Subnetting und CIDR verständlich erklärt
Subnetting und CIDR mit Tabellen und festen Rechenwegen: So leiten Sie aus einem CIDR-Präfix Netzmaske, Netz-, Broadcast- und Host-Adressen ab, teilen ein Netz in Subnetze und prüfen die Werte mit ipcalc und PowerShell.
Geprüft am 29.09.2026
Wer Netzwerke plant, kommt an Subnetting und CIDR nicht vorbei. Dafür genügen ein paar Tabellen und ein fester Rechenweg. Diese Anleitung erklärt, was die CIDR-Schreibweise wie /24 bedeutet, wie Sie daraus Subnetzmaske, Netz-, Broadcast- sowie erste und letzte Host-Adresse ableiten, wie viele Geräte in ein Netz passen und wie Sie ein Netz in mehrere Subnetze teilen. Zielgruppe sind Admins und IT-Verantwortliche im Mittelstand.
Voraussetzungen
- Grundverständnis, dass eine IPv4-Adresse aus vier Zahlen von 0 bis 255 besteht (vier Oktette), zum Beispiel
192.168.10.5. - Ein Taschenrechner oder Kopfrechnen für Zweierpotenzen genügt.
- Zum Nachprüfen: ein Linux-System mit
ipundipcalc(Debian/Ubuntu:sudo apt install ipcalc) oder ein Windows-PC mitipconfigbzw. PowerShell. - Kein Schreibzugriff auf Netzwerkgeräte erforderlich; alle Prüfbefehle in dieser Anleitung sind nur lesend.
Schritt 1: Was CIDR und Subnetting bedeuten
CIDR (Classless Inter-Domain Routing) hat die früheren festen Adressklassen A, B und C abgelöst. Heute gibt die Präfixlänge an, wie viele der 32 Bit einer IPv4-Adresse zum Netzanteil gehören. Geschrieben wird das als Schrägstrich plus Zahl, etwa /24.
Die ersten n Bit (das Präfix) bestimmen das Netz, die restlichen 32 minus n Bit adressieren die einzelnen Geräte (Hosts) in diesem Netz. Subnetting bedeutet, ein vorhandenes Netz durch ein längeres Präfix in kleinere Teilnetze zu zerlegen.
Beispiel: Bei 192.168.10.0/24 sind die ersten 24 Bit der Netzanteil (192.168.10), die letzten 8 Bit der Hostanteil (das letzte Oktett). Damit lassen sich 256 Adressen abbilden, von denen Sie 254 an Geräte vergeben können.
Verifizieren: Sie können für 10.0.5.0/16 sagen, wie viele Bit zum Netz- und wie viele zum Hostanteil gehören (16 und 16).
Schritt 2: Vom Präfix zur Subnetzmaske
Die Subnetzmaske ist nur eine andere Darstellung desselben Präfixes. Sie schreiben so viele Einsen, wie das Präfix angibt, füllen mit Nullen auf 32 Bit auf und rechnen pro Oktett (je 8 Bit) den Dezimalwert aus.
Rechenweg Maske aus Präfix:
/26 = 11111111.11111111.11111111.11000000
= 255 .255 .255 .192
=> Subnetzmaske 255.255.255.192Damit Sie nicht jedes Mal Bits zählen, hilft die Tabelle der möglichen Maskenwerte je Oktett. Im jeweils letzten genutzten Oktett kann nur einer dieser Werte stehen:
| Anzahl 1-Bits im Oktett | Binär | Dezimaler Maskenwert |
|---|---|---|
| 0 | 00000000 | 0 |
| 1 | 10000000 | 128 |
| 2 | 11000000 | 192 |
| 3 | 11100000 | 224 |
| 4 | 11110000 | 240 |
| 5 | 11111000 | 248 |
| 6 | 11111100 | 252 |
| 7 | 11111110 | 254 |
| 8 | 11111111 | 255 |
Ein /26 belegt 8 plus 8 plus 8 plus 2 Bit. Die ersten drei Oktette sind also voll (255), das vierte hat 2 Einsen, das ergibt 192. Daraus folgt die Maske 255.255.255.192.
Verifizieren: Rechnen Sie /20 selbst um. Ergebnis: 255.255.240.0 (8 + 8 + 4 Bit).
Schritt 3: Hosts berechnen ohne Rechenangst
Die wichtigste Formel im Subnetting hat nur drei Schritte. Sie funktioniert für jedes Präfix von /0 bis /30; die Sonderfälle /31 und /32 behandelt Schritt 8.
