Portscanner-App fürs iPhone

Was der Port-Scanner von PingKit macht

Der Port-Scanner von PingKit versucht TCP-Verbindungen zu einem Bereich von Ports auf einem Host Ihrer Wahl. Für jeden Port meldet er, ob dieser offen, geschlossen oder gefiltert ist, und benennt den Dienst, der üblicherweise zu dieser Portnummer gehört. Das ist dasselbe Grundverfahren, das auch professionelle Werkzeuge wie nmap nutzen, verpackt in eine Oberfläche, die Sie überall auf dem Telefon bedienen können.

Wer einen Port-Scanner nutzt

Serververwaltung

Sie haben einen Webserver aufgesetzt und wollen sicher sein, dass die Ports 80 und 443 offen sind und alles andere zu ist. Oder Sie haben gerade Ihren SSH-Port von 22 auf eine eigene Nummer umgestellt und wollen prüfen, ob er erreichbar ist. Mit PingKit führen Sie diese Prüfungen vom Telefon aus, aus jedem Netz, ohne sich erst per SSH auf eine andere Maschine zu verbinden.

Sicherheit prüfen

Verwalter und Selbsthoster nutzen Portscans, um zu sehen, was der eigene Host ins Internet stellt. PingKit zeigt Ihnen, welche Ihrer eigenen Ports erreichbar sind, damit Sie die schließen können, die Sie nicht öffnen wollten. Wenn Ihr Datenbankport im Internet hängt oder ein alter Dienst noch auf einem Port lauscht, den Sie längst geschlossen glaubten, wollen Sie das vor allen anderen wissen.

Verbindungsprobleme eingrenzen

Eine Anwendung kommt nicht auf einen Server? Bevor Sie sich in Anwendungsprotokolle stürzen, prüfen Sie, ob der Port überhaupt erreichbar ist. Zeigt PingKit den Port als gefiltert, liegt das Problem an einer Firewall oder an der Netzkonfiguration und nicht an der Anwendung. Ist der Port geschlossen, läuft der Dienst nicht. Ist er offen und die App scheitert trotzdem, liegt es an der Anwendungsebene. Ein Portscan schließt die häufigsten Ursachen in Sekunden aus.

Firewall-Regeln überprüfen

Firewall-Regeln sind schnell falsch und von innen schwer zu überprüfen. Der einzige verlässliche Weg, eine Firewall zu prüfen, ist der Test von außen. Starten Sie den Port-Scanner von PingKit auf Ihrem Telefon über Mobilfunk und sehen Sie genau, was Ihr Server oder Ihr Heimnetz ins Internet stellt. Vergleichen Sie das Ergebnis mit Ihren geplanten Regeln und schließen Sie die Lücken.

Wann ein Port-Scanner hilft

Ein Port-Scanner beantwortet eine trügerisch einfache Frage: Lauscht auf diesem Port etwas, und komme ich von hier aus daran? Diese Frage kommt ständig auf, sobald Sie zu Hause Dienste betreiben oder einen Server verwalten. Das sind die Fälle, in denen ein Port-Scanner die meiste Zeit spart.

Prüfen, ob ein Port für Spieleserver, NAS oder Plex offen ist

Wenn Sie eine Minecraft-Welt, ein Synology-NAS oder einen Plex-Medienserver selbst betreiben, muss ein bestimmter Port erreichbar sein. Plex nutzt standardmäßig TCP 32400, viele Spieleserver einen eigenen hohen Port, und die Weboberfläche eines NAS liegt oft auf 5000 oder 5001. Richten Sie PingKit auf die IP des Geräts und scannen Sie genau diesen Port. Ein offenes Ergebnis bestätigt, dass der Dienst läuft und Verbindungen annimmt; ein geschlossenes oder gefiltertes sagt Ihnen, dass der Dienst oder das Netz davor die Baustelle ist. Wenn Sie die IP des Geräts erst noch finden müssen, listet der Netzwerk-Scanner jeden Host in Ihrem Netz, dann müssen Sie die Router-Oberfläche nicht durchsuchen.

