Ein Portscan ist eine Technik, bei der Testpakete an die Netzwerkports eines Hosts gesendet werden, um herauszufinden, welche Ports offen sind und welche Dienste und Versionen dort lauschen.
Wie ein Portscan funktioniert
Netzwerkdienste lauschen auf nummerierten TCP- und UDP-Ports – etwa 22 für SSH, 443 für HTTPS oder 3389 für RDP. Ein Scanner sendet Pakete an einen Portbereich und stuft die Ports als offen, geschlossen oder gefiltert ein (keine Antwort, meist wegen einer Firewall). Gängige Scan-Arten:
- TCP-Connect-Scan – vollzieht den kompletten Drei-Wege-Handshake; einfach, aber leicht zu protokollieren.
- SYN-Scan („halboffen“) – sendet ein SYN und wertet die Antwort aus, ohne die Verbindung aufzubauen.
- UDP-Scan – langsamer und weniger zuverlässig, da geschlossene UDP-Ports nicht unbedingt antworten.
- Dienst- und Versionserkennung – Auslesen von Bannern, um Software und Versionen zu identifizieren.
Nmap, 1997 von Gordon Lyon veröffentlicht, ist das klassische Werkzeug; masscan und ZMap können den gesamten IPv4-Adressraum in Minuten scannen. Suchmaschinen wie Shodan und Censys veröffentlichen die Ergebnisse fortlaufender internetweiter Scans.
Warum Portscans relevant sind
Für Angreifer ist der Portscan Aufklärung: Er deckt offen erreichbare RDP-, VPN-, Datenbank- oder Verwaltungsschnittstellen mit bekannten Schwachstellen auf. MITRE ATT&CK führt ihn unter Active Scanning (T1595) sowie unter Network Service Discovery (T1046) für Scans innerhalb eines kompromittierten Netzes. Nach Bekanntwerden einer neuen Lücke beginnen Massenscans nach betroffenen Systemen oft binnen Stunden. Verteidiger nutzen dieselbe Technik, um ihre Angriffsfläche zu kartieren und bei Penetrationstests.
So wehren Sie Portscans ab
- Ungenutzte Ports schließen und Verwaltungsdienste nur über VPN oder Zero-Trust-Zugang erreichbar machen.
- Eingehenden Verkehr mit Firewalls filtern und interne Netze segmentieren.
- Scans mit einem Intrusion Detection System erkennen und interne Scans als mögliches Zeichen lateraler Bewegung untersuchen.
- Die eigenen externen IP-Bereiche regelmäßig scannen, um vergessene Dienste vor den Angreifern zu finden.
