Portwatch — Wer scannt dich in deinem eigenen Netz?
Ein Portscan aus dem Internet erreicht deinen PC gar nicht. Einer aus deinem WLAN schon.Das ist der Punkt, den fast jede Software zu diesem Thema falsch darstellt — und der Grund, warum es dieses Werkzeug gibt.Dein Router verwirft unaufgeforderten Verkehr aus dem Internet, bevor er ankommt. Wer dir also „Wir erkennen Hacker, die dich scannen" verkauft, verkauft dir in aller Regel ein Programm, das monatelang nichts anzeigt.Interessant wird es innerhalb des eigenen Netzes. Ein Gerät, das schon in deinem WLAN hängt und anfängt, systematisch nach offenen Ports zu suchen, tut das nicht im Normalbetrieb. Es ist übernommen worden — ein Smart-TV, eine Überwachungskamera, ein altes Tablet, der Laptop eines Gastes. Und es sucht nach dem nächsten Ziel. Genau so bewegt sich Ransomware durch ein Zuhause oder ein kleines Büro.Dieser Vorgang ist auf einem normalen Windows-PC vollständig unsichtbar.## Windows protokolliert es bereits. Nur liest es niemand.Die Windows-Firewall kann jedes verworfene Paket mitschreiben — Absender, Ziel, Port, TCP-Flags. Die Funktion ist eingebaut, standardmäßig aus, und die entstehende Datei ist für Menschen unlesbar.Portwatch schaltet sie mit einem Befehl ein und wertet sie aus:``` 1 Scan-Quelle(n) im eigenen Netz 1 critical [CRITICAL] 192.168.178.66 — im eigenen Netz 30 Ports in 60 s · 30 Pakete · 01.08. 11:13:00 – 11:13:11 · Ports für Fernzugriff und Dateifreigabe: 22, 135, 445, 3389, 5985 Gesucht: 21 (FTP), 22 (SSH), 23 (Telnet), 135 (RPC), 443 (HTTPS)```Und dann sagt es, was zu tun ist — in einer Sprache, mit der man auch ohne IT-Ausbildung etwas anfangen kann: In der Router-Oberfläche steht bei jeder Adresse der Gerätename. Wenn du es nicht zuordnen kannst, trenne es vom Netz.## Es meldet nicht bei jedem RauschenEin Heimnetz verwirft ständig Pakete. Der Drucker meldet sich an, das Handy sucht per mDNS nach dem Fernseher, der Router sendet Broadcasts. Ein Werkzeug, das das alles als Angriff meldet, wird nach drei Tagen weggeklickt.Getestet gegen ein simuliertes Heimnetz mit 1.136 verworfenen Paketen über vier Stunden: keine einzige Meldung — und der Bericht legt offen, was es weggefiltert hat und warum. Erkennungsdienste, Broadcast, Multicast und ausgehender Verkehr zählen nicht mit.Was zählt, ist die eine Sache, die kein normales Gerät tut: viele verschiedene Ports auf einem Rechner in kurzer Zeit.## Auch der geduldige Scan fällt aufWer sich auskennt, verteilt den Scan über Stunden, um genau unter solchen Zeitfenstern zu bleiben. Portwatch zählt deshalb zusätzlich die verschiedenen Ports über den gesamten Zeitraum. Im Test erreicht das lauteste normale Gerät fünf verschiedene Ports; die Schwelle liegt bei fünfzehn.Dazu kommt die Technik: FIN- und XMAS-Scans sind an ihren TCP-Flags eindeutig zu erkennen, weil keine reguläre Verbindung so aussieht. Beide stehen im Protokoll.Ehrlich dazu gesagt: Einen NULL-Scan schreibt Windows als - mit — nicht unterscheidbar von einem UDP-Paket. Portwatch behauptet ihn deshalb nicht, sondern fängt ihn über die Portzahl. Ein Werkzeug, das ihn benennen würde, hätte geraten.## Kein Administrator? Kein Problem.Falls du an das Firewall-Protokoll nicht herankommst, belegt Portwatch stattdessen eine Handvoll ungenutzter Ports und notiert, wer anklopft. Dort läuft kein Dienst, also ist jede Verbindung dorthin unaufgefordert — keine Fehlalarme möglich. Es wird nichts angenommen und nichts beantwortet, nur mitgeschrieben.Dieser Modus braucht keine Adminrechte und läuft auch auf macOS und Linux.## Was du bekommst- Eine Python-Datei. Nur Standardbibliothek, Python 3.8+. Keine Treiber, keine Paketmitschnitte, keine Installation.- Ändert nichts und baut keine eigenen Netzwerkverbindungen auf.- `setup` zeigt dir den einen Befehl, der fehlt — samt Hinweis, das Protokoll von 4 auf 16 MB zu vergrößern, weil es sich sonst binnen Stunden selbst überschreibt.- `check` wertet aus, `watch` bleibt laufen und meldet live, `decoy` ist die Variante ohne Adminrechte.- HTML-Bericht zum Ausdrucken oder Weitergeben, JSON für alles andere, --fail-on-scan für einen geplanten Task.- Deutschsprachige Ausgabe.## Für wen- Zuhause: alle, die wissen wollen, was auf dem eigenen WLAN eigentlich passiert — besonders mit Smart-Home-Geräten, Kameras oder Kindern im Netz- Notebook unterwegs: in Hotel-, Café- und Firmen-WLAN gibt es keinen schützenden Router. Dort sind Scans Alltag.- Kleine Büros: ein Rechner pro Raum, kein IT-Personal, und niemand, der bemerkt, wenn ein Gerät anfängt, die anderen abzusuchen---Portwatch wertet aus, was die Windows-Firewall protokolliert hat. Es sieht nur, was den Rechner tatsächlich erreicht: Was der Router bereits verworfen hat, taucht nicht auf, und ein Scan gegen ein anderes Gerät im Netz ebenfalls nicht. Ein Scan ist zudem noch kein Einbruch — er ist die Bestandsaufnahme davor.
Get it → tracekeeper.gumroad.com