Portscanner-App fürs iPhone

Was der Port-Scanner von PingKit macht

Der Port-Scanner von PingKit versucht eine Verbindung zu jedem Port eines Bereichs auf einem Gerät in Ihrem eigenen Netz und listet die Ports, die geantwortet haben, jeweils mit dem Dienst, der auf dieser Nummer üblich ist, sofern es ein bekannter Port ist. Ein UDP-Port, der nichts zurückschickt, steht ebenfalls in der Liste, weil sich bei UDP ein offener Port nicht von einem gefilterten unterscheiden lässt. Adressen außerhalb Ihres eigenen Netzes lehnt er ab, ebenso einen Hostnamen, der zu einer öffentlichen Adresse auflöst: PingKit scannt nur Geräte in Ihrem eigenen Netz. Es ist dieselbe Grundtechnik (ein TCP-Connect-Scan), die Desktop-Werkzeuge wie nmap verwenden, in einer Oberfläche, die Sie vom Telefon aus bedienen.

Fragen Sie Siri. Sagen Sie „Port-Scan mit PingKit starten“. Für die Kurzbefehle gilt dieselbe Regel wie für das Werkzeug: gescannt wird ausschließlich eine Adresse in Ihrem eigenen lokalen Netzwerk. Die Phrase ist eingerichtet, sobald PingKit installiert ist, Sie müssen nichts konfigurieren, und die Antwort kommt zurück, ohne dass die App sich öffnet.

Wer einen Port-Scanner nutzt

Homelab und Serververwaltung

Sie haben einen Server in Ihrem Netz eingerichtet und wollen bestätigen, dass die Ports 80 und 443 antworten und alles andere still bleibt. Oder Sie haben SSH von 22 auf einen eigenen Port verlegt und wollen das prüfen. PingKit erledigt diese Prüfungen vom Telefon aus, solange es im selben Netz ist, ohne dass Sie sich erst per SSH auf einem anderen Rechner anmelden.

Das eigene Netz prüfen

Wer selbst Dienste betreibt, sieht mit einem Portscan, was jedes eigene Gerät im lokalen Netz anbietet, und kann schließen, was nicht offen sein sollte. Antwortet eine Datenbank auf 3306 oder lauscht ein alter Dienst noch auf einem Port, den Sie für geschlossen hielten, zeigt ein Scan das. Ob etwas aus dem Internet erreichbar ist, ist eine andere Frage, und dafür prüft der Sicherheitsscan Ihre eigene öffentliche Adresse auf 22, 23, 80, 443, 3389, 5900 und 8080 und listet weitere Ports, die eine öffentliche Datenbank dort offen gesehen hat.

Verbindungsprobleme eingrenzen

Eine Anwendung kommt nicht auf einen Server? Bevor Sie sich in Anwendungsprotokolle stürzen, prüfen Sie, ob der Port überhaupt erreichbar ist. Zeigt PingKit den Port als gefiltert, liegt das Problem an einer Firewall oder an der Netzkonfiguration und nicht an der Anwendung. Ist der Port geschlossen, läuft der Dienst nicht. Ist er offen und die App scheitert trotzdem, liegt es an der Anwendungsebene. Ein Portscan schließt die häufigsten Ursachen in Sekunden aus.

Firewall-Regeln überprüfen

Firewall-Regeln sind schnell falsch gesetzt. Vom Telefon im selben Netz aus sehen Sie, was die Firewall eines Geräts durchlässt: Ein Port, der gesperrt sein sollte, taucht auf, wenn er antwortet. Was Ihr Router aus dem Internet hereinlässt, lässt sich nur von außerhalb Ihres Netzes testen. Der Port-Scanner von PingKit scannt keine öffentlichen Adressen; dafür prüft der Sicherheitsscan Ihre eigene öffentliche Adresse auf 22, 23, 80, 443, 3389, 5900 und 8080 und listet weitere Ports, die eine öffentliche Datenbank dort offen gesehen hat.

