Warum Portfreigaben gefährlich sind – und was besser ist

Wer von unterwegs auf Rekorder, NAS oder einen Büro-PC zugreifen will, richtet oft eine Portfreigabe im Router ein. Das ist schnell gemacht – stellt den Dienst aber für das ganze Internet sichtbar ins Schaufenster.

Was bei einer Portfreigabe passiert

Mit einer Portfreigabe leitet der Router Anfragen aus dem Internet an ein Gerät im Firmennetz weiter – zum Beispiel an einen Rekorder, ein NAS (häufig Port 5000) oder einen PC mit Remote-Desktop (Standard-Port 3389). Damit ist dieses Gerät für jeden im Internet erreichbar, nicht nur für Sie.

Die Risiken

• Offene Ports werden gefunden. Angreifer durchsuchen das Internet automatisch nach offenen Ports. Laut einem von Ruijie veröffentlichten Praxistest hilft es nicht, den Port zu ändern: Der Dienst wird trotzdem entdeckt.
• Das Gerät verrät sich. Oft genügt eine einfache Anfrage, und der Dienst meldet, um welches Gerät es sich handelt. Der Angreifer weiß dann genau, wonach er suchen muss.
• Passwörter werden durchprobiert. Ist eine Anmeldeseite sichtbar, folgen automatische Passwort-Angriffe. Gelingt einer, drohen Datendiebstahl, Erpressungssoftware und Zugriff auf Kamerabilder.
• Ein Gerät öffnet das ganze Netz. Ein übernommener PC wird zum Sprungbrett, um weitere Geräte im Firmennetz anzugreifen.

Was besser ist

• VPN: Statt einzelne Geräte freizugeben, verbinden Sie sich per VPN mit dem Firmennetz. Erreichbar ist nur der VPN-Zugang am Gateway, und ohne gültigen Schlüssel kommt niemand hinein. Siehe WireGuard VPN einrichten.
• P2P-Zugang für Kameras und Rekorder: Die App verbindet sich über den Cloud-Dienst des Herstellers – ganz ohne Portfreigabe. Siehe P2P am Rekorder einrichten und P2P an der Kamera einschalten.
• Ruijie Cloud für das Netzwerk: Gateways, Switches und Access Points verwalten Sie über Ruijie Cloud – ohne die Weboberfläche ins Internet zu stellen.

Wenn es doch eine Portfreigabe sein muss

• nur den wirklich nötigen Port freigeben – niemals Weboberflächen von Router, Rekorder oder NAS
• lange, einzigartige Passwörter und, wo möglich, Zwei-Faktor-Anmeldung
• Firmware aktuell halten und nicht mehr benötigte Freigaben sofort entfernen
• Schutzfunktionen nutzen, die wiederholte Fehlanmeldungen und Port-Scans erkennen und blockieren

Weiterführende Informationen

• Was ist ein VPN und wofür brauche ich es?
• Ruijie-Gateway hinter FRITZ!Box – VPN, NAT und DS-Lite
• Quelle: Ruijie Networks – Port Forwarding? Hackers See Your Office Better Than You Do