Skip to main content

19.3 Standardports-Spickzettel

Dieser Spickzettel fasst wichtige Standardports kompakt zusammen.

Er ist besonders wichtig für:

- Firewall-Regeln
- Fehlersuche
- Protokollzuordnung
- Sicherheitsfragen
- Prüfungsaufgaben
- Netzwerkdokumentation

Merksatz:

Ports zeigen,
welcher Dienst auf einem Host angesprochen wird.

Grundidee: Was ist ein Port?

Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem System angesprochen wird.

Beispiel:

IP-Adresse:
Welcher Host?

Port:
Welcher Dienst auf diesem Host?

Beispiel:

192.168.1.10:443

Bedeutung:

Host 192.168.1.10

Dienst auf Port 443

Merksatz:

IP findet den Host.
Port findet den Dienst.

Port und OSI-Schicht

Ports gehören zur Transportschicht.

OSI-Schicht:

Schicht 4

Protokolle:

TCP

UDP

Merksatz:

Ports sind Schicht 4.

TCP und UDP bei Ports

Ein Port allein reicht nicht immer aus.

Wichtig ist auch, ob TCP oder UDP verwendet wird.

Beispiel:

TCP 53

und

UDP 53

sind nicht dasselbe, auch wenn die Portnummer gleich ist.

Merksatz:

Portnummer immer zusammen mit TCP oder UDP betrachten.

Well-Known Ports

Well-Known Ports sind bekannte Standardports.

Bereich:

0 bis 1023

Beispiele:

TCP 22 SSH

TCP 80 HTTP

TCP 443 HTTPS

UDP 53 DNS

Merksatz:

Well-Known Ports sind bekannte Dienstports.

Registered Ports

Registered Ports liegen im Bereich:

1024 bis 49151

Sie werden häufig von Anwendungen, Diensten oder Herstellern genutzt.

Beispiele:

TCP 3306 MySQL

TCP 5432 PostgreSQL

TCP 8080 alternativer HTTP-Port

Merksatz:

Registered Ports werden oft von Anwendungen genutzt.

Dynamic oder Ephemeral Ports

Dynamische Ports werden häufig für Clientverbindungen genutzt.

Bereich:

49152 bis 65535

Beispiel:

Client verbindet sich von zufälligem hohen Quellport
zu Server TCP 443.

Merksatz:

Server lauscht meist auf bekanntem Port.
Client nutzt oft dynamischen Quellport.

Quellport und Zielport

Bei einer Verbindung gibt es:

Quell-IP

Quellport

Ziel-IP

Zielport

Beispiel:

Client:
192.168.1.50:52344

Server:
93.184.216.34:443

Bedeutung:

Client nutzt dynamischen Quellport.
Server nutzt Zielport HTTPS.

Merksatz:

Zielport zeigt meist den angesprochenen Dienst.

Wichtige Standardports Gesamtübersicht

Dienst Protokoll Port Zweck
FTP Control TCP 21 klassische FTP-Steuerverbindung
FTP Data TCP 20 klassische FTP-Datenverbindung im aktiven Modus
SSH TCP 22 verschlüsselter Kommandozeilenzugriff
Telnet TCP 23 unverschlüsselter Fernzugriff
SMTP TCP 25 E-Mail-Versand zwischen Mailservern
DNS UDP/TCP 53 Namensauflösung
DHCP Server UDP 67 DHCP-Server
DHCP Client UDP 68 DHCP-Client
HTTP TCP 80 unverschlüsselte Webkommunikation
POP3 TCP 110 E-Mail-Abruf
NTP UDP 123 Zeitsynchronisation
IMAP TCP 143 E-Mail-Abruf und Synchronisation
SNMP UDP 161 Netzwerkmanagement
SNMP Trap UDP 162 SNMP-Ereignismeldungen
LDAP TCP/UDP 389 Verzeichnisdienst
HTTPS TCP 443 verschlüsselte Webkommunikation
SMB TCP 445 Datei- und Druckfreigaben
SMTPS TCP 465 SMTP über TLS
Syslog UDP 514 Logübertragung
LDAPS TCP 636 LDAP über TLS
IMAPS TCP 993 IMAP über TLS
POP3S TCP 995 POP3 über TLS
RDP TCP 3389 Remote Desktop
PostgreSQL TCP 5432 Datenbankdienst
HTTP Alternate TCP 8080 alternativer Webport

Merksatz:

Port,
Protokoll
und Dienst zusammen lernen.

