Gerät über die MAC-Adresse herausfinden

Eine MAC-Adresse ist oft alles, was dein Router über ein Gerät hergibt: zwölf Hex-Ziffern wie a4:cf:12:9b:00:01, daneben vielleicht ein halb brauchbarer Name. Die gute Nachricht: In diesen Ziffern steckt mehr, als man ihnen ansieht. Die schlechte: Deutlich vor „das ist Lisas Tablet“ ist Schluss. Hier steht, wie weit dich eine MAC bringt und wie du den Rest der Strecke schaffst.

Was in der Adresse steckt

Die erste Hälfte einer MAC-Adresse nennt den Hersteller des Netzwerkchips. Diese Präfixe vergibt die IEEE, und sie sind öffentlich: A4:CF:12 gehört Espressif (Smart-Home-Geräte und Bastelplatinen), D8:3A:DD der Raspberry-Pi-Stiftung. Die zweite Hälfte ist eine Seriennummer aus dem Kontingent des Herstellers; öffentlich identifiziert sie nichts.

Das Präfix schlägst du mit unserem kostenlosen MAC-Adressen-Lookup nach. Er nutzt die offiziellen IEEE-Register (alle drei, auch die kleineren MA-M- und MA-S-Blöcke), läuft komplett in deinem Browser und markiert zufällige Adressen für dich.

Die zweite Ziffer verrät, ob ein Lookup überhaupt klappen kann

Bevor du irgendetwas in einen Lookup einträgst, schau auf die zweite Hex-Ziffer der Adresse. Ist sie 2, 6, A oder E, ist die Adresse „lokal verwaltet": Das Gerät hat sie sich selbst ausgedacht, und kein Register der Welt kennt sie. Zwei Adressen, nach denen zuletzt gesucht wurde, 5e:40:cc:48:69:1d und d2:6d:a3:d2:a6:42, sind genau von dieser Sorte. 5e und d2 enden auf e und 2, also stammen sie von einem Handy oder Laptop im Haus, und kein Register wird sie je führen. Eine dritte, 00:15:99:80:c9:07, beginnt mit 00:15:99, und das führt das IEEE-Register als Samsung Electronics. Dieser Lookup funktioniert.

Wie groß das Register ist, und warum manche Lookups „IEEE Registration Authority" sagen

Hinter unserem Lookup stecken die drei IEEE-Register, unverändert übernommen. Am Tag, an dem das hier geschrieben wurde, enthielten sie 53.046 Zuweisungen: 39.482 klassische 24-Bit-Präfixe, 6.479 28-Bit-Blöcke (MA-M) und 7.085 36-Bit-Blöcke (MA-S). Die großen Namen besitzen jeweils Hunderte Präfixe: Apple hat 1.513, Cisco 1.231, Samsung 882, Intel 662, Espressif 315, TP-Link 261 und Amazon 209. Huawei verteilt sich auf zwei Firmennamen und kommt auf rund 2.000.

Kleine Hersteller kaufen keinen ganzen 24-Bit-Block. Sie kaufen ein 28- oder 36-Bit-Stück aus einem Block, den die IEEE unter ihrem eigenen Namen führt, und 424 der 24-Bit-Präfixe sind solche Elternblöcke. Ein Lookup, der nur die 24-Bit-Liste kennt, antwortet für jedes Gerät dieser Hersteller mit „IEEE Registration Authority". Das sagt dir nichts. Unserer probiert zuerst das 36- und das 28-Bit-Register und erst danach das 24-Bit-Register, sodass eine smarte Steckdose einer kleinen Marke auch als diese Marke erscheint.

Zwei weitere Eigenheiten solltest du kennen. Ein Markenname auf der Verpackung ist nicht immer ein Name im Register: Shelly hat keinen eigenen Block, weil seine Relais und Steckdosen auf Espressif-Chips aufbauen, also melden sie sich als Espressif. Und ein Hersteller, der seine Blöcke über die Jahre unter verschiedenen Namen gekauft hat (Raspberry Pi Foundation und Raspberry Pi Trading zum Beispiel), erscheint unter dem Namen, der beim Kauf des jeweiligen Blocks gerade galt.

