Mit TCPView kannst du unter Windows 11 laufende TCP- und UDP-Verbindungen nach Prozess, lokaler Adresse, Gegenstelle und Verbindungsstatus aufschlüsseln. Für eine belastbare Prüfung reicht es jedoch nicht, nur eine lange Verbindungsliste zu sehen: Ein Eintrag kann eine echte Internetverbindung, einen lokalen Systemdienst, eine Verbindung im Heimnetz oder lediglich einen wartenden Netzwerkport darstellen. Starte TCPView möglichst mit Administratorrechten, sortiere die Ansicht nach dem Prozessnamen und prüfe verdächtige Einträge anschließend anhand von PID, Zieladresse und Status.
Die wichtigste Einschränkung: TCPView zeigt den Netzwerkverkehr nicht als Dateninhalt an. Du erfährst, welcher Prozess mit welcher Gegenstelle verbunden ist, aber nicht, welche Dateien, Kennwörter oder Protokolldaten übertragen werden. Für die erste Zuordnung unbekannter Verbindungen ist das Werkzeug dennoch deutlich übersichtlicher als eine ungefilterte Befehlsausgabe.
TCPView sicher beziehen und unter Windows 11 starten
TCPView gehört zur Sysinternals-Werkzeugsammlung von Microsoft. Lade das Programm über die offizielle Microsoft-Sysinternals-Seite für TCPView herunter. So verringerst du das Risiko, eine veränderte oder mit Zusatzsoftware gebündelte Datei zu erhalten. Das Werkzeug ist portabel und muss normalerweise nicht wie ein klassisches Windows-Programm installiert werden.
- Entpacke das heruntergeladene Archiv in einen eigenen Ordner, beispielsweise innerhalb deines Benutzerordners.
- Klicke die zu deinem System passende ausführbare TCPView-Datei mit der rechten Maustaste an.
- Wähle Als Administrator ausführen und bestätige die Benutzerkontensteuerung.
- Akzeptiere beim ersten Start gegebenenfalls die angezeigten Lizenzbedingungen.
- Warte einige Sekunden, bis sich die Liste der Netzwerkendpunkte gefüllt hat.
Administratorrechte sind für eine reine Übersicht nicht in jeder Situation zwingend. Sie verbessern aber die Chance, Verbindungen und Prozessinformationen auch bei Systemdiensten oder Prozessen anderer Sicherheitskontexte vollständig zuzuordnen. Bleiben einzelne Angaben trotzdem leer, ist das nicht automatisch ein Hinweis auf Schadsoftware. Geschützte Prozesse und sehr kurzlebige Verbindungen können die Anzeige einschränken.
Welche Ausgabe du verwendest, kannst du unter Einstellungen > System > Systeminformationen beim Eintrag Systemtyp kontrollieren. Auf üblichen 64-Bit-PCs ist die 64-Bit-Ausgabe die passende Wahl. Bei ARM-Geräten ist die dafür vorgesehene Variante zu verwenden, sofern sie im offiziellen Paket enthalten ist.
Was die Spalten über ein Programm verraten
Jede Zeile steht für einen Netzwerkendpunkt, nicht zwingend für ein eigenständiges Programm. Ein Prozess kann deshalb mehrfach erscheinen, wenn er verschiedene Server kontaktiert, mehrere Protokolle verwendet oder gleichzeitig über IPv4 und IPv6 kommuniziert. Für die Beurteilung sind vor allem Prozessname, PID, Protokoll, lokale Adresse, entfernte Adresse und Status relevant.
- Process beziehungsweise Process Name: Bezeichnet die ausführbare Datei, der TCPView den Endpunkt zuordnet.
- PID: Die Prozess-ID identifiziert genau die laufende Instanz. Zwei Prozesse mit gleichem Namen können unterschiedliche PIDs besitzen.
- Protocol: Zeigt unter anderem TCP oder UDP sowie die verwendete IP-Version.
- Local Address und Local Port: Nennen die lokale Netzwerkschnittstelle und den Port deines PCs.
- Remote Address und Remote Port: Bezeichnen die Gegenstelle und deren Dienstport. Bei UDP ist keine dauerhaft aufgebaute Sitzung erforderlich, weshalb diese Angaben anders zu bewerten sind als bei TCP.
- State: Beschreibt den Zustand einer TCP-Verbindung, etwa eine bestehende Sitzung oder einen wartenden Port. UDP besitzt keinen vergleichbaren TCP-Verbindungsstatus.
