Zum Inhalt springen

Offene Ports prüfen

Prüfen Sie, ob ein TCP-Port auf einer öffentlichen IP oder einem Host offen ist: Portweiterleitung testen oder die gängigen Ports auf einmal prüfen.

TCP-Port zwischen 1 und 65535, zum Beispiel 443 für HTTPS oder 22 für SSH.

Gängige TCP-Ports und wofür sie dienen

Der Scan oben prüft die ersten 21 auf einmal. Die letzten beiden sind typische Fälle von Portweiterleitung: Geben Sie sie von Hand ein.

PortDienstWofür er dient
21FTPDateiübertragung (FTP). Passwörter laufen im Klartext: SFTP über Port 22 ersetzt es.
22SSHFernzugriff und Dateiübertragung (SSH, SFTP) auf Linux-Servern und Netzwerkgeräten.
25SMTPE-Mail zwischen Servern (SMTP). Bei Privatanschlüssen oft gegen Spam gesperrt.
53DNSDNS über TCP: große Antworten und Zonentransfers. Normale Anfragen laufen über UDP.
80HTTPWebsites ohne Verschlüsselung (HTTP), meist nur eine Weiterleitung auf HTTPS.
110POP3Abruf von E-Mails (POP3), unverschlüsselt. Port 995 ist die TLS-Variante.
143IMAPE-Mails auf dem Server lesen (IMAP), unverschlüsselt. Port 993 ist die TLS-Variante.
443HTTPSWebsites und APIs über TLS (HTTPS). Der Port, der am ehesten überall offen ist.
465SMTPSVersand von E-Mails aus einem Mailprogramm, TLS ab dem ersten Byte (SMTPS).
587SMTP-TLSVersand aus einem Mailprogramm, per STARTTLS auf TLS umgestellt (Submission).
993IMAPSIMAP über TLS: damit lesen Smartphones und Mailprogramme ein Postfach.
995POP3SPOP3 über TLS: verschlüsselter Abruf von E-Mails.
3306MySQLMySQL- und MariaDB-Datenbanken. Sollte nicht aus dem ganzen Internet erreichbar sein.
3389RDPWindows-Remotedesktop (RDP). Offen ein ständiges Ziel von Brute-Force-Angriffen.
5060SIPSignalisierung der Internettelefonie (SIP) für VoIP-Telefone und Telefonanlagen.
5432PostgreSQLPostgreSQL-Datenbanken. Wie MySQL besser hinter einer Firewall oder einem VPN.
6379RedisRedis, eine In-Memory-Datenbank. Ohne Passwort wird ein offenes Redis binnen Stunden übernommen.
6443KubernetesDer API-Server von Kubernetes, der einen ganzen Cluster steuert.
8080HTTP-AltAlternativer HTTP-Port: Proxys, Admin-Oberflächen, Entwicklungsserver.
8443HTTPS-AltAlternativer HTTPS-Port, häufig für Admin-Seiten von Geräten und Routern.
27017MongoDBMongoDB-Datenbanken. Tausende offene Instanzen ohne Passwort wurden von Erpresser-Bots gelöscht.
25565MinecraftMinecraft-Java-Server: der klassische Fall von Portweiterleitung am Heimrouter.
32400PlexPlex Media Server, um die eigene Mediathek von unterwegs zu nutzen.

Über Portprüfungen

Eine Portprüfung öffnet eine TCP-Verbindung zu einem bestimmten Port und meldet, ob sie zustande kommt. Wo Ping sagt, dass eine Maschine antwortet, sagt dies, dass ein bestimmter Dienst lauscht und erreichbar ist: Genau der Unterschied, der zählt, wenn Datenbank oder API nicht erreichbar sind, der Host aber pingt.

Der Weg eines Portweiterleitungs-TestsDer Test kommt von außen, wie jeder Besucher: Ihr Router muss ihn an das richtige Gerät weitergeben, und dieses Gerät muss antworten.
  1. Unser TestserverInternet, von Falkenstein (Deutschland) aus
    Öffnet eine TCP-Verbindung zu203.0.113.42:25565
    Vor dem Router: CGNAT

    Ihr Anbieter teilt eine öffentliche Adresse unter mehreren Kunden auf: Die WAN-Adresse des Routers liegt in 100.64.0.0/10, ist privat oder fehlt ganz (DS-Lite). Der Test endet beim Anbieter, und keine Regel auf Ihrer Seite hilft.