Prüfen, ob die Portweiterleitung wirklich greift

Portweiterleitung ist berüchtigt fummelig. Sie legen eine Regel im Router an, aber es gibt keine einfache Bestätigung, dass sie wirkt. Der ehrliche Test ist ein Scan Ihrer öffentlichen IP von außerhalb Ihres Heimnetzes: WLAN am Telefon ausschalten und über Mobilfunk scannen. Zeigt der weitergeleitete Port offen, greift die Regel durchgängig. Zeigt er gefiltert, ist entweder die Regel falsch, die Firewall des Hosts blockiert, oder Ihr Anbieter filtert den Port, bevor er überhaupt bei Ihnen ankommt.

Erreichbare oder riskante Dienste finden

Manchmal geht es darum, Ports zu finden, mit denen Sie nicht gerechnet haben. Eine Datenbank, die auf 3306 lauscht, eine Fernwartung, die auf 3389 im Internet hängt, oder ein altes Verwaltungsmenü, das Monate nach dem letzten Einsatz noch läuft: Genau das findet man am besten zuerst. Für einen geführten Blick auf das, was Ihr Router nach außen zeigt, nehmen Sie zusätzlich unseren Sicherheitsscan, der riskante Einstellungen automatisch markiert.

Einen Dienst eingrenzen, der keine Verbindung annimmt

Wenn eine App einen Server nicht erreicht, sagt Ihnen ein Portscan, welche Ebene schuld ist, bevor Sie Zeit mit Anwendungsprotokollen verlieren. Offen heißt, der Dienst lauscht und der Netzweg ist frei, der Fehler liegt also bei der Anwendung oder der Anmeldung. Geschlossen heißt, es lauscht nichts, der Dienst läuft also vermutlich nicht oder hängt an der falschen Adresse. Gefiltert heißt, eine Firewall steht im Weg. Drei Ergebnisse, drei sehr verschiedene Lösungen.

Eine schnelle Selbstprüfung der Sicherheit

Auch wenn Sie nicht beruflich mit Sicherheit zu tun haben, ist es gute Hygiene, den eigenen Router, das Homelab und alle betriebenen Server regelmäßig zu scannen. Auf Geräten sammeln sich mit der Zeit Dienste an, Firmware-Updates können Ports wieder öffnen, und eine Einstellung von letztem Jahr tut vielleicht nicht mehr das, was Sie glauben. Ein Scan von zwei Minuten vom Telefon aus findet die offensichtlichen Probleme mit wenig Aufwand. Guardian geht einen Schritt weiter und erklärt per KI, was jeder offene Port bedeutet, dann müssen Sie weder Portnummern auswendig können noch raten, ob etwas erreichbar sein sollte.

PingKit im Vergleich zu anderen Port-Scanner-Apps

Im App Store gibt es mehrere Port-Scanner-Apps. Wir finden, PingKit hält dem Vergleich stand, sagen aber offen, wo es hingehört. PingKit ist ein fokussierter Werkzeugkasten fürs Telefon und kein Ersatz für einen vollwertigen Desktop-Scanner wie nmap, wenn Sie tiefe, skriptgesteuerte Scans brauchen.

Wenn Sie eine einzige, werbefreie App wollen, die Ports scannt und auch das Dutzend anderer Netzwerkprüfungen erledigt, zu denen Sie in derselben Woche greifen, ist PingKit genau dafür gebaut. Wenn Sie tausende skriptgesteuerte Scans gegen eine Flotte von Servern fahren müssen, ist ein Desktop-Werkzeug die richtige Wahl, und unsere Schwester-App Noxen für den Mac, unten verlinkt, ist für genau diese Prüfung im großen Maßstab da.

Gängige Ports und was sie bedeuten

Wenn PingKit einen offenen Port meldet, benennt es den Dienst, der üblicherweise zu dieser Nummer gehört. Hier eine kurze Übersicht der Ports, die Ihnen am häufigsten begegnen. Denken Sie daran, dass jeder Dienst auf jedem Port laufen kann, das sind Konventionen und keine Garantien.

