So überprüfen Sie Ports und Verbindungen mit dem Befehl Netstat

Netstat ist wirklich nützlich, wenn man sich näher mit seinen Netzwerkaktivitäten beschäftigt – beispielsweise mit aktiven Verbindungen, offenen Ports und Diensten, die auf Verbindungen zugreifen. Manchmal ist es beunruhigend, unbekannte Verbindungen oder Ports zu sehen, die nicht geöffnet sein sollten, insbesondere wenn der PC langsam reagiert oder man sich vor potenzieller Malware fürchtet. Mit Netstat lassen sich verdächtige Prozesse oder blockierte Verbindungen aufspüren; es ist also eine Art Netzwerkdetektiv. Zwar nicht immer perfekt, aber es liefert eine gute Momentaufnahme der Vorgänge im Hintergrund. Die Ausgabe kann oft verwirrend wirken, besonders wenn man mit den verschiedenen Parametern oder deren Interpretation nicht vertraut ist. Hat man den Dreh aber erst einmal raus, ist es eine schnelle Möglichkeit, Auffälligkeiten zu erkennen – wie unerwartete Remote-IPs oder Ports, die nicht geöffnet sein sollten.

Wie man Netstat unter Windows verwendet

So führen Sie Netstat unter Windows aus

Als Erstes müssen Sie eine Eingabeaufforderung mit Administratorrechten öffnen, da viele der von Netstat gelieferten Informationen erhöhte Berechtigungen erfordern. So geht’s:

• Drücken Sie die Start-Taste und geben Sie cmd ein.
• Klicken Sie mit der rechten Maustaste auf die Eingabeaufforderung und wählen Sie „Als Administrator ausführen“. Andernfalls funktionieren einige Parameter nicht.
• Geben Sie etwas ein netstatund drücken Sie die Eingabetaste Enter. Dadurch wird eine grundlegende Liste der Verbindungen angezeigt.

Wenn Fehlermeldungen wie „netstat nicht erkannt“ erscheinen, sind möglicherweise Ihre PATH-Variablen fehlerhaft – was wiederum ein ganz anderes Problem darstellt. Meistens funktioniert es aber, wenn Sie die Eingabeaufforderung als Administrator öffnen. In manchen Anleitungen wird auch die Verwendung von PowerShell empfohlen – das ist im Prinzip dasselbe, geben Sie den Befehl einfach netstatdort ein.

So überprüfen Sie aktive Netzwerkverbindungen

Hier sehen Sie alle aktuellen TCP/UDP-Verbindungen – wer mit wem kommuniziert. Sollten Ihnen unbekannte Remote-IP-Adressen oder Verbindungen im Status „ESTABLISHED“ auffallen, lohnt sich eine genauere Untersuchung. So gehen Sie vor:

• Laufennetstat
• Schauen Sie sich die Spalten „Lokale Adresse“ und „Remote-Adresse“ an. Beispielsweise 192.168.1.5:443ist die lokale IP-Adresse mit HTTPS-Port, während 93.184.216.34:443es sich um einen Remote-Server handelt.
• Prüfen Sie die Spalte „Status“ : Steht dort „ESTABLISHED“, ist die Verbindung aktiv. Steht dort „TIME_WAIT“ oder „CLOSE_WAIT“, wird wahrscheinlich gerade aufgeräumt.

Dies hilft dabei, verdächtige oder andauernde Verbindungen aufzuspüren, insbesondere wenn Sie ungewöhnliche ausländische IP-Adressen oder Verbindungen bemerken, die dort nicht bestehen sollten.

So werden alle Listening-Ports angezeigt

Um zu sehen, welche Ports geöffnet sind und auf Verbindungen warten (lauschen), müssen Sie den -aentsprechenden Schalter hinzufügen. Manche Anwendungen lauschen möglicherweise im Hintergrund auf Datenverkehr, und dieser Schalter zeigt Ihnen alle diese Anwendungen an.

• Laufennetstat -a
• Suchen Sie in der Liste nach Einträgen mit dem Eintrag LISTENING in der Spalte State.
• Identifizieren Sie Anwendungen oder Dienste, die an diese Ports gebunden sind. Manchmal stoßen Sie auf Portnummern wie 80, 443 oder 3389 – diese werden häufig für Web-, HTTPS- bzw. Remote-Desktop-Verbindungen verwendet. Sollten Sie auf unbekannte Ports stoßen, lohnt es sich, genauer nachzuforschen.

Beachten Sie, dass sich in diesen Ports Malware oder Bloatware verstecken könnte. Achten Sie daher auf alles Ungewöhnliche.

Wie man herausfindet, welche App einen bestimmten Port verwendet

Sobald Sie einen verdächtigen Port bemerken, möchten Sie wahrscheinlich wissen, welcher Prozess ihn verwendet. Dazu müssen Sie die Prozess-ID (PID) mithilfe des -oSchalters in die Ausgabe aufnehmen.

• Laufennetstat -ano
• Suchen Sie die Portnummer in der Ausgabe und überprüfen Sie dann die PID in der letzten Spalte.
• Um die Prozess-ID (PID) einer Anwendung zuzuordnen, öffnen Sie den Task-Manager ( Strg + Umschalt + Esc ), wechseln Sie zum Tab Details und suchen Sie nach der PID. Dort wird Ihnen der verantwortliche Prozess angezeigt. Manchmal ist es offensichtlich, manchmal nicht – manche Schadsoftware kann Anwendungsnamen fälschen.Überprüfen Sie daher die Angaben, wenn Ihnen etwas verdächtig vorkommt.

Das ist ein Lebensretter, wenn man versucht, heimtückische Prozesse zu identifizieren oder einfach nur herauszufinden, was die Netzwerkressourcen übermäßig beansprucht.

Wie man Protokollstatistiken überprüft

Wenn Netzwerkprobleme immer wieder auftreten, können die Protokollstatistiken verlorene Pakete oder Neustarts aufdecken, die auf ein Problem hinweisen. Führen Sie Folgendes aus:

• netstat -s
• Prüfen Sie die Ausgabe, um die Anzahl von TCP- und UDP-Fehlern, Paketverlusten und Paketabbrüchen zu ermitteln. Manchmal tritt ein plötzlicher Anstieg der Fehler auf, was auf Netzwerküberlastung oder Störungen hindeutet. Vergleichen Sie bei der Fehlersuche die Statistiken im Zeitverlauf oder nach bestimmten Aktionen, um Muster zu erkennen.

So beobachten Sie Live-Verbindungsänderungen

Zur Echtzeitüberwachung können Sie Netstat so einstellen, dass es sich regelmäßig aktualisiert, um Verbindungsvorgänge in Echtzeit zu verfolgen. Zum Beispiel so:

• Laufennetstat -an 5
• Die Anzeige aktualisiert sich alle 5 Sekunden und zeigt Verbindungen in Echtzeit an. Die Darstellung kann schnell oder unübersichtlich sein, erwarten Sie also keine perfekte Klarheit. Sie ist jedoch nützlich, um Verbindungsversuche oder -abbrüche in Echtzeit zu beobachten. Manchmal funktioniert sie bei bestimmten Konfigurationen nicht oder benötigt zusätzliche Parameter – probieren Sie daher gegebenenfalls verschiedene Einstellungen aus.

Häufig gestellte Fragen zum Netstat-Befehl