Wenn kein Hersteller zurückkommt

Moderne Handys, Tablets und Laptops erfinden standardmäßig pro WLAN eine zufällige MAC. Solche Adressen sind als „lokal verwaltet“ markiert und passen absichtlich auf keinen Register-Eintrag. Eine Adresse ohne Hersteller ist deshalb selten ein Eindringling; meistens ist es ein Handy, das seine Privatsphäre schützt. Dasselbe Handy kann über die Zeit sogar als mehrere verschiedene Geräte auftauchen.

Markiert der Lookup deine Adresse als lokal verwaltet, hör auf, dem Hersteller nachzujagen. Identifiziere das Gerät stattdessen über die anderen Signale unten.

Vom Herstellernamen zum tatsächlichen Gerät

Ein Herstellername grenzt ein, und manchmal reicht das: Ein Espressif-Gerät ist ziemlich sicher eine smarte Steckdose, ein Sensor oder Ähnliches; ein Druckerhersteller ist ein Drucker. Aber „Hui Zhou Gaoshengda Technology“ steckt in der Hälfte der günstigen Smart-Home-Hardware am Markt, und Apple reicht von der Uhr bis zum Desktop. Um weiterzukommen, muss das Gerät reden:

1. Hostname. DHCP- und mDNS-Namen wie HS110 oder MacBook-Pro-von-Lisa klären es sofort. Die Router-Liste zeigt sie oft an.
2. Dienste. Ein Drucker antwortet auf Port 631, eine Kamera streamt auf 554, ein NAS bietet Dateifreigabe auf 445, ein smarter Lautsprecher kündigt sich per mDNS an. Welche Türen offen sind, verrät, was dahinter wohnt.
3. Verhalten über die Zeit. Ein Gerät, das jeden Abend um sieben auftaucht und um Mitternacht verschwindet, ist ein Handy und kein Server.

Das alles kannst du von Hand einsammeln. Oder du lässt einen Scanner ran, der es in einem Durchlauf erledigt. DeviceShelf löst Hersteller, Hostname, Dienste und offene Ports für jedes Gerät im Netzwerk auf und macht daraus eine echte Identifikation; dieselben IEEE-Daten hinter unserer Lookup-Seite stecken auch in der App. Die ganze Detektivgeschichte steht im Guide zum Identifizieren eines unbekannten Geräts.

Gleicher Hersteller, anderes Gerät: die Dienste entscheiden

Beim Herstellernamen bleiben die meisten hängen. Ein Hersteller deckt eine ganze Produktpalette ab. Apples 1.513 Präfixe trennen keine Uhr von einem Desktop. Was sie trennt, ist das, was das Gerät im Netz von sich gibt:

Zusammen mit dem Hersteller ist das meist eindeutig. Eine Samsung-Adresse mit Treffer im Register ist eher ein Fernseher oder ein Drucker als ein Handy, weil Samsung-Handys standardmäßig private Adressen benutzen; antwortet das Gerät zusätzlich auf Port 554, ist es eine Kamera. Eine Espressif-Adresse, die _hap ankündigt, ist eine HomeKit-fähige Steckdose oder ein Sensor. DeviceShelf sammelt genau diese Signale für jedes Gerät in einem Scan und leitet den Typ daraus ab; die Portliste oben ist dieselbe, die die App benutzt.

So sieht das in einem echten Netz aus

Unser eigenes Heimnetz, am Tag des Schreibens gescannt: 61 Geräte, 28 verschiedene Hersteller im Register und 18 Adressen mit einer zweiten Ziffer 2, 6, A oder E. Diese 18 sind jedes Handy, Tablet, jede Uhr und jeder Laptop im Haus, dazu zwei Docker-Container, die sich ihre Adressen ebenfalls ausdenken. Kein einziger Fremder darunter. Ein paar Zeilen zeigen, wie weit jeder Hinweis trägt:

