Für Windows Server

Brute-Force-Schutz für Windows Server, der im Kernel sperrt.

ServerBouncer erkennt Angriffe auf RDP, SMB, Exchange, SQL Server und viele weitere Dienste und sperrt Angreifer per Windows Filtering Platform. RDP bleibt auf Wunsch für alle geschlossen, bis ein autorisiertes Gerät anklopft. Ohne Cloud, ohne Telemetrie – alle Daten bleiben auf Ihrem Server.

Early Access anfragen Alle Funktionen
  • WFP im Kernel
  • Lernmodus
  • Port Knocking (SPA)
  • 100 % offline
Dashboard von ServerBouncer mit Live-Feed der Anmeldeversuche, Sperren nach Ländern und einem offenen Vorfall
ServerBouncer: der Türsteher mit verschränkten Armen vor den Server-Racks

Das Problem

Jeder offene Port wird rund um die Uhr angegriffen.

RDP, SMB, OWA, SMTP oder SQL Server im Internet sehen täglich tausende Anmeldeversuche. Windows sperrt höchstens Konten – nicht die Angreifer. Und gegen unbekannte Exploits hilft keine Kontosperre, weil sie sich gar nicht anmelden.

  • Brute Force: viele Passwörter für ein Konto.
  • Password Spraying: ein Passwort für viele Konten, langsam und verteilt.
  • Verteilte Angriffe aus ganzen Subnetzen mit wechselnden Adressen.
  • Erfolgreicher Einbruch nach vielen Fehlversuchen – oft unbemerkt.
  • Exploits gegen RDP und andere Dienste, ganz ohne Anmeldung.

So funktioniert es

Vom Ereignisprotokoll zur Sperre im Kernel

ServerBouncer läuft als Windows-Dienst, liest Ereignisprotokolle und Logdateien Ihrer Dienste, bewertet jeden Fehlversuch und sperrt die Quelle über die Windows Filtering Platform – IPv4 und IPv6 gleichwertig.

So arbeitet ServerBouncer Angriffe auf RDP, SMB, Mail, Web oder SQL erzeugen Fehlanmeldungen. ServerBouncer liest Ereignisprotokolle und Logdateien, erkennt Brute Force, Password Spraying und Subnetz-Angriffe und sperrt die Quelle per WFP im Kernel, bevor weitere Pakete den Dienst erreichen. Angreifer Brute Force · Spraying Scans · Exploits Ihr Windows Server RDP · SMB · Exchange · IIS SQL · SSH · FTP · VPN · SIP Ereignisprotokoll + Logdateien Erkennung je IP · je Benutzer je Subnetz · Geo/ASN Vorfälle · Verhalten Lernmodus WFP-Sperre im Kernel IPv4 und IPv6 gestaffelte Dauer Whitelist hat Vorrang Weitere Pakete der Quelle werden verworfen – der Dienst sieht sie nicht mehr. Web-UI und CLI sbc zeigen jede Entscheidung mit Begründung.

Funktionen

Mehr als Fehlversuche zählen

Sperren per WFP

Filter direkt in der Windows Filtering Platform. Eine neue Sperre ist auf Windows Server 2025 auch bei 100.000 aktiven Filtern in unter 0,5 s wirksam.

Lernmodus

Die ersten 7 Tage wird alles erkannt, aber nur simuliert gesperrt. Sie sehen genau, was passiert wäre, bevor der Schutz scharf ist.

Password Spraying & Subnetze

Zähler je IP, je Benutzer und je Subnetz (/24, /64) erkennen auch langsame, verteilte Angriffe.

Viele Dienstprofile

RDP, SMB, Kerberos, IIS, Exchange, Mailserver, FTP, SQL Server, MySQL, PostgreSQL, OpenSSH, RRAS/NPS, RD Gateway, SIP, Firewall-Log, Regex- und JSON-Lines-Logs.

