Port 443 erklärt: HTTPS prüfen und sicher freigeben

Port 443 begegnet Dir beim Surfen, bei Cloud Diensten, bei Windows Updates und beim Betrieb eigener Webanwendungen. Trotzdem ist oft unklar, ob der Port geöffnet werden muss, wie Du ihn überprüfen kannst und warum eine Verbindung trotz freigegebener Firewall nicht funktioniert.

Die wichtigste Antwort vorweg: Port 443 ist der Standardport für HTTPS. Auf einem normalen Windows PC musst Du dafür üblicherweise keine eingehende Freigabe erstellen. Eine solche Regel ist erst notwendig, wenn Dein Computer oder Server selbst einen über HTTPS erreichbaren Dienst bereitstellt.

Was ist Port 443?

Port 443 ist der standardisierte Zielport für HTTPS Verbindungen. HTTPS überträgt Webseiten, Anmeldedaten, Dateien und Programmdaten verschlüsselt zwischen einem Client und einem Server. Die offizielle Registrierung der Portnummern ordnet Port 443 dem Dienst HTTPS zu.

Die Portnummer erzeugt jedoch keine Verschlüsselung. Dafür ist TLS zuständig. TLS verschlüsselt die übertragenen Daten, prüft die Identität des Servers anhand seines Zertifikats und schützt die Verbindung vor unbemerkten Veränderungen. Eine Anwendung kann Port 443 deshalb auch für ein anderes Protokoll verwenden. Allein anhand der Portnummer lässt sich nicht beweisen, dass eine Verbindung sicher oder überhaupt eine HTTPS Verbindung ist.

Hinweis: Informiert Euch über die Verwendung von Portnummern bei Windows in unserer passenden Anleitung.

Verwendet Port 443 TCP oder UDP?

Port 443 kann sowohl TCP als auch UDP verwenden. Klassische HTTPS Verbindungen mit HTTP/1.1 oder HTTP/2 laufen normalerweise über TCP 443. HTTP/3 verwendet dagegen QUIC über UDP 443. Moderne Browser können zunächst UDP 443 ausprobieren und bei Problemen häufig auf eine TCP Verbindung zurückfallen.

Für einen üblichen Webserver ist TCP 443 weiterhin die entscheidende Freigabe. UDP 443 solltest Du nur öffnen, wenn Dein Server HTTP/3 beziehungsweise QUIC tatsächlich unterstützt und verwenden soll. Eine vorsorgliche UDP Freigabe bringt keinen Vorteil.

Lokalen Port und Zielport richtig unterscheiden

Wenn Du eine HTTPS Webseite öffnest, verwendet Dein PC meist einen zufällig ausgewählten lokalen Quellport. Das Ziel ist Port 443 auf dem Webserver. Eine Verbindung kann zum Beispiel so aussehen:

192.168.1.20:53124 → 203.0.113.20:443

In diesem Beispiel ist 53124 der vorübergehende Port des Clients. Port 443 ist der Zielport des Servers. Deshalb bedeutet ein Eintrag mit einer entfernten Adresse auf Port 443 nicht, dass Dein PC selbst einen Webserver betreibt.

Port 80, Port 443 und Port 8443 im Vergleich

Port	Typische Verwendung	Wichtige Eigenschaft
80	HTTP	Die Übertragung ist ohne zusätzliche Schutztechnik nicht verschlüsselt. Viele Webseiten leiten von Port 80 auf HTTPS um.
443	HTTPS	Standardport für verschlüsselte Webverbindungen mit TLS.
8443	Alternativer HTTPS Port	Wird häufig für Verwaltungsoberflächen, Tests oder zusätzliche Webdienste verwendet. Die Portnummer muss meist in der Adresse angegeben werden.

Ein alternativer Port wie 8443 ist nicht automatisch sicherer. Angreifer können auch andere Ports finden. Entscheidend sind eine sichere Anwendung, aktuelle Updates, eine eingeschränkte Firewall Regel und ein korrekt eingerichtetes TLS Zertifikat.

Muss Port 443 unter Windows geöffnet werden?