Ergebnisse eines Portscans deuten

Der Port zeigt geschlossen, obwohl der Dienst läuft

Das ist die häufigste Überraschung. Meist ist der Dienst an localhost (127.0.0.1) gebunden statt an die Netzwerkschnittstelle und nimmt deshalb nur Verbindungen von derselben Maschine an. Prüfen Sie die Listen- oder Bind-Adresse des Dienstes und stellen Sie sie auf 0.0.0.0 oder die LAN-IP um, wenn er von anderen Geräten erreichbar sein soll. Weitere Verdächtige sind eine Firewall auf dem Host oder ein Scan der falschen IP, was leicht passiert, wenn ein Gerät eine Kabel- und eine WLAN-Adresse hat.

Von der Firewall blockiert oder wirklich geschlossen

Ein geschlossener Port antwortet, dass nichts lauscht, der Scan kommt also schnell zurück. Ein von der Firewall blockierter Port verwirft das Paket meist still, der Scan zeigt deshalb gefiltert und braucht länger bis zur Zeitüberschreitung. Der Unterschied zählt: Geschlossen heißt "der Host ist da, aber dieser Dienst ist aus", gefiltert heißt "hier antwortet absichtlich niemand". Zeigt ein Port, den Sie offen erwarten, gefiltert, sehen Sie zuerst in der Firewall nach und nicht im Dienst.

Das eigene Gerät scannen oder einen entfernten Host

Beim Scan eines Geräts im eigenen WLAN nutzen Sie dessen lokale IP, und zwischen Ihnen und ihm steht nur die Firewall dieses Geräts. Beim Scan eines entfernten Hosts, oder des eigenen Heimnetzes von außen, liegen Ihr Router, Ihr Anbieter und womöglich die Firewall des Hosts dazwischen. Deshalb kann ein Port von innen offen und aus dem Internet gefiltert aussehen. Wenn Sie die Erreichbarkeit aus dem Internet prüfen, scannen Sie die öffentliche IP immer aus einem fremden Netz.

Der Anbieter sperrt eingehende Ports

Viele Anbieter für Privatkunden sperren gängige eingehende Ports, um Serverbetrieb zu Hause unattraktiv zu machen: Die Ports 25 (E-Mail), 80 und 445 werden häufig gefiltert, bevor der Verkehr Ihren Router überhaupt erreicht. Wenn ein weitergeleiteter Port hartnäckig gefiltert bleibt, egal was Sie ändern, kann Ihr Anbieter der Grund sein. Am schnellsten bestätigen Sie das, indem Sie denselben Port aus einem anderen Netz scannen; verhält er sich dort anders, liegt die Sperre auf dem Weg und nicht auf Ihrem Host.

Verantwortungsvoll scannen

Ein Portscan ist ein normales, rechtmäßiges Werkzeug für die eigenen Systeme: Ihren Router, Ihr NAS, Ihr Homelab und alle Server, die Sie verwalten. Zum Problem wird er erst, wenn er auf Systeme zielt, die Sie nicht prüfen dürfen. Scannen Sie bitte nur Netze und Hosts, die Ihnen gehören oder für die Sie ausdrücklich die Erlaubnis haben. PingKit ist für die Verwaltung eigener Netze und genehmigte Sicherheitsprüfungen gebaut, und in diesem Sinn bitten wir Sie, es zu nutzen.

Häufige Fragen

Wie prüfe ich, ob ein Port für meinen Spieleserver, mein NAS oder Plex offen ist?

Finden Sie die lokale IP des Geräts, auf dem der Dienst läuft (Plex auf 32400, die NAS-Oberfläche auf 5000 oder 5001, ein Spieleserver auf seinem eigenen Port), geben Sie diese IP in PingKit ein und scannen Sie genau diesen Port. Offen heißt, der Dienst lauscht und ist erreichbar. Wenn Sie aus dem Internet statt aus dem heimischen WLAN prüfen wollen, scannen Sie Ihre öffentliche IP, dann sehen Sie, ob die Portweiterleitung funktioniert.