Wann ein Port-Scanner hilft

Ein Port-Scanner beantwortet eine trügerisch einfache Frage: Lauscht auf diesem Port etwas, und komme ich von hier aus daran? Diese Frage kommt ständig auf, sobald Sie zu Hause Dienste betreiben oder einen Server verwalten. Das sind die Fälle, in denen ein Port-Scanner die meiste Zeit spart.

Prüfen, ob ein Port für Spieleserver, NAS oder Plex offen ist

Wenn Sie eine Minecraft-Welt, ein Synology-NAS oder einen Plex-Medienserver selbst betreiben, muss ein bestimmter Port erreichbar sein. Plex nutzt standardmäßig TCP 32400, viele Spieleserver einen eigenen hohen Port, und die Weboberfläche eines NAS liegt oft auf 5000 oder 5001. Richten Sie PingKit auf die IP des Geräts und scannen Sie genau diesen Port. Ein offenes Ergebnis bestätigt, dass der Dienst läuft und Verbindungen annimmt; ein geschlossenes oder gefiltertes sagt Ihnen, dass der Dienst oder das Netz davor die Baustelle ist. Wenn Sie die IP des Geräts erst noch finden müssen, listet der Netzwerk-Scanner jeden Host in Ihrem Netz, dann müssen Sie die Router-Oberfläche nicht durchsuchen.

Prüfen, ob die Portweiterleitung wirklich greift

Portfreigaben sind notorisch fummelig. Sie legen im Router eine Regel an, aber nichts bestätigt Ihnen, dass sie greift, und der vollständige Test muss von außerhalb Ihres Heimnetzes kommen. PingKit prüft die innere Hälfte: Scannen Sie das Gerät unter seiner lokalen IP auf den freigegebenen Port, denn eine Freigabe auf einen Port, auf dem nichts lauscht, scheitert, egal wie richtig die Regel ist. Für die äußere Hälfte prüft der Sicherheitsscan Ihre eigene öffentliche Adresse auf 22, 23, 80, 443, 3389, 5900 und 8080 und listet weitere Ports, die eine öffentliche Datenbank dort offen gesehen hat. Für jeden anderen Port nehmen Sie einen Portprüfer, der von außerhalb Ihres Netzes prüft.

Erreichbare oder riskante Dienste finden

Manchmal geht es darum, Ports zu finden, die Sie nicht erwartet haben: eine Datenbank, die noch auf 3306 lauscht, Remotedesktop auf 3389 auf einem Rechner, den Sie vergessen hatten, oder eine alte Verwaltungsoberfläche, die Monate nach dem letzten Einsatz noch läuft. Genau das findet man am besten zuerst. Für einen geführten Blick auf das, was Ihr Router nach außen zeigt, nehmen Sie zusätzlich unseren Sicherheitsscan, der riskante Einstellungen automatisch markiert.

Einen Dienst eingrenzen, der keine Verbindung annimmt

Wenn eine App einen Server nicht erreicht, sagt Ihnen ein Portscan, welche Ebene schuld ist, bevor Sie Zeit mit Anwendungsprotokollen verlieren. Offen heißt, der Dienst lauscht und der Netzweg ist frei, der Fehler liegt also bei der Anwendung oder der Anmeldung. Geschlossen heißt, es lauscht nichts, der Dienst läuft also vermutlich nicht oder hängt an der falschen Adresse. Gefiltert heißt, eine Firewall steht im Weg. Drei Ergebnisse, drei sehr verschiedene Lösungen.

Die eigenen Geräte schnell prüfen

Auch ohne Netzwerk-Profi zu sein, ist es eine gute Gewohnheit, den eigenen Router, das Homelab und die Server in Ihrem Netz regelmäßig zu scannen. Geräte sammeln mit der Zeit Dienste an, Firmware-Updates öffnen Ports wieder, und eine Einstellung vom letzten Jahr tut vielleicht nicht, was Sie denken. Ein Scan von zwei Minuten vom Telefon aus findet das Offensichtliche, und „Ergebnis erklären“, kostenlos, sagt, wofür jeder offene Port da ist, sodass Sie keine Portnummern auswendig kennen müssen.

