Open-Port-Checker: Prüfe, ob ein Port von überall im Internet erreichbar ist.

Stelle zunächst sicher, dass der Dienst auf allen Netzwerk-Interfaces lauscht, nicht nur auf localhost (127.0.0.1). Stelle dann sicher, dass deine Host-Firewall eingehenden Datenverkehr auf diesem Port zulässt, und richte NAT-Port-Forwarding auf deinem Router ein, falls du dich hinter einem befindest. Nutze unseren Port Checker um von einem externen Netzwerk aus zu prüfen. Ein geschlossenes Ergebnis zeigt an, dass der Host Verbindungen aktiv ablehnt, was in der Regel auf eine fehlende Firewall-Regel oder einen nicht laufenden Dienst hindeutet. Ein gefiltertes Ergebnis bedeutet, dass eine Firewall Pakete still verwirft, bevor sie den Host überhaupt erreichen.

Gib einen Domainnamen oder eine IP-Adresse zusammen mit einem Port zwischen 1 und 65535 ein und klicke auf Port prüfen. Das Tool versucht, von unserem Server aus eine TCP-Verbindung zu deinem Ziel aufzubauen, und prüft so die Erreichbarkeit von außerhalb deines eigenen Netzwerks. Offen bedeutet, dass der Port externe Verbindungen akzeptiert. Geschlossen bedeutet, dass der Host die Verbindung aktiv mit einem TCP-RST-Paket abgelehnt hat. Gefiltert bedeutet, dass innerhalb des Timeout-Fensters keine Antwort eingegangen ist, was in der Regel darauf hindeutet, dass eine Firewall Pakete still verwirft.

Ein Port-Checker sendet ein TCP-SYN-Paket an einen bestimmten Host und Port und liest dann die Antwort aus. Ist der Port offen, antwortet der Host mit TCP-SYN-ACK und schließt damit den Verbindungs-Handshake ab. Ist er geschlossen, sendet der Host ein TCP-RST-Paket zurück und verweigert die Verbindung aktiv. Ist er gefiltert, kommt keine Antwort und die Anfrage läuft ab, ein Zeichen dafür, dass eine Firewall Pakete still verwirft.

Port Knocking verbirgt einen Dienst-Port (üblicherweise SSH auf Port 22), indem er von einer Firewall gesperrt bleibt, bis ein Client in der richtigen Reihenfolge an eine vordefinierte Abfolge von Ports klopft, zum Beispiel 7000, 8000, 9000. Die Firewall erkennt diese Abfolge und öffnet den Ziel-Port kurzzeitig für diese bestimmte IP-Adresse. Port Knocking reduziert die Angriffsfläche für automatisierte Scanner und Brute-Force-Angriffe, ist jedoch kein Ersatz für eine starke Authentifizierung.

Ein Port wird zum Problem, wenn er sich in einem unerwarteten Zustand befindet. Ein unerwartet offener Port kann auf einen falsch konfigurierten Dienst, einen unautorisierten Prozess oder einen kompromittierten Host hinweisen. Ein unerwartet geschlossener oder gefilterter Port bei einem benötigten Dienst bedeutet, dass der Datenverkehr blockiert wird. Der entscheidende Unterschied liegt zwischen geschlossen und gefiltert: Ein geschlossener Port gibt eine TCP-RST-Antwort zurück, der Host ist also erreichbar, aber der Dienst läuft nicht. Ein gefilterter Port gibt gar keine Antwort, sodass eine Firewall den Zugriff blockiert, bevor der Host antworten kann.

TCP (Transmission Control Protocol) ist verbindungsorientiert und gewährleistet eine zuverlässige, geordnete Übertragung über einen Drei-Wege-Handshake (SYN, SYN-ACK, ACK). Typische TCP-Ports sind 22 (SSH), 25 (SMTP), 80 (HTTP), 443 (HTTPS) und 3306 (MySQL). UDP (User Datagram Protocol) ist verbindungslos und sendet Pakete, ohne deren Ankunft zu bestätigen, was die Latenz reduziert. Typische UDP-Ports sind 53 (DNS-Abfragen), 67 und 68 (DHCP), 123 (NTP) sowie Game-Server-Ports wie 27015 (Counter-Strike). Die meisten Port-Checker, einschließlich unseres, testen TCP-Konnektivität.

IANA unterteilt Netzwerk-Ports in drei Bereiche. Bekannte Ports (0 bis 1023) sind für Standardprotokolle reserviert und umfassen HTTP (80), HTTPS (443), SSH (22), FTP (21), SMTP (25) und DNS (53). Registrierte Ports (1024 bis 49151) gehören Anwendungen, die sich bei der IANA registriert haben, wie MySQL (3306), PostgreSQL (5432), Redis (6379) und MongoDB (27017). Ephemere oder dynamische Ports (49152 bis 65535) werden vom Betriebssystem vorübergehend für ausgehende Verbindungen vergeben.

Die meisten Heim-ISPs blockieren eingehende Verbindungen auf Port 25 (SMTP), Port 80 (HTTP), Port 443 (HTTPS) und Port 8080, um zu verhindern, dass Kunden öffentlich zugängliche Server auf Consumer-Leitungen betreiben. Port 25 ist auf fast allen privaten IPs gesperrt, um Spam an der Quelle zu begrenzen. Einige ISPs sperren auch Port 22 (SSH) für eingehende Verbindungen. Business-Tarife oder Pläne mit statischer IP erlauben diese Ports in der Regel.