Warum wird ein Port als geschlossen angezeigt, obwohl mein Dienst läuft?

Meist weil der Dienst nur an localhost gebunden ist, eine Firewall blockiert, Sie die falsche IP scannen oder der Dienst UDP nutzt, während ein TCP-Scan geschlossen meldet. Prüfen Sie Bind-Adresse und Firewall-Regeln und scannen Sie dann die tatsächliche LAN-IP des Geräts von einem anderen Gerät im selben Netz.

Was ist der Unterschied zwischen einem von der Firewall blockierten und einem geschlossenen Port?

Ein geschlossener Port weist die Verbindung aktiv ab, was Ihnen sagt, dass der Host läuft, dort aber nichts lauscht. Ein von der Firewall blockierter Port ist meist gefiltert: Die Pakete werden still verworfen, und der Scan läuft ohne Antwort in die Zeitüberschreitung. Gefiltert ist der leisere, sicherere Zustand.

Kann ich eine Portweiterleitung mit einem Port-Scanner prüfen?

Ja, das ist eine der verlässlichsten Methoden. Legen Sie die Weiterleitungsregel an und scannen Sie dann Ihre öffentliche IP von außerhalb Ihres Heimnetzes, zum Beispiel über Mobilfunk mit ausgeschaltetem WLAN. Ein offenes Ergebnis heißt, die Regel greift durchgängig; gefiltert oder geschlossen deutet auf die Regel, die Firewall des Hosts oder Ihren Anbieter.

Scannt PingKit auch UDP-Ports?

Ja, PingKit hat eine Auswahl für TCP, UDP oder beides. TCP-Connect-Scans decken die meisten Dienste ab, um die es Menschen geht: Web, SSH, Fernwartung und die meisten Medienserver nutzen TCP. UDP-Scans funktionieren anders, weil es keinen Verbindungsaufbau gibt; PingKit nutzt deshalb ICMP-Unreachable-Antworten, um geschlossene Ports von offenen oder gefilterten zu unterscheiden.

Warum zeigt mein Portscan alles als gefiltert oder läuft in eine Zeitüberschreitung?

Wenn jeder Port gefiltert zurückkommt, steckt der Host oft hinter einer Firewall, die unaufgeforderten Verkehr verwirft, das Gerät ist aus, oder Ihr Anbieter sperrt eingehende Verbindungen. Viele Privatkundenanbieter filtern Ports wie 25, 80 und 445. Probieren Sie einen Port, der offen sein sollte, und testen Sie aus einem anderen Netz, um eine Sperre des Anbieters auszuschließen.

Ist es sicher, Ports offen zu lassen?

Offene Ports sind normal, jeder Dienst hängt an einem. Das Risiko sind Ports, die Sie nicht öffnen wollten, veraltete oder falsch eingerichtete Dienste oder heikle Dienste wie Datenbanken und Fernwartung, die im Internet hängen. Das Ziel sind nicht null offene Ports, sondern dass jeder offene Port beabsichtigt, aktuell und abgesichert ist.

Erklärt PingKit, was ein offener Port bedeutet?

Der kostenlose Scanner benennt zu jedem offenen Port den üblichen Dienst. PingKit Guardian (2,99 $/Monat oder 24,99 $/Jahr) ergänzt KI-Erklärungen in klarer Sprache, was der Port tut, ob er normalerweise im Internet erreichbar ist und was Sie prüfen sollten, wenn er riskant wirkt, dazu die Überwachung rund um die Uhr durch den Mac Agent.

Soll ich einen Host scannen, der mir nicht gehört?

