TFTP-Client unter Windows sicher deaktivieren (und verwaiste TFTP-Dienste beseitigen)

TFTP ist ein unsicheres Dateiübertragungsprotokoll, das für bestimmte Aufgaben in der IT-Administration nach wie vor weit verbreitet ist. Gerade weil es unsicher ist, sollten Sie den TFTP-Client auf Windows-PCs deaktivieren, sobald er nicht aktiv benötigt wird. Diese Anleitung zeigt, wie Sie den TFTP-Client unter Windows sicher deaktivieren und wie Sie verwaiste TFTP-Dienste aufspüren und entfernen.

Was ist TFTP und wozu dient es?

TFTP (Trivial File Transfer Protocol) ist ein Client-Server-Protokoll zur Dateiübertragung, das weder Verschlüsselung noch Autorisierungsmechanismen vorsieht. Dadurch ist es sehr schlank und ressourcenschonend. Eingesetzt wird es vor allem dort, wo etwa leistungsschwache Netzwerkgeräte Konfigurationen abrufen, um Firmware auf Geräte zu flashen, sowie für den Netzwerkstart per PXE (Preboot Execution Environment).

Ein Gerät im Wiederherstellungsmodus kann zum Beispiel versuchen, unter einer bestimmten IPv4-Adresse einen TFTP-Server zu finden, um dort nach einem System-Image für die Wiederherstellung zu suchen, ganz ohne Eingriff der Benutzer:innen. Auch per DHCP lassen sich Informationen bereitstellen, mit denen Geräte wie VoIP-Telefone TFTP-Server ausfindig machen und von dort Konfigurationen laden.

Windows bringt einen TFTP-Client mit, der sich mit dem folgenden DISM-Befehl aktivieren lässt, um die optionale (und standardmäßig deaktivierte) TFTP-Funktion hinzuzufügen:

dism /online /enable-feature /featurename:TFTP /all

Systemadministrator:innen können den Windows-TFTP-Client anschließend nutzen, um den Zugriff auf TFTP-Server zu testen oder Dateien hochzuladen. Daneben gibt es TFTP-Clients von Drittanbietern, die als eigenständige ausführbare Dateien vorliegen.

Sollte TFTP deaktiviert werden? Ist der UDP-Port 69 sicher?

Wie erwähnt ist TFTP nicht sicher und sollte als Sicherheitsrisiko betrachtet werden. Manche Geräte sind zwar darauf angewiesen, doch es sollten Firewall-Regeln existieren, die TFTP-Clients und -Server schützen. Überall dort, wo TFTP nicht ausdrücklich benötigt wird, gehört es deaktiviert. Wird der TFTP-Client von Windows für eine bestimmte administrative Aufgabe gebraucht, sollte er danach wieder deaktiviert werden.

TFTP nutzt UDP-Port 69, sodass sich TFTP-Datenverkehr auf Netzwerkebene erkennen und blockieren lässt.

Das brauchen Sie, um den TFTP-Client unter Windows zu deaktivieren

Um den TFTP-Client unter Windows zu deaktivieren, benötigen Sie:

• Administrativen Zugriff zur Verwaltung optionaler Windows-Funktionen
• Firewall-Regeln auf den Endpunkten und ACLs am Perimeter, um exponierte TFTP-Dienste abzusichern
• Ein Inventar der Endpunkte sowie eine Liste der Verantwortlichen für alle Workflows rund um Netzwerkstart und Geräte-Imaging, damit die Kontrolle gewahrt bleibt
• Zentrale Überwachung und Protokollierung, um Funktion und Sicherheit der TFTP-Dienste zu prüfen

So deaktivieren Sie TFTP unter Windows

Mit dem folgenden DISM-Befehl deaktivieren Sie den optionalen Windows-TFTP-Client über die Eingabeaufforderung oder PowerShell:

dism /online /disable-feature /featurename:TFTP

Alternativ können Sie diesen PowerShell-Befehl verwenden:

Disable-WindowsOptionalFeature -Online -FeatureName TFTP

Dazu müssen Sie als Administrator:in angemeldet sein oder eine Eingabeaufforderung mit erhöhten Rechten verwenden.

