← Zurück zur Übersicht
Sicherheit

Port Scanning

Netzwerk-Reconnaissance

Port ScanNmapTCPSYN ScanReconnaissanceSchwachstellen

Port Scanning identifiziert offene Netzwerkports und laufende Dienste auf einem Zielsystem. Es ist die grundlegende Methode der Netzwerk-Reconnaissance – sowohl für Administratoren als auch für Angreifer.

Scannernmap -sS192.168.1.1Ziel-Host:22 SSH OPEN:80 HTTP OPEN:443 HTTPS OPEN:23 Telnet CLOSED:3306 MySQL FILTERSYN →SYN →SYN →OPEN=SYN-ACK · CLOSED=RST · FILTERED=keine Antwort/ICMP-unreachable

Entstehung und Beteiligte

Portscans entstanden mit TCP/IP-Diagnose und Sicherheitsprüfung. Fyodor veröffentlichte Nmap 1997 in Phrack und machte flexible Scanverfahren breit zugänglich. Die zugrunde liegenden Verbindungsversuche sind jedoch normale Protokollfunktionen, keine einzelne Erfindung.

Welches Problem sollte gelöst werden?

Administratoren und Angreifer wollen wissen, welche Dienste ein Host anbietet. Inventarlisten können veraltet sein; ein Scan zeigt die aus einer bestimmten Netzposition tatsächlich erreichbare Oberfläche.

Technische Hürden und Lösungen

Firewalls, Ratenlimits, Paketverlust und unterschiedliche TCP-Antworten erschweren die Interpretation. UDP liefert oft gar keine Antwort. Scans können Alarm auslösen oder schwache Systeme belasten und benötigen außerhalb eigener Netze eine Erlaubnis.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

  • Nmap wurde 1997 von Gordon Lyon alias Fyodor veröffentlicht.
  • TCP Connect, SYN, UDP und Service Detection beantworten unterschiedliche Fragen.
  • „Filtered“ bedeutet nicht dasselbe wie „closed“.
  • Ein offener Port ist nicht automatisch eine Schwachstelle.

Was ist Port Scanning?

Port Scanning ist die systematische Untersuchung eines Netzwerk-Hosts auf offene TCP/UDP-Ports und laufende Dienste. Es ist das grundlegendste Werkzeug der Netzwerk-Reconnaissance: Welche Ports sind offen? Welche Dienste laufen? Welche Versionen?

Das Standardwerkzeug ist Nmap (Network Mapper) – open source, leistungsstark, mit Scripting-Engine (NSE) für erweiterte Enumeration. Port-Scanning ist für Administratoren ein legitimes Analysewerkzeug, für Angreifer ein Reconnaissance-Tool.

Port-Zustände und Scan-Typen

  • OPEN: Dienst antwortet. TCP: SYN-ACK zurück. UDP: Paket oder ICMP-Nachricht.
  • CLOSED: Port erreichbar, kein Dienst. TCP: RST zurück.
  • FILTERED: Firewall blockiert. Keine Antwort oder ICMP-unreachable.
  • SYN Scan (-sS): "Stealth Scan" – nur SYN senden, kein ACK. Vollverbindung wird nie aufgebaut. Schnell und weniger auffällig.
  • Connect Scan (-sT): Vollständiger TCP-Handshake. Langsamer, aber kein Root-Recht nötig.
  • UDP Scan (-sU): Langsam und unzuverlässig. UDP antwortet nicht immer.

Erkennung und Rechtliches

IDS/IPS-Systeme erkennen Port-Scans anhand von Mustern: viele Verbindungen in kurzer Zeit, SYN-Pakete ohne Follow-up, Verbindungen zu ungewöhnlich vielen Ports. Nmap bietet Timing-Templates (T0–T5) und Decoy-Modi, um Scans zu verschleiern.

Rechtliches: Port-Scanning ohne Erlaubnis ist in vielen Ländern illegal (Deutschland: § 202c StGB "Vorbereitung einer Straftat"). Admins scannen ihre eigenen Systeme regelmäßig – das ist legitim und empfohlen.