Offene Ports prüfen

Wählen Sie einen Port und unser Server versucht, sich mit ihm an der Adresse zu verbinden, von der aus Sie surfen. Sie erfahren, ob der Port offen, geschlossen oder stumm ist und was jede Antwort über Ihren Router aussagt.

Eine Adresse hat 65.535 Türen

Ihr Internetanschluss hat eine öffentliche Adresse, ein bisschen wie die Anschrift eines Gebäudes. Ein Port ist eine nummerierte Tür in diesem Gebäude. Ein Programm, das Verbindungen empfangen will, stellt sich hinter eine der Türen und wartet. Ein Webserver wartet hinter 443, ein Minecraft-Server hinter 25565, Windows-Remotedesktop hinter 3389.

Zu Hause hat das Gebäude einen Pförtner, und das ist Ihr Router. Verbindungen, die Sie selbst starten, gehen hinaus, und ihre Antworten kommen ohne jede Einrichtung wieder herein. Eine Verbindung, die von außen beginnt, ist eine andere Sache. Der Router hat keine Ahnung, für welches Ihrer Geräte sie gedacht ist, also wirft er sie weg. Diese Grundeinstellung ist der Grund, warum ein Heimnetz schwer anzugreifen ist. Sie ist auch der Grund, warum Ihr Freund nicht auf den Spieleserver auf Ihrem Computer kommt.

Eine Portweiterleitung ist eine feste Anweisung an den Pförtner, etwa „alles, was für Tür 25565 ankommt, geht an den Computer mit 192.168.1.20“. Diese Seite klopft von außen an und sagt Ihnen, ob diese Anweisung funktioniert.

Drei mögliche Antworten

Wir unternehmen einen TCP-Verbindungsversuch und beobachten, was zurückkommt. Über die Verbindung wird nichts gesendet, und wir schließen sie sofort wieder.

Ergebnis	Was auf der Leitung passiert ist	Was es bedeutet
Offen	Die Verbindung wurde angenommen.	Ein Programm lauscht und jede Firewall auf dem Weg lässt den Verkehr durch.
Geschlossen	Innerhalb von Millisekunden kam eine Ablehnung zurück.	Der Weg ist frei, aber hinter der Tür ist kein Programm. Starten Sie das Programm oder korrigieren Sie seine Portnummer.
Keine Antwort	Vier Sekunden Stille.	Eine Firewall oder der Router hat den Versuch verworfen. Bei einem Port, den niemand geöffnet hat, ist das der normale, sichere Zustand.

Wenn eine Weiterleitung nicht funktioniert, ist der Unterschied zwischen „geschlossen“ und „keine Antwort“ Ihr bester Hinweis. Eine Ablehnung beweist, dass der Router die Verbindung weitergereicht hat, was noch nicht stimmt, liegt also am Gerät. Stille deutet auf die Router-Regel oder auf den Provider.

Warum Sie nur Ihre eigene Adresse testen können

Ein Adressfeld werden Sie auf dieser Seite nicht finden. Der Test zielt immer auf die Adresse, von der Ihre Anfrage kam, einen Port nach dem anderen.

Ports an einem Rechner durchzuprobieren ist der erste Schritt der meisten Einbrüche. Deshalb verbieten fast alle Hosting-Verträge das Scannen von Adressen, die man nicht selbst verwaltet, und deshalb ist es in manchen Ländern verboten. Eine öffentliche Seite, die auf Wunsch jede beliebige Adresse scannt, würde jedem erlauben, diesen Schritt zu gehen und sich dabei hinter unserem Server zu verstecken. Die eigene Tür zu prüfen ist dagegen in Ordnung, den Schlüssel haben Sie ja schon.

Mit eingeschaltetem VPN oder Firmen-Proxy ist „Ihre Adresse“ die Adresse des VPN-Servers. Schalten Sie ihn aus, bevor Sie eine Portweiterleitung zu Hause testen.

Wenn der Port stumm bleibt

Gehen Sie diese Punkte der Reihe nach durch, von außen nach innen.

