Was sollte von außen erreichbar sein?

Jeder offene Port ist eine Tür. Die Frage ist nicht „was ist offen?“, sondern „was muss offen sein?“.

Prüfen: den eigenen Anschluss mit dem Port-Check, eigene Server mit dem Port-Scan (Premium).

Typisch in Ordnung

Port	Dienst	Hinweis
80, 443	Webserver	80 nur zur Weiterleitung auf HTTPS
25	Mailserver (Empfang)	nur auf dem Mailserver selbst
465, 587	Mailversand für Nutzer	mit Anmeldung
993	IMAP mit TLS	statt 143 ohne TLS
51820/udp	WireGuard	VPN statt vieler einzelner Dienste

Nie direkt ins Internet

Port	Dienst	Warum
3389	Remotedesktop (RDP)	einer der häufigsten Einbruchswege für Ransomware
445, 139	Windows-Freigaben (SMB)	Würmer wie WannaCry
5900	VNC	oft schwache oder keine Passwörter
3306, 5432, 1433, 27017, 6379	Datenbanken	Datenabfluss, oft ohne Anmeldung erreichbar
8006, 9090, …	Verwaltungsoberflächen (Proxmox, Cockpit, Router)	Lücken in solchen Oberflächen werden gezielt gesucht

Für den Zugriff von außen: VPN (WireGuard, OpenVPN, IPsec) und die Dienste nur dahinter erreichbar machen.

SSH

Wenn SSH offen sein muss:

nur Schlüssel, keine Passwörter (PasswordAuthentication no)
kein direkter Root-Login (PermitRootLogin no)
Fail2ban oder ähnliches gegen Durchprobieren
wenn möglich nur von bekannten IPs erlauben

IPv6 nicht vergessen

Viele Router leiten IPv4 per Portfreigabe weiter, öffnen IPv6 aber über eine eigene Firewall-Regel. Ein Gerät kann also per IPv6 erreichbar sein, obwohl IPv4 dicht ist. Den Port-Check über ip6.ngosu-corp.de/ports laufen lassen.