Ports und Protokolle: TCP, UDP und die wichtigsten Portnummern

Wenn Daten durch ein Netzwerk reisen, reicht eine IP-Adresse allein nicht aus. Sie sagt nur, welches Gerät gemeint ist – nicht, welcher Dienst darauf angesprochen werden soll. Genau dafür gibt es Ports. Sie sind die nummerierten Türen eines Geräts, hinter denen jeweils ein bestimmter Dienst lauscht. Wer Ports und die Transportprotokolle TCP und UDP versteht, durchschaut Firewalls, Port-Forwarding und viele Netzwerkprobleme auf einen Schlag.

Was ein Port eigentlich ist

Stell dir ein Mehrfamilienhaus vor: Die IP-Adresse ist die Hausnummer, der Port die Wohnungsnummer. Ein einzelner Server kann gleichzeitig eine Webseite ausliefern, E-Mails verschicken und einen Datenbankdienst betreiben – jeder dieser Dienste hört auf einem eigenen Port. Eine vollständige Verbindung wird daher immer durch die Kombination aus IP-Adresse und Port definiert, den sogenannten Socket (etwa 192.168.1.10:443).

Portnummern sind 16 Bit groß, es gibt also 65.536 davon (0 bis 65535). Die IANA (Internet Assigned Numbers Authority) teilt sie in drei Bereiche:

• Well-known Ports (0–1023): Fest vergebene Standardports für etablierte Dienste wie HTTP oder SSH.
• Registered Ports (1024–49151): Bei der IANA registrierte Ports für bestimmte Anwendungen.
• Dynamic/Private Ports (49152–65535): Frei nutzbar, oft für die kurzlebigen Quellports einer Verbindung.

TCP und UDP: zwei Wege durchs Netz

Über den Ports liegen die beiden wichtigsten Transportprotokolle. Sie bestimmen, wie Daten übertragen werden.

TCP – zuverlässig und geordnet

TCP (Transmission Control Protocol) ist verbindungsorientiert. Bevor Daten fließen, handeln beide Seiten per Drei-Wege-Handshake (SYN, SYN-ACK, ACK) eine Verbindung aus. TCP garantiert, dass alle Pakete ankommen, und zwar in der richtigen Reihenfolge: Geht etwas verloren, wird es erneut gesendet. Diese Zuverlässigkeit kostet etwas Geschwindigkeit, ist aber überall dort entscheidend, wo Vollständigkeit zählt – etwa beim Laden von Webseiten, beim Versenden von E-Mails oder bei Dateiübertragungen.

UDP – schnell und schlank

UDP (User Datagram Protocol) ist verbindungslos. Es verschickt Pakete einfach los, ohne Handshake und ohne Empfangsbestätigung. Geht ein Paket verloren, wird es nicht automatisch wiederholt. Dafür ist UDP schnell und latenzarm – ideal für Anwendungen, bei denen Tempo wichtiger ist als absolute Vollständigkeit: Live-Streaming, Online-Spiele, Sprach- und Videoanrufe sowie DNS-Anfragen.

Kurz gesagt: TCP ist wie ein Einschreiben mit Empfangsbestätigung, UDP wie eine Postkarte, die schnell rausgeht, aber auch mal verloren gehen darf.

Die wichtigsten Portnummern auf einen Blick

Einige Ports begegnen dir ständig. Diese Liste deckt die gebräuchlichsten ab:

• 20 / 21 (TCP): FTP – Dateiübertragung.
• 22 (TCP): SSH – verschlüsselte Fernwartung und sichere Dateiübertragung (SFTP).
• 25 (TCP): SMTP – Versand von E-Mails zwischen Servern.
• 53 (TCP/UDP): DNS – Namensauflösung, meist über UDP.
• 80 (TCP): HTTP – unverschlüsselter Webverkehr.
• 123 (UDP): NTP – Zeitsynchronisation.
• 143 (TCP): IMAP – Abruf von E-Mails vom Server.
• 443 (TCP): HTTPS – verschlüsselter Webverkehr, heute der Standard.
• 465 / 587 (TCP): SMTP über TLS – sicherer Mailversand.
• 993 (TCP): IMAP über TLS – sicherer Mailabruf.
• 3306 (TCP): MySQL/MariaDB – Datenbankzugriff.
• 3389 (TCP): RDP – Remote Desktop unter Windows.
• 5432 (TCP): PostgreSQL – Datenbankzugriff.
• 51820 (UDP): WireGuard – VPN-Standardport.

Diese Standardzuordnung ist eine Konvention, kein Naturgesetz. Ein Webserver kann auch auf Port 8080 lauschen, SSH auf einem anderen Port als 22 – Letzteres wird sogar oft empfohlen, um automatisierte Angriffe zu reduzieren.

Port-Forwarding: Dienste von außen erreichbar machen

In einem Heimnetz hinter NAT sind deine Geräte von außen normalerweise nicht direkt erreichbar. Möchtest du dennoch von unterwegs auf einen eigenen Server, eine NAS oder eine Kamera zugreifen, brauchst du Port-Forwarding (Portfreigabe) im Router. Dabei legst du fest: Eingehende Verbindungen auf einen bestimmten externen Port werden an ein bestimmtes internes Gerät und dessen Port weitergeleitet.

