Sniffing (englisch für „Schnüffeln") bezeichnet das passive Mithören und Aufzeichnen von Netzwerkverkehr. Ein Angreifer, aber auch ein Administrator, fängt dabei Datenpakete ab, die über ein Netzwerk übertragen werden, um darin Informationen zu lesen.
Wie funktioniert Sniffing?
Netzwerkkarten verwerfen normalerweise alle Pakete, die nicht an die eigene MAC-Adresse gerichtet sind. Ein Sniffer aktiviert dagegen den Promiscuous Mode: Die Netzwerkkarte liest dann jedes Paket, das am Kabel oder in der Luft vorbeikommt, unabhängig vom Empfänger. Werkzeuge wie Wireshark oder tcpdump setzen diesen Modus automatisch und zeigen den Verkehr in lesbarer Form an.
Passives und aktives Sniffing
- Passives Sniffing: Der Angreifer sendet nichts, er lauscht nur. Das funktioniert an alten Hubs, in WLANs ohne Verschlüsselung oder an abgehörten Leitungen. Passives Sniffing ist praktisch nicht nachweisbar, weil es keinerlei Spuren im Netz hinterlässt.
- Aktives Sniffing: In modernen Switched Networks erreicht ein Rechner nur seinen eigenen Datenverkehr. Der Angreifer muss den Datenfluss erst umleiten, etwa per ARP-Spoofing oder MAC-Flooding, um Pakete anderer Geräte mitzubekommen. Aktives Sniffing ist technisch aufwendiger und hinterlässt Spuren.
Was fangen Sniffer ab?
Ohne Schutz sind viele Protokolle abhörbar: unverschlüsseltes HTTP, Telnet, FTP oder alte E-Mail-Verbindungen übertragen Passwörter und Inhalte im Klartext. Moderne Dienste verschlüsseln ihre Kommunikation per TLS; ein Sniffer sieht dann nur noch Datenmüll, aus dem er keine Passwörter lesen kann.
Schutzmaßnahmen
- Verschlüsselung aller Verbindungen: HTTPS, SSH, VPN — dann nützt selbst ein erfolgreicher Mitschnitt nichts.
- Switches statt Hubs, WLAN mit WPA2/WPA3 statt offener Netze.
- IDS/IPS und Netzwerk-Monitoring erkennen verdächtige Muster.
- Gegen ARP-Spoofing: ARP-Inspektion, VLANs und statische ARP-Einträge.
Sniffing ist der Baustein vieler Angriffe: Wer Verkehr mitschneidet, kann daraus Logins stehlen, Inhalte mitlesen oder die Basis für einen Man-in-the-Middle-Angriff legen. Verwandte Grundlagen: Spoofing und Exploit.