Ob Du Port 443 öffnen musst, hängt von der Richtung der Verbindung ab. Für das normale Surfen baut Dein PC eine ausgehende Verbindung zu einem entfernten Port 443 auf. Die Windows Defender Firewall erlaubt solche Verbindungen in einer Standardkonfiguration meist und lässt die zugehörigen Antwortpakete automatisch zurück.

Situation	Ist eine eingehende Freigabe nötig?	Was ist zu beachten?
Du öffnest Webseiten oder nutzt Cloud Dienste	Nein	Der PC benötigt eine ausgehende Verbindung zum Zielport 443. Eine Portweiterleitung am Router ist nicht erforderlich.
Du betreibst einen HTTPS Dienst nur im lokalen Netzwerk	Ja, auf dem Server	Der Dienst muss auf TCP 443 lauschen. Die Windows Firewall muss Zugriffe aus dem gewünschten Netzwerk erlauben.
Du veröffentlichst einen HTTPS Dienst im Internet	Ja	Zusätzlich sind eine erreichbare öffentliche Adresse, eine Router beziehungsweise Netzwerkkonfiguration und ein gültiges TLS Zertifikat nötig.
Dein Server verwendet HTTP/3	Zusätzlich UDP 443	Öffne UDP 443 nur, wenn QUIC auf dem Server aktiviert und getestet ist.

Eine eingehende Regel auf jedem Arbeitsplatzrechner ist weder notwendig noch empfehlenswert. Sie vergrößert die erreichbare Angriffsfläche, ohne das normale Surfen zu verbessern.

Wichtige Vorbereitungen vor einer Freigabe

Bevor Du Port 443 freigibst, solltest Du zuerst klären, welche Anwendung erreichbar sein soll und aus welchem Netzwerk die Zugriffe kommen. Eine Firewall Regel kann nur Datenverkehr zulassen. Sie installiert keinen Webserver, erstellt kein Zertifikat und startet keinen Dienst.

• Prüfe, ob es sich um einen Client oder einen Server handelt.
• Ermittle den Namen und den Installationspfad der Serveranwendung.
• Kontrolliere, ob die Anwendung tatsächlich auf Port 443 lauscht.
• Lege fest, ob Zugriffe nur aus dem lokalen Netzwerk, aus einem Verwaltungsnetz oder aus dem Internet erlaubt sein sollen.
• Prüfe das aktive Windows Netzwerkprofil.
• Stelle sicher, dass das TLS Zertifikat zum verwendeten Hostnamen passt und noch gültig ist.
• Öffne UDP 443 nur bei einer bewussten Nutzung von HTTP/3.

Nach einer Windows Neuinstallation können fehlende Netzwerktreiber, falsche Uhrzeiten oder noch nicht installierte Stammzertifikate wie ein Portproblem wirken. Prüfe deshalb zunächst die grundlegende Netzwerkfunktion.

Port 443 unter Windows Schritt für Schritt prüfen

Mit den folgenden Prüfungen kannst Du unterscheiden, ob DNS, TCP, TLS, die Firewall oder die Serveranwendung das Problem verursacht. Führe die Schritte in der angegebenen Reihenfolge aus.

Schritt 1: HTTPS Verbindung im Browser testen

Öffne im Browser https://www.windows-faq.de/. Wird die Seite ohne Zertifikatswarnung geladen, funktionieren für dieses Ziel die Namensauflösung, der Aufbau der Verbindung und die TLS Prüfung.

Der erfolgreiche Test beweist jedoch nicht, dass jedes andere Ziel auf Port 443 erreichbar ist. Unternehmensfirewalls, Proxys und Sicherheitsprogramme können einzelne Ziele unterschiedlich behandeln.

Schritt 2: TCP Port 443 mit PowerShell testen

Öffne PowerShell und führe folgenden Befehl aus:

Test-NetConnection www.windows-faq.de -Port 443

Der wichtigste Wert ist TcpTestSucceeded. Bei True konnte Windows eine TCP Verbindung zum Zielport 443 aufbauen. Bei False ist noch nicht klar, wo die Ursache liegt. Möglich sind ein falscher DNS Eintrag, ein Routingproblem, eine Firewall, ein Proxy, ein nicht erreichbarer Server oder ein fehlender Dienst.

