Advanced IP Scanner: Netzwerk-Inventar zwischen Nutzen und Risiko

Advanced IP Scanner gehört zu den Werkzeugen, die fast jeder Administrator schon einmal gestartet hat: Download, Doppelklick, Adressbereich eingeben, und nach wenigen Sekunden siehst du, welche Geräte in deinem Netz hängen. Genau diese Einfachheit macht das kostenlose Tool zu einem Klassiker der Netzwerkinventur. Und genau deshalb taucht es auch in Analysen von Ransomware-Angriffen immer wieder auf.

Für dich als IT-Verantwortlichen ergibt sich daraus eine doppelte Aufgabe. Du willst den Nutzen des Scanners für dein Team erschließen und gleichzeitig verhindern, dass ein Angreifer mit demselben Werkzeug deine Infrastruktur kartiert. Dieser Beitrag zeigt dir beide Seiten und gibt dir klare Regeln für den Einsatz im Unternehmen an die Hand.

Was Advanced IP Scanner ist und was er kann

Advanced IP Scanner stammt vom Softwarehersteller Famatech, der auch die Fernwartungssoftware Radmin entwickelt. Das Programm ist für Windows 7, 8, 10 und 11 verfügbar, kostet nichts und läuft auf Wunsch ohne Installation als portable Version. Laut Herstellerseite von Advanced IP Scanner umfasst der Funktionsumfang unter anderem:

• Geräteerkennung: Auflistung aller erreichbaren Geräte im angegebenen IP-Bereich mit Hostname und Hersteller.
• MAC-Adressen: Zuordnung von IP- zu Hardware-Adressen, hilfreich bei Adresskonflikten.
• Freigaben: Anzeige und direkter Zugriff auf freigegebene Ordner im Netz.
• Fernzugriff: Verbindungsaufbau per RDP oder Radmin direkt aus der Ergebnisliste.
• Ein- und Ausschalten: Rechner aus der Ferne herunterfahren oder per Netzwerk wecken.
• Export: Speicherung der Ergebnisse als CSV-Datei für Dokumentation und Abgleich.

Technisch arbeitet das Tool mit klassischen Methoden: Es fragt Adressen im Netz ab, wertet Antworten aus und prüft gängige Dienste wie HTTP, FTP oder RDP. Es ist damit kein Schwachstellenscanner, sondern ein schneller Inventar- und Diagnosehelfer.

Wofür IT-Teams den Scanner im Alltag nutzen

Im Mittelstand fehlt oft ein vollständiges Bild des Netzes. Drucker, Kameras, Zeiterfassungsterminals und Maschinensteuerungen kommen über Jahre hinzu, die Dokumentation hält nicht Schritt. Advanced IP Scanner schließt diese Lücke zumindest für eine Momentaufnahme.

• Schatten-IT aufdecken: Ein privater Router im Besprechungsraum oder ein vergessenes NAS fällt im Scan sofort auf.
• Adresskonflikte lösen: Zwei Geräte mit derselben IP findest du über die MAC-Adresse schneller als per Kommandozeile.
• Standortwechsel und Umzüge: Vor und nach einem Umzug zeigt der Vergleich zweier CSV-Exporte, welches Gerät fehlt.
• Dienstleisterübergabe: Ein aktueller Scan ist eine schnelle Gegenprobe zur Dokumentation des bisherigen IT-Partners.

So führst du einen sauberen Inventar-Scan durch

1. Lade das Programm ausschließlich von der offiziellen Herstellerdomain und prüfe die digitale Signatur.
2. Starte es auf einem dedizierten Admin-Arbeitsplatz, nicht auf einem beliebigen Bürorechner.
3. Scanne nur die Netzsegmente, für die du verantwortlich bist, und kündige den Scan im Team an.
4. Exportiere das Ergebnis als CSV und gleiche es mit deiner Geräteliste oder CMDB ab.
5. Kläre jedes unbekannte Gerät: Wem gehört es, wofür wird es gebraucht, wer ist verantwortlich?

Die Kehrseite: Advanced IP Scanner als Werkzeug von Angreifern

Was für Admins praktisch ist, ist für Angreifer ebenso nützlich. Hat sich eine Ransomware-Gruppe erst einmal über ein VPN-Konto oder eine Phishing-Mail Zugang verschafft, will sie wissen, wo Server, Backups und Domänencontroller stehen. Ein legitimes, frei verfügbares Programm fällt dabei weniger auf als selbst geschriebene Schadsoftware.

