Mobile-Menu

Alle Netzwerkgeräte finden und scannen Netzwerkanalyse mit Sniffnet und WhoisConnectedSniffer

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Zwei kostenlose Tools ermöglichen präzise Netzwerkanalyse ohne großen Aufwand. WhoIsConnectedSniffer erkennt verbundene Geräte passiv im LAN, Sniffnet überwacht gleichzeitig den Datenverkehr in Echtzeit. Zusammen liefern sie Administratoren ein vollständiges Bild ihres Netzwerks.

Echtzeiteinblicke in aktive Netzwerkverbindungen: WhoIsConnectedSniffer und, oder wie in dem Fall hier, Sniffnet liefern Administoren eine präzise Übersicht über Geräte und Datenverkehr.(Bild: Joos)
Echtzeiteinblicke in aktive Netzwerkverbindungen: WhoIsConnectedSniffer und, oder wie in dem Fall hier, Sniffnet liefern Administoren eine präzise Übersicht über Geräte und Datenverkehr.
(Bild: Joos)

WhoIsConnectedSniffer ist ein kompaktes Analysewerkzeug, das ohne aktives Scannen erkennt, welche Geräte im lokalen Netzwerk aktiv sind. Es lauscht direkt auf den Netzwerkadaptern und sammelt Informationen aus den übertragenen Paketen. Dabei nutzt es Protokolle wie ARP, UDP, DHCP, mDNS und andere, um Hosts zu identifizieren. So lässt sich ohne zusätzliche Netzlast feststellen, welche Systeme gerade kommunizieren. Das Tool läuft auf sämtlichen Windows-Versionen bis hin zu Windows 11 sowie auf Windows Server 2022 und 2025 und lässt sich portabel betreiben.

Netzwerk mit WhoisConnctedSniffer auslesen

Nach dem Start genügt die Auswahl des richtigen Adapters und der Capture-Treiber. Wer direkt nach der Aktivierung keine Ergebnisse sieht, lässt das Programm einige Minuten offen, bis erste Pakete empfangen sind. Im Fenster erscheinen dann IP- und MAC-Adressen, Hostnamen, Betriebssysteme und Hersteller der Netzwerkkarten. Administratoren erkennen dadurch auch unautorisierte Geräte, zum Beispiel fremde Notebooks im Firmennetz oder neue IoT-Komponenten, die unbemerkt online gehen. Da WhoIsConnectedSniffer nur passiv mithört, bleibt es selbst für Intrusion-Detection-Systeme unsichtbar. Das Tool zeigt auch potenzielle Namen und weitere Informationen an, wie die MAC-Adresse.

Bildergalerie

Die gesammelten Daten lassen sich per Tastenkombination Ctrl+A und Ctrl+S in HTML-, CSV- oder XML-Form exportieren.

Über Kommandozeilenparameter können automatisierte Aufzeichnungen eingerichtet werden, etwa für stündliche Scans oder zur Speicherung in definierten Intervallen. Auf Servern eignet sich das Tool, um in ruhigen Netzwerkphasen mögliche Broadcast-Stürme oder verdächtige DHCP-Anfragen zu identifizieren.

Für automatisierte Auswertungen bietet WhoIsConnectedSniffer eine Reihe nützlicher Startparameter:

  • /cfg <Datei>: Konfiguration laden, zum Beispiel „WhoIsConnectedSniffer.exe /cfg c:\config\wcs.cfg“
  • /CaptureTime <Sekunden>: Legt die Aufzeichnungsdauer fest, standardmäßig zehn Sekunden, oder dauerhaft bei Wert null
  • /SaveToFileInterval <Sekunden>: Damit wird das Ergebnis regelmäßig gespeichert
  • /StopCommandLineCapture: Beendet die Aufzeichnung und schreibt alle Daten in die Ausgabedatei
  • /sort <Spalte>: Damit lassen sich die Ergebnisse nach Spaltennamen oder Index sortieren, etwa „/sort IP Address“ oder absteigend mit „~Last Detected On“.

Für die Speicherung stehen mehrere Formate zur Verfügung:

  • /stext für reine Textdateien,
  • /stab für tabgetrennte Listen,
  • /scomma für CSV,
  • /stabular für tabellarische Darstellung,
  • /shtml und /sverhtml für HTML und
  • /sxml für XML-Dateien.

Mehrere Sortierkriterien können kombiniert werden. Diese Optionen machen das Tool flexibel für Skripte und zeitgesteuerte Netzwerkanalysen auf Windows-Servern.

Sniffnet als visuelle Echtzeitergänzung

Sniffnet ist das passende Gegenstück für den aktiven Überblick über die gesamte Datenübertragung. Die Open-Source-Anwendung basiert auf Rust, läuft ebenfalls unter Windows 10, 11 und Windows Server 2022 oder 2025 und ist für die kontinuierliche Verkehrsüberwachung ausgelegt. Das Tool lässt sich allerdings auch auf Linux und macOS installieren.

Nach Auswahl des Netzwerkadapters zeigt das Hauptfenster sofort ein Live-Diagramm, das den eingehenden und ausgehenden Datenverkehr sekundengenau darstellt. So erkennt man Spitzenlasten und ungewöhnliche Aktivitäten direkt im Verlauf. Erscheint eine Fehlermeldung, dass die Datei „VCRUNTIME140.dll“ fehlt, lässt sich das Problem schnell lösen.

