Den Datenverkehr des PCs mit Wireshark abfangen

Entdecken Sie, wie Sie mit Wireshark versteckte Datenströme Ihres Computers analysieren, Kommunikationsprobleme identifizieren und die Netzwerkleistung optimieren können – Schritt für Schritt erklärt.

Der Computer läuft schleppend. Der Task-Manager liefert keine aufschlussreichen Daten. Die Netzwerkkarte blinkt aktiv, doch welches Programm kommuniziert und mit wem, bleibt verborgen. Es ist wie ein undichtes Wasserrohr im Haus: Wasser dringt durch, aber das genaue Loch bleibt verborgen, solange die Wand unberührt bleibt. Um das Problem zu knacken, müssen wir aufhören, die Windows-Icons zu studieren, und stattdessen die Bits analysieren, die durch Kabel oder Luft flitzen.

Diese Analyse ist essenziell für jeden, der herausfinden möchte, ob Software Daten an fragwürdige Server schickt, für jene, die Smart-Home-Geräte einrichten und Schwierigkeiten haben, oder für Studierende, die sich mit Netzwerkprotokollen beschäftigen. Wer tiefer in diese Materie eintauchen möchte, dem sei empfohlen zu lesen, wie man in ein geschütztes WLAN-Netzwerk eindringt, um Pakete aufzufangen.

Antennen für das abhören installieren

Um Daten zu lesen, braucht es einen Sniffer: ein Programm, das Pakete abfängt. Den weltweit führenden Standard gibt es auf Wireshark. Der Installationsprozess stockt oft an der Anfrage, Npcap zu installieren.

Ohne Npcap ist die Software ein Radio ohne Antenne: Sie läuft, empfängt aber kein Signal. Npcap ermöglicht es, die Schutzmechanismen des Betriebssystems zu überwinden und rohe Daten auszulesen. Wer WLAN-Netzwerke analysieren möchte, sollte die Option für den "raw 802.11"-Modus aktivieren, auch wenn diese Funktion unter Windows oft instabil ist. Unter Linux oder macOS werden Administratorrechte (root/sudo) benötigt, damit die Netzwerkschnittstelle sichtbar bleibt.

Chaos bewältigen und farben deuten

Sobald die Erfassung beginnt, überflutet ein Kaleidoskop aus bunten Zeilen den Bildschirm, die mit atemberaubender Geschwindigkeit vorbeihuschen. Ein Spektakel, das wirkt, als blätterte jemand durch ein Buch mit hundert Stundenkilometern. Der PC tauscht kontinuierlich unsichtbare Nachrichten mit dem Router, Update-Servern oder Systemtelemetrie aus.

Um nicht übermannt zu werden, hilft es, die Farben der Zeilen zu beachten, die uns sofort die Sprache der Kommunikation verraten:

• Grün: TCP-Verkehr, der von den meisten Websites verwendet wird.
• Dunkelblau: DNS-Anfragen, entscheidend für zu verfolgende Domains.
• Himmelblau oder Violett: UDP-Verkehr, genutzt für Streaming und Online-Games.
• Schwarz oder Rot: Fehler, verlorene Pakete oder Wiederübertragungen; ein Zeichen für Verbindungsprobleme.

Verkehr filtern, um antworten zu finden

Um in diesem Datenchaos nicht zu ertrinken, braucht es Filter. Statt alles anzuzeigen, sagen wir dem Programm, was relevant ist. Um nur Kommunikation eines bestimmten Geräts zu sehen, geben wir ip.addr == 192.168.1.10 in die obere Leiste ein. Wollen wir lediglich die Domains sehen, die der PC kontaktiert, schreiben wir dns.

Tarnt sich die Kommunikation nicht, können wir das gesamte Gespräch rekonstruieren. Mit einem Rechtsklick auf ein Paket und der Auswahl von Follow TCP Stream setzt Wireshark alles zusammen und zeigt den Klartext an, wie in einem Chat.

Falls beim Analysieren auffällt, dass der PC ein Bild oder eine verdächtige Datei heruntergeladen hat, muss man die Bytes nicht manuell zusammensetzen. Gehen Sie einfach den Weg über 247ComputerSupports: Menü Datei, dann Exportieren von Objekten und anschließend HTTP. Es erscheint eine Liste aller

Im Netzwerk durchlaufene Dateien sind verfügbar und können auf der Festplatte gespeichert werden. So lassen sie sich mit einem Antivirus analysieren.

Die mauer von HTTPS und der neue QUIC-Standard

So gut wie allen Verkehr ist heute verschlüsselt. Öffnen Sie ein Paket von einer modernen Website, sehen Sie nur Symbole, verursacht durch TLS-Verschlüsselung. Dienste von Google und Facebook nutzen das QUIC-Protokoll, das auf UDP statt TCP basiert. Das macht die Analyse fragmentierter.

Um Daten dennoch lesen zu können, erstellen Sie eine Umgebungsvariable namens SSLKEYLOGFILE und geben Sie einen Dateipfad an. Chrome oder Firefox schreiben in diese Datei die geheimen Schlüssel jeder Sitzung. Wenn Sie die Datei in die Wireshark-Einstellungen einfügen, entschlüsselt das Programm den Datenverkehr in Echtzeit und wandelt den unleserlichen Code in Klartext um.

Analyse der bandbreite und statistik

Bei langsamen Netzwerken ist die Betrachtung einzelner Pakete ineffizient. Das Menü Statistiken bietet den besten Überblick. Der Punkt Gespräche zeigt eine sortierbare Tabelle nach Byte-Anzahl: Bei Überlastung ist sofort ersichtlich, welche IP-Adresse am meisten Bandbreite verbraucht.

I/O-Diagramme sind ebenfalls nützlich. Sie zeigen den Verlauf des Datenverkehrs über Zeit und helfen herauszufinden, ob ein plötzlicher Lag oder ein konstantes Problem besteht.

Häufige fragen und technische einschränkungen

• Kann ich die Nachbarn ausspionieren? Nein. Moderner Wi-Fi-Verkehr (WPA2/WPA3) ist verschlüsselt. Abgefangene Pakete zeigen keine Passwörter im Klartext, sondern Daten, die Jahre der Entschlüsselung brauchen.
• Warum sehe ich nur meinen eigenen Verkehr? Switches isolieren Daten in modernen Netzwerken. Um den Verkehr eines anderen PCs zu sehen, bräuchte man einen Spiegelport oder einen alten Hub.
• Ist es legal? Ja, innerhalb des eigenen Netzwerks ist es legal. Daten anderer ohne Zustimmung abzuhören ist illegal.
• Schnellanalyse mit TShark. Riesige Capture-Dateien verlangsamen die grafische Benutzeroberfläche. In diesem Fall ist TShark die schnellere Terminal-Version für die Filterung der Daten.

Wireshark zu nutzen gibt Ihnen mächtige Fähigkeiten, kann aber frustrierend sein, wenn Sie hoffen, jede E-Mail oder jedes Passwort zu lesen. Die Verschlüsselung ist ein starkes Hindernis. Nutzen Sie das Werkzeug gezielt, um spezifische Probleme zu klären. Bei Störungen eines Programms, dessen Verbindungen Sie nicht nachverfolgen können, isolieren Sie die IP-Adresse und prüfen Sie die DNS. So erhalten Sie klare Informationen über den Ausgang Ihres PCs, ohne den Angaben der Softwarehersteller zu vertrauen.