Sicherheitsforscher sprechen von Living off the Land oder Dual-Use-Tools: Angreifer nutzen Werkzeuge, die ohnehin in vielen Netzen vorkommen. In der gemeinsamen Warnung von CISA, FBI, Europol und NCSC-NL zur Akira-Ransomware vom April 2024 wird Advanced IP Scanner ausdrücklich als Werkzeug zur Erkundung von Netzwerkgeräten genannt. Auch in Berichten zu anderen Ransomware-Gruppen taucht der Scanner regelmäßig auf.

Wichtig ist die Einordnung: Der Hersteller tut nichts Unrechtes, und das Tool ist keine Schadsoftware. Das Problem entsteht durch den Kontext, also wer es wann und auf welchem Rechner startet.

Wie ein Angriff typischerweise abläuft

Die Muster ähneln sich in vielen dokumentierten Fällen. Angreifer verschaffen sich Zugang, etwa über ein VPN-Konto ohne Mehr-Faktor-Authentifizierung oder einen per Phishing kompromittierten Rechner. Danach beginnt die Erkundung, und genau hier kommt ein Scanner ins Spiel.

1. Erstzugang: Ein einzelnes Konto oder Gerät fällt in die Hände der Täter.
2. Erkundung: Mit einem Netzwerkscanner kartieren sie Subnetze, Freigaben und erreichbare RDP-Dienste.
3. Ausbreitung: Über gefundene Fernzugriffe und erbeutete Passwörter wandern sie zu Servern und Domänencontrollern.
4. Datenabfluss und Verschlüsselung: Erst kopieren sie sensible Daten, dann verschlüsseln sie Systeme und Backups.

Zwischen Schritt eins und vier vergehen oft Stunden bis Tage. Die Erkundungsphase ist damit dein wichtigstes Zeitfenster. Ein Alarm beim unerwarteten Start eines Scanners kann den Unterschied zwischen einem eingegrenzten Vorfall und einem Totalausfall ausmachen.

Gefälschte Download-Seiten als Einfallstor

Eine zweite Gefahr betrifft deine eigenen Admins. Sicherheitsfirmen haben wiederholt Kampagnen beobachtet, bei denen Suchmaschinenanzeigen auf nachgebaute Download-Seiten bekannter IT-Tools führten, auch für IP-Scanner. Wer dort herunterlädt, installiert neben dem Programm eine Hintertür.

Weil Administratoren weitreichende Rechte besitzen, ist so ein Fehlgriff besonders folgenreich. Lege deshalb fest, dass Admin-Tools nur aus einem internen Software-Repository oder von verifizierten Herstellerdomains kommen dürfen.

Missbrauch erkennen: Signale für dein Security-Team

Weil du das Tool nicht pauschal als Schadsoftware blockieren kannst, brauchst du kontextbezogene Erkennung. Moderne EDR-Lösungen und SIEM-Systeme bringen dafür fertige Regeln mit; viele Hersteller veröffentlichen Erkennungsregeln speziell für den Start von Advanced IP Scanner. Diese Signale solltest du im Blick behalten:

• Ungewöhnlicher Ort: Die ausführbare Datei startet aus Downloads, Temp oder einem Benutzerprofil statt aus einem freigegebenen Tool-Verzeichnis.
• Falscher Rechner: Der Scanner läuft auf einem Server oder Sachbearbeiter-PC, auf dem niemand Netzwerkdiagnose betreibt.
• Ungewöhnliche Zeit: Scans nachts oder am Wochenende ohne Wartungsfenster.
• Verbindungsmuster: Ein Gerät kontaktiert in kurzer Zeit Hunderte Adressen und Ports.
• Begleitende Werkzeuge: Kurz darauf folgen Fernwartungstools, Passwort-Dumper oder Massenkopien von Dateien.

Ein einzelnes Signal ist noch kein Angriff. Treffen aber mehrere zusammen, solltest du den Rechner isolieren und deinen Ablauf aus dem IT-Notfallplan für den Ernstfall starten. Je früher du die Erkundungsphase bemerkst, desto größer ist die Chance, die Verschlüsselung noch zu verhindern.

Advanced IP Scanner im Unternehmen regeln

Die beste Verteidigung ist eine klare Grenze zwischen erlaubtem und verdächtigem Einsatz. Ein Verbot allein hilft wenig, weil Admins dann auf andere Tools ausweichen. Besser ist eine Richtlinie, die Nutzen ermöglicht und Abweichungen sichtbar macht.

