Ist ein offener Port gefährlich? Welche wirklich zählen

Ein offener Port ist für sich genommen keine Schwachstelle. Er bedeutet, dass ein Programm auf dieser Nummer auf Verbindungen lauscht. Ob er zählt, hängt an zwei Dingen: welcher Dienst dahinter sitzt und wer ihn erreichen kann. Nur innerhalb deines LANs offen, sind die meisten Ports harmlos. Ins Internet exponiert auf einem veralteten oder nicht authentifizierten Dienst werden sie zum Einfallstor.

Was ein offener Port wirklich ist

Wenn ein Gerät einen Dienst anbietet, etwa Dateifreigabe, ein Web-Adminpanel oder Remote Desktop, bindet es sich an einen TCP- oder UDP-Port und wartet auf Verbindungen. Port 443 bedient HTTPS, 22 ist SSH, 445 ist die Windows-Dateifreigabe. Ein Scanner meldet einen Port als „offen", wenn etwas darauf antwortet; „closed" oder „filtered" heißt, dass nichts geantwortet hat. Die Nummer selbst ist nur ein Etikett. Angreifbar ist die Software dahinter.

Welche offenen Ports wirklich riskant sind

Nicht jeder offene Port wiegt gleich schwer. Eine kurze Beobachtungsliste, die du zuerst prüfen solltest:

• Telnet (23) sendet alles im Klartext, Passwörter inklusive. Es gibt keinen sicheren Grund, es zu betreiben. Ersetze es durch SSH.
• RDP (3389) ist Remote Desktop, ein permanentes Ziel für Brute-Force und Ransomware. Exponiere es nie direkt ins Internet; setze es hinter ein VPN.
• SMB (445) ist die Windows-Dateifreigabe, der Vektor hinter WannaCry. In einem vertrauenswürdigen LAN in Ordnung, im offenen Internet gefährlich.
• Nicht authentifizierte Web-Panels auf Routern, Kameras, NAS-Boxen und Druckern, die noch mit Standard- oder leerem Admin-Passwort laufen.
• Exponierte Datenbanken wie MongoDB (27017), Redis (6379) oder Elasticsearch (9200), die ohne Authentifizierung an 0.0.0.0 gebunden sind. Ganze Datenlecks haben hier ihren Anfang genommen.

Wie du prüfst, was wirklich lauscht

Zu wissen, dass ein Port offen ist, ist nur die halbe Miete. Du willst den Dienst und die Version dahinter. nmap erledigt das mit dem Flag -sV:

nmap -sV 192.168.1.0/24

Das scannt das Subnetz und prüft jeden offenen Port, um den Dienst und oft auch dessen Version zu benennen. Ein Ergebnis wie 445/tcp open microsoft-ds Samba smbd 4.15 sagt dir weit mehr als „445 offen", und eine alte Version ist dein Signal, auf bekannte CVEs zu prüfen.

nmap über ein ganzes Netzwerk laufen zu lassen und die Rohausgabe zu lesen, braucht Geduld. DeviceShelf macht dieselbe Enumeration in einem Durchgang und ergänzt sie um einen verständlichen Risikobericht pro Gerät: Es markiert exponierte Dienste wie Telnet und RDP, prüft auf Standard-Anmeldedaten und weist auf relevante CVEs hin. Es arbeitet lokal, ohne Konto. Wenn du es gegen andere Werkzeuge abwägst, zeigt der Scanner-Vergleich, wo jedes einzelne aufhört, und der Beitrag Fing-Alternative behandelt speziell diesen Umstieg.

Nur im LAN oder ins Internet exponiert? Das ist die eigentliche Frage

Für die meisten Ports zu Hause und im kleinen Büro lautet die ehrliche Antwort auf „ist das gefährlich": nur, wenn etwas von außen darauf zugreifen kann. Prüfe zwei Dinge. Erstens: Ist der Dienst an 127.0.0.1 (nur localhost), deine LAN-IP oder 0.0.0.0 (alles) gebunden? Zweitens: Leitet dein Router diesen Port weiter? Öffne die Port-Forwarding-Seite und achte auf manuelle Regeln sowie auf UPnP-Einträge, die du nie angelegt hast. Eine Datenbank auf 0.0.0.0 hinter einem Router ohne Weiterleitung ist deinem LAN ausgesetzt, nicht dem Internet. Trotzdem einen Fix wert, aber kein Notfall.

Wie du einen Port schließt oder per Firewall absicherst

Drei Hebel, grob nach Präferenz geordnet:

1. Stoppe den Dienst, wenn du ihn nicht nutzt. Ein deaktivierter Telnet- oder SMB-Dienst schließt den Port vollständig.
2. Binde ihn neu an localhost oder das LAN statt an 0.0.0.0 in der Konfiguration der Anwendung.
3. Sichere ihn per Firewall. Blockiere den Port am Host (Windows Firewall, ufw, pf) oder am Router und lösche jede Port-Weiterleitung oder UPnP-Regel, die du nicht absichtlich hinzugefügt hast.

Danach neu scannen und bestätigen, dass der Port jetzt als „closed" oder „filtered" gemeldet wird.

Danach ein Auge darauf behalten

Ports einmal zu prüfen ist sinnvoll, aber die Exposition, die einen wirklich beißt, ist meist die, die später auftaucht, wenn ein neues Gerät dazukommt oder sich ein Dienst still selbst aktiviert. DeviceShelf achtet im Hintergrund darauf und alarmiert dich, wenn ein neuer lauschender Dienst auftaucht. Es gibt eine kostenlose 7-Tage-Testphase, ohne Konto.