Wer Netzwerke plant, kommt an Subnetting und CIDR nicht vorbei. Die gute Nachricht: Du brauchst dafür kein Mathematik-Studium, sondern nur ein paar Tabellen und einen festen Rechenweg. Diese Anleitung erklärt dir Schritt für Schritt, was die CIDR-Schreibweise wie /24 bedeutet, wie du daraus Subnetzmaske, Netz-, Broadcast- sowie erste und letzte Host-Adresse ableitest, wie viele Geräte in ein Netz passen und wie du ein Netz sauber in mehrere Subnetze teilst. Zielgruppe sind Admins und IT-Verantwortliche im Mittelstand, die im Alltag schnell und fehlerfrei rechnen wollen.

Kurzfassung: Eine IPv4-Adresse hat 32 Bit. Das CIDR-Präfix /n sagt, wie viele davon zum Netzanteil gehören. Adressen je Subnetz = 2 hoch (32 minus Präfix), nutzbare Hosts = das minus 2 (Netz- und Broadcast-Adresse). Den Netzschritt im letzten Oktett bekommst du über 256 minus Maskenwert. Private Bereiche nach RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16. Sonderfälle: /31 hat 2 Hosts (Punkt-zu-Punkt), /32 ist ein Einzelhost.

Voraussetzungen

Grundverständnis, dass eine IPv4-Adresse aus vier Zahlen von 0 bis 255 besteht (vier Oktette), zum Beispiel 192.168.10.5.
Ein Taschenrechner oder Kopf für einfache Zweierpotenzen reicht völlig aus, mehr Mathematik ist nicht nötig.
Optional zum Nachprüfen: ein Linux-System mit den Befehlen ip und ipcalc oder ein Windows-PC mit ipconfig.
Kein Schreibzugriff auf Netzwerkgeräte erforderlich; alle Prüfbefehle in dieser Anleitung sind nur lesend.

Schritt 1: Was CIDR und Subnetting bedeuten

Früher gab es feste Adressklassen A, B und C mit starren Grenzen. CIDR (Classless Inter-Domain Routing) hat dieses Klassensystem abgelöst. Statt einer Klasse gibt heute die Präfixlänge an, wie viele der 32 Bit einer IPv4-Adresse zum Netzanteil gehören. Geschrieben wird das als Schrägstrich plus Zahl, etwa /24.

Die Logik ist simpel: Die ersten n Bit (das Präfix) bestimmen das Netz, die restlichen 32 minus n Bit adressieren die einzelnen Geräte (Hosts) in diesem Netz. Subnetting heißt nichts anderes, als ein vorhandenes Netz durch ein längeres Präfix in kleinere Teilnetze zu zerlegen.

Ein Beispiel macht das greifbar: Bei 192.168.10.0/24 sind die ersten 24 Bit der Netzanteil (192.168.10), die letzten 8 Bit der Hostanteil (das letzte Oktett). Damit lassen sich 256 Adressen abbilden, von denen du 254 an Geräte vergeben kannst.

Schritt 2: Vom Präfix zur Subnetzmaske

Die Subnetzmaske ist nur eine andere Darstellung desselben Präfixes. Du schreibst so viele Einsen, wie das Präfix angibt, füllst mit Nullen auf 32 Bit auf und rechnest pro Oktett (je 8 Bit) den Dezimalwert aus.

Rechenweg Maske aus Präfix:

/26 = 11111111.11111111.11111111.11000000
      = 255       .255      .255      .192
=> Subnetzmaske 255.255.255.192

Damit du nicht jedes Mal Bits zählst, hilft die Tabelle der möglichen Maskenwerte je Oktett. Im jeweils letzten genutzten Oktett kann nur einer dieser Werte stehen:

Anzahl 1-Bits im OktettBinärDezimaler Maskenwert

00000000

10000000

128

11000000

192

11100000

224

11110000

240

11111000

248

11111100

252

11111110

254

11111111

255

Ein /26 belegt 8 plus 8 plus 8 plus 2 Bit. Die ersten drei Oktette sind also voll (255), das vierte hat 2 Einsen, das ergibt 192. Daraus folgt die Maske 255.255.255.192.