Kriterium	Erlaubter Einsatz	Warnsignal
Rechner	Admin-Arbeitsplatz oder Jump-Host	Client, Server, Kassensystem
Quelle	Internes Repository, signierte Datei	Downloads-Ordner, unbekannte Domain
Benutzer	Benanntes Admin-Konto	Dienstkonto oder Standardnutzer
Zeitpunkt	Angekündigtes Wartungsfenster	Nachts, Wochenende, ohne Ticket
Umfang	Eigenes Segment	Gesamtes Firmennetz inklusive Server-VLANs

Technisch setzt du das mit Anwendungssteuerung um, etwa mit App Control for Business oder AppLocker: Netzwerkscanner dürfen nur auf definierten Admin-Systemen starten. Ergänzend hilft Netzsegmentierung, damit ein Scan aus dem Büronetz die Server-Segmente gar nicht erst erreicht. Beides sind Kernideen von Zero Trust ohne blindes Vertrauen.

Datenschutz und Mitbestimmung nicht vergessen

Hostnamen wie „LAPTOP-MUELLER“ verraten, wem ein Gerät gehört. Scan-Ergebnisse können also personenbezogene Daten enthalten. Speichere Exporte deshalb nur so lange wie nötig und nur an zugriffsgeschützten Orten. Wenn Scans regelmäßig und automatisiert laufen, kläre mit Datenschutz und gegebenenfalls Betriebsrat, wofür die Daten genutzt werden.

Fernzugriff per RDP und Radmin: bequem, aber heikel

Ein Klick in der Ergebnisliste, und schon öffnet sich eine Remote-Desktop-Sitzung. Diese Bequemlichkeit ist ein Grund, warum Admins das Tool schätzen. Sie zeigt aber auch, wie viele Geräte in deinem Netz RDP offen anbieten, oft mehr als nötig.

Nutze den Scan deshalb auch als Prüfwerkzeug für deine Angriffsfläche. Jeder Client, auf dem RDP ohne Grund aktiv ist, ist ein potenzieller Weg für seitliche Bewegungen im Netz. Schalte den Dienst dort ab, wo er nicht gebraucht wird, und erlaube Fernwartung nur über abgesicherte Jump-Hosts mit Mehr-Faktor-Authentifizierung.

Für Radmin gilt dasselbe wie für jede Fernwartungssoftware: Sie gehört in deine Liste freigegebener Tools, mit klarer Zuständigkeit und Protokollierung. Unbekannte Fernwartungsdienste auf Endgeräten sind ein klassisches Warnzeichen.

Checkliste: Advanced IP Scanner sicher einsetzen

• Programm nur aus internem Repository oder von der verifizierten Herstellerseite beziehen.
• Start per Anwendungssteuerung auf Admin-Arbeitsplätze und Jump-Hosts beschränken.
• EDR- oder SIEM-Regel für Scanner-Starts außerhalb dieser Systeme aktivieren.
• Scans mit Ticket und Zeitfenster dokumentieren.
• CSV-Exporte mit der Geräteliste abgleichen und danach geschützt ablegen oder löschen.
• Gefundene RDP-Dienste und offene Freigaben kritisch prüfen und reduzieren.

Was Geschäftsführer daraus mitnehmen sollten

Für die Geschäftsleitung ist das Thema keine technische Randnotiz. Unter NIS2 haftet sie für angemessene Risikomaßnahmen, und ein bekanntes Inventar gehört zu den Grundlagen. Frage deine IT deshalb nicht, ob sie einen Scanner nutzt, sondern wie sie verhindert, dass ein Fremder es tut, und wie schnell sie es bemerken würde.

Grenzen des Tools und sinnvolle Alternativen

So praktisch Advanced IP Scanner ist, er bleibt ein Werkzeug für Momentaufnahmen. Er speichert keine Historie, kennt keine Verantwortlichen und erkennt keine Schwachstellen. Für Unternehmen, die unter NIS2 fallen oder ein ISMS betreiben, reicht das nicht. Dort brauchst du ein Asset-Inventar, das dauerhaft gepflegt wird und Lebenszyklus, Eigentümer und Kritikalität jedes Geräts festhält. Ob dein Unternehmen betroffen ist, klärst du mit unserem Leitfaden NIS2-Betroffenheit prüfen.

• Nmap: Quelloffener Standard für tiefere Port- und Dienstanalysen, plattformübergreifend und skriptbar.
• Angry IP Scanner: Quelloffene, schlanke Alternative für schnelle Scans auf Windows, macOS und Linux.
• Inventarisierungs- und RMM-Plattformen: Dauerhafte Erfassung mit Agenten, Software-Inventar und Berichten für Audits.
• Schwachstellenscanner: Prüfen bekannte Sicherheitslücken und ergänzen das Inventar um eine Risikoperspektive.

