Welche Ports sind in meinem Netzwerk offen? So prüfst du es, und welche du schließen solltest
Was ein offener Port ist, wie du siehst, welche Ports Router, Drucker, NAS und PCs anbieten, welche im Heim- oder Büronetz riskant sind – und wie du sie schließt.
Was ein offener Port eigentlich ist
Jedes Gerät im Netzwerk kann Dienste anbieten: eine Webseite zur Einrichtung, Dateifreigaben, Remotedesktop, Drucken. Jeder Dienst lauscht auf einem nummerierten Port – das Web auf 80 und 443, Dateifreigaben auf 445, Remotedesktop auf 3389. Ein Port ist offen, wenn auf dem Gerät dort etwas antwortet.
Ein offener Port ist für sich genommen kein Problem. Dein Drucker muss auf seinem Druckport antworten, und dein Router muss auf 53 antworten, um für alle Namen aufzulösen. Das Problem ist ein Port, der offen ist, obwohl ihn niemand braucht, oder einer, der einen alten, unverschlüsselten oder leicht zu erratenden Zugang bietet. Die meisten Einbrüche in Heim- und Büronetze beginnen genau dort: bei einem vergessenen Dienst, noch mit Werkseinstellungen.
Von innen oder von außen: zwei verschiedene Fragen
Es gibt zwei Blickwinkel, und sie beantworten verschiedene Fragen.
- Aus deinem Netzwerk heraus siehst du alles, was jedes Gerät den anderen Geräten um sich herum anbietet: die Webseite des Druckers, die Freigaben des NAS, den Remotedesktop des PCs. Das ist es, was das Handy eines Gastes oder eine kompromittierte smarte Steckdose erreichen könnte.
- Aus dem Internet siehst du nur, was dein Router durchlässt – normalerweise gar nichts, es sei denn, jemand hat eine Portweiterleitung eingerichtet oder UPnP eingeschaltet, mit dem Geräte selbst Ports am Router öffnen können.
Beides zählt. Fang innen an, denn dort warten die meisten Überraschungen, und prüfe danach den Router selbst.
So prüfst du von innen
Ein Portscanner klopft an eine Reihe von Ports eines Geräts und notiert, welche antworten. Drei Entscheidungen bestimmen, wie lange das dauert und was er findet:
- Das Ziel. Beginne mit dem Router (dem Gateway, meist
192.168.1.1oder192.168.0.1), dann mit den Geräten, die dir am wichtigsten sind: NAS, PCs, Kameras. - Welche Ports. Die paar Dutzend gängigen Ports decken fast jeden Dienst ab, dem du zu Hause oder im Büro begegnest, und dauern Sekunden. Der vollständige Bereich der bekannten Ports, 1–1024, ist gründlicher. Eine eigene Liste ist für die Suche nach etwas Bestimmtem.
- TCP und UDP. Die meisten Dienste nutzen TCP, aber einige wichtige nutzen UDP – DNS, NTP, SNMP, NetBIOS – und viele Scanner lassen sie aus. Ein UDP-Port gilt nur als offen, wenn das Gerät wirklich antwortet; ein guter Scanner schickt deshalb für jedes Protokoll eine echte Anfrage, statt zu raten.
Welche Ports Aufmerksamkeit verdienen
In einem Heim- oder kleinen Büronetz verdienen diese einen zweiten Blick:
| Port | Dienst | Warum es zählt |
|---|---|---|
| 21, 23 | FTP, Telnet | Alte Protokolle, die Passwörter im Klartext senden. Heute selten nötig. |
| 80 | Web, unverschlüsselt | In Ordnung für die Statusseite eines Druckers; schlechter für die Anmeldeseite des Routers. |
| 445, 139 | Windows-Dateifreigabe (SMB) | Der klassische Weg, auf dem sich Schadsoftware von PC zu PC verbreitet. Beschränke sie auf die Rechner, die wirklich Dateien teilen. |
| 3389 | Remotedesktop | Ständig angegriffen, wenn er aus dem Internet erreichbar ist. Intern nur auf PCs, die ihn brauchen. |
| 5900 | VNC | Fernsteuerung, oft mit schwachem oder ohne Passwort. |
| 1900, 5000 | UPnP | Lässt Geräte von sich aus Ports am Router öffnen. |
| 161 | SNMP | Nützlich zur Überwachung, aber mit der Standard-Community public kann jeder im Netzwerk das Gerät auslesen. |
| 554, 8000, 8080 | Kameras und Verwaltungsseiten | Günstige Kameras und Gadgets kommen oft mit Standardpasswörtern. |
Was du suchst, ist ein Widerspruch: ein Dienst auf einem Gerät, das keinen Grund hat, ihn anzubieten, oder ein Dienst, von dem du nichts wusstest.
So schließt du, was du nicht brauchst
- Schalte den Dienst am Gerät selbst ab. Ein Port schließt sich, wenn nichts mehr auf ihm lauscht: Telnet am Router aus, Dateifreigabe auf einem PC, der nichts teilt, die Weboberfläche einer Kamera, die du nur über ihre App nutzt.
- Entferne Portweiterleitungen im Router, die du nicht mehr nutzt, und schalte UPnP aus, außer eine Spielkonsole oder App braucht es wirklich.
- Ändere Standardpasswörter überall, wo eine Verwaltungsseite oder ein Fernzugang offen bleibt – Router, NAS, Kameras, Drucker.
- Aktualisiere die Firmware: Viele alte Dienste werden in neueren Versionen behoben oder entfernt.
- Verschiebe Gadgets ins Gastnetz, falls dein Router eines hat, damit eine Kamera oder smarte Steckdose deine PCs gar nicht erst erreicht.
Dann scanne erneut. Die Liste sollte kürzer sein, und jede Zeile darin sollte etwas sein, das du erklären kannst.
So geht es mit NetBlade auf dem iPhone
NetBlade für iPhone und iPad erledigt die Prüfung aus der Hosentasche, ohne Konto:
- der Tab Ports scannt jedes Gerät: Adresse eingeben oder Gateway verwenden für den Router antippen, dann Gängig, 1–1024 oder Benutzerdefiniert wählen;
- jeder offene Port kommt mit Dienst, kurzer Beschreibung und Risikostufe, TCP und UDP nebeneinander, mit echten UDP-Abfragen für DNS, NTP, TFTP, mDNS, NetBIOS und SNMP;
- CVE suchen neben einem Port öffnet die National Vulnerability Database für diesen Dienst;
- im Tab LAN machen die Details jedes Geräts aus seinen offenen Ports eine Sicherheitsbewertung von 100 Punkten, mit einem Rat zu jedem Befund;
- du kannst das Ergebnis über die obere Leiste teilen.
Portscan und Sicherheitsbewertung sind kostenlos. Scanne deinen Router und deine wichtigsten Geräte einmal, schließe, was du nicht erkennst, und lass das Netzwerk gespeichert: Wenn du die App das nächste Mal öffnest, zeigt sein Verlauf, was sich geändert hat.