Schritt 3: Hosts berechnen ohne Rechenangst

Die wichtigste Formel im Subnetting hat nur drei Schritte. Sie funktioniert für jedes Präfix von /0 bis /30; die Sonderfälle /31 und /32 behandeln wir gleich getrennt.

1) Hostbits     = 32 - Praefix
2) Adressen     = 2 hoch Hostbits
3) Nutzbare Hosts = Adressen - 2   (Netz- und Broadcast-Adresse abziehen)

Beispiel /26:
  32 - 26      = 6 Hostbits
  2 hoch 6     = 64 Adressen
  64 - 2       = 62 nutzbare Hosts

Das minus 2 ist der häufigste Stolperstein: Die niedrigste Adresse eines Subnetzes ist immer die Netzadresse (alle Hostbits 0), die höchste immer die Broadcast-Adresse (alle Hostbits 1). Beide darfst du nicht an Geräte vergeben. Ein /24 hat deshalb zwar 256 Adressen, aber nur 254 nutzbare Hosts.

Schritt 4: Referenztabelle CIDR zu Maske zu Hosts

Diese Tabelle deckt die im Mittelstand gängigsten Präfixe ab. Sie ist deine schnelle Nachschlage-Referenz, wenn es im Alltag flott gehen muss.

CIDRSubnetzmaskeAdressen gesamtNutzbare Hosts

255.0.0.0

16.777.216

16.777.214

/16

255.255.0.0

65.536

65.534

/20

255.255.240.0

4.096

4.094

/22

255.255.252.0

1.024

1.022

/23

255.255.254.0

512

510

/24

255.255.255.0

256

254

/25

255.255.255.128

128

126

/26

255.255.255.192

/27

255.255.255.224

/28

255.255.255.240

/29

255.255.255.248

/30

255.255.255.252

/31

255.255.255.254

2 (nur Punkt-zu-Punkt)

/32

255.255.255.255

1 (Einzelhost)

Merke dir das Muster: Jedes zusätzliche Bit im Präfix halbiert die Anzahl der Adressen. Von /24 (256) über /25 (128) zu /26 (64) und so weiter.

Schritt 5: Netz, Broadcast und Host-Range bestimmen

Für eine gegebene IP plus Präfix willst du oft wissen: Zu welchem Netz gehört sie, was sind Netz- und Broadcast-Adresse und welche Adressen darfst du vergeben? Dafür gibt es einen festen Prüfweg mit dem Netzschritt (auch Block- oder Increment-Größe genannt).

1) Maske bestimmen          (z. B. /26 -> 255.255.255.192)
2) Netzschritt = 256 - letzter Maskenwert   (256 - 192 = 64)
3) Netzadresse = naechstkleineres Vielfaches des Schritts
4) Broadcast   = Netzadresse + Schritt - 1
5) Hosts       = Netzadresse+1 bis Broadcast-1

Beispiel 192.168.10.100/26: Der Netzschritt ist 256 minus 192 = 64. Die Blöcke beginnen also bei .0, .64, .128 und .192. Die 100 liegt zwischen 64 und 127, gehört also in den Block .64.

EigenschaftWert

Netzadresse

192.168.10.64

Erste Host-Adresse

192.168.10.65

Letzte Host-Adresse

192.168.10.126

Broadcast-Adresse

192.168.10.127

Nutzbare Hosts

Damit ist klar: 192.168.10.100 ist eine gültige Geräteadresse in diesem Subnetz. Hättest du irrtümlich mit Maske /24 gerechnet, läge die Adresse im falschen Netz, und die Erreichbarkeit wäre gestört.

Schritt 6: Ein /24 in vier /26 teilen

Der Klassiker im Alltag: Du hast ein 192.168.10.0/24 und willst es in vier gleich große Subnetze für getrennte Bereiche aufteilen, etwa Server, Clients, Drucker und Gäste. Vier Teile bedeuten 2 zusätzliche Bit, also wird aus /24 ein /26.

Die Maske ist 255.255.255.192, der Netzschritt 256 minus 192 = 64. Die Subnetze starten damit zwingend bei .0, .64, .128 und .192. Jedes Teilnetz bietet 62 nutzbare Hosts.