Test-NetConnection prüft nur die TCP Erreichbarkeit. Der Befehl bewertet weder das TLS Zertifikat noch eine mögliche Verbindung über UDP 443.

Schritt 3: TLS und HTTP mit curl.exe kontrollieren

Mit dem in aktuellen Windows Versionen enthaltenen Programm curl.exe kannst Du zusätzlich den TLS Aufbau und die Antwort des Webservers betrachten:

curl.exe -v https://www.windows-faq.de/ -o NUL

Die ausführliche Ausgabe zeigt unter anderem die aufgelöste Adresse, den Verbindungsaufbau, Informationen zum TLS Zertifikat und den HTTP Status. Ein Status wie 200, 301 oder 302 zeigt, dass der Webserver geantwortet hat. Auch ein Status wie 403 oder 404 beweist in der Regel, dass TCP und TLS grundsätzlich funktionieren. Das Problem liegt dann eher bei der Anwendung, der Adresse oder den Berechtigungen.

Verwende die Option -k nicht als dauerhafte Lösung. Sie überspringt die Zertifikatsprüfung und kann dadurch ein echtes Sicherheitsproblem verdecken.

Schritt 4: DNS Auflösung prüfen

Kann Windows den Servernamen nicht in eine IP Adresse auflösen, erreicht die Verbindung den Port noch gar nicht. Prüfe die Namensauflösung mit:

Resolve-DnsName www.windows-faq.de

Erhältst Du keine passende Adresse, untersuche die DNS Einstellungen, den DNS Server, eine mögliche VPN Verbindung und die lokale Hosts Datei. Eine Firewall Freigabe für Port 443 behebt keinen DNS Fehler.

Schritt 5: Bestehende Verbindungen mit netstat anzeigen

Mit netstat erkennst Du aktive TCP Verbindungen und lauschende Dienste:

netstat -ano | findstr ":443"

Achte auf die Spalten für die lokale Adresse, die entfernte Adresse, den Status und die Prozess ID. Die wichtigsten Zustände sind:

• ESTABLISHED bedeutet, dass eine TCP Verbindung aktiv ist.
• LISTENING bedeutet, dass ein lokaler Dienst auf eingehende TCP Verbindungen wartet.
• TIME_WAIT ist nach dem Ende einer Verbindung normal und verschwindet automatisch.

Steht Port 443 nur in der Spalte der entfernten Adresse, arbeitet Dein PC als Client. Steht beispielsweise 0.0.0.0:443 oder [::]:443 in der lokalen Spalte und der Status lautet LISTENING, lauscht ein Dienst auf allen passenden lokalen Schnittstellen.

Schritt 6: Lokalen HTTPS Dienst und Prozess ermitteln

Auf einem Server kannst Du mit PowerShell gezielt nach einem TCP Listener auf Port 443 suchen:

Get-NetTCPConnection -LocalPort 443 -State Listen -ErrorAction SilentlyContinue

Für einen Dienst mit HTTP/3 kannst Du zusätzlich nach einem UDP Endpunkt suchen:

Get-NetUDPEndpoint -LocalPort 443 -ErrorAction SilentlyContinue

Die Eigenschaft OwningProcess enthält die Prozess ID. Ersetze im folgenden Befehl die Beispielnummer durch den ermittelten Wert:

Get-Process -Id 1234

Wird kein Listener gefunden, ist Port 443 nicht allein durch eine Firewall Regel nutzbar. Prüfe die Konfiguration und den Startzustand der Serveranwendung.

Schritt 7: Zugriff von einem zweiten Gerät testen

Ein lokaler Test auf dem Server reicht nicht aus. Führe den PowerShell Test deshalb zusätzlich von einem anderen PC im gleichen Netzwerk aus:

Test-NetConnection SERVERNAME -Port 443

Funktioniert localhost auf dem Server, aber der Test von einem anderen Gerät scheitert, kommen vor allem die Windows Firewall, eine Bindung nur an 127.0.0.1, ein falsches Netzwerkprofil oder eine dazwischenliegende Netzwerkregel infrage.