PingKit im Vergleich zu anderen Port-Scanner-Apps

Im App Store gibt es mehrere Port-Scanner-Apps. Wir finden, PingKit hält dem Vergleich stand, sagen aber offen, wo es hingehört. PingKit ist ein fokussierter Werkzeugkasten fürs Telefon und kein Ersatz für einen vollwertigen Desktop-Scanner wie nmap, wenn Sie tiefe, skriptgesteuerte Scans brauchen.

Wenn Sie eine einzige, werbefreie App wollen, die Ports scannt und auch das Dutzend anderer Netzwerkprüfungen erledigt, zu denen Sie in derselben Woche greifen, ist PingKit genau dafür gebaut. Wenn Sie tausende skriptgesteuerte Scans gegen eine Flotte von Servern fahren müssen, ist ein Desktop-Werkzeug die richtige Wahl, und unsere Schwester-App Noxen für den Mac, unten verlinkt, ist für genau diese Prüfung im großen Maßstab da.

Gängige Ports und was sie bedeuten

Wenn PingKit einen offenen Port meldet, benennt es den Dienst, der üblicherweise zu dieser Nummer gehört. Hier eine kurze Übersicht der Ports, die Ihnen am häufigsten begegnen. Denken Sie daran, dass jeder Dienst auf jedem Port laufen kann, das sind Konventionen und keine Garantien.

Ergebnis erklären

Neu in PingKit 3.0: Ein abgeschlossener Scan trägt eine Schaltfläche mit der Aufschrift Ergebnis erklären. Tippen Sie darauf, und die Ports, die auf Ihrem eigenen Gerät geantwortet haben, werden in klarer Sprache beschrieben: was der Dienst auf jedem davon üblicherweise tut, ob es ein Port ist, den Sie bei diesem Gerät offen erwarten würden, und worauf Sie achten sollten, wenn nicht. Dieselbe Schaltfläche sitzt unter achtzehn Tools von PingKit, sodass sich Ping, Traceroute und DNS-Abfragen genauso lesen lassen.

Sie löst nie von selbst aus. Es ist jedes Mal ein Tippen, auch für Abonnenten, sodass ein Scan nichts hervorbringt, worum Sie nicht gebeten haben.

Erklärungen sind kostenlos. Ohne Abo erhalten Sie fünfzehn KI-Interaktionen pro Woche, höchstens fünf an einem Tag, gemeinsam über die KI-Funktionen von PingKit hinweg; PingKit Guardian (2,99 €/Monat oder 29,99 €/Jahr auf dem iPhone) hebt diese Grenze an und ergänzt Apple Private Cloud Compute als zweite Stufe. Wo Ihr Gerät die Antwort selbst schreiben kann, tut es das, und eine auf dem Gerät geschriebene Antwort verbraucht nichts von diesem Kontingent. Jede Antwort ist damit gekennzeichnet, was sie erzeugt hat: Ihr Gerät, Private Cloud Compute bei einem Abo oder der eigene Dienst von PingKit. Ergebnis erklären gibt es nur auf iPhone und iPad. Der Mac Agent hat es nicht.

Ergebnisse eines Portscans deuten

Der Port zeigt geschlossen, obwohl der Dienst läuft

Das ist die häufigste Überraschung. Meist ist der Dienst an localhost (127.0.0.1) gebunden statt an die Netzwerkschnittstelle und nimmt deshalb nur Verbindungen von derselben Maschine an. Prüfen Sie die Listen- oder Bind-Adresse des Dienstes und stellen Sie sie auf 0.0.0.0 oder die LAN-IP um, wenn er von anderen Geräten erreichbar sein soll. Weitere Verdächtige sind eine Firewall auf dem Host oder ein Scan der falschen IP, was leicht passiert, wenn ein Gerät eine Kabel- und eine WLAN-Adresse hat.

