Was ist ein Sniffer? Funktionsweise und Einsatzgebiete (2024)

Definition Sniffing | Sniffer Was ist ein Sniffer und was ist Sniffing?

Ein Sniffer ist eine Software oder ein Gerät zum Mitschneiden, Protokollieren und Analysieren des Datenverkehrs in einem Netzwerk. Sniffing ist für die Fehlersuche, Netzwerkanalysen und die Netzwerküberwachung aber auch für bösartige Zwecke wie das unbefugte Mitlesen von Datenverkehr einsetzbar.

Bei einem Sniffer handelt es sich um ein Gerät, bestehend aus Hard- und Software, oder um ein Software-Tool zum Mitlesen, Protokollieren und Analysieren des Datenverkehrs an einem Netzwerkanschluss oder in einem Netzwerk. Der Begriff leitet sich vom englischen Verb "to sniff" ab, was im Deutschen "schnüffeln" bedeutet. Der Vorgang des Mitlesens, Protokollierens und Analysierens des Datenverkehrs wird als Sniffing bezeichnet. Alternative Begriffe für Sniffer sind Netzwerkanalysator, Paket-Sniffer, Packet Analyzer oder Protokollanalysator. Je nach Positionierung des Sniffers oder Installationsort der Software lässt sich der Datenverkehr eines einzelnen Netzwerkteilnehmers oder eines kompletten Netzwerksegments mit mehreren Teilnehmern mitschneiden. Sniffer-Lösungen besitzen häufig umfassende Darstellungs- und Aufbereitungsmöglichkeiten des mitgeschnittenen Datenverkehrs und der Analyseergebnisse.

Sniffing ist in der Regel legal, solange es im eigenen Netzwerk zum Einsatz kommt und keine Datenschutzvorgaben verletzt werden. Mit rechtlichen Konsequenzen ist zu rechnen, wenn Sniffing unbefugt eingesetzt wird, um beispielsweise Datenverkehr auszuspionieren oder Daten zu stehlen. Unbefugtes Sniffing fällt unter den § 202a des Strafgesetzbuches (StGB) (Ausspähen von Daten).

Es existieren zahlreiche kommerzielle, kostenpflichtige oder Open-Source-basierte, kostenlose Sniffing-Lösungen. Auch in vielen Betriebssystemen selbst sind entsprechende Funktionen zum Mitlesen, Protokollieren und Analysieren des Datenverkehrs integriert. Beispiele für softwarebasierte Sniffing-Lösungen sind Ettercap, tcpdump oder Wireshark (ehemals Ethereal). Wireshark ist eines der bekanntesten und am häufigsten verwendeten freien Sniffer-Tools. Es ist auf den gängigen Betriebssystemen wie Windows, macOS oder Linux nutzbar und bietet einen riesigen Funktionsumfang zum Mitschneiden und Analysieren vieler verschiedener Netzwerkprotokolle.

Die verschiedenen Arten von Sniffern

Sniffer sind in vielen verschiedenen Hard- und Softwareausführungen verfügbar. Grundsätzlich sind sie abhängig von der Art der Realisierung und den Einsatzmöglichkeiten in unterschiedliche Arten von Sniffern einteilbar. Eine Möglichkeit ist die Unterscheidung in reine softwarebasierte Lösungen und in eigenständige Hardware-Sniffer. Prinzipiell benötigt ein Sniffer zum Mitlesen des Datenverkehrs immer eine Hardwarekomponente wie einen Netzwerkadapter und eine Software, die den Netzwerkadapter entsprechend ansteuert. Bei einer softwarebasierten Lösung verwendet das Sniffer-Programm die in einem Rechner vorhandenen Netzwerkadapter. Deshalb ist es ausreichend, nur die Software zu installieren, die auf die Netzwerkadapter des Host-Rechners zugreift und sie für das Sniffing ansteuert. Eigenständige Hardware-Sniffer sind für den Einsatz unabhängig von einem Host-Rechner vorgesehen. Sie sind mit allen notwendigen Hard- und Softwarekomponenten zum Mitschneiden und Analysieren des Netzwerkdatenverkehrs ausgestattet und lassen sich standalone einsetzen. Beispielsweise werden sie an zentralen Stellen eines Netzwerks angeschlossen, an denen die Daten kompletter Netzsegmente oder Netzbereiche und all ihrer Teilnehmer mitgeschnitten werden können. Professionelle Hardware-Sniffer sind so dimensioniert, dass Netzwerkverkehr mit hohem Datendurchsatz mitgelesen werden kann, ohne dass Daten verworfen werden müssen.