Webports

Dienst Protokoll Port Bedeutung
HTTP TCP 80 unverschlüsselte Webseite
HTTPS TCP 443 verschlüsselte Webseite
HTTP Alternate TCP 8080 alternativer Webdienst
HTTPS Alternate TCP 8443 alternativer verschlüsselter Webdienst

Merksatz:

HTTP ist unverschlüsselt.
HTTPS ist verschlüsselt.

HTTP und HTTPS unterscheiden

HTTP:

Hypertext Transfer Protocol

nutzt meist TCP 80

keine Transportverschlüsselung

HTTPS:

HTTP über TLS

nutzt meist TCP 443

verschlüsselte Verbindung

Merksatz:

HTTPS = HTTP plus TLS.

E-Mail-Ports

Dienst Protokoll Port Zweck
SMTP TCP 25 Mailserver zu Mailserver
Submission TCP 587 E-Mail-Versand durch Clients mit Authentifizierung
SMTPS TCP 465 SMTP über TLS
POP3 TCP 110 E-Mail abrufen
POP3S TCP 995 POP3 verschlüsselt
IMAP TCP 143 E-Mail synchronisieren
IMAPS TCP 993 IMAP verschlüsselt

Merksatz:

SMTP sendet.
POP3 und IMAP empfangen.

SMTP, POP3 und IMAP unterscheiden

SMTP:

E-Mails senden

POP3:

E-Mails abrufen,
eher einfaches Herunterladen

IMAP:

E-Mails auf Server synchron verwalten

Merksatz:

SMTP raus.
POP3 und IMAP rein.

DNS-Ports

Dienst Protokoll Port Zweck
DNS UDP 53 normale DNS-Abfragen
DNS TCP 53 große Antworten, Zonentransfers, bestimmte Spezialfälle

Merksatz:

DNS nutzt häufig UDP 53,
kann aber auch TCP 53 nutzen.

DHCP-Ports

Dienst Protokoll Port Bedeutung
DHCP Server UDP 67 Server empfängt Anfragen
DHCP Client UDP 68 Client empfängt Antworten

Merksatz:

DHCP nutzt UDP 67 und 68.

DHCP und Broadcast

DHCP nutzt am Anfang Broadcast, weil der Client noch keine vollständige IP-Konfiguration hat.

Ablauf:

Discover

Offer

Request

Acknowledge

Merksatz:

DHCP-DORA gehört zu UDP 67 und 68.

Fernadministration-Ports

Dienst Protokoll Port Sicherheit
SSH TCP 22 verschlüsselt
Telnet TCP 23 unverschlüsselt, unsicher
RDP TCP 3389 verschlüsselt möglich, stark absichern

Merksatz:

SSH statt Telnet.
RDP nicht offen ins Internet stellen.

SSH

SSH steht für:

Secure Shell

Standardport:

TCP 22

Nutzung:

sichere Kommandozeile
SFTP
SCP
Administration von Servern und Netzwerkgeräten

Merksatz:

SSH = sicherer Fernzugriff über TCP 22.

Telnet

Telnet nutzt:

TCP 23

Problem:

unverschlüsselte Übertragung

Risiko:

Zugangsdaten können mitgelesen werden.

Merksatz:

Telnet ist unsicher und sollte vermieden werden.

RDP

RDP steht für:

Remote Desktop Protocol

Standardport:

TCP 3389

Nutzung:

grafischer Fernzugriff auf Windows-Systeme

Sicherheit:

möglichst über VPN,
RDP-Gateway,
MFA
und Firewall-Beschränkung

Merksatz:

RDP = TCP 3389,
aber nicht offen ins Internet.

Dateiübertragungs- und Freigabeports

Dienst Protokoll Port Zweck
FTP Data TCP 20 FTP-Datenkanal aktiv
FTP Control TCP 21 FTP-Steuerkanal
SFTP TCP 22 Dateiübertragung über SSH
FTPS TCP 21 oder 990 FTP mit TLS
SMB TCP 445 Datei- und Druckfreigaben
NFS TCP/UDP 2049 Unix-/Linux-Dateifreigaben

Merksatz:

SFTP nutzt SSH.
SMB nutzt TCP 445.