SubnetzNetzadresseHost-RangeBroadcast

192.168.10.0/26

.1 bis .62

192.168.10.63

192.168.10.64/26

.65 bis .126

192.168.10.127

192.168.10.128/26

.129 bis .190

192.168.10.191

192.168.10.192/26

.193 bis .254

192.168.10.255

Wichtig: Die Netzgrenzen müssen auf dem Block-Increment liegen. Ein /26 darf nur bei .0, .64, .128 oder .192 starten, niemals etwa bei .50. Wenn du in einem anderen Oktett subnetzt, verschiebt sich die Logik nur die Stelle nach links: Bei /20 liegt die variable Grenze im dritten Oktett (Maske 255.255.240.0), der Netzschritt ist dann 256 minus 240 = 16, und die Netze beginnen bei .0.0, .16.0, .32.0 und so weiter.

Schritt 7: Private Adressbereiche nach RFC 1918

Für interne Netze nutzt du private IP-Bereiche, die im Internet nicht geroutet werden. RFC 1918 legt drei Blöcke verbindlich fest. Wähle die Größe passend zu deinem Bedarf, nicht größer als nötig.

CIDR-BlockSubnetzmaskeAdressbereich

10.0.0.0/8

255.0.0.0

10.0.0.0 bis 10.255.255.255

172.16.0.0/12

255.240.0.0

172.16.0.0 bis 172.31.255.255

192.168.0.0/16

255.255.0.0

192.168.0.0 bis 192.168.255.255

Achte besonders auf den mittleren Block: 172.16.0.0/12 reicht bis 172.31.255.255, umfasst also 16 zusammenhängende /16-Netze und endet nicht etwa schon bei 172.16.255.255. Zwei weitere Bereiche begegnen dir oft, sind aber keine RFC-1918-Netze: 127.0.0.0/8 ist Loopback (der eigene Rechner), und 169.254.0.0/16 ist Link-Local (APIPA) und taucht typischerweise auf, wenn DHCP fehlschlägt.

Schritt 8: Sonderfälle /31 und /32

Zwei Präfixe folgen nicht der minus 2-Regel und sind in der Praxis trotzdem wichtig.

/31 für Punkt-zu-Punkt-Verbindungen: Auf einer direkten Verbindung zwischen genau zwei Geräten (etwa zwei Router-Interfaces) wäre ein /30 mit 2 nutzbaren Hosts möglich, verbraucht aber 4 Adressen. RFC 3021 erlaubt für solche Links ein /31: Hier gibt es keine reservierte Netz- und Broadcast-Adresse, beide Adressen sind nutzbar. So sparst du Adressen. Modernes Cisco IOS, Linux und Junos unterstützen das.

/32 als Einzelhost: Ein /32 beschreibt genau eine Adresse, etwa für eine Host-Route, eine Loopback-Adresse auf einem Router oder eine einzelne Firewall-Regel. Es gibt hier weder Netz- noch Broadcast-Adresse, sondern nur diesen einen Host.

Schritt 9: Werte unter Linux und Windows prüfen

Du musst nicht jedes Subnetz von Hand rechnen. Diese lesenden Befehle zeigen dir die aktuelle Konfiguration oder rechnen ein Netz aus.

Unter Linux zeigt ip addr die Adresse samt Präfix, und ipcalc liefert Netz, Broadcast und Host-Bereich:

# Adresse mit Praefix anzeigen, z. B. inet 192.168.10.5/26
ip addr show

# Netz-Routen in CIDR-Schreibweise
ip route

# Subnetz ausrechnen (Paket ipcalc bzw. sipcalc)
ipcalc 192.168.10.0/26

Unter Windows zeigt ipconfig Adresse und Maske in dezimaler Schreibweise. Die Umrechnung zwischen Maske und Präfix nimmst du über die Oktett-Tabelle aus Schritt 2 vor:

ipconfig /all

Typische Fehler

Das minus 2 vergessen. Ein /24 hat 256 Adressen, aber nur 254 nutzbare Hosts. Netz- und Broadcast-Adresse zählen nicht.
/31 und /32 mit der Standardformel rechnen. Ein /31 hat 2 nutzbare Hosts (nur Punkt-zu-Punkt nach RFC 3021), ein /32 genau 1 Host. Bei beiden gibt es keine Netz- und Broadcast-Reservierung.
172.16.0.0/12 falsch begrenzen. Der Bereich endet bei 172.31.255.255, nicht bei 172.16.255.255.
Netz- oder Broadcast-Adresse als Geräteadresse vergeben. Die niedrigste und höchste Adresse eines Subnetzes sind tabu (außer bei /31 und /32).
Präfix und Maske inkonsistent setzen. Ein /26 ist 255.255.255.192, nicht 255.255.255.0. Eine falsche Maske führt zu Routing- und Erreichbarkeitsproblemen.
Subnetze überlappen oder neben dem Increment starten. Ein /26 darf nur bei .0, .64, .128 oder .192 beginnen, nicht bei .50.
169.254.x.x für ein eigenes Netz halten. Das ist Link-Local (APIPA) und erscheint meist, wenn DHCP nicht antwortet, kein konfigurierbarer privater Bereich.
Im falschen Oktett subnetzen. Bei /20 liegt die variable Grenze im dritten Oktett (255.255.240.0), der Netzschritt ist 16 im dritten Oktett.

Häufige Fragen

Wofür steht das /24 hinter einer IP-Adresse?

Die Zahl nach dem Schrägstrich ist die CIDR-Präfixlänge. Sie gibt an, wie viele der 32 Bit zum Netzanteil gehören. Bei /24 sind das die ersten 24 Bit (die ersten drei Oktette), die letzten 8 Bit adressieren die Geräte.

Wie rechne ich schnell die Anzahl der Hosts aus?

Ziehe das Präfix von 32 ab, das ergibt die Hostbits. Rechne 2 hoch Hostbits für die Gesamtzahl der Adressen und ziehe 2 ab. Beispiel /27: 32 minus 27 = 5, 2 hoch 5 = 32, 32 minus 2 = 30 nutzbare Hosts.

Was ist der Unterschied zwischen Präfix und Subnetzmaske?

Es sind zwei Schreibweisen für dieselbe Information. Das Präfix zählt die Netz-Bits (/26), die Subnetzmaske stellt dieselben Bits in dezimaler Punkt-Notation dar (255.255.255.192). Wichtig ist nur, dass beide zueinander passen.

Warum hat ein /24 nur 254 nutzbare Hosts und nicht 256?

Von den 256 Adressen ist die erste die Netzadresse und die letzte die Broadcast-Adresse. Beide sind reserviert und dürfen nicht an Geräte vergeben werden, deshalb bleiben 254 nutzbare Adressen übrig.

Welchen privaten Bereich sollte ich für mein Firmennetz wählen?

Das hängt von der Größe ab. Für kleine Netze reicht meist ein Teil aus 192.168.0.0/16. Wer viele Standorte und Subnetze sauber strukturieren will, greift oft zu 10.0.0.0/8, weil sich darin viel Platz übersichtlich aufteilen lässt. Wähle den Block nie größer als nötig und plane die Subnetze von Anfang an strukturiert.

Wann ergibt ein /31 Sinn?

Auf Punkt-zu-Punkt-Verbindungen zwischen genau zwei Geräten, etwa zwischen zwei Routern. Nach RFC 3021 sind beide Adressen eines /31 nutzbar, sodass du gegenüber einem /30 Adressen sparst. Für normale Netze mit mehreren Geräten ist es nicht geeignet.

Fazit

Subnetting und CIDR sind kein Hexenwerk, wenn du dich an feste Rechenwege und Tabellen hältst. Merke dir die drei Kernschritte für die Hostzahl, den Netzschritt über 256 minus Maskenwert und die Tatsache, dass Netz- und Broadcast-Adresse immer reserviert sind. Mit der Referenztabelle hast du Maske und Hostzahl in Sekunden parat, und das Teilen eines /24 in vier /26 wird zur Routine. Halte dich an die RFC-1918-Bereiche, denke an die Sonderfälle /31 und /32 und prüfe deine Werte bei Bedarf mit ipcalc oder ipconfig. Damit planst du Netze sauber und vermeidest die typischen Erreichbarkeitsfehler.

Weiterführende Anleitungen und Quellen

Quellen: RFC 1918 (private Adressbereiche), RFC 4632 (CIDR), RFC 3021 (31-Bit-Präfixe auf Punkt-zu-Punkt-Links) sowie eine gängige Subnet-Referenztabelle (Stand: 2026-06-02).