# APN und privater Zugang

Ein Access Point Name (APN) ist die Zeichenfolge, die ein Gerät sendet, um das Gateway für seine Datensitzung auszuwählen. Ein öffentlicher APN führt über das Gateway des Betreibers ins Internet; ein privater APN führt in ein Netz, das der Kunde kontrolliert. Der APN wählt den Pfad, nicht das Sicherheitsniveau.

- Der APN wählt das Gateway und damit den Adresspool und die Richtlinie für eine Datensitzung.

- Ein Gerät kann sich im Netz anmelden und trotzdem keine Daten übertragen, wenn der APN falsch ist oder die Sitzung abgelehnt wird.

- Ein privater APN hält den Verkehr ab dem Gateway nach innen vom öffentlichen Internet fern; er ist für sich genommen keine Verschlüsselung.

- Ein IPsec-Tunnel über einen öffentlichen APN verschlüsselt den Verkehr, nutzt aber weiterhin das öffentliche Gateway des Betreibers.

## Der APN wählt den Datenausgang

Ein Access Point Name ist eine kurze Zeichenfolge, meist ein domainähnlicher Name, die das Gerät sendet, wenn es eine Datensitzung anfordert. Das Netz löst sie in ein Gateway und eine Reihe von Richtlinien auf: welcher Adresspool verwendet wird, welche Dienste erlaubt sind und wo der Verkehr das Netz verlässt. Der APN ist die Wahl des Ausgangs.
Ein öffentlicher APN führt über das Gateway des Betreibers ins Internet. Er ist bei den meisten Endkunden- und IoT-Abonnements die Voreinstellung. Viele Geräte nutzen denselben Ausgang, doch jede Sitzung erhält weiterhin ihre eigene Adresse und Richtlinie. Einen Ausgang zu teilen ist nicht dasselbe, wie ein Abonnement zu teilen.
Der APN authentifiziert den Nutzer nicht und verschlüsselt keinen Verkehr. Die Authentifizierung gehört zum Abonnement und zum Kernnetz; die Verschlüsselung gehört zur Anwendung oder zu einem Tunnel oberhalb der IP-Schicht. Behandeln Sie den APN als Routing-Anweisung, nicht als Sicherheitsmaßnahme.

### Gerät, Kernnetz, APN, Gateway, Internet

Das Gerät erreicht das Funknetz, das Kernnetz wählt das vom APN benannte Gateway, und das Gateway führt ins Internet oder in ein privates Netz. Der APN benennt den Ausgang; er ist kein Sicherheitsniveau.

Alt: Ein Pfad vom Gerät über das Funkzugangsnetz, das Mobilfunk-Kernnetz, den APN und das Gateway zum öffentlichen Internet, wobei der APN als gewählter Ausgang markiert ist.

Das Gerät meldet sich über das Funkzugangsnetz an. Das Kernnetz authentifiziert das Abonnement und liest den APN aus der Sitzungsanforderung. Der APN wählt ein Gateway und dessen Richtlinie, und das Gateway vergibt eine Adresse und leitet den Verkehr weiter. Ein öffentlicher APN führt ins Internet; ein privater APN führt in ein Netz, das der Kunde kontrolliert.

| Item | Value | Note |
| --- | --- | --- |
| Erster Zustand · 1 | Gerät |  |
| Erster Zustand · 2 | Funkzugang (RAN) |  |
| Erster Zustand · 3 | Mobilfunk-Kernnetz |  |
| Erster Zustand · 4 | APN |  |
| Erster Zustand · 5 | Gateway |  |
| Erster Zustand · 6 | Öffentliches Internet |  |

Source: 3GPP TS 23.401 und TS 23.060: Der APN wählt ein PDN-Gateway (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## Was ein privater APN ändert