Nein. Scannen Sie nur Netze und Hosts, die Ihnen gehören oder für die Sie die Erlaubnis haben. Den eigenen Router, das eigene NAS, das eigene Homelab oder selbst verwaltete Server zu scannen, ist normal und rechtmäßig; fremde Systeme ohne Erlaubnis zu scannen, kann gegen Gesetze zum Computermissbrauch verstoßen.

Teil eines vollständigen Werkzeugkastens

Ein Portscan ist ein Teil des Bildes. Ergänzen Sie ihn mit dem Sicherheitsscan von PingKit für eine automatische Prüfung offener Ports, erreichbarer Dienste und riskanter Einstellungen, nutzen Sie den Netzwerk-Scanner, um jeden Host in Ihrem lokalen Netz zu finden, oder eine DNS-Abfrage, um Einträge vor dem Scan zu prüfen. Mit 19 Tools in einer App gehen Sie von der Suche über die Diagnose bis zur Kontrolle, ohne die App zu wechseln oder zum Notebook zu greifen.

Weitere Fragen

Was bedeutet ein offener Port?

Es heißt, dass auf diesem Gerät dort etwas lauscht und die Verbindung angenommen hat, die PingKit geöffnet hat. Antwortet Port 80, läuft ein Webserver, Port 22 heißt, SSH ist verfügbar. Ein offener Port ist für sich genommen kein Problem, denn jeder Dienst, den Sie nutzen, hängt an einem; entscheidend ist, ob Sie diesen einen offen haben wollten. PingKit listet nur die Ports, die geantwortet haben, und nur innerhalb des Bereichs, den Sie gescannt haben. Lesen Sie das Ergebnis also als das, was dieses Gerät Ihrem Telefon angeboten hat, und nicht als vollständige Bestandsaufnahme.

Kann ich vom iPhone aus Ports scannen?

Ja, in Ihrem eigenen Netz. Geben Sie die Adresse eines Geräts in dem Netz ein, mit dem Sie verbunden sind, wählen Sie TCP, UDP oder beides und dann eine Vorlage (die 21 wichtigsten Ports, 1 bis 1024 oder die vier Web-Ports) oder einen eigenen Bereich bis 65535. PingKit versucht eine Verbindung zu jedem Port im Bereich und listet die, die antworten, beschriftet mit dem Dienst, der üblicherweise zu dieser Nummer gehört, etwa HTTP auf 80 oder SSH auf 22. Alles außerhalb Ihres eigenen Netzes wird mit dem Hinweis abgelehnt, dass PingKit nur Geräte in Ihrem eigenen Netz scannt, auch ein Hostname, der auf eine öffentliche Adresse zeigt.

Ist Portscannen erlaubt?

Geräte zu scannen, die Ihnen gehören oder die Sie verwalten, ist normale Netzwerkverwaltung. Hosts zu scannen, für die Sie keine Erlaubnis haben, kann in vielen Ländern gegen Gesetze zum Computermissbrauch verstoßen, und genau deshalb lässt PingKit es gar nicht erst zu: Es löst das Ziel zuerst auf und lehnt jede Adresse außerhalb Ihres eigenen Netzes ab, und ein Name, der zugleich auf eine private und eine öffentliche Adresse zeigt, wird ebenfalls abgelehnt. Die einzige Ausnahme ist die Prüfung des Sicherheitsscans gegen Ihre eigene öffentliche Adresse, die beantwortet, ob Ihr Router von außen erreichbar ist.

Was ist der Unterschied zwischen offenen, geschlossenen und gefilterten Ports?

Ein offener Port hat die Verbindung angenommen, dort lauscht also etwas. Ein geschlossener Port ist erreichbar, weist die Verbindung aber aktiv ab, weil nichts lauscht. Ein gefilterter Port antwortet überhaupt nicht, was meist heißt, dass eine Firewall die Pakete still verwirft, und das ist der leisere Zustand für alles, was nicht erreichbar sein soll. PingKit listet nur die Ports, die geantwortet haben; ein Port, der in Ihrem Ergebnis fehlt, war also geschlossen oder gefiltert und nicht offen.