VCRUNTIME140.dll-Fehler beheben

Diese Datei gehört zur Microsoft Visual C++ Redistributable-Laufzeitbibliothek, die viele Programme unter Windows benötigen. Fehlt die Datei, hilft die Installation der Microsoft Visual C++ Redistributables.

Pfad sollte sein:

  • C:\Windows\System32\VCRUNTIME140.dll
  • C:\Windows\SysWOW64\VCRUNTIME140.dll

Befindet sich die Datei nicht im Verzeichnis, hilft noch die Installation von Visual C++ Redistributable für Visual Studio 2015.

In der linken oberen Ecke steht der gewählte Adapter mit seinem Linktyp, meist Ethernet. Über einfache Schaltflächen lässt sich die Anzeige von Bytes auf Pakete umstellen. Eine grafische Übersicht in Form eines Donut-Diagramms zeigt, wie viel Traffic empfangen, gesendet, verworfen oder gefiltert wurde. Unten im Fenster erscheinen alle Hosts, mit denen das System Daten austauscht. Sniffnet nutzt eine integrierte MaxMind-Datenbank, um die geografische Herkunft der Gegenstellen zu bestimmen, ergänzt um Domainnamen aus Rückwärtsauflösungen und ASN-Informationen großer Provider.

Die Verbindungsliste lässt sich nach übertragenem Datenvolumen sortieren oder auf bestimmte Filter beschränken. Ein Sternsymbol markiert Hosts als Favoriten, um sie dauerhaft zu beobachten. Diese Funktion hilft beim Auffinden von regelmäßig kontaktierten Servern, etwa Cloud-Diensten oder internen Gateways. Über die Benachrichtigungsoptionen lassen sich Meldungen definieren, wenn bestimmte IPs aktiv werden oder das Datenvolumen einen Grenzwert überschreitet.

Ein praktisches Detail ist der Export kompletter Mitschnitte im PCAP-Format. Damit lassen sich einzelne Sitzungen später in Wireshark detailliert untersuchen. So kann ein Administrator bei auffälligen Verbindungen sofort prüfen, welche Ports und Protokolle verwendet wurden. Das erleichtert sowohl die Fehleranalyse als auch forensische Auswertungen nach Sicherheitsvorfällen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Kombination beider Werkzeuge im Netzwerkalltag

Wer WhoIsConnectedSniffer und Sniffnet gemeinsam nutzt, erhält eine vollständige Sicht auf sein Netz, und das ohne Kosten. WhoIsConnectedSniffer liefert die Gerätebasis, Sniffnet zeigt den tatsächlichen Datenfluss. Die Kombination eignet sich für kleine und mittlere Umgebungen, in denen keine komplexe SIEM-Plattform vorhanden ist.

Ein typisches Szenario: Ein Administrator bemerkt, dass der Internet-Uplink ungewöhnlich stark ausgelastet ist. Mit Sniffnet lässt sich schnell feststellen, welche Hosts den meisten Traffic erzeugen. Wird dabei ein bisher unbekanntes Gerät sichtbar, liefert WhoIsConnectedSniffer unmittelbar Informationen zur IP-, MAC-Adresse und zum Betriebssystem. So wird aus der Traffic-Analyse ein vollständiges Bild der Ursache. In gemischten Netzwerken mit Clients, Servern und IoT-Komponenten zeigt sich der Nutzen ebenfalls. WhoIsConnectedSniffer erkennt Geräte, die sich nur sporadisch melden, während Sniffnet zeitgleich den Verlauf dokumentiert. Administratoren können damit prüfen, ob ein Gerät im Leerlauf tatsächlich keine Daten sendet oder ob verdeckter Verkehr stattfindet. Durch den Export in PCAP-Dateien steht anschließend das Material für eine tiefergehende Analyse in Wireshark bereit.

In größeren Netzwerken lassen sich beide Tools auf verschiedenen Knoten einsetzen: WhoIsConnectedSniffer auf einem zentralen Server, Sniffnet auf einem Administrator-PC mit Zugriff auf die Management-VLANs. Diese Aufteilung erlaubt parallele Beobachtung ohne gegenseitige Beeinflussung und liefert gleichzeitig Echtzeitdaten und Inventarinformationen.

Für alltägliche Prüfungen genügt oft ein kurzer Blick in Sniffnets Live-Übersicht. Wenn die Datenrate oder die Zahl der Hosts ungewöhnlich steigt, öffnet man WhoIsConnectedSniffer und überprüft, ob ein neues Gerät hinzugekommen ist. Durch die passive Arbeitsweise beider Anwendungen bleibt die Analyse unauffällig, was sie auch für sicherheitsrelevante Prüfungen in sensiblen Netzen tauglich macht.

Fazit

Die Kombination aus passiver Erkennung und aktiver Visualisierung liefert damit einen praxisgerechten Ansatz für Administratoren, die ihre Netzwerke ohne hohen Aufwand überwachen wollen. Beide Tools sind kostenlos, benötigen keine Installation und funktionieren zuverlässig auf modernen Windows-Systemen. Wer regelmäßig mit Netzwerkproblemen, Performance-Fragen oder Sicherheitsverdachtsmomenten konfrontiert ist, hat mit dieser Kombination eine leichtgewichtige, aber leistungsfähige Lösung zur Hand.

(ID:50673927)

Weiterführende Inhalte