Wichtige Netzwerk-Ports und Firewall-Sicherheit: Welche Freigaben Ihr Unternehmen wirklich braucht – und welche besser geschlossen bleiben

In vielen Unternehmen wird über Firewalls gesprochen, als wären sie automatisch mit „IT-Sicherheit“ gleichzusetzen. Eine Firewall ist da, also ist alles in Ordnung. Genau dieser Denkfehler ist gefährlich.

Eine Firewall schützt nicht dadurch, dass sie vorhanden ist. Sie schützt dadurch, dass sie sauber konfiguriert, konsequent gepflegt und regelmäßig hinterfragt wird. Und genau an diesem Punkt beginnt in der Praxis oft das Problem: Irgendwann wurde einmal ein Port geöffnet, weil ein Dienst laufen musste. Dann kam ein zweiter hinzu. Später brauchte ein Anbieter eine Ausnahme. Ein altes Gerät bekam „vorübergehend“ eine Freigabe. Eine Software verlangte noch einen zusätzlichen Zugriff. Und ehe man sich versieht, ist aus einer klaren Regelbasis ein gewachsener Flickenteppich geworden.

Das sieht von außen ordentlich aus. In Wahrheit ist es oft eine offene Flanke.

Denn jeder geöffnete Port ist mehr als nur eine technische Einstellung. Er ist ein potenzieller Eingangspunkt in das eigene Netz. Wer Firewall-Freigaben ohne Prinzip verwaltet, erhöht die Angriffsfläche seines Unternehmens – häufig still, unbemerkt und über Jahre hinweg.

Gerade kleine und mittelständische Unternehmen unterschätzen dieses Thema. Nicht aus Nachlässigkeit, sondern weil es im Alltag selten sichtbar wird. Der Betrieb läuft, E-Mails kommen an, Server sind erreichbar, VPN funktioniert – also scheint alles zu passen. Bis der erste Vorfall zeigt, dass nicht die große Theorie das Problem war, sondern die ganz konkrete Freigabe, die längst niemand mehr sauber begründen konnte.

Warum Port-Freigaben ein Geschäftsrisiko sind

In der IT werden Ports gern technisch erklärt. Das ist korrekt, hilft Geschäftsführern aber oft nur begrenzt. Für Unternehmen ist die eigentliche Frage eine andere:

Welche Dienste müssen erreichbar sein – und welches Risiko nehmen wir dafür in Kauf?

Ein offener Port bedeutet: Ein Dienst ist erreichbar. Und jeder erreichbare Dienst muss als potenzielle Angriffsfläche betrachtet werden.

Das Risiko entsteht nicht nur dann, wenn „das Internet offen auf einen Server schauen kann“. Es entsteht schon dann, wenn:

• ein Dienst unnötig veröffentlicht ist,
• ein Protokoll veraltet oder unsicher ist,
• die Gegenseite schwach abgesichert ist,
• eine Freigabe seit Jahren nicht geprüft wurde,
• ein Hersteller eine Ausnahme verlangt und niemand sie später zurücknimmt,
• oder wenn niemand mehr nachvollziehen kann, warum eine Regel überhaupt existiert.

Eine Firewall-Regel ist damit nie nur ein Häkchen in einer Konfiguration. Sie ist immer auch eine Sicherheits- und Haftungsentscheidung.

Das Grundprinzip: Nicht „möglichst viel erlauben“, sondern „nur das Nötige zulassen“

Professionelle Firewall-Strategien folgen einem einfachen Grundsatz:

So wenig wie möglich, so viel wie nötig.

Das klingt selbstverständlich, wird aber in vielen Umgebungen nicht konsequent gelebt. Statt klarer Minimalfreigaben gibt es häufig historisch gewachsene Regelwerke. Dann finden sich noch alte Portweiterleitungen für ehemalige Softwarestände, pauschale Ausnahmen für ganze Netze oder Regeln, die niemand mehr anfassen möchte, weil „sonst etwas kaputtgehen könnte“.

Genau das ist der Punkt, an dem IT-Sicherheit ihre Schärfe verliert.

Eine gute Firewall-Konfiguration zeichnet sich nicht dadurch aus, dass sie besonders komplex ist. Sie zeichnet sich dadurch aus, dass jede Freigabe begründet, dokumentiert und technisch sauber abgesichert ist.

Die wichtigsten Netzwerk-Ports – fachlich eingeordnet

Die folgende Einordnung orientiert sich an den typischen Ports, die in Unternehmen immer wieder eine Rolle spielen. Wichtig dabei: Es geht nicht darum, starre Pauschalurteile zu fällen. Es geht darum, die richtige Frage zu stellen: Brauchen wir diesen Port wirklich – und wenn ja, unter welchen Bedingungen?