Von der Firewall blockiert oder wirklich geschlossen

Ein geschlossener Port antwortet, dass nichts lauscht, der Scan kommt also schnell zurück. Ein von der Firewall blockierter Port verwirft das Paket meist still, der Scan zeigt deshalb gefiltert und braucht länger bis zur Zeitüberschreitung. Der Unterschied zählt: Geschlossen heißt "der Host ist da, aber dieser Dienst ist aus", gefiltert heißt "hier antwortet absichtlich niemand". Zeigt ein Port, den Sie offen erwarten, gefiltert, sehen Sie zuerst in der Firewall nach und nicht im Dienst.

Das eigene Gerät scannen oder einen entfernten Host

Ein Gerät in Ihrem eigenen WLAN scannen Sie unter seiner lokalen IP, und dazwischen steht nur die Firewall dieses Geräts. Verkehr aus dem Internet passiert zusätzlich Ihren Router und Ihren Anbieter, deshalb kann ein Port in Ihrem Netz antworten und von außen trotzdem gefiltert sein. Der Port-Scanner von PingKit zeigt nur die Sicht von innen; die Prüfung Ihrer eigenen öffentlichen Adresse im Sicherheitsscan ist die Sicht von außen, die PingKit bietet.

Der Anbieter sperrt eingehende Ports

Viele Anbieter für Privatkunden sperren gängige eingehende Ports, um Hosting zu Hause zu erschweren: Die Ports 25 (E-Mail), 80 und 445 werden oft gefiltert, bevor der Verkehr Ihren Router erreicht. Bleibt ein freigegebener Port von außen unerreichbar, egal was Sie ändern, kann Ihr Anbieter der Grund sein. Antwortet der Port unter der lokalen IP des Geräts, aber nicht von außerhalb Ihres Netzes, liegt die Sperre auf dem Weg und nicht am Gerät.

Verantwortungsvoll scannen

Portscans sind ein normales, legitimes Werkzeug, um die eigenen Systeme zu verwalten: Router, NAS, Homelab und die Server, die Sie betreuen. Zum Problem werden sie erst, wenn sie auf Systeme zielen, die Sie nicht testen dürfen. Scannen Sie bitte nur Geräte, die Ihnen gehören oder die Sie verwalten. Die Netzwerkhälfte davon setzt PingKit selbst durch: Es lehnt jede Adresse außerhalb Ihres eigenen Netzes ab.

Häufige Fragen

Wie prüfe ich, ob ein Port für meinen Spieleserver, mein NAS oder Plex offen ist?

Ermitteln Sie die lokale IP des Geräts, auf dem der Dienst läuft (Plex auf 32400, eine NAS-Weboberfläche auf 5000 oder 5001, ein Spieleserver auf seinem eigenen Port), geben Sie diese IP in PingKit ein und scannen Sie genau diesen Port. Offen heißt: Der Dienst lauscht und ist in Ihrem Netz erreichbar. Ob er aus dem Internet erreichbar ist, ist eine eigene Prüfung von außerhalb Ihres Netzes: PingKit scannt keine öffentlichen Adressen, und der Sicherheitsscan prüft Ihre eigene öffentliche Adresse auf einer festen Auswahl gängiger Ports.

Warum wird ein Port als geschlossen angezeigt, obwohl mein Dienst läuft?

Meist weil der Dienst nur an localhost gebunden ist, eine Firewall blockiert, Sie die falsche IP scannen oder der Dienst UDP nutzt, während ein TCP-Scan geschlossen meldet. Prüfen Sie Bind-Adresse und Firewall-Regeln und scannen Sie dann die tatsächliche LAN-IP des Geräts von einem anderen Gerät im selben Netz.

Was ist der Unterschied zwischen einem von der Firewall blockierten und einem geschlossenen Port?

