Funktionen

Alle Funktionen von ServerBouncer

Erkennen, sperren, verstehen: ServerBouncer schützt Windows Server vor Brute Force, Password Spraying und den Folgen eines Einbruchs – lokal und nachvollziehbar.

Erkennung: Brute Force, Spraying, Subnetze

ServerBouncer zählt Fehlanmeldungen in einem gleitenden Fenster (Standard 30 Minuten) mit drei Zählern:

  • je IP – Standard 5 Fehlversuche,
  • je IP und Anzahl verschiedener Benutzer – erkennt Password Spraying (Standard 4 Benutzer),
  • je Subnetz (/24 bzw. /64) – 20 Fehlversuche von mindestens 3 Adressen.

Dazu kommen Köder-Benutzernamen wie admin oder sa (ein Versuch genügt), doppelte Gewichtung unbekannter Benutzer und höhere Schwellen für Adressen mit erfolgreicher Anmeldung in den letzten 14 Tagen. Schwellen und Fenster sind global und je Profil einstellbar.

Liste der Anmeldeversuche mit Land, Dienst, Benutzer und Ergebnis

Sperren im Kernel per Windows Filtering Platform

Sperren landen als Filter in der WFP – Pakete der Quelle werden verworfen, bevor sie den Dienst erreichen. Auf Windows Server 2025 war eine neue Sperre auch bei 100.000 aktiven Filtern in unter 0,5 s wirksam. Die Windows-Firewall dient nur als Ausweichlösung.

  • Gestaffelte Dauer: 1 h, 24 h, ab der dritten Sperre 7 Tage – konfigurierbar, auch dauerhaft
  • Alle Ports oder nur bestimmte lokale Ports, auch ganze CIDR-Bereiche
  • Whitelist mit IPs, Netzen und Hostnamen hat immer Vorrang
  • Schutz vor Selbstaussperrung: Adressen aktiver RDP- und Admin-Sitzungen werden nie gesperrt
  • Jede Sperre zeigt ihre Begründung
Sperrliste mit Erklärung, warum eine Adresse gesperrt wurde

Lernmodus: erst beobachten, dann schützen

Nach der Installation startet ServerBouncer im Lernmodus, standardmäßig für 7 Tage. Alles wird gezählt und entschieden, statt einer Sperre wird aber nur „hätte gesperrt“ gespeichert. Sie prüfen in Ruhe Whitelist und Schwellen und schalten dann scharf – oder lassen den Lernmodus automatisch enden. Per MSI-Property lässt er sich auch direkt abschalten.

Profile für Ihre Dienste

Profile lesen Ereignisprotokolle oder Logdateien und liefern einheitliche Anmeldeversuche:

BereichProfile
WindowsRDP, SMB/NTLM, Kerberos, RD Gateway, RRAS, NPS
Web & MailIIS, Apache/nginx-Logs, Exchange (u. a. OWA, ActiveSync), Mailserver, Web-Scan-Regeln
DatenbankenSQL Server, MySQL, PostgreSQL
Dateitransfer & FernzugriffIIS-FTP, FileZilla, OpenSSH
WeitereSIP, Windows-Firewall-Log, eigene Regex- und JSON-Lines-Logs

Regex-Vorlagen gibt es u. a. für hMailServer, MailEnable, SmarterMail, MDaemon, Kerio Connect, Serv-U und SolarWinds SFTP; sie sind als ungeprüft gekennzeichnet.

Profilübersicht mit Status je Quelle

Vorfälle: wenn ein Angriff Erfolg hatte

Ein Fehlversuch ist harmlos – eine erfolgreiche Anmeldung danach nicht. ServerBouncer erstellt Vorfälle mit Zeitachse und Status, u. a. bei:

  • erfolgreicher Anmeldung nach vielen Fehlversuchen von derselben IP oder demselben Subnetz,
  • Anmeldung aus gesperrtem Netz, aus neuem Land, aus Hosting/Cloud/Tor/VPN oder zu ungewöhnlicher Uhrzeit,
  • Absturz des RDP-Dienstes und verdächtigen Prozessketten (siehe Verhaltenserkennung).

Standard ist nur Alarm. Pro Regel lassen sich Reaktionen einschalten: Sitzung trennen, Konto deaktivieren, IP sperren. Vorfälle erscheinen live in der Web-UI, in der CLI und im Windows-Ereignisprotokoll.

Vorfalldetail mit Zeitachse und Reaktionen

Zugriffsfreigaben und Port Knocking (SPA)

Geschützte Dienste – etwa RDP, SSH, SMB oder SQL – sind für alle gesperrt, außer für Loopback, Whitelist und aktive Freigaben. Freigaben gelten je Quell-IP oder Netz und Dienst für 15 Minuten bis 12 Stunden und schließen sich automatisch.

Mit sbc knock sendet ein registriertes Gerät ein einzelnes, mit Ed25519 signiertes UDP-Paket. Replay-Schutz, Uhrzeittoleranz und Rate-Limit sind eingebaut, ungültige Pakete zählen als Fehlversuche, und an der Konsole gibt es einen Notfallzugang.

RDP geschlossen für alle, bis ein autorisiertes Gerät anklopft – die einzige Abwehr, die auch unbekannte Exploits stoppt.

Zugriffsfreigaben mit geschützten Diensten, Geräten und aktiven Freigaben

Geo-, ASN- und Netzwerktyp-Regeln

Regeln je Dienst und Port nach Land, ASN oder Netzwerktyp: Cloud-Bereiche von AWS, Azure, Google Cloud und Oracle, Tor-Exit-Knoten und eigene VPN-/Hosting-Listen. Die Daten importieren Sie lokal (RIR-Statistiken, MMDB-Dateien, JSON-Listen der Anbieter) – ServerBouncer lädt nichts selbst herunter und fragt keine Online-Dienste ab.