Vorfälle mit Reaktionen

Erfolgreiche Anmeldung nach vielen Fehlversuchen, aus neuem Land oder aus Cloud/Tor/VPN wird zum Vorfall – auf Wunsch mit Sitzung trennen, Konto deaktivieren oder IP sperren.

Zugriff per Anklopfen (SPA)

RDP ist für alle geschlossen, bis ein autorisiertes Gerät ein signiertes Paket sendet – die einzige Abwehr, die auch unbekannte Exploits stoppt.

Geo- und ASN-Regeln

Länder, ASN, Cloud-Netze und Tor je Dienst und Port – aus lokal importierten Dateien, ohne Online-Abfragen.

Härtungs-Check

Prüft NLA, SMBv1, Firewall, Audit-Richtlinie, Konten und RDP-Erreichbarkeit. Drei sichere Einstellungen lassen sich mit einem Klick korrigieren.

Verhaltenserkennung

Absturz des RDP-Dienstes, Verbindungen ohne Anmeldung und verdächtige Prozessketten nach einem Einbruch werden erkannt.

Alle Funktionen im Detail

Einblick

Eine Oberfläche, die Entscheidungen erklärt

Die Web-UI zeigt Versuche, Sperren und Vorfälle live – und an jeder Stelle, warum etwas passiert ist.

Vorfall mit Zeitachse: erfolgreiche Anmeldung nach vielen Fehlversuchen
Vorfälle mit Zeitachse und Reaktionen
Härtungsseite mit Punktzahl und Ein-Klick-Korrekturen für NLA, SMBv1 und Anmelde-Überwachung
Härtungs-Check mit Ein-Klick-Korrekturen
Verbindungsansicht mit Prozess, Land und Sperrstatus jeder Gegenstelle
Verbindungen mit Prozess und Sperrstatus
Geo-Regeln je Dienst mit lokal importierten Länder- und ASN-Daten
Geo- und ASN-Regeln mit lokalen Daten

Bedienung

Web-UI für den Alltag, CLI für die Automatisierung

Alles, was die Oberfläche kann, geht auch mit sbc – ideal für Skripte, Images und RMM.

PS> sbc status
Service        running · learning mode off
Firewall       WFP · self-test ok
Active blocks  1 284
Attempts 24 h  18 902
PS> sbc block 203.0.113.0/24 --minutes 240 --reason "spraying"
Blocked 203.0.113.0/24 for 240 min (all ports)
PS> sbc knock rdp.example.com rdp --minutes 60
Knock sent · rdp open for this device for 60 min
Beispielausgabe, gekürzt.
Live-Feed (Beispieldaten)
  • CN198.51.100.23RDPadministratorgesperrt
  • RU203.0.113.77SMBscanner01Fehlversuch
  • NL2001:db8::4fOWAtest.userFehlversuch
  • VN192.0.2.141SQLsagesperrt
  • US198.51.100.9SSHbackup-svcFehlversuch
  • IN203.0.113.200SMTPinfoSpraying
Illustration – keine echten Angriffe.

Zugriffsfreigaben

RDP geschlossen für alle – offen nur für Ihr Gerät

Mit Single Packet Authorization bleibt ein geschützter Dienst wie RDP, SSH oder SMB standardmäßig gesperrt. Ihr Gerät sendet mit sbc knock ein einziges, mit Ed25519 signiertes UDP-Paket. ServerBouncer öffnet den Port dann nur für diese Adresse und nur für die gewählte Zeit (15 Minuten bis 12 Stunden).

  • Schutz vor Replay, Uhrzeitprüfung und Rate-Limit
  • Whitelist und Notfallzugang an der Konsole
  • Auch ohne Fehlversuch geschützt: Exploits erreichen den Dienst nicht
Mehr über Port Knocking für Windows
Zugriffsfreigaben mit Single Packet Authorization Der RDP-Port ist für alle geschlossen. Ein autorisiertes Gerät sendet ein signiertes UDP-Paket; danach ist der Port nur für dessen Adresse für begrenzte Zeit offen. Unbekannte Absender erreichen den Dienst nie. Unbekannt Scanner, Exploit Ihr Gerät Ed25519 · sbc knock Windows Server RDP 3389 geschlossen offen nur für Ihr Gerät

Gemessen, nicht geschätzt

Schnell genug für jede Angriffswelle

Werte aus unseren Lasttests und einer Messung mit echter WFP auf Windows Server 2025.