Ob die TFTP-Client-Funktion aktiviert oder deaktiviert ist, prüfen Sie mit dem Befehl DISM:

dism /online /get-features

Möchten Sie den TFTP-Client auf mehreren Geräten in einer Windows-Domänenumgebung aktivieren oder deaktivieren, können Sie diese Befehle in ein Skript packen und per Gruppenrichtlinie verteilen. Um eine größere Bandbreite an Geräten zu erreichen, also auch Geräte außerhalb der Domäne, BYOD-Geräte oder Remote-Geräte, verteilen Sie Skripte über Ihre Lösung für Mobile Device Management (MDM) oder Fernwartung und -Verwaltung (RMM).

TFTP-Nutzung im Blick behalten

TFTP lässt sich von Angreifer:innen ausnutzen. Deshalb sollten Sie die TFTP-Nutzung im gesamten Netzwerk als Teil Ihrer Cybersicherheitspraxis überwachen. Achten Sie auf Datenverkehr über UDP-Port 69 und stellen Sie sicher, dass TFTP nur von den dafür vorgesehenen Geräten aktiv genutzt wird und die Nutzung erwartbar ist. So erkennen Sie auch Windows-Geräte, auf denen möglicherweise ein TFTP-Client eines Drittanbieters läuft, oder verwaiste TFTP-Dienste auf anderen Plattformen.

Klären Sie die Zuständigkeit für Geräte mit aktiviertem TFTP: Geräte, die das Protokoll für Boot, Imaging, Firmware oder das Ausrollen von Konfigurationen nutzen, sollten samt zuständiger Techniker:innen dokumentiert sein, damit es keine Lücken in der Kontrolle gibt. Handelt es sich um einmalige Aufgaben, sollte TFTP nach der Nutzung wieder deaktiviert werden. Prüfen Sie im Rahmen Ihrer IT-Governance regelmäßig, welche Geräte TFTP dauerhaft aktiviert haben, und klären Sie, ob sich deren Einsatz beenden lässt oder ob sie auf ein sichereres Protokoll umgestellt werden können.

TFTP-Datenverkehr auf Endpunkten und am Perimeter einschränken und blockieren

Bleibt TFTP auf Geräten aktiviert, beschränken Sie den Datenverkehr auf bekannte Ziele. Ihre Perimeter-Firewalls sollten TFTP von und zu nicht vertrauenswürdigen Netzwerken, einschließlich des Internets, blockieren. Außerdem sollten Sie TFTP auf den Endpunkten selbst blockieren, etwa über die Windows-Firewall, damit TFTP-Clients oder -Server von Drittanbietern gar nicht erst zum Einsatz kommen.

Werkzeuge wie Windows Defender Netzwerkschutz erkennen verdächtigen Netzwerkverkehr und blockieren ihn automatisiert, darunter auch Anfragen an verdächtige Server.

Verwaiste TFTP-Serverdienste aufspüren und entfernen

TFTP-Clients und -Server lassen sich auch auf Linux-, Android- und macOS-Geräten installieren. Wird in Ihrem Netzwerk unerwarteter TFTP-Datenverkehr erkannt, nutzen Sie Ihre Tools zur Netzwerküberwachung und -verwaltung, um das Gerät zu finden und den Dienst zu deaktivieren. Ersetzen Sie TFTP nach Möglichkeit durch eine sichere Alternative wie SFTP oder HTTPS, und sorgen Sie dafür, dass sich das in Konfigurationsvorlagen und Images widerspiegelt, damit es künftig nicht erneut auftaucht.

Windows-Funktionen zentral verwalten, TFTP-Nutzung überwachen und alles aus einer Oberfläche im Blick behalten

NinjaOne hilft Ihnen, die Kontrolle über Legacy-Funktionen zu behalten, die im Produktivbetrieb noch benötigt werden, und deren Risiken zu verringern. Sie können Konfigurationen durchsetzen, die den TFTP-Client auf Windows-Endpunkten deaktivieren und UDP-Port 69 blockieren, und Alarmierungen oder die automatische Erstellung von Support-Tickets einrichten, falls unerwartete TFTP-Nutzung erkannt wird. NinjaOne lässt sich mit führenden Tools zur Endpunkterkennung integrieren und verbessert so Überwachung, Durchsetzung von Richtlinien und Kontrolle.

powershell
  Disable-WindowsOptionalFeature -FeatureName TFTP -Online -NoRestart