LDAP ports: Welche Ports wirklich offen sein müssen und warum

Ich sehe das ständig: Jemand öffnet “einfach mal alles rund um LDAP”, damit es schnell läuft. Ergebnis: mehr Angriffsfläche, mehr Chaos, mehr Rückfragen. LDAP ports sind nicht kompliziert. Du musst nur wissen, welcher Port für welchen Zweck da ist und wann du ihn wirklich brauchst.

LDAP ports im Überblick

LDAP steht für Lightweight Directory Access Protocol. Damit greifen Clients, Server und Dienste auf Verzeichnisdaten zu, zum Beispiel Benutzer, Gruppen, Computer oder Richtlinien. Der wichtigste Standardport ist 389.

• 389/TCP – klassisches LDAP
• 389/UDP – in bestimmten Szenarien für LDAP Ping / Standorterkennung
• 636/TCP – LDAP über SSL/TLS, oft als LDAPS bezeichnet
• 3268/TCP – Global Catalog über LDAP
• 3269/TCP – Global Catalog über SSL/TLS

Die offizielle Port-Zuordnung findest du auch im IANA Service Name and Transport Protocol Port Number Registry.

Wofür du LDAP ports wirklich brauchst

Der Job von LDAP ist simpel: Ein Client fragt ein Verzeichnis ab. In der Praxis bedeutet das oft:

• Anmeldung an Windows-Domänen
• Benutzer- und Gruppenabfragen
• Applikationen lesen Identitäten aus dem Verzeichnis
• Single Sign-on und Authentifizierung
• Globale Suche über mehrere Domänen hinweg

Wenn du also eine App, einen Drucker, ein NAS oder einen Linux-Server an AD bindest, prüfst du zuerst: Welche LDAP ports braucht dieses Gerät wirklich? Nicht mehr. Nicht weniger.

Der wichtigste Port: 389

389/TCP ist der Standardport für LDAP. Darüber laufen die meisten klassischen Verzeichnisabfragen. In vielen internen Netzwerken funktioniert das problemlos. Trotzdem ist genau hier der Punkt, an dem ich direkt bremsen würde: Unverschlüsselt ist nicht automatisch sicher.

Wenn du LDAP ohne Verschlüsselung nutzt, können Inhalte im Netzwerk im Klartext übertragen werden. Das ist vor allem dann ein Problem, wenn Abfragen über unsichere Netze, VLAN-Grenzen oder externe Strecken laufen.

Wann du 636 brauchst

636/TCP ist die verschlüsselte Variante, meist LDAPS genannt. Ich nutze diesen Port immer dann, wenn sensible Daten übertragen werden oder wenn ich das Risiko klar reduzieren will.

Typische Fälle:

• Login- oder Bind-Vorgänge mit sensiblen Daten
• Verbindungen über unsichere oder nicht vollständig kontrollierte Netze
• Applikationen, die TLS voraussetzen
• Compliance-Anforderungen mit Verschlüsselungspflicht

Wichtig: Nur weil 636 offen ist, heißt das nicht, dass jede App es sofort nutzt. Die Anwendung muss TLS auch wirklich unterstützen und korrekt konfiguriert sein.

3268 und 3269: Global Catalog

Wenn du in einer Active-Directory-Umgebung arbeitest, tauchen oft auch 3268 und 3269 auf. Das sind die Ports für den Global Catalog.

Der Global Catalog ist wichtig, wenn du:

• domänenübergreifend suchen willst
• Objekte in mehreren Domänen finden musst
• Anwendungen hast, die forestweite Abfragen machen

3268/TCP ist unverschlüsselt, 3269/TCP ist die TLS-Variante. Wenn du nur lokale LDAP-Abfragen brauchst, musst du diese Ports oft gar nicht öffnen.

TCP vs. UDP bei LDAP ports

Hier wird es oft unnötig verwirrend. Die meisten Leute denken bei LDAP nur an TCP. Das ist für normale Verzeichnisabfragen auch richtig. UDP taucht in manchen Umgebungen für bestimmte Discovery- oder Ping-Funktionen auf. In typischen Produktionsszenarien ist der relevante Traffic aber fast immer TCP.

Meine Regel:

• TCP zuerst prüfen
• UDP nur öffnen, wenn du den konkreten Bedarf nachweisen kannst
• Keine pauschalen Freigaben

Welche LDAP ports in Active Directory oft zusätzlich relevant sind

Wenn du mit Active Directory arbeitest, reicht LDAP allein oft nicht aus. Dann kommen meist noch andere Ports dazu. Microsoft dokumentiert die notwendigen Ports in der Übersicht zur Firewall-Konfiguration für Domänen und Vertrauensstellungen: Konfigurieren der Firewall für AD-Domänen und Vertrauensstellungen.

Typische Begleitports sind zum Beispiel:

• 53 für DNS
• 88 für Kerberos
• 445 für SMB / Microsoft-DS
• 135 für RPC Endpoint Mapper
• weitere dynamische RPC-Ports je nach Szenario

Das ist der Punkt, den viele falsch machen: Sie öffnen LDAP ports und wundern sich, warum die Domänenanmeldung trotzdem nicht läuft. LDAP ist nur ein Teil vom System.

So entscheide ich, welche Ports offen sein müssen

Ich arbeite immer nach diesem Prinzip: erst den Use Case klären, dann Ports freigeben. Nicht andersherum.

• 1. Was verbindet sich womit? Client, Server, App, DC, GC
• 2. Brauche ich unverschlüsselt oder TLS?
• 3. Nutze ich nur eine Domäne oder mehrere?
• 4. Reicht Standard-LDAP oder brauche ich Global Catalog?
• 5. Gibt es echte Abhängigkeiten zu DNS, Kerberos oder SMB?

Wenn du diese fünf Fragen sauber beantwortest, kannst du die Firewall schlank halten.

Die häufigsten Fehler bei LDAP ports

Hier ist die kurze Liste der Fehler, die ich am häufigsten sehe:

• Zu viele Ports offen – alles wird freigegeben, obwohl nur ein Port gebraucht wird
• Falscher Port – 3268 statt 389 oder 636 statt 3269, obwohl der Use Case anders ist
• Kein TLS – obwohl sensible Daten übertragen werden
• Firewall nur auf einer Seite geprüft – Client-Firewall, Server-Firewall und Netzwerk-Firewall sind nicht synchron
• DNS vergessen – LDAP funktioniert nicht sauber, weil Namensauflösung fehlt

Praktische Tipps, die ich immer anwende

Wenn du es sauber machen willst, geh so vor:

• Nur notwendige LDAP ports öffnen – minimaler Zugriff, maximale Kontrolle
• Wenn möglich immer TLS nutzen – also 636 oder 3269
• Regeln auf Quell- und Zielsysteme begrenzen – nicht das ganze Netz erlauben
• Nach Änderungen testen – Port offen heißt nicht automatisch Auth funktioniert
• Logs prüfen – dort siehst du, ob Clients wirklich den erwarteten Port nutzen

Mein Fazit zu LDAP ports

LDAP ports sind kein Thema für blindes Freischalten, sondern für sauberes Entscheiden. Der Standard ist meistens 389, die sichere Variante ist 636, und für den Global Catalog kommen 3268 und 3269 dazu. Wenn du Active Directory betreibst, musst du außerdem die restliche Domänenkommunikation im Blick behalten.

Mein Rat ist einfach: öffne nur die Ports, die dein konkreter Anwendungsfall wirklich braucht. So hältst du die Umgebung sicher, schlank und wartbar. Genau so arbeite ich mit LDAP ports.