~110.000Versuche pro Sekunde in der Erkennung
< 40 µsp99 je Versuch bei 10.000 Versuchen pro Minute
< 0,5 sbis eine neue Sperre wirkt – bei 100.000 WFP-Filtern
100.000aktive Sperren im Speicher kosten rund 1 s zusätzlich

Funktioniert vollständig offline

  • Keine Telemetrie, kein Cloud-Konto
  • Ab Werk keine ausgehenden Verbindungen
  • Geo-Daten aus lokal importierten Dateien
  • Datenbank lokal: SQLite, SQL Server oder PostgreSQL (Vorschau)

Ihre Daten bleiben bei Ihnen

Sicherheitssoftware, die nicht nach Hause telefoniert

Anmeldeversuche, Benutzernamen und IP-Adressen sind sensible Daten. ServerBouncer verarbeitet sie ausschließlich auf Ihrem Server. Die Web-UI ist ab Werk nur lokal erreichbar; der Zugriff aus dem LAN ist optional und verlangt Benutzerkonto und Zwei-Faktor-Anmeldung.

Sicherheit & Datenschutz im Detail

FAQ

Häufige Fragen

Wie schützt ServerBouncer RDP vor Brute-Force-Angriffen?

ServerBouncer liest die Anmeldeereignisse von Windows, zählt Fehlversuche je IP, je Benutzer (Password Spraying) und je Subnetz und sperrt Angreifer über die Windows Filtering Platform (WFP) im Kernel. Zusätzlich kann RDP mit Zugriffsfreigaben ganz geschlossen werden: Nur ein autorisiertes Gerät öffnet den Port per signiertem Paket.

Ist ServerBouncer eine Fail2ban-Alternative für Windows?

Ja, das Prinzip ist ähnlich: Ereignisprotokolle und Logdateien lesen, Fehlversuche zählen, Quell-IPs sperren. ServerBouncer ist dafür als Windows-Dienst gebaut, sperrt per WFP und bringt Profile für RDP, SMB, Kerberos, IIS, Exchange, Mailserver, FTP, SQL Server, MySQL, PostgreSQL, OpenSSH, RRAS, NPS, RD Gateway und SIP mit, dazu Web-UI und CLI.

Braucht ServerBouncer eine Cloud oder eine Internetverbindung?

Nein. ServerBouncer funktioniert vollständig offline, es gibt keine Telemetrie und ab Werk keine ausgehenden Verbindungen. Geo-Daten werden aus lokal importierten Dateien gelesen. Alle Daten bleiben auf dem Server.

Was passiert in den ersten Tagen nach der Installation?

ServerBouncer startet im Lernmodus (Standard 7 Tage): Alles wird erkannt und entschieden, Sperren werden aber nur simuliert. So sehen Sie, was gesperrt worden wäre, bevor der Schutz scharf geschaltet wird.

Welche Datenbanken werden unterstützt?

SQLite ist der Standard. Alternativ können SQL Server (auch Express) oder PostgreSQL (Vorschau) verwendet werden.

Lässt sich ServerBouncer automatisiert verteilen?

Ja. Das MSI unterstützt eine stille Installation mit Properties für Port, Lernmodus, Whitelist und eine vorbereitete Konfigurationsdatei, zum Beispiel per GPO, Intune oder RMM.

Bereit, Ihre Server zu schützen?

ServerBouncer ist im Early Access. Wir freuen uns auf Ihre Anfrage.

Early Access anfragenInstallation ansehen