Wenn Sie schon einmal eine Sicherheits-Checkliste durchgearbeitet oder einen Bericht über eine Datenpanne gelesen haben, ist Ihnen der Begriff "offener Port" sicher begegnet. Er gehört zu den am häufigsten genannten — und am häufigsten missverstandenen — Grundbausteinen der Netzwerksicherheit. Dieser Ratgeber erklärt, was ein Port tatsächlich ist, warum ein offener Port so wichtig sein kann, welche Sie zuerst prüfen sollten, und wie Sie sie in Ihrem eigenen Netzwerk finden und schließen.
Was ist ein Port eigentlich?
Jedes Gerät im Netzwerk hat eine IP-Adresse, kann aber gleichzeitig viele Dienste betreiben — einen Webserver, eine Dateifreigabe, eine Remote-Desktop-Sitzung, einen Drucker-Spooler. Ein Port ist einfach eine Nummer (0–65535), die dem Betriebssystem sagt, für welchen dieser Dienste eingehender Datenverkehr bestimmt ist. Wenn ein Browser sich mit einem Server verbindet, verbindet er sich mit dessen IP-Adresse auf Port 443 (HTTPS) oder Port 80 (HTTP) — die Portnummer ist quasi die "Wohnungsnummer" zusätzlich zur "Straßenadresse" der IP.
Ein Port ist offen, wenn ein Programm auf diesem Gerät aktiv darauf lauscht und eine Verbindung annimmt. Ein Port ist geschlossen, wenn nichts lauscht — das Gerät weist den Verbindungsversuch ab oder ignoriert ihn. Ein Port kann auch als gefiltert erscheinen: Eine Firewall verwirft den Verbindungsversuch, bevor er das Gerät überhaupt erreicht, sodass der Absender gar keine Antwort erhält.
Warum offene Ports für die Sicherheit wichtig sind
Ein offener Port allein ist keine Schwachstelle — er ist nur eine Tür. Entscheidend ist, was hinter der Tür steht: Ein veralteter FTP-Server mit einer bekannten Sicherheitslücke für Remotecodeausführung ist ein ganz anderes Risiko als ein vollständig gepatchter, korrekt konfigurierter VPN-Endpunkt — obwohl beide in einem Scan als "offen" erscheinen.
Das praktische Risiko entsteht, wenn drei Dinge zusammenkommen:
- Ein Port ist offen, obwohl er nicht gebraucht wird. Ein Drucker mit ungenutztem Telnet-Verwaltungsport, ein NAS mit noch aktiviertem SMBv1, ein Entwicklungsserver, den jemand nach einer Demo vergessen hat abzuschalten.
- Der dahinterliegende Dienst ist einem größeren Teil des Netzwerks (oder des Internets) zugänglich als beabsichtigt. Eine Datenbank, die nur von einem Anwendungsserver erreichbar sein sollte, aber tatsächlich vom gesamten Büro-WLAN aus erreichbar ist — oder schlimmer noch, vom Internet aus über einen falsch konfigurierten Router.
- Die Software hinter dem Port ist veraltet oder falsch konfiguriert. Alte Firmware, Standard-Zugangsdaten, für "interne Tests" deaktivierte Authentifizierung, die nie wieder aktiviert wurde.
Angreifer — und die automatisierten Bots, die die meisten ersten Netzwerk-Scans durchführen — suchen genau nach dieser Kombination. Ein vollständiger Portscan des Netzwerks ist meist der allererste Schritt sowohl bei einem professionellen Penetrationstest als auch bei einem opportunistischen Angriff; der Unterschied liegt nur darin, was danach passiert.
Die Ports, die Angreifer zuerst scannen
Nicht alle 65.536 Ports sind für Angreifer gleich interessant. In der Praxis macht eine kleine Gruppe bekannter Ports den Großteil der opportunistischen Scans und Ausnutzungsversuche aus, weil sie Diensten entsprechen, die häufig falsch konfiguriert sind, veraltete Software nutzen oder direkten Fernzugriff erlauben.
| Port | Dienst | Warum er ein häufiges Ziel ist |
|---|---|---|
| 21 | FTP | Erlaubt oft anonyme Anmeldung; Zugangsdaten werden im Klartext übertragen. |
| 22 | SSH | Wird ständig mit Standard-/Schwachpasswort-Listen per Brute-Force angegriffen. |
| 23 | Telnet | Unverschlüsselter Fernzugriff — noch immer verbreitet bei Routern, Kameras, IoT-Geräten. |
| 135, 139, 445 | RPC / NetBIOS / SMB | Dateifreigabeprotokoll mit langer Geschichte kritischer CVEs für Remotecodeausführung (u.a. EternalBlue). |
| 161 | SNMP | Wird oft mit dem Standard-Community-String "public" betrieben, was die Gerätekonfiguration offenlegt. |
| 1433, 3306, 5432 | MSSQL / MySQL / PostgreSQL | Datenbanken, die weiter exponiert sind als beabsichtigt, manchmal mit leeren oder Standard-Passwörtern. |
| 3389 | RDP | Direkter Remote-Desktop-Zugriff auf Windows — einer der häufigsten Einstiegspunkte für Ransomware bei Internet-Exposition. |
| 8080, 8443 | Alt. HTTP(S) | Oft Admin-Oberflächen von Routern, NAS-Geräten, Druckern und IoT-Geräten, häufig mit Standard-Zugangsdaten. |
Das ist keine Liste, bei der Sie in Panik geraten müssen, falls Sie einen dieser Ports offen finden — viele davon werden legitim benötigt (RDP innerhalb eines abgeschotteten Büro-LANs, SSH zur Serveradministration). Es ist eine Liste dessen, was zuerst geprüft werden sollte: Muss dieser Port von hier aus erreichbar sein, ist die dahinterliegende Software aktuell, und wird Authentifizierung tatsächlich durchgesetzt?
