richtig aufzuräumen. Wir begleiten das regelmäßig bei Kunden zwischen 20 und 150 Mitarbeitern.

Weiterführende Quellen

• RFC 1918 — Address Allocation for Private Internets (IETF, der Standard hinter den privaten IP-Bereichen)
• RFC 1519 — Classless Inter-Domain Routing (CIDR) (die Basis moderner IP-Planung)
• IEEE 802.1Q — VLAN Tagging Standard (technische Grundlage für VLANs)
• Cisco — IP Addressing and Subnetting Guide (ausführliches Tutorial mit Rechenbeispielen)