Schritt 8: Proxy Einstellungen kontrollieren

Browser, Windows Dienste und Programme können unterschiedliche Proxy Einstellungen verwenden. Zeige die WinHTTP Konfiguration mit Befehl NETSH an:

netsh winhttp show proxy

Prüfe außerdem unter Einstellungen, Netzwerk und Internet, Proxy, ob ein manueller Proxy oder ein Konfigurationsskript aktiv ist. Ein Proxy kann HTTPS Verbindungen erlauben, ablehnen oder durch eine eigene TLS Prüfung beeinflussen.

Port 443 in der Windows Defender Firewall freigeben

Erstelle eine eingehende Regel nur auf dem Computer, der den HTTPS Dienst bereitstellt. Für einen normalen Client ist dieser Abschnitt nicht erforderlich.

Port 443 über die grafische Oberfläche öffnen

1. Starte die Serveranwendung und prüfe, ob sie auf TCP 443 lauscht.
2. Drücke Windows Taste + R, gib wf.msc ein und bestätige die Eingabe.
3. Wähle links den Bereich Eingehende Regeln.
4. Klicke rechts auf Neue Regel.
5. Wähle als Regeltyp Port.
6. Aktiviere TCP und trage bei Bestimmte lokale Ports den Wert 443 ein.
7. Wähle Verbindung zulassen.
8. Aktiviere nur die Netzwerkprofile, in denen der Dienst erreichbar sein muss.
9. Vergib einen eindeutigen Namen wie HTTPS TCP 443 eingehend.
10. Öffne anschließend die Eigenschaften der Regel und begrenze unter Bereich die erlaubten Remote IP Adressen, sofern dies möglich ist.
11. Teste den Zugriff von einem zweiten Gerät.

Eine auf bestimmte Programme, Dienste oder Quellnetze beschränkte Regel ist sicherer als eine pauschale Freigabe für alle Verbindungen auf diesem Port.

Port 443 mit PowerShell freigeben

Starte PowerShell als Administrator und verwende für eine allgemeine TCP Freigabe folgenden Befehl:

New-NetFirewallRule -DisplayName "HTTPS TCP 443 eingehend" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 443 -Profile Domain,Private

Passe die Profile an Deine Umgebung an. Befindet sich der Server im Profil Öffentlich, funktioniert diese Regel dort nicht. Aktiviere das öffentliche Profil nur, wenn die Freigabe wirklich erforderlich ist und Du die Reichweite ausreichend einschränkst.

Wenn Du den Pfad der Anwendung kennst, kannst Du die Regel enger an das Serverprogramm binden:

New-NetFirewallRule -DisplayName "HTTPS Dienst TCP 443" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 443 -Program "C:\Pfad\zur\server.exe" -Profile Domain,Private

Für HTTP/3 ist bei Bedarf eine zusätzliche UDP Regel erforderlich:

New-NetFirewallRule -DisplayName "HTTP3 UDP 443 eingehend" -Direction Inbound -Action Allow -Protocol UDP -LocalPort 443 -Profile Domain,Private

Entferne eine nicht mehr benötigte Regel wieder:

Remove-NetFirewallRule -DisplayName "HTTPS TCP 443 eingehend"

Das Löschen der Firewall Regel beendet den Serverdienst nicht. Stoppe oder deinstalliere die Anwendung ebenfalls, wenn sie nicht mehr erreichbar sein soll.

Wann ist eine Portweiterleitung am Router nötig?

Eine Portweiterleitung ist nur erforderlich, wenn ein Gerät hinter dem Router aus dem Internet über IPv4 erreichbar sein soll. Dabei wird der externe TCP Port 443 an die interne IP Adresse und den lokalen Port 443 des Servers weitergeleitet.

• Vergib dem Server eine feste interne Adresse oder eine feste DHCP Zuordnung.
• Leite nur das tatsächlich benötigte Protokoll weiter.
• Deaktiviere eine unnötige Fernverwaltung des Routers über Port 443.
• Prüfe, ob Dein Anschluss eine erreichbare öffentliche IPv4 Adresse besitzt.
• Beachte, dass eingehende IPv4 Verbindungen bei Carrier Grade NAT häufig nicht direkt möglich sind.
• Bei IPv6 ist meist keine klassische Portweiterleitung nötig, die Firewall muss den eingehenden Zugriff aber ausdrücklich erlauben.
• Teste den Zugriff aus einem fremden Netz, zum Beispiel über eine Mobilfunkverbindung.

