Windows-Firewall auf einem VPS einrichten: einen Port öffnen, eine IP zulassen, sehen, was blockiert wird

Windows Server wird mit eingeschalteter Firewall ausgeliefert, und das ist die richtige Voreinstellung: Alles, was von außen eine Verbindung aufbauen will, wird abgewiesen, sofern keine Regel es durchlässt. Ändern müssen Sie das, wenn Sie etwas Eigenes betreiben, etwa eine Web-App auf Port 8080 oder einen Dienst, den nur Ihr Büro erreichen soll. Diese Anleitung erledigt alles mit PowerShell unter Windows Server 2022. Wir haben jede Regel auf unserem Image ausprobiert und von einem zweiten Rechner aus getestet, Sie wissen also, dass sie den Port wirklich öffnet oder schließt.

Öffnen Sie PowerShell als Administrator. Falls noch nicht geschehen, sichern Sie zuerst RDP ab: Diese Anleitung behandelt die Einschränkung des Remotedesktops selbst.

1. Nachsehen, was aktiv ist

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile | Format-Table InterfaceAlias, NetworkCategory

Auf unserem frischen Server waren alle drei Profile (Domain, Private, Public) aktiv, und der Netzwerkadapter lag im Profil Public. DefaultInboundAction zeigt NotConfigured, also das Windows-Standardverhalten: eingehend blockieren, ausgehend erlauben. Es zählen also die Regeln für das Profil Public.

So sehen Sie, was eingehend erlaubt ist:

Get-NetFirewallRule -Direction Inbound -Enabled True -Action Allow |
    Group-Object DisplayGroup | Sort-Object Count -Descending |
    Select-Object Count, Name -First 8

Wir haben 54 aktive eingehende Regeln gezählt. Die meisten gehören zu Windows selbst (Core Networking, Cast to Device, mDNS), dazu die drei Remotedesktop-Regeln. Ping war nicht darunter.

2. Einen Port öffnen

Angenommen, Ihre App lauscht auf TCP-Port 8080:

New-NetFirewallRule -DisplayName 'Web app 8080' -Direction Inbound `
    -Protocol TCP -LocalPort 8080 -Action Allow

Die Regel wirkt ab dem Moment, in dem sie angelegt ist. Von unserem zweiten Rechner aus wechselte Port 8080 von blockiert zu offen, während Port 8081, auf dem ebenfalls ein Programm lauschte, blockiert blieb. Eine Regel ohne -Profile gilt für alle Profile, auch für Public.

Für einen Bereich oder eine Liste nehmen Sie -LocalPort 8000-8010 oder -LocalPort 80,443. Für UDP ändern Sie -Protocol.

3. Nur bestimmte Adressen zulassen

Die meisten Dienste müssen nicht das ganze Internet annehmen. Beschränken Sie die Regel auf die Adressen, die sich verbinden sollen:

Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10
Set-NetFirewallRule -DisplayName 'Web app 8080' -RemoteAddress 203.0.113.10, 198.51.100.0/24

Wir haben beides getestet. Mit einer fremden Adresse in -RemoteAddress kam unser Testrechner nicht mehr durch. Mit seiner eigenen Adresse dazu klappte es. Denselben Parameter können Sie auf die Remotedesktop-Regeln setzen, damit RDP nur aus Ihrem Büro erreichbar ist. Wechselt Ihre private IP oft, überlegen Sie sich das für RDP lieber zweimal.

4. Ping einschalten

Ab Werk antwortet Windows nicht auf Ping. Die Regel existiert, ist aber aus:

Enable-NetFirewallRule -DisplayName 'File and Printer Sharing (Echo Request - ICMPv4-In)'

Danach antwortete unser Server sofort auf Ping. Monitoring-Tools, die die Erreichbarkeit per Ping prüfen, brauchen das. Zum Abschalten nutzen Sie Disable-NetFirewallRule mit demselben Namen.

5. Protokollieren, was blockiert wird

Wenn etwas keine Verbindung bekommt und Sie nicht wissen warum, lassen Sie die Firewall aufschreiben, was sie verwirft:

Set-NetFirewallProfile -Profile Public -LogBlocked True -LogMaxSizeKilobytes 4096
Get-Content C:\Windows\System32\LogFiles\Firewall\pfirewall.log -Tail 20

Jeder blockierte Versuch wird zu einer Zeile wie dieser:

2026-10-25 02:07:25 DROP TCP 198.51.100.7 203.0.113.25 43386 445 60 S 2112839481 0 64240 - - - RECEIVE 4

Gelesen wird sie so: Datum und Uhrzeit, Aktion, Protokoll, Quelladresse, Adresse Ihres Servers, Quellport, Zielport. Haben Sie Geduld: Windows schreibt das Protokoll stapelweise, und unsere Testeinträge tauchten etwa eine Minute nach den Versuchen auf. Die Grenze von 4 MB verhindert, dass die Datei endlos wächst.

6. Sichern und aufräumen

Speichern Sie vor einer größeren Änderung alle Regeln in eine Datei:

netsh advfirewall export C:\fw-backup.wfw

Unser Export war 148 KB groß. netsh advfirewall import C:\fw-backup.wfw stellt genau diesen Satz wieder her und ersetzt, was gerade da ist. Eine Regel, die Sie nicht mehr brauchen, löschen Sie über den Namen:

Remove-NetFirewallRule -DisplayName 'Web app 8080'

Wenn Sie sich ausgesperrt haben

Schneidet eine Regel Ihren eigenen Remotedesktop ab, öffnen Sie die Konsole in Ihrem Dashboard. Sie läuft nicht über RDP, Sie können sich also anmelden und mit Remove-NetFirewallRule oder Set-NetFirewallRule alles rückgängig machen.

NAT oder eigene IP

Bei NAT-Tarifen erreicht das Internet Ihren Server über einen persönlichen Port, der zum Remotedesktop führt. Andere Ports bleiben von außen unerreichbar, egal was Sie in der Windows-Firewall erlauben. Für eine Website oder Verbindungen auf anderen Ports brauchen Sie eine eigene IPv4: Windows Small-IP (4 vCPU, 4 GB, 50 GB, $28/Monat) gibt Ihnen eine mit allen Ports offen, dann entscheidet die Windows-Firewall. Windows-Small kostet mit NAT $11/Monat. Alle vier Windows-Tarife finden Sie auf der Seite Windows VPS, bezahlt wird in USDT, USDC oder ETH über Base, Ethereum oder Polygon.