Die PID ist besonders nützlich, wenn ein allgemeiner Prozessname auftaucht. Öffne parallel den Task-Manager, wechsle bei Bedarf zu Details und gleiche dort Name und PID ab. Falls die PID-Spalte im Task-Manager an einer anderen Stelle fehlt, bietet die Detailansicht die verlässlichere Zuordnung als die vereinfachte Prozessübersicht.
Internetverbindung, Heimnetz oder nur ein offener Port?
Ein sichtbarer Eintrag beweist noch nicht, dass Daten das Internet erreichen. Ordne zuerst die Adresse und danach den TCP-Status ein. Diese Reihenfolge verhindert, dass lokale Kommunikation vorschnell als unerwünschter Internetzugriff gilt.
Loopback bleibt auf dem eigenen Rechner
Die IPv4-Adresse 127.0.0.1 und die IPv6-Adresse ::1 verweisen auf den eigenen PC. Browser, Entwicklungswerkzeuge, Sicherheitsprogramme und lokale Hintergrunddienste nutzen solche Loopback-Verbindungen, um Komponenten auf demselben Rechner miteinander kommunizieren zu lassen. Auch Namen wie localhost gehören in diesen Zusammenhang.
Eine Verbindung zu einer Loopback-Adresse verlässt den PC nicht. Sie kann sicherheitsrelevant sein, wenn ein unerwartetes Programm lokal einen Dienst anbietet, ist aber keine direkte Internetübertragung.
Private Adressen gehören meist zum lokalen Netzwerk
IPv4-Ziele aus 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 sind für private Netze vorgesehen. Typische Gegenstellen sind Router, NAS-Systeme, Drucker, andere PCs oder virtuelle Maschinen. Link-lokale IPv4-Adressen im Bereich 169.254.0.0/16 entstehen häufig, wenn keine reguläre Adressvergabe verfügbar ist.
Bei IPv6 deutet fe80::/10 auf eine link-lokale Adresse hin. Sie gilt nur innerhalb des unmittelbar erreichbaren Netzwerksegments. Eine solche Zeile kann daher Netzverkehr anzeigen, ohne eine öffentliche Internet-Gegenstelle zu bezeichnen.
Öffentliche Ziele können das Internet betreffen
Liegt die entfernte Adresse außerhalb der lokalen und privaten Bereiche, handelt es sich häufig um eine öffentlich erreichbare Gegenstelle. Erst zusammen mit einem aktiven TCP-Status oder einer beobachteten UDP-Aktivität ergibt sich daraus ein starker Hinweis auf Internetkommunikation.
Der Zielname ist dabei nicht immer selbsterklärend. Viele Anwendungen greifen auf Cloud-Plattformen, Inhaltsverteilungsnetze, Anmeldedienste oder gemeinsam genutzte Server zurück. Die Gegenstelle kann deshalb den Namen eines Infrastrukturbetreibers tragen, obwohl der auslösende Prozess zu einer anderen Anwendung gehört. Der Prozessname und seine PID bleiben die primären Anhaltspunkte.
LISTENING bedeutet noch keine ausgehende Übertragung
Ein TCP-Endpunkt im Status LISTENING wartet auf eingehende Verbindungen. Steht bei der lokalen Adresse 0.0.0.0 oder ::, lauscht der Dienst möglicherweise auf mehreren Netzwerkschnittstellen. Das ist nicht mit einer bereits aufgebauten Internetverbindung gleichzusetzen.
Der Status ESTABLISHED bezeichnet dagegen eine aufgebaute TCP-Verbindung. Zustände wie TIME_WAIT können nach dem Ende einer Sitzung vorübergehend sichtbar bleiben. Solche Reste zeigen keine fortlaufende Datenübertragung an.
Mit dieser Prüfreihenfolge findest du auffällige Programme
Die schnellste belastbare Auswertung entsteht durch eine kontrollierte Beobachtung statt durch das wahllose Schließen einzelner Zeilen. TCPView aktualisiert seine Anzeige laufend; dadurch kannst du eine Aktion im Programm direkt mit neu erscheinenden Netzwerkendpunkten vergleichen.
- Schließe Anwendungen, die du für den Test nicht benötigst. Lass Windows-Sicherheitsfunktionen und wichtige Systemdienste aktiv.
- Starte TCPView als Administrator und beobachte die Liste zunächst ohne weitere Aktionen.
