Zum Beispiel: Du öffnest die Geräteliste deines Routers und zählst 18 Clients. Ein Scan desselben Heimnetzwerks findet 14 oder 23. Keine der beiden Zahlen ist automatisch falsch. Die beiden Tools beantworten unterschiedliche Fragen, zu unterschiedlichen Zeitpunkten, und haben nicht denselben Blick aufs Netzwerk.
Bevor du einen zusätzlichen Eintrag für einen Eindringling hältst oder annimmst, dass ein fehlendes Gerät offline ist, lohnt sich ein Blick auf diesen Unterschied. Ein Router speichert normalerweise, welche Adressen er vergeben oder welche Geräte er erkannt hat. Ein Scanner sendet Anfragen oder prüft lokale Netzwerkinformationen, um vorhandene Geräte zu finden. Beides ist nützlich. Keines der beiden Tools liefert für sich allein ein vollständiges, dauerhaft aktuelles Geräteinventar.
Diese Anleitung ist für ein Netzwerk gedacht, das dir gehört oder das du verwalten darfst. Sie erklärt häufige Gründe für abweichende Listen, zeigt dir den Vergleich ohne Konfigurationsänderungen und beschreibt, welche Informationen du sichern solltest, wenn du ein Gerät genauer prüfen musst.
Die Geräteliste des Routers
Bezeichnungen wie Verbundene Geräte, Netzwerkübersicht, DHCP-Clients und Bekannte Geräte klingen oft so, als meinten sie dasselbe. Das tun sie nicht. Eine DHCP-Client-Liste enthält hauptsächlich Einträge zu vergebenen Adress-Leases. DHCP legt fest, wie ein Client eine Konfiguration für eine bestimmte Laufzeit erhält und diese Lease verlängert. Der Router kann den Eintrag bis zum Ablauf der Lease behalten. Bis dahin kann das Gerät längst im Ruhemodus sein, das Haus verlassen oder das Netzwerk gewechselt haben. Ein gespeicherter Hostname oder ein Symbol kann noch angezeigt werden, obwohl die zugehörige Verbindung längst beendet ist. RFC 2131: Dynamic Host Configuration Protocol
Manche Router zeigen auch Clients an, die sie über ihre WLAN- oder Ethernet-Tabellen erkannt haben. Andere zeigen aktuelle und frühere Einträge auf derselben Seite. Wie das funktioniert, hängt vom Router und seiner Firmware ab. Verlass dich deshalb nicht nur auf die Gesamtzahl oben auf der Seite. Achte auf Status, Zeitpunkt der letzten Sichtung, Verbindungstyp, IP-Adresse und MAC-Adresse. Ein Eintrag ohne aktuelle Aktivität, aber mit noch gültiger Lease, weist auf eine frühere Verbindung hin. Er beweist nicht, dass das Gerät gerade online ist.
Die Sicht eines Netzwerkscanners
Ein lokaler Scanner sucht normalerweise nach Hosts, die während des Scans antworten. In einem Ethernet- oder WLAN-LAN kann er per ARP abfragen, zu welchem Gerät eine IPv4-Adresse gehört. Je nach Tool und Einstellungen kommen auch ICMP, TCP, UDP oder protokollspezifische Erkennungsverfahren zum Einsatz. Die Nmap-Dokumentation beschreibt die Host-Erkennung als eigenen Schritt und erklärt, dass unterschiedliche Testanfragen unterschiedliche Antworten liefern. Ein Host, der wenig antwortet oder dessen Datenverkehr gefiltert wird, kann bei einem Scan fehlen und beim nächsten gefunden werden. Nmap: Host Discovery
Auch der Ausgangspunkt des Scans ist wichtig. Ein Laptop im Gäste-WLAN kann absichtlich von den Geräten im Haupt-LAN getrennt sein. Ein Scan aus einem VLAN erreicht möglicherweise kein anderes VLAN. Ein Smartphone, das mobile Daten oder ein VPN nutzt, nimmt bei seinen Anfragen nicht unbedingt denselben Weg wie der Router. Prüfe vor dem Vergleich, ob das scannende Gerät im gewünschten lokalen Netzwerk ist. Notiere seine Adresse und den Netzwerknamen.
