Well-Known Ports und ihre Bedeutung

Ein Port ist eine 16-Bit-Zahl, die einem Computer sagt, welches Programm eingehende Netzwerkdaten erhalten soll. Die IP-Adresse findet den richtigen Rechner, und der Port findet den richtigen Dienst auf diesem Rechner, zum Beispiel 443 für HTTPS oder 25 für die E-Mail-Zustellung. Ports reichen von 0 bis 65535, und ein Dienst „lauscht“ an einem Port, bis sich ein Client verbindet.

Was ein Port ist

Eine Verbindung wird durch fünf Werte bestimmt: das Protokoll (TCP oder UDP), Quelladresse und Quellport sowie Zieladresse und Zielport. Ihr Browser wählt für jede Verbindung einen zufälligen Quellport, der Zielport ist jedoch durch den Dienst festgelegt. Deshalb sind Standard-Portnummern wichtig: Ein Browser weiß, dass https:// Port 443 bedeutet, ohne es gesagt zu bekommen.

TCP und UDP

• TCP ist verbindungsorientiert. Es baut eine Verbindung auf, nummeriert die Daten, sendet verlorene Teile erneut und liefert sie in der richtigen Reihenfolge aus. Web, E-Mail, SSH und Datenbanken nutzen TCP.
• UDP sendet unabhängige Datagramme ohne Verbindung und ohne erneutes Senden. Es hat geringere Verzögerung und weniger Overhead. DNS-Anfragen, DHCP, NTP und viele Sprach- und Videodienste nutzen UDP.

TCP-Port 80 und UDP-Port 80 sind verschiedene Dinge. Einige Dienste nutzen beide, zum Beispiel DNS auf Port 53. Wie die Schichten zusammenspielen, erfahren Sie im Artikel über das OSI-Modell.

Portbereiche

Die Internet Assigned Numbers Authority (IANA) teilt die Ports in drei Bereiche ein:

Bereich	Name	Verwendung
0 – 1023	Well-Known Ports (Systemports)	Kerndienste wie HTTP, SSH und SMTP. Auf Unix-ähnlichen Systemen dürfen hier nur privilegierte Prozesse lauschen.
1024 – 49151	Registrierte Ports	Bei der IANA registrierte Anwendungen, zum Beispiel MySQL (3306) und PostgreSQL (5432).
49152 – 65535	Dynamische (ephemere) Ports	Temporäre Quellports, die von Clients gewählt werden. Manche Betriebssysteme nutzen einen anderen Standardbereich, Linux zum Beispiel 32768 – 60999.

Eine Registrierung ist keine Garantie. Jedes Programm kann an jedem freien Port lauschen, und manche Dienste laufen auf nicht standardmäßigen Ports, etwa SSH auf 2222.

Häufige Ports und ihr Verwendungszweck

So prüfen Sie, ob ein Port offen ist

Sie können einen Port von außen mit unserem Port-Checker testen. Er versucht, eine TCP-Verbindung zu dem eingegebenen Host und Port zu öffnen, und meldet eines von drei Ergebnissen:

• Offen: Ein Dienst hat die Verbindung angenommen. Der Host ist erreichbar und etwas lauscht.
• Geschlossen: Der Host hat geantwortet, aber die Verbindung abgelehnt (TCP-Reset). Der Netzwerkpfad funktioniert, aber kein Programm lauscht an diesem Port.
• Gefiltert: Vor dem Timeout kam keine Antwort. Wahrscheinlich verwirft eine Firewall die Pakete stillschweigend. Es kann auch bedeuten, dass der Host offline ist.

Von Ihrem eigenen Computer aus können Sie mit diesen Befehlen testen:

Test-NetConnection -ComputerName example.com -Port 443   (Windows PowerShell)
nc -vz example.com 443                                     (Linux, macOS)
ss -tlnp                                                   (Linux: list local listening ports)
netstat -ano                                               (Windows: list local connections)

UDP zu testen ist schwieriger, weil eine ausbleibende Antwort sowohl „offen“ als auch „gefiltert“ bedeuten kann. Aus diesem Grund testen Online-Port-Checker meist TCP.

Sicherheitshinweise: Ports, die Sie nicht freigeben sollten

Jeder offene Port ist ein möglicher Einstiegspunkt. Öffnen Sie nur, was Sie brauchen, und schließen Sie den Rest. Einige Dienste sollten fast nie aus dem gesamten Internet erreichbar sein:

• Telnet (23): sendet Passwörter im Klartext. Verwenden Sie stattdessen SSH (22).
• SMB (445) und NetBIOS (137-139): Windows-Dateifreigabe. Sie war Ziel vieler Würmer und Ransomware-Angriffe. Geben Sie sie niemals ins Internet frei.
• RDP (3389): Der Remotedesktop ist ein häufiges Ziel von Passwort-Rateangriffen. Stellen Sie ihn hinter ein VPN oder ein Gateway mit Multi-Faktor-Authentifizierung.
• Datenbanken: MySQL (3306), PostgreSQL (5432), SQL Server (1433), MongoDB (27017), Redis (6379) und Elasticsearch (9200). Erlauben Sie nur die Anwendungsserver, die sie benötigen.
• FTP (21): unverschlüsselt. Verwenden Sie SFTP oder FTPS.
• SSH (22): vertretbar, wenn Sie Schlüssel verwenden, die Passwortanmeldung deaktivieren und die Quelladressen beschränken, doch rechnen Sie mit ständigen automatisierten Anmeldeversuchen.

Allgemeine Regeln: Verwerfen Sie standardmäßig den gesamten eingehenden Verkehr und erlauben Sie nur bestimmte Ports; beschränken Sie nach Möglichkeit nach Quelladresse; halten Sie die Software hinter jedem Port aktuell; und scannen Sie Ihre eigenen Server regelmäßig, um zu vergleichen, was offen ist und was Sie erwarten. Ein Port, der ohne bekannten Grund offen ist, sollte untersucht werden.

Weiterführende Artikel

Wie Ports mit IP-Adressen zusammenhängen, erfahren Sie in Was ist eine IP-Adresse?. Um einen bestimmten Dienst sofort zu testen, nutzen Sie den Port-Checker.