Beispiel: Du betreibst eine selbstgehostete Anwendung auf 192.168.1.50:8096 und möchtest sie über HTTPS aus dem Internet erreichen. Dann leitest du den externen Port 443 auf 192.168.1.50:8096 weiter. Drei Dinge sind dabei wichtig:

1. Feste interne Adresse: Das Zielgerät sollte eine feste IP haben (per DHCP-Reservierung), damit die Freigabe nicht ins Leere läuft.
2. Nur das Nötigste öffnen: Jeder offene Port ist eine potenzielle Angriffsfläche. Öffne ausschließlich, was du wirklich brauchst.
3. Sicherheit am Dienst selbst: Ein nach außen offener Port verlangt aktuelle Software, Verschlüsselung und starke Zugangsdaten.

Eine deutlich sicherere Alternative zu offenen Ports ist häufig ein VPN-Tunnel ins Heimnetz – wie das geht, zeigt unser Beitrag zu WireGuard VPN einrichten. Damit musst du gar keine Dienste direkt ins Internet stellen.

Offene Ports prüfen

Zu wissen, welche Ports auf deinen Geräten offen sind, ist die Grundlage jeder Absicherung. Dafür gibt es einfache Werkzeuge:

• Auf dem eigenen Rechner: Unter Windows zeigt netstat -an alle aktiven Verbindungen und lauschenden Ports, unter Linux/macOS leistet ss -tuln dasselbe.
• Im Netzwerk: Ein Portscanner wie nmap findet offene Ports auf anderen Geräten – nur im eigenen Netz und mit Erlaubnis einsetzen.
• Den Datenverkehr im Detail: Wer sehen will, was über welchen Port wirklich läuft, nutzt einen Paketanalysator. Unser Artikel zu Wireshark erklärt das Schritt für Schritt.

Findest du einen offenen Port, dessen Dienst du nicht zuordnen kannst, lohnt eine genauere Untersuchung – unbekannte lauschende Dienste sind ein klassisches Warnsignal.

Ports und Sicherheit

Ports sind ein zentraler Hebel für die Netzwerksicherheit. Eine Firewall arbeitet maßgeblich über Portregeln: Sie entscheidet, welche Ports von wo erreichbar sein dürfen. Das Grundprinzip lautet immer Minimalprinzip – nur das öffnen, was zwingend nötig ist, und alles andere blockieren.

Besonders heikel sind Dienste, die ungeschützt nach außen erreichbar sind: ein offener Datenbankport ohne Passwort, ein RDP-Zugang ohne zusätzliche Absicherung oder ein veralteter Dienst mit bekannten Lücken. Wer mehr zur Funktionsweise von Firewalls wissen möchte, findet das in unserem Beitrag zu den Firewall-Grundlagen. Und für starke Zugangsdaten zu deinen Diensten hilft der Passwort-Generator aus unseren Webtools.

Häufige Fragen

Was ist der Unterschied zwischen einem offenen und einem geschlossenen Port?

Ein offener Port hat einen Dienst, der aktiv auf Verbindungen wartet. Ein geschlossener Port weist Verbindungsversuche ab. Eine Firewall kann Ports zusätzlich "gefiltert" erscheinen lassen, indem sie Anfragen einfach verwirft, ohne zu antworten – dann ist von außen gar nicht erkennbar, ob dort etwas läuft.

Warum nutzt mein Browser Port 443 und nicht 80?

Port 80 ist für unverschlüsseltes HTTP, Port 443 für verschlüsseltes HTTPS. Da heute praktisch alle Webseiten Verschlüsselung verwenden, läuft der Großteil des Webverkehrs über 443. Viele Seiten leiten Aufrufe von Port 80 automatisch auf 443 um.

Ist es gefährlich, einen Port im Router freizugeben?

Es kann sein. Eine Portfreigabe macht einen internen Dienst aus dem Internet erreichbar – inklusive aller Angreifer. Gefährlich wird es vor allem bei veralteter Software, schwachen Passwörtern oder unnötig vielen offenen Ports. Mit aktueller Software, Verschlüsselung und dem Minimalprinzip lässt sich das Risiko stark begrenzen; ein VPN ist oft die bessere Wahl.

Kann ich den Standardport eines Dienstes ändern?

Ja, die meisten Dienste lassen sich auf einen beliebigen freien Port konfigurieren. Das ändert nichts an der Sicherheit im eigentlichen Sinne, reduziert aber den Lärm durch automatisierte Scans, die meist nur die Standardports abklopfen.

Brauchen TCP und UDP getrennte Freigaben?

Ja. Ein Port 53 TCP und ein Port 53 UDP sind technisch zwei verschiedene Einträge. Manche Dienste – etwa DNS – nutzen beide, und Firewalls behandeln sie separat. Achte deshalb beim Konfigurieren darauf, das richtige Protokoll auszuwählen.