Port 80 – HTTP

Port 80 steht für unverschlüsseltes HTTP. In vielen Umgebungen hat dieser Port heute nur noch eine sehr begrenzte Berechtigung.

Wenn eine Website oder ein Dienst öffentlich erreichbar sein soll, dann sollte der eigentliche produktive Verkehr in der Regel über HTTPS laufen – also über Port 443. Port 80 kann dann maximal noch dafür genutzt werden, Anfragen sauber auf HTTPS umzuleiten.

Ein offen erreichbarer HTTP-Dienst ohne TLS ist aus heutiger Sicht kein sauberer Standard mehr. Wer ihn aktiv nutzt, muss gute Gründe dafür haben.

Praxisbewertung: Nur dann offenhalten, wenn eine definierte Weiterleitung oder ein technischer Sonderfall wirklich erforderlich ist.

Port 443 – HTTPS

Port 443 ist in Unternehmen einer der wichtigsten Ports überhaupt. Über ihn laufen abgesicherte Webdienste – Kundenportale, Cloud-Anwendungen, Weboberflächen, Microsoft-365-Zugriffe, Remote-Portale, API-Kommunikation und vieles mehr.

Aber auch hier gilt: Ein offener Port 443 ist nicht automatisch „sicher“, nur weil HTTPS verwendet wird. Wenn die Webanwendung dahinter unsauber entwickelt, schlecht gepatcht oder falsch veröffentlicht ist, dann bleibt die Angriffsfläche bestehen.

Praxisbewertung: In vielen Fällen notwendig – aber nur zusammen mit sauberem Zertifikatsmanagement, Härtung, Updates und einer klaren Freigabestrategie.

Port 21 – FTP

FTP ist ein Klassiker, aber sicherheitstechnisch problematisch. Das Protokoll ist alt, in vielen Varianten unverschlüsselt und aus moderner Sicht nur noch eingeschränkt vertretbar.

Wenn irgendwo noch klassisches FTP verwendet wird, sollte das ein Warnsignal sein. In vielen Fällen lässt sich der Anwendungsfall auf SFTP, FTPS oder andere sichere Verfahren umstellen.

Praxisbewertung: Standardmäßig kritisch. Wenn möglich ersetzen. Eine pauschale Freigabe gehört nicht in ein zeitgemäßes Sicherheitskonzept.

Port 990 – FTPS

FTPS ist die verschlüsselte Variante im FTP-Umfeld und deutlich besser als klassisches FTP. Trotzdem sollte auch hier nicht nur das Protokoll betrachtet werden, sondern der komplette Einsatzzweck.

Wer FTPS nutzt, sollte sauber prüfen:

• Wer darf zugreifen?
• Aus welchen Netzen?
• Wie werden Konten abgesichert?
• Gibt es eine Protokollierung?
• Ist die Freigabe wirklich dauerhaft nötig?

Praxisbewertung: Technisch vertretbar, wenn der Anwendungsfall klar ist und sauber abgesichert wird.

Port 22 – SSH

Port 22 für SSH ist leistungsfähig, aber heikel. Er wird für sichere Remote-Zugriffe, Serveradministration, Dateiübertragung per SFTP und weitere Verwaltungsaufgaben genutzt.

Gerade deshalb ist er ein beliebtes Ziel für automatisierte Angriffe, Passwortspraying und unsaubere Freigaben.

SSH gehört nicht pauschal „offen ins Internet“. Wenn SSH benötigt wird, sollte der Zugriff so eng wie möglich begrenzt werden – etwa durch feste Quell-IP-Adressen, VPN-Vorschaltung, Schlüssel-Authentifizierung, Deaktivierung von Passwort-Logins und konsequente Überwachung.

Praxisbewertung: Nur bei echtem Bedarf freigeben. Niemals bequem, immer bewusst.

Port 23 – Telnet

Telnet ist aus heutiger Sicht in produktiven Unternehmensumgebungen in aller Regel nicht mehr vertretbar. Das Protokoll überträgt Daten unverschlüsselt und gehört in sicherheitskritischen Bereichen nicht mehr zum akzeptablen Standard.

Wenn Telnet noch irgendwo aktiv ist, sollte das ein sofortiger Prüfpunkt sein.

Praxisbewertung: Standardmäßig schließen. Wenn ein Altgerät Telnet zwingend benötigt, muss der gesamte Einsatzzweck kritisch bewertet und segmentiert werden.

Port 25 – SMTP

Port 25 spielt im Mail-Umfeld weiterhin eine Rolle – allerdings muss sehr genau unterschieden werden, wofür er genutzt wird.

Für den Server-zu-Server-Transport ist Port 25 weiterhin relevant. Für Client-Kommunikation ist er hingegen häufig nicht mehr die richtige Wahl. Hier kommen je nach Szenario eher Submission-Ports oder moderne Provider-Anbindungen infrage.

