Offene Ports: Datenbanken und Remote Desktop im Internet
Welche Dienste nie dem ganzen Internet antworten sollten, wie Angreifer sie in Minuten finden, wie Sie Ihre Angriffsfläche ohne Scan sehen und jeden Port schließen.
Ihre Website braucht die Ports 80 und 443 für alle. Fast nichts anderes braucht das. Trotzdem ist der häufigste erste Schritt eines Ransomware-Angriffs auf ein kleines Unternehmen keine raffinierte Lücke, sondern ein Remote-Desktop-Server, eine Datenbank oder eine alte Verwaltungsseite einer Firewall, die jedem im Internet antwortet, gefunden von einer Suchmaschine, die alle paar Tage das ganze Internet abtastet.
Die Ports, die nicht öffentlich sein sollten
| Port | Dienst | Warum öffentlich gefährlich |
|---|---|---|
| 3389 | Remote Desktop (RDP) | Passwortraten rund um die Uhr und eine lange Liste kritischer Lücken. Ein bevorzugter Einstieg von Ransomware-Gruppen. |
| 22 | SSH | Sicher nur mit Schlüsseln und aktueller Version; mit Passwörtern wird geraten. |
| 445 | Windows-Dateifreigabe (SMB) | Nie für das Internet gedacht; der Weg von WannaCry. |
| 3306, 5432, 1433 | MySQL, PostgreSQL, SQL Server | Eine Datenbank, die dem Internet antwortet, lädt zu Passwortraten und Datendiebstahl ein. |
| 27017, 6379, 9200 | MongoDB, Redis, Elasticsearch | Oft ganz ohne Passwort installiert; so wurden ganze Datenbanken kopiert und erpresst. |
| 21, 23 | FTP, Telnet | Passwörter gehen im Klartext über die Leitung. |
| 5900 | VNC | Fernsteuerung des Bildschirms, oft schwach geschützt. |
| 8080, 8443, 10000 | Verwaltungsseiten | Router, Firewall, Hosting-Panel oder Appliance. |
Wie Angreifer sie finden
Sie müssen Sie nicht scannen. Dienste wie Shodan und Censys tasten laufend jede öffentliche IPv4-Adresse ab und indexieren, was antwortet, samt Softwareversion. Ein Angreifer sucht nach „RDP in Deutschland“ oder „MongoDB ohne Authentifizierung“ und bekommt eine Liste. Wird eine neue Lücke in einem VPN- oder Firewall-Produkt veröffentlicht, beginnt die Ausnutzung binnen Tagen gegen jede Adresse, die diese Suchmaschine kennt.
Die eigene Angriffsfläche ohne Scan sehen
Dieselben öffentlichen Indizes zeigen auch Ihre Angriffsfläche, und sie zu lesen ist kein Scan: Sie lesen Daten, die es schon gibt. Shodans InternetDB etwa nennt für eine Adresse, welche Ports offen gesehen wurden und welche bekannten Schwachstellen zu den gesehenen Versionen passen. Listen Sie zuerst die Adressen Ihrer Domain und Subdomains auf (die kostenlose DNS-Karte erledigt das), dann sehen Sie jede einzeln nach.
Achten Sie besonders auf:
- Hosts, die Ihr CDN oder Ihre Firewall umgehen und direkt auf ihrer echten Adresse antworten;
- alte Server, an die niemand mehr denkt und die noch in einer Ecke eines Cloud-Kontos laufen;
- die Verwaltungsoberfläche Ihrer Firewall oder Ihres VPN, die nur dem internen Netz antworten sollte.
Ein Hinweis: Läuft Ihre Website über Cloudflare oder ein anderes CDN, ist ihre öffentliche Adresse die des CDN, die Tausende Websites teilen. Was die Indizes über diese Adresse sagen (Ports, Versionen, Software am Ende ihres Lebenszyklus), betrifft das CDN, nicht Ihren Server.
Jeden Port schließen
- Fernzugriff (RDP, VNC, SSH mit Passwörtern): hinter ein VPN oder einen Zero-Trust-Zugangsdienst mit Multi-Faktor-Authentifizierung legen, dann den Port schließen. Muss SSH öffentlich bleiben, nur Schlüssel zulassen und aktuell halten.
- Datenbanken und Caches: an das private Netz oder
localhostbinden und den Port per Firewall sperren. Eine Datenbank, die von außen erreichbar sein muss, gehört hinter einen Tunnel, nicht direkt ins Netz. - Verwaltungsseiten: auf die Adressen Ihres Büros oder VPN beschränken.
- Alles, was Sie nicht kennen: herausfinden, wer es eingerichtet hat, dann schließen.
- Verwundbare Versionen: zuerst die patchen, die auf der Liste aktiv ausgenutzter Schwachstellen der CISA stehen; sie werden gerade gegen andere eingesetzt.
Prüfen Sie nach jeder Änderung erneut: Eine Exposition gilt erst als behoben, wenn der öffentliche Index sie nicht mehr zeigt, was einige Tage dauern kann.
Wie Perimetry das überwacht
Jedes Perimetry-Audit liest die öffentlichen Indizes für die Adressen Ihrer Domains, meldet die riskanten Dienste, die sie zeigen, und ordnet bekannte Schwachstellen nach der Liste aktiv ausgenutzter Schwachstellen der CISA und der EPSS-Wahrscheinlichkeit ein. Gemeinsam genutzte CDN-Adressen werden erkannt und Ihnen nicht angelastet. Ein neuer Port zwischen zwei Audits steht in den Änderungen des nächsten Berichts und, wenn er schwer wiegt, in einer Benachrichtigung. Perimetry scannt Ihre Server nie selbst, es sei denn, Sie buchen den verifizierten aktiven Scan.