1) Hostbits = 32 - Praefix
2) Adressen = 2 hoch Hostbits
3) Nutzbare Hosts = Adressen - 2 (Netz- und Broadcast-Adresse abziehen)
Beispiel /26:
32 - 26 = 6 Hostbits
2 hoch 6 = 64 Adressen
64 - 2 = 62 nutzbare HostsDas minus 2 ist der häufigste Stolperstein: Die niedrigste Adresse eines Subnetzes ist immer die Netzadresse (alle Hostbits 0), die höchste immer die Broadcast-Adresse (alle Hostbits 1). Beide dürfen Sie nicht an Geräte vergeben. Ein /24 hat deshalb 256 Adressen, aber nur 254 nutzbare Hosts.
Verifizieren: Für /28 ergibt Ihre Rechnung 4 Hostbits, 16 Adressen und 14 nutzbare Hosts.
Schritt 4: Referenztabelle CIDR zu Maske zu Hosts
Diese Tabelle deckt die im Mittelstand gängigsten Präfixe ab. Nutzen Sie sie zum schnellen Nachschlagen.
| CIDR | Subnetzmaske | Adressen gesamt | Nutzbare Hosts |
|---|---|---|---|
| /8 | 255.0.0.0 | 16.777.216 | 16.777.214 |
| /16 | 255.255.0.0 | 65.536 | 65.534 |
| /20 | 255.255.240.0 | 4.096 | 4.094 |
| /22 | 255.255.252.0 | 1.024 | 1.022 |
| /23 | 255.255.254.0 | 512 | 510 |
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
| /31 | 255.255.255.254 | 2 | 2 (nur Punkt-zu-Punkt) |
| /32 | 255.255.255.255 | 1 | 1 (Einzelhost) |
Das Muster: Jedes zusätzliche Bit im Präfix halbiert die Anzahl der Adressen, von /24 (256) über /25 (128) zu /26 (64) und so weiter.
Verifizieren: Prüfen Sie eine Zeile per Formel aus Schritt 3, etwa /22: 2 hoch 10 = 1.024 Adressen, 1.022 Hosts.
Schritt 5: Netz, Broadcast und Host-Range bestimmen
Für eine gegebene IP plus Präfix brauchen Sie oft diese Angaben: Zu welchem Netz gehört sie, was sind Netz- und Broadcast-Adresse und welche Adressen dürfen Sie vergeben? Dafür gibt es einen festen Prüfweg mit dem Netzschritt (auch Blockgröße genannt).
1) Maske bestimmen (z. B. /26 -> 255.255.255.192)
2) Netzschritt = 256 - letzter Maskenwert (256 - 192 = 64)
3) Netzadresse = naechstkleineres Vielfaches des Schritts
4) Broadcast = Netzadresse + Schritt - 1
5) Hosts = Netzadresse+1 bis Broadcast-1Beispiel 192.168.10.100/26: Der Netzschritt ist 256 minus 192 = 64. Die Blöcke beginnen also bei .0, .64, .128 und .192. Die 100 liegt zwischen 64 und 127, gehört also in den Block .64.
| Eigenschaft | Wert |
|---|---|
| Netzadresse | 192.168.10.64 |
| Erste Host-Adresse | 192.168.10.65 |
| Letzte Host-Adresse | 192.168.10.126 |
| Broadcast-Adresse | 192.168.10.127 |
| Nutzbare Hosts | 62 |
Damit ist klar: 192.168.10.100 ist eine gültige Geräteadresse in diesem Subnetz. Wer irrtümlich mit /24 rechnet, ordnet die Adresse dem falschen Netz zu, und Geräte in anderen Blöcken gelten fälschlich als lokal erreichbar.
Verifizieren: ipcalc 192.168.10.100/26 zeigt Network 192.168.10.64/26, HostMin .65, HostMax .126 und Broadcast .127.
Schritt 6: Ein /24 in vier /26 teilen
Ein typischer Fall: Sie teilen 192.168.10.0/24 in vier gleich große Subnetze für getrennte Bereiche, etwa Server, Clients, Drucker und Gäste. Vier Teile bedeuten 2 zusätzliche Bit, also wird aus /24 ein /26.