Praxisbewertung: Nicht pauschal öffnen. Nur für klar definierte Mail-Rollen und sauber dokumentierte Kommunikationswege.

Port 110 – POP3

POP3 ist funktional, aber im Unternehmensumfeld häufig kein zukunftsfähiger Standard mehr – vor allem dann nicht, wenn es unverschlüsselt betrieben wird.

Wo POP3 noch im Einsatz ist, sollte geprüft werden, ob der Dienst tatsächlich noch gebraucht wird oder ob moderne Mailarchitektur längst die bessere Lösung wäre.

Praxisbewertung: Eher kritisch. In vielen Unternehmen heute verzichtbar oder ersetzbar.

Port 143 – IMAP

IMAP ist für Mailabrufe nach wie vor verbreitet. Entscheidend ist aber auch hier nicht nur der Port an sich, sondern die sichere Einbettung.

Unverschlüsselte oder unnötig veröffentlichte IMAP-Dienste sind vermeidbare Risiken. Wenn IMAP genutzt wird, sollte dies sauber abgesichert und auf den tatsächlichen Bedarf begrenzt sein.

Praxisbewertung: Nur im sauberen Gesamtkonzept freigeben. Nicht aus Gewohnheit.

Port 53 – DNS

DNS ist essenziell. Ohne Namensauflösung funktioniert moderne IT praktisch nicht sinnvoll. Genau deshalb wird Port 53 oft als selbstverständlich betrachtet – und genau deshalb wird er in vielen Umgebungen zu wenig hinterfragt.

Die eigentliche Frage lautet nicht, ob DNS gebraucht wird. Die Frage lautet: Wer darf welche DNS-Anfragen an wen stellen?

Eine saubere DNS-Strategie kann viel Sicherheitsgewinn bringen – etwa durch definierte Resolver, Filtermechanismen und Segmentierung.

Praxisbewertung: Notwendig, aber gezielt kontrollieren. Nicht jede Quelle muss jeden DNS-Weg nutzen dürfen.

Port 67 – DHCP

DHCP ist intern oft unverzichtbar. Öffentlich oder unnötig breit freigegeben sollte dieser Dienst selbstverständlich nicht sein.

Gerade bei internen Netzsegmenten ist wichtig, dass DHCP nur dort läuft, wo er wirklich hingehört. Falsch platzierte oder unkontrollierte DHCP-Strukturen können Fehlkonfigurationen und Sicherheitsprobleme begünstigen.

Praxisbewertung: Interner Standarddienst – aber sauber segmentieren und keinesfalls unkontrolliert behandeln.

Port 161 – SNMP

SNMP wird für Monitoring und Management eingesetzt. Das ist legitim – aber auch riskant, wenn Version, Zugriff und Reichweite nicht sauber eingeschränkt werden.

Offenes oder schlecht abgesichertes SNMP ist in der Praxis immer wieder ein Problem, weil darüber wertvolle Informationen über Infrastruktur und Geräte abgegriffen werden können.

Praxisbewertung: Nur dann nutzen, wenn Monitoring tatsächlich erforderlich ist – und dann möglichst restriktiv, modern und sauber abgesichert.

Wo Unternehmen in der Praxis Fehler machen

Die größten Probleme entstehen selten durch spektakuläre Technikfehler. Sie entstehen meist durch Gewohnheit.

1. Regeln bleiben bestehen, obwohl der Bedarf längst weg ist

Die Freigabe wurde einmal gesetzt, weil ein System sie brauchte. Jahre später ist das System ersetzt, der Port aber noch offen. Solche Altlasten sind in vielen Netzwerken häufiger, als man glaubt.

2. Dienste werden nach außen veröffentlicht, obwohl ein VPN die sauberere Lösung wäre

Viele Unternehmen öffnen Dienste direkt, obwohl ein vorgelagerter, sauber gesicherter Zugriff deutlich besser wäre. Gerade bei Administration, Dateitransfer oder internen Anwendungen ist das ein klassischer Fehler.

3. Alte Protokolle laufen weiter, weil „es schon immer so war“

FTP, Telnet oder historisch gewachsene Mail-Anbindungen verschwinden nicht von allein. Sie werden nur ersetzt, wenn jemand das Thema aktiv anpackt.

4. Niemand prüft die Firewall mit dem Blick des Angreifers

Intern weiß oft jeder ungefähr, was „eigentlich gemeint“ ist. Ein Angreifer sieht das anders: Für ihn zählt nur, was erreichbar ist. Nicht was gedacht war.

5. Es fehlt die Verbindung zwischen Technik und Geschäftsverantwortung

Firewall-Regeln sind nicht nur Sache der IT-Abteilung. Sie betreffen Datenschutz, Verfügbarkeit, Geschäftsprozesse und im Ernstfall auch Haftungsfragen. Wer diese Ebene ausblendet, denkt zu klein.