Ein privater APN führt in ein Netz, das der Kunde kontrolliert, meist über ein dediziertes Gateway und eine Verbindung zurück zum Unternehmen. Der Betreiber stellt weiterhin Funknetz und Kernnetz. Das Unternehmen sieht den Verkehr an seinem eigenen Netzrand und kann eigene Adressierung, Allowlists und Prüfungen anwenden.
Was der private APN bringt, ist die Trennung vom öffentlichen Internet ab dem Gateway nach innen. Er verschlüsselt den Funkpfad nicht und beweist nicht, wer ein Paket gesendet hat. Das sind separate Maßnahmen. Ein privater APN kann auch zusätzlichen Betriebsaufwand bedeuten: ein zweites Gateway, eine Routing-Vereinbarung, einen Adresspool und einen Plan für den Fall, dass die Verbindung ausfällt.
Ein privater APN ist bei Zahlungsterminals, Fahrzeugen, entfernten Anlagen und industriellen Gateways üblich. Der Grund ist meist eine feste Adresse, ein privater Adressbereich oder eine Richtlinie, die nicht vom öffentlichen Internet abhängen darf. Fragen Sie nach dem Adressplan und dem Failover-Pfad, bevor Sie bestellen.

### Öffentlicher APN und privater APN

Der Umschalter zeigt einen öffentlichen APN, der ins Internet führt, und einen privaten APN, der in ein privates Netz führt. Funknetz und Kernnetz sind in beiden Zuständen gleich.

Alt: Zwei Pfaddiagramme. Öffentlicher APN: Gerät, Kernnetz, Gateway, öffentliches Internet. Privater APN: Gerät, Kernnetz, Gateway, privates Netz.

Im öffentlichen Zustand nutzt das Gerät das Gateway des Betreibers und erreicht das Internet. Im privaten Zustand erreichen dasselbe Gerät und dasselbe Kernnetz ein Gateway, das mit einem privaten Netz verbunden ist. Abonnement und Funknetz ändern sich nicht; der Ausgang ändert sich. Ein IPsec-Tunnel über den öffentlichen Zustand würde den Verkehr verschlüsseln, aber weiterhin das öffentliche Gateway nutzen.

| Item | Value | Note |
| --- | --- | --- |
| Öffentlicher APN · 1 | Gerät |  |
| Öffentlicher APN · 2 | Mobilfunk-Kernnetz |  |
| Öffentlicher APN · 3 | Gateway |  |
| Öffentlicher APN · 4 | Öffentliches Internet |  |
| Privater APN · 1 | Gerät |  |
| Privater APN · 2 | Mobilfunk-Kernnetz |  |
| Privater APN · 3 | Gateway |  |
| Privater APN · 4 | Privates Netz |  |

Source: 3GPP TS 23.401: PDN-Verbindung und Gateway-Auswahl (https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/)

## Wann ein verschlüsselter Tunnel passt

Ein IPsec-Tunnel über einen öffentlichen APN ist eine dritte Option. Das Gerät nutzt weiterhin das öffentliche Gateway des Betreibers, baut aber einen verschlüsselten Tunnel zum Netzrand des Unternehmens auf, bevor es Anwendungsverkehr sendet. Der Tunnel schützt Vertraulichkeit und Integrität über den öffentlichen Pfad; er ändert nicht das Gateway, das der Betreiber ausgewählt hat.
Wählen Sie den Tunnel, wenn die Anforderung Vertraulichkeit über einen gemeinsam genutzten Pfad ist und das Gerät genügend CPU-Reserven und Durchsatz für den Overhead des Tunnels hat. Wählen Sie den privaten APN, wenn die Anforderung eine private Adresse, ein kontrollierter Ausgang oder eine Richtlinie ist, die im Kernnetz des Betreibers liegen muss. Viele Installationen nutzen beides.
Der Tunnel hat sein eigenes Fehlerbild. Ist der Tunnelendpunkt nicht erreichbar, kann sich das Gerät anmelden und trotzdem nichts übertragen. Testen Sie Tunnel und APN getrennt, damit der erste Fehler den zweiten nicht verdeckt.