Ein geschlossener Port weist die Verbindung aktiv ab, was Ihnen sagt, dass der Host läuft, dort aber nichts lauscht. Ein von der Firewall blockierter Port ist meist gefiltert: Die Pakete werden still verworfen, und der Scan läuft ohne Antwort in die Zeitüberschreitung. Gefiltert ist der leisere, sicherere Zustand.

Kann ich eine Portweiterleitung mit einem Port-Scanner prüfen?

Teilweise. Eine Portfreigabe hat zwei Hälften. PingKit prüft die innere: Scannen Sie die lokale IP des Geräts auf den freigegebenen Port, um zu sehen, ob der Dienst antwortet. Die äußere Hälfte braucht eine Prüfung von außerhalb Ihres Netzes. Der Port-Scanner von PingKit lehnt öffentliche Adressen ab, und der Sicherheitsscan prüft Ihre eigene öffentliche Adresse auf 22, 23, 80, 443, 3389, 5900 und 8080 und listet weitere Ports, die eine öffentliche Datenbank dort offen gesehen hat.

Scannt PingKit auch UDP-Ports?

Ja, PingKit hat eine Auswahl für TCP, UDP oder beides. TCP-Connect-Scans decken die meisten Dienste ab, um die es Menschen geht: Web, SSH, Fernwartung und die meisten Medienserver nutzen TCP. UDP-Scans funktionieren anders, weil es keinen Verbindungsaufbau gibt; PingKit nutzt deshalb ICMP-Unreachable-Antworten, um geschlossene Ports von offenen oder gefilterten zu unterscheiden.

Warum zeigt mein Portscan alles als gefiltert oder läuft in eine Zeitüberschreitung?

PingKit listet nur die TCP-Ports, die eine Verbindung angenommen haben, deshalb sehen Sie in diesem Fall ein leeres Ergebnis. Meist verwirft die Firewall des Geräts unaufgeforderte Verbindungen, das Gerät schläft oder ist offline, oder Ihr Telefon erreicht es nicht, etwa aus einem Gastnetz, das die Geräte voneinander trennt. Versuchen Sie einen Port, der offen sein sollte, und achten Sie darauf, dass Ihr Telefon im selben Netz ist wie das Gerät.

Ist es sicher, Ports offen zu lassen?

Offene Ports sind normal, jeder Dienst hängt an einem. Das Risiko sind Ports, die Sie nicht öffnen wollten, veraltete oder falsch eingerichtete Dienste oder heikle Dienste wie Datenbanken und Fernwartung, die im Internet hängen. Das Ziel sind nicht null offene Ports, sondern dass jeder offene Port beabsichtigt, aktuell und abgesichert ist.

Erklärt PingKit, was ein offener Port bedeutet?

Der kostenlose Port-Scanner benennt zu jedem offenen Port den üblichen Dienst, und unter einem abgeschlossenen Scan finden Sie die Schaltfläche „Ergebnis erklären“, die sagt, was der Port tut, ob er normalerweise zum Internet hin offen steht und was Sie prüfen sollten, wenn er ungewöhnlich aussieht. Auch das ist kostenlos. PingKit Guardian (2,99 €/Monat oder 29,99 €/Jahr auf dem iPhone) erhöht das wöchentliche KI-Kontingent, ergänzt Apple Private Cloud Compute und bringt die Überwachung des kostenlosen begleitenden Mac Agent auf Ihr iPhone.

Soll ich einen Host scannen, der mir nicht gehört?

Nein. Scannen Sie nur Geräte, die Ihnen gehören oder die Sie verwalten. Den eigenen Router, das NAS oder das Homelab zu scannen, ist normal und legitim; fremde Systeme ohne Erlaubnis zu scannen, kann gegen Gesetze zum Computermissbrauch verstoßen, und PingKit lehnt jede Adresse außerhalb Ihres eigenen Netzes ab.