• 20:28:bc führt zu LG. Kein offener Port, kein angekündigter Dienst, aber der Hostname lautet lgwebostv: der Fernseher, allein am Namen erkannt.
• 3c:6a:9d führt zu Dexatek Technology, ein Name, den niemand zu Hause hat. Das Gerät kündigt _hap an und sonst nichts; der Name in unserer Liste, Eve Light Strip, ist einer, den wir nach einem Blick auf das Ding selbst eingetragen haben. Eve baut auf Dexatek-Hardware auf, so wie Shelly auf Espressif. Die Soundbar im selben Raum führt aus demselben Grund zu Silicon Laboratories, ein Drucker zu WNC Corporation.
• ce:76:87 hat gar keinen Hersteller, die zweite Ziffer ist e. Es kündigt _airplay, _raop, _smb und _ssh an und antwortet auf den Ports 22 und 445: ein Mac mit eingeschalteter Dateifreigabe. Die Dienste identifizieren ihn; die Adresse hätte es nie gekonnt.
• 78:2b:64 führt zu Bose und kündigt _airplay, _raop und _spotify-connect an: ein Lautsprecher. 50:bc:96 führt zu Apple und kündigt dieselben zwei AirPlay-Dienste an, dazu _companion-link und _sleep-proxy, und genau das meldet ein HomePod, ein MacBook nicht.
• 34:9f:7b führt zu Canon, der Hostname lautet Canon TS9500 series. Beim Scan war nichts offen, weil der Drucker schlief. Hersteller und Name reichen trotzdem.
• d8:3a:dd führt zu Raspberry Pi Trading und antwortet auf Port 22 mit _workstation: ein Pi mit Linux.

Drei der 61 Zeilen blieben „Unbekannt": private Apple-Adressen ohne Hostname und ohne Dienst. Sie gehören zu Handys, die im Haus waren, und der nächste Scan benennt sie, sobald die Handys reden.

Wo du die MAC überhaupt findest

• Router: Die Client-Liste zeigt pro Gerät eine MAC (der übliche Startpunkt).
• Windows: ipconfig /all (Physische Adresse).
• macOS/Linux: ifconfig oder ip link; macOS zeigt sie auch unter Systemeinstellungen → Netzwerk → Details.
• iPhone/iPad: Einstellungen → WLAN → ⓘ am Netzwerk (das ist die pro Netzwerk erfundene, meist zufällige Adresse).
• Android: Einstellungen → Über das Telefon → Status, oder in den WLAN-Details.

Was eine MAC-Adresse nie verraten wird

Keinen Besitzer, keinen Ort, keine Seriennummer. Das Register weiß, welche Firma das Präfix gekauft hat, mehr nicht. Die Behauptung, „diese MAC gehört dieser Person“, hat keine technische Grundlage; deshalb ist eine geteilte MAC-Adresse auch nicht die Datenschutz-Katastrophe, zu der sie manchmal gemacht wird. In deinem eigenen Netzwerk bleibt sie trotzdem der stabilste Griff, den ein Gerät bietet, Zufallsadressen ausgenommen.

Häufige Fragen

Kann ich herausfinden, wem eine MAC-Adresse gehört? Nein. Das Register ordnet ein Präfix einer Firma zu, mehr nicht. Es gibt keine öffentliche Liste, welche Adresse in welches Produkt gewandert ist, und erst recht keine, die zu einer Person führt.

Warum taucht mein iPad dreimal auf? Weil es pro WLAN eine andere private Adresse benutzt und diese seit iOS 18 in Netzen, die du so eingestellt hast, auch über die Zeit wechseln kann. Jeder Wechsel sieht aus wie ein neues Gerät. Benenne das Gerät einmal im Scanner und schalte den Wechsel für dein Heimnetz ab, dann bleibt die Liste ruhig.

Der Lookup sagt „IEEE Registration Authority". Ist das der Hersteller? Nein, das ist der Eigentümer des Elternblocks. Der eigentliche Hersteller sitzt in einem 28- oder 36-Bit-Unterblock. Unser Lookup prüft die zuerst; antwortet er trotzdem mit der Registration Authority, ist der Unterblock nicht veröffentlicht.

Ist die MAC-Adresse dasselbe wie die IP-Adresse? Nein. Die IP-Adresse vergibt dein Router, und sie kann morgen eine andere sein; die MAC-Adresse steckt im Gerät (oder wird bei Handys pro Netz erfunden) und ist das, woran der Router das Gerät wiedererkennt. Jedes Gerät mit seiner IP-Adresse zu finden ist eine eigene Aufgabe: Alle Geräte im Netzwerk anzeigen.