## Das Gerät meldet sich an, erreicht den Server aber nicht

Beginnen Sie mit der APN-Zeichenfolge. Ein Tippfehler oder ein Leerzeichen am Ende genügt, um das falsche Gateway oder gar keines auszuwählen. APN-Namen folgen der DNS-Namenssyntax (3GPP TS 23.003 §9.1), daher sollte Groß- und Kleinschreibung allein das Gateway nicht ändern; ein Gerät oder Modem, das die Schreibweise falsch verarbeitet, kann dennoch scheitern. Vergleichen Sie den Wert im Gerät Zeichen für Zeichen mit dem Wert in der Bestellung.
Prüfen Sie dann die Zugangsdaten und den IP-Typ. Eine Sitzung, die Benutzername und Passwort erfordert, scheitert, wenn das Gerät keine sendet. Ein APN, der nur IPv4 anbietet, schließt eine reine IPv6-Anforderung nicht ab. Prüfen Sie dann, ob der Datendienst im Abonnement aktiviert ist und ob das Gerät den APN automatisch setzt oder ein manuelles Profil verwendet, das inzwischen veraltet ist.
Wenn sich das Gerät anmeldet und eine Adresse erhält, den Server aber nicht erreicht, ist der APN wahrscheinlich richtig und die Route falsch. Prüfen Sie den Adresspool, die Rückroute und die Richtlinie am Gateway. Ein privater APN, der an einem Standort funktioniert und an einem anderen scheitert, ist meist eine Frage von Routing oder Firewall, keine Funkfrage. Die [Roaming-Erklärung](/de/resources/learn/home-routing-vs-local-breakout/) zeigt, warum der Ausgangspunkt den Pfad ändert.

Ein allgemeines Beispiel. Ersetzen Sie es durch den Wert Ihres eigenen SIM-Anbieters.

[Open the tool](/de/tools/apn-gen/?src=learn-what-is-an-apn&scenario=private-apn&apn=apn.example&auth=none)

### Prüfen Sie Ihr Verständnis

**Das Gerät meldet sich an, erreicht den Server aber nicht: Was prüfen Sie zuerst?**

Die APN-Zeichenfolge und den Sitzungsstatus. Bestätigen Sie, dass das Gerät den vorgesehenen APN ausgewählt hat, und prüfen Sie dann Adresse, Zugangsdaten und IP-Typ, bevor Sie das Funknetz testen.

**Was bietet ein privater APN, und was nicht?**

Er hält den Verkehr ab dem Gateway nach innen vom öffentlichen Internet fern und kann eine private Adresse und einen kontrollierten Ausgang bereitstellen. Er verschlüsselt den Pfad nicht und beweist nicht, wer ein Paket gesendet hat.

**Wann passt ein verschlüsselter Tunnel über einen öffentlichen APN besser?**

Wenn Vertraulichkeit über einen gemeinsam genutzten Pfad die Hauptanforderung ist und das Gerät den Tunnel tragen kann. Ein privater APN passt besser, wenn Sie eine private Adresse oder eine Richtlinie im Kernnetz des Betreibers benötigen.

## FAQ

**Ist ein APN eine Sicherheitsmaßnahme?**

Nein. Er wählt das Gateway und die damit verbundene Richtlinie. Verschlüsselung und Authentifizierung sind davon getrennt.

**Funktioniert ein privater APN auch beim Roaming?**

Das hängt von der Roaming-Vereinbarung und dem besuchten Netz ab. Fragen Sie, ob das private Gateway vom besuchten Kernnetz aus erreichbar ist, und testen Sie es.

**Brauche ich einen APN pro Kunde?**

Nicht immer. Ein APN kann viele Kunden bedienen, wenn Adressierung und Richtlinie dies zulassen. Ein separater APN ist eine betriebliche Entscheidung, keine Voraussetzung.

## Sources

- [3GPP TS 23.401: GPRS-Erweiterungen für den E-UTRAN-Zugang](https://www.3gpp.org/ftp/Specs/archive/23_series/23.401/) — Accessed: 2026-10-19
- [3GPP TS 23.060: Beschreibung des General Packet Radio Service](https://www.3gpp.org/ftp/Specs/archive/23_series/23.060/) — Accessed: 2026-10-19
- [3GPP TS 23.003 §9.1: APN-Struktur und DNS-Namenssyntax](https://www.3gpp.org/ftp/Specs/archive/23_series/23.003/) — Accessed: 2026-10-19
- [3GPP TS 27.007: AT-Befehlssatz für Endgeräte](https://www.3gpp.org/ftp/Specs/archive/27_series/27.007/) — Accessed: 2026-10-19
- [Konfigurationsgenerator für APN, AT-Befehle und nmcli: Methodenhinweis](https://unicomam.com/en/tools/apn-gen/) — Accessed: 2026-10-19

Updated: 2026-10-19