Portdatenbank: Gängige TCP/UDP-Ports und Dienste

HTTP (HyperText Transfer Protocol) ist das Anwendungsprotokoll für die Übertragung von Webseiten und APIs zwischen Browsern und Servern. HTTP überträgt alle Daten einschließlich Session-Cookies im Klartext, dem Abfangen auf gemeinsam genutzten Netzwerken ausgesetzt. Moderne Webstandards erfordern HTTPS (Port 443) für alle Sites mit Nutzerdaten. Leiten Sie gesamten Port-80-Traffic auf Port 443 um.

HTTPS ist HTTP gesichert mit TLS (Transport Layer Security), das Verschlüsselung, Server-Authentifizierung und Datenintegrität bietet. TLS 1.3 (RFC 8446) ist die aktuell empfohlene Version; TLS 1.0 und 1.1 sind offiziell veraltet. Browser zeigen Sicherheitswarnungen für Sites ohne HTTPS. Let’s Encrypt macht kostenlose TLS-Zertifikate für alle gängig.

Port 8080 ist der gängigste alternative HTTP-Port, wenn Port 80 nicht verfügbar ist. Er ist Standard für Apache Tomcat, Jetty und Entwicklungswebserver. Nutzer müssen den Port explizit in der URL angeben, da Browser Port 8080 nicht automatisch ansteuern.

Port 8443 dient als alternativer HTTPS-Port, wenn Port 443 belegt oder eingeschränkt ist. Er wird häufig von Kontrollpanelen (Plesk, cPanel), Kubernetes-API-Servern und Java-Anwendungsservern genutzt. Wenden Sie dieselben TLS-Sicherheitsstandards wie bei Port 443 an.

SMTP (Simple Mail Transfer Protocol) ist das Standardprotokoll für die Weiterleitung von E-Mails zwischen Mailservern. Port 25 wird für die Server-zu-Server-Zustellung genutzt und von den meisten ISPs für Privatanschlüsse blockiert. Authentifizierte Einreichung von Mailclients erfolgt über Port 587 (STARTTLS) oder Port 465 (implizites TLS). SMTP-Server müssen Anti-Relay-Schutz implementieren, um als offene Spam-Relays missbraucht zu werden.

POP3 (Post Office Protocol v3) ermöglicht das Herunterladen von E-Mails vom Mailserver. Im Gegensatz zu IMAP löscht POP3 Nachrichten nach dem Download typischerweise vom Server. POP3 im Klartext-Modus überträgt Zugangsdaten unverschlüsselt — verwenden Sie POP3S (Port 995) mit TLS. Für geräteübergreifenden Zugriff ist IMAPS (Port 993) zu bevorzugen.

IMAP (Internet Message Access Protocol) ermöglicht E-Mail-Clients den Zugriff und die Synchronisierung von Nachrichten auf dem Mailserver über mehrere Geräte. Anders als POP3 lässt IMAP Nachrichten auf dem Server und synchronisiert Ordnerstruktur. IMAP im Klartext-Modus (Port 143) sollte durch IMAPS (Port 993) ersetzt werden, das TLS ab dem Verbindungsstart nutzt.

SMTPS kapselt SMTP in implizites TLS ab dem Verbindungsaufbau. Dieser Port wurde 1998 kurz veraltet, aber 2018 durch RFC 8314 reaktiviert. Große Anbieter wie Gmail und Microsoft 365 unterstützen Port 465 mit implizitem TLS. Für neue Implementierungen ist Port 587 mit STARTTLS der standardisiertere Ansatz.

SMTP Submission (Port 587) ist der aktuelle Standard für authentifizierte E-Mail-Einreichung von Mailclients. Er schreibt STARTTLS vor, bevor Zugangsdaten übertragen werden. Im Gegensatz zu Port 25 erfordert Port 587 Authentifizierung und verhindert so unautorisierten Relay. Alle großen E-Mail-Anbieter empfehlen Port 587 für die Client-SMTP-Konfiguration.

IMAPS ist IMAP mit TLS, das sofort beim Verbindungsaufbau angewendet wird, bevor Zugangsdaten übertragen werden. Dies eliminiert das Abfangrisiko beim Klartext-IMAP mit optionalem STARTTLS. IMAPS auf Port 993 ist die empfohlene Konfiguration für alle modernen Mailserver. Deaktivieren Sie Klartext-IMAP (Port 143), sobald alle Clients IMAPS unterstützen.

POP3S ist POP3 mit TLS, das ab dem Verbindungsstart angewendet wird und Nachrichten und Authentifizierungstoken verschlüsselt. Port 995 ist die sichere Alternative zu Klartext-POP3 (Port 110). Für geräteübergreifenden Zugriff mit serverseitiger Nachrichtenspeicherung ist IMAPS (Port 993) vorzuziehen.

SSH (Secure Shell) bietet einen verschlüsselten Tunnel für Remote-Login, Befehlsausführung und Dateiübertragung über unsichere Netzwerke. SSH Version 2, definiert durch RFC 4251–4254, ersetzte das ursprüngliche SSH-1-Protokoll nach gravierenden Sicherheitslücken. Es unterstützt schlüsselbasierte Authentifizierung als sicherere Alternative. Gängige Implementierungen sind OpenSSH (Standard unter Linux/macOS), Dropbear (eingebettete Systeme) und Bitvise (Windows).