Für Verwaltungsoberflächen ist ein VPN oder ein abgesicherter Zugang über einen zentralen Gateway Dienst meist besser als eine direkte Veröffentlichung. Ändere niemals nur die Portnummer und betrachte den Dienst anschließend als geschützt.

Typische Fehler bei Port 443 richtig einordnen

Fehlerbild	Wahrscheinliche Bedeutung	Nächster sinnvoller Schritt
TcpTestSucceeded : False	Die TCP Verbindung konnte nicht aufgebaut werden.	DNS, Zieladresse, Routing, Firewall und Serverlistener prüfen.
Connection refused	Das Ziel ist erreichbar, aber kein Dienst nimmt die Verbindung an oder eine Komponente lehnt sie aktiv ab.	Serverdienst, Bindung und lokalen Listener kontrollieren.
Zeitüberschreitung	Pakete werden häufig gefiltert oder erreichen das Ziel nicht.	Firewalls, Netzwege, VPN, Router und Sicherheitsregeln prüfen.
Zertifikatswarnung	Port 443 ist erreichbar, aber Name, Vertrauenskette, Gültigkeit oder Systemzeit passen nicht.	TLS Zertifikat, Hostname und Datum kontrollieren.
HTTP Status 403	Der Webserver antwortet, verweigert aber den Zugriff.	Berechtigungen und Anwendungskonfiguration prüfen.
HTTP Status 404	Der Webserver antwortet, findet aber die angeforderte Adresse nicht.	URL, virtuelle Website und Pfad prüfen.
HTTP Status 500	Die Verbindung funktioniert, die Anwendung meldet einen internen Fehler.	Anwendungsprotokolle und Serverkonfiguration untersuchen.
Lokal erreichbar, im Netzwerk nicht erreichbar	Der Dienst lauscht möglicherweise nur auf der lokalen Adresse oder die Host Firewall blockiert.	Bindung, Netzwerkprofil und eingehende Regel prüfen.
Im lokalen Netz erreichbar, aus dem Internet nicht erreichbar	Router, öffentliche Adresse oder vorgelagerte Firewall verhindern den Zugriff.	Portweiterleitung, IPv6 Freigabe und Anschlussart prüfen.

Eine Freigabe bedeutet nicht automatisch, dass der Port offen ist

Ein Port gilt aus Sicht eines prüfenden Geräts erst dann als offen, wenn ein erreichbarer Dienst Verbindungen annimmt. Eine Firewall Regel ohne Serverprozess führt nicht zu einem lauschenden Port. Umgekehrt kann ein Dienst lokal lauschen, aber durch eine Firewall für andere Geräte nicht erreichbar sein.

Auf die Bindungsadresse achten

Die lokale Adresse zeigt, von welchen Schnittstellen ein Dienst Verbindungen annimmt:

• 127.0.0.1:443 ist nur auf dem eigenen Computer erreichbar.
• 0.0.0.0:443 lauscht auf allen passenden IPv4 Adressen.
• [::]:443 lauscht auf passenden IPv6 Adressen und abhängig von der Anwendung möglicherweise zusätzlich auf IPv4.
• Eine bestimmte IP Adresse wie 192.168.1.50:443 bindet den Dienst gezielt an diese Schnittstelle.

Eine falsche Bindung ist besonders häufig, wenn ein lokaler Entwicklungsserver funktioniert, aber andere Geräte keine Verbindung herstellen können.

Zertifikatsfehler sind keine Portfehler

Erhältst Du eine Zertifikatswarnung, haben Client und Server Port 443 bereits erreicht und mit dem TLS Aufbau begonnen. Prüfe dann den aufgerufenen Hostnamen, die Gültigkeitsdauer, die Zertifikatskette und die Uhrzeit des Computers. Ein zusätzliches Öffnen der Firewall löst dieses Problem nicht.

Welche Windows Dienste nutzen Port 443?