Geteilte Adresse beim Provider. Öffnen Sie die Statusseite des Routers und lesen Sie seine WAN-Adresse ab. Weicht sie von der oben angezeigten Adresse ab oder beginnt sie mit 100.64 bis 100.127, 10. oder 192.168., setzt Ihr Provider viele Kunden hinter eine einzige Adresse (Carrier-Grade NAT). Keine Regel in Ihrem Router hilft dann. Fragen Sie nach einer öffentlichen Adresse oder nutzen Sie IPv6 oder einen Tunneldienst.
Die Weiterleitungsregel. Externer Port, interner Port, Protokoll TCP und die lokale Adresse des richtigen Geräts. Geben Sie diesem Gerät eine feste lokale Adresse, sonst zeigt die Regel nach dem nächsten Neustart ins Leere.
Zwei Router hintereinander. Steht eine Box des Providers vor Ihrem eigenen Router, brauchen Sie die Weiterleitung auf beiden, oder die erste im Bridge-Modus.
Die Firewall des Geräts. Windows, macOS und die meisten Linux-Systeme blockieren eingehende Verbindungen, bis Sie das Programm zulassen.
Das Programm. Es muss laufen, auf diesem Port, und auf allen Schnittstellen lauschen (0.0.0.0) statt nur auf 127.0.0.1.

Manche Provider sperren einige Ports für alle Privatkunden, meistens 25 (E-Mail), 80 und 445. Bleibt ein Port stumm, während seine Nachbarn aufgehen, sehen Sie wahrscheinlich genau das.

Ein offener Port bekommt Besuch

Automatische Scanner durchkämmen das gesamte IPv4-Internet mehrmals am Tag. Einen neu geöffneten Port finden sie innerhalb von Stunden, und die ersten Passwortversuche folgen. Öffnen Sie nur, was Sie nutzen, und halten Sie das Programm dahinter aktuell. Stellen Sie niemals eine Datenbank, die Windows-Dateifreigabe (445), Telnet (23) oder Remotedesktop (3389) direkt ins Netz. Erreichen Sie diese über ein VPN.

Diese Seite testet nur TCP. UDP-Dienste wie WireGuard oder die meisten Sprachchats lassen sich von außen nicht prüfen, denn ein offener UDP-Port, der nichts zu sagen hat, sieht genauso aus wie ein geschlossener.

Häufige Fragen

Woran erkenne ich, ob meine Portweiterleitung funktioniert?

Starten Sie das Programm, das die Verbindungen empfangen soll, und testen Sie dann seinen Port hier. „Offen“ heißt, die Weiterleitung funktioniert von Anfang bis Ende. „Geschlossen“ heißt, der Router leitet richtig weiter, aber das Programm lauscht nicht. „Keine Antwort“ heißt, der Router oder eine Firewall verwirft den Verkehr noch.

Warum wird der Port als geschlossen angezeigt, obwohl mein Server läuft?

Meist lauscht das Programm nur auf 127.0.0.1, in seinen Einstellungen steht eine andere Portnummer, eine Firewall auf dem Gerät blockiert, oder ein VPN lässt den Test auf eine andere Adresse treffen. Testen Sie aus demselben Netzwerk, in dem der Server steht, mit ausgeschaltetem VPN.

Kann ich einen Port an einer anderen IP-Adresse oder Website prüfen?

Nein. Die Seite testet nur die Adresse, von der aus Sie sich verbinden. Rechner zu scannen, die man nicht verwaltet, ist missbräuchlich, deshalb gibt es kein Adressfeld. Ob eine öffentliche Website antwortet, sehen Sie mit Ist sie down?.

Sind offene Ports gefährlich?

Ein Port ist nur so sicher wie das Programm dahinter. Ein aktueller Webserver auf 443 ist in Ordnung. Remotedesktop, eine Datenbank oder eine Kamera mit Standardpasswort werden schnell gefunden und angegriffen. Schließen Sie, was Sie nicht nutzen.

Was ist Carrier-Grade NAT und wie verhindert es Portweiterleitungen?

Ihr Provider teilt eine öffentliche Adresse unter vielen Kunden auf, eingehende Verbindungen enden also an seinen Geräten und erreichen Ihren Router nie. Sie erkennen das an einer WAN-Adresse im Router, die von Ihrer öffentlichen Adresse abweicht. Nur der Provider, IPv6 oder ein Tunneldienst bringen Sie daran vorbei.

Kann dieser Test UDP-Ports prüfen?

Nein. UDP hat keinen Verbindungsaufbau, ein stummer Port kann also offen oder geschlossen sein. Testen Sie UDP-Dienste mit ihrem eigenen Client aus einem anderen Netz, zum Beispiel mit einem Handy über mobile Daten.