Ein Scan fordert von einem Gerät keine vollständige Auskunft über seine Identität an. Das Gerät antwortet vielleicht auf ARP, blockiert aber Ping. Es reagiert auf einem Port und ignoriert einen anderen oder wechselt zwischen den Testanfragen in den Ruhemodus, um Strom zu sparen. Ein Scan kann auch einen Router, Access Point, Drucker, ein NAS oder Smartphone finden, ohne einen brauchbaren Namen dafür zu ermitteln. Das Ergebnis zeigt, was zu einem bestimmten Zeitpunkt beobachtet wurde. Es klärt nicht, wem ein Gerät gehört oder wofür es genutzt wird.
Häufige Gründe für unterschiedliche Geräteanzahlen
Fang beim Zeitpunkt an. Ein Smartphone hat sich vielleicht erst nach dem Scan mit dem WLAN verbunden, oder ein Tablet ist kurz davor in den Ruhemodus gewechselt. Aktualisiere die Router-Seite und starte innerhalb weniger Minuten einen neuen Scan. Ein Scan von heute und ein Router-Screenshot von letzter Woche lassen sich nicht sinnvoll vergleichen.
Vergleiche dann die Adressen statt der Namen. Die im Router angezeigten Namen stammen oft aus DHCP, dem Hostnamen eines Geräts oder einer manuell vergebenen Bezeichnung. Ein Scanner kann Hostnamen über Reverse DNS, mDNS oder NetBIOS und Herstellerbezeichnungen über eine MAC-Herstellerabfrage ermitteln. Diese Quellen können unterschiedliche Angaben liefern. Sie können auch fehlen oder veraltet sein. Für die Zuordnung sind die MAC-Adresse und die aktuelle IP-Adresse hilfreicher. Datenschutzfunktionen musst du dabei allerdings berücksichtigen.
Moderne Smartphones und Laptops verwenden unter Umständen eine private WLAN-Adresse statt ihrer Hardware-MAC-Adresse. Apple beschreibt, dass seine Geräte pro Netzwerk eine private WLAN-Adresse nutzen können, um die Nachverfolgung zu erschweren. Ändert sich diese Adresse, kann ein bekanntes Smartphone in der Router-Liste wie ein neuer Eintrag aussehen. Sperre oder lösche einen Eintrag nicht allein deshalb, weil der Herstellername fehlt oder dir die MAC-Adresse unbekannt vorkommt. Prüfe zuerst die WLAN-Einstellungen des Geräts, auch darauf, ob die private Adresse geändert oder zurückgesetzt wurde. Apple: Private WLAN-Adressen verwenden
Auch der Umfang der Erfassung spielt eine Rolle. Ein Mesh-System kann aus einem Hauptrouter und mehreren Knoten bestehen, die jeweils eine eigene Verwaltungsadresse haben. Ein kabelgebundener Switch, Access Point oder Virtualisierungshost kann über mehrere Schnittstellen erreichbar sein. Docker oder andere virtuelle Netzwerke können Adressen anlegen, die auf dem Host eine Funktion haben, aber nicht für eigenständige Geräte im Haushalt stehen. Die Einträge und die tatsächlichen Geräte müssen sich nicht eins zu eins entsprechen. Halte fest, welche Einträge zur Infrastruktur gehören und welche zu Endgeräten.
Eine Checkliste für den Vergleich
Nutze eine kurze Checkliste, die du bei jedem Vergleich durchgehen kannst:
- Notiere Datum, Uhrzeit, Zeitzone, Netzwerkname und das Gerät, von dem aus du den Scan startest.
- Exportiere die Router-Liste oder mache einen Screenshot, wenn die Oberfläche das unterstützt. Notiere andernfalls für jeden unklaren Eintrag die aktuelle IP-Adresse, MAC-Adresse, den Verbindungstyp und den Zeitpunkt der letzten Sichtung.
- Führe einen lokalen Scan aus und speichere das Ergebnis mit Zeitstempel. Starte nicht immer wieder aggressive Testanfragen, nur damit die Anzahl übereinstimmt.
- Ordne Einträge zuerst anhand der aktuellen IP-Adresse und MAC-Adresse zu. Nutze Namen und Herstellerangaben als zusätzliche Hinweise.
- Markiere jede Abweichung mit „nur im Router“, „nur im Scan“, „umbenannt“, „private Adresse möglich“ oder „noch zu bestätigen“.