Was eine saubere Firewall-Strategie in Unternehmen ausmacht

Eine tragfähige Firewall-Strategie ist keine Sammlung zufälliger Regeln, sondern ein Sicherheitskonzept mit klarer Linie.

Dazu gehören aus unserer Sicht mindestens diese Punkte:

Klare Regelbasis

Jede Freigabe muss begründet sein. Wer den Zweck einer Regel nicht sauber erklären kann, sollte sie nicht dauerhaft bestehen lassen.

Dokumentation

Zu jeder relevanten Freigabe sollte nachvollziehbar sein:

• welcher Dienst dahintersteht,
• wer ihn benötigt,
• aus welchen Netzen er erreichbar sein muss,
• ob die Freigabe intern oder extern gilt,
• und wer die Verantwortung dafür trägt.

Regelmäßige Überprüfung

Firewall-Regeln sind keine Einmalentscheidung. Sie müssen geprüft werden – gerade nach Softwarewechseln, Infrastrukturprojekten, Anbieterwechseln oder Sicherheitsvorfällen.

Netzsegmentierung

Nicht jeder Dienst muss überall erreichbar sein. Gute Segmentierung reduziert seitliche Bewegungen im Netzwerk und macht Angriffe deutlich schwerer.

Sichere Alternativen bevorzugen

Wo sichere Protokolle, VPN-Zugänge, moderne Transportwege oder Zero-Trust-ähnliche Ansätze möglich sind, sollten diese bevorzugt werden.

Monitoring und Transparenz

Wer nicht weiß, welche Dienste tatsächlich kommunizieren, arbeitet im Blindflug. Gute IT-Sicherheit braucht Sichtbarkeit – nicht nur gute Absichten.

Die eigentliche Frage lautet: Wie viele Freigaben in Ihrer Umgebung sind wirklich noch gerechtfertigt?

Genau an diesem Punkt wird es für viele Unternehmen unbequem. Nicht, weil sie „schlechte IT“ hätten. Sondern weil in fast jeder gewachsenen Umgebung Themen liegen bleiben, die im Tagesgeschäft niemand mit der nötigen Konsequenz aufräumt.

Und genau dort beginnt der Wert einer sauberen externen Sicht.

Ein strukturiertes Review der Firewall-Regeln bringt in der Regel sehr schnell Klarheit:

• Welche Ports sind wirklich erforderlich?
• Welche Regeln sind historisch gewachsen?
• Welche Freigaben sind unnötig riskant?
• Wo fehlen Dokumentation und Verantwortlichkeit?
• Welche Dienste sollten besser über andere Wege bereitgestellt werden?
• Wo besteht unmittelbarer Handlungsbedarf?

Das ist keine theoretische Sicherheitsübung. Das ist ganz konkrete Risikoreduzierung.

Unsere Empfehlung für den Mittelstand

Wer seine Firewall-Regeln seit längerer Zeit nicht aktiv geprüft hat, sollte dieses Thema nicht auf die lange Bank schieben.

Gerade im Mittelstand sehen wir immer wieder dieselben Muster:

• zu viele Altfreigaben,
• zu wenig Dokumentation,
• zu viel Vertrauen in alte Gewohnheiten,
• und zu wenig systematische Überprüfung.

Die gute Nachricht: Das lässt sich ordnen.

Nicht mit Aktionismus. Nicht mit Panik. Sondern mit einer sauberen Bestandsaufnahme, fachlicher Bewertung und einer klaren Sicherheitslinie.

Fazit: Offene Ports sind kein Nebenthema

Port-Freigaben entscheiden mit darüber, wie angreifbar ein Unternehmen ist. Wer dieses Thema nur als technische Nebensache behandelt, übersieht einen zentralen Teil seiner Sicherheitsarchitektur.

Die entscheidende Frage ist nicht, ob Ihre Firewall „da“ ist. Die entscheidende Frage ist, ob Ihre Regeln fachlich sauber, technisch sinnvoll und noch zeitgemäß sind.

Wenn Sie das heute nicht mit Überzeugung beantworten können, dann ist genau jetzt der richtige Zeitpunkt für eine strukturierte Prüfung.

EDV Systeme Donner unterstützt Unternehmen dabei, Firewall-Regeln, veröffentlichte Dienste und unnötige Angriffsflächen sauber zu bewerten und auf ein tragfähiges Sicherheitsniveau zu bringen.

Wenn Sie wissen möchten, welche Freigaben in Ihrer Umgebung wirklich notwendig sind – und welche Sie besser schließen sollten –, sprechen Sie mit uns.

Oft beginnt bessere IT-Sicherheit nicht mit neuer Technik, sondern mit der ehrlichen Frage, was eigentlich seit Jahren offen ist.