Land und ASN erscheinen in Sperrliste, Versuchen und IP-Details.

Geo-Regeln je Dienst mit Quellenangaben der importierten Daten

Härtungs-Check mit Ein-Klick-Korrekturen

Viele Einbrüche brauchen kein Passwort, nur eine zu große Angriffsfläche. Die Härtung prüft wenige, wirksame Punkte, erklärt sie und vergibt eine Punktzahl:

  • RDP: NLA, Sicherheitsschicht, Erreichbarkeit, Port, RD Gateway
  • SMBv1, Windows-Firewall-Profile
  • Überwachung von Anmeldung und Prozesserstellung
  • Kontosperre, Gastkonto, integrierter Administrator

Drei sichere Umschalter lassen sich nach Bestätigung mit einem Klick korrigieren: NLA erzwingen, SMBv1 abschalten, Anmelde-Überwachung einschalten. Alles andere bleibt eine Empfehlung, die Sie selbst umsetzen.

Härtungsseite mit Punktzahl, Befunden und Korrektur-Schaltflächen

Verhaltenserkennung: Exploits melden sich nicht an

Brute-Force-Erkennung sieht nur Fehlanmeldungen. Die Verhaltenserkennung achtet auf typische Nebenwirkungen von Angriffen:

  • Absturz oder unerwartetes Ende des RDP-Dienstes – Vorfall mit Priorität „High“, Sperre der Gegenstellen kurz davor,
  • RDP-Verbindungen ohne Anmeldung („Handshake only“) – zählen als gewichtete Fehlversuche,
  • Prozessketten nach einem Einbruch – ein Netzwerkdienst startet eine Shell, ein LOLBin oder ein unsigniertes Programm: Vorfall „Critical“.

Jede Erkennung ist einzeln schaltbar, mit Reaktion „Sperren“ oder „Nur Alarm“. ServerBouncer beendet oder verändert dabei nie einen Prozess oder Dienst.

Vorfall der Verhaltenserkennung mit Prozesskette

Verbindungen und Prozesse im Blick

Zwei Ansichten zeigen, was auf dem Server läuft und wer mit ihm spricht: alle TCP-Verbindungen, Listener und UDP-Endpunkte mit Prozess, Sperr- und Whitelist-Status sowie ein Prozessbaum mit Benutzer, Befehlszeile, CPU, Speicher und offenen Ports.

  • Authenticode-Signatur, auch für katalogsignierte Windows-Dateien – offline geprüft
  • SHA-256 auf Anforderung, mit Link zur Suche bei VirusTotal, den Ihr Browser öffnet; der Server lädt nichts hoch
  • Nur lesend: keine Schaltfläche beendet Prozesse oder trennt Verbindungen
Prozessdetail mit Signatur, SHA-256 und Verbindungen

Web-UI und CLI

Web-UI

  • Ab Werk nur lokal unter https://localhost:8443; der lokale Administrator braucht dort kein Konto und keine 2FA
  • LAN-Zugriff per Opt-in mit Benutzerkonto und Pflicht-2FA (Passkeys oder TOTP)
  • Step-up-2FA für kritische Änderungen, Rollen Reader, Operator und Admin
  • Live-Daten, Befehlspalette, Tastaturkürzel, hell und dunkel, Deutsch und Englisch

CLI sbc

  • Status, Sperren, Whitelist, Vorfälle und Benutzer verwalten
  • sbc config export/import für einheitliche Konfiguration auf mehreren Servern
  • sbc knock für Zugriffsfreigaben, ohne Administratorrechte
  • API-Tokens für eigene Skripte

Betrieb und Bereitstellung

MSI und stille Installation

Verteilung per GPO, Intune oder RMM mit Properties für Port, Lernmodus, Whitelist und vorbereitete Konfiguration.

SQLite, SQL Server, PostgreSQL

SQLite ist der Standard. Für größere Umgebungen SQL Server (auch Express) oder PostgreSQL (Vorschau).

Offline und datensparsam

Keine Telemetrie, ab Werk keine ausgehenden Verbindungen, Diagnose-Export als ZIP mit optionaler Schwärzung – ohne Upload.

Schutz für Ihren Anwendungsfall

RDP-Schutz

RDP absichern gegen Brute Force und Password Spraying: Sperren per WFP, RDP per Port Knocking ganz schließen, Absturz- und Handshake-Erkennung.

SMB & Kerberos

Fehlanmeldungen über SMB/NTLM und Kerberos erkennen, Password Spraying aufdecken und Angreifer-IPs auf Windows Server per WFP sperren.

Exchange, IIS & Mail

Brute-Force-Schutz für Exchange (OWA, ActiveSync), IIS, IIS-FTP und Mailserver wie hMailServer oder MDaemon – über Log- und Ereignisprofile.

SQL Server & Datenbanken

Fehlgeschlagene Datenbank-Anmeldungen bei SQL Server, MySQL und PostgreSQL erkennen und die Quell-IPs auf Windows Server automatisch sperren.

Fail2ban für Windows

Fail2ban-Prinzip für Windows Server: Ereignisprotokolle und Logdateien lesen, Fehlversuche zählen, Angreifer sperren – mit Web-UI, CLI und WFP.

Port Knocking (SPA)

RDP, SSH oder SMB für alle geschlossen halten und nur für autorisierte Geräte öffnen: Single Packet Authorization mit Ed25519 für Windows Server.

Geo-Blocking

Länder, ASN, Cloud-Netze und Tor je Dienst und Port sperren – mit lokal importierten Daten, ohne Online-Abfragen, auf Windows Server.

ServerBouncer ausprobieren

Early Access anfragenRoadmap ansehen