Auch für diese Werkzeuge gelten dieselben Regeln: definierter Einsatzort, dokumentierte Freigabe und Monitoring. Ein Scanner ist immer so harmlos wie der Mensch, der ihn bedient.

Vom Einzelscan zur Inventur-Routine

Ein einmaliger Scan zeigt dir den Ist-Zustand eines Nachmittags. Wirklich wertvoll wird er erst, wenn du ihn regelmäßig wiederholst und die Ergebnisse vergleichst. So erkennst du neue Geräte, verschwundene Systeme und schleichende Veränderungen, lange bevor sie Probleme verursachen.

Ein pragmatischer Ablauf für kleinere IT-Teams sieht so aus: Einmal im Quartal scannt ein benannter Admin alle Büro- und Produktionssegmente mit Advanced IP Scanner. Der Export landet in einem geschützten Ordner, ein einfaches Skript vergleicht ihn mit dem Vorquartal und markiert Abweichungen. Jede neue MAC-Adresse bekommt einen Verantwortlichen oder wird aus dem Netz entfernt.

• Neue Geräte: Zuordnen, dokumentieren, Netzsegment prüfen.
• Verschwundene Geräte: Ausmusterung bestätigen, Lizenzen und Zugänge entziehen.
• Veränderte Dienste: Neu geöffnete Ports oder Freigaben hinterfragen.

Gerade in der Produktion lohnt sich Vorsicht: Ältere Maschinensteuerungen reagieren mitunter empfindlich auf aktive Scans. Stimme Scans in OT-Netzen deshalb mit der Instandhaltung ab und plane sie in Stillstandszeiten. Wächst dein Unternehmen über diese Routine hinaus, ist das der richtige Zeitpunkt für eine dauerhafte Inventarisierungslösung mit Agenten und Berichten.

Ausblick: Transparenz als Sicherheitsfaktor

Advanced IP Scanner zeigt exemplarisch, wie eng Administration und Angriff beieinanderliegen. Wer sein Netz kennt, erkennt Fremdkörper schneller. Wer dagegen selbst nicht weiß, welche Geräte dort hängen, überlässt diesen Wissensvorsprung dem Angreifer.

Starte mit drei Schritten: Lege fest, auf welchen Systemen Netzwerkscanner laufen dürfen. Richte eine Erkennungsregel für alle anderen Starts ein. Und führe einmal im Quartal einen dokumentierten Inventar-Scan durch, dessen Ergebnis du mit deiner Geräteliste abgleichst. So wird aus einem beliebten Angreifer-Werkzeug ein Baustein deiner Verteidigung.

Häufige Fragen zu Advanced IP Scanner

Was ist Advanced IP Scanner?

Advanced IP Scanner ist ein kostenloser Netzwerkscanner für Windows von Famatech. Er findet Geräte im lokalen Netz, zeigt IP- und MAC-Adressen, Freigaben und Dienste und erlaubt den Zugriff per RDP oder Radmin.

Ist Advanced IP Scanner sicher?

Die Originalversion von der Herstellerseite gilt als legitimes Admin-Werkzeug. Riskant sind gefälschte Download-Seiten und der Missbrauch durch Angreifer, die das Tool nach einem Einbruch zur Netzwerkerkundung nutzen.

Warum nutzen Ransomware-Gruppen Advanced IP Scanner?

Das Tool ist frei verfügbar, benötigt keine Installation und wirkt unauffällig, weil auch Admins es verwenden. Behörden wie CISA, FBI und Europol nennen es etwa in ihrer Warnung zur Akira-Ransomware als Werkzeug zur Netzwerkerkundung.

Wie erkenne ich unerlaubte Netzwerkscans im Unternehmen?

Achte in deiner EDR- oder SIEM-Lösung auf Programmstarts von Scannern außerhalb der Admin-Arbeitsplätze und auf ungewöhnlich viele Verbindungsversuche zu vielen Adressen in kurzer Zeit. Kombiniere das mit einer Freigabeliste erlaubter Tools.

Reicht Advanced IP Scanner für das Asset-Inventar nach NIS2?

Nein, als alleinige Lösung nicht. Das Tool liefert Momentaufnahmen ohne Historie, Verantwortlichkeiten oder Lebenszyklusdaten; für ein belastbares Inventar brauchst du eine gepflegte CMDB oder ein Inventarisierungssystem.