Ergänzung: Ich Trottel such den Fehler an der falschen Stelle… 
Da mir die Sache spanisch vorkam, habe ich mal mit tcpdump geschaut, ob bei IPv4 über die Problemports überhaupt etwas in der VM ankommt. Nein, tut es nicht! 
Aus historischen Gründen liegt da noch ein DNAT über eine andere Router-VM dazwischen. Das ist bei IPv6 nicht der Fall, da geht es direkt in die richtige VM. Auf der Router-VM sehe ich nur, dass bei den Ports 80 und 443 ein völlig anderes Ziel kontaktiert wird, als bei Port 8080. Das komische ist nur, dass ich das (interne) Ziel nicht kenne. Die IP-Adresse taucht in meinem RackTables und Wiki nicht auf! Die dazugehörende Mac-Adresse ebenfalls nicht. Wo auch immer diese Pakete landen und beantwortet werden, es ist innerhalb des Heimnetzwerks, ich weiß nur noch nicht wo… 