Wenn Sie Port 3389 (RDP), 23 (Telnet) oder einen Datenbank-Port finden, der aus dem öffentlichen Internet erreichbar ist — nicht nur aus Ihrem LAN — behandeln Sie das als dringend. Das sind die Ports, die bei realen Ransomware-Vorfällen am häufigsten für den Erstzugriff missbraucht werden.
So scannen Sie Ihr eigenes Netzwerk
Sie müssen nicht raten, welche Ports offen sind — Sie können direkt danach scannen. Zwei Situationen sind dabei zu unterscheiden:
Scan von innen (LAN)
Das zeigt, was von Gerät zu Gerät in Ihrem eigenen WLAN oder kabelgebundenen Netzwerk erreichbar ist — die Sicht, die ein kompromittierter Laptop, ein bösartiges Gastgerät oder ein infiziertes IoT-Gadget hätte. Ein Netzwerkscanner wie LANsentry erledigt das automatisch: Er entdeckt jedes Gerät im Netzwerk, scannt jedes auf offene Ports und zeigt eine Live-Inventarliste — ganz ohne Kommandozeile.
Scan von außen (WAN)
Das zeigt, was tatsächlich aus dem öffentlichen Internet erreichbar ist — relevant, wenn Ihr Router Ports weiterleitet (für Fernzugriff, Gaming, selbst gehostete Dienste usw.). Das ist eine grundlegend andere — und oft dringlichere — Frage, denn sie definiert Ihre gesamte Angriffsfläche gegenüber Fremden im Internet. Der WAN-Scan von LANsentry erkennt Ihre öffentliche IP und prüft genau das.
Ein Port kann im LAN-Scan geschlossen, im WAN-Scan aber weit offen sein (oder umgekehrt), wenn Ihr Router Portweiterleitungen konfiguriert hat. Prüfen Sie immer beide — sie beantworten unterschiedliche Fragen.
Wie Sie einen nicht benötigten Port schließen
Sobald ein Scan einen offenen Port zeigt, den Sie nicht kennen oder nicht brauchen, gibt es drei Wege, ungefähr in Reihenfolge der Vorzugswürdigkeit:
- Den Dienst abschalten. Wenn nichts auf diesem Gerät FTP, Telnet oder diese alte Verwaltungsoberfläche braucht, deaktivieren Sie ihn in den Einstellungen des Geräts (Windows-Dienste, Router-Admin-Oberfläche, NAS-Anwendungsmanager). Das ist die sauberste Lösung — der Port verschwindet vollständig.
- Mit einer Firewall-Regel einschränken. Wenn der Dienst benötigt wird, aber nur für bestimmte Geräte (z. B. RDP nur von Ihrer eigenen Admin-Workstation), lassen Sie ihn laufen, blockieren aber alle anderen an der Firewall — Windows Defender Firewall, Router-ACL oder eine dedizierte Firewall.
- Die Portweiterleitung am Router entfernen. Zeigt ein WAN-Scan einen vor Monaten für etwas nicht mehr Genutztes weitergeleiteten Port, löschen Sie diese Weiterleitungsregel.
Nach einer Änderung erneut scannen, um zu bestätigen, dass sie tatsächlich wirkt — ein Dienst, der "eigentlich" deaktiviert sein sollte, startet nach einem Neustart manchmal wieder, und eine Firewall-Regel kann von einer darüberliegenden, breiteren Regel überschattet werden.
Offen heißt nicht automatisch verwundbar
Es lohnt sich, das klar zu sagen: Ein offener Port ist ein Ausgangspunkt für die Untersuchung, kein Urteil. Port 443 ist bei fast jedem Webserver der Welt offen, und das ist völlig normal und notwendig. Was das Risiko tatsächlich bestimmt, ist die Kombination aus Port + Software + Version + Konfiguration — genau deshalb reichen reine Portlisten allein nicht aus.
Hier kommen CVE-Daten (Schwachstellen) ins Spiel: Sobald Sie wissen, dass ein Port beispielsweise eine alte Version eines bestimmten FTP-Servers betreibt, können Sie nachschlagen, ob genau diese Version bekannte, ausnutzbare Schwachstellen hat — und wie wahrscheinlich diese tatsächlich in freier Wildbahn ausgenutzt werden. Das behandeln wir ausführlich in unserem Ratgeber zu CVE, CVSS, EPSS und KEV.
Scannen Sie jeden Port in Ihrem Netzwerk mit einem Klick
LANsentry entdeckt jedes Gerät, scannt offene Ports, identifiziert Software und Version dahinter und markiert bekannte Schwachstellen — komplett lokal auf Windows, keine Cloud nötig.
Nächste Schritte
Ein einmaliger Portscan ist ein guter Anfang, aber Netzwerke verändern sich ständig — neue Geräte kommen hinzu, Software-Updates öffnen neue Ports, jemand steckt einen unerlaubten Access Point an. Zwei Gewohnheiten machen langfristig den größten Unterschied:
- Regelmäßig neu scannen, nicht nur einmal. LANsentry kann geplante Scans automatisch ausführen und Sie benachrichtigen, wenn ein neuer Port geöffnet wird oder ein neues Gerät auftaucht.
- Ein Inventar dessen führen, was offen sein soll. Wenn Sie "erwartet" nicht auf einen Blick von "unerwartet" unterscheiden können, wird jeder Scan zu einer vollständigen Untersuchung. Labels und Gerätegruppen (in LANsentry integriert) lösen genau dieses Problem.