- Sortiere nach Prozessname, damit alle Endpunkte derselben Anwendung zusammenstehen.
- Notiere bei einem unbekannten Eintrag Prozessname, PID, Protokoll, Gegenstelle, Port und TCP-Status.
- Öffne danach gezielt die Anwendung, deren Netzwerkverhalten du untersuchen möchtest, oder führe darin genau eine Aktion aus.
- Prüfe, welche Zeilen neu erscheinen und ob sie nach dem Beenden der Aktion wieder verschwinden.
- Vergleiche die PID mit dem Task-Manager und kontrolliere den Speicherort der ausführbaren Datei.
TCPView hebt neu angelegte Endpunkte, Statusänderungen und entfernte Einträge vorübergehend farblich hervor. Die Farben erleichtern die zeitliche Beobachtung, sind aber keine Gefahrenbewertung. Eine neu erscheinende Verbindung ist nicht automatisch verdächtig, und eine unauffällige Farbe bestätigt keine Vertrauenswürdigkeit.
Ein gut reproduzierbarer Test ist aussagekräftiger als ein einzelner Schnappschuss. Beendest du beispielsweise eine Anwendung vollständig und verschwindet gleichzeitig die zugehörige PID aus dem Task-Manager sowie aus TCPView, ist die Zuordnung plausibel. Bleibt der Prozess aktiv, kann eine Hintergrundkomponente, ein Autostart-Eintrag oder ein Dienst zur Anwendung gehören.
Unbekannte Prozessnamen ohne Fehlalarm untersuchen
Bei einem unbekannten Prozess entscheidet nicht der ungewöhnliche Name allein. Prüfe zuerst, wo die Datei liegt, ob sie digital signiert ist und ob ihr Start zeitlich zu einer installierten Anwendung oder Windows-Funktion passt.
- Suche im Task-Manager anhand der PID nach dem passenden Prozess.
- Öffne über das Kontextmenü den Dateispeicherort, sofern Windows diese Möglichkeit anbietet.
- Rufe die Eigenschaften der Datei auf und kontrolliere unter Digitale Signaturen, ob eine gültige Signatur vorhanden ist.
- Prüfe, ob Dateiname, Herstellerangabe und Ordner logisch zusammenpassen.
- Führe bei verbleibenden Zweifeln eine Überprüfung mit Microsoft Defender aus.
Eine gültige Signatur beweist nicht, dass jede Netzwerkaktivität erwünscht ist. Sie hilft jedoch dabei, eine unveränderte Datei einem bekannten Herausgeber zuzuordnen. Umgekehrt ist eine fehlende Signatur allein kein Schadsoftwarebeweis; kleinere Werkzeuge und selbst entwickelte Programme können unsigniert sein.
Besondere Aufmerksamkeit verdient eine Datei, deren Name einen Windows-Prozess nachahmt, die aber in einem ungewöhnlichen Benutzer-, Download- oder temporären Ordner liegt. Auch hier ist der Speicherort nur ein Indiz. Lösche die Datei nicht direkt, solange unklar ist, ob sie von einer legitimen Anwendung benötigt wird. Lasse sie zuerst prüfen und verwende bei einem bestätigten Fund die vorgesehenen Quarantänefunktionen.
Namensauflösung ein- oder ausschalten
TCPView kann numerische IP-Adressen in lesbarere Namen auflösen. Das erleichtert die Einordnung einer Gegenstelle, kann die Ansicht aber unruhiger machen und zusätzliche Namensabfragen auslösen. Außerdem ist ein aufgelöster Hostname nicht zwangsläufig der Name des eigentlichen Dienstanbieters.
Schalte die Namensauflösung für eine erste technische Bestandsaufnahme aus, wenn du unveränderte IP-Adressen notieren oder schnelle Änderungen verfolgen möchtest. Aktiviere sie danach zur Orientierung wieder. Vergleiche dabei stets dieselbe Zeile anhand von Prozess, PID, Port und Status, weil der Wechsel zwischen Name und IP-Adresse optisch wie eine andere Gegenstelle wirken kann.
TCP und UDP richtig unterscheiden
TCP baut eine zustandsbehaftete Verbindung zwischen zwei Endpunkten auf. Deshalb kann TCPView Zustände wie ESTABLISHED, LISTENING oder TIME_WAIT anzeigen. Eine TCP-Zeile lässt sich dadurch meist leichter als aktive Sitzung, wartender Dienst oder beendete Verbindung einordnen.