Telnet war der ursprüngliche Standard für den Fernzugriff auf Terminals, bevor SSH existierte. Es überträgt alle Daten — einschließlich Benutzernamen und Passwörter — unverschlüsselt über das Netzwerk. Jeder Angreifer mit Netzwerkzugang kann Telnet-Zugangsdaten sofort abfangen. Telnet wurde zugunsten von SSH abgelöst und sollte auf keinem modernen System mehr verwendet werden.

RDP (Remote Desktop Protocol) ist Microsofts Protokoll für die grafische Fernsteuerung von Windows-Systemen über Port 3389. Exponierter Port 3389 ist ein primärer Angriffspunkt für Ransomware-Operatoren. Verwenden Sie stets ein VPN statt RDP direkt freizugeben und aktivieren Sie Network Level Authentication (NLA).

VNC (Virtual Network Computing) implementiert das RFB-Protokoll (RFC 6143) zur Fernsteuerung eines Desktops über Port 5900. Standard-VNC-Sitzungen sind unverschlüsselt — tunneln Sie VNC stets über SSH (ssh -L 5900:localhost:5900) oder nutzen Sie ein VPN. Gängige Implementierungen sind RealVNC, TigerVNC und macOS Bildschirmfreigabe.

Microsoft SQL Server verwendet Port 1433 als Standard-TCP-Port und implementiert das Tabular Data Stream (TDS)-Protokoll. Er unterstützt Windows- und SQL Server-Authentifizierung. Port 1433 direkt ins Internet zu exponieren ist ein kritisches Sicherheitsrisiko — nutzen Sie für den Fernzugriff ein VPN oder einen SSH-Tunnel.

MySQL ist eine der weltweit am häufigsten eingesetzten Open-Source-Datenbanken und lauscht standardmäßig auf Port 3306. MariaDB, ein Community-Fork, ist vollständig kompatibel. SSL/TLS-Unterstützung muss explizit konfiguriert werden. Binden Sie Port 3306 in der my.cnf an localhost und nutzen Sie für die Fernverwaltung einen SSH-Tunnel.

PostgreSQL ist eine leistungsstarke Open-Source-Datenbank, die auf Port 5432 lauscht. Sie unterstützt erweitertes SQL mit JSONB, Volltextsuche und PostGIS. Setzen Sie listen_addresses auf localhost und nutzen Sie einen SSH-Tunnel oder VPN für den Fernzugriff. Die Zugangskontrolle erfolgt über pg_hba.conf.

Redis ist ein In-Memory-Key-Value-Store für Caching, Session-Management und Echtzeit-Anwendungen. Ältere Versionen haben standardmäßig keine Authentifizierung. Exponierte Redis-Instanzen wurden wiederholt für Kryptomining missbraucht. Binden Sie Redis stets an 127.0.0.1, aktivieren Sie requirepass und exponieren Sie Port 6379 nie ohne VPN.

MongoDB ist eine dokumentenorientierte NoSQL-Datenbank, die Daten im BSON-Format speichert und auf Port 27017 lauscht. Aktivieren Sie Authentifizierung in mongod.conf, binden Sie sie an localhost und exponieren Sie Port 27017 nie ohne VPN. Frühe Versionen hatten keine Standardauthentifizierung, was zu massiven Datenverletzungen führte.

Port 25565 ist der Standard-TCP-Port für Minecraft Java Edition Dedicated Server. Spieler verbinden sich über die Server-IP im Minecraft-Client. Varianten umfassen den offiziellen Mojang-Server, Paper, Spigot und Velocity. Öffnen Sie ihn nur aktiv beim Hosten und nutzen Sie eine Whitelist.

Port 27015 ist der Standard-UDP-Port für Valve Source Engine Dedicated Server (Counter-Strike 2, TF2, Garry's Mod). Halten Sie die Server-Software via SteamCMD aktuell und setzen Sie ein starkes RCON-Passwort.

DNS (Übersetzt menschenlesbare Domainnamen in IP-Adressen. Es nutzt UDP für Anfragen unter 512 Byte und wechselt zu TCP für größere Antworten. Ein rekursiver Resolver befragt mehrere autoritative Server, um eine Domain aufzulösen. Offene DNS-Resolver können für Amplification-DDoS-Angriffe missbraucht werden.

OpenVPN ist ein Open-Source-VPN-Protokoll, das verschlüsselte Tunnel mithilfe von TLS erstellt. Es verwendet standardmäßig UDP-Port 1194 für Performance, kann aber auch über TCP betrieben werden. Es unterstützt zertifikatbasierte Authentifizierung und starke Cipher-Suites wie AES-256-GCM. OpenVPN wird von pfSense, OPNsense und DD-WRT unterstützt.

FTP nutzt für die Übertragung von Dateiinhalten im aktiven Modus einen gesonderten Datenkanal (Port 20). Die Steuerverbindung auf Port 21 verhandelt die Übertragung, während Port 20 den eigentlichen Datenstrom überträgt. Der FTP-Datenverkehr ist unverschlüsselt — Dateiinhalte werden im Klartext übertragen. Nutzen Sie SFTP (Port 22) oder FTPS für sichere Dateiübertragungen.

FTP (File Transfer Protocol) ermöglicht das Hoch- und Herunterladen von Dateien zwischen Client und Server über TCP. Es verwendet getrennte Steuer- (Port 21) und Datenkanäle (Port 20). FTP überträgt Benutzernamen, Passwörter und Dateiinhalte im Klartext und ist anfällig für Abfangversuche. SFTP (Port 22) oder FTPS sind die sicheren Alternativen für alle modernen Einsatzzwecke.