Es existieren auch verteilte hard- oder softwarebasierte Sniffing-Lösungen. Sie bestehen aus mehreren Sniffing-Sonden oder Sniffing-Agenten, die an verschiedenen Stellen des Netzwerks positioniert oder auf verschiedenen Netzwerkgeräten installiert werden. Die Sonden lesen den Datenverkehr mit und senden ihn an eine zentrale Sniffing-Software oder ein zentrales Sniffing-Gerät, das Aufgaben wie das Auswerten, das Protokollieren oder das Aufbereiten der Analyseergebnisse übernimmt.

Eine weitere Möglichkeit, Sniffer zu kategorisieren, ist die Unterteilung in aktive und passive Sniffer. Passive Sniffer greifen nicht in den Datenverkehr ein. Sie lesen den Verkehr nur passiv mit und sind in einem Netzwerk kaum aufzuspüren. Aktive Sniffer hingegen senden selbst aktiv Daten wie ICMP-Redirects aus oder betreiben ARP-Spoofing. Dadurch lässt sich Datenverkehr zum Mitlesen gezielt umlenken. Aktive Sniffer sind aufgrund ihres aktiven Verhaltens leichter aufzuspüren.

Prinzipielle Funktionsweise eines Sniffers

Sniffer können nur den Datenverkehr mitlesen und analysieren, der am Netzwerkadapter des Hostsystems oder des Sniffer-Geräts anliegt. Früher war es in Hub-basierten Umgebungen möglich, den kompletten Datenverkehr eines Netzwerksegments mitzulesen, wenn sich der Netzwerkadapter des Sniffers im Promiscuous Mode befand. Der Promiscuous Mode bedeutet, dass sämtliche über den Netzwerkadapter laufenden Daten eines Netzwerksegments mitgeschnitten werden können, auch wenn die Datenpakete gar nicht an den Host des Netzwerkadapters adressiert sind. Im Non-Promiscuous Mode lassen sich nur die an den betreffenden Host adressierten oder von ihm versendeten Daten mitlesen.

Heute kommen in LAN-Umgebungen fast nur noch geswitchte Netzwerkinstallationen zum Einsatz. An einem geswitchten Netzwerkport stehen nur die an den jeweils angeschlossenen Host adressierten Ethernet-Frames oder Broadcast- und Multicast-Frames an alle oder mehrere Hosts zur Verfügung. Nur diese lassen sich mitlesen und analysieren. Über Verfahren wie ARP-Spoofing und ICMP-Redirects oder über sogenannte Spiegel- oder Monitorports ist es aber möglich, auch Verkehr anderer Hosts oder Netzwerksegmente an einem Switchport sichtbar zu machen.

Um den Datenverkehr zu analysieren, lesen die Sniffer entweder den kompletten Inhalt der Datenpakete oder nur die Informationen des Protokoll-Headers mit. Über die Adressen und Protokollinformationen des Headers lässt sich der Verkehr nach bestimmten Kriterien filtern und auswerten. Je nach Sniffer-Lösung finden die Analysen online in nahezu Echtzeit statt oder erfolgen offline zu einem späteren Zeitpunkt auf Basis des mitgeschnittenen und gespeicherten Datenverkehrs.

Anwendungsbereiche und Einsatzmöglichkeiten eines Sniffers

Sniffer bieten vielfältige Anwendungsbereiche und Einsatzmöglichkeiten. Zu diesen zählen:

• Überwachung des Datenverkehrs und der IT-Sicherheit

• Aufspüren von Anomalien, Schwachstellen oder verdächtigem beziehungsweise unerwünschtem Datenverkehr

• Erkennen von Angriffen oder Einbruchsversuchen und Aufspüren von Schadprogrammen

• Optimierung von Netzwerken und Netzwerkanwendungen

• Optimierung von Verkehrsflüssen

• Fehlersuche und Problemdiagnose

• Untersuchungen auf Protokollkonformität

• Reverse Engineering

• Erstellen von Netzwerkstatistiken

• Umsetzung von Compliance-Richtlinien

Sniffing kann auch für illegale Zwecke zum Einsatz kommen. Cyberkriminelle nutzen Sniffing beispielsweise zum:

• unbefugten Mitlesen und Ausspähen von Daten wie das Mitschneiden von Benutzerkennungen und Zugangsdaten

• Stehlen sensibler Daten oder geistigen Eigentums und Betriebsspionage

• Aufspüren von schlecht abgesicherten Angriffszielen.

(ID:50038528)