UDP arbeitet verbindungslos. Eine Anwendung kann Datenpakete senden oder empfangen, ohne zuvor eine dauerhafte Sitzung aufzubauen. Fehlt bei einem UDP-Eintrag eine eindeutige entfernte Gegenstelle, bedeutet das daher nicht, dass der Prozess keinen Netzwerkverkehr verursacht. Typische Einsatzbereiche sind Namensauflösung, Geräteerkennung, Sprach- und Videoübertragung sowie zeitkritische Netzwerkdienste.
Für die Frage, wie viel ein UDP-Prozess sendet oder welchen Inhalt seine Pakete besitzen, reicht TCPView nicht aus. Das Programm dient hier vor allem der Zuordnung von Endpunkt, lokalem Port und Prozess. Eine Paketaufzeichnung wäre eine andere Untersuchung und sollte nur in Netzwerken erfolgen, für die du zur Analyse berechtigt bist.
Verbindungen schließen oder Prozesse beenden: nur als gezielter Test
TCPView kann je nach Eintrag eine TCP-Verbindung schließen oder den zugehörigen Prozess beenden. Beide Eingriffe verändern den laufenden Zustand und sind für die reine Beobachtung unnötig. Das Schließen einer Verbindung ist außerdem keine dauerhafte Sperre: Die Anwendung kann sie sofort erneut aufbauen.
Beende keine Prozesse, die du nicht sicher zuordnen kannst. Bei Systemdiensten können dadurch Anmeldung, Netzwerkzugriff, Updates oder andere Windows-Funktionen bis zum Neustart ausfallen. In Anwendungen droht der Verlust ungespeicherter Daten.
Wenn du eine Verbindung testweise trennen möchtest, speichere zuerst offene Arbeit. Schließe nur eine eindeutig zugeordnete TCP-Verbindung und beobachte danach sowohl die Anwendung als auch TCPView. Erscheint dieselbe Gegenstelle unmittelbar wieder, baut das Programm die Sitzung selbstständig neu auf. Bleibt eine benötigte Funktion aus, starte die Anwendung regulär neu.
Für eine dauerhafte Kontrolle sind die Einstellungen der betreffenden Anwendung, Autostart, Hintergrundberechtigungen, Dienste und ausgehende Firewallregeln die geeigneteren Ansatzpunkte. Eine Firewallregel sollte jedoch erst nach eindeutiger Zuordnung erstellt werden. Blockierst du pauschal einen gemeinsam genutzten Windows-Dienst, können mehrere Funktionen betroffen sein.
Was du aus der TCPView-Anzeige ableiten kannst
- Wenn eine öffentliche Gegenstelle zusammen mit
ESTABLISHEDerscheint, besteht eine aktive TCP-Verbindung, die häufig über das Internet führt. - Wenn nur
LISTENINGzu sehen ist, wartet der Prozess auf Verbindungen; eine ausgehende Internetübertragung ist damit nicht belegt. - Wenn das Ziel eine Loopback-Adresse ist, bleibt die Kommunikation auf dem PC.
- Wenn das Ziel in einem privaten Adressbereich liegt, führt die Verbindung in der Regel zu einem Gerät oder Dienst im lokalen beziehungsweise virtuellen Netzwerk.
- Wenn Prozessname und PID im Task-Manager zusammenpassen, ist die technische Zuordnung deutlich belastbarer als eine Bewertung nur anhand des Dateinamens.
- Wenn ein Eintrag nach dem Schließen des sichtbaren Programmfensters bestehen bleibt, läuft möglicherweise ein Hintergrundprozess oder Dienst weiter.
- Wenn TCPView keinen Endpunkt zeigt, beweist das nicht, dass eine Anwendung niemals kommuniziert. Sehr kurze Verbindungen können zwischen zwei Aktualisierungen entstehen und wieder verschwinden.
TCPView ist damit vor allem ein Zuordnungs- und Beobachtungswerkzeug. Es beantwortet zuverlässig, welcher laufende Prozess einen sichtbaren TCP- oder UDP-Endpunkt besitzt und wohin eine vorhandene Verbindung führt. Ob der Datenverkehr fachlich notwendig, datenschutzrechtlich erwünscht oder schädlich ist, ergibt sich erst aus Prozessherkunft, Ziel, Zeitpunkt und ausgelöster Programmfunktion. Beginne deshalb mit der PID-Zuordnung und dem Adresstyp, bevor du Verbindungen trennst oder Programme blockierst.
