Jedes TLS-Zertifikat in Ihrem Netzwerk finden
Hosts, CIDR-Netze und Adressbereiche auf beliebigen Ports aus dem eigenen Netzwerk heraus scannen und eine Inventur jedes Zertifikats erhalten: Ablaufdatum, Aussteller, Schlüssel, Vertrauen und Protokoll. Der Scan läuft auf Ihrem Computer und sendet keine Daten an aethercert.
Version 1.1.2 · 27. Oktober 2026 · Windows x64 · kostenlos · aethercert Toolkit herunterladen
Ein lokaler TLS-Scan für Hosts, die das Internet nicht sieht
Öffentliche Scanner sehen nur, was aus dem Internet erreichbar ist. Intranetportale, LDAPS auf Domänencontrollern, Remotedesktop, Verwaltungsoberflächen und interne Mailserver sind die Stellen, an denen Zertifikate unbemerkt ablaufen. Der Zertifikatscanner läuft dort, wo diese Hosts sind: auf einem Computer im Netzwerk.
Er schlägt die Netze dieses Computers als Ziele vor und schätzt vor dem Start, wie lange ein Scan dauert; währenddessen zeigt er die Restzeit. STARTTLS wird auf SMTP-, IMAP-, POP3- und FTP-Ports ausgehandelt und RDP auf dessen Port - so erscheinen auch Mailserver und Remotedesktop-Hosts in der Inventur.
So läuft ein Zertifikatsscan
- 01
Ziele angeben
Hostnamen, CIDR-Netze bis /16 und Bereiche wie 10.0.1.10-50 - oder eines der Netze dieses Computers.
- 02
Ports wählen
Beliebige Ports und Bereiche: 443, 636 für LDAPS, 3389 für RDP, 25 für SMTP, 8443 und was sonst bei Ihnen läuft.
- 03
Scannen
Viele Verbindungen gleichzeitig, jede mit Zeitlimit. Die Schätzung sagt vorher, wie lange es dauert.
- 04
Auswerten und exportieren
Nach selbstsignierten Zertifikaten, Namensabweichungen und Ports ohne TLS filtern, gefundene Zertifikate speichern, als CSV oder JSON exportieren.
Was der Zertifikatscanner findet
Hosts, Netze und Bereiche
Hostnamen, CIDR-Schreibweise und Adressbereiche in einem Scan mischen, bis 65.536 Adressen und 262.144 Host-Port-Prüfungen.
Jeder Port, STARTTLS und RDP
Implizites TLS auf jedem Port, STARTTLS für SMTP, IMAP, POP3 und FTP und die RDP-Aushandlung auf Remotedesktop-Ports.
Auch alte Server
Server, die für einen modernen TLS-Stack zu alt sind, erscheinen trotzdem: Bis TLS 1.2 wird das Zertifikat unverschlüsselt übertragen und dort ausgelesen.
Vertrauen wie bei Ihren Clients
Ketten werden gegen die mitgelieferten Mozilla-Stammzertifikate, den Windows-Speicher - samt per Gruppenrichtlinie verteilter Unternehmens-CA - und ein optionales PEM-Bundle geprüft.
Auch defekte Ketten
Der Handshake akzeptiert jedes Zertifikat, deshalb landen abgelaufene, selbstsignierte und nicht vertrauenswürdige Zertifikate mit Begründung in der Inventur.
CSV und versioniertes JSON
CSV für Tabellen, JSON mit versioniertem Schema (aethercert.toolkit.cert-scan/v1) für eigene Werkzeuge.
Geplante Inventuren mit actk
actk scan führt denselben Scan aus einer geplanten Aufgabe oder einem Skript aus und schreibt die Inventur als CSV und JSON.
actk scan 10.0.0.0/24 10.0.1.10-50 srv01.corp.local -p 443,636,3389,8443 --csv inventory.csv --json inventory.jsonactk scan 10.20.0.0/22 -p 25,443,993 --tls-only --ca-file corp-root.pemWeitere Werkzeuge im Toolkit
Dokumentation
Häufige Fragen
Zertifikatscanner
Ist es unbedenklich, mein Netzwerk zu scannen?
Der Scanner baut TLS-Verbindungen auf wie ein Client und liest das Zertifikat; er meldet sich nicht an und ändert nichts. Scannen Sie nur Netze, für die Sie zuständig sind, und informieren Sie Ihr Sicherheitsteam - ein Intrusion-Detection-System kann einen Scan bemerken.
Wie groß darf das gescannte Netz sein?
Bis 65.536 Adressen (ein /16) und 262.144 Host-Port-Prüfungen pro Scan, damit ein Tippfehler wie /8 vor dem Start auffällt. Größere Umgebungen in mehrere Scans aufteilen.
Findet er Zertifikate auch auf anderen Ports als 443?
Ja - auf jedem angegebenen Port. Mailports nutzen STARTTLS, Remotedesktop seine eigene Aushandlung, alle anderen Ports werden als implizites TLS versucht.
Kann ich einen Scan regelmäßig ausführen?
Ja: actk scan in eine geplante Aufgabe legen und die Ergebnisse als CSV oder JSON schreiben. Der Vergleich dieser Dateien zeigt neue, geänderte und ablaufende Zertifikate.
Werden die Ergebnisse irgendwohin gesendet?
Nein. Die Inventur bleibt auf Ihrem Computer, bis Sie sie exportieren.
Zertifikate gefunden, die bald ablaufen?
aethercert erneuert und installiert sie für Sie, von öffentlichen ACME-CAs oder Ihrer internen CA.
Community-Tarif, keine Zahlungsdaten nötig. Offene Registrierung – Ihr Konto ist in wenigen Minuten eingerichtet.