FTP, FTPS und SFTP

FTP:

klassisches File Transfer Protocol

meist TCP 21

unverschlüsselt

FTPS:

FTP mit TLS-Verschlüsselung

nutzt FTP-Grundlage

SFTP:

Dateiübertragung über SSH

nutzt TCP 22

Merksatz:

FTPS ist FTP mit TLS.
SFTP ist Dateiübertragung über SSH.

SMB

SMB steht für:

Server Message Block

Standardport:

TCP 445

Nutzung:

Windows-Dateifreigaben
Druckerfreigaben
Netzlaufwerke

Merksatz:

SMB = Dateifreigaben über TCP 445.

NFS

NFS steht für:

Network File System

Standardport:

TCP/UDP 2049

Nutzung:

Unix- und Linux-Dateifreigaben
Serverfreigaben
Virtualisierungsspeicher
Backupziele

Merksatz:

NFS ist typisch für Unix- und Linux-Umgebungen.

Verzeichnisdienst-Ports

Dienst Protokoll Port Zweck
LDAP TCP/UDP 389 Verzeichnisdienst
LDAPS TCP 636 LDAP über TLS
Kerberos TCP/UDP 88 Authentifizierungsprotokoll

Merksatz:

LDAP fragt Verzeichnisinformationen ab.
Kerberos dient der Authentifizierung.

LDAP und LDAPS

LDAP:

Lightweight Directory Access Protocol

nutzt meist TCP/UDP 389

LDAPS:

LDAP über TLS

nutzt meist TCP 636

Merksatz:

LDAPS = LDAP verschlüsselt.

Kerberos

Kerberos ist ein Authentifizierungsprotokoll.

Standardport:

TCP/UDP 88

Wichtig:

Zeitabweichungen können Kerberos-Probleme verursachen.

Merksatz:

Kerberos braucht korrekte Zeit.

Zeit und Management

Dienst Protokoll Port Zweck
NTP UDP 123 Zeitsynchronisation
SNMP UDP 161 Netzwerkmanagement
SNMP Trap UDP 162 Ereignismeldung vom Gerät
Syslog UDP 514 Logübertragung

Merksatz:

NTP sorgt für gleiche Zeit.
SNMP überwacht Geräte.
Syslog sammelt Logs.

NTP

NTP steht für:

Network Time Protocol

Standardport:

UDP 123

Wichtig für:

Logs
Zertifikate
Kerberos
Tickets
Zeitstempel
geplante Aufgaben

Merksatz:

Ohne korrekte Zeit wird Fehlersuche schwerer.

SNMP

SNMP steht für:

Simple Network Management Protocol

Standardports:

UDP 161 für Abfragen

UDP 162 für Traps

Nutzung:

Netzwerkgeräte überwachen
Status abfragen
Messwerte erfassen
Ereignisse melden

Merksatz:

SNMP fragt ab,
SNMP Trap meldet Ereignisse.

Syslog

Syslog dient zur Übertragung von Logmeldungen.

Standardport:

UDP 514

Nutzung:

zentrale Logsammlung
Firewall-Logs
Switch-Logs
Router-Logs
Server-Logs

Merksatz:

Syslog transportiert Logmeldungen.

Datenbankports

Dienst Protokoll Port Zweck
MySQL / MariaDB TCP 3306 Datenbankdienst
PostgreSQL TCP 5432 Datenbankdienst
Microsoft SQL Server TCP 1433 Datenbankdienst
MongoDB TCP 27017 Datenbankdienst

Merksatz:

Datenbankports sollten nicht unnötig öffentlich erreichbar sein.

Sicherheitsregel für Datenbankports

Datenbanken sollten normalerweise nur erreichbar sein für:

Anwendungserver

Adminnetz

Backupsysteme

Monitoring

Nicht sinnvoll:

Datenbank direkt öffentlich ins Internet stellen.

Merksatz:

Datenbankports gehören nicht offen ins Internet.

Typische Proxy- und Alternativports

Dienst Protokoll Port Zweck
HTTP Alternate TCP 8080 alternativer Webdienst
HTTPS Alternate TCP 8443 alternativer HTTPS-Dienst
Proxy TCP 3128 häufig genutzter Proxy-Port
SOCKS Proxy TCP 1080 SOCKS-Proxy

Merksatz:

8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt.