    Der Test zeigt: gefiltert

  2. Ihr RouterDas einzige Gerät, das das Internet sieht
    Öffentliche Adresse203.0.113.42
    Weiterleitungsregel25565 → 192.168.1.20:25565
    Keine Regel oder falsche lokale Adresse

    Für diesen Port gibt es keine Regel, oder sie zeigt auf eine alte Adresse des Geräts (per DHCP neu vergeben): Reservieren Sie seine Adresse im Router.

    Meist: gefiltert

  3. Das GerätHier ein Minecraft-Server
    Lokale Adresse192.168.1.20
    Lauscht aufTCP 25565
    Auf dem Gerät: Firewall oder kein Dienst

    Seine Firewall verwirft die Verbindung, oder der Dienst ist gestoppt oder lauscht nur auf 127.0.0.1.

    Firewall: gefiltert. Kein Dienst: geschlossen.

Nur TCP: UDP hat keinen Handshake, ein stummer Port beweist also nichts.

die gängigen Ports von scanme.nmap.org, einem Host, den das Nmap-Projekt für Tests bereitstellt: SSH (22) und HTTP (80) offen, SMTP (25 und 465) gefiltert, der Rest geschlossen.

Drei Ergebnisse sollte man unterscheiden. Ein offener Port hat den Handshake abgeschlossen: Der Dienst läuft und ist von außen erreichbar. Eine abgelehnte Verbindung heißt, dass etwas geantwortet hat, aber nichts lauscht: meist ist der Dienst gestoppt. Eine Zeitüberschreitung heißt, dass gar nichts geantwortet hat, was fast immer auf eine Firewall hindeutet, die den Verkehr stillschweigend verwirft.

Häufige Fragen

Der Port ist lokal offen, von hier geschlossen. Warum?
Eine Firewall, eine Security Group, oder der Dienst lauscht auf 127.0.0.1 statt 0.0.0.0. Alle drei sehen von innen identisch aus und von außen völlig verschieden.
Abgelehnt oder Zeitüberschreitung: was ist schlimmer?
Abgelehnt ist meist einfacher: Das Paket erreichte den Host, nur lauschte nichts. Eine Zeitüberschreitung heißt, das Paket verschwand, dann sind Dienst und gesamte Filterkette zu prüfen.
Kann ich einen Port in meinem Heimnetz prüfen?
Ja, über seine öffentliche Adresse: die Adresse, die Ihr Router dem Internet zeigt, genau das, was ein Test der Portweiterleitung braucht. Private und lokale Adressen (192.168.x.x, 10.x.x.x, 127.0.0.1) werden absichtlich abgelehnt: Interne Bereiche von einem öffentlichen Dienst aus abzutasten ist ein Risiko, keine Funktion.
Bedeutet ein offener Port, dass ich exponiert bin?
Er bedeutet, dass der Dienst erreichbar ist. Ob das ein Problem ist, hängt davon ab, was lauscht und wie es authentifiziert. Eine Datenbank oder ein Admin-Port offen für die Welt gehört heute geschlossen.
Wie prüfe ich, ob meine Portweiterleitung funktioniert?
Starten Sie zuerst den Dienst auf Ihrem Rechner (Gameserver, Plex, Kamera) und geben Sie dann hier Ihre öffentliche IP-Adresse und den Port ein: Nur ein Test von außen beweist die Weiterleitung. Offen: Der Router leitet den Port weiter und der Dienst antwortet. Abgelehnt: Der Router leitet weiter, aber auf dem Rechner lauscht nichts. Zeitüberschreitung: meist leitet der Router nicht weiter, eine Firewall verwirft die Pakete, oder Ihr Anbieter nutzt CGNAT (DS-Lite), wobei die öffentliche Adresse geteilt ist und sich gar kein Port weiterleiten lässt.
Kann ich einen UDP-Port testen?
Nein, und kein Online-Tool kann das zuverlässig. TCP hat einen Handshake, ein offener Port beweist sich also selbst. UDP hat keinen: Auch ein geschlossener Port bleibt oft stumm, Schweigen beweist also nichts. Viele Gameserver und VPNs (etwa WireGuard) nutzen UDP: Dort testet man, indem man sich mit dem echten Client von außerhalb des eigenen Netzes verbindet.

Passende Anleitungen

Verwandte Werkzeuge

Weiterführend

Netzwerk-Glossar: ICMP, MSS, CGNAT

Visuelles Traceroute zu diesem Host starten