Teil eines vollständigen Werkzeugkastens

Ein Portscan ist ein Teil des Bildes. Ergänzen Sie ihn mit dem Sicherheitsscan von PingKit für eine automatische Prüfung offener Ports, erreichbarer Dienste und riskanter Einstellungen, nutzen Sie den Netzwerk-Scanner, um jeden Host in Ihrem lokalen Netz zu finden, oder eine DNS-Abfrage, um Einträge vor dem Scan zu prüfen. Mit 19 Tools in einer App gehen Sie von der Suche über die Diagnose bis zur Kontrolle, ohne die App zu wechseln oder zum Notebook zu greifen.

Weitere Fragen

Was bedeutet ein offener Port?

Es heißt, dass auf diesem Gerät dort etwas lauscht und die Verbindung angenommen hat, die PingKit geöffnet hat. Antwortet Port 80, läuft ein Webserver, Port 22 heißt, SSH ist verfügbar. Ein offener Port ist für sich genommen kein Problem, denn jeder Dienst, den Sie nutzen, hängt an einem; entscheidend ist, ob Sie diesen einen offen haben wollten. PingKit listet nur die Ports, die geantwortet haben, und nur innerhalb des Bereichs, den Sie gescannt haben. Lesen Sie das Ergebnis also als das, was dieses Gerät Ihrem Telefon angeboten hat, und nicht als vollständige Bestandsaufnahme. Ein UDP-Port, der nichts zurückschickt, steht ebenfalls in der Liste, weil sich bei UDP ein offener Port nicht von einem gefilterten unterscheiden lässt.

Kann ich vom iPhone aus Ports scannen?

Ja, in Ihrem eigenen Netz. Geben Sie die Adresse eines Geräts in dem Netz ein, mit dem Sie verbunden sind, wählen Sie TCP, UDP oder beides und dann eine Vorlage (die 21 wichtigsten Ports, 1 bis 1024 oder die vier Web-Ports) oder einen eigenen Bereich bis 65535 (bei beidem prüft der UDP-Durchgang statt des Bereichs 14 gängige UDP-Ports). PingKit versucht eine Verbindung zu jedem Port im Bereich und listet die, die antworten, beschriftet mit dem Dienst, der üblicherweise zu dieser Nummer gehört, etwa HTTP auf 80 oder SSH auf 22. Alles außerhalb Ihres eigenen Netzes wird mit dem Hinweis abgelehnt, dass PingKit nur Geräte in Ihrem eigenen Netz scannt, auch ein Hostname, der auf eine öffentliche Adresse zeigt.

Ist Portscannen erlaubt?

Geräte zu scannen, die Ihnen gehören oder die Sie verwalten, ist normale Netzwerkverwaltung. Hosts zu scannen, für die Sie keine Erlaubnis haben, kann in vielen Ländern gegen Gesetze zum Computermissbrauch verstoßen, und genau deshalb lässt PingKit es gar nicht erst zu: Es löst das Ziel zuerst auf und lehnt jede Adresse außerhalb Ihres eigenen Netzes ab, und ein Name, der zugleich auf eine private und eine öffentliche Adresse zeigt, wird ebenfalls abgelehnt. Die einzige Ausnahme ist die Prüfung des Sicherheitsscans gegen Ihre eigene öffentliche Adresse, die beantwortet, ob Ihr Router von außen erreichbar ist.

Was ist der Unterschied zwischen offenen, geschlossenen und gefilterten Ports?

Ein offener Port hat die Verbindung angenommen, dort lauscht also etwas. Ein geschlossener Port ist erreichbar, weist die Verbindung aber aktiv ab, weil nichts lauscht. Ein gefilterter Port antwortet überhaupt nicht, was meist heißt, dass eine Firewall die Pakete still verwirft, und das ist der leisere Zustand für alles, was nicht erreichbar sein soll. Bei TCP listet PingKit nur die Ports, die eine Verbindung angenommen haben; ein Port, der in Ihrem Ergebnis fehlt, war also geschlossen oder gefiltert und nicht offen. Ein UDP-Port, der nichts zurückschickt, steht ebenfalls in der Liste, weil sich bei UDP ein offener Port nicht von einem gefilterten unterscheiden lässt.