Port Forwarding ist eine NAT-Regel (Network Address Translation), die auf einem Router festgelegt wird und eingehenden Datenverkehr, der auf einem bestimmten externen Port ankommt, zu einer privaten IP-Adresse und einem Port im lokalen Netzwerk weiterleitet. Wenn ein Paket die öffentliche IP deines Routers auf dem weitergeleiteten Port erreicht, schreibt der Router die Zieladresse um und leitet das Paket an das interne Gerät weiter. Ohne diese Regel wird der gesamte unerwünschte eingehende Datenverkehr am Router verworfen, da der Router keine Zuordnung hat, die ihm sagt, wohin er das Paket senden soll. Um zu prüfen, ob eine Port-Weiterleitung funktioniert, führe nach dem Einrichten der Regel einen externen Port-Checker aus. Wird der Port als offen angezeigt, leitet der Router den Datenverkehr korrekt an den internen Dienst weiter.

Die TCP-Port-Prüfung funktioniert, indem ein Verbindungs-Handshake (SYN) gestartet und die Antwort ausgewertet wird: SYN-ACK bedeutet offen, RST bedeutet geschlossen, und keine Antwort bedeutet gefiltert. UDP hat überhaupt keinen Handshake. Es sendet ein Datagramm und erhält keine Bestätigung, wenn der Port offen ist. Ein offener UDP-Port akzeptiert das Paket einfach stillschweigend. Das einzige Signal für einen geschlossenen UDP-Port ist eine ICMP-Port-Unreachable-Meldung vom Host, aber viele Hosts unterdrücken diese Meldungen, sodass ein offener und ein gefilterter UDP-Port für einen externen Prober nicht zu unterscheiden sind. Diese Unzuverlässigkeit macht die externe UDP-Port-Prüfung in den meisten Situationen unpraktisch.

Der Port-Checker prüft, ob der TCP-Port auf Netzwerkebene Verbindungen akzeptiert, doch Probleme auf der Anwendungsschicht können deine Software trotzdem am Funktionieren hindern. Häufige Ursachen: Der Dienst erwartet TLS, aber dein Client verbindet sich ohne TLS (oder umgekehrt); der Dienst benötigt einen bestimmten Hostnamen über SNI oder Virtual Hosting, der sich von der getesteten IP-Adresse unterscheidet; die Anwendung verwendet IP-Allowlisting, das die IP deines Clients blockiert, während die IP des Probers durchgelassen wird; oder der Dienst akzeptiert die Verbindung und schließt sie sofort wieder, weil die Authentifizierung fehlgeschlagen ist. Ein als offen angezeigter Port bedeutet, dass der TCP-Handshake abgeschlossen wurde. Das ist keine Garantie dafür, dass der dahinterliegende Dienst deine spezifische Anfrage akzeptiert.

Nein. Ein externer Port-Checker sendet seine Anfragen von einem Server im öffentlichen Internet und kann private IP-Adressbereiche (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) oder die Loopback-Adresse (127.0.0.1) nicht erreichen. Diese Adressen sind im öffentlichen Internet nicht routbar, sodass Pakete, die an sie gerichtet sind, am ersten Router verworfen werden. Um Ports auf einem lokalen Rechner oder in einem privaten Netzwerk zu prüfen, führe Befehlszeilentools wie nc (netcat), telnet oder nmap direkt aus demselben Netzwerk heraus aus. Externe Port-Checker eignen sich nur zum Testen öffentlich zugänglicher Dienste.

Die Faustregel lautet: Öffne nur die Ports, die dein Dienst wirklich benötigt, und sperre alles andere per Firewall. Hochrisiko-Ports, auf die automatische Scanner häufig abzielen: 22 (SSH), auf bestimmte Quell-IPs beschränken oder auf einen nicht standardmäßigen Port verschieben; 23 (Telnet), vollständig deaktivieren und stattdessen SSH verwenden; 3389 (RDP), niemals ohne vorgeschaltetes VPN öffentlich zugänglich machen; 3306 (MySQL), 5432 (PostgreSQL), 6379 (Redis), 27017 (MongoDB), Datenbank-Ports sollten niemals öffentlich zugänglich sein. Ersetze FTP (21) durch SFTP über SSH. Scanne deinen eigenen Server regelmäßig, um sicherzustellen, dass keine unerwarteten Dienste exponiert wurden.

Der TCP-Drei-Wege-Handshake ist die Verbindungsaufbausequenz, die abläuft, bevor Daten übertragen werden. Schritt 1: Der Client sendet ein SYN-Paket (Synchronize) mit einer zufällig gewählten Sequenznummer. Schritt 2: Ist der Port offen, antwortet der Server mit SYN-ACK, bestätigt die Sequenznummer des Clients und übermittelt seine eigene. Schritt 3: Der Client sendet ACK zurück, um den Empfang zu bestätigen und den Handshake abzuschließen. Port-Checker nutzen diesen Mechanismus, um den Port-Status zu ermitteln: Ein SYN-ACK in Schritt 2 beweist, dass der Port offen ist. Eine RST-Antwort (Reset) anstelle von SYN-ACK bedeutet, dass der Port geschlossen ist. Keine Antwort innerhalb des Timeout-Fensters bedeutet, dass eine Firewall den Port filtert.