Portbereiche kompakt

Bereich Name Bedeutung
0 bis 1023 Well-Known Ports bekannte Systemdienste
1024 bis 49151 Registered Ports registrierte Anwendungsports
49152 bis 65535 Dynamic / Ephemeral Ports dynamische Clientports

Merksatz:

Niedrige Ports sind oft Serverdienste.
Hohe Ports sind oft Client-Quellports.

Ports in Firewall-Regeln

Firewall-Regeln sollten enthalten:

Quelle

Ziel

Protokoll

Zielport

Aktion

Richtung

Zweck

Beispiel:

Quelle Ziel Protokoll Port Aktion Zweck
Client-Netz Webserver TCP 443 erlauben HTTPS-Zugriff
Adminnetz Server TCP 22 erlauben SSH-Administration
Internet Datenbank TCP 5432 blockieren Datenbank schützen

Merksatz:

Firewall-Regeln immer so genau wie möglich formulieren.

Any-to-Any-Regeln

Any-to-Any bedeutet:

jede Quelle

zu

jedem Ziel

Problem:

sehr große Angriffsfläche
schlechte Nachvollziehbarkeit
unnötige Freigaben
hohes Sicherheitsrisiko

Merksatz:

Any-to-Any ist fast immer kritisch.

Ports bei Fehlersuche

Wenn ein Dienst nicht erreichbar ist, prüfen:

Läuft der Dienst?

Lauscht der Dienst auf dem richtigen Port?

Lauscht der Dienst auf der richtigen Schnittstelle?

Blockiert die lokale Firewall?

Blockiert eine Netzwerkfirewall?

Ist NAT oder Portweiterleitung korrekt?

Stimmt TCP oder UDP?

Zeigen Logs Fehler?

Merksatz:

Host erreichbar heißt nicht,
dass der Port erreichbar ist.

Typische Fehlerbilder mit Ports

Fehlerbild Mögliche Ursache
Ping funktioniert, Webseite nicht TCP 80 oder 443, Webdienst oder Firewall
SSH nicht erreichbar TCP 22 blockiert, Dienst aus, falscher Port
RDP nicht erreichbar TCP 3389 blockiert, RDP deaktiviert, VPN fehlt
DNS funktioniert nicht UDP/TCP 53 blockiert oder DNS-Server falsch
DHCP funktioniert nicht UDP 67/68, VLAN oder DHCP-Relay
SMB-Freigabe nicht erreichbar TCP 445 blockiert oder Rechteproblem
Mailversand schlägt fehl SMTP-Port, Authentifizierung oder Mailserver
Datenbank nicht erreichbar Datenbankport, Firewall oder Dienststatus

Merksatz:

Bei Dienstproblemen immer Port,
Protokoll
und Dienststatus prüfen.

TCP-Status kurz einordnen

Status Bedeutung
LISTEN Dienst wartet auf eingehende Verbindung
ESTABLISHED Verbindung besteht
SYN_SENT Verbindungsaufbau gestartet
TIME_WAIT Verbindung wurde beendet, Wartephase
CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht

Merksatz:

LISTEN zeigt:
Ein Dienst wartet auf Verbindungen.

Portscanner fachlich einordnen

Ein Portscanner prüft, welche Ports auf einem Ziel erreichbar sind.

Nutzung:

Sicherheitsprüfung
Fehlersuche
Inventarisierung
Prüfung von Firewall-Regeln

Wichtig:

Nur mit Erlaubnis einsetzen.

Merksatz:

Portscan zeigt erreichbare Dienste,
aber nicht automatisch deren Sicherheit.

Ports und Sicherheit

Offene Ports bedeuten:

ein Dienst ist erreichbar

Risiko:

Angriffsfläche steigt

Sicherheitsmaßnahmen:

nur notwendige Ports öffnen
Dienste patchen
starke Authentifizierung
Firewall einschränken
Logging aktivieren
nicht benötigte Dienste deaktivieren
keine Adminports öffentlich bereitstellen

Merksatz:

Jeder offene Port ist eine mögliche Angriffsfläche.

Besonders kritische Ports

Kritisch bei direkter Internet-Erreichbarkeit:

TCP 22 SSH

TCP 3389 RDP

TCP 445 SMB

TCP 3306 MySQL

TCP 5432 PostgreSQL

TCP 1433 Microsoft SQL Server

TCP 23 Telnet

Warum kritisch?