Viele Windows Anwendungen und Microsoft Dienste verwenden HTTPS über Port 443. Dazu gehören Browser, Windows Update, Microsoft Store, OneDrive, Outlook, Sicherheitsdienste und zahlreiche Verwaltungswerkzeuge. Je nach Produkt können weitere Ziele, Protokolle und Ports hinzukommen.

Bei Synchronisierungsproblemen hilft es, zuerst die allgemeine HTTPS Verbindung zu prüfen und danach die jeweilige Anwendung. Der Beitrag Was ist OneDrive? erklärt die grundlegende Arbeitsweise des Cloud Dienstes. Möchtest Du die Synchronisierung bewusst beenden, findest Du die passenden Schritte unter OneDrive deaktivieren.

Auch bei Outlook ist ein fehlgeschlagener Verbindungsaufbau nicht automatisch ein falsches Kennwort. Prüfe zuerst Netzwerk, DNS, Proxy und TLS. Was bei gespeicherten Zugangsdaten tatsächlich möglich ist, erklärt der Beitrag Outlook Passwort auslesen.

Windows Update benötigt ebenfalls funktionierende HTTPS Verbindungen. Ein Fehlercode muss trotzdem nicht durch Port 443 verursacht werden. Der Fehler 0x80073712 bei Windows Update weist beispielsweise meist auf beschädigte oder fehlende Komponenten hin. Informationen zu kurzfristig veröffentlichten Korrekturen findest Du im Beitrag Was ist ein Out of Band Update?.

Port 443 sicher betreiben

Port 443 wird häufig durch Firewalls erlaubt, ist aber nicht automatisch vertrauenswürdig. Schadsoftware kann ebenfalls verschlüsselte Verbindungen nutzen. Eine reine Portregel kann nicht erkennen, ob der Inhalt erwünscht ist. Sicherheit entsteht durch mehrere passende Maßnahmen.

• Öffne eingehenden Port 443 nur auf Systemen, die einen benötigten HTTPS Dienst bereitstellen.
• Begrenze die Firewall Regel auf erforderliche Profile, Programme und Quelladressen.
• Verwende ein gültiges TLS Zertifikat für den tatsächlichen Hostnamen.
• Nutze nach Möglichkeit TLS 1.2 oder TLS 1.3 und deaktiviere veraltete Protokolle, sofern die Anwendung dies unterstützt.
• Installiere Sicherheitsupdates für Betriebssystem, Webserver, Laufzeitumgebung und Anwendung.
• Veröffentliche Verwaltungsoberflächen möglichst nur über VPN oder einen abgesicherten Gateway Dienst.
• Überwache fehlgeschlagene Anmeldungen, ungewöhnliche Anfragen und Serverfehler.
• Entferne nicht mehr benötigte Firewall Regeln und Routerfreigaben.
• Prüfe regelmäßig, welcher Prozess auf Port 443 lauscht.

Das direkte Umstellen eines RDP Dienstes von Port 3389 auf Port 443 ist keine wirksame Absicherung. Ein Remote Desktop Gateway verwendet Port 443 dagegen als kontrollierten HTTPS Zugang und trennt die externe Verbindung vom eigentlichen RDP Ziel. Entscheidend ist die Architektur, nicht die Portnummer. Weitere Informationen zu den RDP Ports findet Ihr in unserer Anleitung „Alle wichtigen Informationen über RDP-Ports„.

FAQ zu Port 443

Fazit zu Port 443

Port 443 ist der Standardport für HTTPS und damit ein zentraler Bestandteil moderner Windows und Internetverbindungen. Für das normale Surfen brauchst Du keine eingehende Freigabe. Betreibst Du selbst einen HTTPS Dienst, müssen Serveranwendung, TCP Listener, TLS Zertifikat, Windows Firewall und bei externem Zugriff auch die Netzwerkkonfiguration zusammenpassen.

Hast Du SSL oder HTTPS Probleme, so überprüfe bitte in dieser Reihenfolge: zuerst DNS, danach TCP, anschließend TLS und HTTP, dann den lokalen Listener sowie Firewall und Router. So erkennst Du sehr schnell, ob Port 443 wirklich blockiert ist oder ob die Ursache in der Anwendung beziehungsweise beim Zertifikat liegt.

FTP Port – Welche Ports werden verwendet?

SMB Port 445 und Port 139