Die Maske ist 255.255.255.192, der Netzschritt 256 minus 192 = 64. Die Subnetze starten damit zwingend bei .0, .64, .128 und .192. Jedes Teilnetz bietet 62 nutzbare Hosts.
| Subnetz | Netzadresse | Host-Range | Broadcast |
|---|---|---|---|
| 1 | 192.168.10.0/26 | .1 bis .62 | 192.168.10.63 |
| 2 | 192.168.10.64/26 | .65 bis .126 | 192.168.10.127 |
| 3 | 192.168.10.128/26 | .129 bis .190 | 192.168.10.191 |
| 4 | 192.168.10.192/26 | .193 bis .254 | 192.168.10.255 |
Wichtig: Die Netzgrenzen müssen auf dem Block-Increment liegen. Ein /26 darf nur bei .0, .64, .128 oder .192 starten, niemals etwa bei .50. Subnetzen Sie in einem anderen Oktett, verschiebt sich die Logik nur eine Stelle nach links: Bei /20 liegt die variable Grenze im dritten Oktett (Maske 255.255.240.0), der Netzschritt ist dann 256 minus 240 = 16, und die Netze beginnen bei .0.0, .16.0, .32.0 und so weiter.
Verifizieren: ipcalc 192.168.10.128/26 zeigt HostMin .129, HostMax .190 und Broadcast .191, wie in Zeile 3 der Tabelle.
Schritt 7: Private Adressbereiche nach RFC 1918
Für interne Netze nutzen Sie private IP-Bereiche, die im Internet nicht geroutet werden. RFC 1918 legt drei Blöcke fest. Wählen Sie den Bereich passend zum Bedarf.
| CIDR-Block | Subnetzmaske | Adressbereich |
|---|---|---|
| 10.0.0.0/8 | 255.0.0.0 | 10.0.0.0 bis 10.255.255.255 |
| 172.16.0.0/12 | 255.240.0.0 | 172.16.0.0 bis 172.31.255.255 |
| 192.168.0.0/16 | 255.255.0.0 | 192.168.0.0 bis 192.168.255.255 |
Beachten Sie den mittleren Block: 172.16.0.0/12 reicht bis 172.31.255.255, umfasst also 16 zusammenhängende /16-Netze und endet nicht etwa schon bei 172.16.255.255. Zwei weitere Bereiche begegnen Ihnen oft, sind aber keine RFC-1918-Netze: 127.0.0.0/8 ist Loopback (der eigene Rechner), und 169.254.0.0/16 ist Link-Local (APIPA) und taucht typischerweise auf, wenn DHCP fehlschlägt. Ebenfalls kein RFC-1918-Netz ist 100.64.0.0/10: Diesen Shared Address Space (RFC 6598) nutzen Provider für Carrier-Grade-NAT.
Verifizieren: Sie ordnen 172.20.1.5 korrekt als privat ein (liegt in 172.16.0.0/12), 172.32.1.5 dagegen als öffentlich.
Schritt 8: Sonderfälle /31 und /32
Zwei Präfixe folgen nicht der minus 2-Regel und sind in der Praxis trotzdem wichtig.
/31 für Punkt-zu-Punkt-Verbindungen: Auf einer direkten Verbindung zwischen genau zwei Geräten (etwa zwei Router-Interfaces) wäre ein /30 mit 2 nutzbaren Hosts möglich, verbraucht aber 4 Adressen. RFC 3021 erlaubt für solche Links ein /31: Hier gibt es keine reservierte Netz- und Broadcast-Adresse, beide Adressen sind nutzbar. So sparen Sie Adressen. Aktuelle Router-Betriebssysteme und Linux unterstützen das.
/32 als Einzelhost: Ein /32 beschreibt genau eine Adresse, etwa für eine Host-Route, eine Loopback-Adresse auf einem Router oder eine einzelne Firewall-Regel. Es gibt hier weder Netz- noch Broadcast-Adresse, sondern nur diesen einen Host.
Verifizieren: ipcalc 10.0.0.0/31 zeigt zwei nutzbare Adressen (10.0.0.0 und 10.0.0.1) ohne Broadcast.
Schritt 9: Werte unter Linux und Windows prüfen
Sie müssen nicht jedes Subnetz von Hand rechnen. Diese lesenden Befehle zeigen die aktuelle Konfiguration oder rechnen ein Netz aus.
Unter Linux zeigt ip addr die Adresse samt Präfix, und ipcalc liefert Netz, Broadcast und Host-Bereich:
# Adresse mit Praefix anzeigen, z. B. inet 192.168.10.5/26
ip addr show
# Netz-Routen in CIDR-Schreibweise
ip route
# Subnetz ausrechnen (Paket ipcalc)
ipcalc 192.168.10.0/26Unter Windows zeigt ipconfig Adresse und Maske in dezimaler Schreibweise. PowerShell nennt das Präfix direkt:
ipconfig /all
Get-NetIPAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, IPAddress, PrefixLengthVerifizieren: Die Maske aus ipconfig passt laut Oktett-Tabelle aus Schritt 2 zur PrefixLength bzw. zum Präfix aus ip addr (zum Beispiel 255.255.255.0 und 24).
