Netzwerk-Scanner für Linux, per Terminal oder GUI

Unter Linux kannst du dein LAN auf zwei Wegen scannen. Im Terminal liefern dir nmap und arp-scan in Sekunden eine vollständige Host-Liste, offene Ports und MAC-Hersteller. Eine GUI lohnt sich, sobald du Ergebnisse lieber liest und sortierst, als jedes Mal Flags neu einzutippen. Beide Wege brauchen root oder eine setcap-Freigabe für die tieferen Probes.

Das LAN im Terminal scannen

Fang mit einem schnellen Überblick an, wer überhaupt online ist. arp-scan ist das direkteste Werkzeug für ein lokales Subnetz, weil es auf Layer 2 arbeitet und den MAC-Hersteller gratis zurückgibt:

sudo arp-scan --localnet

Das gibt dir IP, MAC und eine Hersteller-Vermutung aus der OUI (die erste Hälfte der MAC, die den Hersteller identifiziert). Für einen Subnetz-Durchlauf, den nmap ohne root schafft, ein Ping-Sweep:

nmap -sn 192.168.1.0/24

Um offene Ports und Dienste auf einem Host zu sehen, geh tiefer. Hier stecken die nützlichen Details, denn ein Drucker, der IPP auf 631 spricht, oder ein NAS, das SMB auf 445 anbietet, verrät dir, was ein Gerät tatsächlich ist:

sudo nmap -sS -sV --top-ports 100 192.168.1.0/24

Bei Hostnamen löst nmap DNS schon von sich aus auf. mDNS-Namen (die .local-Namen, die Apple- und Chromecast-Geräte ankündigen) brauchen avahi-browse -a, und NetBIOS-Namen kommen von nmblookup. Diese drei von Hand zusammenzusetzen, ist der mühsame Teil.

Wann eine GUI hilft

Fürs einmalige Nachschauen reicht das Terminal. Lästig wird es, wenn du ein Netzwerk über die Zeit beobachten, Geräte nach Hersteller sortieren oder das Ergebnis jemandem geben willst, der nicht in einer Shell lebt. Eine GUI lohnt sich, wenn du Anwesenheitsüberwachung brauchst (welches Gerät ist abgefallen, welches ist neu), eine Topologie-Ansicht oder eine Sicherheitsübersicht, die du nicht aus vier Befehlen zusammenbauen musst. Zenmap deckt die nmap-Visualisierung ab; danach ist Schluss.

Welche Rechte braucht ein Linux-Scanner?

Rohes Packet-Capture und SYN-Scans brauchen unter Linux erhöhte Rechte. Alles mit sudo laufen zu lassen funktioniert, ist aber mit der groben Kelle. Der sauberere Weg ist eine File-Capability, die einer einzelnen Binary genau dieses Recht gibt, ohne sie zu root zu machen:

sudo setcap cap_net_raw,cap_net_admin=eip /path/to/binary

cap_net_raw erlaubt einem Prozess, rohe Sockets für ARP- und SYN-Scanning zu öffnen; cap_net_admin deckt Operationen auf Interface-Ebene ab. Ohne eine davon fällt ein Scanner auf einen einfachen TCP-Connect-Scan zurück, der langsamer und lauter ist und die MAC-Ebene verpasst. Jeder Linux-Netzwerk-Scanner stößt darauf, also lohnt es sich, das zu verstehen, statt reflexartig zu sudo zu greifen.

DeviceShelf nativ unter Linux ausführen

DeviceShelf ist ein local-first-Scanner, der die Terminal-Arbeit in einem Durchlauf erledigt und das Ergebnis behält. Es löst MAC-Hersteller, Hostname (DNS, mDNS und NetBIOS zusammen), eine OS- und Gerätetyp-Vermutung, offene Ports und Dienste auf und legt dann einen priorisierten Sicherheitsbericht obendrauf: offenes Telnet oder RDP, Prüfungen auf Standard-Zugangsdaten, Risiko-Scores. Es beobachtet außerdem weiter, sodass ein neues Gerät im LAN einen Alarm auslöst, statt auf deinen nächsten manuellen Scan zu warten.

Es kommt als AppImage, als .deb und als .rpm, läuft also auf Debian, Ubuntu, Fedora und dem meisten, was davon abstammt. Die Linux-Installationsseite hat die Pakete und die eine setcap-Zeile, die das volle Capture freischaltet. Es gibt auch eine Headless-Server-Edition (Docker oder ein systemd-Dienst), falls du eine Homelab-Kiste rund um die Uhr scannen lassen willst. Kein Konto, keine Telemetrie, und die Lizenzprüfung funktioniert offline.

Wenn du es gegen nmap, Fing oder Angry IP Scanner abwägst: Die Vergleichsseite legt dar, was jedes Werkzeug kann und was nicht.

Du kannst die Vollversion zuerst in deinem eigenen Netzwerk ausprobieren: Es gibt eine kostenlose 7-Tage-Testphase, ohne Konto. Danach einmalig 59 €, kein Abo.