Adminzugänge
Dateifreigaben
Datenbanken
unverschlüsselte Protokolle
häufige Angriffsziele

Merksatz:

Admin-,
Datei-
und Datenbankports nicht frei ins Internet stellen.

Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt

Ein offener Port bedeutet:

Dienst ist grundsätzlich erreichbar.

Aber Zugriff kann trotzdem scheitern durch:

falsche Zugangsdaten
fehlende Rechte
Anwendungskonfiguration
Zertifikatsproblem
IP-Beschränkung
MFA
Lizenz
interne Fehlermeldung

Merksatz:

Port offen heißt nicht automatisch:
Anwendung funktioniert vollständig.

Prüfungsfalle: Ping ersetzt keinen Porttest

Ping prüft ICMP.

Ping prüft nicht automatisch, ob ein TCP- oder UDP-Dienst erreichbar ist.

Beispiel:

ping auf Webserver funktioniert

aber

TCP 443 ist blockiert

Ergebnis:

Webseite trotzdem nicht erreichbar.

Merksatz:

Ping prüft Host-Erreichbarkeit,
nicht den Dienst.

Prüfungsfalle: gleicher Port, anderes Protokoll

Beispiel:

DNS nutzt UDP 53

und

DNS kann TCP 53 nutzen.

Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus.

Merksatz:

TCP und UDP getrennt beachten.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Welchen Port nutzt SSH?
- Welchen Port nutzt HTTPS?
- Welchen Port nutzt RDP?
- Welchen Port nutzt SMB?
- Welche Ports nutzt DHCP?
- Warum nutzt DNS UDP und TCP 53?
- Warum ist Telnet unsicher?
- Warum sollte RDP nicht direkt im Internet erreichbar sein?
- Was ist der Unterschied zwischen Quellport und Zielport?
- Was ist ein Well-Known Port?
- Warum ist ein offener Datenbankport kritisch?
- Warum ersetzt ping keinen Porttest?
- Welche Angaben gehören in eine Firewall-Regel?

Typische Prüfungsfallen

TCP und UDP nicht angegeben.

Portnummer richtig,
aber falsches Protokoll.

DNS nur als UDP betrachten,
TCP 53 vergessen.

DHCP-Ports 67 und 68 verwechseln.

SSH und Telnet verwechseln.

SFTP und FTPS verwechseln.

SMTP,
POP3
und IMAP verwechseln.

RDP öffentlich erlauben.

SMB öffentlich erlauben.

Datenbankport öffentlich erlauben.

Ping als Diensttest verstehen.

Offenen Port mit erfolgreicher Anmeldung verwechseln.

Merksatz:

Portwissen muss immer mit Dienst,
Protokoll
und Sicherheitswirkung verbunden werden.

IHK-sichere Kurzformulierung

Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein.

Merksätze

Port = Dienstadresse auf einem Host.

Ports gehören zu OSI-Schicht 4.

Port immer mit TCP oder UDP nennen.

Zielport zeigt meist den Dienst.

Quellport ist beim Client oft dynamisch.

Well-Known Ports liegen bei 0 bis 1023.

SSH nutzt TCP 22.

Telnet nutzt TCP 23 und ist unsicher.

HTTP nutzt TCP 80.

HTTPS nutzt TCP 443.

DNS nutzt UDP und TCP 53.

DHCP nutzt UDP 67 und 68.

SMTP nutzt TCP 25.

Submission nutzt TCP 587.

POP3 nutzt TCP 110.

IMAP nutzt TCP 143.

SMB nutzt TCP 445.

RDP nutzt TCP 3389.

NTP nutzt UDP 123.

SNMP nutzt UDP 161 und 162.

LDAP nutzt 389.

LDAPS nutzt 636.

Kerberos nutzt 88.

MySQL nutzt TCP 3306.

PostgreSQL nutzt TCP 5432.

SFTP nutzt SSH und damit TCP 22.

FTPS ist FTP mit TLS.

FTP ist unverschlüsselt.

Jeder offene Port ist Angriffsfläche.

Ping ersetzt keinen Porttest.

Port offen heißt nicht automatisch Anwendung funktioniert.

Datenbankports nicht öffentlich freigeben.

Adminports stark absichern.

Firewall-Regeln genau formulieren.

Any-to-Any ist kritisch.
Back to top