Typische Fehler
- Das minus 2 vergessen. Ein
/24hat 256 Adressen, aber nur 254 nutzbare Hosts. Netz- und Broadcast-Adresse zählen nicht. - /31 und /32 mit der Standardformel rechnen. Siehe Schritt 8: 2 bzw. 1 nutzbare Adresse.
- 172.16.0.0/12 falsch begrenzen. Der Bereich endet bei
172.31.255.255, nicht bei172.16.255.255. - Netz- oder Broadcast-Adresse als Geräteadresse vergeben. Niedrigste und höchste Adresse sind reserviert (außer bei
/31und/32). - Präfix und Maske inkonsistent setzen. Ein
/26ist255.255.255.192, nicht255.255.255.0. Eine falsche Maske führt zu Routing- und Erreichbarkeitsproblemen. - Subnetze überlappen oder neben dem Increment starten. Ein
/26darf nur bei.0,.64,.128oder.192beginnen, nicht bei.50. - 169.254.x.x für ein eigenes Netz halten. Das ist Link-Local (APIPA): Der DHCP-Server antwortet nicht.
- Im falschen Oktett subnetzen. Bei
/20liegt der Netzschritt16im dritten Oktett (Schritt 6).
Häufige Fragen
Wofür steht das /24 hinter einer IP-Adresse?
Für die CIDR-Präfixlänge: Bei /24 bilden die ersten 24 Bit (drei Oktette) das Netz, die letzten 8 Bit adressieren die Geräte.
Wie rechne ich schnell die Anzahl der Hosts aus?
Mit der Formel aus Schritt 3. Beispiel /27: 32 minus 27 = 5, 2 hoch 5 = 32, 32 minus 2 = 30 nutzbare Hosts.
Was ist der Unterschied zwischen Präfix und Subnetzmaske?
Es sind zwei Schreibweisen derselben Information: Das Präfix zählt die Netz-Bits (/26), die Maske zeigt sie in Punkt-Notation (255.255.255.192).
Warum hat ein /24 nur 254 nutzbare Hosts und nicht 256?
Die erste der 256 Adressen ist die Netzadresse, die letzte die Broadcast-Adresse. Beide sind reserviert, es bleiben 254.
Welchen privaten Bereich sollte ich für mein Firmennetz wählen?
Das hängt von der Größe ab. Für kleine Netze reicht meist ein Teil aus 192.168.0.0/16. Für viele Standorte und Subnetze bietet 10.0.0.0/8 mehr Platz für eine übersichtliche Struktur. Vermeiden Sie 192.168.0.0/24 und 192.168.1.0/24: Diese Netze nutzen viele Heimrouter, was bei VPN-Verbindungen aus dem Homeoffice zu Überschneidungen führt.
Wann ergibt ein /31 Sinn?
Auf Punkt-zu-Punkt-Verbindungen zwischen genau zwei Geräten, etwa zwischen zwei Routern. Nach RFC 3021 sind beide Adressen eines /31 nutzbar, sodass Sie gegenüber einem /30 Adressen sparen.
Fazit
Mit festen Rechenwegen und Tabellen ist Subnetting schnell erledigt: drei Schritte für die Hostzahl, der Netzschritt über 256 minus Maskenwert und die Regel, dass Netz- und Broadcast-Adresse reserviert sind. Nutzen Sie die RFC-1918-Bereiche, beachten Sie die Sonderfälle /31 und /32 und prüfen Sie Ihre Werte mit ipcalc oder PowerShell.
Weiterführende Anleitungen und Quellen
- Netzwerkdokumentation und IP-Adressplan (IPAM) erstellen – Subnetze und Geräte sauber dokumentieren und verwalten
- VLANs verstehen und auf einem Managed Switch einrichten
- Feste IP, Gateway und DNS unter Windows und Linux setzen
- Weitere Anleitungen in der Kategorie Netzwerk
Quellen: RFC 1918 (private Adressbereiche), RFC 4632 (CIDR), RFC 3021 (31-Bit-Präfixe auf Punkt-zu-Punkt-Links), RFC 6598 (Shared Address Space).
