Häufige Netzwerk-Ports — TCP & UDP Referenz

Wichtige Netzwerk-Ports auf einen Blick

Die folgende Tabelle listet die am häufigsten genutzten Well-Known-Ports (0–1023) und ausgewählte Registered-Ports (1024–49151) mit Dienst, Transport-Protokoll, Verschlüsselungs-Status und kurzem Hinweis. Um zu prüfen, ob ein konkreter Port auf einem Host erreichbar ist: Port-Scanner öffnen.

System / Remote-Zugriff

Port	Protokoll	Dienst	Verschlüsselt	Hinweis
22	TCP	SSH	✅	Standard für Linux-Remote-Login, SCP, SFTP
23	TCP	Telnet	❌	Klartext-Login — sollte deaktiviert sein
3389	TCP/UDP	RDP	✅	Windows Remote Desktop
5900	TCP	VNC	⚠	Verschlüsselung optional, oft nur via SSH-Tunnel
5985/5986	TCP	WinRM (HTTP/HTTPS)	⚠/✅	PowerShell-Remoting

Web & API

Port	Protokoll	Dienst	Verschlüsselt	Hinweis
80	TCP	HTTP	❌	Sollte auf HTTPS umleiten
443	TCP/UDP	HTTPS / HTTP-3 (QUIC)	✅	UDP/443 für HTTP/3
8080	TCP	HTTP-Alt	❌	Proxies, Dev-Server
8443	TCP	HTTPS-Alt	✅	Admin-Panels
3000	TCP	Node.js, Grafana	⚠	Dev-Default
5000	TCP	Flask, Various	⚠	Dev-Default

E-Mail

Port	Protokoll	Dienst	Verschlüsselt	Hinweis
25	TCP	SMTP (MX-Relay)	STARTTLS	Server-zu-Server-Mail
587	TCP	SMTP-Submission	STARTTLS	Client → Server (Pflicht-Auth)
465	TCP	SMTPS	✅ (Implicit-TLS)	Alternative zu 587
110	TCP	POP3	STARTTLS	Veraltet
995	TCP	POP3S	✅
143	TCP	IMAP	STARTTLS
993	TCP	IMAPS	✅	Empfohlen

Datei-Transfer

Port	Protokoll	Dienst	Verschlüsselt	Hinweis
20/21	TCP	FTP (Data/Control)	❌	Veraltet; SFTP (22) oder FTPS bevorzugen
22	TCP	SFTP	✅	Subsystem über SSH
990	TCP	FTPS (Implicit)	✅
989	TCP	FTPS-Data	✅
445	TCP	SMB	⚠	SMB 3.0+ verschlüsselt; SMBv1 deaktivieren
2049	TCP/UDP	NFS	⚠	Krb5 für Auth verwenden

Datenbanken

Port	Protokoll	Dienst	Verschlüsselt	Hinweis
1433	TCP	MS SQL Server	⚠	TLS aktivierbar
3306	TCP	MySQL / MariaDB	⚠	TLS empfohlen
5432	TCP	PostgreSQL	⚠	TLS via `ssl=on`
6379	TCP	Redis	⚠	Auth + TLS pflicht
27017	TCP	MongoDB	⚠	TLS empfohlen
9200/9300	TCP	Elasticsearch	⚠	Niemals offen ins Internet

DNS / DHCP / Verzeichnis

Port	Protokoll	Dienst	Verschlüsselt	Hinweis
53	TCP/UDP	DNS	❌	UDP < 512 Byte, sonst TCP
853	TCP/UDP	DNS over TLS / QUIC	✅	DoT / DoQ
443	TCP	DNS over HTTPS (DoH)	✅	Resolver-Default in Browsern
67/68	UDP	DHCP (Server/Client)	❌
389	TCP	LDAP	STARTTLS
636	TCP	LDAPS	✅
88	TCP/UDP	Kerberos	✅ (intern)

Realtime / Messaging / Gaming

Port	Protokoll	Dienst	Hinweis
5060	TCP/UDP	SIP	VoIP-Signalling
5061	TCP	SIPS	TLS-SIP
5222	TCP	XMPP-Client	Jabber, Matrix-Brücken
5269	TCP	XMPP-Server
1883	TCP	MQTT	IoT-Broker
8883	TCP	MQTT-TLS
6667	TCP	IRC
25565	TCP	Minecraft
27015	UDP	Source-Games	CS, TF2, Garry's Mod
3478	UDP	STUN	WebRTC

Tunnel / VPN

Port	Protokoll	Dienst	Hinweis
1194	UDP	OpenVPN	Default
51820	UDP	WireGuard	Default
500	UDP	IKE (IPsec)
4500	UDP	IPsec NAT-T
1701	UDP	L2TP
1723	TCP	PPTP	Unsicher, vermeiden

Monitoring / Management

Port	Protokoll	Dienst	Hinweis
161/162	UDP	SNMP / Trap	Public-Community vermeiden
9090	TCP	Prometheus
3000	TCP	Grafana
9100	TCP	Node-Exporter
5601	TCP	Kibana

Was bedeuten Well-Known / Registered / Dynamic?

Bereich	Nummer	Vergabe
Well-Known Ports	0 – 1023	Durch IANA reserviert für Standarddienste (root-only auf Linux)
Registered Ports	1024 – 49151	Durch IANA für Anwendungen registrierbar
Dynamic / Ephemeral	49152 – 65535	Vom Client temporär zugewiesen

Sicherheits-Faustregeln

Klartext-Protokolle (Telnet, FTP, HTTP, POP3, IMAP, SNMPv2) niemals offen ins Internet stellen.
Datenbank-Ports (1433, 3306, 5432, 6379, 27017, 9200) gehören hinter Firewall/VPN — sehr häufig Ziel von Internet-Scans.
SMBv1 deaktivieren (445/TCP) — anfällig für WannaCry & Co.
PPTP (1723) ist gebrochen — durch WireGuard oder OpenVPN ersetzen.
SSH (22): Key-only-Auth, fail2ban, Port-Knocking oder Wechsel auf höheren Port reduzieren Bot-Traffic.

Tools & Weiterführendes

Port-Scanner — prüfen, welche Ports auf einem Host offen sind
HTTP-Header-Check — Web-Server-Konfiguration analysieren
SSL-Check — Zertifikat und TLS-Version auf Port 443 testen
Artikel: Ports und Firewalls verstehen
Artikel: HTTP-Header Best Practices
Glossar: TCP, UDP, Port, Firewall