- Bestätige einen wichtigen unbekannten Eintrag anhand einer zweiten Quelle, etwa eines Switch-Ports, der Zuordnung zu einem WLAN-Access-Point oder der Netzwerkeinstellungen des Geräts selbst.
So kannst du Unterschiede ruhiger beurteilen, als wenn du nur anhand einer Zahl rätselst. Ein Eintrag, der nur im Router steht und zuletzt vor längerer Zeit gesehen wurde, ist anders zu bewerten als ein Gerät, das nur im Scan auftaucht und gerade antwortet. Eine unbekannte MAC-Adresse, die in beiden Ansichten erscheint, ist ein konkreterer Anlass für eine Prüfung. Trotzdem kann dahinter ein Smartphone mit privater Adresse, ein kürzlich hinzugefügtes Smart-Home-Gerät oder ein verwaltetes Netzwerkgerät stecken.
Unbekannte Geräte mit Handlungsbedarf
Wenn ein Gerät in beiden Ansichten aktiv ist und du es nicht zuordnen kannst, sichere vor jeder Änderung die Informationen dazu: aktuelle Uhrzeit, IP-Adresse, MAC-Adresse, Verbindungstyp, Name des Routers oder Access Points und einen eventuell angezeigten Hostnamen. Prüfe deine Smartphones, Tablets, Mediengeräte, Arbeitsgeräte, die Geräte deiner Gäste und deine Smart-Home-Hardware. Frag die anderen im Haushalt, bevor du von einer unbefugten Verbindung ausgehst.
Bevor du ein Gerät sperrst oder das WLAN-Passwort änderst, identifiziere das Gerät, mit dem du den Router verwaltest, sowie deine Netzwerkinfrastruktur und teste eine alternative Verbindung zur Verwaltungsoberfläche des Routers. Wenn du den falschen Eintrag sperrst, kannst du legitime Geräte vom Netzwerk trennen oder deinen Verwaltungszugriff verlieren. Rechne damit, dass WLAN-Geräte nach einer Passwortänderung neu verbunden werden müssen. Wenn du das Gerät weiterhin nicht identifizieren kannst, entferne oder sperre es über die üblichen Zugriffseinstellungen des Routers. Ändere anschließend das WLAN-Passwort, falls das für dein Netzwerk sinnvoll ist, und verbinde die bekannten Geräte gezielt wieder. Sicherheitseinstellungen unterscheiden sich je nach Router. Halte dich an seine aktuelle Dokumentation, statt Befehle für ein anderes Modell zu übernehmen. Ein einzelner Netzwerkscan kann nicht feststellen, wer ein Gerät benutzt hat oder warum es aufgetaucht ist.
Für regelmäßige Inventarprüfungen ist DeviceShelf eine lokal nutzbare Möglichkeit, Geräte zu erkennen und ein Inventar für spätere Vergleiche zu führen. Nutze es als weitere Informationsquelle neben den Angaben des Routers. Eine veraltete Lease, einen unklaren Hostnamen oder ein Gerät im Ruhemodus musst du trotzdem weiterhin einordnen. Produktwebsite
Eine Vergleichsbasis für spätere Prüfungen
Sobald du die üblichen Geräte zugeordnet hast, lege eine einfache Routine zur Pflege des Inventars fest. Halte fest: den Gerätenamen, gegebenenfalls Besitzer oder Standort, die MAC-Adresse, das übliche Verhalten bei der IP-Adressvergabe und woran du das Gerät wiedererkennst. Aktualisiere das Inventar, wenn du eine Kamera, einen Drucker, ein NAS, einen Access Point oder ein Gästenetzwerk hinzufügst. Veröffentliche keine ungeschwärzten Screenshots. Interne Hostnamen, Adressen und Gerätenamen können mehr über ein Zuhause oder kleines Büro verraten, als du beabsichtigt hast.
Wenn Router und Scanner beim nächsten Mal unterschiedliche Ergebnisse liefern, nimm diese Vergleichsbasis und die Zeitstempel als Ausgangspunkt. Statt einer beunruhigenden Zahl hast du dann eine konkrete Frage: „Warum taucht diese Adresse jetzt auf?“ oder „Warum antwortet dieses bekannte NAS nicht?“ Das reicht meistens, um zu entscheiden, ob du auf ein Gerät im Ruhemodus wartest, eine Bezeichnung korrigierst, die Netzwerksegmentierung prüfst oder eine Sicherheitsmaßnahme ergreifst.