Was Nmap eigentlich macht
Nmap (Network Mapper) ist ein quelloffenes Werkzeug zum Erkennen von Hosts, Ports und Diensten in einem Netzwerk. Es wird sowohl von Admins für Bestandsaufnahmen als auch von Pentestern in autorisierten Engagements eingesetzt.
- Erkennt aktive Hosts im Netz (Host Discovery)
- Identifiziert offene Ports und laufende Dienste
- Kann grob Versionen und Betriebssysteme bestimmen
- Bietet eine Scripting Engine (NSE) für spezifische Checks
Wie Portscans grundsätzlich funktionieren
Ein Portscan testet, ob bestimmte Ports auf einem Ziel erreichbar sind und welcher Dienst dort antwortet. Verschiedene Scan-Typen nutzen unterschiedliche Eigenschaften des Protokolls:
- TCP-SYN-Scan: sendet SYN-Pakete und wertet die Antwort aus
- TCP-Connect-Scan: baut die Verbindung vollständig auf
- UDP-Scan: langsamer, weniger zuverlässig - UDP kennt keinen Handshake
- Versionserkennung: vergleicht Antworten mit Signatur-Datenbanken
Ergebnisse richtig interpretieren
Ein Nmap-Output zeigt mehr als nur „offen oder geschlossen”. Wer ihn lesen kann, gewinnt sehr schnell Verständnis für ein Netz.
- open: Dienst antwortet - am wichtigsten in Recon-Phasen
- closed: Port erreichbar, aber kein Dienst aktiv
- filtered: Firewall blockiert oder verwirft Antworten
- Version/Banner-Informationen geben Hinweise auf veraltete Software
Praxisbezug
Übe Nmap ausschließlich in deinem isolierten Lab:
- Starte 2-3 Ziel-VMs (z. B. Metasploitable, Juice Shop, ein eigenes Linux)
- Scanne mit verschiedenen Scan-Typen und vergleiche die Outputs
- Probiere die Versionserkennung und vergleiche mit den tatsächlichen Diensten
- Dokumentiere im Lern-Repo: welcher Scan zeigt was?
Legal-Hinweis
Nmap-Scans sind nur in eigenen Netzwerken oder mit ausdrücklicher schriftlicher Erlaubnis legal. Scans gegen fremde IPs - auch „ungezielte” - können nach §§ 202c und 303b StGB problematisch werden. Im Zweifel: Lab statt Live-Netz.
Nächste Lernschritte
FAQ
Ist es legal, mit Nmap zu scannen?
+
Nur in eigenen Netzwerken, in dafür freigegebenen Labs oder mit ausdrücklicher schriftlicher Erlaubnis. Scans gegen fremde IPs können nach § 202c StGB als Vorbereitung einer Straftat gewertet werden.
Was ist der Unterschied zwischen TCP- und UDP-Scan?
+
TCP-Scans nutzen das Handshake-Verhalten von TCP und sind sehr zuverlässig. UDP-Scans sind langsamer und ungenauer, weil UDP keine Verbindungen aufbaut.
Wofür gibt es die Nmap Scripting Engine (NSE)?
+
NSE-Scripts ergänzen Nmap um spezifische Checks: Versionserkennung, Vulnerability-Templates, Service-Enumeration. Sie sind ein wichtiges Lernwerkzeug - bleiben aber im Lab.
Welche Scans sind besonders auffällig?
+
Aggressive Optionen wie -A oder hohe Geschwindigkeiten erzeugen viel Lärm und werden von IDS-Systemen leicht erkannt. Wer im Lab lernt, kann das ohne Konsequenzen ausprobieren - im realen Netz nie.